Este método les permite mezclar su tráfico malicioso con la actividad normal de internet, haciendo que sea mucho más difícil para los defensores rastrear los ataques hasta su origen. El resultado es una red oculta y poderosa que está en constante movimiento y casi imposible de detectar con herramientas de seguridad tradicionales.

 La escala y flexibilidad de estas redes encubiertas las hacen particularmente peligrosas. Los actores vinculados a China ahora están utilizando estos dispositivos comprometidos en todas las etapas de la Cadena de Eliminación Cibernética. 

 Desde las fases iniciales de escaneo y reconocimiento, pasando por la entrega de malware, hasta las comunicaciones de comando y control y el robo final de datos, cada paso del ataque puede ser enrutado a través de dispositivos ordinarios que parecen inocentes. 

 Esto significa que un ataque podría parecer provenir de una red doméstica en un país un día y de una ubicación completamente diferente al siguiente. Junto con agencias asociadas y la Cyber League, los analistas del NCSC del Reino Unido identificaron este creciente patrón de amenaza y publicaron un aviso el 23 de abril de 2026. Señalaron que estas redes encubiertas no son utilizadas por un solo grupo. 

Múltiples actores de amenazas vinculados a China comparten el mismo conjunto de nodos comprometidos, actualizando y remodelando la red de manera continua. Esto crea lo que el NCSC describe como “extinción de IOC”, lo que significa que los indicadores de compromiso, las huellas digitales que los defensores normalmente usan para detectar ataques, desaparecen casi tan pronto como son descubiertos. El impacto en las organizaciones objetivo es grave. 

Datos sensibles pueden ser robados y servicios críticos podrían ser interrumpidos, todo mientras los atacantes permanecen efectivamente invisibles detrás de una pared de dispositivos de consumo hackeados. Las organizaciones que dependen únicamente de defensas estáticas, como listas de bloqueo de IP fijas, están particularmente en riesgo, porque la infraestructura detrás de estos ataques nunca permanece igual el tiempo suficiente para que esas listas sean útiles. Esto marca un cambio real en cómo se llevan a cabo las operaciones de ciberespionaje a gran escala.

Cómo opera la red encubierta como un escudo

El mecanismo central detrás de esta amenaza es engañosamente simple pero operativamente brillante. Cuando los actores vinculados a China quieren atacar un objetivo, en lugar de conectarse directamente desde un servidor conocido, enrutan su tráfico a través de una cadena de routers y dispositivos IoT ya comprometidos, que a menudo pertenecen a hogares o pequeñas empresas.

 Estos dispositivos suelen ejecutar firmware desactualizado con vulnerabilidades sin parchear, lo que los convierte en blancos fáciles para la primera intrusión. Una vez dentro, los atacantes instalan herramientas ligeras que pasan el tráfico silenciosamente a lo largo de la cadena, dejando muy pocas huellas en el dispositivo mismo. Dado que los dispositivos utilizados en la red se intercambian constantemente, la infraestructura se regenera automáticamente.

 Los equipos de seguridad que bloquean un conjunto de direcciones IP descubrirán que nuevos nodos ya los han reemplazado, haciendo que sus defensas queden obsoletas en cuestión de horas. Esto es lo que hace que la detección de anomalías basada en aprendizaje automático y el perfilado geográfico sean tan importantes, ya que las reglas estáticas simplemente no pueden mantenerse al día con una red diseñada para cambiar constantemente su propia forma. 

 El aviso del NCSC ofrece orientación clara para que organizaciones de todos los tamaños aborden esta amenaza. Se recomienda a todas las organizaciones que mapeen y establezcan una línea base del tráfico de sus dispositivos de borde, especialmente las conexiones VPN y de acceso remoto, y que adopten filtros dinámicos de fuentes de amenazas que reflejen los indicadores conocidos de redes encubiertas. La autenticación de dos factores debe ser obligatoria para todo acceso remoto.

 Cuando sea posible, se deben aplicar controles de confianza cero, listas de permitidos de IP y verificación de certificados de máquina. A las organizaciones más grandes y de alto riesgo se les recomienda además realizar caza activa de amenazas en el tráfico sospechoso de SOHO y IoT, aplicar perfilado geográfico y desplegar herramientas de aprendizaje automático capaces de detectar patrones inusuales antes de que ocurra el daño.

Fuentes:
https://cybersecuritynews.com/hackers-abuse-compromised-routers/