El grupo chino UNC5221, también rastreado como VerdantBamboo, ha desplegado el malware Plenet y AgentPSD en Microsoft 365 y apunta a España. La campaña, detectada por los investigadores de Volexity, revela que el atacante ha mantenido acceso persistente durante al menos dieciocho meses a las redes de víctimas en todo el mundo, incluyendo organismos gubernamentales, despachos jurídicos y proveedores de servicios gestionados.
Dieciocho meses sin ser detectados: el backdoor Brickstorm y la nueva generación de malware
El vector inicial de la intrusión fue el backdoor Brickstorm, un implante modular que los atacantes desplegaron en servidores VMware vSphere y dispositivos de almacenamiento como Egnyte Storage Sync. Las primeras variantes de Brickstorm estaban escritas en Golang, pero las versiones posteriores adoptaron Rust, una evolución que complicó la detección por parte de las soluciones EDR. Volexity documentó que el grupo utilizó las capacidades de proxy del implante y credenciales robadas para moverse lateralmente hacia los entornos de Microsoft 365, camuflando el tráfico como legítimo para sortear las políticas de acceso condicional.
Una vez dentro, los atacantes no se limitaron a Brickstorm. Desplegaron dos herramientas nunca antes documentadas: Plenet y AgentPSD. Plenet, rastreado por Google como ‘Grimbolt’, es una backdoor multiplataforma basada en .NET que ofrece shell interactivo, ejecución remota de comandos y manipulación de archivos, comunicándose con el servidor de mando y control (C2) mediante WebSocket. AgentPSD, en cambio, es una sencilla utilidad de shell inversa escrita en Python, que los investigadores creen que funcionaba como mecanismo de persistencia de respaldo en caso de que el resto del arsenal fuera desactivado.
La sofisticación técnica no radica solo en el código, sino en la paciencia. El grupo permaneció en la red de la víctima al menos un año y medio sin ser detectado, accediendo periódicamente al sistema de almacenamiento y moviéndose entre cuentas de Microsoft 365. Este comportamiento encaja con el perfil de las APT del Ministerio de Seguridad del Estado chino (MSS), que priorizan la persistencia silenciosa sobre el impacto inmediato.
La reinfección: cómo UNC5221 volvió a colarse incluso después de la remediación
Los esfuerzos de limpieza iniciales resultaron insuficientes. Volexity descubrió que los atacantes volvieron a comprometer la misma organización apenas unos días después de que los investigadores completaran la remediación. En esta segunda oleada, los intrusos utilizaron credenciales robadas para activar el acceso VPN SSL en el firewall de la víctima y desplegar otro implante personalizado en un dispositivo Synology NAS. La persistencia a través del proveedor de servicios gestionados (MSP) de la organización fue clave: Volexity halló una variante BSD de Brickstorm en un firewall pfSense del MSP, lo que sugiere que los atacantes pivotaron desde ese punto para volver a infectar a la víctima principal.
Durante la investigación, los analistas crearon una huella digital para identificar los servidores C2 asociados a Brickstorm. Entre el 18 y el 23 de septiembre de 2025, todos los servidores que coincidían con el patrón desconectaron sus servicios en el puerto 443, coincidiendo sospechosamente con la publicación de un nuevo informe de Google sobre la actividad del backdoor. Este movimiento indica que el atacante monitoriza de cerca las investigaciones abiertas y es capaz de replegar su infraestructura cuando se siente expuesto.
Dieciocho meses de silencio, dos implantes nuevos y una reinfección quirúrgica: UNC5221 no es un atacante oportunista, sino un equipo que entiende el oficio del ciberespionaje de largo recorrido.
Dossier Moncloa: Ojos en la Sombra
La campaña de UNC5221 ilustra una deriva preocupante: los atacantes patrocinados por Estados están afinando sus tradecraft para operar en en territorio hostil sin disparar alarmas. El uso combinado de backdoors modulares, credenciales robadas y movimientos laterales camuflados convierte la detección en una carrera de fondo. España no es un mero espectador: la presencia de Microsoft 365 en ministerios, grandes empresas y pymes sitúa al país en la línea de fuego de este tipo de operaciones. El Centro Criptológico Nacional (CCN-CERT) lleva meses reforzando los protocolos de acceso condicional y las reglas de detección de anomalías en Azure AD, consciente de que la superficie de exposición crece con cada licencia corporativa.
Si miramos el historial, el patrón es reconocible. Los grupos chinos llevan desde al menos 2021 explotando vulnerabilidades zero-day en dispositivos perimetrales (vpn, firewalls, sistemas de almacenamiento) para establecer cabezas de puente que luego les permiten moverse hacia el correo electrónico y la colaboración en la nube. Operaciones como Hafnium en 2021 o la más reciente incursión contra Dewalt en 2025 comparten con UNC5221 la fijación por los entornos Microsoft 365, que concentran la información más sensible de cualquier organización moderna.
Ya lo escribí en El quinto elemento: «El próximo 11S empezará con un clic». Campañas como esta demuestran que el software de colaboración —el mismo que usa a diario el Ministerio de Asuntos Exteriores español o un despacho de abogados en Barcelona— es la trinchera invisible de la ciberguerra. Lo que diferencia a UNC5221 no es la innovación disruptiva, sino la disciplina operativa: dieciocho meses sin ser detectados, reinfección tras remediación y repliegue táctico cuando el foco mediático se enciende.
Le adelanto, sin embargo, que la atribución a Pekín sigue basándose en indicios técnicos y patrones de comportamiento, no en una confesión oficial. El MSS no va a reivindicar esta campaña, y esa es precisamente la lógica del juego: el espionaje funciona mejor cuando nadie lo ve. Mientras tanto, en España toca repasar los logs de inicio de sesión de Microsoft 365, vigilar las reglas de acceso condicional y asumir que, si un firewall pfSense de un MSP puede ser comprometido durante un año y medio, probablemente ya haya sucedido.
El próximo paso será ver si el CCN-CERT emite un aviso específico sobre este grupo o si, como ocurre con tantas APT, la alerta queda diluida entre las decenas de amenazas que cada semana golpean las redes españolas. Ojalá me equivoque, pero usted ya sabe cómo funciona esto: el silencio administrativo suele ser la mejor confirmación de que algo grave ha pasado.
