Un ${jndi:ldap://…} en el User-Agent contra una app Java

Señales

El WAF registra «${jndi:ldap://…}» en la cabecera User-Agent contra una app Java
El servidor hace una conexión LDAP saliente a una IP externa justo después
El proceso java lanza un /bin/sh hijo
Miles de peticiones similares desde IPs distintas

¿Qué haces primero?

▸ Ver la resolución (razonamiento, evidencia, MITRE, detección)

A) Se escanea en masa desde miles de IPs: bloquear una es inútil.
B) ✅ Correcto. El callback LDAP saliente + el java que lanza una shell confirman explotación CON ÉXITO, no un simple intento. Confirma el alcance (¿qué se descargó/ejecutó?) y mitiga el componente vulnerable.
C) Reiniciar puede borrar la evidencia en memoria y no elimina la vulnerabilidad.
D) La firma del WAF ayuda como capa extra, pero se puede ofuscar; no confirma ni remedia el compromiso.

Por qué

La diferencia clave: un intento («${jndi…}» en un log) no es un compromiso; el CALLBACK saliente y el proceso hijo sí lo confirman. Prioriza: (1) confirmar explotación con éxito por la telemetría de salida y de procesos, (2) mitigar el componente vulnerable (parche o mitigación temporal), (3) buscar persistencia y movimiento lateral. Bloquear IPs o firmas del WAF son parches de tiempo, no la cura.

Evidencia dónde mirar

Access/WAF logs: patrones jndi:ldap/rmi/dns en headers, URI o body
Conexiones salientes LDAP/RMI desde el servidor de aplicación
La JVM lanza procesos hijo inesperados (cmd/sh) y descargas posteriores (T1105)

MITRE ATT&CK

T1190 Exploit Public-Facing Application T1059 Command and Scripting Interpreter T1105 Ingress Tool Transfer

Cómo detectarlo

Regla para patrones jndi en peticiones + salida LDAP/RMI desde servidores de app + procesos hijo inesperados de la JVM.

Practícalo aquí

WAF Bypass Analizador de Logs Ver en el mapa ATT&CK

Compártelo como reto y publica luego la resolución.

Incidentes anteriores

#6 · Un empleado que se va descarga 4 GB a las 2:00 #4 · vssadmin borra las shadow copies y los ficheros mutan en masa #3 · Un login correcto entre 47 fallidos… y una app OAuth nueva #2 · MFA aprobado, pero el mismo usuario en dos continentes #1 · Una tarea programada lanza powershell -enc cada hora