Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
APT3 (Gothic Panda, UPS Team, Pirate Panda, Buckeye)
APT3, también conocido como Gothic Panda, UPS Team, Pirate Panda y Buckeye, es un grupo chino de ciberespionaje patrocinado por el estado, activo desde al menos 2007. Se cree que opera bajo el Ministerio de Seguridad del Estado (MSS) en Guangdong, y APT3 es conocido por atacar sectores críticos como aeroespacial, defensa, telecomunicaciones e ingeniería. Emplean tácticas avanzadas, incluyendo malware personalizado y exploits de zero-day, para llevar a cabo una extensa recopilación de inteligencia.
Perfil del actor de amenazas
APT3 (Gothic Panda, UPS Team, Pirate Panda, Buckeye)
País de origen
APT3 está fuertemente vinculado a China, específicamente a una oficina provincial del Ministerio de Seguridad del Estado (MSS) en Guangdong. Su asociación con Boyusec, un contratista chino sancionado por EE. UU. en 2017, refuerza esta atribución.
Miembros
Se desconoce el tamaño exacto de los miembros de APT3, pero sus operaciones sugieren un grupo bien coordinado con capacidades técnicas avanzadas. Se cree que el grupo está formado por oficiales del MSS e individuos contratados que desde entonces se han incorporado a otras unidades cibernéticas chinas, como APT10 y APT17.
Liderazgo
No existen líderes individuales de APT3 identificados públicamente. Sin embargo, las operaciones y técnicas del grupo se han vinculado con Boyusec, una empresa fachada del MSS que facilitó sus actividades de ciberespionaje.
TTPs de APT3
tácticas
APT3 se enfoca principalmente en el ciberespionaje, con objetivos que incluyen robar propiedad intelectual, planos de tecnología de defensa y datos sensibles de telecomunicaciones. Su enfoque selectivo refleja su alineación con los objetivos estratégicos de China.
técnicas
APT3 obtuvo acceso inicial usando métodos como spear phishing y ataques de watering-hole. Son expertos en explotar vulnerabilidades zero-day, incluyendo las de Adobe Flash, Microsoft Office e Internet Explorer. Su movimiento lateral a menudo implica el robo de credenciales y el uso de herramientas administrativas de Windows.
Procedimientos
Los principales procedimientos de APT3 incluyen:
Implementación de malware personalizado, como SHOTPUT (puerta trasera persistente), PIRPI (RAT basado en memoria) y COOKIECUTTER.
Uso de web shells como China Chopper.
Explotación de herramientas y técnicas vinculadas al arsenal del Equation Group de la NSA antes de las filtraciones públicas.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Shadow Brokers y explotación de herramientas (2016–2017)
APT3 usó notablemente exploits del Equation Group de la NSA, incluidos DoublePulsar y EternalRomance, antes de que Shadow Brokers los revelara públicamente. Esto generó dudas sobre cómo el grupo obtuvo herramientas tan avanzadas.
Exploits de zero-day (2014–2016)
APT3 ejecutó varios ataques de alto perfil usando zero-days de Adobe Flash e Internet Explorer, comprometiendo a numerosas organizaciones de los sectores de defensa y telecomunicaciones.
Aplicación de la ley y arrestos
Tras la exposición de Boyusec en 2017, las sanciones de EE. UU. desmantelaron efectivamente la organización, lo que provocó una reducción en la actividad pública de APT3. Desde entonces, la infraestructura y el personal del grupo se han vinculado con otras entidades afiliadas al MSS.
Cómo defenderte de APT3
1
Gestión de parches: Actualiza regularmente los sistemas heredados, especialmente los que usan Flash, IE u Office.
2
EDR and Threat Hunting: Invierte en detección de endpoints para anomalías como el acceso a LSASS y la actividad de web shell.
3
Segmentación de redes: Evita el movimiento lateral aislando los sistemas críticos.
4
Autenticación multifactor (MFA): Protege contra el robo de credenciales.
Las herramientas de Huntress, como las plataformas avanzadas de detección y respuesta ante amenazas, pueden ayudar a identificar y neutralizar malware y otros IOC vinculados a APT3.
Referencias
