Check Point Research identificó a CopperDragon, una entidad vinculada a China que suministra herramientas de ciberespionaje a través del ecosistema Sparrow. Esta operación se divide en tres grupos: SilentDelivery, OceanGate y DarkWire, los cuales atacan infraestructura crítica, gobiernos y telecomunicaciones en Asia, Europa y Latinoamérica. Utilizan técnicas avanzadas como ataques de watering hole, rootkits de kernel y túneles DNS para evadir detecciones y exfiltrar datos sensibles.





Se han observado tres grupos distintos de actividad de amenazas con infraestructura compartida y similitudes en el código de malware dirigidos a proveedores de telecomunicaciones, organizaciones gubernamentales, entidades militares, instituciones de investigación e infraestructura crítica en América Latina, Asia y Europa durante el último año.

Check Point Research está rastreando estos grupos bajo los nombres SilentDelivery, OceanGate y DarkWire. Aunque inicialmente se asumió que eran conjuntos de ataques independientes, cada uno con sus propias puertas traseras y herramientas de post-explotación, todos han sido vinculados a través de un ecosistema de malware llamado Sparrow.

La entidad detrás del marco de trabajo Sparrow ha sido apodada CopperDragon, y se considera que es un "intendente digital" que desarrolla herramientas para actores de amenazas vinculados a China, incluidos FamousSparrow, Earth Estries, Tropic Trooper, UAT-9244 y UAT-8302.

"Cada grupo empleó un conjunto de herramientas diferente y diferentes técnicas de acceso inicial, incluyendo el compromiso de infraestructura orientada a Internet y ataques de watering hole altamente selectivos", afirmó Check Point en un informe técnico publicado hoy. "Los sitios web comprometidos que se utilizaron para los ataques de watering hole pertenecían a los sectores gubernamental, de transporte, informático y de investigación".

Los ataques lanzados por FamousSparrow son conocidos por desplegar puertas traseras como SparrowDoor (y sus variantes Crowdoor y TernDoor), SparroWocky y HemiGate. También se estima que comparte cierto grado de coincidencia con Salt Typhoon, aunque la naturaleza precisa de la relación sigue sin estar clara.

El ecosistema de ciberespionaje vinculado a CopperDragon está impulsado por tres grupos prominentes:

• * SilentDelivery (comenzando a principios de 2026), que lleva a cabo ataques de watering hole altamente selectivos dirigidos a Europa y Asia que distribuyen una puerta trasera llamada SquadC (también conocida como SquawkDoor) a través de instaladores MSI troyanizados que se hacen pasar por utilidades de reparación de certificados.
• * OceanGate (2025-2026), que se centra principalmente en organizaciones asiáticas con una variante de SparrowDoor después de obtener el acceso inicial a través de servidores Linux orientados a Internet y luego moverse lateralmente hacia entornos Windows.
• * DarkWire (mediados de 2025), que se dirige a proveedores de telecomunicaciones y organizaciones gubernamentales en América Latina utilizando puertas traseras llamadas CopperDoor (también conocida como SparroWocky) y CopperDNS.

Silentdelivery

La cadena de SilentDelivery comienza con el atacante inyectando JavaScript fuertemente ofuscado en sitios web legítimos frecuentados por sus objetivos previstos. Los visitantes de los sitios se encuentran con una advertencia de certificado SSL de Google Chrome que indica a los usuarios que instalen una utilidad de "Reparación de Certificado" para restaurar el acceso.

La llamada utilidad, una vez desplegada, entrega SquadC o una variante de SparrowDoor. Se ha descubierto que todos los sitios web comprometidos están relacionados con los sectores gubernamental, de transporte, informático y de investigación en la República Checa, Alemania, Francia, Taiwán, Nepal, Hong Kong e Indonesia.



Según un informe publicado por Positive Technologies en agosto de 2026, hay indicios de que la campaña también ha tenido como objetivo entidades en Egipto y Filipinas utilizando este método.

"El JavaScript inyectado en los sitios web comprometidos está fuertemente ofuscado utilizando jsjiami, un servicio de ofuscación de JavaScript disponible públicamente", dijo Check Point. "Primero verifica si el usuario está ejecutando Windows y, en algunos casos, verifica que el dominio del sitio web coincida con el dominio comprometido previsto".

Luego, el script envía repetidamente solicitudes de verificación de estado a un servidor de comando y control (C2) para identificar al usuario basándose en la IP y la geolocalización, y finalmente decidir si continúa el ataque y muestra la advertencia falsa.



Escrito en C/C++, SquadC es una puerta trasera de Windows que permite el acceso inicial sobre el host infectado. Establece persistencia mediante una clave de ejecución del Registro de Windows que se hace pasar por un asistente de actualización de Windows. Análisis posteriores han revelado que el malware también se distribuye a través de correos electrónicos de phishing dirigidos a organizaciones indonesias.

El correo de phishing incluye un acceso directo de Windows (LNK) disfrazado de documento PDF que, al abrirse, abusa del binario legítimo "ftp.exe" para ejecutar un script de lotes responsable de mostrar un archivo vacío como señuelo, mientras lanza SquadC mediante DLL sideloading.

Oceangate

La operación OceanGate, por otro lado, ha sido observada atacando tanto entornos Windows como Linux, desplegando herramientas previamente no documentadas para mantener el acceso, moverse lateralmente por la red y exfiltrar datos sensibles.

La fase de Linux del ataque implica dos nuevas puertas traseras:

• * AnnobinDoor, una puerta trasera basada en Go que soporta acceso remoto, shell interactiva, gestión de archivos, proxy SOCKS, túneles SSH, redireccionamiento de puertos y conexiones inversas.
• * SparrowShell, una puerta trasera de Linux modular que comparte similitudes con su contraparte de Windows, SparrowDoor.

"Después de recolectar credenciales de múltiples usuarios y establecer un punto de apoyo fuerte en el entorno Linux, el actor se movió al entorno Windows", explicó Check Point. "El actor intentó iniciar sesión en varias máquinas Windows a través de RDP, probando diferentes contraseñas hasta que logró autenticarse con una cuenta de administrador".



Este paso es seguido por el despliegue de herramientas de post-explotación personalizadas y una variante de SparrowDoor:

• * CopperAdu, una herramienta de post-explotación que configura una máquina Windows comprometida para acceso administrativo remoto.
• * CopperList, una herramienta de reconocimiento de Windows para recolectar información del host, detalles del disco y un inventario recursivo de archivos.
• * CopperLogger, un keylogger basado en Raw Input para capturar eventos de entrada del teclado, además de monitorear la actividad del portapapeles y títulos de ventanas activas.
• * CopperLsa, una utilidad que recolecta contraseñas, hashes y tokens de autenticación de NTLM y Kerberos.

Además, se ha descubierto que el actor de la amenaza ha incorporado rootkits de kernel y capacidades de acceso a nivel de kernel en SparrowDoor y SparrowShell para evadir las defensas mediante la ocultación de procesos y para capturar y manipular paquetes de red utilizando controladores WinDivert.

"El actor abusó del controlador para convertir SparrowDoor en una puerta trasera pasiva que intercepta y manipula paquetes a nivel de kernel, haciendo que su tráfico sea menos visible", dijo Check Point. "Esto permite que la puerta trasera escuche internamente en un puerto mientras recibe conexiones a través de un puerto accesible externamente, como el 443, que ya es utilizado por un servicio legítimo".

"La puerta trasera aplica un filtro estricto para interceptar conexiones desde una dirección IP de origen específica hacia el puerto del servicio legítimo. Manipula el paquete y reescribe el puerto de destino al puerto de escucha interno de la puerta trasera, típicamente un puerto alto como el 49628. Para el tráfico de respuesta, reescribe el puerto de origen nuevamente al puerto del servicio externo, haciendo que las respuestas parezcan originarse desde el servicio legítimo".

Curiosamente, SparrowShell comparte similitudes de código e infraestructura con un malware llamado Mélofée que fue descrito por primera vez por ExaTrack en marzo de 2023 como basado en el rootkit de código abierto Reptile. Esto ha planteado la posibilidad de que CopperDragon también esté detrás del desarrollo y suministro de Mélofée.

Darkwire

El tercer y último grupo de actividad se centra en América Latina, con un enfoque particular en operadores de telecomunicaciones y entidades gubernamentales. Estos ataques llevaron al despliegue de dos puertas traseras recién identificadas llamadas CopperDoor y CopperDNS como un posible reemplazo de SparrowDoor.



También apoyando estas operaciones hay un conjunto de herramientas personalizadas:

• * CopperLoader, un cargador reflectivo desplegado típicamente a través de DLL sideloading y utilizado para entregar herramientas adicionales.
• * CopperDoor, una puerta trasera modular residente en memoria.
• * CopperDNS, una variante de CopperDoor que se comunica a través de túneles DNS utilizando consultas MX.
• * CopperProxy, un proxy SOCKS5.
• * PyProxy, un relé UDP ligero escrito en Python.
• * CopperLsass, un módulo dedicado para volcar el proceso LSASS para la recolección de credenciales.

"La operación depende en gran medida del DLL sideloading como técnica de ejecución primaria, abusando a menudo de ejecutables que no son ampliamente observados entre otros actores de amenazas", dijo Check Point. "Para minimizar su huella, los operadores evitaron deliberadamente crear nuevos directorios en el disco, colocando en su lugar sus herramientas dentro de rutas del sistema existentes".

"La infraestructura de CopperDoor demostró un mayor nivel de seguridad operativa. La mayoría de las direcciones IP estaban ubicadas en América Latina, a menudo en el mismo país que la organización víctima. Esta proximidad probablemente ayuda a que el tráfico malicioso se mezcle con la actividad de red legítima y reduce las posibilidades de detección".

Fuente:
THN