UNC6508: ator estatal chinês espionou pesquisadores dos EUA por um ano usando REDCap e IPs locais para disfarce

O UNC6508 não é só mais um grupo de espionagem chinês: é um exemplo avançado de operação que desafia a detecção por design. Em vez de depender de malware em endpoints ou tráfego suspeito, ele se aprofundou no ciclo de vida do REDCap, uma plataforma de pesquisa médica com atualizações frequentes e suporte a versões legadas. O Infinitered foi construído para se entrelaçar com o processo de upgrade legítimo do sistema: seu dropper injeta código nos arquivos de atualização oficiais, garantindo persistência mesmo após correções de segurança. Isso torna inútil a simples aplicação de patches, o malware sobrevive à atualização.

A exfiltração via regra de conformidade 'Patriot' é ainda mais perigosa: ela não gera alertas em firewalls ou EDRs porque usa recursos nativos do Google Workspace. Nenhum dado sai pela rede como tráfego C2; tudo flui como e-mail legítimo, encaminhado automaticamente por uma política interna. É uma forma de 'exfiltração por consentimento', onde o próprio ambiente de defesa autoriza a saída dos dados, só que sem saber.

Em comparação com o Velvet Ant (que operou por dez anos em redes air-gapped usando túneis manuais e autenticação comprometida), o UNC6508 representa uma evolução tática clara: trocou a complexidade de infraestrutura física por sofisticação lógica. Enquanto o Velvet Ant precisava de acesso físico repetido para manter túneis, o UNC6508 se sustentou por 14 meses inteiramente dentro do ciclo de atualização de software e das políticas de e-mail da vítima, sem precisar de nenhum backdoor tradicional nem de ferramentas LOLBin. Também difere do TA416, que ainda depende de phishing e OAuth para entrada: o UNC6508 entrou direto pelo servidor exposto, sem interação humana.

Instituições de pesquisa não são alvos secundários, são centros de inteligência estratégica não protegidos como contratados de defesa. Um laboratório que estuda o vírus Chikungunya em julho de 2025 está gerando dados sensíveis para a resposta a surtos na China. A NSA já alertou que atores chineses estão pré-posicionados em infraestruturas críticas de comunicação, energia e transporte nos EUA. O UNC6508 mostra que o próximo passo não é só roubar dados, mas manipular as próprias regras de governança digital da organização para fazer isso invisivelmente. Se sua equipe de TI confia em logs de e-mail ou em atualizações de software como 'limpas', esse caso quebra essa suposição.