Everest no atacó a los hospitales ni a las aerolíneas: atacó a quien les vende

Dos reclamos del mismo grupo en una semana, contra un proveedor de automatización farmacéutica y contra el catering de una gran aerolínea. En ninguno de los dos la víctima final fue atacada. Y en uno de ellos se reclama el robo de los certificados con que se firman las actualizaciones.

Qué pasó

Dos reclamos del mismo grupo de extorsión con una semana de diferencia, ambos contra proveedores y no contra los usuarios finales de sus servicios.

17 de julio — Emirates Flight Catering. Everest publicó en su portal de filtraciones un reclamo de haber vulnerado a EKFC, empresa que provee servicios de catering para una de las aerolíneas más grandes del mundo. Según el anuncio, los atacantes habrían exfiltrado ~24 GB distribuidos en 13.823 archivos: documentación corporativa, financiera, de recursos humanos, operacional y de tecnología. Entre los tipos de documento mencionados destacan los planes de continuidad de negocio y de ciberseguridad de la propia EKFC, y datos de facturación y procurement vinculados a las aerolíneas clientes.

24 de julio — Omnicell. El mismo grupo reclamó la exfiltración de ~1 TB en ~682.887 archivos de Omnicell, proveedor estadounidense de automatización farmacéutica hospitalaria con presencia en miles de hospitales y farmacias. Según el reclamo, el paquete incluye código fuente parcial del software clínico y de automatización, bases de datos SQL, respaldos completos, credenciales de acceso, certificados de firma digital, firmware de dispositivos y paquetes de despliegue usados para instalar o actualizar estos sistemas en clientes.

Ninguna de las dos empresas ha confirmado públicamente el alcance real. Como en todo reclamo de un grupo de extorsión, el estado es *pendiente de verificación*. Eso no reduce la relevancia: el tipo de activos supuestamente comprometidos representa un riesgo estructural incluso si las cifras exactas se ajustan con el tiempo.

Días después, un tercer caso completó el patrón: un fabricante ferroviario suizo con exposición reclamada de 201 GB de documentación técnica y de sistemas embarcados.

Por qué importa acá

Los hospitales chilenos y latinoamericanos dependen crecientemente de proveedores tecnológicos globales para farmacia, logística clínica e imagenología, muchas veces integrados profundamente a la red interna sin una evaluación de riesgo formalizada.

La Ley 21.663 establece obligaciones específicas para operadores de servicios esenciales —incluido el sector salud— en materia de gestión de riesgo de terceros y reporte de incidentes que afecten su cadena de suministro digital. Complementariamente, la Ley 21.719 exige resguardar información sensible de pacientes incluso cuando esta es procesada, almacenada o respaldada por proveedores fuera del territorio nacional.

El sector aviación tiene la misma lectura. Aeropuertos, aerolíneas nacionales, operadores logísticos y proveedores de servicios esenciales quedan comprendidos en el mismo marco. Las aerolíneas que contratan a un proveedor de catering no fueron atacadas, pero sus datos de facturación, contratos y posiblemente información operacional podrían estar circulando igual.

Un caso como el de Omnicell debería activar, en cualquier institución de salud regional que utilice sus productos, un proceso formal de verificación con el proveedor y una revisión de los mecanismos de actualización de firmware vigentes. No cuando se confirme: ahora.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1195.002 — El escenario que habilitan los certificados y paquetes de despliegue reclamados en Omnicell.
• T1553.002 — Una actualizacion firmada con el certificado del proveedor pasa todos los controles de confianza.
• T1078 — Patron operativo habitual de Everest: credenciales validas compradas o robadas.
• T1213 — Repositorios de codigo y bases de datos identificados en la fase de reconocimiento.
• T1567 — Exfiltracion masiva antes de anunciar la venta como mecanismo de presion.

title: Actualizacion de firmware o software fuera del calendario acordado
id: 8b6d4e27-91c5-42fa-b7e0-5d3a9c8f1246
status: experimental
description: >
  En un compromiso de cadena de suministro el paquete malicioso llega firmado y por el
  canal correcto. Lo que delata no es la firma sino el momento: una actualizacion que
  nadie agendo, o una comunicacion de "mantenimiento urgente" no solicitada.
author: Vantis Chile SpA
date: 2026/07/26
logsource:
  category: process_creation
detection:
  instalador:
    Image|endswith:
      - '\msiexec.exe'
      - '\dism.exe'
      - '\pnputil.exe'
    CommandLine|contains:
      - 'firmware'
      - '/update'
      - '/i '
  origen_no_validado:
    CommandLine|contains:
      - '\Users\'
      - '\Temp\'
      - '\Downloads\'
      - 'http://'
  condition: instalador and origen_no_validado
falsepositives:
  - Instalaciones legitimas ejecutadas desde el escritorio de un tecnico. Deberian
    provenir del repositorio interno de paquetes; si no existe ese repositorio, esa
    es la brecha de proceso a cerrar antes que la regla.
level: high
tags:
  - attack.initial_access
  - attack.t1195.002
  - attack.t1553.002

// Dispositivos medicos y de automatizacion: trafico y actualizaciones inesperadas
let ventana = 60d;
// Ajustar al segmento donde viven gabinetes, bombas y equipamiento clinico
let redes_dispositivos = dynamic(["10.80.0.0/16"]);
union isfuzzy=true
 (DeviceNetworkEvents
    | where Timestamp > ago(ventana)
    | where ipv4_is_in_any_range(LocalIP, redes_dispositivos)
    | where not(ipv4_is_in_any_range(RemoteIP, redes_dispositivos))
    | summarize Conexiones = count(), Destinos = make_set(RemoteUrl, 15)
            by DeviceName, bin(Timestamp, 1d)
    | extend Senal = "dispositivo clinico saliendo de su segmento"),
 (DeviceFileEvents
    | where Timestamp > ago(ventana)
    | where FileName endswith ".msi" or FileName endswith ".bin" or FileName endswith ".fw"
    | where FolderPath has_any ("Temp", "Downloads", "Users")
    | summarize Conexiones = count(), Destinos = make_set(FolderPath, 10)
            by DeviceName, bin(Timestamp, 1d)
    | extend Senal = "paquete de actualizacion fuera del repositorio interno")
| order by Timestamp desc

INVENTARIO VIVO DE PROVEEDORES CON ACCESO
Una fila por proveedor. Se revisa cada trimestre, no una vez al ano.

  1. Nombre del proveedor y contacto tecnico responsable
  2. Que sistema o dispositivo instalo, y en que segmento de red vive
  3. Tiene acceso remoto permanente?  SI / NO / SOLO EN VENTANA ACORDADA
  4. Puede empujar actualizaciones de forma automatica?  SI / NO
  5. Que datos nuestros procesa, almacena o respalda, y en que pais
  6. Subcontrata parte del servicio? A quien?      <- esta es la de cuarto nivel
  7. Clausula contractual de notificacion de incidentes: SI / NO, y en cuantas horas
  8. Fecha de la ultima evidencia de controles que nos entrego por escrito
  9. Nivel de exposicion:  CRITICO / ALTO / MEDIO / BAJO
 10. Que pasa con nuestra operacion si este proveedor se detiene dos semanas

CRITERIO DE LECTURA
  · Fila 3 en SI permanente + fila 4 en SI  =  el proveedor puede ejecutar codigo
    en tu red cuando quiera. Eso exige contrato, no confianza.
  · Fila 6 vacia significa que no sabes, no que no subcontrate.
  · Fila 8 con mas de un anio  =  la evidencia caduco.
  · Fila 10 sin respuesta  =  no tienes plan de continuidad, tienes suerte.

Fuentes

• MITRE ATT&CKT1195.002 — Compromise Software Supply Chain
• MITRE ATT&CKT1553.002 — Subvert Trust Controls: Code Signing
• BCNLey 21.663, Ley Marco de Ciberseguridad
• BCNLey 21.719 sobre protección de datos personales

Relacionado