Datos Clave

• Hackers chinos del grupo APT31 atacaron empresas de TI rusas y contratistas gubernamentales usando puertas traseras basadas en la nube.
• La campaña de espionaje data al menos de finales de 2022, con gran actividad en 2024 y 2025.
• El malware utilizó servicios legítimos como Microsoft OneDrive, Dropbox y la propia Yandex Cloud de Rusia para ocultar las comunicaciones.
• APT31 es conocido por espionaje industrial y robo de propiedad intelectual a nivel mundial.
• Se detectaron herramientas de ataque similares fuera de Rusia, incluso en Perú, lo que sugiere una campaña más amplia.

Cuando los aliados se vuelven adversarios

Imagina un tablero de ajedrez donde los oponentes cambian de bando a mitad de partida, y hasta los compañeros de equipo vigilan los movimientos del otro. Así es el espionaje cibernético moderno: las alianzas son fluidas, y naciones “amigas” como China y Rusia a menudo se vigilan mutuamente en busca de ventaja estratégica. Esta realidad salió a la luz de forma dramática cuando Positive Technologies, una firma rusa de ciberseguridad, expuso una amplia campaña de hackeo china dirigida a la propia columna vertebral informática de Rusia.

APT31: El fantasma en la nube

El culpable, conocido en el mundo de la seguridad como APT31 (también llamado Judgment Panda o Violet Typhoon), tiene un largo historial de robos cibernéticos. Durante más de 15 años, este grupo ha robado secretos de empresas y gobiernos de todo el mundo. Pero esta vez, sus tácticas fueron especialmente astutas: en lugar de usar herramientas de hacker evidentes, se ocultaron a plena vista abusando de servicios en la nube populares - como Microsoft OneDrive, Dropbox e incluso Yandex Cloud de Rusia - para enviar datos robados a casa sin levantar sospechas.

El método era clásico pero efectivo. APT31 enviaba correos de phishing cuidadosamente diseñados, atrayendo a las víctimas a abrir archivos trampa. Una vez dentro, el malware recolectaba contraseñas en silencio, revisaba notas digitales y abría puertas traseras hechas a medida para Windows o Linux. Estas puertas traseras luego se comunicaban a través de la nube, mezclando su tráfico con la actividad legítima de negocios, como un espía que se pierde en una multitud concurrida.

Cobertura en la nube y viejos trucos

No es la primera vez que los aliados se espían entre sí. Estados Unidos e Israel, por ejemplo, han sido sorprendidos husmeando en los secretos del otro a pesar de su camaradería pública. La propia Rusia usó famosos contratistas externos para vulnerar agencias estadounidenses. Lo novedoso es la sofisticación técnica: al aprovechar servicios en la nube de confianza como cortina de humo, los hackers chinos hicieron que sus actividades fueran casi invisibles para la vigilancia de seguridad tradicional.

Los expertos en seguridad advierten que el abuso de la nube es notoriamente difícil de detener. Bloquear servicios enteros no es práctico para la mayoría de las empresas, y los hackers lo saben. “Es como jugar al golpea al topo”, dice Casey Ellis, fundador de Bugcrowd. La única solución real - apagar la nube - simplemente no es una opción en la economía digital actual.

Espionaje sin fronteras

Aunque la campaña se centró en el sector informático ruso, hay pruebas de que APT31 usó los mismos trucos en otros lugares, incluido un caso detectado en Perú. El enfoque en contratistas gubernamentales sugiere que esto iba más allá del espionaje comercial; se trataba de obtener ventaja en la geopolítica y las negociaciones. ¿La lección? En el ciberespionaje, la confianza siempre es provisional, y hasta los supuestos aliados guardan sus cartas cerca - y su vigilancia, aún más cerca.

WIKICROOK

• APT (Amenaza Persistente Avanzada): Una Amenaza Persistente Avanzada (APT) es un ciberataque prolongado y dirigido por grupos expertos, a menudo respaldados por estados, que buscan robar datos o interrumpir operaciones.
• Puerta trasera: Una puerta trasera es una forma oculta de acceder a una computadora o servidor, eludiendo los controles de seguridad normales, utilizada por atacantes para obtener control secreto.
• Phishing: El phishing es un delito cibernético donde los atacantes envían mensajes falsos para engañar a los usuarios y que revelen datos sensibles o hagan clic en enlaces maliciosos.
• Comando: Un comando es una instrucción enviada a un dispositivo o software, a menudo por un servidor C2, para que realice acciones específicas, a veces con fines maliciosos.
• Abuso de servicios en la nube: El abuso de servicios en la nube ocurre cuando los hackers usan plataformas en línea de confianza para ocultar ataques o extraer datos robados, haciendo que las amenazas sean más difíciles de detectar.