Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Silent Chollima
Silent Chollima es un grupo de actor de amenazas sofisticado afiliado a la República Popular Democrática de Corea (RPDC), observado por primera vez alrededor de 2007-2009. Conocido por su espionaje estratégico y sus capacidades cibernéticas destructivas, este grupo ha ampliado recientemente sus operaciones para incluir ataques con motivación financiera, como ransomware y extorsión, para financiar sus actividades. Opera con un alto nivel de habilidad técnica y suele explotar vulnerabilidades conocidas, además de usar malware personalizado.
Perfil del actor de amenazas
Silent Chollima
Acerca de Silent Chollima
Es importante tener en cuenta que los proveedores de seguridad suelen usar nombres diferentes para los mismos grupos de amenazas norcoreanos o para grupos que se superponen. Los alias comunes para este grupo incluyen Andariel, Onyx Sleet, PLUTONIUM, Stonefly, DarkSeoul y APT45. Los analistas deben enfocarse en las tácticas y herramientas específicas en lugar de depender de un solo nombre para la atribución.
País de origen
Silent Chollima es un grupo de actor de amenazas patrocinado por un estado que opera desde la República Popular Democrática de Corea (RPDC), también conocida como Corea del Norte.
Miembros
El tamaño y la estructura exactos de Silent Chollima no se conocen. Sin embargo, el análisis de sus campañas sugiere un grupo bien organizado y con buenos recursos de operadores calificados. En julio de 2024, el Departamento de Justicia de EE. UU. reveló una acusación contra un individuo llamado Rim Jong Hyok, vinculándolo con este grupo afiliado a la RPDC por actividades de ransomware, lo que ofrece una visión poco común de un posible miembro.
Liderazgo
No se conocen públicamente detalles específicos sobre el liderazgo de Silent Chollima. Al ser un grupo patrocinado por el estado, sus operaciones se dirigen según los objetivos estratégicos de Corea del Norte, pero los líderes individuales no suelen identificarse en los informes públicos.
TTPs de Silent Chollima
Silent Chollima emplea un conjunto versátil de tácticas, técnicas y procedimientos (TTPs) que combinan el espionaje tradicional con el cibercrimen de motivación financiera. Su enfoque demuestra capacidad de adaptación, usando tanto herramientas creadas a medida como malware común para lograr sus objetivos.
tácticas
Las motivaciones principales del grupo históricamente han girado en torno al espionaje estratégico para respaldar los programas militares y nucleares de Corea del Norte. Esto incluye el robo de propiedad intelectual técnica, militar e industrial. Más recientemente, sus tácticas se han ampliado para incluir campañas de extorsión y ransomware a gran escala, probablemente para generar ingresos y financiar nuevas operaciones.
técnicas
Para lograr sus objetivos, los operadores de Silent Chollima utilizan una variedad de técnicas para obtener y mantener acceso a las redes objetivo.
Acceso inicial: con frecuencia usan correos de spear-phishing que contienen archivos adjuntos maliciosos (como LNK, HTA o documentos de Office manipulados). También son conocidos por realizar ataques de watering hole y explotar servicios expuestos a internet, como servidores web, usando vulnerabilidades zero-day y N-day, como la familia Log4Shell y TeamCity CVE-2023-42793.
Persistencia y movimiento lateral: una vez dentro de la red, el grupo usa tareas programadas, abusa de herramientas de Remote Monitoring and Management (RMM) y despliega puertas traseras personalizadas para mantener la persistencia. Para el movimiento lateral, recurren al volcado de credenciales con herramientas como Mimikatz y crean proxies o túneles usando software de código abierto como Ngrok y Chisel.
Procedimientos
Los procedimientos de Silent Chollima suelen combinar herramientas personalizadas con otras disponibles públicamente.
Web shells: después de explotar el servidor web, suelen implementar web shells para asegurar acceso persistente y facilitar comandos adicionales.
Malware personalizado: el grupo usa un arsenal distintivo de malware personalizado, incluidos backdoors y RATs como Dtrack (Preft), Dora RAT y TigerRAT.
Herramientas comunes: complementan sus herramientas personalizadas con software de código abierto y de uso común como Sliver, masscan y PuTTY/Plink para llevar a cabo sus ataques.
Extorsión: en campañas de ransomware, exfiltran grandes volúmenes de datos sensibles antes de implementar malware de cifrado, y luego usan la amenaza de filtrar esos datos públicamente para extorsionar a las víctimas.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Silent Chollima ha estado activo desde al menos 2007, pero los eventos recientes destacan su enfoque cambiante.
-
2023-2025, cambio hacia la extorsión: Varios proveedores de seguridad observaron un mayor enfoque del grupo en el ransomware y la extorsión. En este período explotaron vulnerabilidades N-day, como el RCE de TeamCity (CVE-2023-42793), para obtener acceso inicial con fines de lucro.
Aplicación de la ley y arrestos
En julio de 2024, el Departamento de Justicia de EE. UU. reveló una acusación contra Rim Jong Hyok, un ciudadano norcoreano, por conspirar para implementar ransomware contra instalaciones de salud estadounidenses y lavar las ganancias ilícitas. Esta acción, coordinada con otras agencias gubernamentales, destaca los esfuerzos internacionales para interrumpir las redes financieras que sostienen las actividades cibernéticas maliciosas de la RPDC.
Cómo defenderte de Silent Chollima
1
Gestión de parches: Aplica parches de inmediato a los servicios expuestos a internet, priorizando las vulnerabilidades explotadas conocidas como Log4Shell y TeamCity.
2
Protege los servidores web: Monitorea la creación de web shell, cambios inusuales en scripts (PHP, ASP) y procesos anómalos originados en los servicios del servidor web.
3
Gestión de identidad y acceso: Exige autenticación multifactor (MFA) sólida y limita el uso de credenciales privilegiadas para reducir el impacto del robo de credenciales.
4
Monitoreo de endpoints y redes: Usa una solución de Detección y respuesta para endpoints (EDR) para monitorear el comportamiento de volcado de credenciales (Mimikatz), inyecciones de procesos sospechosas y patrones de comando y control (C2). El servicio Huntress Managed EDR, respaldado por un SOC disponible 24/7, puede detectar y responder a estas técnicas en minutos.
5
Seguridad del correo electrónico: Implementa controles sólidos contra phishing, incluido el análisis en un entorno aislado de archivos adjuntos y el bloqueo de tipos de archivo de alto riesgo como LNK y HTA.
6
Segmentación de redes: Restringe el acceso a sistemas críticos (por ejemplo, repositorios de propiedad intelectual, sistemas de control industrial) y limita el uso de herramientas RMM.
7
Plan de respuesta a incidentes: Mantén y prueba un plan de respuesta a incidentes diseñado para escenarios de ransomware. Esto incluye mantener copias de seguridad fuera de línea y probar regularmente los procedimientos de recuperación.
Referencias
