Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Ricochet Chollima
Ricochet Chollima, también conocido como APT37, es un actor de amenazas vinculado a Corea del Norte que se cree surgió en 2012. Este grupo es conocido por sus operaciones de ciberespionaje dirigidas a medios, investigación y sectores públicos a nivel mundial. Sus métodos incluyen phishing, despliegue de malware y explotación de vulnerabilidades de Android, lo que los convierte en una amenaza persistente y sigilosa en el panorama de la ciberseguridad.
Perfil del actor de amenazas
Ricochet Chollima
País de origen
Ricochet Chollima es atribuido a Corea del Norte, según respaldan informes de inteligencia que vinculan al grupo con operaciones cibernéticas respaldadas por el gobierno de ese país. Sus acciones se alinean con los intereses estratégicos de Corea del Norte en espionaje y disrupción internacional.
Miembros
El tamaño exacto de Ricochet Chollima sigue sin estar claro. El grupo opera bajo alias, y se asume que está formado por operativos altamente capacitados especializados en técnicas avanzadas de ciberataque.
Liderazgo
El liderazgo específico detrás de Ricochet Chollima sigue siendo desconocido. Sin embargo, se cree que sus operaciones están patrocinadas por el Estado y probablemente coordinadas por las divisiones de guerra cibernética de Corea del Norte, como la Oficina General de Reconocimiento (RGB).
TTPs de Ricochet Chollima
tácticas
Ricochet Chollima se enfoca en el ciberespionaje para recopilar inteligencia de sectores críticos como medios, gobierno y organizaciones de derechos humanos. Participan en la disrupción de sistemas objetivo para promover metas estratégicas o políticas alineadas con los intereses de Corea del Norte.
técnicas
Las técnicas de Ricochet Chollima incluyen:
-
Campañas avanzadas de phishing, dirigidas a personas específicas con cargas útiles de correo malicioso.
-
Desarrollo y despliegue de spyware como Kospy, diseñado para infectar dispositivos Android con fines de vigilancia.
-
Explotación de vulnerabilidades de día cero (zero-day) para infiltrarse en sistemas sin ser detectados.
Procedimientos
Los procedimientos de Ricochet Chollima incluyen:
-
Usar correos de spear phishing con archivos adjuntos o enlaces maliciosos.
-
Usar variantes de malware como Dolphin y Pegasus vinculadas a campañas de spyware para Android.
-
Mantener operaciones sostenidas de vigilancia y exfiltración de datos tras la infiltración.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
-
Campaña de phishing (2019): Atacó a periodistas surcoreanos con spyware malicioso para Android.
-
Espionaje a ONG a nivel mundial (2020): Realizó espionaje cibernético contra activistas y ONG de alto perfil.
-
Campaña de explotación de zero-day (2022): Explotó vulnerabilidades en sistemas Windows para vulnerar instituciones internacionales.
Aplicación de la ley y arrestos
Aunque no se han reportado arrestos públicos vinculados directamente con Ricochet Chollima, los esfuerzos globales de ciberseguridad continúan monitoreando, atribuyendo y respondiendo a las campañas del grupo. Las colaboraciones entre organizaciones privadas y agencias internacionales de aplicación de la ley buscan interrumpir sus operaciones y fortalecer la defensa colectiva.
Cómo defenderte de Ricochet Chollima
1
Utiliza herramientas de protección de endpoints para detectar y mitigar spyware como Kospy y Dolphin.
2
Implementa sistemas sólidos de filtrado de correo electrónico para prevenir intentos de phishing.
3
Actualiza y aplica parches a los sistemas con regularidad para corregir vulnerabilidades de software.
4
Usa las herramientas de detección de Huntress para monitorear actividad sospechosa.
Las soluciones de Huntress ayudan a proteger a las organizaciones al monitorear endpoints, detectar intrusiones y mitigar amenazas con tecnología de nivel empresarial.
Referencias
