Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Lunar Spider
Lunar Spider es un formidable grupo de eCrime rusoparlante, activo desde al menos 2017, que opera como un colectivo con motivación financiera especializado en el desarrollo de malware y la intermediación de acceso inicial. Más notablemente, el grupo creó y desplegó el troyano bancario IcedID (también conocido como BokBot), el descargador Latrodectus y la familia de cargadores Lotus. Conocido por su capacidad de adaptación, Lunar Spider ha evolucionado de operaciones de fraude bancario a equipar a afiliados de ransomware, explotando credenciales robadas y desplegando marcos avanzados de post-explotación como Brute Ratel y Cobalt Strike. Sus tácticas los hacen notorios, ya que avanzan rápidamente de campañas de phishing a entregar acceso a socios criminales de alto valor, atacando tanto a SMB vulnerables como a empresas grandes.
Perfil del actor de amenazas
Lunar Spider
País de origen
Lunar Spider opera desde la Federación de Rusia. Sus vínculos conocidos con otros grupos de actores de amenazas de habla rusa y la atribución de varios proveedores refuerzan esta conexión geográfica.
Miembros
El grupo funciona como un consorcio criminal descentralizado. Incluye a desarrolladores responsables del malware, afiliados de distribución que utilizan phishing y malvertising, y encargados de infraestructura. Se desconoce el tamaño exacto de sus miembros, pero está claro que Lunar Spider depende de socios alineados bajo un modelo de servicio de agente de acceso inicial (IAB).
Liderazgo
El liderazgo de Lunar Spider incluye figuras destacadas vinculadas a organizaciones de eCrime. Informes de fuentes abiertas y documentación judicial de EE. UU. vinculan a Vyacheslav Igorevich Penchukov ("Tank"), líder de la banda Jabber Zeus, con el desarrollo de IcedID. Si bien el liderazgo de Penchukov sobre Lunar Spider como entidad sigue siendo debatido, sus vínculos con el malware y sus operaciones están bien establecidos.
TTPs de Lunar Spider
tácticas
Lunar Spider se especializa en monetizar el acceso inicial mediante una combinación de robo de credenciales, entrega de payload de malware y asociaciones que habilitan a afiliados de ransomware. Utilizan phishing, SEO poisoning y malvertising para montar sus ataques.
técnicas
-
Malvertising y envenenamiento de SEO – Se atrae a las víctimas a páginas de descarga falsas o intersticiales maliciosos disfrazados de pantallas de prueba CAPTCHA.
-
Phishing – Los correos maliciosos entregan cargadores de JavaScript ofuscados o archivos que contienen cargas útiles de malware.
-
Malware personalizado – Uso de IcedID/BokBot como cargador multipropósito, Latrodectus para la entrega de JavaScript y cargadores Lotus para la ejecución de archivos mediante PowerShell.
Procedimientos
-
Las páginas falsas de prueba CAPTCHA activan scripts de PowerShell para descargar paquetes MSI que preparan el malware.
-
Las cargas útiles DLL se cargan mediante binarios living-off-the-land (LOLBins) como rundll32 y MSIExec para evadir la detección.
-
Se extrae información sensible de los almacenes de credenciales de los objetivos, incluidos los procesos LSASS y los navegadores.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
-
Campaña de prueba CAPTCHA falsa de 2024: aprovechó el SEO poisoning para desplegar el cargador Lotus y artefactos de Brute Ratel.
-
Intrusión de varios meses (2025): comenzando con phishing, esta campaña entregó Latrodectus y facilitó el despliegue de Cobalt Strike para la recolección de credenciales y la exfiltración.
Aplicación de la ley y arrestos
La Operación Endgame, realizada en mayo de 2024, asestó un golpe significativo a Lunar Spider al interrumpir la infraestructura de IcedID, incautar servidores y arrestar a operadores clave. Sin embargo, Lunar Spider se recuperó rápidamente, demostrando su resiliencia. La declaración de culpabilidad de Penchukov en 2024 destacó aún más los vínculos de liderazgo con las operaciones de IcedID.
Cómo defenderte de Lunar Spider
1
Controles del navegador: aplica el filtrado de DNS y bloquea el acceso a dominios publicitarios de terceros.
2
Seguridad del correo electrónico: elimina macros y utiliza reescritura avanzada de enlaces para mitigar los enlaces de phishing.
3
Endurecimiento de la seguridad de PowerShell: implementa el modo de lenguaje restringido y la integración con AMSI.
4
EDR y escaneo de memoria: detecta y bloquea la actividad de Brute Ratel/Cobalt Strike.
5
Seguridad de identidad: aplica MFA y deshabilita los protocolos heredados.
Las soluciones de Huntress ayudan a proteger a las organizaciones al exponer la persistencia oculta, identificar la actividad de troyanos bancarios y mitigar las amenazas de Lunar Spider con caza de amenazas humana 24/7.
Referencias
