pentesting/grupofrisa/explotacion-pase3.md

Explotación Pase 3 - Grupo Frisa

Objetivo: https://grupofrisa.com IP Principal: 35.215.119.143 (Google Cloud) Fecha: 2026-03-26 Empresa: ADMINISTRACIÓN DE SERVICIOS ESPECIALIZADOS ASESA SA DE CV

Resumen

Tercer pase agresivo de Grupo Frisa. Se descubrió PostgreSQL 5432 abierto además de MySQL, SMTP con VRFY habilitado (enumeración de usuarios de correo), Dovecot POP3/IMAP expuestos, SG Security activó captcha bloqueando nuestros escaneos (buena detección), y se confirmó que Duplicator plugin está instalado. OWA/Webmail server (187.176.187.250) está completamente firewalled.

Nuevos Hallazgos

ALTOS

A5 — PostgreSQL 5432 Expuesto a Internet

• Severidad: ALTA
• IP: 35.215.119.143:5432
• Estado: Puerto abierto, banner detectado
• Impacto: Segundo motor de base de datos expuesto (además de MySQL 8.4.6). Posiblemente usado por una aplicación interna. Brute force viable.
• CVSS: 7.5

A6 — SMTP con VRFY Habilitado (Enumeración de Usuarios)

• Severidad: ALTA
• Servidor: gcam1258.siteground.biz (SiteGround)
• Puertos: 25, 465, 587
• VRFY: Activo — responde a solicitudes de verificación de usuarios
• SMTP Banner: Exim (SiteGround) con limits MAILMAX=1000 RCPTMAX=50000
• Impacto: Permite enumerar cuentas de correo válidas del dominio para ataques de phishing dirigido
• CVSS: 6.5

A7 — POP3/IMAP Expuestos (Dovecot)

• Severidad: ALTA
• Puertos: 110 (POP3), 143 (IMAP), 465, 587, 993, 995
• Banner IMAP: Dovecot con LOGINDISABLED (requiere STARTTLS — correcto)
• STARTTLS: Funcional (A001 OK Begin TLS negotiation now)
• Capacidades expuestas: SORT, THREAD, MULTIAPPEND, COMPRESS, QUOTA, PREVIEW, SNIPPET
• Impacto: 6 puertos de correo abiertos amplían superficie de ataque
• CVSS: 6.0

A8 — Duplicator Plugin Instalado

• Severidad: ALTA
• Evidencia: REST API endpoint /duplicator/v1/versions existe (bloqueado por SG Captcha)
• Riesgo: Duplicator genera backups .zip del sitio completo (BD + archivos). Si algún backup queda accesible, compromete todo.
• Rutas comunes: installer.php, wp-snapshots/, backups-dup-lite/, backups-dup-pro/ — todos retornan 202 (SG Captcha, no 404)
• Nota: SG Security captcha dificulta verificación, pero el hecho de que no retornen 404 sugiere que podrían existir
• CVSS: 6.5

MEDIOS

M7 — SG Security Captcha Detectó Escaneos

• Severidad: MEDIA (positivo para defensa)
• Comportamiento: Tras múltiples requests a REST API, SG Security redirige a /.well-known/sgcaptcha/ con HTTP 202
• Impacto: Buena detección de escaneos automatizados. Sin embargo, un atacante paciente puede evadir ajustando rate/headers.
• CVSS: N/A (observación de defensa)

M8 — OWA Subdominio Descubierto

• Severidad: MEDIA
• Subdominio: owa.grupofrisa.com → 187.176.187.250 (misma IP que webmail)
• Estado: Completamente inaccesible (todos los puertos cerrados/rechazados)
• Impacto: OWA (Outlook Web Access) sugiere Exchange On-Premise en algún momento. El servidor está firewalled correctamente.
• CVSS: 3.0

M9 — Autodiscover Apunta a Office 365

• Severidad: MEDIA
• Record: autodiscover.grupofrisa.com → autodiscover.outlook.com
• Impacto: Confirma uso de Microsoft 365 para correo corporativo
• CVSS: 2.0

M10 — wp-admin/install.php Confirma WordPress 6.9.4

• Severidad: MEDIA
• URL: https://grupofrisa.com/wp-admin/install.php → HTTP 200
• Contenido: "Ya instalado" — confirma WP activo y versión 6.9.4 via CSS refs
• CVSS: 3.1

INFORMATIVOS

I5 — Portafolio Inmobiliario Expuesto via REST API

• 11 proyectos inmobiliarios accesibles programáticamente:
  • Multiplaza Tuxtepec, Lindavista, Las Palmas, Cancún, Puerto Aventuras, Arco Norte, Aragón
  • El Triángulo, Multiplaza Arboledas, Magnocentro, Mundo E
• Información de negocio scrapeable masivamente

I6 — Servidor Webmail/OWA Completamente Firewalled

• IP 187.176.187.250: todos los puertos cerrados/rechazados desde internet
• Buena práctica de seguridad

I7 — FTP Dedicado (200.94.123.171) Firewalled

• Todos los puertos escaneados cerrados
• Solo resuelve DNS, sin servicios accesibles

Resumen Acumulado — Grupo Frisa (3 Pases)

Severidad	Pase 1	Pase 2	Pase 3	Total
Crítica	0	0	0	0
Alta	0	4	4	8
Media	6	6	4	16
Info	0	4	3	7
Total	6	14	11	31 hallazgos

Cadena de Ataque Actualizada

1. Enumerar usuarios WP: ipa-at7-dev, enriqueti, recursos-humanos
2. SMTP VRFY → enumerar cuentas de correo válidas
3. Brute force wp-login.php con usuarios conocidos
4. MySQL 8.4.6 + PostgreSQL 5432 abiertos → brute force BD
5. Duplicator backups → si accesibles = backup completo
6. .env / wp-config.php.bak en disco (403 pero presentes) → bypass potential
7. GlobalProtect VPN → si PAN-OS vulnerable = RCE (CVE-2024-3400)

Recomendaciones Adicionales

1. URGENTE: Cerrar PostgreSQL 5432 a internet
2. URGENTE: Deshabilitar VRFY en SMTP
3. ALTA: Verificar que no existan backups de Duplicator accesibles
4. ALTA: Eliminar archivos sensibles del webroot (.env, .env.bak, wp-config.php.bak, etc.)
5. ALTA: Actualizar PAN-OS de GlobalProtect VPN
6. MEDIA: Fortalecer DMARC (pct=100, sp=reject, p=reject)