El ladrido invisible: cómo LapDogs infiltró el corazón del tráfico empresarial con ShortLeash

Cuando la persistencia es invisible, el poder es absoluto. Esa es la premisa que parece guiar a LapDogs, un grupo de ciberespionaje vinculado a intereses estatales chinos, que durante al menos dos años operó en las sombras secuestrando routers empresariales, firewalls, appliances de red y dispositivos Linux embebidos de bajo perfil. Todo esto sin levantar alertas, camuflado entre el tráfico legítimo, sin necesidad de vulnerabilidades de día cero estruendosas, sino explotando una verdad incómoda: los dispositivos que nadie mira son los mejores aliados de quien quiere ver sin ser visto.

La operación, revelada en junio de 2025 por SecurityScorecard, no solo es sofisticada desde el punto de vista técnico. Es también una pieza magistral de estrategia cibernética: modular, resiliente, y adaptada a un ecosistema donde la vigilancia no ocurre en los bordes de red, sino en su corazón mismo.

Explotar sin romper: los accesos iniciales que nadie ve venir

Una de las características más notables de LapDogs es que no necesita explotar vulnerabilidades espectaculares para penetrar redes. Su punto de entrada inicial suele ser el acceso a interfaces administrativas de dispositivos SOHO, muchos de los cuales utilizan versiones de Linux embebido altamente personalizadas y sin mecanismos modernos de autenticación ni loggeo detallado.

Las técnicas incluyen la explotación de CVE-2023-1389, una falla en algunos routers TP-Link donde comandos pueden ejecutarse sin autenticación a través de formularios web; CVE-2022-22954, una vulnerabilidad en sistemas embebidos tipo VMware Workspace One que permite RCE por manipulación de plantillas; y combinaciones de LFI con credenciales filtradas en equipos con shells remotos o configuraciones heredadas.

Entre los dispositivos comprometidos se identifican marcas como Ruckus Wireless, ASUS, Buffalo, Cisco-Linksys, D-Link, Microsoft, Panasonic y Synology. Se ha confirmado que al menos el 55% de los nodos analizados operaban sin autenticación reforzada y con componentes como DropBear u OpenSSH habilitados de forma permanente. Los atacantes priorizan dispositivos “olvidados”, fuera del monitoreo centralizado, frecuentemente sin agente de EDR instalado. Una vez comprometido el primer nodo, comienza la verdadera operación.

ShortLeash: el backdoor que nunca se suelta

ShortLeash no es simplemente un malware. Es una filosofía de persistencia. Diseñado para operar con privilegios de root en sistemas Linux embebidos, su arquitectura se compone de módulos que trabajan en conjunto sin generar alertas de comportamiento anómalo.

El módulo Watcher se ejecuta como servicio de sistema, emulando procesos legítimos como klogd, crond o mini_httpd, y queda a la escucha para recibir instrucciones C2 pasivamente vía DNS o HTTP beacon. El módulo Injector modifica binarios nativos e intercepta llamadas a herramientas como ps, netstat, top e iptables, ocultando cualquier proceso o tráfico vinculado al malware. El módulo Relay convierte al dispositivo infectado en un nodo de reenvío cifrado dentro de la red ORB, canalizando tráfico de manera encadenada sin dejar rastros directos.

El payload, cifrado con XOR y RC4, se mantiene en memoria RAM o en particiones no montadas al arranque, con persistencia asegurada mediante hooks en scripts de inicio o, cuando es posible, a nivel de firmware UEFI. Este backdoor ha sido identificado en firewalls Fortinet, routers MikroTik y dispositivos de video vigilancia IP corporativos. La clave de su eficacia no es la agresión, sino el camuflaje.

ORB Network: un enjambre de relay boxes al servicio del espionaje

Una vez infiltrado el primer dispositivo, LapDogs lo transforma en parte de una red global conocida como ORB (Operational Relay Box). Esta red opera sin topología fija, reconfigurándose dinámicamente según latencia, estabilidad del nodo y comportamiento de detección en la red. Cada nodo puede asumir distintos roles: proxy para otros ORB, sniffing local o ataques de tipo hombre en el medio, o capa de staging para cargas temporales y comandos cifrados.

El descubrimiento entre ORBs se basa en fingerprints SHA1 del dispositivo, su número de serie y latencia observada, creando rutas resilientes sin necesidad de beaconing constante. Los centros de mando C2 se rotan cada 7 a 10 días, disfrazados mediante dominios con CNAME que apuntan a infraestructura legítima comprometida. Latinoamérica ha sido elegida como zona de tránsito ideal para estos nodos, debido al bajo monitoreo estructural, la fragmentación de ISPs y la cantidad de dispositivos sin mantenimiento actualizado.

Certificados LAPD: camuflaje o distracción

Una de las características que generó confusión mediática fue el uso de “certificados LAPD”. El análisis de muestras revela una estrategia refinada: LapDogs utiliza certificados TLS autofirmados cuya metadata contiene valores como “Issuer: LAPD Communications Authority”, con nombres comunes como “lapd-core.net” o “police-cloud.lapd-auth.com”. No implica que provengan del Departamento de Policía de Los Ángeles: se trata de un camuflaje deliberado para generar confianza o evitar inspecciones profundas.

Varios productos de seguridad que filtran por patrones conocidos pueden omitir el escaneo profundo de tráfico si el certificado aparenta ser gubernamental. No es una vulnerabilidad per se, sino una explotación psicológica de las heurísticas de confianza en el tráfico cifrado.

Implicancias para Latinoamérica y el futuro de la vigilancia silenciosa

En Chile, Perú, Argentina y Colombia, varias universidades, operadores de telecomunicaciones rurales y municipalidades tienen infraestructura vulnerable al modelo de ataque LapDogs. El uso de dispositivos adquiridos por licitación, instalados por contratistas y luego abandonados técnicamente, crea una superficie ideal para este tipo de campañas: firmwares no actualizados, interfaces de administración remota sin protección de capa adicional, y servicios inseguros como mini_httpd o Telnet aún operativos, muchas veces fuera del inventario de activos tecnológicos.

El backdoor ShortLeash no necesita moverse rápido. No busca cifrar ni destruir. Solo observar. Su eficacia reside en la lentitud con que operan los procesos internos de mantenimiento en instituciones donde la ciberseguridad no tiene presupuesto dedicado. Y su mayor riesgo es que no se percibe como amenaza: es un perro que no ladra.

Para los responsables de seguridad en LATAM, este es el nuevo paradigma: la vigilancia ya no es activa, es pasiva, distribuida y silenciosa. Detectarla exige cambiar la forma de pensar, no solo instalar una nueva herramienta.