Detección de CVE-2025-32433

Autor: te0rwx
Creado: 2025-08-27 (Actualizado 2026-08-16)

Descripción

Una regla YARA personalizada para detectar artefactos conocidos asociados con CVE-2025-32433, una vulnerabilidad de ejecución remota de código (RCE) antes de la autenticación en Erlang/OTP SSH.

La regla fue desarrollada y validada contra artefactos públicos de prueba de concepto (PoC) y capturas de red controladas generadas en laboratorio.

Cobertura de Detección

Esta regla detecta indicadores conocidos asociados con CVE-2025-32433, incluyendo:

• Artefactos públicos de PoC
• Ejecución de comandos en Erlang (os:cmd())
• Operaciones de escritura de archivos en Erlang (file:write_file())
• Indicadores de protocolo SSH y solicitudes de canal
• Banners de Erlang/OTP SSH
• Patrones comunes de payloads de exploits
• Artefactos de escáner asociados con CVE-2025-32433

Para reducir falsos positivos, la regla requiere múltiples indicadores relacionados antes de producir una coincidencia.

Uso

yara -r rule-cve-2025-32433_v5.yar /path/to/scan

Validación

La regla fue probada contra:

• Artefactos públicos de prueba de concepto de CVE-2025-32433
• Capturas de red controladas de laboratorio (PCAP/PCAPNG)
• Muestras benignas para verificar la especificidad de la detección

Descargo de responsabilidad

Esta regla está destinada a la investigación de seguridad defensiva y a la ingeniería de detección. Detecta artefactos de explotación conocidos y no debe considerarse un detector exhaustivo para todas las posibles implementaciones o variantes de exploits.