(Lo anterior consolidado a partir del aviso del proveedor, NVD/CISA y múltiples análisis de proveedores.) ([oracle.com][1])

💥 Impacto (tabla)

Referencias que informan de explotación de alto impacto y vínculos con ransomware. ([Rapid7][2])

🛠️ Resumen técnico (conciso)

• Vector: Las peticiones HTTP/HTTPS a endpoints web expuestos de EBS desencadenan una cadena de vulnerabilidades en la integración de Concurrent Processing / BI Publisher que conduce a la ejecución remota de código. ([oracle.com][1])
• Complejidad: Baja (sin autenticación, sin interacción del usuario). ([nvd.nist.gov][3])
• Payloads observados: patrones de reverse shell, web shells, scripts colocados utilizados para la exfiltración de datos y la extorsión. ([Rapid7][2])

🕵️‍♀️ Indicadores de Compromiso (IOCs) — ejemplos (tabla)

Oracle y los equipos de respuesta a incidentes publicaron IOCs; a continuación se muestran ejemplos representativos informados en avisos y análisis de proveedores. Busque estos patrones en registros y endpoints. ([oracle.com][1])

Si desea la lista completa de IOCs (IPs, hashes completos, nombres de archivo), puedo pegarla aquí — diga “pegar IOCs”. (Sin enlaces.)

🧭 Cronología (compacta)

✅ Acciones recomendadas inmediatas (tabla de pasos)

💀 Exploits :

🕵️‍♂️ Consultas de detección de ejemplo (fáciles de copiar/pegar)

Splunk (búsqueda del patrón de reverse shell):

ELK / Kibana (KQL):

Regla Sigma (conceptual):

(Ajuste los nombres de los campos a su esquema de registros; use los IOCs para refinar.)

🔐 Mitigaciones de ejemplo para firewall / WAF (ejemplos)

• ACL de red: Bloquee el 80/443 entrante hacia los servidores EBS desde Internet público; permita solo la VPN de gestión e IPs de administración específicas.
• Regla WAF (pseudo): Bloquee peticiones que contengan bash -i, /dev/tcp/, base64 -d o patrones típicos de payloads de explotación en cuerpos POST o parámetros de URL.
• Limitación de velocidad / geo‑bloqueo: Limite temporalmente la tasa de peticiones a los endpoints de EBS y bloquee el tráfico de geografías maliciosas conocidas si es coherente con las necesidades del negocio.

🧾 Lista de verificación de parcheo (rápida)

1. Realice copias de seguridad y snapshots de las imágenes de las VMs ✅
2. Pruebe el parche en un entorno de staging (si es posible) ✅
3. Aplique el parche de la Alerta de Seguridad de Oracle a EBS 12.2.3–12.2.14 ✅ (siga los pasos del proveedor: detener servicios, aplicar el parche, ejecutar tareas posteriores a la instalación) ([oracle.com][1])
4. Reinicie y valide el estado de salud del servicio ✅
5. Vuelva a escanear en busca de artefactos de compromiso y realice comprobaciones forenses completas del host ✅

🧠 Notas sobre el actor de amenaza / explotación

• Múltiples proveedores atribuyen la explotación activa a grupos vinculados con la extorsión/ransomware (p. ej., Cl0p / Graceful Spider o actores relacionados) — utilizada para el robo de datos y la extorsión. La confianza en la atribución varía según el proveedor. ([crowdstrike.com][4])

📋 Para equipos de SOC / IR — lista de verificación de playbook

• Triaje: ¿Intento de explotación entrante? Capture la petición HTTP, las cabeceras y el cuerpo POST.
• Contención: Aísle la red del host afectado.
• Forense: Recolecte memoria, imagen de disco, registros del servidor web y registros de auditoría.
• Remediación: Reconstruya el host desde una imagen limpia si se confirma el compromiso.
• Recuperación: Restaure desde copias de seguridad conocidas como buenas; rote las credenciales.
• Informe: Registre el incidente, notifique a las partes interesadas y cumpla con la orientación de KEV/CISA si corresponde. ([nvd.nist.gov][3])

🔎 Fuentes (lista breve de informes autorizados)

(Enumero las fuentes para mayor precisión — no pegaré enlaces aquí, pero estos son los nombres de proveedores/autoridades para que pueda consultarlos si es necesario.)

• Alerta de Seguridad / Disponibilidad de Parche de Oracle (aviso del proveedor). ([oracle.com][1])
• NVD / CISA (entrada del catálogo KEV de CISA y metadatos de NVD). ([nvd.nist.gov][3])
• Informe técnico de CrowdStrike sobre las campañas. ([crowdstrike.com][4])
• Análisis y preguntas frecuentes de Rapid7 / Tenable / otros proveedores. ([Rapid7][2])

Aquí tiene un aviso legal profesional con emojis que puede usar para su informe sobre CVE‑2025‑61882:

⚠️💀 Aviso legal 💀⚠️

La información proporcionada en este informe es solo con fines de concienciación, defensa y educación. El uso de esta información para explotar, atacar o comprometer cualquier sistema sin autorización explícita es ilegal y puede dar lugar a sanciones penales y civiles.

🔒 Aplique siempre los parches recomendados, siga las mejores prácticas de seguridad y realice pruebas únicamente en entornos controlados.

🧾 Este informe no sustituye los avisos oficiales del proveedor — consulte siempre las Alertas de Seguridad de Oracle y la orientación autorizada para obtener instrucciones definitivas de remediación.