Volexity destapa un ciberespionaje de China contra varias ONG: dos APT comparten una misma cadena de exploits de día cero.
Le adelanto de entrada la lectura más incómoda: el informe que publica Volexity hoy no habla de un actor marginal. Documenta a UTA0560 y a JungleBamboo —el grupo también conocido como APT31— lanzando campañas de spear-phishing contra organizaciones no gubernamentales desde el 1 de septiembre.
El acceso inicial es tan sencillo como eficiente. Un correo electrónico enviaba a las víctimas a una página legítima de una universidad estadounidense, que presentaba un fallo de cross-site scripting (XSS). Ese defecto permitía a los atacantes redirigir el tráfico a sus propios servidores.
La anatomía de un exploit de tres fases
A partir de ahí, la cadena encadenaba tres vulnerabilidades. CVE-2026-85046, confusión de tipos en V8, otorga lectura y escritura arbitraria dentro del sandbox. CVE-2026-87491, un defecto en WebAssembly, sirve para escapar de ese sandbox. Y CVE-2026-85880, en el kernel de Windows, rompe el aislamiento del renderizador e inyecta código en el proceso del navegador.
El detalle que lo cambia todo es cronológico. El fallo principal fue parcheado en Chromium semanas antes de llegar a Chrome. Un investigador privado lo reportó al proyecto Chromium el 4 de agosto; el código abierto se corrigió poco después, pero Google Chrome no distribuyó el parche hasta el 3 de septiembre.
Ese desfase entre el parche de código abierto y el navegador de los usuarios regala a los servicios chinos una ventana de explotación de semanas.
Ese desfase es lo que Volexity bautiza como patch gap. Para cualquier usuario de Chrome, seguía siendo un zero-day real. Alguien monitorizó el código con la disciplina necesaria para convertir un parche en un exploit operativo en cuestión de semanas.
A los atacantes no les importa la elegancia, pero sí la reutilización. Volexity encontró shellcode byte a byte idéntico en ambas campañas. UTA0560 y JungleBamboo no reinventaron nada: ejecutaron el mismo exploit de origen, con infraestructuras y malware final completamente distintos.
No se equivoque conmigo. La página de exploit era un artefacto sofisticado con trece parámetros configurables. No es el trabajo de un aficionado; habla de un marco de desarrollo probado, probablemente reutilizado sin prisas.
La brecha del parche y el backdoor de las sombras
Una vez que el código aterriza, los operadores se separan. UTA0560 despliega una cadena de carga que termina en GRIMWEDGE, un backdoor JScript que corre enteramente en memoria dentro del proceso msiexec.exe. Es compacto, de menos de 250 líneas, y cubre lo básico: operaciones de archivo, gestión de procesos, ejecución de comandos y subida de ficheros.
JungleBamboo elige otro camino. Su loader, SUPERSTOMP, instala una extensión maliciosa de Chrome llamada LONGTALE. Se disfraza de asistente de Google Gemini y registra cada pulsación de teclado, roba cookies y tokens de sesión, y captura pantallas cuando detecta palabras clave enviadas por su servidor de mando.
LONGTALE no necesita ejecución remota de comandos para vaciarle el correo a una organización. El robo de credenciales y sesiones por sí solo le da todo lo que necesita a JungleBamboo, y las extensiones maliciosas pasan mucho más desapercibidas que un ejecutable autónomo.
Chrome lleva un año endureciendo justo el tipo de manipulación que explota SUPERSTOMP. Los hashes de preferencias por usuario llegaron en noviembre de 2025 y el chequeo íntegro del perfil en junio de 2026. SUPERSTOMP lo sortea igualmente: elimina los nuevos hashes, falsifica los HMAC antiguos que Chrome aún acepta como respaldo y deja que la propia migración del navegador re-autentique el perfil manipulado.
Verá usted que la técnica no nace de la nada. Apareció en uno de los repositorios más populares de GitHub sobre instalación silenciosa de extensiones el 6 de agosto de 2026, semanas antes de que JungleBamboo la pusiera en producción. La frontera entre la investigación pública y el tradecraft operativo se acorta.
Proofpoint bautiza al kit de exploits como BlueMoon y asegura que JungleBamboo lo empleó desde el 28 de agosto, varios días antes de la detección de Volexity. Además, ha identificado a otros dos grupos usando el mismo código: UNK_LateNight contra empresas aeroespaciales estadounidenses con el backdoor ShadowPad, y UNK_DoubleCheck contra una compañía manufacturera en Vietnam. Los artefactos sugieren un posible uso de inteligencia artificial en el desarrollo, aunque sin evidencia concluyente.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza es un ciberataque de día cero con tres eslabones. Volexity califica con baja confianza la posibilidad de que la cadena se haya vendido a distintos usuarios finales en China; con confianza media, que la estrecha ventana temporal obligara a reutilizar el código sin modificarlo. La atribución de JungleBamboo (APT31) lo sitúa en la órbita de la inteligencia china.
Como analista, lo veo con una mezcla de alarma y confirmación. El precedente de APT31 atacando ONG y entidades de derechos humanos no es nuevo; fuentes públicas lo documentan desde hace años. Lo que cambia es el ritmo: un parche de código abierto convertido en arma en menos de cuatro semanas.
La conexión con España no es directa, pero tampoco inocua. El CCN-CERT monitoriza de forma habitual este tipo de campañas, y el CNI evalúa sin descanso cuántas de esas ONG tienen presencia o trato con socios españoles. Me consta que en La Moncloa se sigue este informe con especial interés por la fecha: el plazo de CISA para los sistemas federales vence el próximo 18 de septiembre, y ese tipo de calendarios suele marcar la redifusión de parches en la administración.
Tengo claro que el cierre de Volexity es la clave estratégica: a medida que los modelos de lenguaje grandes se popularicen en la investigación de vulnerabilidades, los patch gaps se convertirán en un riesgo aún mayor. Lo escribí en El quinto elemento: ‘El próximo 11S no se anunciará con un avión, sino con un clic’. Y muchas veces, ese clic empieza en un navegador que no se ha reiniciado desde principios de septiembre.
