Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas APT10
APT10, también conocido como MenuPass, Red Apollo o Stone Panda, es un grupo de ciberespionaje altamente sofisticado que se cree vinculado al Ministerio de Seguridad del Estado de China (MSS). Activo desde al menos 2009, APT10 aprovecha malware avanzado, spear-phishing y compromisos en la cadena de suministro para atacar industrias a nivel global. Sus campañas se centran en robar propiedad intelectual y datos sensibles, lo que los convierte en uno de los grupos de espionaje más notorios hasta la fecha.
Perfil del actor de amenazas APT10
País de origen
APT10 se atribuye ampliamente a China, y varios informes vinculan las actividades del grupo con el Ministerio de Seguridad del Estado de China (MSS). Naciones como Estados Unidos, el Reino Unido y Japón han confirmado públicamente estas atribuciones.
Miembros
Los detalles específicos de membresía siguen sin conocerse. Sin embargo, APT10 parece emplear una combinación de operadores y desarrolladores capacitados, probablemente financiados por intereses estatales chinos. El grupo usa múltiples alias, incluyendo MenuPass, Cicada y Cloud Hopper, lo que resalta su adaptabilidad y alcance operativo.
Liderazgo
No se ha nombrado explícitamente a ningún líder individual de APT10 en informes públicos. Sin embargo, se cree que el grupo opera como un equipo contratista bajo la dirección de la Oficina de Seguridad del Estado de Tianjin, una división del MSS de China.
TTPs de APT10
tácticas
La principal motivación de APT10 es el ciberespionaje, dirigido a la propiedad intelectual, los secretos comerciales y los datos gubernamentales sensibles. Sus estrategias se centran en el sigilo y la persistencia, lo que asegura un acceso prolongado a los entornos de las víctimas para el robo de datos a gran escala.
técnicas
APT10 usa correos electrónicos de spear-phishing con archivos adjuntos maliciosos como punto de entrada común a las redes. Comprometen a los Managed Service Providers (MSP) para acceder indirectamente a las redes de los clientes, un enfoque muy utilizado durante la campaña "Cloud Hopper". El grupo también explota vulnerabilidades en redes privadas virtuales (VPN) y herramientas de acceso remoto para obtener acceso inicial o secundario.
Procedimientos
Su arsenal de malware personalizado incluye herramientas como RedLeaves RAT, Quasar RAT y PlugX, además de herramientas de recolección de credenciales como Mimikatz. Mantienen la persistencia mediante métodos como la creación de cuentas de administrador, tareas programadas y DLL side-loading. Exfiltran datos usando canales de comunicación cifrados.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Operación Cloud Hopper (2014–2017)
APT10 orquestó la campaña "Cloud Hopper", violando a MSP para acceder a las redes de sus clientes. Este compromiso de la cadena de suministro afectó a agencias gubernamentales, contratistas de defensa y empresas de Fortune 500 en todo el mundo.
Espionaje en salud y farmacéutica (2017–2018)
APT10 realizó campañas dirigidas a empresas de salud y farmacéuticas de EE. UU., probablemente con el objetivo de robar investigación y propiedad intelectual.
Gobierno japonés y contratistas de defensa (2021–2022)
APT10 intensificó su enfoque en Japón, atacando departamentos gubernamentales, empresas de defensa y empresas de tecnología para extraer datos sensibles.
Aplicación de la ley y arrestos
En diciembre de 2018, el Departamento de Justicia de EE. UU. acusó a dos ciudadanos chinos asociados con APT10 por su participación en actividades de hackeo generalizadas. La operación fue atribuida públicamente al MSS de China, con declaraciones conjuntas emitidas por el Reino Unido, Japón y otros aliados.
Cómo defenderte de
1
Oportunidades de detección: Vigila anomalías como inicios de sesión inusuales por RDP/VPN, tareas programadas sospechosas y actividad vinculada a malware de APT10. Presta atención a los patrones de acceso en la cadena de suministro.
2
Mitigaciones: Aplica autenticación multifactor (MFA) en todos los puntos de acceso externos, aplica el principio de privilegio mínimo para las cuentas de usuario, y aplica parches con regularidad a las herramientas de acceso remoto. La segmentación de redes y el monitoreo de endpoints también pueden ayudar a reducir el riesgo. Las herramientas de Huntress ofrecen defensa proactiva al identificar y mitigar las TTPs de APT10, lo que garantiza una respuesta rápida ante amenazas emergentes.
Referencias
- Cybersecurity reports on APT10 (MenuPass, Cloud Hopper)
- U.S. Department of Justice (APT10 Indictment)
- Huntress Threat Intelligence Blog
