Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Emissary Panda
Activo desde al menos 2010, Emissary Panda —también conocido por alias como APT27, LuckyMouse y Bronze Union— es un grupo de amenaza persistente avanzada (APT) patrocinado por el estado chino. Conocido por sus misiones de espionaje industrial e inteligencia geopolítica, este grupo emplea tácticas avanzadas como el spearphishing, los compromisos estratégicos de sitios web y malware personalizado para infiltrarse en objetivos de alto valor a nivel mundial.
Perfil del actor de amenazas
Emissary Panda
País de origen
Se cree ampliamente que Emissary Panda se originó en China y se evalúa que cuenta con patrocinio estatal, alineado con los intereses estratégicos chinos.
Miembros
Se desconocen los detalles exactos sobre el tamaño y la composición de los miembros de Emissary Panda. Sin embargo, se cree que es un grupo bien organizado y experimentado que aprovecha tanto el desarrollo interno como herramientas externas.
Liderazgo
No se han identificado nombres específicos ni líderes individuales vinculados a Emissary Panda. Su sofisticación operativa sugiere un fuerte respaldo y dirección de entidades a nivel estatal.
TTPs de Emissary Panda
tácticas
Los objetivos principales del grupo giran en torno al espionaje industrial, el robo de propiedad intelectual y la inteligencia geopolítica. Los objetivos suelen incluir los sectores aeroespacial, energético, automotriz, gubernamental y tecnológico.
técnicas
Acceso inicial: principalmente mediante correos de phishing dirigido que incluyen enlaces maliciosos o documentos; ataques de watering hole dirigidos a sitios web que las víctimas visitan con frecuencia.
Explotación: aprovechamiento de vulnerabilidades antiguas y ya parcheadas en aplicaciones como Flash, Java, SharePoint y Windows.
Persistencia y evasión: uso regular de técnicas como DLL hijacking, ejecutables firmados y filtros ISAPI en servidores de Microsoft Exchange.
Exfiltración de datos selectiva: se enfoca en extraer datos de alto valor en lugar de grandes cantidades.
Procedimientos
Despliegue de malware personalizado como SysUpdate y herramientas como PlugX y HttpBrowser.
Uso de web shells (por ejemplo, ChinaChopper) para mantener el acceso a los entornos comprometidos.
Presencia recurrente en las redes de las víctimas aprovechando credenciales robadas o configuraciones incorrectas.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
-
El compromiso en 2023 de un gobierno asiático y un proveedor de telecomunicaciones de Medio Oriente usando kits de herramientas SysUpdate actualizados.
-
Explotación del mecanismo de actualización de Cobra DocGuard para atacar a una empresa de apuestas en Hong Kong.
-
Ataque a agencias gubernamentales mongolas a través de software de chat comprometido como parte de un ataque a la cadena de suministro.
Aplicación de la ley y arrestos
No se han confirmado públicamente arrestos ni acciones policiales a gran escala dirigidas contra Emissary Panda. El vínculo del grupo con un patrocinador estatal complica aún más los esfuerzos de aplicación de la ley.
Cómo defenderte de Emissary Panda
1
Gestión de parches: Actualiza y aplica parches regularmente al software, especialmente a los que están expuestos a la web, como SharePoint e IIS.
2
Defensa contra phishing: Implementa medidas sólidas de seguridad de correo electrónico, capacita a los empleados y bloquea enlaces y archivos adjuntos maliciosos.
3
Monitoreo de endpoints y red: Utiliza herramientas de EDR para detectar actividad sospechosa, como inyección de DLL o uso inusual de certificados.
4
Autenticación multifactor (MFA) y acceso con privilegios mínimos: Protege los sistemas críticos aplicando MFA y limitando los privilegios administrativos.
5
Inteligencia de amenazas y monitoreo de IOC: Rastrea activamente los IOC asociados con Emissary Panda y úsalos para la detección dentro de tu red.
Huntress permite a las organizaciones fortalecer sus defensas con monitoreo avanzado de endpoints, una sólida prevención de phishing y servicios de caza de amenazas.
Referencias
