Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Ember Bear
Surgido en 2021, Ember Bear—comúnmente reconocido como UAC-0056 o Lorec53—es un grupo de ciberespionaje patrocinado por el estado ruso, estrechamente vinculado a la GRU. Conocido por el spear-phishing y malware de tipo wiper como WhisperGate, este grupo tiene como blanco infraestructura crítica, gobiernos y sectores de defensa, a menudo combinando tácticas destructivas con robo de datos.
Perfil del actor de amenazas
Ember Bear
País de origen
Según evaluaciones creíbles, Ember Bear opera como un grupo patrocinado por el estado ruso con afiliaciones a la GRU, específicamente a la Unidad 29155.
Miembros
El tamaño exacto del equipo de Ember Bear no está claro; sin embargo, sus operaciones sugieren una organización bien coordinada y con respaldo de recursos. Alias como Nodaria y DEV-0586 están asociados con este grupo.
Liderazgo
Se desconoce la estructura de liderazgo exacta de Ember Bear. El grupo utiliza alias como Saint Bear, Frozenvista y Cadet Blizzard, aunque no se han nombrado líderes específicos públicamente.
TTPs de Ember Bear
tácticas
El grupo se enfoca principalmente en el espionaje y la recopilación de inteligencia a largo plazo, pero ha demostrado capacidad para realizar ataques de wiper dirigidos a entidades ucranianas.
técnicas
Sus herramientas y métodos incluyen spearphishing con documentos maliciosos, persistencia mediante web shells y explotación de herramientas de acceso remoto para el movimiento lateral.
Procedimientos
Entre los procedimientos destacados se incluyen el despliegue de herramientas como el malware wiper WhisperGate, ladrones de documentos como OutSteel, y malware de backdoor como GraphSteel y GrimPlant.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
WhisperGate Wiper (2022)
Una campaña destructiva dirigida a organismos gubernamentales ucranianos mediante malware de tipo wiper.
Compromiso de sitios web ucranianos (2021–2022)
Presencia persistente a través de web shells, utilizadas para implementar puertas traseras como CredPump y HoaxPen.
Aplicación de la ley y arrestos
Hasta la fecha, no se han reportado públicamente arrestos exitosos ni acciones de las fuerzas del orden que hayan desmantelado específicamente las operaciones de Ember Bear.
Cómo defenderte de Ember Bear
1
Las organizaciones deben emplear medidas sólidas de seguridad de correo electrónico para bloquear intentos de phishing, monitorear los servidores web para detectar actividad inusual y usar herramientas de detección de endpoints para identificar procesos maliciosos.
2
El monitoreo eficaz de la red y la aplicación regular de parches a los sistemas son esenciales para mitigar las amenazas de Ember Bear.
Referencias
