Rail-OT-Protector (ROP)

Escaneo de ciberseguridad gratuito y de código abierto para redes OT/SCADA de ferrocarril y tránsito.

Acerca de

Rail-OT-Protector (ROP) es un conjunto de herramientas de ciberseguridad gratuito y de código abierto diseñado para operadores ferroviarios, autoridades de tránsito, equipos de seguridad OT/ICS y respondedores de incidentes que necesitan evaluar rápidamente la exposición cibernética en redes de tecnología operativa (OT) y SCADA de ferrocarril y tránsito.

ROP incluye tanto un escáner PowerShell (hosts de salto Windows) como un escáner Bash (Linux/macOS) que barren las subredes configuradas, detectan servicios de acceso remoto y protocolos ICS expuestos, identifican interfaces heredadas vulnerables de control ferroviario y señalan indicadores de riesgo vinculados a la vulnerabilidad de enlace remoto Fin-de-Tren/Cabeza-de-Tren (EOT/HOT) CVE-2025-1727.

Todos los hallazgos se escriben en informes JSON y CSV con marca de tiempo y etiquetas de severidad CRITICAL / HIGH / MEDIUM, lo que proporciona un artefacto listo para triaje a los equipos de seguridad e ingeniería.

Palabras clave

ciberseguridad ferroviaria, seguridad OT de tránsito, escáner SCADA, escáner de vulnerabilidades ICS, CVE-2025-1727, autenticación débil EOT HOT, API SCADA RailSafe, escáner Modbus, escáner DNP3, escáner EtherNet/IP, IEC 60870-5-104, Wabtec TrainLink, Siemens Trainguard, CISA AA26-097A, endurecimiento OT ferroviario, escáner OT de código abierto, escáner ICS PowerShell, escáner SCADA Bash

Cobertura de Amenazas

Inicio Rápido

PowerShell (Windows)

# Standard full subnet scan
pwsh ./scripts/powershell/ROP.ps1 -Subnets 10.10.20.0/24,10.10.30.0/24 -OutputDir ./reports

# EOT/HOT fast-scan mode with custom timeout and threads
pwsh ./scripts/powershell/ROP.ps1 -Subnets 10.10.20.0/24 -EotHotOnly -TimeoutMs 1200 -Threads 64

Bash (Linux / macOS)

chmod +x ./scripts/bash/ROP.sh

# Standard full subnet scan
./scripts/bash/ROP.sh --subnets 10.10.20.0/24,10.10.30.0/24 --output-dir ./reports

# EOT/HOT fast-scan mode with custom timeout and threads
./scripts/bash/ROP.sh --subnets 10.10.20.0/24 --eot_hot_only --timeout-ms 1200 --threads 64

Ejemplo de Salida

[2026-08-03 21:00:14] [CRITICAL] 10.10.20.14:4510  Potential EOT/HOT remote linking service detected (CVE-2025-1727 exposure candidate)
[2026-08-03 21:00:18] [HIGH]     10.10.20.21:5900  VNC exposed on OT subnet; review remote-access controls immediately
[2026-08-03 21:00:20] [HIGH]     10.10.20.44:2404  IEC 60870-5-104 reachable from scan host
[2026-08-03 21:00:21] [HIGH]     10.10.20.55:28784 RailSafe Control Interface fingerprint matched legacy API version family
[2026-08-03 21:00:23] [HIGH]     10.10.20.62:502   Modbus service reachable from scan host
[2026-08-03 21:00:25] [MEDIUM]   10.10.20.88:22    SSH reachable from scan host

Scan complete. Findings: 6. JSON: ./reports/ROP-results-20260803-210025.json  CSV: ./reports/ROP-results-20260803-210025.csv

Estructura del Repositorio

Rail-OT-Protector/
├── CONTRIBUTING.md
├── LICENSE
├── README.md
├── SECURITY.md
├── docs/
│   ├── CISA-Reference.md
│   └── Threat-Intelligence.md
├── reports/
│   └── .gitkeep
└── scripts/
    ├── bash/
    │   └── ROP.sh
    └── powershell/
        └── ROP.ps1

FAQ

P: ¿ROP requiere privilegios de administrador/root?
R: No. ROP utiliza intentos de conexión TCP estándar — sin sockets raw, sin creación de paquetes. Se ejecuta como usuario normal tanto en Windows como en Linux.

P: ¿Esta herramienta activará alertas IDS/IPS en mi red OT?
R: Posiblemente. El escaneo a nivel de puertos es detectable. Coordine siempre con su centro de operaciones de red y obtenga autorización por escrito antes de ejecutar cualquier escaneo en una red OT de producción.

P: ¿ROP explota CVE-2025-1727?
R: No. ROP solo detecta si los puertos asociados con CVE-2025-1727 (servicios de enlace remoto EOT/HOT) son accesibles. No intenta autenticación ni envía payloads de exploit.

P: ¿Puedo ejecutarlo contra una red ferroviaria aislada (air-gapped)?
R: Sí. ROP no requiere acceso a internet. Copie el script a un host de salto dentro del entorno aislado y ejecútelo localmente.

P: ¿En qué formatos se generan los informes?
R: Tanto JSON como CSV. JSON es adecuado para la ingesta en SIEM; CSV está listo para triaje en hojas de cálculo y puede importarse en ServiceNow, Jira o plataformas de tickets similares.

P: ¿Esta herramienta es solo para ferrocarril? ¿Puedo usarla en redes OT generales?
R: Las comprobaciones de protocolos Modbus, DNP3, EtherNet/IP e IEC se aplican ampliamente a cualquier entorno OT/ICS. Las comprobaciones de RailSafe y CVE-2025-1727 son específicas del ferrocarril.

P: ¿Es gratuita para uso comercial?
R: Sí — Licencia MIT. Puede usarla, modificarla y redistribuirla en contextos comerciales con atribución.

¿Para quién es?

• Ingenieros de seguridad OT ferroviaria que necesitan instantáneas rápidas de exposición antes de auditorías o ejercicios de red team
• Equipos de TI/OT de autoridades de tránsito que responden a avisos de CISA con presupuestos de herramientas limitados
• Probadores de penetración ICS/SCADA que realizan reconocimiento inicial en entornos ferroviarios
• Respondedores de incidentes que hacen triaje de una posible intrusión en subredes de control de trenes
• Defensores de infraestructura crítica que construyen un inventario defendible de activos OT

Aviso de Seguridad y Legal

• Úselo solo en redes y activos que posea o para los que tenga autorización explícita de evaluar.
• Este proyecto es estrictamente para el descubrimiento defensivo de exposiciones.
• Los hallazgos requieren validación mediante flujos de trabajo de ingeniería y seguridad aprobados antes de cualquier cambio operativo.
• Los autores no aceptan responsabilidad alguna por el mal uso.

⭐ Apoya Este Proyecto

Si Rail-OT-Protector le ayudó a encontrar una exposición real, considere:

• ⭐ Dejar una estrella en este repositorio — ayuda a que otros en la comunidad de seguridad ferroviaria lo encuentren
• 🐛 Abrir un issue si encuentra un error o desea que se añada una nueva detección
• 🤝 Contribuir — consulte CONTRIBUTING.md
• 💬 Compartir con sus colegas de seguridad OT, equipo SOC o contactos de autoridades de tránsito

Construido por @spinfosecurity — aprendiendo al construir herramientas gratuitas que detectan y protegen infraestructura crítica.

Referencias

• Alerta CISA AA26-097A — Actores afiliados a Irán que apuntan a PLC
• PSA del FBI 2026-08-01 — Explotación de VNC
• Notas de Inteligencia de Amenazas
• Política de Seguridad
• Guía de Contribución
• Licencia MIT