- Una vulnerabilitat crítica de deserialització a WSUS (CVE-2025-59287) permet execució remota de codi amb privilegis de sistema.
- Els atacants exploten aquesta fallada per desplegar el backdoor modular ShadowPad mitjançant eines legítimes i DLL side-loading.
- La campanya mostra tàctiques d'espionatge i persistència perllongada, amb un èmfasi fort en evasió i ús d'infraestructura C2 avançada.
- El pegat ràpid, la reducció d'exposició de WSUS i el monitoratge de comportament són claus per mitigar el risc.
En els darrers mesos, l'ecosistema de ciberseguretat s'ha vist sacsejat per una campanya d'atacs que aprofita una vulnerabilitat crítica a Microsoft WSUS per desplegar ShadowPad, un dels backdoors més sofisticats i temuts del panorama actual. Aquesta combinació de fallada de seguretat en un component clau de Windows Server i codi maliciós avançat ha posat en perill nombroses organitzacions, especialment aquelles que exposen els seus servidors d'actualització a Internet sense les proteccions adequades.
El que és preocupant no és només la decisió en si, sinó la manera com els atacants han reaccionat: després de la publicació pública de l'exploit de prova de concepte per a la vulnerabilitat CVE-2025-59287, els actors d'amenaça han trigat molt poc a armar-lo i convertir-lo en una via real d'entrada per a les seves operacions d'espionatge i persistència a llarg termini. Desgranarem què està passant, com funciona ShadowPad, per què WSUS s'ha convertit en un objectiu tan sucós i quines mesures pràctiques es poden prendre per reduir al mínim el risc.
Què és ShadowPad i per què preocupa tant
ShadowPad és un backdoor modular avançat associat històricament amb grups d'espionatge vinculats a interessos xinesos . Es considera el successor natural de PlugX, un altre codi maliciós molt conegut en entorns de ciberespionatge. El seu objectiu principal no és fer soroll ni xifrar dades per demanar un rescat, sinó infiltrar-se de manera sigil·losa, mantenir-se dins de la xarxa durant molt de temps i exfiltrar informació sensible o preparar el terreny per a operacions posteriors.
Aquest codi maliciós es caracteritza per un disseny en capes: compta amb un nucli principal capaç de carregar múltiples plugins o mòduls addicionals , que afegeixen capacitats segons les necessitats de l'atacant: des del robatori de credencials i registre de pulsacions de teclat, fins al moviment lateral, la gestió de proxies interns o l'ús de canals de comunicació xifrats molt difícils de rastrejar.
Una de les claus del seu èxit és el seu enfocament a l'evasió: ShadowPad està dissenyat per minimitzar la seva empremta en disc i en memòria , emprant tècniques d'ofuscació, xifrat de configuracions i càrrega dinàmica de components només quan resulten necessaris. Això complica seriosament la detecció per part de solucions tradicionals d'antivirus o monitorització que es basen únicament en firmes estàtiques.
Històricament, s'ha observat l'ús de ShadowPad en campanyes dirigides contra proveïdors de serveis, empreses de sectors crítics i organitzacions governamentals , on l'accés perllongat a l'entorn víctima ofereix un alt valor estratègic als atacants. El fet que ara es distribueixi mitjançant un component tan estès com WSUS incrementa, i molt, la seva perillositat.
La vulnerabilitat crítica a Microsoft WSUS (CVE-2025-59287)
Windows Server Update Services (WSUS) és la peça d'infraestructura que permet a les empreses gestionar i distribuir actualitzacions de Windows i altres productes Microsoft dins de la xarxa corporativa. Per la seva funció, sol comptar amb alts privilegis i amb connexió a gran part dels equips de l'organització, cosa que el converteix en un objectiu molt atractiu si s'aconsegueix comprometre's.
La vulnerabilitat protagonista d'aquests atacs s'ha identificat com a CVE-2025-59287, un error crític de deserialització a WSUS que permet l'execució remota de codi amb privilegis de sistema . En termes senzills, un atacant pot enviar dades especialment manipulades al servidor WSUS vulnerable i aconseguir que aquest processi aquesta informació de forma insegura, acabant per executar codi maliciós amb el màxim nivell de privilegi disponible al sistema.
Aquest tipus de vulnerabilitat de deserialització és especialment perillosa perquè no requereix que l'atacant disposi de credencials vàlides ni que interactuï un usuari legítim . Només cal que el servei vulnerable estigui exposat i accessible perquè, amb l'exploit adequat, es pugui obtenir accés total al servidor amb una única petició.
Microsoft ja ha publicat pegats per corregir el problema, però moltes organitzacions triguen a aplicar actualitzacions crítiques en servidors sensibles per por a interrupcions de servei o per processos interns de canvi massa lents. Aquesta finestra entre la publicació del pegat i el desplegament efectiu és exactament el temps que els actors d'amenaça estan explotant a favor seu.
El fet que s'hagi publicat un exploit com a prova de concepte ha accelerat la situació: una vegada que el codi d'explotació es fa públic, tant els actors avançats com els delinqüents menys sofisticats poden adaptar-lo i utilitzar-lo , incrementant de manera exponencial el nombre d'intents de compromís contra servidors WSUS vulnerables connectats a Internet.
Cadena d'atac: de WSUS vulnerable a ShadowPad completament desplegat
Després d'explotar amb èxit CVE-2025-59287, els atacants aconsegueixen execució remota de codi amb privilegis de sistema al servidor WSUS . Aquest accés inicial esdevé el punt de partida per a la resta de l'operació. A partir d'aquí, comencen a desplegar una sèrie d'eines i utilitats per baixar i activar el backdoor ShadowPad.
Els informes d'anàlisi, com el publicat per AhnLab i altres equips especialitzats, mostren que els atacants fan ús d' eines legítimes presents a pràcticament qualsevol entorn Windows , cosa que els ajuda a passar desapercebuts. Entre les més destacades hi ha:
- PowerCat: una eina basada en PowerShell que permet crear connexions de xarxa, túnels i shells inversos de manera flexible.
- certutil: utilitat de línia d'ordres inclosa a Windows per gestionar certificats, que sovint és abusada per descarregar fitxers des d'Internet sense aixecar sospites.
- ris: eina per transferir dades des de o cap a un servidor, cada cop més present en instal·lacions recents de Windows i molt útil per baixar binaris o scripts.
Mitjançant aquestes utilitats, els actors d'amenaça procedeixen a descarregar els components necessaris de ShadowPad des de servidors externs controlats per ells . Aquesta descàrrega es pot camuflar en trànsit aparentment legítim, dificultant la feina de detecció si no es disposa d'una supervisió profunda a nivell de xarxa.
Un cop obtinguts els fitxers, entra en joc una tècnica clàssica en atacs avançats: el DLL side-loading. En lloc de llançar directament un executable maliciós, els atacants aprofiten binaris legítims de Windows o altres aplicacions signades per carregar una DLL maliciós . El binari de confiança, en buscar les seves llibreries, acaba carregant la DLL manipulada, que és on realment resideix el codi de ShadowPad.
Aquest enfocament té diversos avantatges per als atacants: es recolzen en binaris de confiança (sovint signats i àmpliament usats) per guanyar credibilitat davant de les solucions de seguretat , i en carregar la DLL directament en memòria redueixen la visibilitat dels fitxers maliciosos en disc. Tot això encaixa amb la filosofia de ShadowPad d'operar de manera sigil·losa i persistent.
Un cop s'activa el nucli del backdoor, aquest carrega els seus plugins i estableix canals de comunicació amb la infraestructura de comandament i control (C2) dels atacants , que a partir d'aquell moment obtenen un control molt granular sobre el servidor compromès i potencialment sobre altres equips de la xarxa interna que depenguin de WSUS per a les seves actualitzacions.
Objectius, impacte i tàctiques dels actors d'amenaça
Les campanyes observades mostren un clar perfil d' operacions d'espionatge i accés perllongat a entorns corporatius . No es tracta d'atacs oportunistes de baix nivell, sinó d'intrusions curosament planificades en què es prioritza la permanència i la discreció davant de l'impacte immediat i visible.
En un dels incidents analitzats per equips especialitzats com el Csirt Financer, s'ha identificat que després de comprometre el WSUS, els atacants van utilitzar utilitats legítimes del sistema per fer moviments interns, recopilar informació i preparar mecanismes de persistència . Aquesta preferència per eines ja presents al sistema s'alinea amb la tàctica coneguda com a “Living off the Land”, on s'evita introduir binaris externs cridaners.
L'activitat observada incloïa tant la instal·lació de serveis i tasques programades per recuperar el control en cas de reinici, com la creació de canals que permetin mantenir comunicació amb la infraestructura de comandament i control durant llargs períodes . Per a una organització afectada, això significa que l'incident no es redueix a un únic esdeveniment puntual, sinó a una intrusió amb potencial de mantenir mesos si no es detecta.
Aquest tipus d'atacs sol anar acompanyat d'una infraestructura d'ordre i control distribuïda, amb dominis i adreces IP preparats amb cura per evitar llistes negres i tècniques de reputació. Els operadors de ShadowPad solen canviar, rotar i ocultar els seus servidors, de manera que encara que es bloquegi un canal de comunicació, puguin aixecar-ne un altre sense gaire esforç.
A més, la ràpida explotació després de la divulgació de la vulnerabilitat demostra un nivell de preparació alt: els actors d'amenaça monitoren activament l'aparició de noves vulnerabilitats crítiques i d'exploits de prova de concepte , adaptant en qüestió de dies o fins i tot hores les seves eines i playbooks per integrar-los a les cadenes d'atac.
Context operatiu i paper dels equips de resposta
La campanya vinculada a ShadowPad i WSUS s'ha documentat per diversos equips de resposta a incidents, com el Csirt Financiero, que ha publicat resums de l'activitat observada en entorns corporatius . Als incidents estudiats, es confirma un patró repetit: accés inicial per la vulnerabilitat de WSUS, desplegament d'eines legítimes, instal·lació de ShadowPad i consolidació de la persistència.
En aquest tipus d'escenaris, el treball dels equips de resposta no es limita a “netejar” el servidor afectat, sinó que exigeix una investigació exhaustiva de la xarxa per identificar tots els possibles punts de suport de l'atacant . ShadowPad, a causa de la seva naturalesa modular, pot haver deixat mòduls adormits o configuracions en altres sistemes, de manera que una resposta parcial sol ser insuficient.
Aquests equips, a més, s'encarreguen de correlacionar la informació tècnica de l'incident amb estratègies de mitigació i seguiment : regles de detecció per a SIEM, indicadors de compromís (IoC), patrons de trànsit sospitós, configuracions de tallafocs i EDR, i recomanacions per endurir serveis crítics com WSUS.
Per a organitzacions del sector financer i altres sectors regulats, comptar amb un CSIRT especialitzat i amb canals directes de comunicació per compartir anàlisis i alertes (incloent-hi correus de contacte i butlletins) marca la diferència entre detectar un atac en les primeres fases o descobrir-ho quan el dany ja és significatiu . En el cas de ShadowPad, la capacitat de resposta primerenca pot evitar filtracions de dades, ús fraudulent de credencials i comprometiment de sistemes crítics.
La data en què s'han compartit algunes d'aquestes anàlisis, com ara el resum datat a principis de desembre de 2025, il·lustra que els atacants aprofiten sense parar les finestres d'oportunitat . Des que es publica un pegat fins que arriba a tots els sistemes susceptibles, hi ha un marge temporal molt valuós tant per a defensors com per a ofensors.
Com reduir el risc: mesures de mitigació i bones pràctiques
La primera mesura, encara que soni òbvia, és crítica: actualitzar sense demora els servidors WSUS afectats per la vulnerabilitat CVE-2025-59287. Això implica aplicar els pegats publicats per Microsoft, verificar que s'han instal·lat correctament i, en entorns especialment sensibles, provar-los en un entorn de preproducció abans del desplegament massiu per evitar interrupcions inesperades.
Més enllà del pegat, és fonamental revisar l' exposició de WSUS a Internet . En molts casos, aquests serveis no necessiten estar accessibles des de la xarxa pública i s'haurien de limitar a la xarxa interna oa connexions VPN segures. Utilitzar tallafocs, segmentació de xarxa i llistes de control d'accés per restringir qui pot parlar amb el servidor d'actualitzacions redueix dràsticament la superfície d'atac.
Una altra línia de defensa clau passa per monitoritzar de manera activa l'ús d'eines com PowerCat, certutil i curl a servidors crítics. Encara que són utilitats legítimes, la seva execució en determinats contextos (per exemple, en un WSUS que mai no les fa servir normalment) pot ser un indici molt clar d'activitat sospitosa. Les solucions EDR i els sistemes de monitorització d'esdeveniments haurien de generar alertes quan detectin patrons anòmals.
Alhora, cal reforçar les capacitats de detecció davant tècniques com el DLL side-loading . Això inclou establir llistes de binaris autoritzats, revisar rutes de càrrega de DLL, utilitzar controls d'integritat i, quan sigui possible, activar mecanismes de protecció com ara Microsoft Defender SmartScreen, Application Control o equivalents en altres solucions de seguretat.
Finalment, és molt recomanable fer revisions periòdiques de logs, auditories de seguretat i exercicis de simulació d'incidents que incloguin escenaris com el compromís de WSUS i la instal·lació de backdoors modulars. Aquests exercicis ajuden a comprovar si els equips interns són capaços de detectar els primers indicadors d'un atac i si els procediments de resposta estan ben greixats.
En conjunt, la combinació de pegat àgil, reducció de superfície d'exposició, monitorització centrada en comportament i preparació de resposta és el que millor pot frenar campanyes com les basades en ShadowPad, fins i tot davant d'actors avançats que exploten ràpidament les oportunitats que brinden les noves vulnerabilitats.
Aquesta onada d'explotació contra WSUS per distribuir ShadowPad demostra fins a quin punt els serveis d'actualització i administració centralitzada es poden convertir en vectors d'atac d'alt impacte si no es protegeixen adequadament. Un servidor que, en teoria, està per mantenir segura la infraestructura pot acabar sent el punt dentrada duna intrusió silenciosa i persistent. Entendre la vulnerabilitat CVE-2025-59287, conèixer el funcionament intern de ShadowPad i adoptar mesures de mitigació sòlides permet a les organitzacions situar-se en una posició molt més robusta davant d'aquestes amenaces, reduint les possibilitats que una fallada puntual es converteixi en un problema estructural de llarg recorregut.