Double Dragon (grupo de hackers)

Double Dragon ^{[ a ]} es un grupo de hackers con supuestos vínculos con el Ministerio de Seguridad del Estado (MSS) de China. ^{[ 4 ]} Clasificado como una amenaza persistente avanzada , el Departamento de Justicia de los Estados Unidos mencionó a la organización en septiembre de 2020 en relación con los cargos presentados contra cinco ciudadanos chinos y dos malasios por supuestamente comprometer a más de 100 empresas en todo el mundo. ^{[ 5 ] [ 6 ] [ 7 ] [ 8 ]}

En 2019, la empresa de ciberseguridad FireEye afirmó con alta certeza que el grupo estaba patrocinado por el Partido Comunista Chino (PCCh) y que realizaba operaciones con fines de lucro. ^{[ 9 ]} El nombre "Double Dragon" proviene de la dualidad de sus operaciones, ya que se dedican al espionaje y al lucro personal. ^{[ 10 ]} Los dispositivos que utilizan suelen emplearse para inteligencia patrocinada por el Estado.

Las investigaciones realizadas por FireEye han encontrado operaciones de APT 41 en múltiples sectores, como la salud, las telecomunicaciones y la tecnología. ^{[ 9 ]} El grupo lleva a cabo muchas de sus actividades financieras en la industria de los videojuegos, incluyendo estudios de desarrollo, distribuidores y editores. ^{[ 11 ]}

En sus actividades anteriores, APT 41 ha utilizado dominios registrados con los apodos "Zhang Xuguang" ( chino simplificado : 张旭光) y "Wolfzhi". Estas identidades en línea están asociadas con las operaciones de APT 41 y foros específicos en línea en idioma chino, aunque se desconoce el número de otras personas que trabajan para el grupo. ^{[ 9 ]} "Zhang Xuguang" tiene actividad en el foro en línea Chinese Hackers Alliance (chino simplificado: 华夏黑 客同盟). La información relacionada con esta persona incluye su año de nacimiento, 1989, y su anterior residencia en Mongolia Interior de la República Popular China. ^{[ 12 ]} La identidad también ha publicado en un foro sobre el juego en línea Age of Wushu , utilizando el apodo "injuriesa" en 2011. ^{[ 9 ]} Los correos electrónicos y dominios en línea asociados con "Wolfzhi" también conducen a un perfil de la comunidad de ciencia de datos. Las publicaciones en el foro también sugieren que el individuo es de Pekín o de la provincia cercana de Hebei . ^{[ 9 ] [ 12 ]}

El FBI ha emitido carteles de búsqueda para Haoran Zhang, Dailin Tan, Chuan Qian, Qiang Fu y Lizhi Jiang, a quienes han encontrado vinculados con APT 41. ^{[ 1 ]} Zhang y Tan fueron acusados ​​el 15 de agosto de 2019 por el gran jurado del Distrito de Columbia por cargos relacionados con delitos de piratería informática, como acceso no autorizado a computadoras protegidas, robo de identidad agravado, lavado de dinero y fraude electrónico. ^{[ 13 ]} Estas acciones se llevaron a cabo contra empresas de alta tecnología, empresas de videojuegos y seis personas no identificadas de Estados Unidos y Reino Unido mientras los dos trabajaban juntos. El FBI también acusó a Qian, Fu y Jiang el 11 de agosto de 2020 de crimen organizado , lavado de dinero, fraude y robo de identidad . ^{[ 13 ]} Los tres individuos eran parte del equipo directivo de la empresa Chengdu 404 Network Technology, donde los tres y sus compañeros de trabajo planearon ciberataques contra empresas e individuos en industrias como comunicaciones, medios de comunicación, seguridad y gobierno. ^{[ 14 ]} Estas operaciones se llevarían a cabo en países como Estados Unidos, Brasil, Alemania, India, Japón, Suecia, Indonesia , Malasia , Pakistán , Singapur, Corea del Sur , Taiwán y Tailandia . ^{[ 1 ]}

En agosto de 2020, Wong Ong Hua y Ling Yang Ching fueron acusados ​​de crimen organizado, conspiración, robo de identidad, robo de identidad agravado y fraude, entre otros delitos. ^{[ 1 ]} El Departamento de Justicia de los Estados Unidos afirma que los dos empresarios malasios colaboraban con hackers chinos para atacar a empresas de videojuegos en Estados Unidos, Francia, Corea del Sur, Japón y Singapur y obtener beneficios de estas operaciones. ^{[ 15 ]} Estos planes, en particular una serie de intrusiones informáticas que involucraban a la industria de los videojuegos, se llevaron a cabo bajo la empresa malasia Sea Gamer Mall, fundada por Wong. ^{[ 1 ]} El 14 de septiembre de 2020, las autoridades malasias arrestaron a ambos individuos en Sitawan. ^{[ 1 ]}

Las operaciones de APT 41 se describen como " trabajos paralelos " debido a su equilibrio entre el espionaje apoyado por el Estado chino y las actividades motivadas financieramente fuera de la autorización estatal en sus períodos de inactividad. ^{[ 9 ] [ 16 ] [ 17 ]} Por lo tanto, es más difícil determinar si incidentes particulares están dirigidos por el Estado o no. ^{[ 18 ]} La organización ha llevado a cabo múltiples operaciones contra 14 países, principalmente Estados Unidos. Dichas actividades incluyen incidentes de rastreo , compromiso de cadenas de suministro comerciales y recopilación de datos de vigilancia . ^{[ 19 ]} En 2022, APT 41 fue vinculado al robo de al menos 20 millones de dólares  en ayuda de alivio por COVID-19 en EE. UU. ^{[ 20 ]}

APT 41 utiliza software malicioso de ciberespionaje que normalmente se mantiene exclusivo para el gobierno chino. ^{[ 21 ]} Esta característica es común en otras amenazas persistentes avanzadas, ya que les permite obtener información para espiar a objetivos de alto perfil o contactar con ellos para obtener información que beneficie el interés nacional . ^{[ 22 ]} La relación de APT 41 con el Estado chino se evidencia en el hecho de que ninguna de estas informaciones se encuentra en la dark web y puede ser obtenida por el PCCh. ^{[ 23 ]}

La focalización del APT 41 es coherente con los planes nacionales del gobierno chino para avanzar hacia campos de alta investigación y desarrollo e incrementar las capacidades de producción. Estas iniciativas coinciden con el plan del gobierno chino " Hecho en China 2025 ", que busca orientar la producción china hacia campos de alto valor como la farmacia , los semiconductores y otros sectores de alta tecnología . ^{[ 9 ] [ 24 ]}

FireEye también ha evaluado con confianza moderada que APT 41 puede participar en trabajos por contrato asociados con el gobierno chino. Personas identificadas asociadas con el grupo han anunciado previamente sus habilidades como hackers a sueldo. Su uso de HOMEUNIX y PHOTO en sus operaciones personales y motivadas financieramente, que son malware inaccesible al público utilizado por otros actores de espionaje patrocinados por el Estado también evidencia esta postura. ^{[ 9 ]} También se reconoce en China que los hackers más capacitados tienden a trabajar en el sector privado bajo contratos gubernamentales debido a la mayor remuneración. ^{[ 25 ]} El informe de FireEye también señaló que el Estado chino ha dependido de contratistas para ayudar con otras operaciones estatales centradas en el ciberespionaje, como lo demuestran amenazas persistentes avanzadas chinas anteriores como APT 10. [ ^{9 ] [ 26 ] Algunos} consideran que APT 41 podría estar compuesto por ciudadanos chinos capacitados, que son utilizados y empleados por el gobierno chino, lo que lleva a suponer que los miembros del grupo a menudo tienen dos trabajos, lo cual se ve respaldado por sus horarios operativos. ^{[ 9 ] [ 27 ]}

Las técnicas operativas de APT 41 son distintivas, particularmente en su uso de puertas traseras pasivas en comparación con las tradicionales. Mientras que las puertas traseras tradicionales utilizadas por otras amenazas persistentes avanzadas son fácilmente detectables, esta técnica suele ser mucho más difícil de identificar. ^{[ 9 ]} Las técnicas aplicadas en la actividad de APT 41 motivada por el dinero también incluyen compromisos en la cadena de suministro de software . Esto les ha permitido implementar códigos inyectados en archivos legítimos para su distribución, lo que pone en peligro a otras organizaciones al robar datos y alterar sistemas. ^{[ 28 ]} También se suele desplegar malware sofisticado para permanecer indetectable mientras se extraen datos. ^{[ 27 ]} Los bootkits también son un tipo de malware utilizado por el grupo, que es difícil de detectar y aún más difícil de encontrar entre otros grupos de ciberespionaje y ciberdelincuencia , lo que dificulta que los sistemas de seguridad detecten el código malicioso. ^{[ 9 ]} También utilizaron el lanzador Deadeye y el malware Lowkey para realizar reconocimiento instantáneo sin ser detectados. ^{[ 29 ]}

Investigaciones recientes destacan el uso que hace Double Dragon (APT41) de certificados TLS modificados, en particular wolfSSL, para enmascarar su infraestructura de comando y control (C2). Al personalizar campos para generar huellas digitales JA4X únicas, evaden la detección mientras perfeccionan sus tácticas de ciberespionaje. ^{[ 30 ]}

APT 41 utiliza regularmente correos electrónicos de spear-phishing tanto para ciberespionaje como para ataques financieros. ^{[ 11 ]} El grupo ha enviado numerosos correos electrónicos engañosos que intentan obtener información de objetivos de alto nivel tras recopilar datos personales para aumentar la probabilidad de éxito. ^{[ 31 ]} Los objetivos han variado desde grupos de medios de comunicación para actividades de espionaje hasta plataformas de intercambio de bitcoins para obtener beneficios económicos. ^{[ 9 ]}

Actividad de espionaje

FireEye considera que los objetivos de APT 41 se correlacionan con las estrategias y objetivos nacionales de China, particularmente aquellos relacionados con la tecnología. ^{[ 9 ] [ 27 ] [ 32 ]} Los ataques a empresas tecnológicas se alinean con el interés chino en desarrollar instrumentos de alta tecnología a nivel nacional, como lo demuestran los Planes Quinquenales 12.º y 13.º. ^{[ 9 ]} FireEye cree que el ataque a organizaciones en diversos sectores es indicativo de que APT 41 está cumpliendo tareas específicas asignadas. Las campañas atribuidas a APT 41 también demuestran que el grupo se utiliza para obtener información antes de eventos políticos y financieros importantes. ^{[ 9 ] [ 32 ]} Han atacado empresas en 14 países diferentes (y Hong Kong), incluyendo Francia, India, Italia, Japón, Myanmar, Países Bajos, Singapur, Corea del Sur, Sudáfrica, Suiza, Tailandia, Turquía, Reino Unido y Estados Unidos. ^{[ 33 ]} También se han detectado en varias industrias diferentes, incluyendo salud, telecomunicaciones y tecnología. ^{[ 33 ]}

La empresa alemana TeamViewer AG , creadora del popular software del mismo nombre que permitía el control remoto de sistemas, fue hackeada en junio de 2016 por APT 41, según una conferencia de seguridad de FireEye. ^{[ 34 ]} El grupo logró acceder a los sistemas de usuarios de TeamViewer en todo el mundo y obtener detalles de gestión e información sobre empresas. ^{[ 34 ]} En 2021, APT 41 lanzó varias estafas de phishing en India que fueron descubiertas por BlackBerry Research and Intelligence . También robaron datos relacionados con la nueva legislación fiscal y registros y estadísticas de COVID-19 . El grupo se hizo pasar por el gobierno indio para no ser detectado. ^{[ 29 ]}

En septiembre de 2025, analistas cibernéticos estadounidenses identificaron a APT 41 como el responsable de una campaña de phishing de julio, en la que se enviaron correos electrónicos suplantando la identidad del congresista estadounidense John Moolenaar y que contenían malware a grupos comerciales, bufetes de abogados y agencias gubernamentales, supuestamente con el objetivo de obtener información sobre las negociaciones comerciales entre Estados Unidos y China. ^{[ 35 ]}

Actividades motivadas por intereses financieros

APT 41 ha dirigido la mayor parte de su actividad a la industria de los videojuegos, centrada en el beneficio económico. ^{[ 9 ]} Foros de internet chinos indicaron que miembros asociados vinculados a APT 41 anunciaban sus habilidades de piratería informática fuera del horario laboral chino para obtener beneficios. ^{[ 27 ]} En un caso reportado por FireEye, el grupo logró generar moneda virtual de juegos y venderla a compradores a través de mercados clandestinos y esquemas de lavado de dinero , ^{[ 1 ] [ 9 ] [ 19 ]} que podría haberse vendido por hasta US$300,000. ^{[ 32 ]} Aunque no es un método típico utilizado por el grupo para recaudar dinero, APT 41 también intentó desplegar ransomware para obtener ganancias de sus operaciones. ^{[ 9 ]}

FireEye informa que, dado que la mayor parte de la actividad de APT 41 motivada por intereses económicos ocurre a altas horas de la noche o a primera hora de la mañana, esto podría significar que dichas actividades no guardan ninguna relación con sus actividades de espionaje. ^{[ 9 ]} FireEye informa que las actividades de APT 41 se desarrollan en promedio entre las 10:00 y las 23:00, hora estándar de China , lo cual es típico de los trabajadores tecnológicos chinos que siguen un horario laboral " 996 ". ^{[ 9 ]}

APT 41 utiliza certificados digitales obtenidos de desarrolladores y productores de videojuegos para firmar su malware. ^{[ 1 ] [ 36 ]} Mediante la aplicación de más de 19 certificados digitales diferentes, atacan tanto a organizaciones de videojuegos como a otras organizaciones para evitar ser detectadas y garantizar la compatibilidad con los sistemas del objetivo. ^{[ 9 ]} En 2012, APT 41 aprovechó un certificado de una editorial de videojuegos surcoreana para firmar el malware que utiliza contra otros miembros de la industria de los videojuegos. ^{[ 9 ]} En 2021, APT 41 lanzó una serie de ataques contra la industria del juego ilegal en China . ^{[ 37 ]}

El 16 de septiembre de 2020, el Departamento de Justicia de Estados Unidos publicó cargos previamente sellados contra 5 ciudadanos chinos y 2 malasios por piratear más de 100 empresas en todo el mundo. ^{[ 1 ] [ 38 ]} Estas incluyen empresas relacionadas con redes sociales, universidades, proveedores de telecomunicaciones, desarrollo de software, hardware informático, videojuegos, organizaciones sin fines de lucro, centros de investigación, gobiernos extranjeros y partidarios de la democracia en Hong Kong. ^{[ 1 ] [ 39 ]} Se dijo que los ataques implicaron el robo de código, certificados de firma de código, datos de clientes e información comercial. ^{[ 38 ]} El Fiscal General Adjunto Jeffrey Rosen dice que estas acciones implicaron que los piratas informáticos colocaran "puertas traseras" en el software que permitían el acceso directo a los sistemas de los clientes del proveedor de software. ^{[ 40 ]} Dos de los piratas informáticos chinos también llevaron a cabo ataques contra la industria de los videojuegos de EE. UU., que involucraron al menos a 6 empresas en Nueva York, Texas, Washington , Illinois, California y el Reino Unido. ^{[ 38 ]}

El Tribunal de Distrito de los Estados Unidos para el Distrito de Columbia emitió órdenes judiciales para la incautación de cuentas, servidores, nombres de dominio y páginas web utilizadas por los piratas informáticos para llevar a cabo sus operaciones. El FBI , junto con otras empresas del sector privado, fue responsable de ejecutar dichas órdenes. ^{[ 1 ]} Microsoft también desarrolló medidas técnicas para impedir el acceso continuo a los sistemas informáticos de las víctimas. El Buró Federal de Investigaciones (FBI) publicó un informe con información técnica que puede ser utilizada por grupos del sector privado. ^{[ 1 ]}

El Departamento de Justicia felicitó al gobierno malasio, en particular a la Fiscalía General de Malasia y a la Real Policía de Malasia , por su cooperación y ayuda en la detención de los dos ciudadanos malasios, especialmente dada la dificultad que supone arrestar a hackers extranjeros en general. ^{[ 1 ] [ 39 ]} El comunicado de prensa mencionó a Microsoft, Google, Facebook y Verizon Media como grupos que ayudaron en la investigación. ^{[ 1 ]} El FBI también reconoció la labor de la Oficina de Investigación del Ministerio de Justicia de Taiwán , que proporcionó información a las autoridades estadounidenses tras el descubrimiento de servidores APT 41 instalados en California. ^{[ 41 ] [ 42 ]}

Por el contrario, Rosen criticó al Partido Comunista Chino por su inacción al no colaborar con el FBI en la detención de los cinco hackers chinos asociados con APT 41. ^{[ 39 ] [ 40 ]} Rosen también afirmó que el Partido Comunista Chino estaba "haciendo de China un lugar seguro para sus ciberdelincuentes" al seguir prestándoles asistencia en actividades de espionaje. ^{[ 40 ]} El portavoz del Ministerio de Asuntos Exteriores chino, Wang Wenbin, declaró que Estados Unidos utiliza sus propios problemas de ciberseguridad para "atacar a China" mediante la difusión de información falsa y la manipulación política. ^{[ 38 ]}

Este anuncio se realizó durante la campaña de reelección del presidente Donald Trump , asociando al Partido Comunista Chino con diversos ataques de ciberespionaje. Junto con Rusia e Irán, China fue identificada en una evaluación nacional de amenazas a las elecciones. ^{[ 40 ] [ 43 ]}

APT 41 tiene actividades que se superponen con informes públicos sobre otros grupos como Barium y Winnti. ^{[ 2 ]} En términos de técnica, hay muchas superposiciones en certificados digitales y malware. Según FireEye, una de las similitudes más destacadas es el uso de malware similar, en particular HIGHNOON, en varias áreas de actividad. ^{[ 2 ]} El uso del malware HIGHNOON fue reportado por FireEye y agrupado bajo el grupo APT 15 (también conocido como Ke3chang, Vixen Panda, GREF, Playful Dragon). ^{[ 9 ]} Sin embargo, más tarde se descubrió que esto era obra de múltiples grupos chinos que comparten herramientas y estrategias. Un certificado digital distribuido por la compañía de videojuegos YNK Japan fue utilizado por APT 41, así como por otros grupos APT como APT 17 y APT 20. ^{[ 9 ]} Un certificado digital supuestamente de la Autoridad de Certificación de Microsoft también fue utilizado por APT 41 y APT 40. ^{[ 9 ]} El malware no público utilizado por APT 41 está vinculado a otros supuestos grupos patrocinados por el Estado chino, lo que puede indicar que APT 41 ha compartido recursos con otros grupos. ^{[ 9 ] [ 17 ]} En 2024, expertos en seguridad de Internet creyeron que i-Soon estaba asociado con APT 41 tras investigar sus actividades a partir de documentos filtrados. ^{[ 44 ]}

• Apolo Rojo
• APT40