Durante un año, Check Point Research ha seguido tres campañas que parecían pertenecer a actores distintos y ha encontrado una conexión más útil que un nuevo nombre de grupo: un posible proveedor común de malware e infraestructura. La firma llama CopperDragon a esa entidad y la sitúa detrás del ecosistema Sparrow, pero advierte que compartir herramientas no demuestra por sí solo que una misma organización haya ejecutado cada intrusión.
Qué ha descubierto Check Point
La investigación, publicada el 10 de noviembre, conecta actividad observada en 21 países de Europa, Asia y Latinoamérica. Los objetivos abarcan administraciones públicas, operadores de telecomunicaciones, organizaciones militares, instituciones de investigación e infraestructuras críticas. El hallazgo no es una única campaña con una única cadena de infección, sino una relación entre muestras, infraestructura y capacidades que antes se analizaban por separado.
Check Point identifica malware nuevo para Windows y Linux, entre ellos SquadC, AnnobinDoor y SparrowShell, y amplía la información disponible sobre el marco Sparrow. La hipótesis de trabajo es que CopperDragon desarrolla o suministra parte de ese material a varios actores alineados con China. “Alineado” describe el contexto atribuido por la investigación; no convierte cada muestra en una prueba de control estatal directo.
Un proveedor no es un actor único
La distinción cambia la forma de leer la atribución. Cuando dos intrusiones usan el mismo backdoor o un servidor de mando relacionado, la explicación más rápida es que pertenecen al mismo grupo. El informe plantea otra posibilidad: un proveedor especializado puede entregar herramientas a operadores diferentes, del mismo modo que varios equipos pueden utilizar una plataforma comercial sin compartir operador ni objetivo.
Eso no rebaja el valor de la conexión. Al contrario, permite buscar una capa que permanece cuando cambian los objetivos, los nombres de grupo o las rutas de entrada. Pero también obliga a mantener el verbo correcto: Check Point dice que CopperDragon puede actuar como un “digital quartermaster”, no que haya demostrado una cadena de mando única para todas las operaciones.