Ver el código de «Vulnerabilidad Crítica en VPN de Check Point (CVE-2026-50751): Elusión de Autenticación Vinculada a Ransomware Qilin»

== Nombres Alternativos / Aliases ==

* CVE-2026-50751 (Identificador oficial)
* Check Point VPN Auth Bypass (Por el efecto técnico)
* Qilin VPN Zero-Day (Por el actor que lo explota)
* IKEv1 Legacy Vulnerability (Por el componente afectado)
* BLAST-Discovered Flaw (Por la herramienta de detección)

----

== Fecha de Detección / Actividad ==

* Fecha de primeras observaciones de explotación: 7 de mayo de 2026
* Inicio de la investigación de Check Point: 4 de junio de 2026
* Publicación del aviso de seguridad: 8 de junio de 2026
* Fecha de actualizaciones de seguridad (parche): 8 de junio de 2026
* Período de exposición activa: Desde el 7 de mayo de 2026 hasta la fecha del parche (aprox. 1 mes)
* Aumento de intentos de explotación: Principios de junio de 2026
* Estado del parche: Disponible (versiones corregidas para todas las plataformas afectadas)
* Explotación activa: Sí, confirmada por Check Point Research

----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Categoría
!Descripción
|-
|Nombre del Actor
|Filial del ransomware Qilin (sin atribución oficial a grupo específico, pero con confianza media)
|-
|Vínculo Gubernamental
|No se ha establecido
|-
|Tipo de Actor
|Ciberdelincuencia / Ransomware como Servicio (RaaS)
|-
|Sofisticación
|MEDIA-ALTA. El actor demuestra:
|}

* Conocimiento profundo de implementaciones VPN legacy (IKEv1)
* Uso de infraestructura VPS dedicada (Kaupo Cloud HK, Shock Hosting, Vultr)
* Correlación geográfica entre IP de ataque y víctima (ej. Taiwán)
* Capacidad post-explotación para desplegar ransomware (Qilin)
* Posible uso del protocolo Tox para comunicaciones C2 |  | Motivación | Financiera (ransomware, extorsión) |  | Alcance de víctimas | "Unas pocas docenas" de organizaciones a nivel mundial |  | Víctima confirmada con ransomware | Al menos una (vinculada a Qilin) |

=== Perfil del actor según Check Point ===
<blockquote>*"Basándonos en la actividad posterior a la explotación que observamos, estimamos con confianza media que el actor detrás de la explotación de CVE-2026-50751 tiene motivaciones financieras y utiliza el ransomware Qilin. Creemos que la infraestructura de este actor de amenazas está explotando otras vulnerabilidades relacionadas con VPN, como las publicadas por Palo Alto, Fortinet y F5."*</blockquote>

=== Qilin (RaaS) - Contexto ===
{| class="wikitable"
!Característica
!Descripción
|-
|Surgimiento
|Agosto 2022 (originalmente "Agenda")
|-
|Modelo
|Ransomware como Servicio (RaaS)
|-
|Víctimas totales
|Casi 400 en su sitio de filtraciones dark web
|-
|Víctimas de alto perfil
|Yanfeng (automotriz), Nissan, Asahi (cervecera), Lee Enterprises, Synnovis (patología), Servicios Judiciales de Victoria (Australia)
|}
----

== Resumen Ejecutivo ==
Check Point Research identificó una explotación activa de CVE-2026-50751, una vulnerabilidad crítica de omisión de autenticación que afecta a las implementaciones de Check Point Remote Access VPN y Mobile Access configuradas para usar el protocolo de intercambio de claves IKEv1 obsoleto.

=== Impacto de la vulnerabilidad ===
{| class="wikitable"
!CVE
!Descripción
!CVSS
!Explotación activa
!Productos afectados
|-
|CVE-2026-50751
|Omisión de autenticación de usuario en Remote Access VPN y Mobile Access en IKEv1
|9.3 (Crítica)
|SÍ
|Mobile Access / SSL VPN, Remote Access VPN, Firewall Spark
|-
|CVE-2026-50752
|Validación de certificados en IKEv1 (permite ataque MITM en VPN sitio a sitio)
|7.4 (Alta)
|NO (detectada proactivamente)
|Security Gateways, Firewall Spark
|}

=== Mecanismo técnico ===
La vulnerabilidad reside en un fallo lógico en la validación de certificados en el flujo de autenticación IKEv1. Un atacante remoto no autenticado puede:

# Enviar solicitudes VPN maliciosas a una puerta de enlace vulnerable
# Explotar la debilidad en la validación de certificados
# Eludir completamente la autenticación (sin necesidad de contraseña válida)
# Establecer una conexión VPN de acceso remoto legítima
# Una vez dentro, requiere actividad adicional para acceder a recursos internos o escalar privilegios (pero ya superó la primera barrera crítica)

=== Condiciones necesarias para la explotación ===
{| class="wikitable"
!Condición
!Requisito
|-
|Protocolo IKEv1 habilitado
|Debe estar configurado (obsoleto, pero aún presente en muchas implementaciones legacy)
|-
|Aceptación de clientes remotos heredados
|La puerta de enlace debe aceptar clientes antiguos
|-
|Sin requisito de certificado de máquina
|No se exige certificado para conexiones
|}

=== Cronología de la explotación ===
{| class="wikitable"
!Fecha
!Evento
|-
|7 de mayo de 2026
|Primera observación de explotación
|-
|Principios de junio 2026
|Aumento significativo de intentos de explotación
|-
|4 de junio de 2026
|Check Point inicia investigación
|-
|8 de junio de 2026
|Publicación de parche y aviso de seguridad
|}

=== Vulnerabilidad secundaria (CVE-2026-50752) ===
Descubierta mediante la plataforma BLAST (AI-Powered Code Security Platform de Check Point) durante la investigación de la CVE-2026-50751:

* Afecta a validación de certificados en IKEv1 para conexiones VPN sitio a sitio
* Podría permitir ataques de intermediario (MITM) bajo ciertas condiciones
* No se ha detectado explotación activa hasta la fecha
* Se recomienda aplicar actualizaciones preventivamente

----

== Vector de Ataque / Métodos de Distribución ==

=== Mecanismo técnico detallado (CVE-2026-50751) ===
{| class="wikitable"
!Componente
!Descripción
|-
|Protocolo afectado
|IKEv1 (Internet Key Exchange version 1) — obsoleto
|-
|Tipo de fallo
|Lógica de validación de certificados
|-
|Vector de ataque
|Remoto, sin autenticación previa
|-
|Resultado
|Establecimiento de sesión VPN sin credenciales válidas
|-
|Post-explotación
|Acceso a red interna (requiere pasos adicionales para recursos específicos)
|}

=== Infraestructura del atacante ===
{| class="wikitable"
!Tipo de infraestructura
!Proveedores utilizados
|-
|VPS (Servidores Privados Virtuales)
|Kaupo Cloud HK, Shock Hosting, Vultr Holdings
|-
|Comunicación C2
|Posible uso de protocolo Tox (común en ransomware)
|-
|Geolocalización táctica
|IPs del atacante a veces correlacionadas geográficamente con la víctima (ej. Taiwán)
|}

=== Otras vulnerabilidades VPN explotadas por el mismo actor ===
Según Check Point, la infraestructura de este actor está explotando múltiples vulnerabilidades VPN de otros proveedores:
{| class="wikitable"
!Proveedor
!Vulnerabilidades conocidas (históricas)
|-
|Palo Alto
|CVE-2024-3400, CVE-2025-0108, etc.
|-
|Fortinet
|CVE-2022-40684, CVE-2024-21762, etc.
|-
|F5
|CVE-2022-1388, CVE-2023-46747, etc.
|}
Esto sugiere un actor que especializado en explotar VPNs como vector de acceso inicial para despliegue de ransomware.
----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Exploit Public-Facing Application (T1190)
|Explotación de CVE-2026-50751 en interfaz VPN pública
|-
|Initial Access (TA0001)
|Valid Accounts (T1078)
|Tras el bypass, el atacante obtiene acceso VPN legítimo
|-
|Execution (TA0002)
|Command and Scripting Interpreter (T1059)
|Ejecución de comandos en sistemas internos post-VPN
|-
|Persistence (TA0003)
|Server Software Component (T1505)
|Posible instalación de backdoors
|-
|Defense Evasion (TA0005)
|Obfuscated Files or Information (T1027)
|Malware/ransomware ofuscado
|-
|Lateral Movement (TA0008)
|Remote Services (T1021)
|Uso de la conexión VPN para moverse en la red interna
|-
|Command and Control (TA0011)
|Application Layer Protocol (T1071)
|Posible uso de Tox para C2
|-
|Impact (TA0040)
|Data Encrypted for Impact (T1486)
|Despliegue de ransomware Qilin (al menos un caso confirmado)
|}
----

== Flujo de Ataque (Cyber Kill Chain) ==
{| class="wikitable"
!Fase
!Descripción
|-
|1. Reconocimiento
|Identificación de puertas de enlace Check Point con IKEv1 habilitado (escaneo masivo)
|-
|2. Armamento
|Desarrollo/adaptación de exploit para CVE-2026-50751
|-
|3. Entrega
|Envío de solicitudes VPN maliciosas a la puerta de enlace objetivo
|-
|4. Explotación
|Ejecución del bypass de autenticación (fallo lógico en validación de certificados)
|-
|5. Instalación
|Establecimiento de conexión VPN legítima sin credenciales
|-
|6. Comando y Control
|Comunicación con infraestructura VPS (Kaupo Cloud, Shock Hosting, Vultr) posiblemente vía Tox
|-
|7. Acción sobre Objetivos
| - Reconocimiento interno de la red
- Despliegue de ransomware Qilin (Linux ELF)
- Cifrado de datos y extorsión
|}
----

== Infraestructura Utilizada ==

=== IPs de atacante identificadas (Indicadores de Compromiso) ===
{| class="wikitable"
!IP
!Proveedor de hosting
|-
|<code>45.77.149[.]152</code>
|(Vultr / otros)
|-
|<code>209.182.225[.]136</code>
|(Shock Hosting / otros)
|-
|<code>38.60.157[.]139</code>
|(Kaupo Cloud HK)
|-
|<code>162.33.177[.]101</code>
| -
|-
|<code>45.76.26[.]42</code>
| -
|-
|<code>144.208.127[.]155</code>
| -
|-
|<code>38.54.88[.]201</code>
| -
|-
|<code>38.54.107[.]167</code>
| -
|-
|<code>66.42.99[.]200</code>
| -
|-
|Añadidas el 9 de junio de 2026:
|
|-
|<code>45.63.104[.]106</code>
| -
|-
|<code>45.61.136[.]173</code>
| -
|}

=== Hashes de malware (Indicadores de Compromiso) ===
{| class="wikitable"
!Hash (MD5)
!Descripción
|-
|<code>52fda5c1b9704544f32ee98d9060e689</code>
|Binario ELF (Linux) vinculado a Qilin
|-
|<code>51d39aa39478beeac94f2d12f682ecce</code>
|Binario ELF (Linux) vinculado a Qilin
|}

=== Proveedores de infraestructura abusados ===
{| class="wikitable"
!Proveedor
!Tipo de servicio
!Ubicación típica
|-
|Kaupo Cloud HK
|VPS
|Hong Kong
|-
|Shock Hosting
|VPS
|Múltiples
|-
|Vultr Holdings
|VPS
|Global (incl. Taiwán)
|}
----

== Detalle Técnico de la Vulnerabilidad ==

=== ¿Qué es IKEv1 y por qué es un problema? ===
{| class="wikitable"
!Característica
!Descripción
|-
|IKE (Internet Key Exchange)
|Protocolo usado en VPNs IPsec para establecer asociaciones de seguridad
|-
|IKEv1
|Versión original (<nowiki>RFC 2409</nowiki>, 1998) — obsoleta
|-
|IKEv2
|Versión moderna (<nowiki>RFC 7296</nowiki>, 2014) — más segura
|-
|Problema
|IKEv1 tiene debilidades conocidas, incluyendo menor seguridad en validación de certificados
|}

=== Fallo específico (CVE-2026-50751) ===
El problema reside en un fallo lógico en la validación de certificados dentro del flujo de autenticación IKEv1:

plaintext
 Flujo normal de autenticación IKEv1:
 1. Cliente envía solicitud de conexión con credenciales (usuario/contraseña o certificado)
 2. Gateway valida credenciales
 3. Si válidas → establece sesión VPN
 
 Flujo con exploit:
 1. Atacante envía solicitud maliciosa con certificado manipulado
 2. Gateway presenta debilidad en validación lógica
 3. Gateway omite verificación de credenciales
 4. Sesión VPN establecida sin autenticación

=== Condiciones necesarias para la explotación ===
{| class="wikitable"
!Condición
!Por qué es necesaria
|-
|IKEv1 habilitado
|La vulnerabilidad solo existe en implementación IKEv1
|-
|Aceptación de clientes remotos heredados
|Configuración que permite clientes antiguos (muchas organizaciones legacy)
|-
|Sin requisito de certificado de máquina
|Si se exige certificado de máquina, el ataque falla
|}

=== Vulnerabilidad secundaria (CVE-2026-50752) ===
{| class="wikitable"
!Característica
!Descripción
|-
|Tipo
|Validación de certificados en IKEv1 para VPN sitio a sitio
|-
|Impacto potencial
|Ataque de intermediario (MITM) en comunicaciones VPN
|-
|CVSS
|7.4 (Alta)
|-
|Explotación activa
|No detectada (descubrimiento proactivo)
|-
|Productos afectados
|Security Gateways, Firewall Spark
|}

=== Descubrimiento mediante BLAST ===
Check Point utilizó BLAST (AI-Powered Code Security Platform) para:

# Revisar componentes VPN afectados
# Identificar proactivamente la CVE-2026-50752
# Corregir ambas vulnerabilidades antes de que la segunda fuera explotada

<blockquote>*"La identificación de CVE-2026-50752 subraya la importancia de combinar la inteligencia sobre amenazas, la investigación en seguridad y el análisis de código asistido por IA para detectar y corregir de forma proactiva las vulnerabilidades antes de que puedan ser utilizadas como armas."*</blockquote>
----

== Víctimas y Sectores Afectados ==
{| class="wikitable"
!Categoría
!Datos
|-
|Número de organizaciones afectadas
|"Unas pocas docenas" a nivel mundial
|-
|Distribución geográfica
|Global (con correlación geográfica IP-víctima, ej. Taiwán)
|-
|Sectores
|No especificado (típicamente cualquier organización que use VPN Check Point con IKEv1 legacy)
|-
|Víctima confirmada con ransomware
|Al menos una (vinculada a Qilin)
|-
|Productos afectados
|Mobile Access / SSL VPN, Remote Access VPN, Firewall Spark, Security Gateways
|}

=== Versiones afectadas (CVE-2026-50751) ===
{| class="wikitable"
!Versión
!Estado
|-
|R80.20.X
|EOS (End of Support) — vulnerable
|-
|R80.40
|EOS — vulnerable
|-
|R81
|EOS — vulnerable
|-
|R81.10
|EOS — vulnerable
|-
|R81.10.X
|— vulnerable
|-
|R81.20
|— vulnerable
|-
|R82
|— vulnerable
|-
|R82.00.X
|— vulnerable
|-
|R82.10
|— vulnerable
|}
Las versiones R81.20, R82, R82.00.X, R82.10 requieren actualización inmediata.
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|CVSS v3.x
|9.3 (Crítica)
|Vector: AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:H
|-
|Explotación activa
|SÍ confirmada
|Desde el 7 de mayo de 2026
|-
|Impacto técnico
|Muy Alto
|Bypass completo de autenticación VPN
|-
|Riesgo de ransomware
|Alto
|Vinculado a Qilin (al menos un caso)
|-
|Esfuerzo de explotación
|Bajo
|Remoto, sin autenticación
|-
|Detección
|Difícil
|La sesión VPN parece legítima una vez establecida
|}

=== Posibles consecuencias de un ataque exitoso ===
{| class="wikitable"
!Consecuencia
!Gravedad
|-
|Acceso no autorizado a red interna
|Crítica
|-
|Despliegue de ransomware
|Crítica (cifrado de datos, extorsión)
|-
|Robo de datos
|Alta
|-
|Movimiento lateral
|Alta
|-
|Compromiso de infraestructura crítica
|Variable (depende del objetivo)
|}

=== Comparativa con otras vulnerabilidades VPN ===
{| class="wikitable"
!Vulnerabilidad
!Proveedor
!CVSS
!Año
!Explotación activa
|-
|CVE-2026-50751
|Check Point
|9.3
|2026
|Sí
|-
|CVE-2024-3400
|Palo Alto
|10.0
|2024
|Sí
|-
|CVE-2022-40684
|Fortinet
|9.8
|2022
|Sí
|-
|CVE-2022-1388
|F5
|9.8
|2022
|Sí
|}
----

== Recomendaciones de Mitigación ==

=== Para administradores de Check Point (prioridad CRÍTICA) ===

==== 1. APLICAR PARCHE INMEDIATAMENTE ====
Actualizar todas las puertas de enlace afectadas con la corrección urgente publicada:

* Referencia SK: <code>sk185033</code> (CVE-2026-50751)
* Referencia SK: <code>sk185035</code> (CVE-2026-50752)

Enlaces oficiales:

* <nowiki>https://support.checkpoint.com/results/sk/sk185033</nowiki>
* <nowiki>https://support.checkpoint.com/results/sk/sk185035</nowiki>

==== 2. MEDIDAS DE MITIGACIÓN (SI NO SE PUEDE PARCHEAR DE INMEDIATO) ====
{| class="wikitable"
!Medida
!Descripción
|-
|Eliminar compatibilidad con clientes remotos heredados
|Deshabilitar opciones legacy en configuración VPN
|-
|Configurar autenticación VPN solo con IKEv2
|Forzar uso de protocolo moderno (no vulnerable)
|-
|Exigir certificado de máquina para conexiones
|Añadir capa adicional de autenticación
|-
|Habilitar IPS y descargar firmas
|Prevención de intrusiones actualizada
|}

==== 3. REVISIÓN FORENSE (para posibles víctimas) ====
Según Check Point:<blockquote>''"Los equipos de respuesta a incidentes deben priorizar las auditorías de registros forenses y las revisiones de configuración a partir de la fecha de explotación más temprana observada, el 7 de mayo de 2026."''</blockquote>Acciones recomendadas:

* Revisar logs de VPN desde 7 de mayo de 2026
* Buscar conexiones VPN inusuales sin autenticación exitosa
* Verificar configuraciones IKEv1 habilitadas
* Buscar indicadores de compromiso (IPs, hashes listados)

==== 4. MEDIDAS GENERALES ====

* Deshabilitar IKEv1 si no es estrictamente necesario
* Migrar a IKEv2 para todas las conexiones VPN
* Auditar configuraciones de acceso remoto y móvil
* Monitorear actividad posterior a conexiones VPN (movimiento lateral, descargas de ELF)

----

== Herramientas de Detección ==
{| class="wikitable"
!Herramienta/Capacidad
!Propósito
|-
|Logs de VPN de Check Point
|Identificar conexiones sin autenticación exitosa
|-
|IPS (con firmas actualizadas)
|Detectar intentos de explotación (Check Point ya publicó firmas)
|-
|SIEM
|Correlación de logs de VPN con actividad posterior (descargas ELF, movimientos laterales)
|-
|Threat intelligence feeds
|IPs de atacante (listadas arriba)
|-
|BLAST (Check Point)
|Análisis proactivo de código (uso interno, no disponible para clientes)
|}

=== Indicadores de búsqueda en logs ===
{| class="wikitable"
!Patrón
!Buscar
|-
|Intentos de conexión IKEv1
|Logs que muestren negociación IKEv1 sin autenticación exitosa
|-
|IPs de atacante
|Cualquiera de las IPs listadas en IoCs
|-
|Descargas de ELF
|Transferencias de archivos ELF desde IPs sospechosas
|-
|Comunicación Tox
|Tráfico al puerto/protocolo Tox (si se monitorea)
|}
----

== Antecedentes: Historial de Vulnerabilidades VPN ==
{| class="wikitable"
!Año
!Proveedor
!CVE
!Tipo
!Explotación activa
|-
|2021
|Microsoft
|CVE-2021-34527 (ProxyShell)
|RCE
|Sí
|-
|2022
|F5
|CVE-2022-1388
|RCE
|Sí
|-
|2022
|Fortinet
|CVE-2022-40684
|Auth Bypass
|Sí
|-
|2023
|Cisco
|CVE-2023-20198 (IOS XE)
|Auth Bypass
|Sí
|-
|2024
|Palo Alto
|CVE-2024-3400
|RCE
|Sí
|-
|2024
|Ivanti
|CVE-2024-21893
|SSRF → RCE
|Sí
|-
|2026
|Check Point
|CVE-2026-50751
|Auth Bypass
|Sí (Qilin ransomware)
|}
Patrón: Las VPN de acceso remoto son vectores de ataque privilegiados porque:

* Están expuestas a internet (necesariamente)
* Proporcionan acceso directo a redes internas
* Eludir autenticación = acceso casi total

----

== Opiniones de Expertos ==
<blockquote>''"Aprovechando un fallo lógico en la validación de certificados, un atacante puede establecer una sesión VPN sin poseer una contraseña válida, eludiendo así los requisitos de autenticación. Se requiere actividad adicional posterior a la autenticación para acceder a recursos internos o elevar privilegios."''

— Lotem Finkelstein, VP de Investigación, Check Point</blockquote><blockquote>''"Hasta la fecha, la explotación observada se ha limitado a unas pocas docenas de organizaciones objetivo a nivel mundial. Un caso involucró actividad posterior a la intrusión confirmada asociada con una filial del ransomware Qilin. Se recomienda encarecidamente a los clientes que utilizan el protocolo de intercambio de claves IKEv1 que apliquen de inmediato las actualizaciones de seguridad disponibles."''

— Check Point Research</blockquote><blockquote>''"Esta vulnerabilidad refleja un patrón recurrente en la industria: los protocolos legacy (como IKEv1, SSLv3, TLS 1.0) siguen siendo un lastre de seguridad años después de ser declarados obsoletos. Las organizaciones mantienen configuraciones antiguas por compatibilidad, y los atacantes lo saben. El hecho de que el mismo actor esté explotando vulnerabilidades de Palo Alto, Fortinet y F5 sugiere que estamos ante un grupo especializado en VPNs como vector de entrada para ransomware. Es una tendencia que no hará más que crecer."''

— Fernando Vargas (CiberAnalyst)</blockquote>
----

== Referencias y Fuentes ==

# Gatlan, S. (2026, 8 de junio). ''Check Point links zero-day VPN attacks to Qilin ransomware gang''. BleepingComputer.
# Check Point Research. (2026, 8 de junio). *Security Advisory: Action required - Active exploitation of Check Point VPN authentication bypass vulnerability (CVE-2026-50751)*.
# Check Point. (2026, 4 de junio). *sk185033 - CVE-2026-50751 - User Authentication bypass on VPN Remote Access and Mobile Access*.
# Check Point. (2026, 7 de junio). *sk185035 - CVE-2026-50752 VPN site to site certificate bypass vulnerability*.
# Finkelstein, L. (2026, 8 de junio). ''Security Advisory: Action required - Active exploitation of Check Point VPN authentication bypass vulnerability''.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-06-09
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en informes de BleepingComputer, Check Point Research y avisos oficiales
|}
----

== Indicadores de Compromiso (IOCs) ==

=== IPs de atacante (confirmadas) ===
{| class="wikitable"
!IP
!Proveedor asociado
|-
|<code>45.77.149.152</code>
|Vultr / otros
|-
|<code>209.182.225.136</code>
|Shock Hosting
|-
|<code>38.60.157.139</code>
|Kaupo Cloud HK
|-
|<code>162.33.177.101</code>
|—
|-
|<code>45.76.26.42</code>
|—
|-
|<code>144.208.127.155</code>
|—
|-
|<code>38.54.88.201</code>
|—
|-
|<code>38.54.107.167</code>
|—
|-
|<code>66.42.99.200</code>
|—
|-
|<code>45.63.104.106</code>
|(Añadida 9 de junio 2026)
|-
|<code>45.61.136.173</code>
|(Añadida 9 de junio 2026)
|}

=== Hashes de malware (ELF - Linux Qilin ransomware) ===
{| class="wikitable"
!Hash (MD5)
|-
|<code>52fda5c1b9704544f32ee98d9060e689</code>
|-
|<code>51d39aa39478beeac94f2d12f682ecce</code>
|}

=== Patrones de búsqueda en logs ===
{| class="wikitable"
!Indicador
!Dónde buscar
|-
|Conexiones IKEv1 exitosas sin autenticación previa
|Logs de VPN, autenticación
|-
|IPs de atacante (cualquiera de las listadas)
|Logs de firewall, VPN, IDS/IPS
|-
|Descargas de archivos ELF desde IPs externas
|Logs de proxy web, endpoint
|-
|Comunicación al puerto Tox
|Monitoreo de red (puerto 33445 por defecto)
|-
|Versión de gateway afectada
|R80.20.X a R82.10 con IKEv1 habilitado
|}

=== Comandos de verificación (Check Point) ===
bash
 # Verificar si IKEv1 está habilitado
 vpn tu status
 
 # Revisar configuración de autenticación
 vpn tu config
 
 # Buscar conexiones VPN inusuales en logs
 fw log -f "vpn" -t <fecha_inicio> | grep -E "(IKEv1|authentication bypass)"
----

== Preguntas sin respuesta ==
{| class="wikitable"
!Pregunta
!Estado
|-
|¿Cuántas organizaciones fueron realmente comprometidas (no solo atacadas)?
|No especificado ("unas pocas docenas" de organizaciones objetivo)
|-
|¿El actor detrás de Qilin es el mismo que explotó otras VPN (Palo Alto, Fortinet, F5)?
|Presunto, con confianza media
|-
|¿Hay víctimas que pagaron el rescate?
|No especificado
|-
|¿Qué versiones específicas de R82.10 son vulnerables?
|Todas las anteriores al parche del 8 de junio
|-
|¿Check Point ofrecerá parches para versiones EOS (R80.20, R80.40, R81, R81.10)?
|No especificado (se recomienda actualizar a versiones soportadas)
|}
----

== Etiquetas / Categorías ==
 check-point-vpn cve-2026-50751 cve-2026-50752 qilin-ransomware ikev1-vulnerability vpn-auth-bypass zero-day-exploitation remote-access-vpn mobile-access-vpn ransomware-as-a-service check-point-research blast-ai-security vpn-security legacy-protocols
----