El grupo de amenazas persistentes avanzadas APT31, vinculado a intereses estatales chinos, ha estado activo durante años infiltrando empresas tecnológicas rusas, según un reciente informe de la firma rusa de ciberseguridad Positive Technologies.
APT31, al que también se conoce como Zirconium o Judgement Panda, es un actor estatal que ha operado al menos desde 2010. Sus objetivos incluyen gobiernos, sector defensa, financiero y empresas de alta tecnología.
En esta campaña, compañía de seguridad destaca la sofisticación de los atacantes y su capacidad para mantener acceso prolongado mediante técnicas de camuflaje y herramientas especializadas.
Según Positive Technologies, los atacantes utilizaron servicios de nube legítimos, como Yandex Cloud y Microsoft OneDrive, para controlar los sistemas comprometidos y extraer información, dificultando la detección.
Parte de la operación se realizó a través de tareas programadas que imitaban aplicaciones legítimas y mediante correos de spear-phishing diseñados para engañar a los usuarios y activar cargadores de malware como CloudyLoader y herramientas de movimiento lateral como LocalPlugX.
El informe también señala que APT31 aplicó tácticas de ‘low and slow’, realizando movimientos estratégicos durante fines de semana y vacaciones, momentos en los que la supervisión de sistemas suele ser más limitada y el personal de ciberseguridad está bastante más mermado.
Los ciberdelincuentes chinos incluso recurrieron a perfiles de redes sociales para enviar comandos cifrados a los sistemas infectados, lo que demuestra un alto nivel de planificación y sofisticación.
El espía que me achuchó
Este tipo de operaciones tiene particular relevancia, dado que China y Rusia son socios considerados estratégicos y los informes públicos sobre inteligencia entre ambos países no son nada comunes.
La campaña habría afectado principalmente a empresas que actúan como contratistas o integradores para el Kremlin, lo que aumentaría sustancialmente el valor de la información obtenida.
La conclusión que se puede extraer de la noticia es que el ciberespionaje no respeta alianzas geopolíticas.
