Rapid7 detecta "células dormidas" chinas en redes de telecomunicaciones

09:20

Rapid7 detalló el jueves cómo un actor de amenazas vinculado a China, Red Menshen, implantó puertas traseras BPFdoor sigilosas en redes de telecomunicaciones globales mediante malware a nivel de núcleo Linux. Revelado en 2022, BPFdoor usa tecnología Berkeley Packet Filter para monitorear paquetes de red pasivamente sin abrir puertos ni generar actividad detectable, eludiendo herramientas estándar de detección en endpoints. Presentado en RSAC 2026 en San Francisco, los hallazgos muestran una variante nueva que oculta disparadores de comandos en tráfico HTTPS cifrado vía endpoints SSL como balanceadores y proxies.

El malware apunta protocolos específicos de telecomunicaciones como SCTP, permitiendo vigilancia de actividad de suscriptores, rastreo de ubicación y recolección de datos de identidad en redes 4G y 5G. Representa un giro de intrusiones oportunistas a posicionamiento deliberado a largo plazo, con implantes que imitan servicios de infraestructura legítimos. Rapid7 liberó un script de detección gratuito y open source para que organizaciones busquen restos de BPFdoor.

En otra amenaza Linux, Check Point Research expuso VoidLink a inicios de año: un framework malicioso cloud-nativo construido mayormente con asistencia de IA, probablemente por un desarrollador solitario usando el IDE TRAE centrado en IA para generar más de 88.000 líneas de código funcional en menos de una semana. Detectado por primera vez en diciembre 2025, perfila entornos objetivos y despliega rootkits adaptados: eBPF en núcleos 6.x, híbridos eBPF-LKM en 5.x, y módulos compilados remotamente en versiones antiguas.

Análisis de Sysdig reveló que el servidor de comando y control de VoidLink compila rootkits específicos por víctima bajo demanda—una técnica inédita en la naturaleza. Ambas amenazas aprovechan el creciente uso de Linux en plataformas cloud, orquestación de contenedores e infraestructura telecom. Ericsson advirtió el año pasado que BPFdoor persiste en entornos Kubernetes a nivel de nodo incluso tras reinicios de pods, mientras VoidLink indaga APIs de metadatos cloud y enumera setups Kubernetes y Docker por errores de configuración y escaladas.