Anteayer recibí un mail muy inquietante del servidor de Brown hosting donde tengo alojado bradanovic.cl y tombrad.com. El encabezado del mail decía "A new API token has been created.A new API token named “bk_31229” has been created for your account".
El mensaje advertía que ese token permitía "full access" al servidor y que si no lo había generado yo que tomara medidas inmediatamente para protegerme y cambiara la contraseña.
El asunto me pareció lo suficientemente serio como para ir a consultar a Gemini, mi asesor en seguridad, que me confirmó que la situación era realmente grave, y así me pasé toda la tarde borrando los cientos de archivos maliciosos que me habían plantado.
El procedimiento completo de limpieza fue bastante largo pèro también me permitió aprender muchos sobre la seguridad en la administración de servidores, si a alguien le interesa el tema puede ver mi chat completo con Gemini aquí.
En realidad las cosas raras habían empezado hace como una semana atrás, cuando me di cuenta que no tenía acceso a través del cPanel, abrí un ticket de servicio y los técnicos de Brown hosting me dijeron que tal vez me había equivocado con la contraseña y me dieron una forma de entrar sin pasar por el cPpanel.
Me quedé con la bala pasada, especialmente cuando dos días atrás tuve un bombardeo de muchas visitas del programa bot de TikTok que recolecta texto para la IA china, pensé que tal vez esas dos cosas podrían estar relacionadas.
Por curiosidad me fui a revisar mi otro hosting tombrad.com y me encontré con la sorpresa que también estaba lleno de tokens y scripts maliciosos, pero como ya sabía arreglarlo lo limpié todo, aunque me demoré bastante.
No era solo yo
Hoy veo en las noticias que están en riesgo datos del Servicio de Impuestos Internos, Registro Civil, Clave Única y supongo que los datos bancarios también están comprometidos. Es una catástrofe global, me alegro de no tener ni un peso en el banco, pero me imagino que deben estar frenéticos tratando de arreglar el asunto.
También recibí hoy de Brown hosting el mensaje que sus servidores estaban comprometidos por un "ataque de día cero", recomendaban cambiar las contraseñas y que estaban trabajando en limpiar todos los host que ellos alojan. Yo ya los había limpiado por mi cuenta en todo caso.
¿Qué diablos pasó? Explicado con peras y manzanas
Toda la información de los sitios web del mundo está almacenada en servidores, que son computadores que funcionan 24x7 y en ellos se guardan los datos y sistemas. Cada servidor tiene uno o varios administradores, que se comunican con ellos por medio de un software que es casi universal, llamado "cPanel" (o panel de control)
Para ingresar a mi servidor de bradanovic.cl por ejemplo, tengo que poner en la web https://cpanel.com/bradanovic.cl entonces el servidor me pide la contraseña y así tengo acceso total a todo lo que hay en bradanovic.cl, puedo cargar, descargar, borrar o hacer cualquier cosa una vez que tengo el full acceso.
Resulta que "alguien" encontró una vulnerabilidad en el software cPanel, que permite entrar con acceso total a los servidores sin necesidad de saber la contraseña, usando unos pequeños script llamados "tokens" que funcionan como una ganzúa para abrir la puerta sin tener llaves.
Como cPanel es prácticamente un estándar universal, el que encontró y explotó esa vulnerabilidad fue como haber encontrado el Santo Grial de la piratería, ya que le permitió entrar a servidores en prácticamente todo el mundo.
Se trató de una vulnerabilidad crítica a nivel mundial, de una puntuación de riesgo muy cercana a máxima (9.8/10), los atacantes aprovecharon un fallo en el sistema de autenticación de cPanel para saltarse las contraseñas y generar esos tokens de API automáticos que encontré en mis dos servidores, y en servidores de todo el mundo.
Según Gemini "Tu reacción de cambiar las contraseñas y limpiar manualmente los tokens API fue la respuesta técnica correcta y más segura ante una crisis de esta magnitud. Al ser un ataque global, los equipos de soporte de los hostings están trabajando a máxima capacidad para limpiar los residuos que dejaron los scripts automatizados".
De todo esto me quedan dos grandes incógnitas, una es ¿Cual será el grado de penetración que alcanzaron a hacer en servidores críticos de bancos, gobiernos, etc.? ¿Serán capaces de arreglar el daño que ya se haya hecho?




