Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Perfil del actor de amenazas APT37
APT37, también conocido como Reaper o ScarCruft, es un grupo norcoreano de amenaza persistente avanzada (APT) que ha estado activo desde al menos 2012. Este grupo patrocinado por el estado se enfoca fuertemente en el espionaje cibernético, aprovechando spear phishing y exploits zero-day avanzados para infiltrarse en sus objetivos. APT37 apoya los objetivos estratégicos de Corea del Norte, específicamente en defensa, seguridad y vigilancia dentro de contextos tanto regionales como globales.
Perfil del actor de amenazas
Perfil del actor de amenazas APT37
País de origen
APT37 se originó en Corea del Norte y se cree ampliamente que opera bajo la Oficina General de Reconocimiento (RGB), la agencia de inteligencia de la nación responsable de la guerra cibernética. Sus operaciones se alinean con las estrategias geopolíticas y militares de Corea del Norte.
Miembros
Se desconoce el tamaño y la composición exactos de APT37. Los informes sugieren que sus miembros incluyen operativos altamente capacitados especializados en el desarrollo de malware, la creación de exploits y la recolección de inteligencia. El grupo opera bajo varios alias, incluidos Reaper, Ricochet Chollima y ScarCruft.
Liderazgo
Los líderes específicos de APT37 siguen sin identificarse. Sin embargo, se presume que el grupo opera con supervisión directa del gobierno norcoreano bajo la RGB, lo que resalta su papel como unidad patrocinada por el Estado.
TTPs de APT37
tácticas
Los objetivos principales de APT37 implican el espionaje cibernético dirigido a robar datos sensibles y vigilar a disidentes. Los objetivos secundarios incluyen la disrupción ocasional mediante ataques destructivos y el respaldo a los intereses geopolíticos norcoreanos.
técnicas
APT37 emplea técnicas altamente sofisticadas, como el spear phishing con archivos adjuntos maliciosos, el aprovechamiento de vulnerabilidades en software popular como Microsoft Office y Hangul Word Processor, y ataques de watering hole dirigidos a sitios web de interés para las víctimas.
Procedimientos
Los procedimientos del grupo incluyen el uso de familias de malware personalizadas como ROKRAT, BLUELIGHT y DOLPHIN para el acceso remoto y la exfiltración de datos. También explotan vulnerabilidades de día cero (zero-day) en software como Internet Explorer y Adobe Flash, e implementan con frecuencia técnicas de ofuscación para evadir la detección.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Entre los ataques clave está la campaña “Zero-Day Reaper” de 2017, que reveló el uso avanzado de exploits de zero-day por parte del grupo. Otras operaciones destacadas incluyen el ataque a la vulnerabilidad de Adobe Flash de 2018 (CVE-2018-4878) y una campaña de 2023 dirigida a investigadores de seguridad y centros de estudios mediante el malware BLUELIGHT y DOLPHIN.
Aplicación de la ley y arrestos
Hasta la fecha, no se han reportado públicamente arrestos ni acciones de cumplimiento dirigidas específicamente a operativos de APT37. Sus estrechos vínculos con el gobierno norcoreano le brindan al grupo protecciones operativas.
Cómo defenderte de
1
Mantén los sistemas y el software actualizados con frecuencia para abordar las vulnerabilidades que explota APT37, especialmente en navegadores y herramientas de documentos.
2
Desactiva las macros y otras ejecuciones de archivos riesgosas en los archivos adjuntos de correo electrónico.
3
Implementa el monitoreo de red para detectar tráfico inusual hacia servicios de almacenamiento en la cloud.
4
Estándares de segmentación: Limita el acceso entre sistemas críticos para contener cualquier movimiento lateral
5
Implementa herramientas avanzadas de protección de endpoints para identificar y mitigar el DLL side-loading, la persistencia en el registro y los procesos maliciosos.
6
Mejora la capacitación de concientización del usuario para reconocer intentos de spear phishing dirigidos a industrias sensibles.
Huntress ofrece protección ITDR de nivel empresarial y servicios de monitoreo de Microsoft para vigilar y mitigar amenazas como APT37, lo que ayuda a las organizaciones a proteger sus entornos con capacidades de detección y remediación en tiempo real.
Referencias
- APT37 Threat Actor Profile | FireEye
- Microsoft Threat Intelligence | APT37
