CiberWiki

OpenClaw & Paperclip Chinese Cybercrime Operation

OpenClaw & Paperclip Chinese Cybercrime Operation se refiere a una campaña masiva y automatizada de ciberdelincuencia descubierta por el equipo de investigación de amenazas de SOCRadar, vinculada a actores de amenazas con base en China. Esta operación utiliza un backend centralizado llamado Paperclip y un sistema de flujo de trabajo basado en agentes conocido como OpenClaw para ejecutar ataques a escala industrial, gestionando sus actividades criminales como si fueran un negocio legítimo con un flujo de trabajo estructurado: Planning (Planificación), Review (Revisión), Dispatch (Envío), Recon (Reconocimiento), Scan (Escaneo), Validate (Validación) y finalmente Report (Informe) sobre los datos robados. Los atacantes utilizan motores de mapeo de internet como FOFA y 360Quake para identificar la superficie de ataque externa de organizaciones, con un enfoque particular en sectores de alto valor como fintech, plataformas Web3 y proveedores de seguridad. Para evitar interrupciones en sus escaneos, han creado miles de cuentas automatizadas utilizando el patrón de correo electrónico fofa@deltajohnsons.com, incluyendo 136 cuentas FOFA que utilizan para eludir los límites de API de estos motores de búsqueda y mantener un escaneo continuo. Los atacantes buscan sistemas que ejecuten software con vulnerabilidades conocidas que permitan ejecución remota de código (RCE), incluyendo React2Shell (CVE-2025-55182) , CVE-2025-66478 y Log4Shell (CVE-2021-44228) . Utilizan cuatro scripts personalizados de Python (2.py, 3.py, 4.py, 11.py) que automatizan la explotación mediante comandos como volcados de variables de entorno, soportan evasión de WAF y ejecución paralela, permitiendo ataques escalables a cientos de objetivos simultáneamente. El objetivo principal es la ejecución remota de código confiable, no solo la detección de vulnerabilidades. Una vez que logran acceso inicial, los actores buscan datos sensibles como claves API de IA, tokens de Stripe y credenciales de bases de datos PostgreSQL. Para mantener la persistencia y el ocultamiento, despliegan túneles de Cloudflare mediante cf-client, clientes P2P llamados mayun, e implantes backdoor identificados en los logs como d2 y pl . También utilizan una cadena de ejecución sin archivos (fileless) que introduce contenido web directamente en Node.js para ejecutar código malicioso en la memoria del sistema sin guardar archivos en el disco, dificultando la detección. La escala de la operación es masiva: los logs de los propios atacantes muestran aproximadamente 45,000 intentos de ataque, su base de datos registra el backdoor d2 en 3,981 hosts y el backdoor pl en 1,393 hosts, gestionan 900 webshells y están rastreando casi 22,000 direcciones de criptomonedas utilizando APIs de inteligencia de blockchain como OKLink y Tatum. Utilizan scripts automatizados para validar las claves de Stripe robadas, verificando cuentas activas con saldos disponibles, lo que les permite priorizar inmediatamente los objetivos más rentables. La operación se coordina a través de un backend centralizado que permite al grupo gestionar y enriquecer los datos robados.

Nombres Alternativos / Aliases

  • OpenClaw Paperclip Operation (Por los nombres de las herramientas)
  • Chinese Automated Cybercrime Campaign (Por el origen geográfico y naturaleza)
  • FOFA 136 Accounts Operation (Por el número de cuentas utilizadas)
  • d2 & pl Backdoor Campaign (Por los implantes de persistencia)
  • 45K Attack Cybercrime Operation (Por el número de intentos de ataque)

Fecha de Detección / Actividad

  • Fecha de Descubrimiento: Mayo de 2026 (publicación del informe de SOCRadar el 1 de mayo de 2026)
  • Período de Actividad: No especificado, pero la escala de la operación (45,000 ataques, 5,300+ backdoors) indica actividad sostenida
  • Estado: Activo. La infraestructura sigue operativa y expandiéndose.

Actor de Amenaza (Atribución)

  • Nombre del Actor: No atribuido a un grupo específico; vinculado a actores de amenazas con base en China.
  • Tipo de Actor: Grupo de ciberdelincuencia organizada que opera como un negocio (Cybercrime-as-a-Service o operación autónoma a gran escala).
  • Sofisticación: Muy alta. El grupo demuestra capacidades excepcionales: (a) desarrollo de un backend centralizado (Paperclip) y un sistema de flujo de trabajo basado en agentes (OpenClaw) para automatizar ataques a escala industrial, (b) uso de motores de mapeo de internet (FOFA, 360Quake) y creación de miles de cuentas automatizadas para eludir límites de API, (c) explotación de vulnerabilidades críticas de RCE (React2Shell, Log4Shell), (d) desarrollo de scripts Python personalizados con evasión de WAF y ejecución paralela, (e) técnicas de persistencia avanzadas (túneles Cloudflare, clientes P2P, backdoors d2/pl), (f) cadena de ejecución fileless mediante Node.js, (g) uso de APIs de inteligencia de blockchain para rastreo de criptomonedas, y (h) validación automatizada de activos robados (claves Stripe). La operación está altamente organizada, con un flujo de trabajo estructurado que imita un negocio legítimo.

Resumen Ejecutivo

OpenClaw & Paperclip Chinese Cybercrime Operation es una de las operaciones de ciberdelincuencia más grandes y organizadas descubiertas en 2026, revelada por el equipo de investigación de amenazas de SOCRadar. La operación, vinculada a actores de amenazas con base en China, utiliza un backend centralizado llamado Paperclip y un sistema de flujo de trabajo basado en agentes conocido como OpenClaw para automatizar sus actividades criminales a escala industrial. El flujo de trabajo está estructurado en siete etapas: Planning (Planificación), Review (Revisión), Dispatch (Envío), Recon (Reconocimiento), Scan (Escaneo), Validate (Validación) y Report (Informe) , lo que permite a los atacantes gestionar sus operaciones como si fueran un negocio legítimo con procesos estandarizados y control de calidad. La fase de reconocimiento comienza con el uso de motores de mapeo de internet como FOFA y 360Quake para identificar la superficie de ataque externa de organizaciones objetivo. Los atacantes se centran en sectores de alto valor, incluyendo empresas de tecnología financiera (fintech), plataformas Web3 (blockchain/DeFi) y proveedores de seguridad. Para evitar que sus escaneos sean bloqueados por los límites de API de estos motores, han creado miles de cuentas automatizadas utilizando el patrón de correo electrónico fofa@deltajohnsons.com, y los investigadores observaron específicamente el uso de 136 cuentas FOFA para eludir las restricciones y mantener un escaneo continuo de la superficie de ataque global. Los atacantes buscan sistemas que ejecuten software con vulnerabilidades conocidas que permitan ejecución remota de código (RCE), priorizando fallos críticos como React2Shell (CVE-2025-55182) , CVE-2025-66478 y la conocida vulnerabilidad Log4Shell (CVE-2021-44228) . Para automatizar la explotación, el grupo ha desarrollado cuatro scripts personalizados de Python (2.py, 3.py, 4.py y 11.py) que ejecutan comandos como volcados de variables de entorno, soportan evasión de firewalls de aplicaciones web (WAF) y permiten ejecución paralela, lo que les permite explotar cientos de objetivos simultáneamente. El objetivo principal de estos scripts no es simplemente detectar vulnerabilidades, sino lograr una ejecución remota de código confiable y escalable. Una vez que logran acceso inicial a un sistema, los atacantes despliegan múltiples mecanismos de persistencia para mantener el control y ocultar su presencia. Utilizan túneles de Cloudflare mediante el cliente cf-client para crear canales de comunicación cifrados y evasivos, clientes P2P llamados mayun para comunicación descentralizada, e implantes backdoor identificados en los logs como d2 y pl . También emplean una cadena de ejecución sin archivos (fileless) que utiliza comandos para alimentar contenido web directamente en Node.js, ejecutando código malicioso en la memoria del sistema sin escribir ningún archivo en el disco, lo que dificulta enormemente la detección por parte de soluciones antivirus tradicionales. Los atacantes buscan activamente datos sensibles en los sistemas comprometidos, con un enfoque particular en: claves API de inteligencia artificial (IA), tokens de Stripe (procesamiento de pagos) y credenciales de bases de datos PostgreSQL. La escala de la operación es masiva y está documentada en los propios logs de los atacantes, que fueron obtenidos por SOCRadar. Según estos logs, el grupo ha realizado aproximadamente 45,000 intentos de ataque. Su base de datos muestra que han implantado el backdoor d2 en 3,981 hosts y el backdoor pl en 1,393 hosts. Además, gestionan 900 webshells en sistemas comprometidos y están rastreando casi 22,000 direcciones de criptomonedas utilizando APIs de inteligencia de blockchain como OKLink y Tatum. Para maximizar su beneficio, los atacantes utilizan scripts automatizados para validar las claves de Stripe robadas, verificando qué cuentas están activas y tienen saldos disponibles, lo que les permite priorizar inmediatamente los objetivos más rentables para su explotación financiera. La operación se coordina a través de un backend centralizado (Paperclip) que permite al grupo gestionar, enriquecer y correlacionar los datos robados de múltiples fuentes, creando un panorama completo de las víctimas y sus activos.

Vectores de Ataque / Métodos de Distribución

  1. Mapeo de Superficie de Ataque con FOFA y 360Quake: Los atacantes utilizan motores de búsqueda de activos en internet para identificar sistemas y servicios expuestos públicamente que pertenecen a organizaciones objetivo (fintech, Web3, seguridad).
  2. Escaneo Continuo mediante Cuentas Automatizadas: Para eludir los límites de API de estos motores, el grupo ha creado miles de cuentas automatizadas con el patrón fofa@deltajohnsons.com, incluyendo 136 cuentas FOFA específicamente identificadas.
  3. Explotación de Vulnerabilidades RCE: Los atacantes se centran en vulnerabilidades críticas que permiten ejecución remota de código, incluyendo React2Shell (CVE-2025-55182), CVE-2025-66478 y Log4Shell (CVE-2021-44228).
  4. Automatización con Scripts Python Personalizados: Cuatro scripts (2.py, 3.py, 4.py, 11.py) automatizan la explotación con capacidades de evasión de WAF y ejecución paralela en cientos de objetivos.
  5. Ejecución Fileless mediante Node.js: Los atacantes introducen contenido web directamente en Node.js para ejecutar código malicioso en memoria sin escribir archivos en el disco, evadiendo la detección basada en archivos.
  6. Persistencia mediante Backdoors y Túneles: Despliegue de túneles Cloudflare (cf-client), clientes P2P (mayun), e implantes backdoor (d2, pl) para mantener acceso oculto y persistente.

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica (MITRE ATT&CK) Técnica / Subtécnica Descripción / Implementación
Reconnaissance (TA0043) Active Scanning (T1595) - Scanning IP Blocks (T1595.001) Uso de motores FOFA y 360Quake para mapear la superficie de ataque externa de organizaciones objetivo.
Reconnaissance (TA0043) Search Open Technical Databases (T1596) Uso de motores de búsqueda de activos en internet (FOFA, 360Quake) como fuentes de inteligencia.
Resource Development (TA0042) Acquire Infrastructure (T1583) Creación de miles de cuentas automatizadas (patrón fofa@deltajohnsons.com) para eludir límites de API.
Initial Access (TA0001) Exploit Public-Facing Application (T1190) Explotación de vulnerabilidades RCE (React2Shell, Log4Shell, CVE-2025-66478) en aplicaciones expuestas a internet.
Execution (TA0002) Command and Scripting Interpreter: Python (T1059.006) Uso de scripts Python personalizados (2.py, 3.py, 4.py, 11.py) para automatizar la explotación.
Execution (TA0002) Command and Scripting Interpreter: Node.js (T1059.013) Ejecución fileless de código malicioso alimentando contenido web directamente en Node.js.
Persistence (TA0003) Web Shell (T1505.003) Gestión de 900 webshells en sistemas comprometidos.
Persistence (TA0003) Create or Modify System Process (T1543) Despliegue de backdoors d2 y pl como servicios persistentes.
Persistence (TA0003) External Remote Services (T1133) Uso de túneles Cloudflare (cf-client) y clientes P2P (mayun) para canales de comunicación persistentes.
Defense Evasion (TA0005) Obfuscated Files or Information (T1027) Scripts Python con ofuscación para evadir WAF.
Defense Evasion (TA0005) Fileless Storage (T1027.011) Ejecución de código en memoria mediante Node.js sin escritura en disco.
Defense Evasion (TA0005) Impair Defenses: Disable or Modify Tools (T1562.001) Evasión de WAF mediante técnicas específicas en scripts Python.
Credential Access (TA0006) Credentials from Password Stores (T1555.003) Robo de claves API de IA, tokens de Stripe y credenciales de bases de datos PostgreSQL.
Collection (TA0009) Data from Local System (T1005) Recopilación de datos sensibles (variables de entorno, credenciales, claves API).
Collection (TA0009) Archive Collected Data (T1560) Almacenamiento y organización de datos robados en backend centralizado (Paperclip).
Command and Control (TA0011) Application Layer Protocol (T1071) - Web Protocols (T1071.001) Comunicación C2 a través de túneles Cloudflare (HTTPS).
Command and Control (TA0011) Encrypted Channel (T1573) Túneles Cloudflare y comunicación P2P cifrada.
Exfiltration (TA0010) Exfiltration Over Web Service (T1567) Exfiltración de datos robados a backend centralizado.
Impact (TA0040) Financial Theft (sin código ATT&CK específico) Validación y explotación de tokens Stripe robados para robo financiero.

Flujo de Operación (Workflow - Planning to Report)

  1. Planning (Planificación): Los operadores definen los objetivos de ataque, seleccionando sectores de alto valor (fintech, Web3, seguridad).
  2. Review (Revisión): Se revisan los objetivos para validar su potencial de rentabilidad y la presencia de vulnerabilidades conocidas.
  3. Dispatch (Envío): Se asignan tareas de reconocimiento y escaneo a los agentes del sistema OpenClaw.
  4. Recon (Reconocimiento): Utilizando motores FOFA y 360Quake con cuentas automatizadas (136 cuentas FOFA), se mapea la superficie de ataque externa de los objetivos.
  5. Scan (Escaneo): Los scripts Python personalizados (2.py, 3.py, 4.py, 11.py) escanean los sistemas identificados en busca de vulnerabilidades RCE (React2Shell, Log4Shell, CVE-2025-66478). Los scripts soportan evasión de WAF y ejecución paralela.
  6. Validate (Validación): Se explotan las vulnerabilidades para confirmar la ejecución remota de código. El objetivo es lograr RCE confiable, no solo detección.
  7. Report (Informe): Los datos robados (claves API de IA, tokens de Stripe, credenciales PostgreSQL) se envían al backend centralizado (Paperclip). Se utilizan APIs de blockchain (OKLink, Tatum) para enriquecer los datos con información sobre direcciones de criptomonedas (22,000 rastreadas). Las claves de Stripe se validan automáticamente para identificar cuentas con saldos disponibles.

Infraestructura Utilizada

Tipo Indicador / Característica Propósito
Backend Centralizado Paperclip Coordinación de ataques, gestión de datos robados y enriquecimiento de información.
Sistema de Flujo de Trabajo OpenClaw Automatización de ataques mediante agentes y flujo de trabajo por etapas.
Motores de Mapeo FOFA, 360Quake Identificación de superficie de ataque externa.
Cuentas Automatizadas fofa@deltajohnsons.com (miles de cuentas), 136 cuentas FOFA identificadas Elusión de límites de API para escaneo continuo.
Scripts Python 2.py, 3.py, 4.py, 11.py Automatización de explotación, evasión de WAF, ejecución paralela.
Vulnerabilidades Explotadas React2Shell (CVE-2025-55182), CVE-2025-66478, Log4Shell (CVE-2021-44228) Vectores de acceso inicial mediante RCE.
Backdoors d2 (3,981 hosts), pl (1,393 hosts) Persistencia y acceso remoto.
Webshells 900 implantes Acceso remoto y control de sistemas comprometidos.
Túneles Cloudflare tunnels (cf-client) Comunicación C2 encubierta y evasiva.
Clientes P2P mayun Comunicación descentralizada entre nodos de la botnet.
Ejecución Fileless Node.js (contenido web directo) Ejecución de código malicioso en memoria sin escritura en disco.
APIs de Blockchain OKLink, Tatum Inteligencia sobre direcciones de criptomonedas (22,000 rastreadas).
Validación de Stripe Scripts automatizados Verificación de cuentas Stripe activas con saldos disponibles.

Objetivos y Sectores Afectados

  • Objetivo Principal: Organizaciones en sectores de alto valor con activos digitales y procesamiento de pagos.
  • Sectores Prioritarios:
    • Fintech (Tecnología Financiera)
    • Web3 / Blockchain / DeFi (Finanzas Descentralizadas)
    • Proveedores de Seguridad
  • Tipos de Datos Robados:
    • Claves API de IA (inteligencia artificial)
    • Tokens de Stripe (procesamiento de pagos)
    • Credenciales de bases de datos PostgreSQL
    • Variables de entorno (environment variables)
    • Direcciones de criptomonedas (22,000 rastreadas)
  • Número de Afectados (Sistemas Comprometidos):
    • Intentos de ataque totales: ~45,000
    • Hosts con backdoor d2: 3,981
    • Hosts con backdoor pl: 1,393
    • Webshells desplegadas: 900
  • Distribución Geográfica: Global (no se especifica regiones geográficas específicas, pero los actores están vinculados a China)

Impacto y Riesgo

  • Nivel de Riesgo: Crítico para organizaciones en los sectores fintech, Web3 y seguridad. Las capacidades de automatización y escala de la operación permiten a los atacantes comprometer miles de sistemas simultáneamente.
  • Impacto Potencial (Organizaciones):
    • Robo de Claves API de IA: Acceso a modelos de IA y datos de entrenamiento, posible robo de propiedad intelectual o uso no autorizado de servicios de IA (costos elevados).
    • Compromiso de Procesamiento de Pagos (Stripe): Los tokens de Stripe robados y validados pueden ser utilizados para realizar transacciones fraudulentas, robando fondos directamente de cuentas empresariales.
    • Acceso a Bases de Datos: Credenciales de PostgreSQL comprometidas pueden exponer datos de clientes, registros financieros y otra información sensible.
    • Pérdida de Confianza: Clientes de organizaciones fintech y Web3 pueden perder la confianza en la seguridad de las plataformas.
    • Daño Reputacional: Las organizaciones comprometidas enfrentan daño reputacional significativo, especialmente en el competitivo sector fintech.
  • Impacto Potencial (Por Escala):
    • 45,000 intentos de ataque indican una capacidad de apuntar a una gran parte de la superficie de ataque global en sectores específicos.
    • Más de 5,300 backdoors implantadas (suma de d2 y pl) representan una botnet significativa que puede ser utilizada para futuros ataques (DDoS, minería, distribución de malware).
    • 22,000 direcciones de criptomonedas rastreadas sugiere un enfoque en el robo de activos digitales y posible lavado de dinero.
  • Contexto de Automatización Industrial: El uso de un backend centralizado (Paperclip) y un sistema de flujo de trabajo (OpenClaw) permite a los atacantes operar con una eficiencia similar a la de una empresa legítima, escalando sus operaciones y gestionando grandes volúmenes de datos robados de manera sistemática.

Recomendaciones de Mitigación

  1. Parcheo de Vulnerabilidades Conocidas (M1051):
    • Priorizar la aplicación de parches para React2Shell (CVE-2025-55182) , CVE-2025-66478 y Log4Shell (CVE-2021-44228) en todos los sistemas expuestos a internet.
    • Implementar un programa de gestión de vulnerabilidades que incluya escaneos regulares y parcheo automatizado.
  2. Protección de APIs y Superficie de Ataque (M1030, M1037):
    • Monitorear el uso de APIs de motores de búsqueda como FOFA y 360Quake para detectar escaneos masivos desde direcciones IP sospechosas.
    • Restringir la exposición de servicios que no necesitan ser accesibles públicamente.
    • Implementar sistemas de detección de escaneo que identifiquen patrones anómalos de consultas a APIs.
  3. Detección de Backdoors y Persistencia (M1040):
    • Monitorear la presencia de backdoors d2 y pl mediante búsqueda de indicadores de compromiso (IOCs) en endpoints y servidores.
    • Auditar webshells en servidores web, buscando archivos inesperados en directorios web.
    • Monitorear túneles de Cloudflare no autorizados (cf-client) y clientes P2P (mayun).
  4. Defensa contra Ejecución Fileless (M1040, M1049):
    • Monitorear la ejecución de Node.js y otros intérpretes de scripting que reciben entrada de fuentes de red.
    • Implementar soluciones EDR que detecten comportamientos de ejecución en memoria y cargas útiles sin archivos.
    • Restringir el acceso a internet de intérpretes de scripting en entornos controlados.
  5. Protección de Credenciales y Datos Sensibles (M1027, M1026):
    • Rotar regularmente las claves API, tokens de Stripe y credenciales de bases de datos.
    • Nunca almacenar credenciales en variables de entorno de sistemas expuestos.
    • Implementar autenticación multifactor (MFA) para accesos a sistemas críticos.
    • Utilizar secret managers (HashiCorp Vault, AWS Secrets Manager) en lugar de almacenamiento en texto plano.

Herramientas de Detección

  • SIEM (Security Information and Event Management): Correlacionar logs de acceso, logs de aplicaciones y alertas de seguridad para identificar patrones de escaneo masivo (múltiples consultas a APIs desde IPs distribuidas).
  • EDR (Endpoint Detection and Response): Soluciones como CrowdStrike, SentinelOne, Microsoft Defender for Endpoint pueden detectar backdoors (d2, pl), webshells, ejecución fileless de Node.js, y actividad de túneles de Cloudflare.
  • NDR (Network Detection and Response): Herramientas como Darktrace, Vectra pueden detectar tráfico C2 anómalo, comunicación P2P (mayun), y túneles cifrados hacia Cloudflare.
  • Monitoreo de FOFA/360Quake: Servicios de inteligencia de amenazas pueden monitorear el uso de estos motores de búsqueda para identificar escaneos dirigidos.
  • Honeypots: Desplegar señuelos que imiten sistemas vulnerables (React, Log4j, PostgreSQL) para detectar intentos de explotación de esta campaña.

Referencias y Fuentes

  • Ahmed, D. (2026, 1 de mayo). *45,000 Attacks, 5,300+ Backdoors Tied to China-Linked Cybercrime Operation*. Hackread.com. (Artículo proporcionado por el usuario).
  • SOCRadar Threat Research Team. (2026). OpenClaw & Paperclip: Chinese Automated Cybercrime Operation. (Informe de investigación citado en el artículo).
  • MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

Historial de Revisiones

Fecha Versión Autor Cambios Realizados
2026-05-04 1.0 Fernando Vargas Hincapié Creación inicial de la entrada basada en el análisis de SOCRadar sobre la operación OpenClaw & Paperclip.

Indicadores de Compromiso (IOCs)

Tipo Valor
Nombre de la Operación OpenClaw & Paperclip
Vínculo Geográfico China
Backend Centralizado Paperclip
Sistema de Flujo de Trabajo OpenClaw
Motores de Mapeo FOFA, 360Quake
Patrón de Correo Electrónico (Cuentas) fofa@deltajohnsons.com
Número de Cuentas FOFA 136 cuentas
Scripts Python Personalizados 2.py, 3.py, 4.py, 11.py
Vulnerabilidades Explotadas React2Shell (CVE-2025-55182), CVE-2025-66478, Log4Shell (CVE-2021-44228)
Backdoor d2 3,981 hosts comprometidos
Backdoor pl 1,393 hosts comprometidos
Número de Webshells 900 implantes
Túneles Cloudflare tunnels (cf-client)
Clientes P2P mayun
Datos Robados Objetivo Claves API de IA, tokens de Stripe, credenciales PostgreSQL, variables de entorno
APIs de Blockchain OKLink, Tatum
Número de Direcciones Crypto Rastreadas ~22,000
Total de Intentos de Ataque ~45,000
Sectores Objetivo Fintech, Web3, proveedores de seguridad
Flujo de Trabajo Planning → Review → Dispatch → Recon → Scan → Validate → Report
Técnica de Evasión Ejecución fileless con Node.js
Comportamiento Anómalo Múltiples consultas a APIs de FOFA/360Quake desde IPs distribuidas
Comportamiento Anómalo Backdoors d2/pl en sistemas, webshells en servidores web
Comportamiento Anómalo Túneles de Cloudflare no autorizados, clientes P2P mayun
Comportamiento Anómalo Ejecución de Node.js con carga útil de red

Etiquetas / Categorías

openclaw paperclip chinese-cybercrime fofa 360quake react2shell cve-2025-55182 log4shell cve-2021-44228 cve-2025-66478 d2-backdoor pl-backdoor webshells fileless-execution nodejs-malware cloudflare-tunnels mayun-p2p stripe-tokens postgresql-credentials oklink tatum fintech web3 defi socradar threat-research china-apt cybercrime-as-a-service ciberwiki deeba-ahmed hackread automated-cybercrime 45k-attacks 5300-backdoors

Obtenido de «https://darfe.es/ciberwiki/index.php?title=OpenClaw_%26_Paperclip_Chinese_Cybercrime_Operation&oldid=2953»