Un grupo de hackers vinculado presuntamente al estado chino ha sido descubierto ejecutando una de las operaciones de ciberespionaje más extensas jamás detectadas, infiltrándose silenciosamente en proveedores de telecomunicaciones y organismos gubernamentales en cuatro continentes durante casi una década. Google ha intervenido ahora para desmantelar por completo esta operación, cortando el acceso persistente del grupo y publicando inteligencia sobre amenazas.

Un grupo de hackers presuntamente vinculado al estado chino ha sido descubierto ejecutando una de las operaciones de ciberespionaje más extensas jamás detectadas: silenciosamente vulneró a proveedores de telecomunicaciones y organismos gubernamentales en cuatro continentes durante casi una década.

Google ha intervenido ahora para desmantelar por completo esa operación, cortando el acceso persistente del grupo y publicando inteligencia de amenazas para ayudar a las organizaciones afectadas a identificar y responder.

El Grupo de Inteligencia de Amenazas de Google (GTIG) y Mandiant tomaron medidas coordinadas para interrumpir una campaña global de espionaje vinculada a un actor de amenazas rastreado como UNC2814, evaluado como asociado a la República Popular China (RPC).

GTIG ha monitoreado a este grupo desde 2017. Para el 18 de febrero de 2026, la investigación confirmó 53 víctimas en 42 países, con infecciones sospechosas en al menos 20 naciones más en África, Asia y las Américas.

Ese alcance refleja casi una década de esfuerzo deliberado y focalizado, dirigido a algunas de las infraestructuras de comunicación más sensibles del mundo.

La campaña se centró en un backdoor previamente no documentado llamado GRIDTIDE.

En lugar de usar servidores de comando dedicados, GRIDTIDE enruta las comunicaciones a través de Google Sheets, tratando las celdas de la hoja de cálculo como un canal de mensajería en vivo entre el atacante y las máquinas comprometidas.

Este tráfico malicioso disfrazado como actividad rutinaria en la nube lo hacía extremadamente difícil de detectar para las defensas de red estándar.

UNC2814 no tiene solapamiento conocido con el grupo Salt Typhoon reportado públicamente; apunta a víctimas completamente diferentes usando métodos, herramientas y procedimientos distintos.

Analistas de Google Cloud identificaron GRIDTIDE tras una investigación de Mandiant Threat Defense que detectó comportamiento sospechoso en un servidor Linux CentOS de un cliente.

Una alerta de detección reveló un binario llamado /var/tmp/xapt —diseñado para parecerse a una herramienta de sistema común— que había lanzado un shell con privilegios de root y ejecutaba comandos para confirmar el control total de la máquina.

Ese hallazgo proporcionó a los investigadores el hilo crítico necesario para desenredar toda la operación de UNC2814. El nombre del binario xapt fue elegido deliberadamente para suplantar la utilidad de gestión de paquetes heredada de los sistemas Linux basados en Debian.

Aunque el vector de acceso inicial exacto no ha sido confirmado, UNC2814 tiene un historial de intrusiones mediante la vulneración de servidores web expuestos a internet y dispositivos de red perimetrales.

Una vez dentro, el grupo dependió de herramientas del sistema legítimas integradas para moverse lateralmente —una técnica conocida como "living off the land"— evitando instalar software nuevo que pudiera activar alertas de seguridad.

Los sistemas comprometidos incluían máquinas que almacenaban información personal identificable, como nombres, números de teléfono, números de identificación nacional y registros de votantes, todo consistente con las prioridades de recolección de inteligencia de la RPC.

Persistencia y comando y control de GRIDTIDE

Tras asegurar el acceso, UNC2814 implantó GRIDTIDE registrando un servicio systemd en /etc/systemd/system/xapt.service.

El malware se ejecutaba mediante el comando nohup, garantizando que siguiera funcionando mucho después de que terminara la sesión del atacante.

Como canal de comunicación secundario, el grupo desplegó SoftEther VPN Bridge, abriendo un túnel cifrado de salida hacia infraestructura externa cuya metadata sugiere que ha estado activa desde julio de 2018.

GRIDTIDE es un backdoor basado en C capaz de ejecutar comandos de shell, subir archivos a los hosts comprometidos y exfiltrar datos.

Utiliza una clave de cifrado AES-128 de 16 bytes para descifrar su configuración en Google Drive, que contiene las credenciales de la cuenta de servicio y el ID de la hoja de cálculo necesarios para el acceso C2.

Una vez conectado, borra las primeras 1.000 filas de la hoja de cálculo, recopila la huella digital de la máquina víctima —incluyendo nombre de host, versión del sistema operativo, IP local y zona horaria— y almacena esos datos en la celda V1.

Los comandos llegan a través de la celda A1, y los resultados se devuelven en un rango de celdas definido. Todo el tráfico está codificado en Base64 seguro para URL, eludiendo filtros web y herramientas de inspección de red.

Las organizaciones deberían monitorear las conexiones HTTPS salientes a los puntos finales de la API de Google Sheets, especialmente solicitudes que involucren batchClear, batchUpdate y valueRenderOption=FORMULA, provenientes de procesos que no sean navegadores.

Los equipos de seguridad también deben revisar servicios systemd en directorios inesperados, binarios ejecutándose desde /var/tmp/ y componentes de SoftEther VPN en servidores Linux.

Aplicar la regla YARA publicada por GTIG para GRIDTIDE y cruzar la lista de IOCs liberada con los registros internos ayudará a confirmar si queda alguna exposición residual de esta campaña.