← Volver al blog

Resumen de seguridad, 19 de abril de 2026: RCE en protobuf.js, Mirai Nexcorium y Operación PowerOFF

El briefing de seguridad de hoy reúne tres señales concretas: una falla crítica de ejecución de código en protobuf.js con PoC público, explotación con Mirai de DVR TBK y routers envejecidos, y un golpe global contra el ecosistema DDoS-for-hire.

---

---

1. protobuf.js ya está en la cola urgente de dependencias

La falla crítica de protobuf.js, identificada como GHSA-xq3m-2v4x-88gg, puede permitir ejecución remota de código cuando una aplicación carga esquemas influenciados por un atacante. Endor Labs afirma que la explotación es directa porque la generación dinámica insegura permite inyectar código mediante identificadores maliciosos. La librería está profundamente integrada en muchas pilas JavaScript y ronda los 50 millones de descargas semanales en npm.

• Actualiza a 8.0.1 o 7.5.5 y revisa también las dependencias transitivas.
• Trata la carga de esquemas como entrada no confiable y prefiere esquemas precompilados o estáticos en producción.
• Si tu aplicación decodifica definiciones protobuf suministradas por usuarios, asume que el alcance incluye secretos, bases de datos y servicios internos.

---

2. Los operadores de Mirai siguen cosechando IoT antiguo

Fortinet afirma que la variante Mirai Nexcorium explota la CVE-2024-3721 en DVR TBK y combina ese acceso con fuerza bruta y lógica de explotación antigua contra Huawei. Palo Alto Networks también vio intentos contra routers TP-Link fuera de soporte. La lección es la de siempre: los appliances viejos expuestos a Internet terminan siendo inventario barato para botnets cuando se pudre el parcheo y la higiene de credenciales.

• Parchea o aísla de inmediato los DVR TBK afectados y reemplaza el equipo TP-Link sin soporte.
• Audita credenciales por defecto, exposición Telnet y persistencia inesperada por cron o systemd.
• Trata los dispositivos de vigilancia y sucursales expuestos como superficie activa de intrusión, no como infraestructura pasiva.

---

3. La Operación PowerOFF elevó el costo del abuso DDoS-for-hire

La Operación PowerOFF, apoyada por Europol, incautó 53 dominios, expuso bases de datos ligadas a más de 3 millones de cuentas criminales y golpeó servicios usados por más de 75.000 clientes. La señal importante no es que el DDoS haya desaparecido, sino que la presión sobre la infraestructura booter está creciendo, lo que puede provocar migración, represalias o ruido temporal.

• Vigila desplazamientos breves hacia proveedores alternativos, paneles recién registrados o canales de reventa en Telegram.
• Conserva logs y comunicaciones con clientes si aparecen extorsiones o coberturas de “stress test”.
• Aprovecha esta ventana para revisar rate limiting, filtrado ascendente y contactos de incidente antes de que otro clon ocupe el hueco.

---

Qué deben hacer hoy los equipos de seguridad

1. Parchear primero la exposición a protobuf.js en servicios JavaScript expuestos a Internet o multi-tenant.
2. Sacar un inventario de DVR, routers y dispositivos todavía accesibles con credenciales débiles o Telnet.
3. Preguntar a red y SOC si los umbrales de monitoreo DDoS necesitan un ajuste temporal tras PowerOFF.
4. Enviar a dirección una nota clara: riesgo de dependencias, riesgo de botnet IoT y turbulencia del mercado DDoS son problemas distintos y necesitan dueños distintos.

---

Bottom line: En resumen: la amenaza de hoy es a la vez un problema de stack, de edge y de mercado. Parchea la librería, limpia los appliances y no des por hecho que los derribos significan redes tranquilas.