Fernando.VH en 14:33 19 ene 2026

2026-01-19T14:33:03Z

← Revisión anterior		Revisión del 14:33 19 ene 2026
Línea 250:		Línea 250:
	== '''Etiquetas / Categorías''' ==		== '''Etiquetas / Categorías''' ==
	vertex-ai gcp cloud-security privilege-escalation misconfiguration torchserve ray mitre-attack service-account abuse cve-2023-43654 gcp-2023-029 cloud-iam ai-security		vertex-ai gcp cloud-security privilege-escalation misconfiguration torchserve ray mitre-attack service-account abuse cve-2023-43654 gcp-2023-029 cloud-iam ai-security

			[[Categoría:CAMPAÑAS\|CAMPAÑAS]]

Fernando.VH: descripción de campaña Vertex Abuse

2026-01-19T14:31:00Z

descripción de campaña Vertex Abuse

Página nueva

= '''Vertex AI – Abuso de Configuraciones Predeterminadas (CVE-2023-43654 en actividad reciente)''' =
----

== '''Nombres Alternativos / Aliases''' ==

* Vertex AI Default Misconfiguration Abuse Campaign
* Google Vertex AI Privilege Escalation Campaign
* Vertex AI Service Agent Hijacking
* Ray on Vertex AI Viewer-to-Root Abuse
* TorchServe Management API Exposure Abuse

----

== '''Fecha de Detección / Actividad''' ==

* '''Fecha de Detección:''' Enero 2026
* '''Período de Actividad Observado:''' Actividad reciente y activa en entornos cloud
* '''Fuente de Divulgación:''' Investigación de XM Cyber (enero 2026)
* '''Estado:''' Activa (abuso de configuraciones por defecto, no explotación de zero-day)

----

== '''Actor de Amenaza (Atribución)''' ==

* '''Atribución:''' No atribuida formalmente
* '''Tipo de Actor:'''
** Atacantes cloud-native
** Threat actors con acceso inicial válido (low-privileged users)
* '''Motivación:'''
** Escalamiento de privilegios
** Acceso a datos sensibles (LLM, GCS, BigQuery)
** Persistencia y abuso de identidades cloud
* '''Nivel de Sofisticación:''' Medio–Alto
* '''Región de Operación:''' No específica (impacto global en proyectos GCP mal configurados)

----

== '''Resumen Ejecutivo''' ==
Esta campaña documenta el '''abuso activo de configuraciones predeterminadas en Google Vertex AI''', donde usuarios con permisos mínimos pueden '''escalar privilegios y secuestrar agentes de servicio con permisos amplios'''.

Aunque '''CVE-2023-43654''' y '''GCP-2023-029''' fueron divulgadas en 2023 y cuentan con mitigaciones oficiales, investigaciones recientes confirman que '''estos vectores siguen siendo utilizados en 2026''' como parte de '''cadenas de ataque modernas''', especialmente cuando se combinan con '''roles IAM excesivamente permisivos''' y '''servicios administrativos expuestos'''.

Los ataques observados no dependen de vulnerabilidades nuevas, sino de '''suposiciones inseguras sobre valores por defecto''', permitiendo escenarios de:

* Ejecución remota de código (RCE)
* Robo de tokens desde metadatos
* Acceso no autorizado a Cloud Storage y BigQuery
* Acceso root a nodos de Ray en Vertex AI

----

== '''Vectores de Ataque''' ==

* '''Abuso de Roles IAM de Solo Lectura'''
* '''Delegación Confusa de Agentes de Servicio'''
* '''Exposición de APIs Administrativas'''
* '''Configuraciones predeterminadas inseguras'''
* '''Acceso a Metadata Server desde workloads'''
* '''Uso indebido de Ray Interactive Shell'''
* '''API Management de TorchServe expuesta'''

----

== '''Técnicas, Tácticas y Procedimientos (TTPs)''' ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica
!Descripción
|-
|Acceso Inicial (TA0001)
|Valid Accounts (T1078)
|Uso de credenciales legítimas con permisos mínimos
|-
|Ejecución (TA0002)
|Command Execution (T1059)
|Ejecución de código vía herramientas inyectadas o shell interactivo
|-
|Escalamiento de Privilegios (TA0004)
|Abuse of Cloud Service Roles (T1068)
|Secuestro de agentes de servicio
|-
|Acceso a Credenciales (TA0006)
|Cloud Instance Metadata API (T1552.005)
|Robo de tokens desde metadata
|-
|Descubrimiento (TA0007)
|Cloud Service Discovery (T1087)
|Enumeración de recursos persistentes y motores
|-
|Movimiento Lateral (TA0008)
|Cloud Resource Access (T1021)
|Acceso a GCS y BigQuery
|-
|Impacto (TA0040)
|Data Access (T1530)
|Lectura y escritura de datos sensibles
|}
----

== '''Flujo de Ataque (Kill Chain)''' ==
'''1. Acceso Inicial'''

El atacante obtiene acceso legítimo con permisos mínimos como:

* <code>aiplatform.persistentResources.list</code>
* <code>aiplatform.reasoningEngines.update</code>

'''2. Descubrimiento'''

Enumeración de:

* Motores de razonamiento
* Clústeres Ray
* Recursos persistentes

'''3. Explotación Lógica'''

* Inyección de herramientas maliciosas en Agent Engine
* Acceso al shell root en Ray on Vertex AI
* Acceso a APIs administrativas de TorchServe

'''4. Escalamiento de Privilegios'''

Robo del token del agente de servicio desde metadata server

'''5. Acciones en Objetivo'''

* Acceso a GCS (lectura/escritura)
* Acceso a BigQuery
* Lectura de memorias y chats LLM
* Persistencia mediante credenciales cloud

----

== '''Infraestructura Utilizada''' ==
{| class="wikitable"
!Tipo
!Características
!Propósito
|-
|Vertex AI Agent Engine
|Contenedores gestionados
|Ejecución de herramientas
|-
|Ray on Vertex AI
|Clúster escalable
|Acceso root al nodo master
|-
|TorchServe
|API de gestión expuesta
|Carga de modelos y RCE
|-
|Metadata Server
|Tokens de servicio
|Escalamiento IAM
|-
|GCS / BigQuery
|Recursos cloud
|Exfiltración y persistencia
|}
----

== '''Objetivos y Sectores Atacados''' ==

* '''Objetivo Principal:''' Proyectos GCP con Vertex AI mal configurado
* '''Sectores Impactados:'''
** Tecnología
** Finanzas
** Investigación
** IA / Machine Learning
* '''Tipo de Organización:''' Empresas que adoptan Vertex AI sin hardening adicional

----

== '''Impacto y Riesgo''' ==

* '''Nivel de Riesgo:''' Alto
* '''Impacto Potencial:'''
** Compromiso total del entorno Vertex AI
** Acceso a datos sensibles y modelos
** Persistencia cloud a largo plazo
** Abuso financiero de recursos
* '''Carácter de la Amenaza:'''
** No depende de zero-days
** Difícil de detectar si no se auditan roles y metadata

----

== '''Recomendaciones de Mitigación''' ==

* Revocar permisos innecesarios a agentes de servicio
* Implementar '''roles IAM personalizados'''
* Restringir acceso a metadata server
* Deshabilitar '''Ray interactive shell'''
* Validar y auditar código de herramientas en Agent Engine
* Asegurar que:
** <code>management_address = 127.0.0.1</code>
** <code>allowed_urls</code> esté explícitamente configurado
* Actualizar TorchServe a '''≥ 0.8.2'''
* Monitorear eventos de acceso a metadata

----

== '''Herramientas de Detección''' ==

* Google Security Command Center
* Agent Engine Threat Detection
* Cloud Audit Logs (IAM + AI Platform)
* SIEM con reglas personalizadas
* Scripts de auditoría IAM (read-only)
* Monitoreo de acceso a metadata server

----

== '''Referencias y Fuentes''' ==

* XM Cyber – Vertex AI Privilege Escalation Research (2026)
* CVE-2023-43654 – TorchServe
* GCP-2023-029 – Google Advisory
* TorchServe 0.8.2 Release Notes
* MITRE ATT&CK Framework
* Documentación oficial de Vertex AI

----

== '''Historial de Revisiones''' ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios
|-
|2026-01-17
|1.0
|Fernando Vargas
|Creación inicial de campaña
|}
----

== '''Indicadores de Compromiso (IOC)''' ==

* APIs administrativas accesibles externamente
* Acceso no esperado a metadata server
* Uso de <code>open-ray-cluster</code> por usuarios Viewer
* Tokens de agentes usados fuera de contexto
* Accesos anómalos a GCS / BigQuery desde Vertex AI

----

== '''Etiquetas / Categorías''' ==
vertex-ai gcp cloud-security privilege-escalation misconfiguration torchserve ray mitre-attack service-account abuse cve-2023-43654 gcp-2023-029 cloud-iam ai-security

Vertex Abuse - Historial de revisiones

Fernando.VH en 14:33 19 ene 2026

Fernando.VH: descripción de campaña Vertex Abuse