{"id":326,"date":"2026-03-23T07:51:21","date_gmt":"2026-03-23T07:51:21","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/23\/los-piratas-informaticos-aprovechan-cve-2025-32975-cvss-10-0-para-secuestrar-sistemas-quest-kace-sma-sin-parches-cyberdefensa-mx\/"},"modified":"2026-03-23T07:51:21","modified_gmt":"2026-03-23T07:51:21","slug":"los-piratas-informaticos-aprovechan-cve-2025-32975-cvss-10-0-para-secuestrar-sistemas-quest-kace-sma-sin-parches-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/23\/los-piratas-informaticos-aprovechan-cve-2025-32975-cvss-10-0-para-secuestrar-sistemas-quest-kace-sma-sin-parches-cyberdefensa-mx\/","title":{"rendered":"Los piratas inform\u00e1ticos aprovechan CVE-2025-32975 (CVSS 10.0) para secuestrar sistemas Quest KACE SMA sin parches \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Seg\u00fan Arctic Wolf, se sospecha que los actores de amenazas est\u00e1n explotando una falla de seguridad de m\u00e1xima gravedad que afecta al dispositivo de administraci\u00f3n de sistemas (SMA) Quest KACE.<\/p>\n<p>La empresa de ciberseguridad <a href=\"https:\/\/arcticwolf.com\/resources\/blog\/cve-2025-32975\/\" rel=\"noopener\" target=\"_blank\">dicho<\/a> observ\u00f3 actividad maliciosa a partir de la semana del 9 de marzo de 2026 en entornos de clientes que es consistente con la explotaci\u00f3n de <a href=\"https:\/\/support.quest.com\/kb\/4379499\/quest-response-to-kace-sma-vulnerabilities-cve-2025-32975-cve-2025-32976-cve-2025-32977-cve-2025-32978\" rel=\"noopener\" target=\"_blank\">CVE-2025-32975<\/a> en sistemas SMA sin parches expuestos a Internet. Actualmente no se sabe cu\u00e1les son los objetivos finales del ataque.<\/p>\n<p>CVE-2025-32975 (puntuaci\u00f3n CVSS: 10,0) se refiere a un <a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-32975\" rel=\"noopener\" target=\"_blank\">vulnerabilidad de omisi\u00f3n de autenticaci\u00f3n<\/a> que permite a los atacantes hacerse pasar por usuarios leg\u00edtimos sin credenciales v\u00e1lidas. La explotaci\u00f3n exitosa de la falla podr\u00eda facilitar la toma completa de las cuentas administrativas. Quest solucion\u00f3 el problema en mayo de 2025.<\/p>\n<p>En la actividad maliciosa detectada por Arctic Wolf, se cree que los actores de amenazas han utilizado la vulnerabilidad como arma para tomar el control de cuentas administrativas y ejecutar comandos remotos para eliminar cargas \u00fatiles codificadas en Base64 desde un servidor externo (216.126.225[.]156) mediante el comando curl.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/not-fast-enough-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhlXM830ruQd2xT6M7JNeNRjaFa1onD12WjSCHihTFMTzbyfT9h-irPmXy_h3E1HGSs6sdv7FTmnyNVTM5kmSb7BuUtZe8gKoTQt99P1sSzRcqqXpOJP6eoAOhR3DGb6qHx9kOZ_HBZUMmVnsnd0DM7QfUp81bgzTvvgLww6oqB-EhnDfWXH5pWCYhAsyLs\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Luego, los atacantes desconocidos procedieron a crear cuentas administrativas adicionales a trav\u00e9s de \u00ab<a href=\"https:\/\/support.quest.com\/kb\/4347637\/sma-agent-runkbot-exe-command-switches\" rel=\"noopener\" target=\"_blank\">runkbot.exe<\/a>\u00ab, un proceso en segundo plano asociado con el Agente SMA que se utiliza para ejecutar scripts y administrar instalaciones. Tambi\u00e9n se detectaron modificaciones del Registro de Windows a trav\u00e9s de un script de PowerShell para posibles cambios de persistencia o configuraci\u00f3n del sistema.<\/p>\n<p>Otras acciones emprendidas por los actores de amenazas se enumeran a continuaci\u00f3n:<\/p>\n<ul>\n<li>Realizaci\u00f3n de recolecci\u00f3n de credenciales utilizando Mimikatz.<\/li>\n<li>Realizar descubrimiento y reconocimiento enumerando los usuarios que han iniciado sesi\u00f3n y las cuentas de administrador, y ejecutando los comandos \u00abnet time\u00bb y \u00abnet group\u00bb.<\/li>\n<li>Obtenci\u00f3n de acceso del protocolo de escritorio remoto (RDP) a la infraestructura de respaldo (Veeam, Veritas) y controladores de dominio.<\/li>\n<\/ul>\n<p>Para contrarrestar la amenaza, se recomienda a los administradores que apliquen las \u00faltimas actualizaciones y eviten exponer las instancias de SMA a Internet. El problema se solucion\u00f3 en las versiones 13.0.385, 13.1.81, 13.2.183, 14.0.341 (parche 5) y 14.1.101 (parche 4).<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Seg\u00fan Arctic Wolf, se sospecha que los actores de amenazas est\u00e1n explotando una falla de seguridad de m\u00e1xima gravedad que afecta al dispositivo de administraci\u00f3n de sistemas (SMA) Quest KACE. La empresa de ciberseguridad dicho observ\u00f3 actividad maliciosa a partir de la semana del 9 de marzo de 2026 en entornos de clientes que es [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":108,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[466,1153,556,24,540,1156,52,36,713,539,1155,268,716,1154,1157],"class_list":["post-326","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-aprovechan","tag-cve202532975","tag-cvss","tag-cyberdefensa-mx","tag-informaticos","tag-kace","tag-los","tag-para","tag-parches","tag-piratas","tag-quest","tag-secuestrar","tag-sin","tag-sistemas","tag-sma"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/326","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=326"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/326\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/108"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=326"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=326"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=326"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}