Datos Rápidos

• UNC6384, un grupo de hackers vinculado a China, apuntó a diplomáticos y agencias gubernamentales en Hungría, Bélgica, Italia, Países Bajos y Serbia.
• Los atacantes utilizaron una vulnerabilidad en los accesos directos de Windows (.lnk), CVE-2025-9491, para desplegar el malware PlugX a través de correos electrónicos de spear-phishing.
• PlugX, un troyano de acceso remoto, permite a los ciberespías robar archivos, registrar pulsaciones de teclas y permanecer indetectados en los sistemas.
• Grupos de amenazas chinos similares han explotado otras fallas de software, como CVE-2025-61932 en Lanscope Endpoint Manager, para espionaje.
• Expertos advierten que estos ataques podrían exponer discusiones diplomáticas sensibles, agendas y credenciales a la vigilancia extranjera.

La Diplomacia en la Mira

Imagina un gran salón diplomático - pulido, seguro y con propósito. Ahora imagina una trampilla oculta bajo la alfombra roja, esperando tragar a los invitados desprevenidos. En el otoño de 2025, eso fue exactamente lo que sucedió en los pasillos digitales de la diplomacia europea. Hackers vinculados a China y rastreados como UNC6384 encontraron su trampilla en una falla sin parchear de los accesos directos de Windows, eludiendo a los guardianes digitales con alarmante facilidad.

Anatomía del Ataque

La campaña de UNC6384 comenzó con un truco clásico: correos de spear-phishing que invitaban a los destinatarios a falsas reuniones de la Comisión Europea o talleres de la OTAN. Estos mensajes contenían enlaces que, al hacer clic, entregaban archivos maliciosos .lnk (accesos directos de Windows) disfrazados con detalles de apariencia oficial. Los archivos explotaban una vulnerabilidad de Windows (CVE-2025-9491), un error que permite a los atacantes ejecutar comandos en secreto en la computadora de la víctima.

Detrás de escena, el acceso directo lanzaba un comando PowerShell, desempaquetando silenciosamente el malware mientras mostraba un documento señuelo para distraer al objetivo. La carga final era PlugX, una notoria herramienta de acceso remoto preferida por los grupos de espionaje chinos desde hace más de una década. PlugX actúa como una llave maestra - otorgando a los atacantes la capacidad de ejecutar comandos, capturar pulsaciones de teclas y extraer archivos, todo mientras oculta sus huellas con técnicas anti-detección.

PlugX: La Navaja Suiza del Espía

PlugX no es nuevo. Desde su debut en 2008, ha sido la herramienta preferida de los ciberespías chinos, utilizada en campañas desde el sudeste asiático hasta Europa. Su diseño modular permite a los atacantes actualizar o intercambiar funciones sobre la marcha. A pesar de los esfuerzos globales para erradicar PlugX - including una ofensiva de las fuerzas del orden estadounidenses a principios de este año - sigue evolucionando, reduciéndose en tamaño y volviéndose más sigiloso con cada revisión.

Las tácticas de UNC6384 reflejan las de Mustang Panda y otros grupos chinos: explotar fallas conocidas, usar archivos de apariencia legítima como disfraz y aprovechar servicios en la nube para exfiltrar datos robados. Paralelamente, otro grupo vinculado a China, Bronze Butler, fue sorprendido explotando el software Lanscope para desplegar sus propias herramientas de espionaje, subrayando una estrategia más amplia de atacar redes tanto del sector público como privado para obtener inteligencia estratégica.

Implicaciones Globales y Vigilancia Digital

Las implicaciones son preocupantes. Los ataques exitosos podrían permitir a los adversarios monitorear discusiones confidenciales de políticas, robar credenciales o rastrear movimientos diplomáticos - comprometiendo la seguridad nacional y la confianza internacional. Mientras Europa refuerza sus muros digitales, expertos en ciberseguridad instan a gobiernos y organizaciones a parchear vulnerabilidades conocidas, monitorear actividades sospechosas y capacitar al personal para detectar engaños de ingeniería social. En el ciberespacio, como en el escenario mundial, la vigilancia es la nueva diplomacia.

WIKICROOK

• Spear: El spear phishing es un ciberataque dirigido que utiliza correos electrónicos personalizados para engañar a individuos u organizaciones específicas y hacer que revelen información sensible.
• Remote Access Trojan (RAT): Un troyano de acceso remoto (RAT) es un malware que permite a los atacantes controlar en secreto la computadora de una víctima desde cualquier lugar, facilitando el robo y el espionaje.
• DLL Side: DLL Side es una técnica en la que los atacantes engañan a los programas para que carguen archivos DLL maliciosos, eludiendo la seguridad y obteniendo acceso o control no autorizado.
• Persistence: La persistencia implica técnicas utilizadas por el malware para sobrevivir a reinicios y permanecer oculto en los sistemas, a menudo imitando procesos o actualizaciones legítimas.
• Command: Un comando es una instrucción enviada a un dispositivo o software, a menudo por un servidor C2, que le indica realizar acciones específicas, a veces con fines maliciosos.