{"id":1368,"date":"2026-06-30T18:21:44","date_gmt":"2026-06-30T18:21:44","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/30\/langflow-rce-explotado-para-implementar-monero-miner-en-puntos-finales-de-aplicaciones-de-ia-expuestos-cyberdefensa-mx\/"},"modified":"2026-06-30T18:21:44","modified_gmt":"2026-06-30T18:21:44","slug":"langflow-rce-explotado-para-implementar-monero-miner-en-puntos-finales-de-aplicaciones-de-ia-expuestos-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/30\/langflow-rce-explotado-para-implementar-monero-miner-en-puntos-finales-de-aplicaciones-de-ia-expuestos-cyberdefensa-mx\/","title":{"rendered":"Langflow RCE explotado para implementar Monero Miner en puntos finales de aplicaciones de IA expuestos \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Los actores de amenazas contin\u00faan explotando una vulnerabilidad cr\u00edtica de Langflow como parte de nuevos ataques dise\u00f1ados para entregar un minero de criptomonedas Monero.<\/p>\n

Se ha descubierto que la actividad constituye un arma CVE-2026-33017<\/b> (Puntuaci\u00f3n CVSS: 9,3), una vulnerabilidad de ejecuci\u00f3n remota de c\u00f3digo (RCE) no autenticada en Langflow, que indica que los actores de amenazas est\u00e1n escaneando y apuntando a puntos finales de aplicaciones de inteligencia artificial (IA) expuestos para obtener acceso inicial a las redes empresariales. El ataque se observ\u00f3 durante un per\u00edodo de 19 d\u00edas entre el 27 de marzo y el 15 de abril de 2026.<\/p>\n

\u00abEn esta campa\u00f1a, una sola l\u00ednea de c\u00f3digo Python evaluada dentro de un punto final API de Langflow no autenticado despliega un script de shell, recupera un binario minero y lo inicia de forma independiente\u00bb, dijeron los investigadores de Trend Micro Simon Dulude y John Zhang. dicho<\/a> en un informe t\u00e9cnico publicado la semana pasada.<\/p>\n

En un nivel alto, el malware est\u00e1 dise\u00f1ado para finalizar los procesos de miner\u00eda de criptomonedas de la competencia asociados con Kinsing, WatchDog, Rocke y Outlaw, eliminar la billetera rival y el material de claves, desactivar los controles de seguridad a nivel de host, establecer persistencia basada en cron, balizar a un servidor externo (\u00ab83.142.209[.]214:80) e implementar un minero personalizado. Tambi\u00e9n puede propagarse a otros sistemas a trav\u00e9s de claves SSH reutilizadas, convirtiendo efectivamente una instancia de Langflow expuesta en una v\u00eda para un compromiso m\u00e1s amplio.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Esto implica explotar la falla de Langflow para ejecutar un script Python proporcionado por el atacante, que, a su vez, est\u00e1 configurado para iniciar un script de shell alojado de forma remota que act\u00faa como un cuentagotas cuya responsabilidad principal es verificar si un binario llamado \u00ablambsys\u00bb ya se est\u00e1 ejecutando en el host.<\/p>\n

Posteriormente, descarga el binario en la m\u00e1quina usando curl o wget, lo inicia como un proceso separado y se propaga a todos los hosts accesibles por SSH en los que la v\u00edctima pueda autenticarse. El binario, un ejecutable ELF escrito en Go, tambi\u00e9n est\u00e1 dise\u00f1ado para deshabilitar AppArmor, el cortafuegos sin complicaciones de Ubuntu, iptables, SELinux, el guardi\u00e1n NMI del kernel y el agente Aliyun de Alibaba Cloud.<\/p>\n

Adem\u00e1s, el malware elimina los registros del sistema para ocultar las pistas y elimina el atributo inmutable de archivos como \u00ab~\/.ssh\/\u00bb, \u00ab~\/.ssh\/authorized_keys\u00bb, \u00ab\/etc\/crontab\u00bb y \u00ab\/etc\/ld.so.preload\u00bb, \u00ab\/tmp\/\u00bb, \u00ab\/var\/tmp\/\u00bb y \u00ab\/var\/spool\/cron\u00bb para realizar sus modificaciones, y luego vuelve a aplicar el atributo inmutable a \u00ab\/tmp\/\u00bb y \u00ab\/var\/tmp\/\u00bb.<\/a><\/p>\n

\"\"<\/a><\/div>\n

Se sabe que las operaciones il\u00edcitas de miner\u00eda de criptomonedas establecen el atributo \u00abchattr +i\u00bb en estos archivos para garantizar que ning\u00fan usuario, incluido el superusuario, pueda modificarlos, cambiarles el nombre ni eliminarlos. El comportamiento del binario refleja que el actor de amenazas detr\u00e1s de la operaci\u00f3n es consciente de los m\u00e9todos de persistencia adoptados por grupos rivales de criptojacking.<\/p>\n

En la etapa final, el binario contacta al mismo servidor para buscar un archivo TAR y extrae de \u00e9l un minero XMRig personalizado. Una vez que el minero comienza la ejecuci\u00f3n, el archivo comprimido se borra del sistema de archivos. Adem\u00e1s env\u00eda una solicitud a ipinfo.[.]io para obtener la direcci\u00f3n IP p\u00fablica y la ubicaci\u00f3n del host, lo que permite a los actores de amenazas tomar decisiones operativas sobre la marcha.<\/p>\n

La primera es la selecci\u00f3n del grupo. Dado que los grupos de miner\u00eda tienden a estar distribuidos geogr\u00e1ficamente, conectar al minero a un grupo cercano a la v\u00edctima puede minimizar la latencia y maximizar la tasa de hash. La segunda raz\u00f3n para obtener esta informaci\u00f3n es la geocerca, ya que brinda a los actores de amenazas una forma de excluir a las v\u00edctimas en ciertas regiones.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abLambsys no ejecuta su l\u00f3gica de ataque como funciona Go\u00bb, explicaron los investigadores. \u00abEn lugar de eso, bifurca una cascada de subprocesos sh -c de corta duraci\u00f3n, cada uno de los cuales ejecuta un comando de shell (un pkill, un chattr, un sysctl). El dise\u00f1o intercambia sigilo por confiabilidad. Si uno de los 51 comandos pkill falla, el fallo se limita a ese subproceso y los otros 50 contin\u00faan\u00bb.<\/p>\n

Trend Micro dijo que un artefacto perteneciente a la iteraci\u00f3n anterior del mismo binario se compil\u00f3 en mayo de 2024, lo que indica que los actores de amenazas detr\u00e1s de la campa\u00f1a probablemente han estado iterando en la familia durante m\u00e1s de dos a\u00f1os, mientras tomaban medidas para evadir la detecci\u00f3n por parte de las herramientas antivirus.<\/p>\n

Durante el a\u00f1o pasado, se explotaron activamente una serie de fallas de seguridad en Langflow. En junio de 2025, se aprovech\u00f3 otra vulnerabilidad cr\u00edtica (CVE-2025-3248, puntuaci\u00f3n CVSS: 9,8) para distribuir el malware de botnet Flodrix.<\/p>\n

\u00abEsta campa\u00f1a de miner\u00eda de criptomonedas muestra c\u00f3mo los terminales de aplicaciones de IA expuestos se est\u00e1n convirtiendo en otra ruta hacia los entornos empresariales\u00bb, afirm\u00f3 Trend Micro. \u00abLa carga \u00fatil puede resultar familiar, pero el vector de entrega no. Una vulnerabilidad de Langflow ofrece a los operadores de criptomineros b\u00e1sicos una nueva puerta de entrada a los sistemas que ejecutan infraestructura de aplicaciones de IA\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Los actores de amenazas contin\u00faan explotando una vulnerabilidad cr\u00edtica de Langflow como parte de nuevos ataques dise\u00f1ados para entregar un minero de criptomonedas Monero. Se ha descubierto que la actividad constituye un arma CVE-2026-33017 (Puntuaci\u00f3n CVSS: 9,3), una vulnerabilidad de ejecuci\u00f3n remota de c\u00f3digo (RCE) no autenticada en Langflow, que indica que los actores de […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[786,24,66,1650,3435,530,1119,1238,3433,36,3434,779],"class_list":["post-1368","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-aplicaciones","tag-cyberdefensa-mx","tag-explotado","tag-expuestos","tag-finales","tag-implementar","tag-langflow","tag-miner","tag-monero","tag-para","tag-puntos","tag-rce"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1368","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1368"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1368\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1368"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1368"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1368"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}