CopperDragon, un ecosistema global de ciberespionaje vinculado a China que tiene como objetivo empresas de telecomunicaciones, gobiernos e infraestructuras críticas en 21 países.
Una investigación de un año de duración realizada por Check Point Research ha vinculado tres grupos de ciberespionaje relacionados con China, los cuales tienen como objetivo organizaciones de los sectores de telecomunicaciones, gubernamental, militar, de investigación e infraestructuras críticas en 21 países de América Latina, Asia y Europa. Si bien algunos elementos de esta actividad ya se habían rastreado por separado, la investigación reveló el uso compartido de malware e infraestructura, lo que apunta a un ecosistema más amplio vinculado a una entidad que Check Point Research denomina “CopperDragon”. Esta entidad podría actuar como un “intendente digital”, proporcionando herramientas e infraestructura a diversos operadores sofisticados vinculados a China.
El estudio también amplía el alcance conocido de estas actividades —incluyendo operaciones en Asia que no habían sido documentadas anteriormente, con un enfoque particular en la India— y descubre nuevo malware para Windows y Linux, entre el que se encuentran SquadC, AnnobinDoor y SparrowShell.
Un ecosistema de ciberespionaje, tres operaciones distintas
Check Point Research ha vinculado actividades previamente asociadas a campañas independientes en tres grupos operativos: SilentDelivery, OceanGate y DarkWire. Aunque sus enfoques geográficos y métodos de ataque difieren, la infraestructura y el malware compartidos sugieren que CopperDragon podría actuar como un proveedor común, más que tratarse de un único actor de amenazas. Este hallazgo es relevante, ya que la presencia de una misma herramienta en dos ataques distintos no implica necesariamente que el mismo grupo esté detrás de ambos.
• SilentDelivery, que opera principalmente en Europa y Asia —incluyendo Alemania, Francia y la República Checa—, compromete sitios web legítimos pertenecientes a gobiernos, empresas de transporte, el sector de TI y entidades de investigación. A visitantes cuidadosamente seleccionados se les muestran advertencias falsas de certificados de Chrome, engañándolos para que instalen una supuesta «corrección» que, en realidad, despliega las puertas traseras (backdoors) SquadC o SparrowDoor.
• OceanGate revela una actividad previamente no documentada en Asia, concretamente en la India, donde los atacantes comprometieron sistemas Linux expuestos para, posteriormente, sustraer credenciales y extender su ataque a entornos Windows. Estos hallazgos ofrecen una nueva perspectiva sobre cómo los actores vinculados a «Sparrow» pueden operar tanto en Linux como en Windows dentro de una misma intrusión.
• DarkWire centra sus ataques en redes gubernamentales y de telecomunicaciones en América Latina, empleando malware recién identificado —como CopperDoor y CopperDNS—, además de herramientas destinadas al robo de credenciales, el reconocimiento y el movimiento lateral a través de redes comprometidas. Si bien la evidencia técnica no permite determinar una motivación geopolítica específica para cada ataque, Check Point Research señala que esta selección de objetivos se produce en un contexto de creciente competencia estratégica y económica entre China, Estados Unidos y los países latinoamericanos.
Una visión más amplia: las redes de telecomunicaciones, una ventana a sociedades enteras
El atractivo de las redes de telecomunicaciones trasciende con creces el compromiso de una única organización. Dependiendo de los sistemas a los que accedan los atacantes, una intrusión en una red de telecomunicaciones puede revelar quién se comunica con quién, cuándo y durante cuánto tiempo —mediante registros detallados de llamadas—, además de exponer la ubicación de los suscriptores, mensajes SMS y, potencialmente, sistemas de interceptación legal que muestran qué individuos están siendo vigilados por organismos gubernamentales o fuerzas de seguridad. Esto convierte a la infraestructura de telecomunicaciones en un activo valioso para la recopilación de inteligencia a largo plazo, elevando el impacto potencial desde el compromiso de una empresa hasta preocupaciones más amplias relacionadas con la seguridad nacional y la privacidad.
América Latina resulta especialmente relevante, ya que la actividad de DarkWire se ha concentrado en esta región, aunque intrusiones más recientes muestran que dicha actividad se está expandiendo más allá de sus fronteras. No existe una atribución específica de ataques concretos a determinados acontecimientos geopolíticos; sin embargo, estos ataques se producen en un contexto de creciente competencia estratégica y económica en la que participan China, Estados Unidos y diversos países de América Latina, donde la infraestructura gubernamental y de telecomunicaciones puede ofrecer un valor de inteligencia significativo.
La lección más amplia para quienes se encargan de la defensa es igualmente importante: las operaciones de ciberespionaje sofisticadas, cada vez con mayor frecuencia, no pueden comprenderse analizando una única familia de malware o el nombre de un actor de amenazas en particular. CopperDragon sugiere un modelo en el que proveedores especializados pueden suministrar malware e infraestructura comunes a múltiples operadores, permitiendo que campañas aparentemente inconexas, desarrolladas en distintos continentes, se nutran de un mismo ecosistema subyacente de ciberespionaje.
Según Sergey Shykevich, director de Inteligencia de Amenazas en Check Point Software: “CopperDragon nos ofrece una perspectiva más amplia sobre cómo podría estar organizado el ciberespionaje moderno, donde el uso compartido de malware e infraestructura puede servir de soporte para diversas operaciones que abarcan distintos países, plataformas y sectores”.
“El hecho de que el foco se sitúe en las redes gubernamentales y de telecomunicaciones resulta especialmente relevante, ya que la vulneración de estos entornos puede proporcionar información de inteligencia que trasciende a una única organización, exponiendo potencialmente comunicaciones, ubicaciones y actividades gubernamentales sensibles. Para los defensores, esto implica ir más allá del simple análisis de malware o la monitorización de conexiones en terminales y redes —abarcando tanto entornos Linux como Windows— y adoptar una estrategia centrada en la prevención”, agregó Sergey Shykevich.
Dicha estrategia debe apoyarse en la inteligencia sobre amenazas, la protección rápida de la infraestructura expuesta y la implementación de controles sólidos frente al robo de credenciales y el movimiento lateral.