Espías chinos sospechosos asaltan servidores de correo de la universidad

      Un grupo de espionaje chino sospechoso ha estado infiltrándose en los servidores de correo de universidades en Estados Unidos y Canadá. Ha robado credenciales de personal en física, ingeniería e investigación de seguridad nacional.

      La firma de seguridad Proofpoint reveló la campaña esta semana, rastreando al grupo como UNK_MassTraction y datándola al menos desde mayo. The Register informó más detalles.

      Proofpoint ha observado directamente menos de diez universidades afectadas. Estima que la cifra real es de unas pocas docenas. La observación más reciente fue a principios de junio, y es probable que la actividad aún continúe.

      Un correo electrónico es suficiente

      La forma de entrar es una falla en Roundcube, una plataforma de correo web ampliamente utilizada. Los atacantes explotan un error de scripting entre sitios, CVE-2024-42009, que se activa en el momento en que un objetivo abre un mensaje manipulado. Sin clic, sin archivo adjunto, sin contraseña necesaria.

      El 💜 de la tecnología de la UE

      Los últimos rumores de la escena tecnológica de la UE, una historia de nuestro sabio fundador Boris, y un arte de IA cuestionable. Es gratis, cada semana, en tu bandeja de entrada. ¡Regístrate ahora!

      Los señuelos son deliberadamente aburridos. El grupo envía correos electrónicos de phishing desde cuentas legítimas comprometidas y dominios falsificables, disfrazándolos como marketing o spam. Una vez que un objetivo abre uno en una bandeja de entrada vulnerable de Roundcube, un script oculto comienza a trabajar.

      Lo que roba

      Ese script, que Proofpoint llama IceCube, cosecha nombres de usuario, contraseñas, tokens de sesión y cookies directamente de la bandeja de entrada. También realiza un reconocimiento silencioso, anotando el idioma de la víctima, el tamaño de la pantalla y los campos en su formulario de inicio de sesión.

      El script agrupa esos datos y los envía de vuelta a los atacantes a través de la web. Luego, el grupo encadena una segunda falla de Roundcube, CVE-2025-49113. Eso le permite plantar un shell web y una puerta trasera basada en Go llamada VShell, una herramienta que varios grupos de hackers chinos prefieren.

      Proofpoint dice que el servidor de correo es realmente un trampolín. Desde allí, los operadores pueden profundizar en la red universitaria.

      Apuntando a Pekín

      Proofpoint se detiene antes de nombrar un estado específico, pero las señales apuntan hacia China. “El objetivo es consistente con las prioridades de inteligencia estatal china”, dijo el ingeniero principal de investigación de amenazas Greg Lesnewich a The Register, señalando el enfoque en astrofísica, física de partículas e investigación con vínculos de defensa.

      La infraestructura añade peso. Los servidores detrás de la campaña se encuentran en una red encubierta que sirve a múltiples actores alineados con China. En junio, el grupo añadió un cargador de respaldo que los mismos grupos comparten. Proofpoint califica al operador como alineado con China y con una seguridad operativa moderada.

      Las universidades son objetivos blandos y valiosos. Poseen investigaciones de vanguardia, fomentan la colaboración internacional y rara vez gestionan la seguridad tan estrictamente como un contratista de defensa. Esa mezcla ha convertido a las redes académicas en un premio recurrente para espías respaldados por el estado.

      Por qué importa

      La campaña es un recordatorio de que el espionaje ahora a menudo comienza en una bandeja de entrada, no en una entrada forzada. Proofpoint dice que ha escaneado en busca de víctimas y las ha alertado junto con socios gubernamentales e industriales. Para los investigadores cuyo trabajo el grupo expuso, la solución es contundente: parchear Roundcube y tratar cada correo electrónico no leído como una posible puerta.