{"id":735,"date":"2026-05-01T16:48:23","date_gmt":"2026-05-01T16:48:23","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/01\/hackers-vinculados-a-china-atacan-a-gobiernos-asiaticos-estados-de-la-otan-periodistas-y-activistas-cyberdefensa-mx\/"},"modified":"2026-05-01T16:48:23","modified_gmt":"2026-05-01T16:48:23","slug":"hackers-vinculados-a-china-atacan-a-gobiernos-asiaticos-estados-de-la-otan-periodistas-y-activistas-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/01\/hackers-vinculados-a-china-atacan-a-gobiernos-asiaticos-estados-de-la-otan-periodistas-y-activistas-cyberdefensa-mx\/","title":{"rendered":"Hackers vinculados a China atacan a gobiernos asi\u00e1ticos, Estados de la OTAN, periodistas y activistas \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Investigadores de ciberseguridad han revelado detalles de una nueva campa\u00f1a de espionaje alineada con China dirigida a sectores gubernamentales y de defensa en todo el sur, este y sudeste de Asia, junto con un gobierno europeo perteneciente a la OTAN.<\/p>\n

Trend Micro ha atribuido la actividad a un grupo de actividades de amenazas que rastrea bajo la designaci\u00f3n temporal. SOMBRA-TIERRA-053<\/strong>. Se considera que el colectivo adversario est\u00e1 activo desde al menos diciembre de 2024, aunque comparte cierto nivel de superposici\u00f3n de red con CL-STA-0049, Earth Alux y REF7707.<\/p>\n

\u00abEl grupo explota las vulnerabilidades del d\u00eda N en los servidores Microsoft Exchange y Internet Information Services (IIS) conectados a Internet (por ejemplo, la cadena ProxyLogon), luego implementa shells web (Godzilla) para acceso persistente y prepara implantes ShadowPad a trav\u00e9s de la descarga de DLL de ejecutables firmados leg\u00edtimos\u00bb, investigadores de seguridad Daniel Lunghi y Lucas Silva dicho<\/a> en un an\u00e1lisis.<\/p>\n

Los objetivos de las campa\u00f1as incluyen Pakist\u00e1n, Tailandia, Malasia, India, Myanmar, Sri Lanka y Taiw\u00e1n. El \u00fanico pa\u00eds europeo que figura en la huella victimol\u00f3gica del actor de amenazas es Polonia.<\/p>\n

El proveedor de ciberseguridad dijo que observ\u00f3 casi la mitad de los objetivos de SHADOW-EARTH-053, particularmente aquellos en Malasia, Sri Lanka y Myanmar, tambi\u00e9n comprometidos anteriormente por un conjunto de intrusiones relacionado denominado SHADOW-EARTH-054, aunque no se ha observado evidencia de coordinaci\u00f3n operativa directa.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El punto de partida de los ataques es la explotaci\u00f3n de fallos de seguridad conocidos para violar sistemas sin parches y lanzar web shells como Godzilla para facilitar el acceso remoto persistente. Los web shells funcionan como un veh\u00edculo de entrega para la ejecuci\u00f3n de comandos, lo que permite el reconocimiento y, en \u00faltima instancia, da como resultado la implementaci\u00f3n de la puerta trasera ShadowPad a trav\u00e9s de AnyDesk. El malware se inicia mediante carga lateral de DLL.<\/p>\n

En al menos un caso, se dice que la utilizaci\u00f3n de React2Shell (CVE-2025-55182) como arma facilit\u00f3 la distribuci\u00f3n de una versi\u00f3n Linux de Noodle RAT (tambi\u00e9n conocido como ANGRYREBEL y Nood RAT). Vale la pena mencionar aqu\u00ed que Google Threat Intelligence Group (GTIG) vincul\u00f3 esta cadena de ataque a un grupo conocido como UNC6595.<\/p>\n

\"\"<\/a><\/div>\n

Tambi\u00e9n se utilizan herramientas de tunelizaci\u00f3n de c\u00f3digo abierto como IOX, GO Simple Tunnel (GOST) y Wstunnel, as\u00ed como RingQ para empaquetar archivos binarios maliciosos y evadir la detecci\u00f3n. Para facilitar la escalada de privilegios, se ha descubierto que SHADOW-EARTH-053 utiliza Mimikatz, mientras que el movimiento lateral se logra utilizando un iniciador de protocolo de escritorio remoto (RDP) personalizado y una implementaci\u00f3n C# de SMBExec conocida como <\/a>Sharp-SMBExec<\/a>.<\/p>\n

\u00abEl principal vector de entrada utilizado en esta campa\u00f1a fueron las vulnerabilidades en las aplicaciones IIS conectadas a Internet\u00bb, afirm\u00f3 Trend Micro. \u00abLas organizaciones deben priorizar la aplicaci\u00f3n de las \u00faltimas actualizaciones de seguridad y parches acumulativos a Microsoft Exchange y cualquier aplicaci\u00f3n web alojada en IIS\u00bb.<\/p>\n

\u00abEn escenarios donde la aplicaci\u00f3n de parches inmediatos no es factible, recomendamos encarecidamente implementar sistemas de prevenci\u00f3n de intrusiones (IPS) o firewalls de aplicaciones web (WAF) con conjuntos de reglas espec\u00edficamente ajustados para bloquear intentos de explotaci\u00f3n contra estos conocidos CVE (parches virtuales)\u00bb.<\/p>\n

GLITTER CARP y SEQUIN CARP persiguen a activistas y periodistas<\/h3>\n

La divulgaci\u00f3n se produce cuando Citizen Lab se\u00f1al\u00f3 una nueva campa\u00f1a de phishing emprendida por dos actores de amenazas distintos afiliados a China que apuntan y se hacen pasar por periodistas y la sociedad civil, incluidos activistas de la di\u00e1spora uigures, tibetanos, taiwaneses y de Hong Kong. Las campa\u00f1as de amplio alcance se detectaron por primera vez en abril y junio de 2025, respectivamente.<\/p>\n

Los grupos han sido nombrados en c\u00f3digo. CARPA BRILLANTE<\/strong>que ha destacado al Consorcio Internacional de Periodistas de Investigaci\u00f3n (ICIJ), y CARPA DE LENTEJUELAS<\/strong>cuyo objetivo principal era la periodista del ICIJ Scilla Alecci y otros periodistas internacionales que escrib\u00edan sobre temas de inter\u00e9s cr\u00edtico para el gobierno chino.<\/p>\n

\"\"<\/a><\/div>\n

\u00abEl actor emplea esquemas de suplantaci\u00f3n de identidad digital bien pensados \u200b\u200ben correos electr\u00f3nicos de phishing, incluida la suplantaci\u00f3n de personas conocidas y alertas de seguridad de empresas de tecnolog\u00eda\u00bb, dijo Citizen Lab. dicho<\/a>. \u00abAunque los grupos objetivo var\u00edan, esta actividad emplea la misma infraestructura y t\u00e1cticas en todos los casos, reutilizando con frecuencia los mismos dominios y las mismas personas suplantadas en m\u00faltiples objetivos\u00bb.<\/p>\n

GLITTER CARP, adem\u00e1s de realizar ataques de phishing a gran escala, ha estado vinculado a campa\u00f1as de phishing dirigidas a la industria de semiconductores de Taiw\u00e1n. Algunos aspectos de estos esfuerzos fueron documentados previamente por Proofpoint en julio de 2025 con el nombre UNK_SparkyCarp. SEQUIN CARP, por otro lado, comparte similitudes con un grupo rastreado por Volexity como UTA0388 y un conjunto de intrusi\u00f3n detallado por Trend Micro como TAOTH.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El objetivo final de las campa\u00f1as es obtener acceso inicial a cuentas de correo electr\u00f3nico mediante la recolecci\u00f3n de credenciales, p\u00e1ginas de phishing o mediante ingenier\u00eda social al objetivo para que otorgue acceso a un token OAuth de terceros. Los correos electr\u00f3nicos de phishing de GLITTER CARP tambi\u00e9n implican el uso de p\u00edxeles de seguimiento 1\u00d71 que apuntan a una URL en el dominio del atacante para recopilar informaci\u00f3n del dispositivo y confirmar si fueron abiertos por los destinatarios.<\/p>\n

Citizen Lab dijo que \u00abobserv\u00f3 ataques simult\u00e1neos a organizaciones espec\u00edficas utilizando tanto el kit de phishing AiTM (GLITTER CARP, UNK_SparkyCarp) como la entrega de HealthKick utilizando diferentes t\u00e1cticas de phishing por parte de un grupo separado (UNK_DropPitch)\u00bb. Esto indica cierto nivel de superposici\u00f3n entre estos grupos, a\u00f1adi\u00f3, aunque la naturaleza precisa de la relaci\u00f3n sigue siendo desconocida.<\/p>\n

\u00abNuestro an\u00e1lisis de los ataques GLITTER CARP y SEQUIN CARP muestra que la represi\u00f3n transnacional digital opera cada vez m\u00e1s a trav\u00e9s de una red distribuida de actores\u00bb, dijo la unidad de investigaci\u00f3n. \u00abLos objetivos que identificamos tanto en GLITTER CARP como en SEQUIN CARP se alinean con las prioridades de inteligencia del gobierno chino\u00bb.<\/p>\n

\u00abLa amplitud de los objetivos documentados en este informe y en otros, combinada con la informaci\u00f3n disponible sobre el uso pasado y actual de contratistas por parte de China, que refleja la actividad que hemos observado, sugiere con un nivel medio de confianza que las entidades comerciales contratadas por el Estado chino pueden haber estado detr\u00e1s de ambos grupos de actividad descritos aqu\u00ed\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Investigadores de ciberseguridad han revelado detalles de una nueva campa\u00f1a de espionaje alineada con China dirigida a sectores gubernamentales y de defensa en todo el sur, este y sudeste de Asia, junto con un gobierno europeo perteneciente a la OTAN. Trend Micro ha atribuido la actividad a un grupo de actividades de amenazas que rastrea […]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[2244,2243,543,200,24,842,348,273,1658,1661,400],"class_list":["post-735","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-activistas","tag-asiaticos","tag-atacan","tag-china","tag-cyberdefensa-mx","tag-estados","tag-gobiernos","tag-hackers","tag-otan","tag-periodistas","tag-vinculados"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/735","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=735"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/735\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=735"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=735"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=735"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}