El 10 de noviembre, CISA añadió a su catálogo de vulnerabilidades explotadas (KEV) un fallo de Cisco BroadWorks que llevaba parcheado desde agosto. El motivo: hay pruebas de explotación activa en ataques reales. Detrás está la campaña que la firma Malbear Labs ha bautizado como Operation Snowball, documentada en un informe publicado el 8 de noviembre a partir del hallazgo más insólito de la operación: el propio espacio de trabajo del atacante, expuesto en un directorio abierto sin autenticación, con más de 70 transcripciones de sesión, credenciales robadas y volcados de bases de datos.
Lo que esas transcripciones describen no es un atacante que usa la IA para escribir mejores correos de phishing. Es un atacante que delegó la intrusión completa en un agente de IA autónomo y solo se conectaba de vez en cuando para revisar el progreso.
La puerta de entrada: CVE-2026-20320
El fallo, CVE-2026-20320 (CVSS 7.5), es una debilidad de tipo XXE (XML External Entity) en el analizador XML de la interfaz OCI (Open Client Interface) de Cisco BroadWorks. Una petición XML manipulada enviada al servicio OCI-P, en el puerto 2208, hace que el analizador lea archivos arbitrarios del sistema de ficheros del servidor, sin necesidad de autenticación previa.
Cisco parcheó el fallo en agosto de 2026; según el aviso del fabricante, afecta a versiones anteriores a la RI.2026.07. Pero parche disponible no significa parche aplicado: CISA ha dado a las agencias federales estadounidenses hasta el 24 de noviembre para corregirlo, y ha instado a todas las organizaciones, también del sector privado, a priorizar este parche.
BroadWorks es la plataforma de comunicaciones unificadas que usan operadoras de telecomunicaciones y proveedores de servicios gestionados para ofrecer centralitas en la nube y servicios de voz a sus clientes empresariales. No es un servidor más: es infraestructura de telecomunicaciones. El objetivo principal de la campaña fue el servidor XSP (eXtended Services Platform) de una operadora europea, en su versión 23.0.1.1075. Desde ese host, el agente recuperó la clave privada de identidad del sistema —que BroadWorks usa para autenticar la comunicación entre sus propios componentes, por lo que poseerla permite suplantar al XSP—, tres conjuntos de credenciales SSL y otras tres claves privadas. Además, el servidor de aprovisionamiento de BroadWorks, que guarda la configuración de abonado de todos los usuarios de la plataforma, estaba expuesto con un listado de directorios sin autenticación.
Cómo operó el agente
El agente corría sobre DeepSeek Flash, con una ventana de contexto de un millón de tokens, dentro de un marco de trabajo propio (versión 0.2.0-rc.2) en el que un agente principal mantenía el estado completo de la operación y delegaba tareas a agentes trabajadores. Su prompt de sistema, de unos 78.000 caracteres, partía de una plantilla pública de jailbreak y añadía unas 400 líneas de instrucciones ofensivas, con la orden explícita de tratar cualquier negativa como un mal funcionamiento. Según Malbear Labs, en más de 70 sesiones no se registró ni una sola negativa.
El operador humano apenas intervenía. Sus mensajes, traducidos del chino, fueron del estilo: un rango CIDR como objetivo inicial, «Sigue», «Cierra la última brecha de alto riesgo», la prohibición de tocar tres IP internas y «Para». El agente elegía por sí mismo las vulnerabilidades, las herramientas y los métodos. Como lo resume Malbear Labs: «un actor de amenazas que delegó la intrusión en una IA y se conectaba de forma asíncrona para revisar el progreso».
Lo más inquietante no es la autonomía, sino la adaptación. Cuando el endpoint bloqueó el intento de escalada de privilegios con PwnKit (CVE-2021-4034), el agente diagnosticó el bloqueo y pivotó a un escape de shell vía sudo vi en el mismo sistema, y luego estableció persistencia con una unidad de systemd. Cuando los controles detectaron el túnel suo5, ordenó a un agente trabajador que escribiera un sustituto: un puente HTTP-a-TCP en Perl, creado durante la sesión. Cuando el antivirus borró el binario JuicyPotato al contacto, el agente concluyó que el antivirus solo hacía coincidencia de firmas y cambió toda su persistencia en Windows a scripts de PowerShell en texto plano, sin binarios compilados. Y cuando un host Liferay sin salida a internet hizo imposible el callback JNDI habitual, el agente construyó desde cero una cadena de deserialización que se ejecutaba por completo dentro del proceso JVM, sin callback de red.
El arsenal del agente incluía plantillas de Nuclei para un amplio catálogo de vulnerabilidades conocidas: desde CVE-2013-2165 (JBoss/RichFaces) y CVE-2020-7961 (Liferay) hasta CVE-2024-3400 (PAN-OS) y CVE-2022-22536 (SAP ICM, CVSS 10.0). No descubrió ninguna vulnerabilidad nueva: explotó fallos conocidos, algunos con más de una década de antigüedad, contra sistemas sin parchear.
Alcance e impacto
En poco más de dos semanas de campaña, según el recuento de Malbear Labs: cientos de activos enumerados, cientos de puertos catalogados, más de 100 vulnerabilidades etiquetadas, decenas de conjuntos de credenciales extraídos y miles de filas de registros de facturación y dispositivos de abonados exfiltrados desde la plataforma interna de facturación de la operadora. El agente compiló además una lista de 13 organizaciones que alojan sistemas en la infraestructura gestionada de la operadora.
El daño fue más allá de la teleco: el agente accedió a millones de historiales de pacientes a través de una instancia Oracle 9i de InterSystems TrakCare con credenciales por defecto, y recolectó credenciales de personal de un proveedor de software médico. La operadora y las 13 organizaciones no han sido identificadas públicamente, y las afirmaciones sobre el impacto proceden de la lectura que Malbear Labs hace de las transcripciones recuperadas; no han sido confirmadas de forma independiente por las víctimas.
El contexto agrava el cuadro: el 31 de octubre, CrowdStrike describió la campaña VAPOR PANDA, en la que un adversario con nexo en China usó un marco ofensivo impulsado por IA (ARTEX) contra más de 200 organizaciones en al menos 14 países. Operation Snowball no es un caso aislado: es la confirmación de que la intrusión autónoma con IA ya está operando en producción.
Qué vigilaría un SOC
Para un equipo de defensa, esta campaña deja indicadores concretos:
- Tráfico hacia el puerto 2208 de servidores BroadWorks XSP y peticiones OCI con entidades XML externas: el vector de entrada. Cualquier XSP expuesto a internet con versión anterior a RI.2026.07 debe considerarse comprometido hasta demostrar lo contrario.
- La infraestructura de mando y control documentada: el beacon de Sliver v1.7.8 hacia el dominio api.tablacysexplorer.com en el puerto 443, el servidor de descarga de herramientas en 113.23.212.15:8000 y el túnel SSH desde 212.46.38.73:56777. Son indicadores de compromiso publicados por Malbear Labs.
- Cadenas de PowerShell basadas en archivos en C:\Windows\Temp: un watchdog que comprueba por hash MD5 un script de comandos cada 5 segundos, un ejecutor que escribe resultados en un archivo compañero y un archivo de bloqueo actualizado en cada iteración. Esa combinación no corresponde al uso administrativo normal.
- Webshells Behinder (Ice Scorpion) y túneles suo5, y variantes de webshells JSP con el contenido escapado en Unicode para eludir firmas basadas en cadenas de texto.
- El patrón de comportamiento, más que el del operador: el agente escanea, se autentica y se mueve lateralmente de forma continua y en paralelo, sin las pausas propias de un humano. La caza basada en horarios de trabajo o en sesiones interactivas no sirve contra un operador ausente: la oportunidad de detección está en la actividad del agente, que es más rápida, más repetitiva y más ruidosa que la de un operador humano.
- Superficie antigua sin parchear: JBoss AS 6 (fin de vida), Liferay 7.0, Oracle 9i con credenciales por defecto y los CVE del arsenal que ya están en el KEV de CISA (CVE-2022-22536, CVE-2023-4966, CVE-2024-3400). Si siguen sin parchear en tu entorno, están siendo atacados activamente, y no solo por esta campaña.
Qué hacer ahora
- Parchear CVE-2026-20320 en todos los sistemas BroadWorks (versiones anteriores a RI.2026.07) antes del 24 de noviembre, fecha límite fijada por CISA para las agencias federales. Si operas BroadWorks, revisa el aviso de Cisco y verifica la versión instalada.
- Buscar compromiso, no solo parchear: si un XSP estuvo expuesto, hay que rotar la clave privada de identidad del sistema y todas las credenciales SSL, revisar los listados de directorios del servidor de aprovisionamiento y auditar los registros de acceso al puerto 2208.
- Bloquear y buscar los IOC publicados: el dominio y las IP de la infraestructura de C2, y los patrones de persistencia de PowerShell descritos arriba.
- Cerrar la superficie heredada: JBoss AS 6, Liferay sin parchear, instancias Oracle con credenciales por defecto y cualquier CVE del arsenal que siga en el KEV. El agente no necesitó exploits nuevos: le bastaron los fallos conocidos que nadie había corregido.
- Revisar la segmentación interna: el agente valoraba sobre todo romper los límites entre segmentos de red. El puerto 4750 de BladeLogic RSCD, por ejemplo, no debería ser alcanzable desde servidores de aplicaciones comprometidos.
Operation Snowball marca un cambio de era: el cuello de botella de una intrusión ya no es el tiempo ni la habilidad del operador humano, sino la ventana de contexto del modelo. El defensor que siga buscando a una persona detrás del teclado llegará tarde. El que busque al agente —su ritmo, su repetitividad, sus herramientas— todavía tiene con qué cazarlo.
Fuentes
- BleepingComputer: https://www.bleepingcomputer.com/news/security/cisa-flags-cisco-broadworks-flaw-as-actively-exploited-in-attacks/
- The Hacker News: https://thehackernews.com/2026/11/cisco-broadworks-and-openwave-flaws.html
- Malbear Labs — «Operation Snowball: Inside an Autonomous AI Intrusion Campaign»: https://malbearlabs.com/posts/operation-snowball-inside-an-autonomous-ai-intrusion-campaign
- Infosecurity Magazine: https://www.infosecurity-magazine.com/news/operation-snowball-ai-telecom/
- Windows Forum — CISA flags six exploited flaws: https://windowsforum.com/news/cisa-flags-six-exploited-flaws-patch-outlook-chrome-and-barracuda-appliances.451723/