Hackers chinos estuvieron 18 meses dentro de Microsoft 365 sin ser detectados

Durante cerca de año y medio, un grupo de hackers chinos ligados a un Estado leyó correos corporativos, abrió archivos internos y se movió por redes de empresas mientras parecía, ante cualquier herramienta de monitoreo, un empleado más entrando a trabajar. La intrusión, documentada por la firma de seguridad Volexity, no rompió Microsoft 365. Suplantó a quienes ya tenían las llaves.

Esa diferencia lo es todo, y explica por qué la brecha le importa a cualquiera cuyo trabajo viva dentro de una cuenta en la nube. Microsoft 365 es donde hoy la mayoría de las empresas guarda su correo, sus documentos y la identidad de inicio de sesión único que abre todo lo demás. Los atacantes nunca tuvieron que vencer ese sistema. Tomaron prestado un acceso válido y entraron por la puerta principal, y las defensas pensadas para preguntar “¿de verdad sos vos?” decidieron que sí.

El grupo aparece como UNC5221, también conocido como VerdantBamboo, una operación de origen chino que los investigadores siguen desde hace años por atacar los dispositivos que están en el borde de las redes corporativas. Su campaña reciente golpeó a estudios jurídicos, empresas de software, proveedores de tercerización de procesos y compañías de tecnología. No son blancos al azar: son organizaciones que guardan secretos de otras organizaciones, desde expedientes de clientes hasta código fuente y las claves que llegan a terceros.

El arsenal explica por qué el acceso fue invisible tanto tiempo. La pieza central es una puerta trasera llamada Brickstorm, escrita primero en el lenguaje Go y reconstruida después en Rust, instalada en equipos de red que casi nunca corren software de seguridad ni se revisan. En un caso los atacantes entraron por un sistema de sincronización de archivos Egnyte accesible a través de la VPN de la empresa. Desde ese punto silencioso, la función de proxy de Brickstorm les permitió enrutar su actividad por la propia red de la víctima, así que al llegar a Microsoft 365 con credenciales robadas la conexión parecía local y legítima. Volexity sostiene con alta confianza que fue deliberado, una manera de mezclarse con el tráfico normal y esquivar las reglas de acceso condicional que habrían marcado un inicio de sesión desde un lugar equivocado. Dos piezas más mantuvieron la puerta abierta: una puerta trasera en .NET bautizada Plenet, que les daba una consola interactiva y control de archivos, y un shell inverso en Python llamado AgentPSD, guardado como reserva. La redundancia era el plan. Lo armaron para sobrevivir al descubrimiento, no para evitarlo para siempre.

El dato más incómodo es la cuenta del tiempo. La detección llegó unos dieciocho meses después de la primera entrada. En campañas de este estilo los investigadores midieron una permanencia promedio de bastante más de un año, suficiente para que en muchos casos los registros del acceso original ya se hubieran borrado por las políticas de retención antes de que alguien supiera que debía mirar. Los atacantes no solo se escondieron: duraron más que las pruebas.

El alcance fue más allá de la primera víctima. En al menos un caso el grupo comprometió a un proveedor de servicios administrados, la empresa externa de informática que opera la tecnología de decenas de clientes chicos, y colocó una versión de Brickstorm en su firewall. Una sola intrusión ahí se vuelve una llave maestra para todos los clientes que dependen de él. Esa es la parte de la historia que viaja más allá de Estados Unidos, donde se concentran casi todos los blancos conocidos. Cualquier empresa que terceriza su informática, es decir, casi todas, hereda la seguridad de un proveedor cuyo interior no puede ver.

Nada de esto es una falla de Microsoft 365 que un parche vaya a cerrar. Las vías de entrada fueron equipos de terceros y credenciales robadas, y la nube se comportó exactamente como fue diseñada apenas llegó un acceso de confianza. Ese es el problema difícil que deja el caso. Las organizaciones sin software de detección en sus servidores y equipos casi no tuvieron forma de ver la actividad, y las que sí lo tenían enfrentaron una operación diseñada para parecer rutina. Como se trató de espionaje y no de ransomware, no hubo pantalla bloqueada ni nota de extorsión que forzara la alarma: solo datos saliendo en silencio todo el tiempo que los operadores quisieron seguir mirando.

Las intrusiones salieron a la luz hacia marzo de 2025 y las alertas se multiplicaron desde entonces. Entre agosto de 2025 y enero de 2026, el FBI, la NSA y la agencia estadounidense de ciberseguridad CISA publicaron una serie de avisos sobre intrusiones patrocinadas por el Estado chino, y CISA señaló por separado el uso de Brickstorm contra servidores VMware. El consejo práctico de los investigadores es acotado y poco vistoso: conservar los registros más tiempo del que los atacantes pueden esconderse y poner detección en los dispositivos callados del borde de la red, esos donde, al final, prefieren vivir los fantasmas.

Etiquetas: ciberseguridad