Espías del gobierno chino comprometieron organizaciones médicas y militares de Norteamérica durante más de un año mediante la explotación de servidores REDCap y el malware InfiniteRed. El grupo UNC6508 robó datos sensibles y correos electrónicos sobre tecnología de drones, estrategia militar y el virus Chikungunya. Google detectó la operación y desactivó la cuenta de Gmail utilizada para la filtración de esta información geoestratégica.

Espías del gobierno chino permanecieron ocultos en las redes de múltiples organizaciones de investigación médica y militar norteamericanas durante más de un año, desplegando malware personalizado, husmeando en bandejas de entrada de Gmail y robando datos sensibles.

Este grupo de espionaje vinculado a la RPC, que Google rastrea como UNC6508, utilizó algunos términos de búsqueda particularmente notables mientras escaneaban datos para robar. Estos incluyeron temas tan esotéricos como la tecnología de drones y una enfermedad viral que se propaga de mosquitos a humanos.

"Es una de las listas de compras de cosas para recolectar más interesantes que he visto de un actor respaldado por un estado", dijo Luke McNamara, analista jefe adjunto del Grupo de Inteligencia de Amenazas de Google.

"Tenemos actividad relacionada con la defensa, que constituyó una parte significativa de los diferentes términos, o correos electrónicos relacionados con sistemas de plataformas de defensa o empresas", dijo McNamara. "Algunos buscaban cualquier correo electrónico entrante o saliente que utilizara el símbolo @ seguido de un nombre importante de defensa. Otros eran direcciones de correo electrónico específicas de individuos en empresas de defensa más especializadas".

Aunque la mayoría de los términos se relacionaban con la defensa y la tecnología, los intrusos también buscaron algunas instalaciones de investigación médica y el patógeno muy específico, Chikungunya, una enfermedad viral transmitida a los humanos por mosquitos que fue responsable de un brote en la provincia de Guangdong, China, en julio de 2025.

Google no revelará cuántas organizaciones se vieron comprometidas en esta campaña. Un informe del lunes señaló que la operación se dirigió a varias entidades médicas nacionales, estatales y privadas.

"Estas organizaciones comprenden proveedores clínicos de renombre mundial, centros académicos de primer nivel, instituciones de salud militar norteamericanas, grupos de defensa profesional y organismos reguladores de salud", según el informe. "Sus áreas de investigación abarcan un amplio espectro de la medicina moderna, desde el descubrimiento molecular y ensayos clínicos de fármacos hasta políticas de salud pública a nivel estatal y preparación militar".

McNamara nos dijo que los respondedores de incidentes de la compañía tecnológica notificaron a todas las víctimas identificadas, "y sospechamos que probablemente haya aún más".

Los respondedores de incidentes detectaron esta campaña a principios de 2025, pero nos informaron que se remonta al menos a 2023. Todos estos ataques comenzaron con los intrusos digitales explotando de alguna manera servidores REDCap (Research Electronic Data Capture) orientados al exterior. Estos servidores son utilizados principalmente por universidades, hospitales e instituciones de investigación para crear y gestionar bases de datos y encuestas en línea, y para almacenar datos sensibles de investigación clínica.

La intrusión más antigua conocida ocurrió en septiembre de 2023, cuando UNC6508 comprometió un servidor REDCap perteneciente a una institución de investigación médica norteamericana. McNamara nos comentó que todas las intrusiones siguieron este mismo patrón.

Seeing (infinite)red

Después de tres meses, los espías desplegaron silenciosamente un malware personalizado llamado InfiniteRed para capturar credenciales de inicio de sesión legítimas de REDCap.

El malware incluye tres componentes modulares. El primero le permite mantener el acceso remoto persistente inyectando su código en nuevas versiones de REDCap tras interceptar el proceso de actualización. Luego, inyecta un recolector de credenciales en el archivo del sistema de autenticación para comprometer las cuentas de usuario. Finalmente, funciona como una puerta trasera con ganchos personalizados que se ejecuta en cada carga de página de REDCap.

El equipo de inteligencia de amenazas de Google identificó "múltiples" organizaciones basadas en EE. UU. y Canadá infectadas con InfiniteRed, y ofreció asistencia para eliminar el malware.

Tras permanecer indetectados durante más de un año, UNC6508 utilizó las credenciales robadas para acceder a cuentas de administrador y a la red interna de las víctimas. Finalmente, los atacantes añadieron reglas furtivas de cumplimiento de contenido de dominio para el robo de datos.

All 'patroit' themed emails sent to bebitabarefoot774

Las reglas de cumplimiento de contenido son funciones legítimas en muchas suites de productividad empresarial basadas en la nube, como Google Workspace, para exfiltrar comunicaciones de correo electrónico específicas. Los administradores pueden crear estas reglas para gestionar mensajes que contengan conjuntos predefinidos de palabras o frases, y estas reglas se aplican a todos los usuarios de una unidad organizativa.

UNC6508 creó una regla de cumplimiento llamada "Patroit" (sí, escribieron mal "Patriot") para coincidir con palabras clave y patrones de direcciones de correo electrónico en mensajes enviados o recibidos.

Estos mensajes eran entonces reenviados silenciosamente mediante CCO a una dirección de Gmail controlada por el atacante, BebitaBarefoot774[@]gmail[.]com, entregando un flujo constante de correos sobre política geoestratégica, estrategia militar, tecnología avanzada e investigación médica al grupo vinculado a la RPC. Los términos de búsqueda también incluían direcciones de correo electrónico profesionales y números de teléfono de miembros de organizaciones en estos ámbitos.

El GTIG desactivó la cuenta de Gmail para evitar más exfiltración de datos.

"Una de las preguntas que hemos tenido internamente sobre esto es: estamos viendo que esto aparece principalmente en instituciones de investigación médica", dijo McNamara. "¿Por qué buscan cosas como drones no tripulados y vehículos no tripulados? ¿Por qué esperarías encontrar eso allí?".

Una teoría, señaló, es que este grupo de amenazas particular tenía la tarea de recolectar datos a través de diferentes categorías de términos e información relacionados con la seguridad nacional. "¿Quizás estaban copiando y pegando esto en múltiples víctimas, incluidas aquellas fuera del espacio de investigación médica?".

Además, es probable que algunas de las instituciones objetivo estuvieran trabajando en investigaciones con conexión a una agencia militar o gubernamental. "Así que existía la posibilidad de que estuvieran en correspondencia con alguien donde apareciera uno de estos términos, y los actores estaban lanzando una red muy amplia", concluyó McNamara.

Fuente:
TheRegister