Los APT chinos encadenan zero-days de Chrome en una misma ventana de explotación, según el boletín de malware de Security Affairs. No es un actor. Son varios.
El boletín que firma Pierluigi Paganini recoge la investigación bajo un titular que no deja margen: múltiples actores chinos encadenando explotaciones de día cero sobre Chrome y Windows. Le adelanto que lo relevante no es el quién, sino el cuándo.
Encadenar vulnerabilidades no consiste en disparar exploits a ver qué cae. Consiste en ordenar dos o tres fallos independientes —uno de renderizado, otro de aislamiento, otro de escalada de privilegios— para que el conjunto logre lo que ninguno consigue por separado. El primero abre la puerta. El segundo evita que el navegador detecte la manipulación. El tercero ya da igual, porque para entonces el atacante ha salido del sandbox.
Tres fallos encadenados convierten un navegador en una puerta abierta y, de paso, en un problema de atribución. El encadenamiento tiene una virtud táctica que los servicios valoran: cada eslabón aporta pistas distintas y las pistas se contradicen entre sí. El primer día se atribuye a un grupo; el segundo, a otro; al tercero, nadie firma.
El campo de batalla real está en el calendario. Google publica actualizaciones de Chrome cada cuatro semanas desde 2021. A eso se suma el retraso de la instalación, que es el verdadero agujero: empresas con ventanas de mantenimiento, equipos personales sin reiniciar en meses, móviles que dependen del fabricante para recibir el parche. El resultado es un patch gap que se mide en días, en semanas, a veces en trimestres.
Ese hueco es el negocio. Quien domina el calendario de parcheo no necesita un ejército: le basta con saber cuándo publica el fabricante y cuánto tarda medio planeta en actualizar. La mayoría de las campañas de ciberespionaje que se atribuyen a Pekín no empiezan con un exploit brillante; empiezan con una actualización pendiente.
Al atacante que gana la carrera del parcheo no le hace falta golpear fuerte. Le basta con golpear a tiempo.
El boletín no cierra la atribución a un grupo con nombre y apellidos, y eso es lo honesto. La atribución técnica se apoya en coincidencias de TTPs, reutilización de infraestructura de mando y control —los C2— y marcas horarias compatibles con Asia Oriental. Nada de eso es una firma. Llevo años sosteniéndolo: la atribución es un acto de fe informado, no una sentencia.
Sin embargo, el patrón dice algo. Varios grupos chinos operando en la misma franja temporal apunta a ecosistema compartido, no a un solo equipo. Puede ser un mercado privado de exploits con varios compradores. Puede ser un proveedor de acceso inicial que revende a distintos clientes. Puede ser, incluso, coincidencia de oportunidad: la misma vulnerabilidad cae en manos de dos equipos que no se conocen.
A eso se suma un dato estructural. Chrome no es un navegador, es una plataforma. Arrastra su motor Blink hacia Android, Edge, Opera, Brave y decenas de clientes embebidos. Un zero-day bien construido en Chrome no es un ataque contra Google: es un ataque contra la mayor superficie de exposición del planeta.
Y ahí entramos todos. No se equivoque conmigo: el ciberespionaje chino tiene objetivos claros —ministerios, telecomunicaciones energía y disidencia—, pero su método depende de cuánto tarden los demás en cerrar la puerta.
De Operación Aurora a APT41: dos décadas puliendo el navegador
Conviene mirar atrás. En 2009, la Operación Aurora puso a Google en el punto de mira de un actor vinculado a Pekín. El acceso inicial llegó por una vulnerabilidad de día cero en el navegador de Microsoft, no en Chrome. Fue el primer gran golpe público contra el correo corporativo de una tecnológica estadounidense y sirvió de manual: puerta de entrada por el navegador, movimiento lateral con credenciales robadas y exfiltración silenciosa.
Desde entonces, el oficio chino se ha profesionalizado. APT31, APT40 y APT41 —puede consultarse la definición de APT para el lector no familiarizado— son solo las etiquetas más conocidas bajo las cuales trabajan equipos que rara vez coinciden en la misma infraestructura. Volt Typhoon añadió el preposicionamiento silencioso en infraestructura crítica, sin robar nada, solo esperando la señal.
Ese preposicionamiento es lo que más inquieta a los servicios occidentales. No se trata de entrar y robar, sino de entrar y quedarse. Lo escribí hace años en El quinto elemento: el próximo 11S empezará con un clic. El clic ya está; lo que falta es la orden.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque con explotación encadenada de zero-days sobre dos plataformas, navegador y sistema operativo. La combinación no es casual. Chrome da el acceso inicial; Windows permite la persistencia. Es el mismo esquema de decenas de campañas atribuidas a actores chinos desde 2015, con una diferencia: ahora el encadenamiento ocurre dentro de la misma ventana de parcheo, no a lo largo de meses.
Las agencias implicadas se reparten en tres planos. En el atacante, equipos del ecosistema chino —APT31, APT40, APT41 y estructuras análogas— con atribución técnica, nunca oficial. En el defensor, Google y Microsoft como fabricantes, más los CERT nacionales: el CCN-CERT en España, el NCSC en Reino Unido y CISA en Estados Unidos, que mantiene el catálogo KEV de vulnerabilidades explotadas. Y en el tercer plano, los observadores: servicios occidentales que vigilan el patrón y empresas de ciberseguridad que publican atribuciones cruzadas.
El CNI, en este caso, no ataca ni defiende: monitoriza. El CCN-CERT viene incorporando este tipo de campañas a sus notas de alerta temprana, y España es objetivo de interés medio para los APT chinos, sobre todo en telecomunicaciones, energía y defensa. La superficie crítica española sigue siendo enorme y sigue estando, en buena parte, expuesta.
La clasificación estimada del material comprometido, a juzgar por el tipo de objetivo, es Confidencial para los datos exfiltrados y Reservado para el conocimiento que las agencias acumulan sobre las TTPs del atacante. No hay secretos de Estado en juego. Hay credenciales, sesiones activas y la constatación de que la carrera del parcheo no se gana desde el despacho.
La próxima vez que un zero-day de Chrome encabece un informe, el titular dirá China. La pregunta que importa es cuántos equipos siguen sin reiniciar.
El próximo informe relevante no será el comunicado de un servicio, sino la nota técnica de un CERT. Y cuando llegue, la pregunta seguirá siendo la misma: cuántos equipos han reiniciado el navegador.
