Cada uno de estos ataques es real y ha sido capturado por el sensor de IT Encore. Así es como intentan comprometer los sistemas y cómo protegerse.
🔥Ejecución remota de código (CVE-2021-44228)Log4Shell
Aprovecha la librería Log4j de Java: si una aplicación registra en el log un texto controlado por el atacante que contiene ${jndi:...}, Log4j resuelve esa URL y puede llegar a ejecutar código. El atacante suele inyectarlo en cabeceras HTTP como User-Agent.
/${jndi:ldap}
Capturado 2026-09-10 23:10:02 · origen 116.203.28.14 · puerto 443/HTTPS
🛡️ Protección: Actualizar Log4j a 2.17+, filtrar patrones ${jndi: en el WAF y bloquear salidas LDAP/RMI no autorizadas.
🗄️Inyección SQLSQL injection
Manipula las consultas a la base de datos insertando fragmentos SQL (UNION SELECT, ' OR 1=1, sleep()) para extraer datos, saltarse la autenticación o volcar tablas enteras.
/api/v1/validate/code
Capturado 2026-11-10 13:55:55 · origen 185.177.72.205 · puerto 80/HTTP
🛡️ Protección: Usar consultas parametrizadas, validar entradas y aplicar mínimo privilegio en la base de datos.
💻Inyección de comandosCommand injection
Intenta ejecutar comandos del sistema operativo (wget, curl|sh, /bin/sh) a través de parámetros vulnerables, normalmente para descargar y lanzar malware.
/
Capturado 2026-11-10 16:41:02 · origen 91.92.40.12 · puerto 80/HTTP
🛡️ Protección: No pasar entrada del usuario a la shell, usar listas blancas y ejecutar servicios con usuarios sin privilegios.
📂Salto de directorioPath traversal
Usa secuencias ../ para salir del directorio web y leer ficheros sensibles del servidor como /etc/passwd o ficheros de configuración.
/../.env
Capturado 2026-11-10 15:01:35 · origen 80.94.95.211 · puerto 88/Kerberos
🛡️ Protección: Normalizar y validar rutas, servir solo desde directorios controlados y actualizar el software afectado.
🔑Robo de configuración y secretosConfig/secret grab
Escanea rutas conocidas (/.env, /.git/, wp-config, claves) buscando credenciales, tokens de API o claves privadas expuestas por error.
/.env
Capturado 2026-11-10 15:32:51 · origen 78.153.140.149 · puerto 80/HTTP
🛡️ Protección: No publicar ficheros de configuración, bloquear rutas sensibles y rotar cualquier secreto expuesto.
🌐Explotación de CMS/panelesCMS/web exploit
Ataca vulnerabilidades conocidas de WordPress, phpMyAdmin, routers o paneles (/wp-login, /boaform, /GponForm, /cgi-bin) para tomar el control.
/cgi-bin/
Capturado 2026-11-10 15:13:49 · origen 163.245.214.93 · puerto 3000/Grafana
🛡️ Protección: Mantener el CMS y plugins al día, limitar el acceso a los paneles y usar doble factor.
🔐Fuerza bruta SSHFuerza bruta SSH
Prueba miles de combinaciones de usuario/contraseña contra el puerto 22 para conseguir acceso al servidor.
SSH-2.0-Go
Capturado 2026-11-10 16:45:44 · origen 185.112.150.97 · puerto 22/SSH
🛡️ Protección: Deshabilitar login por contraseña (solo clave), cambiar el puerto y usar fail2ban.
🤖Escáner automatizadoEscaner automatizado
Herramientas y botnets (zgrab, masscan, sqlmap...) rastrean Internet de forma masiva buscando servicios y vulnerabilidades que explotar después.
/druid/index.html
Capturado 2026-11-10 16:44:44 · origen 74.249.130.253 · puerto 80/HTTP
🛡️ Protección: Reducir la superficie expuesta, cerrar puertos innecesarios y monitorizar el tráfico anómalo.
