Check Point Research ha pubblicato i risultati di una indagine durata un anno che ricostruisce un ecosistema di spionaggio informatico riconducibile alla Cina molto più integrato di quanto finora documentato. L’elemento centrale del rapporto è una entità battezzata CopperDragon, un possibile “digital quartermaster” — fornitore di malware e infrastrutture condivise — che rifornirebbe più attori distinti legati a Pechino, tra cui FamousSparrow, Earth Estries, TropicTrooper, UAT-9244 e UAT-8302. Tre i cluster operativi individuati, battezzati SilentDelivery, OceanGate e DarkWire, accomunati da somiglianze nel codice del framework Sparrow e nell’infrastruttura: colpiscono telecomunicazioni, governi, strutture militari, istituti di ricerca e infrastrutture critiche in 21 Paesi tra America Latina, Asia ed Europa. Il rapporto non attribuisce a un solo team la regia delle tre campagne, né identifica chi guidi CopperDragon: un caveat metodologico rilevante, perché se gli strumenti sono condivisi, la presenza dello stesso backdoor in due intrusioni non prova più l’identità dell’attaccante.
Sul piano tecnico, i ricercatori hanno documentato malware Windows e Linux finora ignoti — SquadC, AnnobinDoor, SparrowShell — accanto a varianti di SparrowDoor, CopperDoor, CopperDNS, CopperLoader, CopperProxy e CopperLsass. SilentDelivery compromette siti legittimi di governi, shipping e settore IT e ricerca, mostrando ai visitatori selezionati falsi errori di certificato che spingono a installare un “fix” trojanizzato (vittime in Repubblica Ceca, Germania, Francia, Taiwan, Nepal, Hong Kong e Indonesia). DarkWire, attivo dalla metà del 2025, colpisce almeno tre grandi operatori telefonici in America Latina, più uffici esteri e giustizia, con espansione recente oltre la regione. OceanGate opera soprattutto in Asia, con possibili legami con il backdoor Melofee.
La lettura geopolitica è la parte più significativa. La concentrazione in America Latina — dove ESET riporta il 90% dei bersagli di FamousSparrow tra metà 2025 e 2026 — suggerisce una risposta cinese alle iniziative statunitensi nella parte sud del continente, in un contesto di competizione strategica per cavi, reti 5G e infrastrutture digitali. La posta in gioco non è astratta: compromettere un operatore telefonico significa accedere a metadati di chiamate, localizzazioni, SMS e traffico di sorveglianza governativa, cioè a una mappa dei rapporti umani e istituzionali di un intero Paese. La novità strutturale è la filiera: un fornitore comune di strumenti abbatte i costi d’ingresso, alza la sofisticazione media degli attori e rende volatile l’attribuzione — la stessa logica che l’FBI e il DOJ hanno affrontato ad agosto sequestrando le piattaforme QScan e QTRouter, e che CISA ha documentato in ottobre sull’uso combinato di scansione automatica e azione manuale.
Per i difensori, Check Point raccomanda di inventariare e patchare i sistemi esposti a internet, vigilare su utility di “riparazione” inattese, monitorare il caricamento anomalo di librerie, il credential dumping e la persistenza, limitare il desktop remoto. In un quadro in cui il riutilizzo di strumenti è la norma, l’attribuzione fondata sul solo malware diventa un esercizio fragile: la vera partita si sposta sulla resilienza delle reti e sulla capacità di leggere l’intelligence come geografia del potere.
(English version)
Check Point Research has published the findings of a year-long investigation reconstructing a China-linked cyber-espionage ecosystem far more integrated than previously documented. At the centre of the report is an entity dubbed CopperDragon, a possible “digital quartermaster” — a supplier of shared malware and infrastructure — believed to arm several distinct Beijing-linked actors, among them FamousSparrow, Earth Estries, TropicTrooper, UAT-9244 and UAT-8302. Three operational clusters have been identified — SilentDelivery, OceanGate and DarkWire — linked by similarities in the code of the Sparrow framework and in their infrastructure: they target telecommunications, governments, military entities, research institutions and critical infrastructure across 21 countries in Latin America, Asia and Europe. The report does not attribute the direction of the three campaigns to a single team, nor does it identify who runs CopperDragon: a significant methodological caveat, because when tools are shared, the presence of the same backdoor in two intrusions no longer proves the identity of the attacker.
On the technical side, the researchers documented previously unknown Windows and Linux malware — SquadC, AnnobinDoor, SparrowShell — alongside variants of SparrowDoor, CopperDoor, CopperDNS, CopperLoader, CopperProxy and CopperLsass. SilentDelivery compromises legitimate government, shipping and IT and research websites, showing selected visitors fake certificate errors that push them to install a trojanised “fix” (victims in the Czech Republic, Germany, France, Taiwan, Nepal, Hong Kong and Indonesia). DarkWire, active since mid-2025, has hit at least three major telecom operators in Latin America, plus foreign-affairs and justice entities, with recent expansion beyond the region. OceanGate operates mainly in Asia, with possible links to the Melofee backdoor.
The geopolitical reading is the most significant part. The concentration in Latin America — where ESET reports 90% of FamousSparrow’s targets between mid-2025 and 2026 — suggests a Chinese response to US initiatives in the southern part of the continent, in a context of strategic competition over cables, 5G networks and digital infrastructure. The stakes are not abstract: compromising a telecom operator means access to call metadata, location data, SMS and government surveillance traffic — in other words, a map of an entire country’s human and institutional relationships. The structural novelty is the supply chain: a common tool supplier lowers the barrier to entry, raises the average sophistication of the actors and makes attribution volatile — the same logic the FBI and DOJ confronted in August when they seized the QScan and QTRouter platforms, and that CISA documented in October regarding the combined use of automated scanning and hands-on action.
For defenders, Check Point recommends inventorying and patching internet-facing systems, scrutinising unexpected “fix” utilities, monitoring anomalous library loading, credential dumping and persistence, and restricting remote desktop. In a landscape where tool reuse is the norm, attribution based on malware alone becomes a fragile exercise: the real contest shifts to the resilience of networks and the ability to read intelligence as the geography of power.
Alessandro Mascellino/Infosecurity Magazine, Suspected Chinese Malware Supplier Tied to Three Hacking Campaigns, 11 november 2026
