Se ha detectado una actividad maliciosa en la que un actor de amenaza explotó una falla crítica en el sistema SAP Netweaver para instalar un backdoor denominado «Auto-Color» en una compañía de productos químicos con sede en los Estados Unidos. La operación se llevó a cabo durante tres días, según un informe publicado por DarkTrace.
Actividad del actor durante tres días
El informe detalla que el actor obtuvo acceso a la red de la víctima y realizó intentos de descarga de archivos sospechosos. Además, estableció comunicación con infraestructura maliciosa vinculada al malware Auto-Color.
Vulnerabilidad CVE-2025-31324
La vulnerabilidad explotada en este caso es CVE-2025-31324, un error de carga de archivos no autenticado severo en SAP Netweaver que permite la ejecución del código remoto (RCE). Esta vulnerabilidad fue parcheada por SAP en abril.
Malware Auto-Color
Auto-Color, documentado por primera vez por la Unit 42 de Palo Alto Networks a principios de febrero, funciona como un troyano de acceso remoto que permite el acceso a hosts de Linux comprometidos. Se observó en ataques dirigidos a universidades y organizaciones gubernamentales en América del Norte y Asia entre noviembre y diciembre de 2024.
Detalles del incidente detectado por DarkTrace
El incidente fue detectado el 28 de abril, cuando se alertó sobre la descarga de un binario ELF sospechoso en una máquina expuesta a Internet que probablemente ejecutaba SAP Netweaver. Se menciona que los signos iniciales de actividad de escaneo ocurrieron al menos tres días antes.
Uso de la vulnerabilidad para el ataque
CVE-2025-31324 se utilizó en este caso como parte de un ataque de segunda etapa, que incluye el compromiso del dispositivo conectado a Internet y la descarga de un archivo ELF que representa el malware Auto-Color. Desde la intrusión inicial hasta el establecimiento fallido de la comunicación C2, el malware mostró una clara comprensión de Linux y demostró una restricción calculada diseñada para minimizar la exposición y reducir el riesgo de detección.