Mustang Panda C2 en Cloud: Por Qué Tu Antivirus No Lo Detecta

Mustang Panda, el grupo APT vinculado a China activo desde al menos 2012, dirige su infraestructura de mando y control (C2) a través de servicios como OneDrive, Google Drive o Dropbox. El tráfico generado es técnicamente indistinguible de la sincronización normal de archivos corporativos: usa los mismos certificados TLS, los mismos dominios y atraviesa los firewalls sin alertas porque está en la whitelist de cualquier empresa que use Microsoft 365 o Google Workspace.

Mustang Panda —también rastreado como Bronze President, TA416 o TEMP.Hex— es un actor de amenazas con vínculos documentados con el aparato de inteligencia chino, especializado en espionaje geopolítico a largo plazo. Opera principalmente contra organizaciones del sector logístico, tecnológico, gubernamental y ONGs en Europa, Asia y África, con un perfil de víctima que en los últimos dos años ha incorporado empresas privadas medianas de la Unión Europea con mayor frecuencia. Su herramienta principal es PlugX, un RAT modular con más de una década de evolución que permite control remoto completo, exfiltración de ficheros, keylogging y persistencia en el sistema infectado. Lo que distingue a este grupo no es la sofisticación del malware en sí —PlugX es relativamente conocido y existen firmas disponibles— sino la sofisticación de su infraestructura de comando y control, diseñada explícitamente para parecer tráfico corporativo normal. En campañas documentadas entre 2023 y 2025 por ESET, Trend Micro y Recorded Future, Mustang Panda sustituyó progresivamente su C2 tradicional basado en VPS propios por canales alojados en plataformas cloud de primer nivel. La razón es estratégica: disponibilidad del 99,9%, IPs globalmente reconocidas y tráfico explícitamente permitido en la política de seguridad de prácticamente cualquier organización occidental.

La arquitectura es elegante en su simplicidad funcional. El malware instalado en el sistema víctima no conecta a ningún servidor C2 propio del atacante: en su lugar, crea, lee y modifica archivos en una cuenta de OneDrive o Google Drive controlada por el operador del grupo. Los comandos llegan como archivos de texto en una carpeta compartida; PlugX los lee, los ejecuta y deposita el output como otro archivo en esa misma carpeta. Desde la perspectiva de la red, el equipo infectado solo habla con los dominios de Microsoft o Google —completamente legítimos, con certificados TLS emitidos por las propias compañías. El protocolo es HTTPS estándar sobre el puerto 443, superando cualquier validación de transparencia de certificados. No hay dominio malicioso, no hay IP sospechosa, no hay puerto inusual, no hay payload detectable en tránsito: todo lo que un firewall o IDS tradicional buscaría para generar una alerta simplemente no existe en la red.

El firewall lo deja pasar: no es un fallo de configuración, es una decisión de diseño

El beacon con jitter: cómo PlugX imita el comportamiento real de sync de OneDrive

Los sistemas de detección de anomalías de tráfico buscan patrones regulares: un proceso que consulta el exterior exactamente cada 60 segundos es una firma detectable. Mustang Panda resuelve esto introduciendo jitter en el intervalo de beacon —una variación aleatoria que hace que las llamadas al C2 ocurran en momentos impredecibles, con espaciados de entre 30 minutos y más de dos horas. Un cliente de OneDrive legítimo también consulta el servicio en intervalos variables dependiendo de la actividad del usuario, la conectividad y las políticas de sync configuradas por el administrador. Desde un sistema de análisis de flujos de red sin inspección de contenido, la diferencia entre un equipo sincronizando documentos de trabajo y un equipo con PlugX usando OneDrive como C2 es prácticamente nula. La observación contraintuitiva que emerge de esto es la más relevante para los equipos de defensa: cuanto más madura es la organización en el uso de servicios cloud —cuanto más tráfico legítimo genera hacia Microsoft y Google— más difícil resulta distinguir la aguja del pajar. No es un problema de tecnología; es un problema de volumen de ruido legítimo que enmascara la señal maliciosa.

Los antivirus tradicionales —incluso los EDR modernos— están diseñados para analizar archivos en disco y comportamiento de procesos en memoria; no son sistemas de análisis de tráfico de red. Cuando PlugX lee archivos de OneDrive usando las APIs oficiales de Microsoft, el proceso que realiza esa llamada puede estar inyectado en un proceso legítimo de Windows —explorer.exe, svchost.exe— lo que dificulta la detección basada en comportamiento de proceso individual. El contenido del canal C2 está cifrado por el propio TLS de OneDrive: el endpoint de seguridad ve bytes cifrados que se descifran en el cliente, no el payload malicioso en tránsito. Los sistemas NDR (Network Detection and Response) que sí analizan tráfico de red necesitan acceso al contenido descifrado mediante SSL inspection para detectar el patrón —infraestructura que la mayoría de PYMEs no tienen desplegada ni presupuestada. Y los SIEM, si los hay, reciben exactamente lo que deberían recibir: registros de tráfico saliente permitido hacia Microsoft, sin ninguna señal de alarma.

• El AV analiza archivos y procesos en memoria, no tráfico de red HTTPS cifrado con los certificados TLS de Microsoft o Google
• PlugX puede inyectarse en procesos legítimos de Windows para que la llamada al API cloud parezca actividad normal del sistema operativo
• El canal C2 usa las APIs REST oficiales de OneDrive o Google Drive: no hay código malicioso en la red, solo llamadas API completamente válidas y autenticadas
• Sin SSL inspection activo en el proxy corporativo, el contenido del tráfico HTTPS es una caja negra para todos los controles de red perimetral
• Los logs del firewall muestran 'conexión permitida a microsoft.com': exactamente lo que aparece en una sincronización normal de archivos de trabajo

Hay que decirlo con claridad aunque vaya contra nuestro interés como empresa que vende servicios de seguridad: si tu organización invierte en un segundo antivirus o en actualizar el EDR sin resolver la arquitectura de inspección de tráfico saliente, habrás gastado presupuesto sin reducir materialmente el riesgo frente a este vector específico. La solución pasa por tres elementos: inspección SSL en el proxy corporativo, segmentación de red que limite qué equipos acceden directamente a servicios cloud, y —cuando el perfil de riesgo lo justifique— un NDR con análisis de anomalías de comportamiento basado en flujos. Esto no es trivial: la inspección SSL tiene costes de rendimiento, genera conflictos con certificate pinning en ciertas aplicaciones y plantea cuestiones legítimas de privacidad que deben gestionarse con políticas transparentes hacia los empleados. En Blurtek, cuando detectamos este gap en una auditoría, no recomendamos implementar SSL inspection a ciegas —primero evaluamos qué activos realmente necesitan ese nivel de visibilidad y si el riesgo del cliente justifica el coste operativo. La realidad de campo en PYMEs españolas es que el problema más urgente no es el antivirus: es la ausencia total de visibilidad sobre el tráfico saliente hacia servicios cloud.

• Audita qué servicios cloud están en tu whitelist: OneDrive, Google Drive, Dropbox —¿qué equipos realmente necesitan acceso directo a cada uno?
• Revisa si tu proxy o firewall tiene SSL inspection activo para tráfico saliente, no solo para categorías marcadas como 'sospechosas'
• Implementa acceso mínimo privilegiado: segmenta por grupos de Active Directory o Entra ID qué departamentos acceden a qué servicios cloud
• Activa logging completo de tráfico a servicios cloud con retención mínima de 90 días —sin esto, el análisis forense post-incidente es imposible
• Solicita a tu proveedor MDR o SIEM que active reglas específicas para detectar beacons hacia dominios cloud con intervalos inusuales entre 30 y 120 minutos
• Si usas Microsoft 365, evalúa Microsoft Defender for Cloud Apps: ofrece detección nativa de comportamiento anómalo en OneDrive y SharePoint sin requerir SSL inspection adicional

En una auditoría a una empresa de logística en Cataluña con 80 empleados y Microsoft 365 completo, encontramos que el 100% del tráfico a OneDrive pasaba sin ningún tipo de inspección de contenido. Si hubiera habido un PlugX activo usando ese canal, habría sido completamente invisible para todos sus controles existentes. Lo más llamativo: tenían antivirus actualizado, firewall de próxima generación y hasta un SIEM básico. El gap era arquitectural, no presupuestario —y eso es exactamente lo que este vector de ataque explota.