Perú en la mira del ciberespionaje chino: grupo de hackers concentró el 90% de sus objetivos en América Latina

18:01 | Lunes 28 de Septiembre de 2026 | La Rioja, Argentina | Fenix Multiplataforma

Un grupo de ciberespionaje vinculado al régimen de China habría concentrado buena parte de sus operaciones recientes en América Latina, donde identificó como objetivos a entidades gubernamentales de ocho países, entre ellos Perú. La investigación, realizada por especialistas de ESET Research, empresa eslovaca de ciberseguridad, detectó que el 90% de los objetivos registrados por la compañía entre mediados de 2025 y 2026 se encontraba en esta región.

La actividad fue atribuida a FamousSparrow, un grupo de amenazas persistentes avanzadas (APT) que desarrolla operaciones de espionaje informático y que comenzó a utilizar una nueva herramienta maliciosa denominada SparroWocky. Este programa permite a los atacantes ejecutar comandos, manipular archivos y recopilar información de los equipos comprometidos.

El informe, publicado el 17 de septiembre de 2026, identificó el despliegue de este malware contra organismos gubernamentales de Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela. Aunque Perú aparece en la lista de países objetivo, ESET no precisó públicamente qué instituciones nacionales fueron identificadas ni detalló si se produjo una extracción confirmada de información clasificada.

FamousSparrow, el grupo de hackers vinculado al régimen de China

FamousSparrow es un grupo de ciberespionaje documentado por ESET desde 2021. Sus operaciones se caracterizan por la utilización de herramientas personalizadas para ingresar a sistemas informáticos, mantener acceso remoto y obtener información de organizaciones estratégicas.

Inicialmente, sus actividades estuvieron relacionadas con ataques contra hoteles. Luego amplió sus objetivos hacia gobiernos, organizaciones internacionales y empresas privadas.

Los investigadores también han identificado coincidencias entre sus operaciones y las de otros grupos vinculados a China, aunque FamousSparrow continúa siendo rastreado como un actor independiente.

La investigación más reciente detectó que sus operaciones en América Latina comenzaron a intensificarse, al menos, desde julio de 2025, con ataques dirigidos principalmente a organismos gubernamentales.

Perú entre los países identificados en la campaña

La presencia de Perú en el informe de ESET forma parte de una operación regional que también alcanzó a instituciones gubernamentales de otros siete territorios.

Según la compañía, el 90% de los objetivos registrados en su telemetría entre mediados de 2025 y 2026 se encontraba en América Latina. Esta concentración geográfica representa un comportamiento particular frente a otros grupos de amenazas persistentes avanzadas que suelen operar simultáneamente en distintas regiones del mundo.

ESET considera que el interés por América Latina podría estar relacionado con el escenario geopolítico y la competencia entre China y Estados Unidos por mantener influencia en la región. La compañía plantea que las recientes iniciativas estadounidenses podrían haber influido en el cambio de enfoque del grupo, en un contexto donde China mantiene inversiones e intereses estratégicos en sectores como energía, minería y telecomunicaciones.

Esta explicación corresponde a la interpretación de los investigadores y no constituye una motivación confirmada por los responsables de los ataques.

SparroWocky, el nuevo malware para espiar gobiernos

Uno de los principales hallazgos de la investigación es la aparición de SparroWocky, una nueva puerta trasera informática (backdoor) desarrollada en C++ y utilizada por FamousSparrow desde agosto de 2025.

El programa reemplaza progresivamente a SparrowDoor, una herramienta personalizada que el grupo empleaba anteriormente para mantener acceso a los sistemas comprometidos.

A diferencia de un virus convencional que puede limitarse a dañar archivos o interrumpir el funcionamiento de un equipo, una puerta trasera está diseñada para permitir que un atacante ingrese y ejecute acciones de manera remota sin autorización.

De acuerdo con el análisis técnico de ESET, SparroWocky tiene una arquitectura modular y utiliza técnicas avanzadas para dificultar su detección por los sistemas de seguridad informática.

Capacidades del malware SparroWocky

Entre las capacidades identificadas por los especialistas se encuentran:

• Ejecutar comandos de manera remota: permite controlar determinadas funciones del equipo infectado y ejecutar programas.
• Extraer información: puede recopilar archivos y transferirlos hacia servidores controlados por los atacantes.
• Capturar pantallas: obtiene imágenes periódicas de la actividad que se desarrolla en el equipo comprometido.
• Manipular archivos: permite subir, descargar, copiar, mover y eliminar documentos.
• Recopilar información del sistema: obtiene datos sobre unidades, directorios y sesiones de usuarios.
• Mantener acceso remoto: facilita que los atacantes continúen operando dentro del equipo comprometido.

Estas funciones pueden convertir una computadora infectada en un punto de acceso para recopilar información y realizar nuevas acciones dentro de una red informática.

Cómo ingresan los atacantes a los sistemas

ESET identificó que FamousSparrow utiliza técnicas diseñadas para ocultar sus herramientas dentro de procesos informáticos legítimos y dificultar su identificación por los sistemas de protección.

Entre los procedimientos documentados se encuentra el DLL sideloading, una técnica que aprovecha programas legítimos para cargar bibliotecas maliciosas introducidas previamente por los atacantes. El grupo también utiliza mecanismos para ejecutar código directamente en la memoria del equipo, lo que puede dificultar su detección mediante herramientas que se concentran únicamente en revisar archivos almacenados en el disco.

Sin embargo, los investigadores no determinaron públicamente el mecanismo inicial de acceso utilizado en todos los incidentes de la campaña más reciente. Por ello, no es posible atribuir todos los ataques a una única vulnerabilidad o método de infección.

Riesgos del ciberespionaje para las instituciones públicas

El acceso no autorizado a los sistemas de una entidad gubernamental puede representar riesgos para la confidencialidad de documentos, comunicaciones internas y datos institucionales.

En una operación de ciberespionaje, el objetivo no necesariamente es paralizar los servicios o exigir un pago, como ocurre en determinados ataques de ransomware. En cambio, los responsables pueden buscar permanecer ocultos durante un periodo prolongado para recopilar información de interés.

Las capacidades de SparroWocky permiten realizar acciones compatibles con ese tipo de operación, como revisar archivos, obtener información del sistema, ejecutar comandos y capturar pantallas. No obstante, estas capacidades técnicas no demuestran por sí solas que se haya producido el robo de información específica de una institución peruana.

La investigación de ESET tampoco identifica públicamente el volumen de información comprometida en Perú ni confirma consecuencias sobre los servicios digitales del Estado.

Actividad regional sostenida bajo monitoreo

El hallazgo de FamousSparrow se suma al seguimiento que especialistas en ciberseguridad realizan sobre grupos de amenazas persistentes avanzadas que desarrollan herramientas propias y dirigen sus operaciones contra organizaciones estratégicas.

La concentración de objetivos en América Latina y la incorporación de SparroWocky evidencian una evolución de las capacidades técnicas del grupo. Para Perú, la principal información confirmada por el reporte es su inclusión entre los países cuyas entidades gubernamentales fueron identificadas como objetivos de esta campaña.

La investigación no permite establecer por sí sola el alcance de una eventual intrusión en organismos nacionales, pero sí documenta la presencia del país dentro de una operación regional que ESET continúa monitoreando.