El grupo de hackers chinos apunta a instituciones médicas, militares y de investigación de IA en América del Norte.

Resumen del incidente

En junio de 2025, el equipo de inteligencia de amenazas de Google (GTIG) publicó un informe de análisis que revela las actividades de una organización de espionaje con el nombre en clave UNC6508. Se cree que esta organización está vinculada al gobierno chino y desde 2023 ha estado atacando continuamente a las principales instituciones de investigación médica, académica y militar en América del Norte. Las entidades afectadas incluyen instituciones clínicas de renombre mundial, centros académicos de primer nivel, organismos militares de salud de América del Norte, grupos de defensa profesional y reguladores de salud. Los campos de investigación atacados abarcan el descubrimiento molecular, los ensayos clínicos, las políticas de salud pública y la preparación militar.

Análisis técnico y de riesgos

Métodos de ataque y cadena de explotación El objetivo principal de los ataques de UNC6508 es la plataforma REDCap (Research Electronic Data Capture), una plataforma web ampliamente utilizada para la construcción de bases de datos de investigación clínica y encuestas. No está claro cómo los atacantes obtuvieron acceso inicial a los servidores REDCap, pero hay evidencia de que podrían haber apuntado a versiones antiguas con vulnerabilidades. En un incidente de intrusión investigado por GTIG, los atacantes implementaron un malware personalizado llamado InfiniteRed tres meses después de la intrusión inicial.

InfiniteRed es una carga maliciosa multifuncional que cuenta con capacidades de descarga, bloqueo de actualizaciones, robo de credenciales, puerta trasera y comando y control (C&C). Este malware fue encontrado en sistemas de múltiples organizaciones en Estados Unidos y Canadá. Los atacantes también abusaron de una función legítima llamada 'reglas de cumplimiento de contenido' para filtrar y robar correos electrónicos sobre temas específicos, lo que indica que sus objetivos van más allá del ámbito de la investigación médica.

Activos afectados - Bases de datos de investigación clínica: datos sensibles de pacientes y resultados de ensayos almacenados en servidores REDCap. - Sistemas de correo electrónico: comunicación robada a través de reglas de cumplimiento relacionada con seguridad nacional, IA, drones, investigación de ciberataques, tecnología de defensa, activos navales, entidades diplomáticas y gubernamentales, y unidades de comando militar. - Sistemas de credenciales: uso de cuentas de origen masivo, credenciales legítimas e infraestructura personalizada para ocultarse.

Análisis de impacto empresarial

• Para las organizaciones objetivo, este ataque conlleva riesgos multidimensionales:
• Riesgo operativo: el compromiso de los servidores REDCap puede interrumpir los ensayos clínicos, retrasando el desarrollo de medicamentos o la investigación en salud pública.
• Riesgo financiero: costos de reparación, multas regulatorias y posible pérdida de propiedad intelectual.
• Riesgo de cumplimiento normativo: implica datos médicos (HIPAA, GDPR) y regulaciones de confidencialidad de investigación militar, lo que podría conllevar demandas legales.
• Riesgo de marca: disminución de la confianza pública, especialmente cuando se ven involucradas la privacidad del paciente o la filtración de investigaciones de seguridad nacional.
• Riesgo de datos: el robo de datos durante una permanencia prolongada puede llevar a la pérdida de la ventaja competitiva central.

Observación de tendencias de la industriaEste incidente no es un caso aislado. En los últimos años, el espionaje estatal dirigido a infraestructuras críticas de investigación ha aumentado significativamente, especialmente en áreas de tecnologías emergentes (IA, biotecnología) y defensa. Los atacantes tienden a utilizar herramientas legítimas (como las reglas de cumplimiento de REDCap) para realizar robos encubiertos, lo que refleja el punto ciego de las defensas tradicionales ante el "abuso de funciones normales". Al mismo tiempo, las instituciones médicas y académicas se convierten en objetivos prioritarios debido a sus recursos limitados (en comparación con los sectores financiero y de defensa).

Recomendaciones de defensa y respuesta

A nivel empresarial - Seguridad de identidad: Implementar autenticación multifactor (MFA) y monitorear inicios de sesión anómalos. - Gestión de vulnerabilidades: Actualizar periódicamente plataformas como REDCap a las últimas versiones y parchear vulnerabilidades conocidas. - Confianza cero: Aplicar el principio de mínimo privilegio en el acceso a recursos internos y segmentar la red para limitar el movimiento lateral.

A nivel técnico - SIEM/SOAR: Integrar inteligencia de amenazas para detectar comportamientos de malware como InfiniteRed. - EDR/XDR: Implementar capacidades de detección avanzada en los endpoints para monitorear procesos y conexiones de red anómalos. - Seguridad del correo: Alertar sobre cambios anómalos en las reglas de cumplimiento y auditar las actividades de reenvío de correos.

A nivel de gestión - Respuesta a incidentes: Establecer procesos de respuesta para ataques patrocinados por estados, incluido el aislamiento de sistemas controlados. - Gestión de riesgos de terceros: Evaluar las prácticas de seguridad de proveedores SaaS como REDCap. - Concienciación de seguridad: Capacitar a los investigadores para identificar ingeniería social y técnicas de acceso inicial.

SecurityPost Insight

La actividad de UNC6508 revela una tendencia preocupante: los atacantes estatales están estudiando sistemáticamente los flujos de trabajo digitales de las organizaciones objetivo y utilizando funciones legítimas para robar información. Para los responsables de seguridad empresarial, ya no basta con defenderse de vulnerabilidades conocidas: es necesario establecer líneas de base de comportamiento y detectar el uso anómalo de funciones normales. Las instituciones médicas y académicas deben reevaluar el valor de sus activos de datos y proteger los datos de investigación como si fueran datos financieros. A largo plazo, la protección de la propiedad intelectual en los campos de la IA y la biotecnología se convertirá en otro campo de batalla en la geopolítica.