Un grupo está llevando a cabo una campaña de escaneo automatizado a gran escala contra servidores de desarrollo Vite expuestos a internet. El objetivo es robar credenciales de AWS, tokens de acceso de Azure, variables de entorno y secretos de Infraestructura como Código (IaC). Según los sensores de honeypot de F5, se registró un aumento drástico en agosto de 2026, con aproximadamente 32,000 eventos, superando significativamente la actividad observada en meses anteriores.

Una campaña de escaneo automatizado a gran escala contra servidores de desarrollo Vite expuestos a internet, intentando robar credenciales de AWS, tokens de acceso de Azure, variables de entorno y secretos de Infraestructura como Código (IaC).

Los sensores de honeypot de F5 registraron 807 ataques agrupados por sesión y unos 32.000 eventos brutos en agosto de 2026, un aumento drástico frente a los solo 1.732 eventos de lectura de archivos relacionados con Vite observados durante los tres meses anteriores.

La operación explotó principalmente el CVE-2026-39364, una vulnerabilidad de divulgación de archivos de Vite de gravedad alta publicada en abril de 2026. Los atacantes también probaron omisiones de control de acceso de Vite más antiguas, lo que sugiere que la infraestructura de escaneo utiliza una amplia biblioteca de exploits en lugar de depender de una sola vulnerabilidad.

El rápido salto en la actividad demuestra lo rápido que los actores de amenazas incorporan fallos de framework recién divulgados en campañas automatizadas de recolección de credenciales en la nube.

Credenciales de Nube de Servidores Vite

El CVE-2026-39364 afecta a Vite 7.1.0 hasta 7.3.1 y Vite 8.0.0 hasta 8.0.4. La vulnerabilidad permite que atacantes no autenticados recuperen archivos que la configuración server.fs.deny debería bloquear, incluyendo archivos .env y certificados.

Vite proporciona una ruta interna @fs que sirve archivos del sistema de archivos del host durante el desarrollo. Aunque el mecanismo de lista de denegación está destinado a evitar que los navegadores soliciten contenido sensible, ciertos parámetros de consulta especialmente construidos, incluyendo ?raw, ?import&raw y ?import&url&inline, pueden evadir esa protección y hacer que el servidor devuelva archivos restringidos con una respuesta HTTP 200.

La explotación requiere que el servidor de desarrollo de Vite sea accesible a través de una red, que el archivo objetivo resida dentro de un directorio permitido por server.fs.allow y que el archivo coincida con una regla de server.fs.deny.

Vite se vincula a localhost por defecto, pero tú puedes exponerlo a LAN o interfaces públicas a través de la opción --host, la configuración server.host, mapeos de puertos de contenedores, reglas de ingreso de Kubernetes o errores en los grupos de seguridad de la nube.

F5 observó solicitudes que combinaban el endpoint @fs con omisiones de cadena de consulta, salto de directorios (path traversal) y separadores con doble codificación. Los ejemplos incluyeron solicitudes para .env, /root/.env, /proc/self/environ y rutas profundamente codificadas que contenían %252f.

La doble codificación puede ayudar a que las solicitudes maliciosas pasen a través de proxies inversos o firewalls de aplicaciones web que normalizan las rutas de manera diferente al servidor backend.

Los escáneres utilizaron una lista de palabras de credenciales cuidadosamente ensamblada que cubría .env.local, .env.production, .env.staging, archivos de credenciales de AWS bajo directorios comunes de usuarios de Linux, cachés de AWS SSO, claves de respaldo, rootkey.csv, aws-exports.js y archivos de configuración de Amplify.

También buscaron archivos de credenciales y accessTokens.json de Azure, junto con estados de Terraform, variables de Terraform, estados de Serverless Framework y otros artefactos de despliegue.

Fue particularmente notable el sondeo de /proc/self/cwd/.env, que puede revelar el archivo de entorno de la aplicación activa sin requerir que el atacante conozca su ruta de instalación absoluta.

Una respuesta exitosa podría exponer claves de API, contraseñas de bases de datos, claves de acceso a la nube, secretos de sesión, direcciones de infraestructura y datos de recursos gestionados por Terraform, convirtiendo potencialmente una divulgación de servidor de desarrollo en un compromiso de la nube más amplio.

La campaña envió solicitudes HTTP/1.0 con Connection: close, un patrón consistente con escáneres automatizados ligeros.

Las solicitudes rotaron cadenas de User-Agent falsificadas suplantando a Googlebot, ClaudeBot, GPTBot, PerplexityBot, OAI-SearchBot y Amazonbot, mientras que encabezados X-Forwarded-For y X-Real-IP fabricados intentaban confundir el análisis de registros o evadir listas blancas de IP mal implementadas.

La mayor parte de la actividad se originó en infraestructura de alojamiento en la nube, particularmente direcciones en los rangos 34.x y 35.x de Google Cloud Platform.

Estados Unidos registró 17.297 eventos, seguido de Bélgica con 4.407, Países Bajos con 4.011, Singapur con 2.842, Taiwán con 1.994 y Japón con 1.353.

Un subconjunto de la misma infraestructura también sondeó el CVE-2025-29927, una omisión de autorización de middleware de Next.js, lo que sugiere que los operadores escanean múltiples frameworks de desarrollo web simultáneamente.

El tráfico de Vite también activó firmas para CVE-2025-30208, CVE-2025-31125 y CVE-2024-45811, todos ellos relacionados con técnicas de omisión de acceso a archivos.

CISA añadió el CVE-2025-31125 a su catálogo de Vulnerabilidades Explotadas Conocidas en enero de 2026, reforzando que los servicios de desarrollo de Vite expuestos ya están siendo objetivo de actividad en el mundo real.

Las organizaciones deben actualizar las instalaciones afectadas a Vite 7.3.2, 8.0.5 o versiones compatibles más recientes y eliminar los servidores de desarrollo de las redes públicas.

Tú y tu equipo de seguridad deberían auditar los archivos de Docker Compose, servicios de Kubernetes, configuraciones de ingreso, proxies inversos, reglas de firewall y grupos de seguridad de la nube en busca de puertos de desarrollo expuestos, especialmente el puerto 5173 comúnmente usado por Vite.

También deberías inspeccionar los registros HTTP en busca de solicitudes que contengan /@fs/, parámetros de consulta raw o import sospechosos, secuencias de salto codificadas e intentos de recuperar archivos de entorno, AWS, Azure, Terraform o /proc.

No confíes en las identidades de los bots basándote únicamente en las cadenas de User-Agent; valida el acceso del rastreador con la verificación de IP y DNS inverso adecuada. Cualquier organización que haya expuesto un servidor Vite sin parchear debe asumir que los atacantes pueden haber recolectado secretos accesibles.

Las claves de AWS, los tokens de Azure, las credenciales de base de datos, los secretos de API, las claves de firma y las credenciales gestionadas por Terraform deben ser revocadas o rotadas, seguido de una revisión de los registros de auditoría de la nube para detectar autenticaciones no autorizadas, escalada de privilegios, persistencia y creación de recursos.