Ver el código de «Shadow-Earth-053 / Shadow-Earth-054 – Campaña de Ciberespionaje Chino contra Infraestructura Crítica (2024–2026)»

= Nombres Alternativos / Aliases =
'''Shadow-Earth-053''' (Denominación principal de TrendAI/Trend Micro)

'''Shadow-Earth-054''' (Cluster relacionado)

'''China-aligned Espionage Cluster''' (Clasificación contextual)

'''Typhoon-style Espionage Campaign''' (Por similitudes operativas con Salt Typhoon y Volt Typhoon)

'''China-Nexus Critical Infrastructure Intrusion Campaign''' (Por el objetivo y atribución)
----

== Fecha de Detección / Actividad ==
'''Fecha de Primera Actividad Observada:''' Diciembre de 2024

'''Fecha de Divulgación Pública:''' 30 de abril de 2026

'''Período de Actividad:''' Diciembre 2024 – presente (activo hasta al menos mayo de 2026)

'''Estado:''' Activo. Persistencia observada en múltiples entornos comprometidos.

'''Tiempo de Permanencia (Dwell Time):''' Hasta 8 meses antes del despliegue de malware principal.

'''Número de Organizaciones Afectadas:''' Más de una docena de redes críticas comprometidas.
----

== Actor de Amenaza (Atribución) ==
'''Nombre del Actor:''' Shadow-Earth-053 / Shadow-Earth-054

'''Origen Presunto:''' República Popular China

'''Vínculo Gubernamental:''' No atribuido oficialmente, pero con '''alta probabilidad de alineación con intereses estratégicos chinos'''.

'''Tipo de Actor:''' Ciberespionaje patrocinado por Estado (State-Aligned Espionage)

'''Objetivos Estratégicos:'''

* Recolección de inteligencia gubernamental y militar
* Acceso persistente a sectores críticos
* Vigilancia de organizaciones alineadas con intereses occidentales
* Posible preposicionamiento para sabotaje futuro

'''Sofisticación:''' '''ALTA''', debido a:

* Persistencia prolongada y sigilosa
* Uso de vulnerabilidades N-day ampliamente conocidas pero aún explotables
* Implementación tardía de malware para evadir detección
* Uso de herramientas legítimas del sistema Windows para mezclarse con el ruido operativo
* Técnicas avanzadas de evasión mediante renombrado de binarios y empaquetado de malware
* Posible infraestructura de '''Command-and-Control (C2) en estado latente ("sleep cycle")'''

----

== Resumen Ejecutivo ==
Entre diciembre de 2024 y mayo de 2026, investigadores de TrendAI identificaron una campaña de ciberespionaje altamente sigilosa atribuida a dos nuevos clusters alineados con intereses chinos: '''Shadow-Earth-053''' y '''Shadow-Earth-054'''. La operación comprometió más de una docena de organizaciones críticas en Asia y Europa, incluyendo entidades gubernamentales, ministerios de defensa, contratistas militares, empresas tecnológicas y organizaciones del sector transporte.

La campaña se caracteriza por un enfoque de '''persistencia a largo plazo''', donde los atacantes permanecieron ocultos dentro de los entornos comprometidos durante hasta '''ocho meses antes de desplegar ShadowPad''', una puerta trasera históricamente asociada con grupos chinos como APT41.

Los atacantes obtuvieron acceso inicial principalmente explotando servidores vulnerables de Microsoft Exchange mediante la cadena '''ProxyLogon''', así como otras vulnerabilidades críticas expuestas a Internet. Tras comprometer el perímetro, instalaron '''web shells Godzilla''', desplegaron malware como '''ShadowPad''' y '''Linux NoodleRat''', recolectaron credenciales y se movieron lateralmente utilizando herramientas administrativas legítimas como '''WMIC'''.

Uno de los aspectos más preocupantes de la operación es la posibilidad de que los atacantes hayan dejado mecanismos de '''C2 durmientes (“sleep-cycle C2”)''', diseñados para permanecer inactivos durante largos períodos y reactivarse posteriormente en caso de tensiones geopolíticas o necesidades operativas. Expertos comparan esta táctica con campañas previas como '''Salt Typhoon''' y '''Volt Typhoon''', asociadas con infiltración persistente en infraestructura crítica.
----

== Vector de Ataque / Métodos de Distribución ==

=== Acceso Inicial ===
'''Método Principal:'''

* Explotación de servidores Microsoft Exchange vulnerables mediante la cadena '''ProxyLogon'''

'''Vulnerabilidades explotadas:'''

* CVE-2021-26855
* CVE-2021-26857
* CVE-2021-26858
* CVE-2021-27065

'''Método Secundario:'''

* Explotación de '''React2Shell'''
** CVE-2025-55182

'''Acceso Alternativo Observado:'''

* Uso de credenciales robadas
* Abuso de herramientas de acceso remoto legítimas como '''AnyDesk'''
* Persistencia previa posiblemente derivada de compromisos históricos no detectados

=== Persistencia ===
Después del acceso inicial, los atacantes:

* Instalan '''web shells Godzilla'''
* Despliegan '''ShadowPad'''
* Implementan puertas traseras secundarias como '''Linux NoodleRat'''
* Mantienen acceso silencioso durante meses antes de ejecutar actividades visibles

----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica
!Técnica / Subtécnica
!Implementación
|-
|Initial Access (TA0001)
|Exploit Public-Facing Application (T1190)
|Explotación de Microsoft Exchange vulnerable
|-
|Initial Access (TA0001)
|External Remote Services (T1133)
|Acceso mediante AnyDesk y servicios remotos
|-
|Persistence (TA0003)
|Server Software Component: Web Shell (T1505.003)
|Implementación de Godzilla web shell
|-
|Persistence (TA0003)
|Remote Access Software (T1219)
|Persistencia mediante herramientas legítimas
|-
|Execution (TA0002)
|Windows Management Instrumentation (T1047)
|Movimiento lateral con WMIC
|-
|Defense Evasion (TA0005)
|Masquerading: Rename System Utilities (T1036.003)
|Renombrado de binarios Windows
|-
|Defense Evasion (TA0005)
|Obfuscated Files or Information (T1027)
|Uso de RingQ para empaquetado
|-
|Credential Access (TA0006)
|OS Credential Dumping (T1003)
|Uso de Evil-CreateDump
|-
|Discovery (TA0007)
|System Network Configuration Discovery (T1016)
|Reconocimiento interno
|-
|Lateral Movement (TA0008)
|Remote Services (T1021)
|Propagación entre servidores
|-
|Command and Control (TA0011)
|Application Layer Protocol (T1071)
|Comunicaciones C2 sobre protocolos legítimos
|-
|Resource Development (TA0042)
|Acquire Infrastructure: Domains (T1583.001)
|Dominios que imitan productos y servicios
|}
----

== Flujo de Ataque (Cyber Kill Chain) ==

=== Reconocimiento ===
Identificación de organizaciones gubernamentales, contratistas de defensa y sectores estratégicos alineados con intereses occidentales o relacionados con Taiwán.

=== Armamento ===
Preparación de exploits ProxyLogon y React2Shell, infraestructura C2 y malware personalizado.

=== Entrega ===
Explotación remota de servidores Microsoft Exchange e IIS expuestos.

=== Explotación ===
Instalación de web shells '''Godzilla''' y acceso persistente.

=== Instalación ===
Despliegue gradual de:

* ShadowPad
* Linux NoodleRat
* Herramientas de credential dumping
* Componentes de persistencia

=== Comando y Control (C2) ===
Uso de dominios disfrazados de:

* Productos tecnológicos
* Empresas de seguridad
* Infraestructura relacionada con DNS

Posible '''C2 en estado durmiente (“sleep-cycle”)''', diseñado para reactivarse posteriormente.

=== Acción sobre Objetivos ===

* Recolección de inteligencia
* Movimiento lateral
* Robo de credenciales
* Expansión a otros Exchange internos
* Posible preposicionamiento destructivo

----

== Infraestructura Utilizada ==
{| class="wikitable"
!Tipo
!Indicador / Característica
!Propósito
|-
|Vulnerabilidad inicial
|ProxyLogon
|Acceso remoto
|-
|Malware principal
|ShadowPad
|Backdoor persistente
|-
|Web shell
|Godzilla
|Persistencia y ejecución
|-
|Backdoor Linux
|Linux NoodleRat
|Acceso secundario
|-
|Herramienta de evasión
|RingQ
|Empaquetado de binarios
|-
|Credential dumping
|Evil-CreateDump
|Robo de credenciales
|-
|Movimiento lateral
|WMIC
|Propagación
|-
|Acceso remoto
|AnyDesk
|Persistencia/operación
|}
----

== Víctimas y Sectores Afectados ==

=== Países afectados observados ===

* Pakistán
* Tailandia
* Malasia
* India
* Myanmar
* Sri Lanka
* Taiwán
* Polonia (sector defensa)

=== Sectores Objetivo ===

* Ministerios gubernamentales
* Defensa
* Contratistas militares
* Transporte
* Tecnología
* Infraestructura crítica

Cerca del '''50% de las víctimas también fueron comprometidas por Shadow-Earth-054''', sugiriendo operaciones paralelas o reutilización de accesos comprometidos.
----

== Impacto y Riesgo ==

=== Nivel de Riesgo ===
'''ALTO / CRÍTICO'''

=== Impacto Potencial ===
'''Para Gobiernos y Defensa'''

* Robo de inteligencia estratégica
* Exposición de información sensible
* Riesgo de sabotaje futuro

'''Para Infraestructura Crítica'''

* Persistencia silenciosa prolongada
* Posible despliegue futuro de wipers
* Interrupción operativa

'''Riesgo Estratégico'''

Expertos comparan la operación con '''Volt Typhoon''', sugiriendo una posible estrategia de '''preposicionamiento para sabotaje geopolítico''' en escenarios de escalamiento regional.
----

== Recomendaciones de Mitigación ==

=== Para Equipos de Seguridad ===
'''Parcheo Inmediato'''

* Corregir vulnerabilidades ProxyLogon
* Corregir React2Shell
* Eliminar Exchange obsoletos expuestos

'''Hunting de Amenazas'''

Buscar:

* Web shells Godzilla
* ShadowPad
* Linux NoodleRat
* RingQ
* Evil-CreateDump
* Binarios Windows renombrados

'''Revisión de Logs'''

* Actividad WMIC inusual
* Autenticaciones administrativas anómalas
* Persistencia silenciosa

'''Segmentación'''

* Separar Exchange del entorno crítico
* Limitar privilegios administrativos

'''EDR/XDR'''

* Hunting basado en comportamiento
* Monitoreo de LOLBins

----

== Herramientas de Detección ==

* Microsoft Defender for Endpoint
* CrowdStrike Falcon
* Palo Alto Cortex XDR
* Splunk Enterprise Security
* Microsoft Sentinel
* Elastic Security
* Trend Vision One

----

== Opiniones de Expertos ==
<blockquote>“I'm concerned about what they are leaving behind: What type of C2 on a sleep cycle is still lingering in these environments?”</blockquote>— Tom Kellermann, VP of AI Security and Threat Research, TrendAI.<blockquote>“They look like the younger brother and sister of the Typhoon campaigns.”</blockquote>— Tom Kellermann sobre Shadow-Earth-053 y Shadow-Earth-054.
----

== Referencias y Fuentes ==

* The Register. (2026, 30 de abril). ''Novel Chinese spy group found in critical networks in Poland, Asia''.
* TrendAI / Trend Micro Research. (2026). ''Inside SHADOW-EARTH-053''.
* MITRE ATT&CK Framework. Enterprise Matrix.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios
|-
|2026-06-04
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en investigación de TrendAI y reporte de The Register
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Vulnerabilidades Explotadas ===
{| class="wikitable"
!CVE
|-
|CVE-2021-26855
|-
|CVE-2021-26857
|-
|CVE-2021-26858
|-
|CVE-2021-27065
|-
|CVE-2025-55182
|}

=== Malware y Herramientas ===
{| class="wikitable"
!Tipo
!Indicador
|-
|Backdoor
|ShadowPad
|-
|Web Shell
|Godzilla
|-
|Malware Linux
|Linux NoodleRat
|-
|Evasión
|RingQ
|-
|Credential Dumping
|Evil-CreateDump
|-
|Acceso remoto
|AnyDesk
|-
|Movimiento lateral
|WMIC
|}

=== Comportamiento Anómalo ===
{| class="wikitable"
!Categoría
!Comportamiento
|-
|Exchange
|Web shells inesperados
|-
|Windows
|Binarios renombrados
|-
|Credenciales
|Dumps LSASS
|-
|Red
|Tráfico persistente de baja frecuencia
|-
|Persistencia
|Backdoors durmientes
|}
----

== Etiquetas / Categorías ==
shadow-earth-053 shadow-earth-054 china-apt china-cyberespionage shadowpad godzilla-webshell noodlerat proxylogon exchange-exploitation trendai volt-typhoon salt-typhoon cyber-espionage nato-defense critical-infrastructure sleep-cycle-c2 evil-createdump ringq wmic china-nexus apt41 defense-sector espionage campaign