Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Fancy Bear (APT28)
Fancy Bear, también conocido como APT28, es un grupo de espionaje cibernético patrocinado por el estado ruso, activo desde al menos 2004. Este grupo representa un actor de amenazas persistentes avanzadas (APT) altamente calificado, vinculado de manera constante a la Dirección Principal de Inteligencia de la Federación Rusa (GRU). Fancy Bear es conocido por su uso de vulnerabilidades zero-day, campañas de spear-phishing y malware sofisticado para atacar a organizaciones gubernamentales, militares y de infraestructura crítica en todo el mundo con fines de recopilación de inteligencia. Sus actividades reflejan los intereses estratégicos del estado ruso.
Perfil del actor de amenazas
Fancy Bear (APT28)
País de origen
Fancy Bear se atribuye ampliamente al patrocinio estatal de Rusia. La evidencia de los tiempos de compilación del malware que coinciden con el horario laboral de Moscú y los vínculos operativos con el GRU respaldan firmemente esta atribución.
Liderazgo
La estructura de liderazgo de Fancy Bear sigue siendo poco clara, algo típico de los grupos encubiertos vinculados al estado. Sin embargo, se cree que la 6.ª Dirección del GRU supervisa sus operaciones, con una participación significativa de unidades cibernéticas especializadas como la Unidad 26165 del GRU.
Miembros
Se desconoce el tamaño y la composición exactos de Fancy Bear. Se cree que involucra a personal militar capacitado con experiencia cibernética especializada, incluidos desarrolladores, analistas y operadores enfocados en campañas de espionaje y desinformación.
TTPs de Fancy Bear
tácticas
Fancy Bear busca promover los objetivos geopolíticos de Rusia mediante el ciberespionaje, la influencia en procesos políticos y la recopilación de inteligencia sobre objetivos críticos a nivel mundial.
técnicas
Los objetivos de Fancy Bear incluyen:
- Campañas de phishing: Usa correos de spear-phishing dirigidos para engañar a las víctimas y hacer que revelen credenciales o descarguen cargas maliciosas.
- Dominios suplantados: Crea dominios que imitan a organizaciones legítimas para engañar a los usuarios y hacer que proporcionen información sensible.
- Explotación de zero-day: Aprovecha vulnerabilidades de software sin parchear para establecer el acceso inicial.
- Malware personalizado:
- XAgent: Un implante multiplataforma para la exfiltración de datos.
- X-Tunnel, Foozer y DownRange: Herramientas para mantener el acceso y permitir el movimiento lateral.
- Robo de credenciales: Despliega páginas de phishing basadas en la web para robar credenciales de cuentas específicas.
- Aprovechamiento de infraestructura: Configura infraestructura de control de malware a través de sistemas comprometidos.
Procedimientos
- Acceso inicial
- Emplea correos de spear-phishing con enlaces o archivos adjuntos maliciosos.
- Exfiltración de datos
- Usa implantes como XAgent para exfiltrar datos confidenciales.
- Control persistente
- Actualiza el malware con regularidad y modifica las herramientas para evadir la detección.
- Posintrusiones
- Despliega exploits secundarios que permiten el acceso a nuevos entornos.
- Se mueve lateralmente mientras roba credenciales y exfiltra datos confidenciales.
¿Quieres detener las amenazas antes de que comiencen?
Aplicación de la ley y arrestos
Entre los hechos destacados se encuentra la acusación formal de EE. UU. contra oficiales afiliados al GRU en 2018. A pesar de estas medidas, Fancy Bear sigue operativo, lo que pone de relieve los desafíos de disuadir a los actores cibernéticos patrocinados por el estado.
Cómo defenderte de Fancy Bear
1
Implementa la autenticación multifactor (MFA): Evita el uso no autorizado de credenciales
2
Gestión de parches: actualiza el software con regularidad para mitigar las vulnerabilidades de día cero (zero-day)
3
Detección y respuesta para endpoints (EDR): Aprovecha herramientas para identificar firmas de malware y comportamiento anómalo en la red
4
Estándares de segmentación: Limita el acceso entre sistemas críticos para contener cualquier movimiento lateral
5
Campañas de concientización para usuarios: capacita a los empleados para reconocer intentos de phishing y seguir las mejores prácticas de ciberseguridad
6
Estándares de segmentación: Limita el acceso entre sistemas críticos para contener cualquier movimiento lateral
Las soluciones de Huntress ayudan a proteger a las organizaciones al monitorear endpoints, detectar intrusiones y mitigar las amenazas de Fancy Bear con tecnología de nivel empresarial.
Referencias
- https://www.crowdstrike.com/adversaries/fancy-bear/
- https://www.ncsc.gov.uk/news/indicators-of-compromise-for-malware-used-by-apt28
- https://www.radware.com/cyberpedia/ddos-attacks/fancy-bear-apt28-threat-actor/
- https://en.wikipedia.org/wiki/Fancy_Bear
- https://www.crowdstrike.com/en-us/blog/who-is-fancy-bear/
