Shadow-Earth-053 / Shadow-Earth-054 – Campaña de Ciberespionaje Chino contra Infraestructura Crítica (2024–2026)

Nombres Alternativos / Aliases

Shadow-Earth-053 (Denominación principal de TrendAI/Trend Micro)

Shadow-Earth-054 (Cluster relacionado)

China-aligned Espionage Cluster (Clasificación contextual)

Typhoon-style Espionage Campaign (Por similitudes operativas con Salt Typhoon y Volt Typhoon)

China-Nexus Critical Infrastructure Intrusion Campaign (Por el objetivo y atribución)

---

Fecha de Detección / Actividad

Fecha de Primera Actividad Observada: Diciembre de 2024

Fecha de Divulgación Pública: 30 de abril de 2026

Período de Actividad: Diciembre 2024 – presente (activo hasta al menos mayo de 2026)

Estado: Activo. Persistencia observada en múltiples entornos comprometidos.

Tiempo de Permanencia (Dwell Time): Hasta 8 meses antes del despliegue de malware principal.

Número de Organizaciones Afectadas: Más de una docena de redes críticas comprometidas.

---

Actor de Amenaza (Atribución)

Nombre del Actor: Shadow-Earth-053 / Shadow-Earth-054

Origen Presunto: República Popular China

Vínculo Gubernamental: No atribuido oficialmente, pero con alta probabilidad de alineación con intereses estratégicos chinos.

Tipo de Actor: Ciberespionaje patrocinado por Estado (State-Aligned Espionage)

Objetivos Estratégicos:

• Recolección de inteligencia gubernamental y militar
• Acceso persistente a sectores críticos
• Vigilancia de organizaciones alineadas con intereses occidentales
• Posible preposicionamiento para sabotaje futuro

Sofisticación: ALTA, debido a:

• Persistencia prolongada y sigilosa
• Uso de vulnerabilidades N-day ampliamente conocidas pero aún explotables
• Implementación tardía de malware para evadir detección
• Uso de herramientas legítimas del sistema Windows para mezclarse con el ruido operativo
• Técnicas avanzadas de evasión mediante renombrado de binarios y empaquetado de malware
• Posible infraestructura de Command-and-Control (C2) en estado latente ("sleep cycle")

---

Resumen Ejecutivo

Entre diciembre de 2024 y mayo de 2026, investigadores de TrendAI identificaron una campaña de ciberespionaje altamente sigilosa atribuida a dos nuevos clusters alineados con intereses chinos: Shadow-Earth-053 y Shadow-Earth-054. La operación comprometió más de una docena de organizaciones críticas en Asia y Europa, incluyendo entidades gubernamentales, ministerios de defensa, contratistas militares, empresas tecnológicas y organizaciones del sector transporte.

La campaña se caracteriza por un enfoque de persistencia a largo plazo, donde los atacantes permanecieron ocultos dentro de los entornos comprometidos durante hasta ocho meses antes de desplegar ShadowPad, una puerta trasera históricamente asociada con grupos chinos como APT41.

Los atacantes obtuvieron acceso inicial principalmente explotando servidores vulnerables de Microsoft Exchange mediante la cadena ProxyLogon, así como otras vulnerabilidades críticas expuestas a Internet. Tras comprometer el perímetro, instalaron web shells Godzilla, desplegaron malware como ShadowPad y Linux NoodleRat, recolectaron credenciales y se movieron lateralmente utilizando herramientas administrativas legítimas como WMIC.

Uno de los aspectos más preocupantes de la operación es la posibilidad de que los atacantes hayan dejado mecanismos de C2 durmientes (“sleep-cycle C2”), diseñados para permanecer inactivos durante largos períodos y reactivarse posteriormente en caso de tensiones geopolíticas o necesidades operativas. Expertos comparan esta táctica con campañas previas como Salt Typhoon y Volt Typhoon, asociadas con infiltración persistente en infraestructura crítica.

---

Vector de Ataque / Métodos de Distribución

Acceso Inicial

Método Principal:

• Explotación de servidores Microsoft Exchange vulnerables mediante la cadena ProxyLogon

Vulnerabilidades explotadas:

• CVE-2021-26855
• CVE-2021-26857
• CVE-2021-26858
• CVE-2021-27065

Método Secundario:

• Explotación de React2Shell
  • CVE-2025-55182

Acceso Alternativo Observado:

• Uso de credenciales robadas
• Abuso de herramientas de acceso remoto legítimas como AnyDesk
• Persistencia previa posiblemente derivada de compromisos históricos no detectados

Persistencia

Después del acceso inicial, los atacantes:

• Instalan web shells Godzilla
• Despliegan ShadowPad
• Implementan puertas traseras secundarias como Linux NoodleRat
• Mantienen acceso silencioso durante meses antes de ejecutar actividades visibles

---

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica	Técnica / Subtécnica	Implementación
Initial Access (TA0001)	Exploit Public-Facing Application (T1190)	Explotación de Microsoft Exchange vulnerable
Initial Access (TA0001)	External Remote Services (T1133)	Acceso mediante AnyDesk y servicios remotos
Persistence (TA0003)	Server Software Component: Web Shell (T1505.003)	Implementación de Godzilla web shell
Persistence (TA0003)	Remote Access Software (T1219)	Persistencia mediante herramientas legítimas
Execution (TA0002)	Windows Management Instrumentation (T1047)	Movimiento lateral con WMIC
Defense Evasion (TA0005)	Masquerading: Rename System Utilities (T1036.003)	Renombrado de binarios Windows
Defense Evasion (TA0005)	Obfuscated Files or Information (T1027)	Uso de RingQ para empaquetado
Credential Access (TA0006)	OS Credential Dumping (T1003)	Uso de Evil-CreateDump
Discovery (TA0007)	System Network Configuration Discovery (T1016)	Reconocimiento interno
Lateral Movement (TA0008)	Remote Services (T1021)	Propagación entre servidores
Command and Control (TA0011)	Application Layer Protocol (T1071)	Comunicaciones C2 sobre protocolos legítimos
Resource Development (TA0042)	Acquire Infrastructure: Domains (T1583.001)	Dominios que imitan productos y servicios

---

Flujo de Ataque (Cyber Kill Chain)

Reconocimiento

Identificación de organizaciones gubernamentales, contratistas de defensa y sectores estratégicos alineados con intereses occidentales o relacionados con Taiwán.

Armamento

Preparación de exploits ProxyLogon y React2Shell, infraestructura C2 y malware personalizado.

Entrega

Explotación remota de servidores Microsoft Exchange e IIS expuestos.

Explotación

Instalación de web shells Godzilla y acceso persistente.

Instalación

Despliegue gradual de:

• ShadowPad
• Linux NoodleRat
• Herramientas de credential dumping
• Componentes de persistencia

Comando y Control (C2)

Uso de dominios disfrazados de:

• Productos tecnológicos
• Empresas de seguridad
• Infraestructura relacionada con DNS

Posible C2 en estado durmiente (“sleep-cycle”), diseñado para reactivarse posteriormente.

Acción sobre Objetivos

• Recolección de inteligencia
• Movimiento lateral
• Robo de credenciales
• Expansión a otros Exchange internos
• Posible preposicionamiento destructivo

---

Infraestructura Utilizada

Tipo	Indicador / Característica	Propósito
Vulnerabilidad inicial	ProxyLogon	Acceso remoto
Malware principal	ShadowPad	Backdoor persistente
Web shell	Godzilla	Persistencia y ejecución
Backdoor Linux	Linux NoodleRat	Acceso secundario
Herramienta de evasión	RingQ	Empaquetado de binarios
Credential dumping	Evil-CreateDump	Robo de credenciales
Movimiento lateral	WMIC	Propagación
Acceso remoto	AnyDesk	Persistencia/operación

---

Víctimas y Sectores Afectados

Países afectados observados

• Pakistán
• Tailandia
• Malasia
• India
• Myanmar
• Sri Lanka
• Taiwán
• Polonia (sector defensa)

Sectores Objetivo

• Ministerios gubernamentales
• Defensa
• Contratistas militares
• Transporte
• Tecnología
• Infraestructura crítica

Cerca del 50% de las víctimas también fueron comprometidas por Shadow-Earth-054, sugiriendo operaciones paralelas o reutilización de accesos comprometidos.

---

Impacto y Riesgo

Nivel de Riesgo

ALTO / CRÍTICO

Impacto Potencial

Para Gobiernos y Defensa

• Robo de inteligencia estratégica
• Exposición de información sensible
• Riesgo de sabotaje futuro

Para Infraestructura Crítica

• Persistencia silenciosa prolongada
• Posible despliegue futuro de wipers
• Interrupción operativa

Riesgo Estratégico

Expertos comparan la operación con Volt Typhoon, sugiriendo una posible estrategia de preposicionamiento para sabotaje geopolítico en escenarios de escalamiento regional.

---

Recomendaciones de Mitigación

Para Equipos de Seguridad

Parcheo Inmediato

• Corregir vulnerabilidades ProxyLogon
• Corregir React2Shell
• Eliminar Exchange obsoletos expuestos

Hunting de Amenazas

Buscar:

• Web shells Godzilla
• ShadowPad
• Linux NoodleRat
• RingQ
• Evil-CreateDump
• Binarios Windows renombrados

Revisión de Logs

• Actividad WMIC inusual
• Autenticaciones administrativas anómalas
• Persistencia silenciosa

Segmentación

• Separar Exchange del entorno crítico
• Limitar privilegios administrativos

EDR/XDR

• Hunting basado en comportamiento
• Monitoreo de LOLBins

---

Herramientas de Detección

• Microsoft Defender for Endpoint
• CrowdStrike Falcon
• Palo Alto Cortex XDR
• Splunk Enterprise Security
• Microsoft Sentinel
• Elastic Security
• Trend Vision One

---

Opiniones de Expertos

“I'm concerned about what they are leaving behind: What type of C2 on a sleep cycle is still lingering in these environments?”

— Tom Kellermann, VP of AI Security and Threat Research, TrendAI.

“They look like the younger brother and sister of the Typhoon campaigns.”

— Tom Kellermann sobre Shadow-Earth-053 y Shadow-Earth-054.

---

Referencias y Fuentes

• The Register. (2026, 30 de abril). Novel Chinese spy group found in critical networks in Poland, Asia.
• TrendAI / Trend Micro Research. (2026). Inside SHADOW-EARTH-053.
• MITRE ATT&CK Framework. Enterprise Matrix.

---

Historial de Revisiones

Fecha	Versión	Autor	Cambios
2026-06-04	1.0	Fernando Vargas Hincapié	Creación inicial basada en investigación de TrendAI y reporte de The Register

---

Indicadores de Compromiso (IOCs)

Vulnerabilidades Explotadas

CVE
CVE-2021-26855
CVE-2021-26857
CVE-2021-26858
CVE-2021-27065
CVE-2025-55182

Malware y Herramientas

Tipo	Indicador
Backdoor	ShadowPad
Web Shell	Godzilla
Malware Linux	Linux NoodleRat
Evasión	RingQ
Credential Dumping	Evil-CreateDump
Acceso remoto	AnyDesk
Movimiento lateral	WMIC

Comportamiento Anómalo

Categoría	Comportamiento
Exchange	Web shells inesperados
Windows	Binarios renombrados
Credenciales	Dumps LSASS
Red	Tráfico persistente de baja frecuencia
Persistencia	Backdoors durmientes

---

Etiquetas / Categorías

shadow-earth-053 shadow-earth-054 china-apt china-cyberespionage shadowpad godzilla-webshell noodlerat proxylogon exchange-exploitation trendai volt-typhoon salt-typhoon cyber-espionage nato-defense critical-infrastructure sleep-cycle-c2 evil-createdump ringq wmic china-nexus apt41 defense-sector espionage campaign