Alerta máxima en la cadena de suministro: el ataque de los "Ghost NICs" contra infraestructuras de Dell

La seguridad de las infraestructuras críticas en Occidente se enfrenta a una amenaza de nivel estructural tras la detección de una campaña de ciberespionaje avanzada dirigida al hardware y virtualización de la compañía Dell. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) de Estados Unidos, en coordinación con agencias europeas, ha emitido una alerta urgente tras confirmarse la explotación de una vulnerabilidad de "día cero" (zero-day) que permite a actores estatales eludir las defensas convencionales mediante el uso de interfaces de red virtuales efímeras, conocidas técnicamente como "Ghost NICs" (tarjetas de red fantasma).

La vulnerabilidad CVE-2026-22769 y el acceso raíz

Lo que ocurre con este incidente es la explotación de una brecha crítica en el software de gestión de copias de seguridad y resiliencia RecoverPoint for Virtual Machines (RP4VMs). La vulnerabilidad, identificada como CVE-2026-22769 con una puntuación de severidad máxima de 10.0, se fundamenta en el uso de credenciales predefinidas (hardcoded) en la interfaz web de la aplicación. Esta debilidad permite que un atacante remoto no autenticado obtenga acceso total al sistema operativo subyacente y establezca una persistencia a nivel de raíz (root).

La gravedad de la situación reside en que, según las investigaciones de Mandiant y Google Threat Intelligence Group, esta vulnerabilidad ha sido explotada en silencio desde mediados de 2024 por un grupo vinculado a intereses estatales chinos, identificado como UNC6201. Durante casi dos años, los atacantes han tenido vía libre para infiltrarse en entornos virtualizados de alto valor, moviéndose lateralmente sin activar las alarmas de los sistemas de detección de intrusiones (IDS) habituales.

El sigilo de los Ghost NICs en entornos VMware

Por qué ocurre que esta técnica sea tan difícil de detectar se debe al uso creativo de la infraestructura de virtualización de VMware. Una vez que los atacantes logran el control del appliance de Dell, proceden a crear interfaces de red virtuales temporales en los servidores ESXi. Estos Ghost NICs funcionan como túneles de comunicación ocultos que permiten redirigir el tráfico y pivotar hacia otras áreas de la red interna o servicios en la nube (SaaS).

La característica definitoria de estas "tarjetas fantasma" es su naturaleza volátil: los atacantes las crean para realizar sus operaciones y las eliminan inmediatamente después, borrando así el rastro de la conexión. Esta táctica, combinada con el uso de Single Packet Authorization (SPA) a través de iptables, permite que el tráfico de comando y control permanezca invisible para los administradores de red, simulando un comportamiento legítimo del sistema operativo o de las herramientas de gestión de la infraestructura.

Implicaciones para la soberanía y la seguridad en la UE

La implicación de este ataque en la Unión Europea es crítica, dado que Dell es uno de los proveedores principales de servidores y sistemas de almacenamiento para sectores gubernamentales y de defensa. La alerta de las agencias europeas subraya que este incidente no es solo una brecha de software, sino un ataque directo a la integridad de la cadena de suministro de hardware. La capacidad de un actor estatal para mantener persistencia durante años en sistemas de backup —donde reside la información más sensible para la recuperación ante desastres— supone un riesgo existencial para la resiliencia de las instituciones públicas.

La directiva de CISA ha sido tajante: las agencias federales estadounidenses tienen apenas 72 horas para aplicar los parches, un plazo que se está replicando en las recomendaciones para infraestructuras críticas europeas. La recomendación de Dell no se limita a actualizar a la versión 6.0.3.1 HF1, sino que insta a los administradores a ejecutar scripts de remediación específicos para limpiar posibles puertas traseras, como los binarios maliciosos BRICKSTORM y GRIMBOLT, que han sido detectados en sistemas comprometidos.

Hacia un modelo de hardware "Zero Trust"

Hacia dónde apunta esta crisis es hacia un replanteamiento de la confianza en los componentes de gestión de infraestructura. Ya no basta con proteger el perímetro; la seguridad debe integrarse en el ciclo de vida del hardware. La industria se encamina hacia modelos de confianza cero aplicados al propio firmware y a las herramientas de orquestación, donde cada puerto virtual y cada credencial de administración deben ser auditables y revocables en tiempo real.

El caso de los Ghost NICs marca un punto de inflexión en la guerra cibernética de 2026. La capacidad de convertir las herramientas de resiliencia en vectores de espionaje obliga a las organizaciones a tratar sus sistemas de backup con el mismo nivel de paranoia que sus redes de producción. El despliegue de parches es el primer paso, pero la auditoría de entornos virtualizados en busca de interfaces fantasma será la prioridad de los departamentos de seguridad durante los próximos meses.