Cuando escuchas hablar de ShadowPad, sabes que no estás frente a un malware cualquiera. Durante años ha sido una de las herramientas favoritas de grupos de espionaje vinculados al Estado chino, y ahora volvió a escena explotando una vulnerabilidad crítica en Windows Server Update Services (WSUS).
Si administras servidores Windows o gestionas infraestructura empresarial, este caso te interesa directamente. Y desde TecnetOne te explicamos, sin tecnicismos innecesarios, cómo funciona este ataque, por qué es tan peligroso y qué debes hacer cuanto antes para proteger tus sistemas.
Según el análisis del AhnLab Security Intelligence Center (ASEC), actores maliciosos comenzaron a aprovechar una vulnerabilidad recién parcheada en WSUS, catalogada como CVE-2025-59287, para obtener acceso inicial a servidores Windows.
WSUS es el servicio que permite distribuir actualizaciones dentro de una red corporativa. Es decir, es un punto crítico por el que pasan parches y software confiable. Y precisamente por eso, se convierte en una presa muy atractiva para cualquier grupo de atacantes.
Lo grave de este caso es que con esta vulnerabilidad pueden lograr ejecución remota de código con privilegios de sistema, es decir, el control total del servidor.
Una vez explotada la vulnerabilidad, los atacantes utilizaron PowerCat, una utilidad basada en PowerShell que funciona como Netcat, para obtener una shell remota del servidor.
Este tipo de herramientas son legales, de uso común en administración de sistemas, lo que dificulta que un antivirus las detecte como maliciosas.
Luego, con privilegios ya asegurados, descargaron ShadowPad utilizando dos comandos muy conocidos:
Esta combinación de herramientas “normales” hace que el ataque pase desapercibido en muchas empresas, especialmente aquellas sin monitoreo avanzado.
ShadowPad no es malware común. Es un backdoor modular usado casi exclusivamente por grupos de espionaje chino. SentinelOne lo llegó a describir como “una obra maestra del malware utilizado en operaciones de espionaje privado”.
Entre sus capacidades están:
ShadowPad es considerado el sucesor de PlugX, otro malware histórico usado por APTs (grupos de amenazas persistentes avanzadas) del entorno chino.
Y aunque en este caso concreto aún no se atribuye el ataque a ningún grupo conocido, la elección de ShadowPad da una pista clara del nivel del adversario.
ShadowPad se instaló mediante el exploit CVE-2025-59287 (Fuente: The Hacker News)
Para ejecutar ShadowPad dentro del sistema comprometido, los atacantes utilizaron una técnica llamada DLL side-loading.
Esta consiste en introducir una DLL maliciosa dentro de la misma ruta donde un programa legítimo espera una biblioteca oficial.
El proceso en este ataque fue así:
Este es uno de los métodos favoritos de los grupos APT porque evita detecciones basadas en archivos y dificulta el análisis forense posterior.
Una vez instalado, ShadowPad activa su módulo central, que:
Con esto, los atacantes ya tienen control completo del sistema y una puerta trasera persistente, incluso si reinicias el servidor o cambias ciertas configuraciones.
Para organizaciones sin monitoreo avanzado, la intrusión puede pasar desapercibida durante semanas o meses.
Como suele pasar, una vez que se publicó la prueba de concepto (PoC) del exploit para este CVE, la explotación masiva no tardó ni 48 horas.
Actores maliciosos comenzaron a escanear Internet para encontrar instancias de WSUS expuestas. Según ASEC, muchos de estos servidores fueron atacados de forma automatizada:
También se detectó que, en algunos casos, los atacantes instalaban Velociraptor, una herramienta legítima usada en análisis forense y seguridad, probablemente para estudiar mejor el entorno o validar si la víctima valía la pena.
Conoce más: Solución de Problemas en Windows 365
Si administras servidores Windows, especialmente si usas WSUS para actualizaciones internas, este incidente debería encender todas tus alarmas.
Porque esta vulnerabilidad:
Es decir, un escenario perfecto para espionaje corporativo, sabotaje, robo de información o movimientos laterales hacia activos más críticos.
Y no se trata solo de grandes empresas: cualquier organización con WSUS expuesto o mal configurado es un objetivo viable.
Para evitar que ShadowPad u otros actores exploten esta vulnerabilidad, te recomendamos:
El ataque con ShadowPad explotando una vulnerabilidad crítica en WSUS no es un incidente más. Es una señal clara de cómo evoluciona el espionaje digital y de lo fácil que puede ser comprometer infraestructura corporativa cuando un solo servicio queda desprotegido.
En TecnetOne te insistimos siempre en lo mismo: la velocidad de defensa debe igualar la velocidad del ataque. Y casos como este lo demuestran.
Actualizar, monitorear y revisar a fondo tu infraestructura ya no es una opción, es una obligación para evitar que un grupo sofisticado tome el control total de tus sistemas.