Un nuevo grupo chino de ciberamenazas compromete servidores Windows en varios continentes

Un grupo de cibercriminales, identificado recientemente como GhostRedirector, ha irrumpido en el panorama internacional al comprometer al menos 65 servidores Windows en un ataque global detectado a mediados de 2025.

Las víctimas se concentran principalmente en Brasil, Tailandia, Vietnam y Estados Unidos, aunque también se han encontrado casos en Europa, Canadá, India, Filipinas y Singapur. Los sectores afectados son variados: seguros, salud, transporte, retail, educación y tecnología, lo que demuestra un interés transversal más que un objetivo sectorial definido.

GhostRedirector destaca por el uso de herramientas personalizadas inéditas, entre ellas una puerta trasera pasiva en C++ con capacidad para ejecutar comandos y un módulo malicioso para Internet Information Services (IIS). Este último se emplea en esquemas de fraude SEO, manipulando resultados de búsqueda en Google para posicionar de forma artificial páginas web de apuestas online, lo que supone un riesgo reputacional para los sitios comprometidos.

El grupo combina estas innovaciones con exploits conocidos y técnicas de escalada de privilegios, creando cuentas falsas y desplegando múltiples webshells para garantizar persistencia. Los analistas apuntan a que la explotación de vulnerabilidades en bases de datos (SQL injection) podría ser su vía principal de acceso inicial.

La infraestructura atacada sugiere un interés especial en América Latina y el Sudeste Asiático, donde se concentra la mayor parte de los servidores vulnerados. Sin embargo, la campaña confirma una estrategia global y refuerza la atribución a un actor alineado con intereses chinos.

Con GhostRedirector, se suma un nuevo nombre a la lista de actores avanzados que utilizan la combinación de IA, manipulación digital y persistencia técnica para extender su huella en el ciberespacio internacional.