Un grupo de ciberespionaje de estado-nación ha comprometido sistemas de gobiernos y organizaciones de infraestructuras críticas en al menos 37 países, según ha informado la división Unit-42 de Palo Alto Networks.
Los investigadores destacan el uso de herramientas regionales, la infraestructura en Asia y la alineación con la zona horaria GMT+8 como indicios de su origen. Así, aunque Palo Alto Networks no atribuye la campaña a un país específico, se sospecha que puede coincidir con actores chinos por su patrón de operaciones.
La firma también ha confirmado que el grupo ha estado activo al menos desde enero de 2024, con un incremento notable de actividad en 2025, especialmente contra gobiernos europeos.
Entre los objetivos comprometidos se encuentran agencias de policía y control fronterizo, ministerios de finanzas y comercio, departamentos de recursos naturales y diplomacia, así como parlamentos nacionales y altos funcionarios electos.
Además, se han visto afectados operadores de telecomunicaciones nacionales y organizaciones de seguridad y antiterrorismo, lo que evidencia el alcance estratégico de la operación.
Para obtener acceso inicial, los atacantes utilizaron campañas de phishing sofisticadas y malware diseñado para evadir detección, como ShadowGuard, un rootkit de kernel para Linux que permite modificar datos del sistema sin ser detectado.
Aunque no se han identificado vulnerabilidades de día cero, este APT ha intentado explotar fallos conocidos en productos de Microsoft, SAP, Atlassian, D-Link, Apache, Commvault y proveedores chinos.
Aprovechando eventos importantes
Palo Alto Networks advierte de que, aunque el objetivo principal parece ser la recolección de inteligencia, la magnitud y sofisticación de la campaña representan un riesgo significativo para la seguridad nacional y los servicios críticos.
Además de vulnerar sistemas, Unit 42 ha observado un incremento masivo en actividades de reconocimiento de infraestructura gubernamental: entre noviembre y diciembre de 2025, el grupo escaneó sistemas asociados a esta en 155 países.
El informe también detalla ejemplos concretos de cómo los ataques han estado vinculados a eventos políticos y económicos. En Latinoamérica, por ejemplo, el grupo incrementó el escaneo de infraestructura gubernamental de Honduras poco antes de una elección nacional con implicaciones diplomáticas sensibles. Igualmente, en Europa se documentó un aumento de actividad dirigida a sistemas del gobierno checo tras visitas diplomáticas de alto perfil.
“Dado el alcance de los compromisos y la importancia estratégica de las entidades impactadas, estamos trabajando con pares de la industria y socios gubernamentales para aumentar la concienciación y contrarrestar esta actividad”, destaca la compañía de seguridad.
