Hackers chinos atacan a proveedores de Internet de EE.UU. en una operación encubierta de ciberespionaje

En un mundo en rápida evolución, donde la tecnología determina gran parte de nuestra vida diaria, la amenaza invisible del ciberespionaje está creciendo y nadie es inmune a ella. El último incidente de esta batalla cibernética en curso ha puesto de relieve a piratas informáticos respaldados por China que se han infiltrado en los proveedores de servicios de Internet (ISP) estadounidenses, revelando vulnerabilidades incluso en redes altamente fortificadas.

Según The Wall Street Journal , esta campaña está vinculada a un grupo de amenazas que Microsoft rastrea como Salt Typhoon. También conocido como FamousSparrow o GhostEmperor, estos piratas informáticos han orquestado un sofisticado ataque contra un "puñado" de proveedores de servicios de Internet en un intento de extraer información confidencial. Los principales objetivos de este tipo de campañas suelen ser infraestructuras críticas, y este caso no es diferente.

Los métodos de los hackers

Los informes sugieren que estos cibercriminales pueden haber accedido al corazón mismo de la infraestructura de Internet: los enrutadores de Cisco Systems. Estos enrutadores son responsables de dirigir una parte importante del tráfico de Internet, lo que los convierte en un objetivo ideal para los piratas informáticos patrocinados por el estado que buscan establecer un acceso persistente a redes sensibles.

El grupo detrás de este ataque, GhostEmperor, apareció por primera vez en el centro de atención cibernética en octubre de 2021. Fue identificado inicialmente por Kaspersky, una empresa rusa de ciberseguridad, durante las investigaciones sobre operaciones dirigidas a países del sudeste asiático. Sus ataques implicaban la implementación de un poderoso rootkit llamado Demodex, que les permitía realizar espionaje sin ser detectados. Sus esfuerzos no solo afectaron a importantes entidades en Malasia, Vietnam y Tailandia, sino que también alcanzaron objetivos distantes en lugares como Egipto y Etiopía.

En julio de 2024, la empresa de ciberseguridad Sygnia descubrió otro ataque de GhostEmperor. Esta vez, una organización anónima se vio comprometida y, a través de ella, uno de sus socios comerciales también fue víctima. Las investigaciones revelaron que el grupo había implementado varias herramientas, incluida una versión modificada de Demodex, para comunicarse con servidores de comando y control, lo que pone de relieve su destreza técnica y determinación.

El ciberespionaje chino es una amenaza constante

La revelación de este ataque se produjo apenas unos días después de que el gobierno de Estados Unidos desmantelara una gran red de bots de 260.000 dispositivos llamada "Raptor Train". Esta red de bots, operada por otro grupo vinculado a China conocido como Flax Typhoon, se suma a una serie de agresivas campañas cibernéticas que se han atribuido a China en los últimos años.

Estos ataques incesantes ponen de relieve el peligro siempre presente que representan los actores patrocinados por Estados, en particular los que están alineados con Pekín. Su objetivo de infiltrarse en las telecomunicaciones, los proveedores de servicios de Internet y otras infraestructuras críticas sirve como recordatorio de lo esencial que es fortalecer las defensas de ciberseguridad en todos los sectores.

Persistencia y robo de datos

Lo que hace que estas intrusiones cibernéticas sean particularmente alarmantes es su naturaleza estratégica. El objetivo principal de estos ataques es obtener acceso encubierto y a largo plazo a las redes objetivo. Una vez dentro, los atacantes no solo pueden obtener datos confidenciales, sino también posicionarse para interrumpir o dañar los sistemas cuando sea necesario. Ya sea que el objetivo sea el espionaje o la capacidad de paralizar la infraestructura en futuros conflictos, las ramificaciones son enormes.

El enfoque en los proveedores de servicios de Internet y las redes de telecomunicaciones aumenta aún más los riesgos. Al controlar o interceptar el tráfico a un nivel tan fundamental, los actores de amenazas pueden monitorear las comunicaciones, interrumpir los servicios y extraer información de alto valor sin ser detectados de inmediato.

¿Cómo pueden protegerse las empresas?

Si bien ninguna defensa es totalmente infalible, las organizaciones pueden tomar varias medidas para mitigar el riesgo de este tipo de campañas de espionaje cibernético:

1. Monitoreo continuo: Implementar un monitoreo en tiempo real para detectar actividad inusual en la red puede ayudar a detectar intrusiones de manera temprana.
2. Gestión de parches: las actualizaciones periódicas y la aplicación de parches a los sistemas, especialmente a los componentes de infraestructura críticos como los enrutadores, son esenciales.
3. Arquitectura de confianza cero: cambiar a un modelo de confianza cero, donde los usuarios, dispositivos y sistemas deben autenticarse continuamente, puede ayudar a limitar el acceso a áreas sensibles.
4. Colaboración con expertos en ciberseguridad: colaborar con especialistas en seguridad externos, como en el caso de Sygnia, puede ayudar a descubrir y responder a amenazas avanzadas.

Las implicaciones más amplias

A medida que evoluciona la guerra cibernética, lo que está en juego ya no es sólo el robo de datos. Estamos presenciando una partida de ajedrez global en la que países como China están aprovechando sus capacidades cibernéticas para inclinar la balanza a su favor. En esta nueva era, la infraestructura es un objetivo tan importante como las agencias de inteligencia tradicionales o los activos militares.

Las últimas revelaciones sobre el grupo GhostEmperor y su infiltración en los proveedores de servicios de Internet de Estados Unidos son un duro recordatorio de lo frágiles que pueden ser incluso los sistemas más robustos. Para las organizaciones de todo el mundo, no se trata solo de ir un paso por delante, sino de comprender que el campo de batalla cibernético está en constante evolución y que los enemigos están más cerca de lo que creemos.

En este nuevo mundo, la preparación y la vigilancia son los principales mecanismos de defensa que tenemos a nuestra disposición. Ya sea a través de acciones gubernamentales o de iniciativas corporativas, la lucha contra el ciberespionaje patrocinado por el Estado es una batalla que requiere innovación, colaboración y atención constantes.