Un grupo de ciberdelincuentes conocido como Flax Typhoon ha utilizado componentes confiables de ArcGIS para mantener un acceso oculto y prolongado a sistemas empresariales clave. El ataque se dirigió principalmente a infraestructuras críticas y organizaciones de Taiwán, evidenciando el creciente riesgo sobre cualquier aplicación pública expuesta.
Metodología del ataque
Los ciberdelincuentes comprometieron una cuenta de administrador en ArcGIS y desplegaron una extensión SOE Java personalizada como web shell. El módulo malicioso se activaba mediante operaciones REST estándar e incluía un sistema de autenticación mediante clave dura, necesario para ejecutar comandos en el servidor interno.
Impacto y persistencia
El ataque incluyó la carga encubierta de SoftEther VPN para mantener la persistencia y, tras realizar movimientos laterales, atacaron equipos de IT internos. La amenaza persistió incluso después de remediar y restaurar el sistema, ya que los archivos maliciosos sobrevivieron en los respaldos automáticos.
Riesgos identificados
La manipulación de componentes legítimos de ArcGIS permitió eludir la detección tradicional basada en IOC, provocando riesgos elevados como el acceso prolongado («hands-on-keyboard»). Existe la posibilidad de nuevos ataques mediante movimiento lateral o escalada de privilegios. También se identificó la amenaza de comprometer operaciones esenciales y servir como trampolín hacia otras redes OT/IT interconectadas.
Recomendaciones de mitigación
Se recomienda abandonar la exclusiva confianza en indicadores estáticos y avanzar hacia la búsqueda proactiva de amenazas en aplicaciones legítimas. Se debe revisar extensiones personalizadas en ArcGIS, implantar capas adicionales de autenticación para portales públicos y someter a escrutinio exhaustivo cualquier restauración de backup. Además, se sugiere monitorizar operaciones anómalas y actualizar rigurosa mente guías de seguridad interna.