Shadow-Earth-053 / Shadow-Earth-054 – Campaña de Ciberespionaje Chino contra Infraestructura Crítica (2024–2026)
Nombres Alternativos / Aliases
Shadow-Earth-053 (Denominación principal de TrendAI/Trend Micro)
Shadow-Earth-054 (Cluster relacionado)
China-aligned Espionage Cluster (Clasificación contextual)
Typhoon-style Espionage Campaign (Por similitudes operativas con Salt Typhoon y Volt Typhoon)
China-Nexus Critical Infrastructure Intrusion Campaign (Por el objetivo y atribución)
Fecha de Detección / Actividad
Fecha de Primera Actividad Observada: Diciembre de 2024
Fecha de Divulgación Pública: 30 de abril de 2026
Período de Actividad: Diciembre 2024 – presente (activo hasta al menos mayo de 2026)
Estado: Activo. Persistencia observada en múltiples entornos comprometidos.
Tiempo de Permanencia (Dwell Time): Hasta 8 meses antes del despliegue de malware principal.
Número de Organizaciones Afectadas: Más de una docena de redes críticas comprometidas.
Actor de Amenaza (Atribución)
Nombre del Actor: Shadow-Earth-053 / Shadow-Earth-054
Origen Presunto: República Popular China
Vínculo Gubernamental: No atribuido oficialmente, pero con alta probabilidad de alineación con intereses estratégicos chinos.
Tipo de Actor: Ciberespionaje patrocinado por Estado (State-Aligned Espionage)
Objetivos Estratégicos:
- Recolección de inteligencia gubernamental y militar
- Acceso persistente a sectores críticos
- Vigilancia de organizaciones alineadas con intereses occidentales
- Posible preposicionamiento para sabotaje futuro
Sofisticación: ALTA, debido a:
- Persistencia prolongada y sigilosa
- Uso de vulnerabilidades N-day ampliamente conocidas pero aún explotables
- Implementación tardía de malware para evadir detección
- Uso de herramientas legítimas del sistema Windows para mezclarse con el ruido operativo
- Técnicas avanzadas de evasión mediante renombrado de binarios y empaquetado de malware
- Posible infraestructura de Command-and-Control (C2) en estado latente ("sleep cycle")
Resumen Ejecutivo
Entre diciembre de 2024 y mayo de 2026, investigadores de TrendAI identificaron una campaña de ciberespionaje altamente sigilosa atribuida a dos nuevos clusters alineados con intereses chinos: Shadow-Earth-053 y Shadow-Earth-054. La operación comprometió más de una docena de organizaciones críticas en Asia y Europa, incluyendo entidades gubernamentales, ministerios de defensa, contratistas militares, empresas tecnológicas y organizaciones del sector transporte.
La campaña se caracteriza por un enfoque de persistencia a largo plazo, donde los atacantes permanecieron ocultos dentro de los entornos comprometidos durante hasta ocho meses antes de desplegar ShadowPad, una puerta trasera históricamente asociada con grupos chinos como APT41.
Los atacantes obtuvieron acceso inicial principalmente explotando servidores vulnerables de Microsoft Exchange mediante la cadena ProxyLogon, así como otras vulnerabilidades críticas expuestas a Internet. Tras comprometer el perímetro, instalaron web shells Godzilla, desplegaron malware como ShadowPad y Linux NoodleRat, recolectaron credenciales y se movieron lateralmente utilizando herramientas administrativas legítimas como WMIC.
Uno de los aspectos más preocupantes de la operación es la posibilidad de que los atacantes hayan dejado mecanismos de C2 durmientes (“sleep-cycle C2”), diseñados para permanecer inactivos durante largos períodos y reactivarse posteriormente en caso de tensiones geopolíticas o necesidades operativas. Expertos comparan esta táctica con campañas previas como Salt Typhoon y Volt Typhoon, asociadas con infiltración persistente en infraestructura crítica.
Vector de Ataque / Métodos de Distribución
Acceso Inicial
Método Principal:
- Explotación de servidores Microsoft Exchange vulnerables mediante la cadena ProxyLogon
Vulnerabilidades explotadas:
- CVE-2021-26855
- CVE-2021-26857
- CVE-2021-26858
- CVE-2021-27065
Método Secundario:
- Explotación de React2Shell
- CVE-2025-55182
Acceso Alternativo Observado:
- Uso de credenciales robadas
- Abuso de herramientas de acceso remoto legítimas como AnyDesk
- Persistencia previa posiblemente derivada de compromisos históricos no detectados
Persistencia
Después del acceso inicial, los atacantes:
- Instalan web shells Godzilla
- Despliegan ShadowPad
- Implementan puertas traseras secundarias como Linux NoodleRat
- Mantienen acceso silencioso durante meses antes de ejecutar actividades visibles
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica | Técnica / Subtécnica | Implementación |
|---|---|---|
| Initial Access (TA0001) | Exploit Public-Facing Application (T1190) | Explotación de Microsoft Exchange vulnerable |
| Initial Access (TA0001) | External Remote Services (T1133) | Acceso mediante AnyDesk y servicios remotos |
| Persistence (TA0003) | Server Software Component: Web Shell (T1505.003) | Implementación de Godzilla web shell |
| Persistence (TA0003) | Remote Access Software (T1219) | Persistencia mediante herramientas legítimas |
| Execution (TA0002) | Windows Management Instrumentation (T1047) | Movimiento lateral con WMIC |
| Defense Evasion (TA0005) | Masquerading: Rename System Utilities (T1036.003) | Renombrado de binarios Windows |
| Defense Evasion (TA0005) | Obfuscated Files or Information (T1027) | Uso de RingQ para empaquetado |
| Credential Access (TA0006) | OS Credential Dumping (T1003) | Uso de Evil-CreateDump |
| Discovery (TA0007) | System Network Configuration Discovery (T1016) | Reconocimiento interno |
| Lateral Movement (TA0008) | Remote Services (T1021) | Propagación entre servidores |
| Command and Control (TA0011) | Application Layer Protocol (T1071) | Comunicaciones C2 sobre protocolos legítimos |
| Resource Development (TA0042) | Acquire Infrastructure: Domains (T1583.001) | Dominios que imitan productos y servicios |
Flujo de Ataque (Cyber Kill Chain)
Reconocimiento
Identificación de organizaciones gubernamentales, contratistas de defensa y sectores estratégicos alineados con intereses occidentales o relacionados con Taiwán.
Armamento
Preparación de exploits ProxyLogon y React2Shell, infraestructura C2 y malware personalizado.
Entrega
Explotación remota de servidores Microsoft Exchange e IIS expuestos.
Explotación
Instalación de web shells Godzilla y acceso persistente.
Instalación
Despliegue gradual de:
- ShadowPad
- Linux NoodleRat
- Herramientas de credential dumping
- Componentes de persistencia
Comando y Control (C2)
Uso de dominios disfrazados de:
- Productos tecnológicos
- Empresas de seguridad
- Infraestructura relacionada con DNS
Posible C2 en estado durmiente (“sleep-cycle”), diseñado para reactivarse posteriormente.
Acción sobre Objetivos
- Recolección de inteligencia
- Movimiento lateral
- Robo de credenciales
- Expansión a otros Exchange internos
- Posible preposicionamiento destructivo
Infraestructura Utilizada
| Tipo | Indicador / Característica | Propósito |
|---|---|---|
| Vulnerabilidad inicial | ProxyLogon | Acceso remoto |
| Malware principal | ShadowPad | Backdoor persistente |
| Web shell | Godzilla | Persistencia y ejecución |
| Backdoor Linux | Linux NoodleRat | Acceso secundario |
| Herramienta de evasión | RingQ | Empaquetado de binarios |
| Credential dumping | Evil-CreateDump | Robo de credenciales |
| Movimiento lateral | WMIC | Propagación |
| Acceso remoto | AnyDesk | Persistencia/operación |
Víctimas y Sectores Afectados
Países afectados observados
- Pakistán
- Tailandia
- Malasia
- India
- Myanmar
- Sri Lanka
- Taiwán
- Polonia (sector defensa)
Sectores Objetivo
- Ministerios gubernamentales
- Defensa
- Contratistas militares
- Transporte
- Tecnología
- Infraestructura crítica
Cerca del 50% de las víctimas también fueron comprometidas por Shadow-Earth-054, sugiriendo operaciones paralelas o reutilización de accesos comprometidos.
Impacto y Riesgo
Nivel de Riesgo
ALTO / CRÍTICO
Impacto Potencial
Para Gobiernos y Defensa
- Robo de inteligencia estratégica
- Exposición de información sensible
- Riesgo de sabotaje futuro
Para Infraestructura Crítica
- Persistencia silenciosa prolongada
- Posible despliegue futuro de wipers
- Interrupción operativa
Riesgo Estratégico
Expertos comparan la operación con Volt Typhoon, sugiriendo una posible estrategia de preposicionamiento para sabotaje geopolítico en escenarios de escalamiento regional.
Recomendaciones de Mitigación
Para Equipos de Seguridad
Parcheo Inmediato
- Corregir vulnerabilidades ProxyLogon
- Corregir React2Shell
- Eliminar Exchange obsoletos expuestos
Hunting de Amenazas
Buscar:
- Web shells Godzilla
- ShadowPad
- Linux NoodleRat
- RingQ
- Evil-CreateDump
- Binarios Windows renombrados
Revisión de Logs
- Actividad WMIC inusual
- Autenticaciones administrativas anómalas
- Persistencia silenciosa
Segmentación
- Separar Exchange del entorno crítico
- Limitar privilegios administrativos
EDR/XDR
- Hunting basado en comportamiento
- Monitoreo de LOLBins
Herramientas de Detección
- Microsoft Defender for Endpoint
- CrowdStrike Falcon
- Palo Alto Cortex XDR
- Splunk Enterprise Security
- Microsoft Sentinel
- Elastic Security
- Trend Vision One
Opiniones de Expertos
“I'm concerned about what they are leaving behind: What type of C2 on a sleep cycle is still lingering in these environments?”
— Tom Kellermann, VP of AI Security and Threat Research, TrendAI.
“They look like the younger brother and sister of the Typhoon campaigns.”
— Tom Kellermann sobre Shadow-Earth-053 y Shadow-Earth-054.
Referencias y Fuentes
- The Register. (2026, 30 de abril). Novel Chinese spy group found in critical networks in Poland, Asia.
- TrendAI / Trend Micro Research. (2026). Inside SHADOW-EARTH-053.
- MITRE ATT&CK Framework. Enterprise Matrix.
Historial de Revisiones
| Fecha | Versión | Autor | Cambios |
|---|---|---|---|
| 2026-06-04 | 1.0 | Fernando Vargas Hincapié | Creación inicial basada en investigación de TrendAI y reporte de The Register |
Indicadores de Compromiso (IOCs)
Vulnerabilidades Explotadas
| CVE |
|---|
| CVE-2021-26855 |
| CVE-2021-26857 |
| CVE-2021-26858 |
| CVE-2021-27065 |
| CVE-2025-55182 |
Malware y Herramientas
| Tipo | Indicador |
|---|---|
| Backdoor | ShadowPad |
| Web Shell | Godzilla |
| Malware Linux | Linux NoodleRat |
| Evasión | RingQ |
| Credential Dumping | Evil-CreateDump |
| Acceso remoto | AnyDesk |
| Movimiento lateral | WMIC |
Comportamiento Anómalo
| Categoría | Comportamiento |
|---|---|
| Exchange | Web shells inesperados |
| Windows | Binarios renombrados |
| Credenciales | Dumps LSASS |
| Red | Tráfico persistente de baja frecuencia |
| Persistencia | Backdoors durmientes |
Etiquetas / Categorías
shadow-earth-053 shadow-earth-054 china-apt china-cyberespionage shadowpad godzilla-webshell noodlerat proxylogon exchange-exploitation trendai volt-typhoon salt-typhoon cyber-espionage nato-defense critical-infrastructure sleep-cycle-c2 evil-createdump ringq wmic china-nexus apt41 defense-sector espionage campaign