El grupo Feral Wolf está comprometiendo redes corporativas aprovechando software empresarial expuesto y configuraciones de servidor deficientes para desplegar ransomware. Entre mayo y agosto de 2026, el grupo atacó organizaciones rusas de los sectores de retail, construcción, fabricación y tecnologías de la información, demostrando que un único sistema mal configurado puede ser la puerta de entrada para un incidente mayor.

Feral Wolf está utilizando software empresarial expuesto y configuraciones de servidor débiles para acceder a redes corporativas y, posteriormente, bloquear archivos con ransomware. La campaña demuestra cómo un sistema orientado a internet que pase desapercibido puede convertirse en el punto de partida de un incidente mucho mayor.

El grupo tuvo como objetivo organizaciones rusas de los sectores de comercio minorista, construcción, fabricación y tecnología de la información desde mayo hasta agosto de 2026. Sus operadores combinaron la explotación de vulnerabilidades, credenciales robadas o débiles, acceso remoto y puertas traseras personalizadas antes de desplegar GenieLocker para cifrar los datos.

Los analistas de BI.ZONE identificaron la actividad mientras investigaban las intrusiones, documentando rutas a través de instalaciones vulnerables de Atlassian Confluence, entornos de contratistas y clústeres de 1C:Enterprise mal protegidos. Los casos subrayan por qué los servicios externos necesitan la misma atención que los sistemas centrales del negocio.

BI.ZONE afirmó en un informe que los operadores también utilizaron canales de comunicación con apariencia legítima para permanecer activos durante más tiempo. Esa elección puede hacer que el tráfico hostil se mezcle con la actividad rutinaria de la red y retrase la respuesta del defensor.

Ransomware Feral Wolf

Una intrusión comenzó con un servidor de Confluence accesible públicamente que se ejecutaba dentro de un contenedor Docker detrás de un proxy. Feral Wolf explotó la vulnerabilidad CVE-2023-22515, creó una cuenta y la situó en el grupo de administradores de Confluence.

La cobertura anterior sobre el fallo de día cero de Atlassian activamente explotado ilustra por qué las plataformas de colaboración expuestas requieren un parcheo rápido y revisiones periódicas de las cuentas.

Desde el contenedor, los atacantes establecieron un punto de apoyo, ejecutaron un descubrimiento de red y encontraron un servicio PostgreSQL que utilizaba una contraseña débil.

El acceso a esa base de datos les proporcionó una ruta desde el contenedor restringido hasta el host subyacente, donde ejecutaron comandos y continuaron escaneando la red interna.

La operación también abusó de clústeres de servidores 1C:Enterprise inseguros expuestos en línea. En los casos donde la administración del clúster no estaba protegida, los atacantes podían conectarse al servicio de gestión y realizar acciones administrativas sin demostrar primero su identidad.

Luego utilizaron contenido de base de datos 1C especialmente preparado o archivos de procesamiento externo para hacer que el servidor ejecutara comandos del sistema operativo.

Un incidente aparte involucró a un gestor de clúster que operaba en modo de depuración. Sus funciones adicionales podían ser mal utilizadas para lanzar aplicaciones externas, dejando archivos de comandos temporales como una posible señal de advertencia.

Estas rutas se asemejan a los riesgos en las intrusiones de ransomware de servidores Confluence, donde el compromiso inicial de una aplicación se convierte rápidamente en un acceso más amplio a la red.

Puertas traseras, robo de credenciales y defensa

Tras ganar el acceso, Feral Wolf utilizó puertas traseras recientemente documentadas que se comunican a través de MQTT y Matrix, junto con una utilidad de proxy que tuneliza el tráfico a través de una sesión existente del Protocolo de Escritorio Remoto (RDP).

Al confiar en protocolos ampliamente utilizados en lugar de un método de conexión inusual, el grupo dificultó la separación del tráfico de comando y control de la actividad normal. Los atacantes también recopilaron memoria de sistemas Windows con utilidades legítimas y la examinaron en busca de credenciales.

En otro caso, intentaron borrar evidencias utilizando un script de PowerShell diseñado para eliminar rastros forenses. Estas acciones pueden ayudar a un intruso a moverse entre sistemas mientras limita las pistas disponibles para quienes responden a incidentes.

Deberías parchear Confluence rápidamente, eliminar el acceso público innecesario y revisar las cuentas de administrador y los registros del proxy.

Los equipos que ejecuten 1C deberían exigir una autenticación fuerte del administrador del clúster, mantener los servicios de gestión fuera de la internet pública y desactivar las capacidades de depuración a menos que sean esenciales.

Segmentar las redes de bases de datos y de host-contenedor también reduce el daño cuando una aplicación es vulnerada. Los equipos de seguridad deberían vigilar cambios administrativos inesperados, tráfico saliente sospechoso a través de protocolos permitidos, actividad inusual de Escritorio Remoto y la creación de volcados de memoria.

El monitoreo de eventos en servidores, contenedores, sistemas de identidad y límites de red puede hacer que estas acciones relacionadas salgan a la luz más temprano. El riesgo de compromiso del host Docker es especialmente relevante cuando una carga de trabajo comprometida puede alcanzar servicios fuera de su aislamiento previsto.

La investigación es un recordatorio de que el ransomware rara vez es un fallo de evento único. Feral Wolf combinó fallos conocidos y brechas de configuración con acceso a credenciales, comunicaciones encubiertas y cifrado de datos.

Cerrar los puntos de entrada expuestos y detectar el movimiento posterior es igualmente importante para detener el ataque antes de su etapa final.

Esa disciplina importa porque las revisiones rutinarias pueden conectar la exposición a internet, los cambios de configuración, el comportamiento del administrador, la actividad remota anómala y el acceso interno anormal antes de que comience el cifrado.

Fuentes:
https://cybersecuritynews.com/feral-wolf-ransomware/