Check Point Research descubre una red de herramientas de espionaje que habría conectado tres operaciones contra gobiernos, ejércitos y empresas estratégicas de Europa, Asia y América Latina.
El ciberespionaje internacional ha adquirido una nueva dimensión. Una investigación de Check Point Research, publicada el 10 de noviembre de 2026, ha descubierto que tres campañas informáticas que parecían independientes compartían infraestructura, código malicioso y herramientas de intrusión vinculadas a un mismo ecosistema: Sparrow.
Las operaciones, denominadas SilentDelivery, OceanGate y DarkWire, han sido relacionadas con una entidad identificada por los investigadores como CopperDragon, considerada un posible desarrollador y proveedor de herramientas para distintos grupos de ciberespionaje asociados a China.
Los objetivos de estas campañas incluyen organismos gubernamentales, operadores de telecomunicaciones, entidades militares, centros de investigación e infraestructuras críticas. Los ataques se han detectado en países de Europa, Asia y América Latina durante el último año, con técnicas que van desde páginas web manipuladas hasta la infiltración de servidores Linux y Windows.
El alcance de la investigación resulta especialmente preocupante por la sofisticación de algunas herramientas. Los atacantes podían robar contraseñas, registrar pulsaciones de teclado, vigilar el portapapeles, ocultar procesos maliciosos y mantener el acceso a redes internas durante periodos prolongados.
No obstante, conviene establecer una distinción fundamental: Check Point vincula estas operaciones con actores asociados a China, pero no demuestra públicamente que el Gobierno chino haya ordenado o dirigido directamente los ataques. La atribución se basa en coincidencias técnicas, herramientas compartidas e infraestructura relacionada.
CopperDragon: el posible proveedor detrás del ecosistema de espionaje Sparrow
La pieza central de la investigación es CopperDragon, nombre utilizado por Check Point Research para identificar a la entidad que estaría detrás del desarrollo y suministro del ecosistema de malware Sparrow.
Los investigadores consideran que CopperDragon podría actuar como una especie de proveedor tecnológico para diferentes grupos de amenazas. En lugar de que cada organización de espionaje desarrolle desde cero sus propias herramientas, varios actores podrían utilizar componentes comunes y adaptarlos a sus objetivos.
Entre los grupos relacionados con este ecosistema aparecen:
- FamousSparrow, conocido por sus operaciones de ciberespionaje y por el uso de puertas traseras como SparrowDoor.
- Earth Estries, otro actor asociado a campañas de intrusión contra organizaciones estratégicas.
- Tropic Trooper, grupo relacionado con operaciones de espionaje digital en Asia.
- UAT-9244, identificado por investigadores de seguridad como un actor vinculado a actividades de amenazas avanzadas.
- UAT-8302, otro grupo incluido en las conexiones analizadas por Check Point.
Esta relación no significa necesariamente que todos los grupos actúen bajo una misma dirección operativa. La hipótesis de los investigadores es que comparten herramientas y recursos técnicos proporcionados por una entidad común.
El informe también recuerda que FamousSparrow ha sido relacionado anteriormente con Salt Typhoon, un grupo asociado a operaciones contra redes de telecomunicaciones. Sin embargo, Check Point advierte de que la naturaleza exacta de esa relación continúa sin estar clara.
SilentDelivery: los atacantes convierten páginas legítimas en trampas
La primera campaña identificada recibe el nombre de SilentDelivery. Su actividad comenzó a principios de 2026 y se ha centrado principalmente en organizaciones de Europa y Asia.
Su método de entrada resulta especialmente engañoso porque aprovecha páginas web legítimas que visitan habitualmente los objetivos.
Los atacantes comprometen sitios relacionados con administraciones públicas, transporte marítimo, tecnología e investigación. Después introducen código JavaScript malicioso y ofuscado, diseñado para alterar el contenido que ve el visitante.
En lugar de mostrar la página original, el navegador puede presentar una falsa advertencia de seguridad de Google Chrome. El mensaje informa de un supuesto problema con el certificado SSL y ofrece una herramienta llamada Certificate Fix para solucionar el error.
El usuario cree que está instalando una utilidad necesaria para recuperar el acceso a una página. En realidad, puede estar ejecutando el programa que inicia la infección.
Una falsa reparación del certificado instala el malware
La cadena de infección descrita por Check Point sigue varias fases:
- El usuario visita una página web legítima que ha sido comprometida.
- Un código JavaScript comprueba determinadas características del equipo y del visitante.
- El sitio muestra una falsa advertencia de certificado de Chrome.
- La página invita a descargar e instalar la supuesta herramienta Certificate Fix.
- El instalador introduce una puerta trasera en el ordenador.
Los investigadores identificaron dos posibles cargas maliciosas: SquadC y variantes de SparrowDoor.
El código también comprueba si el visitante utiliza Windows y puede analizar su dirección IP y geolocalización. De esta forma, los operadores seleccionan a quién mostrar la falsa advertencia y reducen la exposición de la campaña a usuarios que no forman parte de sus objetivos.
La investigación identificó páginas comprometidas relacionadas con organizaciones de la República Checa, Alemania, Francia, Taiwán, Nepal, Hong Kong e Indonesia. Positive Technologies también había señalado indicios de actividad relacionada con este método en Egipto y Filipinas.
La campaña demuestra que incluso una página aparentemente legítima puede convertirse en una herramienta de espionaje si sus responsables no detectan una intrusión.
SquadC: una puerta trasera para controlar equipos Windows
El malware SquadC, desarrollado en C/C++, permite a los operadores mantener un primer punto de acceso remoto en los equipos infectados.
Entre sus capacidades figuran:
- Ejecutar comandos en el ordenador comprometido.
- Consultar y gestionar archivos.
- Obtener información del sistema.
- Capturar imágenes de la pantalla.
- Mantener la persistencia después de reiniciar Windows.
Para conseguirlo, SquadC modifica una clave del Registro de Windows que permite ejecutar automáticamente el programa. El malware utiliza un nombre que imita una herramienta legítima de actualización del sistema.
Check Point también detectó que esta puerta trasera podía distribuirse mediante correos de phishing. En uno de los ejemplos analizados, un archivo con apariencia de documento PDF escondía un acceso directo de Windows que iniciaba la infección.
El engaño resulta especialmente peligroso porque combina técnicas conocidas de ingeniería social con herramientas diseñadas para evitar la detección automatizada.
OceanGate: el espionaje comienza en Linux y se extiende a Windows
La segunda operación, OceanGate, se ha observado principalmente entre 2025 y 2026 y tiene como objetivos organizaciones asiáticas, organismos públicos e infraestructuras críticas.
Su particularidad es la combinación de sistemas Linux y Windows. Los atacantes consiguen primero acceso a servidores Linux expuestos a Internet y después utilizan ese punto de entrada para desplazarse por la red interna.
El objetivo no es únicamente infectar un ordenador. La operación busca establecer una presencia duradera, conseguir credenciales, localizar información sensible y ampliar el acceso a otros equipos.
Check Point identificó dos puertas traseras para Linux que no habían sido documentadas anteriormente con ese nivel de detalle: AnnobinDoor y SparrowShell.
AnnobinDoor convierte servidores Linux en puntos de acceso remoto
AnnobinDoor es una puerta trasera desarrollada en Go que permite controlar remotamente un servidor comprometido.
Entre sus capacidades destacan:
- Abrir una consola remota.
- Gestionar archivos.
- Crear túneles SSH.
- Redirigir conexiones de red.
- Utilizar servidores comprometidos como intermediarios para acceder a otros sistemas.
- Establecer conexiones inversas con la infraestructura de los atacantes.
Estas funciones permiten utilizar el servidor infectado como un punto de apoyo dentro de la red corporativa.
En ciberseguridad, este procedimiento se conoce como movimiento lateral: después de comprometer un equipo, el atacante intenta acceder a otros sistemas conectados para ampliar su presencia y conseguir información de mayor valor.
SparrowShell amplía el control sobre los sistemas Linux
La segunda herramienta, SparrowShell, comparte características de diseño y código con SparrowDoor, su equivalente para Windows.
El malware utiliza una arquitectura modular que permite recibir componentes adicionales desde un servidor de mando y control. De esta manera, los operadores pueden ampliar las capacidades del programa sin tener que sustituir toda la instalación.
La investigación también descubrió que algunos atacantes reemplazaban componentes legítimos de SSH por versiones manipuladas para registrar credenciales utilizadas durante las conexiones administrativas.
El robo de estas contraseñas facilitaba el acceso a otros servidores y permitía extender la infección por la red.
De Linux a Windows: robo de contraseñas y vigilancia de empleados
Una vez consolidado el acceso inicial a los servidores Linux, los operadores de OceanGate intentaban penetrar en equipos Windows mediante conexiones de Escritorio remoto, conocidas como RDP.
Los investigadores observaron intentos repetidos de autenticación con diferentes contraseñas hasta conseguir acceso mediante una cuenta con privilegios de administrador.
Después desplegaban varias herramientas especializadas para recopilar información, robar credenciales y mantener el control de los equipos.
Entre las más relevantes figuran:
| Herramienta | Función principal |
|---|---|
| CopperAdu | Preparar equipos Windows para el acceso administrativo remoto |
| CopperList | Recopilar información del sistema y localizar archivos |
| CopperLogger | Registrar pulsaciones de teclado y actividad del portapapeles |
| CopperLsa | Obtener contraseñas, hashes y tokens de autenticación |
| SparrowDoor | Mantener una puerta trasera en Windows |
CopperLogger: un registrador de teclado capaz de vigilar la actividad
Una de las herramientas más invasivas es CopperLogger, un programa de registro de pulsaciones de teclado, conocido como keylogger.
Su función consiste en capturar las teclas que pulsa el usuario y asociarlas con información contextual, como el título de la ventana activa y el proceso que se está ejecutando.
Además, puede vigilar la actividad del portapapeles, lo que permite registrar información copiada y pegada por el usuario.
En una organización comprometida, esta capacidad puede exponer información especialmente sensible: contraseñas introducidas manualmente, comunicaciones internas, datos de acceso y fragmentos de documentos.
El informe no afirma que todos los equipos afectados hayan sufrido exactamente el mismo nivel de vigilancia. Las herramientas se desplegaron en función de las necesidades de cada operación.
CopperLsa: acceso a credenciales de Windows
Otra herramienta especialmente delicada es CopperLsa, diseñada para recopilar información relacionada con la autenticación.
El programa puede obtener contraseñas, hashes y tokens vinculados a mecanismos como NTLM y Kerberos, utilizados habitualmente en entornos Windows corporativos.
El robo de estas credenciales puede permitir que los atacantes se hagan pasar por usuarios legítimos y accedan a recursos internos sin necesidad de explotar de nuevo una vulnerabilidad en cada equipo.
El riesgo aumenta cuando las cuentas comprometidas tienen permisos elevados o acceso a sistemas críticos.
Rootkits: cómo los atacantes intentan esconder su presencia
La investigación identificó otra característica especialmente sofisticada: el uso de componentes de nivel de núcleo, conocidos como rootkits, para ocultar la actividad maliciosa.
Un rootkit es un conjunto de herramientas que intenta mantener el acceso privilegiado a un sistema y esconder determinados procesos, archivos o comunicaciones.
En algunos casos, SparrowShell incorpora componentes basados en una versión modificada del rootkit de código abierto Reptile. Esto permite ocultar elementos de la infección y dificultar su detección mediante herramientas convencionales.
En Windows, determinadas variantes de SparrowDoor utilizan capacidades de interceptación y manipulación de paquetes de red mediante controladores de WinDivert.
La técnica permite que la puerta trasera reciba comunicaciones a través de puertos que también utiliza un servicio legítimo. Así, el tráfico malicioso puede resultar menos evidente para los sistemas de supervisión.
La consecuencia es importante: un equipo puede parecer operativo y continuar prestando servicios legítimos mientras mantiene una puerta trasera oculta.
DarkWire: telecomunicaciones y organismos públicos de América Latina
La tercera campaña, denominada DarkWire, comenzó a detectarse a mediados de 2025 y se ha centrado especialmente en América Latina.
Sus objetivos principales son los operadores de telecomunicaciones y las entidades gubernamentales. Check Point identificó intrusiones en al menos tres grandes proveedores de telecomunicaciones de la región, además de organizaciones relacionadas con los sectores de asuntos exteriores y justicia.
La elección de estos objetivos no parece casual. Las redes de telecomunicaciones transportan grandes volúmenes de información y conectan servicios utilizados por empresas, ciudadanos y administraciones.
Una intrusión en estos sistemas puede proporcionar acceso a información estratégica y facilitar nuevas operaciones contra organizaciones conectadas.
DarkWire utiliza dos puertas traseras principales: CopperDoor y CopperDNS.
CopperDoor: una puerta trasera que opera en memoria
CopperDoor, también conocida como SparroWocky, es una herramienta modular que puede ejecutarse en memoria, reduciendo la necesidad de dejar archivos convencionales en el disco.
El malware incorpora técnicas destinadas a dificultar su detección por los sistemas de protección de endpoints.
Entre ellas figuran mecanismos para manipular la apariencia de las llamadas internas del programa y complicar el análisis de su ejecución.
CopperDNS: comunicaciones ocultas mediante consultas DNS
La segunda herramienta, CopperDNS, utiliza un método diferente para comunicarse con la infraestructura de los atacantes: los túneles DNS.
El Sistema de Nombres de Dominio (DNS) se utiliza normalmente para traducir nombres de páginas web en direcciones IP. Sin embargo, también puede ser aprovechado para transportar información mediante consultas especialmente diseñadas.
CopperDNS utiliza consultas de tipo MX para establecer comunicaciones con los servidores de mando y control.
Esta técnica puede dificultar la detección cuando las organizaciones no supervisan adecuadamente el tráfico DNS o no cuentan con mecanismos para identificar patrones anómalos.
América Latina, una región especialmente expuesta a las operaciones DarkWire
Uno de los detalles más llamativos de la investigación es la distribución geográfica de la infraestructura utilizada por DarkWire.
Check Point observó que muchas direcciones IP asociadas a los servidores de los atacantes estaban ubicadas en América Latina y, en ocasiones, en el mismo país que la organización atacada.
Esta proximidad geográfica puede ayudar a que las comunicaciones maliciosas se mezclen con el tráfico habitual de la región y reduzcan las posibilidades de detección.
La campaña también utiliza herramientas adicionales para facilitar el movimiento por las redes comprometidas:
- CopperLoader: distribuye y carga otros componentes maliciosos.
- CopperProxy: proporciona funciones de intermediación de conexiones mediante SOCKS5.
- PyProxy: actúa como un sistema de retransmisión de tráfico UDP.
- CopperLsass: permite extraer información del proceso de autenticación de Windows.
Los operadores también recurren a técnicas de DLL sideloading, que aprovechan ejecutables legítimos para cargar bibliotecas manipuladas.
Además, evitan crear directorios nuevos siempre que pueden y colocan sus herramientas en rutas del sistema que ya existen. El propósito es reducir las señales que podrían alertar a los responsables de seguridad.
¿Qué riesgo supone este espionaje para Europa y España?
La investigación identifica organizaciones europeas entre los objetivos de SilentDelivery y advierte de que el ecosistema Sparrow se utiliza contra sectores estratégicos en distintas regiones.
Entre los países europeos mencionados expresamente en la campaña SilentDelivery figuran Alemania, Francia y la República Checa.
España no aparece identificada en el informe como víctima concreta de estas tres campañas. Por tanto, no sería correcto afirmar que organismos españoles hayan sido comprometidos por CopperDragon o por los grupos relacionados con Sparrow.
Sin embargo, las técnicas descritas tienen implicaciones directas para la seguridad de cualquier país europeo.
Las administraciones públicas, los operadores de telecomunicaciones, las empresas tecnológicas y los centros de investigación manejan información que puede resultar valiosa para operaciones de inteligencia extranjera.
En el caso español, la protección de las infraestructuras críticas y de los sistemas de información de las administraciones exige prestar atención a campañas que combinan robo de credenciales, puertas traseras persistentes y movimientos laterales entre sistemas.
La amenaza no se limita al robo de datos personales. Una intrusión prolongada puede permitir conocer procedimientos internos, comunicaciones estratégicas, relaciones entre organismos y características técnicas de infraestructuras esenciales.
Qué pueden hacer las organizaciones para reducir el riesgo
Los investigadores describen técnicas que aprovechan tanto vulnerabilidades de servidores expuestos como errores humanos y debilidades en la gestión de credenciales.
Por ello, las organizaciones deberían reforzar varias líneas de defensa:
- Actualizar servidores Linux y Windows, especialmente aquellos expuestos directamente a Internet.
- Proteger las cuentas administrativas mediante autenticación multifactor y controles de acceso.
- Supervisar las conexiones SSH y RDP, identificando intentos anómalos de autenticación.
- Vigilar el tráfico DNS y las comunicaciones salientes hacia servidores desconocidos.
- Analizar cambios inesperados en el Registro de Windows y en los servicios del sistema.
- Revisar las páginas web corporativas para detectar código JavaScript inyectado.
- Formar a los empleados para que no instalen supuestas herramientas de reparación de certificados desde páginas web.
- Utilizar soluciones de detección y respuesta en endpoints y redes para identificar comportamientos anómalos.
También resulta fundamental contar con registros centralizados y planes de respuesta ante incidentes. Cuando un atacante consigue privilegios administrativos, eliminar un único archivo malicioso no garantiza que la organización haya recuperado el control de sus sistemas.
La investigación de Check Point subraya precisamente la importancia de detectar las relaciones entre herramientas, servidores y campañas que, analizadas por separado, podrían parecer incidentes sin conexión.
Una infraestructura de espionaje compartida que complica la defensa internacional
El principal descubrimiento de Check Point no es únicamente la existencia de tres campañas de ciberespionaje. Es la posibilidad de que detrás de ellas exista un ecosistema compartido de desarrollo y distribución de herramientas.
SilentDelivery, OceanGate y DarkWire utilizan métodos diferentes, pero presentan conexiones técnicas que apuntan hacia Sparrow y CopperDragon.
Esa estructura permite que distintos grupos aprovechen componentes comunes sin necesidad de utilizar exactamente las mismas técnicas o perseguir los mismos objetivos.
El resultado es una amenaza flexible: una campaña puede centrarse en páginas web manipuladas, otra en servidores Linux y una tercera en redes de telecomunicaciones. Sin embargo, todas pueden beneficiarse de herramientas y conocimientos compartidos.
La investigación vuelve a poner de relieve que el ciberespionaje no es una amenaza limitada a grandes potencias o conflictos militares. También afecta a administraciones, empresas privadas, infraestructuras críticas y centros de investigación.
Para Europa, y para España en particular, el desafío consiste en reforzar la vigilancia de los sistemas estratégicos y mejorar la cooperación entre organismos públicos y empresas privadas.
La pregunta ya no es solo quién desarrolla el malware, sino cuántos actores pueden utilizarlo y qué información estratégica pueden obtener antes de ser detectados.
Toqueteo
Toqueteo
Toqueteo