Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Helix Kitten
Helix Kitten, también conocido como APT34, OilRig o Chrysene, es un grupo de ciberespionaje con vínculos con Irán activo desde mediados de la década de 2010. Conocido por orquestar intrusiones altamente dirigidas, utiliza phishing dirigido, implantes basados en PowerShell y puertas traseras personalizadas para vulnerar organizaciones en Medio Oriente y más allá. Helix Kitten se enfoca principalmente en la recolección de inteligencia, alineándose con los objetivos geopolíticos iraníes.
Perfil del actor de amenazas
Helix Kitten
País de origen
Helix Kitten se originó en Irán, ya que informes públicos vinculan las actividades del grupo con un probable apoyo a operaciones de inteligencia iraníes, incluido el Ministerio de Inteligencia y Seguridad (MOIS) u otros organismos afiliados al Estado.
Liderazgo
Se desconoce el liderazgo exacto de Helix Kitten. Sin embargo, su coordinación y alineación con los objetivos del Estado iraní sugieren posibles vínculos con niveles superiores dentro de la infraestructura de inteligencia de Irán.
Miembros
El tamaño específico del grupo Helix Kitten no está documentado públicamente. Sin embargo, los informes sugieren un equipo bien organizado capaz de evolucionar y perfeccionar sus herramientas con el tiempo, con afiliaciones a actividades de inteligencia respaldadas por el Estado iraní.
TTPs de Helix Kitten
tácticas
El objetivo principal de Helix Kitten es el ciberespionaje, enfocado en la recolección de inteligencia en sectores específicos. Aunque sus operaciones se orientan principalmente a la vigilancia y el robo de datos, también se han observado actividades disruptivas ocasionales.
técnicas
El grupo emplea campañas de spear-phishing con documentos maliciosos de Office, ataques de watering hole y la explotación de vulnerabilidades en servicios expuestos al público. Logran persistencia con implantes de PowerShell como Helminth, puertas traseras personalizadas, web shells (por ejemplo, ChinaChopper) y scripts ofuscados.
Procedimientos
Helix Kitten ha demostrado métodos sofisticados, como comunicaciones encubiertas de comando y control (C2) por DNS, recolección de credenciales y movimiento lateral mediante herramientas living-off-the-land. Las campañas recientes muestran una sólida capacidad de adaptación, evidenciada por malware en evolución como ISMAgent, QUADAGENT y Helminth.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
De 2016 a 2018, Helix Kitten se hizo notar por implementar puertas traseras de PowerShell y métodos de C2 basados en DNS, particularmente en campañas enfocadas en Medio Oriente. Su actividad persiste hasta 2024 y más allá, con informes que destacan compromisos en la cadena de suministro y el uso de variantes de malware perfeccionadas en operaciones de espionaje.
Aplicación de la ley y arrestos
Actualmente no hay informes confirmados de arrestos directamente vinculados a miembros de Helix Kitten. Sin embargo, los vínculos del grupo con operaciones respaldadas por el Estado hacen que la intervención proactiva de las fuerzas del orden sea más difícil en este contexto.
Cómo defenderte de Helix Kitten
1
Defensa de correo electrónico: Bloquea las macros de forma predeterminada, analiza los archivos adjuntos en entornos sandbox y supervisa los temas regionales de phishing dirigido.
2
Endurecimiento de la seguridad de PowerShell: Habilita el modo de lenguaje restringido, supervisa los scripts de PowerShell ofuscados y usa el registro de bloques de scripts.
3
Monitoreo de DNS: Vigila las solicitudes DNS AAAA inusuales o los registros de dominios vinculados a cambios en servidores DNS autoritativos.
4
Higiene del servidor web: Escanea regularmente en busca de web shells, implementa monitoreo de integridad de archivos y restringe el acceso a las consolas administrativas.
5
Controles de red: Busca intentos de robo de credenciales, conexiones de escritorio remoto inusuales y tráfico de C2 de larga duración.
6
Políticas de parcheo: Prioriza las correcciones para aplicaciones expuestas a internet y examina rigurosamente las dependencias de la cadena de suministro.
El SOC asistido por IA 24/7 de Huntress puede ayudar a detectar y mitigar amenazas persistentes avanzadas, combinado con nuestro sólido monitoreo de endpoints.
Referencias
