Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Donut Spider
Donut Spider es un actor de amenazas con motivación financiera activo desde 2021. Conocido por sus campañas de big game hunting, este grupo desarrolló las familias de ransomware HelloXD y D0nut. Operan un servicio privado de Ransomware-as-a-Service (RaaS) bajo el nombre D#nut Ransomware Team, usando técnicas avanzadas para atacar a organizaciones de alto valor en diversas industrias. El grupo usa el framework de código abierto Donut para generar shellcode y ejecutar payloads de forma sigilosa.
Perfil del actor de amenazas
Donut Spider
País de origen
Se desconocen los orígenes de Donut Spider. Sin embargo, su actividad en mercados clandestinos de cibercriminales sugiere un alcance operativo global.
Miembros
Se cree que el grupo está formado por un pequeño equipo central, que depende de afiliados cuidadosamente verificados en su programa de RaaS. Este modelo de afiliados amplía su alcance y permite ataques en múltiples regiones e industrias.
Liderazgo
No se ha identificado la estructura de liderazgo de Donut Spider. Debido a sus operaciones sofisticadas y su modelo de RaaS, es probable que el grupo esté liderado por personas con experiencia técnica avanzada.
TTPs de Donut Spider
tácticas
Donut Spider busca la extorsión financiera mediante ataques de ransomware dirigidos a grandes organizaciones con activos digitales significativos. Conocida como big game hunting, esta táctica busca obtener grandes rescates de las víctimas.
técnicas
Herramientas personalizadas: usa el framework Donut para generar shellcode para la ejecución de payloads en memoria.
Implementación de ransomware: desarrolla e implementa las familias de ransomware HelloXD y D0nut.
Doble extorsión: amenaza con publicar datos robados para forzar a las víctimas a pagar el rescate.
Ofuscación: genera módulos de código encriptados y comprimidos para evadir la detección.
Inyección de procesos: inyecta shellcode malicioso en procesos legítimos para evitar ser detectado.
Carga reflectante de código: ejecuta payloads directamente en memoria, evadiendo los mecanismos de defensa tradicionales.
Procedimientos
Obtiene acceso inicial a través de campañas de phishing o credenciales de acceso comprometidas.
Se mueve lateralmente dentro de las redes de la víctima para maximizar el impacto antes de la implementación.
Cifra sistemas y datos críticos, y entrega una nota de rescate disruptiva que exige un pago.
Utiliza la ejecución de payload en memoria para minimizar los riesgos de detección.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Si bien las operaciones específicas siguen siendo confidenciales o no reportadas, se ha observado que Donut Spider lleva a cabo ataques de ransomware generalizados usando sus familias propias de ransomware HelloXD y D0nut.
Aplicación de la ley y arrestos
No se han documentado arrestos relacionados con Donut Spider. Dadas sus sofisticadas operaciones de RaaS, es esencial que haya esfuerzos coordinados de aplicación de la ley a nivel internacional para interrumpir sus actividades.
Cómo defenderse de Donut Spider
1
Habilita la autenticación multifactor en todas las cuentas.
2
Realiza evaluaciones de vulnerabilidad frecuentes y actualiza los sistemas con prontitud.
3
Capacita a los empleados sobre concientización en phishing para minimizar los riesgos de acceso inicial.
4
Usa herramientas avanzadas de detección y respuesta para endpoints (EDR) para rastrear actividad sospechosa.
5
Respalda regularmente los datos importantes y desarrolla planes integrales de respuesta a incidentes.
Las soluciones de Huntress ofrecen herramientas personalizadas para monitorear y mitigar amenazas, mejorar la seguridad de los endpoints y reducir la probabilidad de que el ransomware se infiltre en tu entorno.
Referencias
