Actores cibernéticos vinculados al gobierno chino despliegan herramientas híbridas para la exfiltración de datos

Desde al menos mediados de enero de 2021, una operación de ciberespionaje vinculada a la República Popular China ha estado activa, combinando el uso de botnets a gran escala, infraestructura de red privada virtual (VPN) y herramientas personalizadas para el acceso y la exfiltración de datos. La actividad ha sido documentada en un aviso conjunto publicado por la Cybersecurity and Infrastructure Security Agency (CISA) el 8 de octubre de 2026, junto con el FBI, la NSA, el NCSC-UK, ASD’s ACSC, el Canadian Centre for Cyber Security, la NPA y NCO de Japón, el NCSC-NZ y el CNI de España.

Los objetivos de estos ataques abarcan sectores críticos en Estados Unidos, incluyendo servicios y facilidades gubernamentales, manufactura crítica, salud pública, tecnología de la información, fuerzas del orden, instituciones educativas y organizaciones religiosas. Además, se han identificado víctimas en el sudeste asiático, África y América del Norte. La firma Integrity Technology Group, con sede en China, ha sido señalada como facilitadora de estas operaciones, desarrollando y adquiriendo herramientas cibernéticas, así como proporcionando infraestructura para los ataques.

La metodología de los atacantes es multifacética. Utilizan herramientas de escaneo de código abierto como BBScan, dirsearch y NMAP para identificar vulnerabilidades en puertos comunes (21, 22, 53, 80, 443, 1080) y aplicaciones web. Han explotado CVEs conocidos en software como GNU Bash, ProFTPD, ISC BIND 9.x, Apache Struts, Pulse Connect Secure, GitLab, ONLYOFFICE DocumentServer y Strapi. Para el acceso inicial, emplean ataques de cross-site scripting (XSS) y password spraying contra servidores Microsoft Exchange y entornos de Microsoft Office 365, utilizando una herramienta denominada EBurst.

La persistencia en las redes comprometidas se logra mediante la instalación de clientes de software VPN legítimo, como SoftEther, que se disfrazan con nombres de ejecutables de Windows como conhost.exe o dllhost.exe. Esto les permite mantener el acceso remoto y ofuscar las comunicaciones de comando y control. La recolección y exfiltración de datos se lleva a cabo a través de scripts personalizados, como Curlc4.txt, que interactúa con la API de Microsoft EWS para extraer correos electrónicos y contenido de buzones, y office-cli para el acceso automatizado a cuentas de Outlook 365. También se ha observado el uso de DC.exe para realizar la técnica de replicación DCSync y extraer información sensible del Directorio Activo, incluyendo credenciales y detalles de membresía de grupos.

Las organizaciones afectadas deben priorizar la implementación de mitigaciones clave. Estas incluyen la desactivación de servicios y puertos no utilizados, la higienización de las entradas de aplicaciones web para prevenir ataques de inyección, la obligatoriedad de la autenticación multifactor (MFA) para todos los servicios posibles, y la aplicación oportuna de parches y actualizaciones de seguridad. Se recomienda también la monitorización de cuentas en la nube, la revisión de registros de acceso de aplicaciones web y la segmentación de redes para limitar el impacto de posibles compromisos.