ESET expuso una campaña de espionaje ligada a China de más de un año contra gobiernos de América Latina: Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela. El objetivo reportado es recolectar inteligencia sobre las respuestas de esos gobiernos a la presión estadounidense contra los intereses económicos chinos.
Brasil no aparece en la lista. Vuelvo a ese punto al final, porque es el menos cómodo del caso.
El instrumento: paciencia de Estado en código modular
El backdoor SparroWocky es un arsenal completo en C++ modular:
- Vigilancia visual discreta: capturas de pantalla cada 500 milisegundos, enviando solo las regiones de la pantalla que cambian. Es exfiltración proyectada para no aparecer: bandas pequeñas de píxeles en vez de archivos enteros.
- Movimiento en silencio: inyecta procesos en la sesión de otros usuarios, escapando de la visibilidad del perfil que lo cargó.
- Infraestructura robusta: opera como proxy de red y conversa con más de 18 servidores de comando y control.
Es espionaje de Estado con paciencia de Estado: campaña de más de un año, contra blancos cuyo valor no está en un pago de rescate, sino en lo que las pantallas de los funcionarios públicos muestran.
El recorte geográfico cuenta una historia
Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico, Venezuela: blancos hispanohablantes, en el arco de presión de Washington contra los intereses económicos chinos. La selección no es aleatoria, es analítica: quien responde a la presión estadounidense es exactamente a quien la parte contraria quiere escuchar.
La técnica recuerda el patrón que ya cubrimos en otros casos: instrumentos discretos, persistencia larga y blancos elegidos por lo que revelan, no por lo que pagan. El backdoor de C2 que transformó canales de Teams en relay mostró la misma lógica del lado criminal: cuando la comunicación legítima es el canal, la detección necesita ser comportamental, no de firmas.
Brasil fuera de la lista: tres lecturas, ningún consuelo
La ausencia de Brasil de la lista admite tres lecturas:
- Idioma: la campaña fue diseñada para el recorte hispanohablante (ingeniería social, documentación, operación), y el esfuerzo en portugués todavía no compensa el costo.
- Doctrina: instrumentos diferentes para Brasil, todavía no expuestos.
- Espera: la fila existe, y la priorización no es mérito de la defensa.
Ninguna de las tres lecturas es consuelo, y la tercera es la más probable de todas las que no pueden descartarse. Un APT no es una campaña de fin de semana: es presencia de largo plazo, y la lista de hoy no es la de mañana. Brasil es el mayor mercado digital de la región, con elecciones y Pix como columna vertebral: la suposición de que no somos interesantes es la vulnerabilidad más barata que un atacante puede encontrar.
La respuesta que cabe al continente
Para quien defiende infraestructura en el continente, la respuesta es una sola: caza continua en lugar de pentest anual, con indicadores actualizados e hipótesis de compromiso permanente.
En la práctica: EDR/XDR instrumentado en los endpoints (con telemetría de inyección de proceso y tráfico inusual), inteligencia de amenazas suscrita y aplicada (ESET publicó los IoC del SparroWocky; aplicarlos es el mínimo de esta semana) y playbooks de respuesta ensayados. El pentest anual responde "cómo entraríamos hoy"; la caza continua responde "quién ya está dentro y desde cuándo". Son preguntas diferentes, y la segunda es la que define la supervivencia.
Conclusión
El SparroWocky no es una noticia sobre ocho gobiernos vecinos: es la confirmación de que América Latina se volvió tablero de espionaje sistemático, con paciencia de Estado y presupuesto de Estado.
Para Brasil, el recado es doble: no estar en la lista no es mérito, y estar fuera de la foto no significa estar fuera de la película. La caza continua comienza asumiendo que el adversario ya te está buscando. Quien parte de esa premisa construye defensa; quien parte de la otra construye sorpresa.