Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Silk Typhoon
Silk Typhoon (anteriormente conocido como HAFNIUM) es un grupo de amenaza persistente avanzada (APT) respaldado por un estado y apoyado por contratistas, que el gobierno de EE. UU. ha vinculado a la República Popular China. Activo desde al menos 2016, el grupo llamó la atención mundial por primera vez en 2021 por explotar masivamente servidores Microsoft Exchange on-premises. Desde entonces, el grupo ha evolucionado hasta convertirse en un actor de espionaje constantemente activo que ataca la cadena de suministro de TI, abusando de herramientas confiables como el software de monitoreo y gestión remota (RMM), los proveedores de servicios cloud y las plataformas de gestión de accesos privilegiados para llegar a los clientes posteriores de sus objetivos iniciales.
Perfil del actor de amenazas
Silk Typhoon
País de origen
Silk Typhoon se atribuye ampliamente a la República Popular China (RPC). Microsoft se refiere públicamente al grupo como patrocinado por el estado, y las autoridades estadounidenses han alegado en acusaciones formales desveladas que personas vinculadas a las operaciones del grupo trabajaron en apoyo del Ministerio de Seguridad del Estado (MSS) de China.
Miembros
No se cree que Silk Typhoon sea un equipo fijo único, sino una operación construida con la estructura y la economía de una empresa industrial. Al parecer, recurre a redes de contratistas que proveen herramientas, infraestructura y operadores a las agencias de inteligencia estatales de China. Este modelo de contratistas le permite al grupo escalar operaciones ampliamente, explotando en masa sistemas conectados a internet mientras, por separado, realiza intrusiones más específicas y de mayor valor.
Liderazgo
El liderazgo directo de Silk Typhoon no se ha revelado públicamente, lo cual es típico de las operaciones APT vinculadas a estados. Lo que sí es público: en 2025, el Departamento de Justicia de EE. UU. desveló cargos contra Xu Zewei, un presunto hacker contratado vinculado a la actividad del grupo, quien fue extraditado a Estados Unidos para enfrentar un proceso judicial. Un segundo coconspirador identificado, Zhang Yu, sigue prófugo. Los proveedores de ciberseguridad rastrean la actividad de este grupo bajo varios nombres, entre ellos:
-HAFNIUM (nombre anterior de Microsoft para el grupo)
-Murky Panda (CrowdStrike)
-G0125 (designación de grupo de MITRE ATT&CK)
Nota: en reportes públicos, Silk Typhoon a veces se confunde con otros grupos distintos vinculados a China (por ejemplo, grupos rastreados por separado como UNC5221 o APT27) que explotan vulnerabilidades similares en dispositivos de borde. Se trata de operaciones diferentes con historiales de seguimiento distintos, y no deben tratarse como alias de Silk Typhoon.
Silk Typhoon TTPs
tácticas
Las operaciones de Silk Typhoon se centran en el espionaje y el acceso a largo plazo, con objetivos que incluyen:
Robar propiedad intelectual e investigaciones sensibles (la actividad temprana apuntó notablemente a investigadores de enfermedades infecciosas)
Recopilar inteligencia de organizaciones gubernamentales, legales, de defensa y de políticas públicas
Establecer puntos de apoyo dentro de proveedores de servicios de TI y plataformas cloud para alcanzar a muchas víctimas posteriores desde un solo punto de compromiso
Enmascarar el verdadero alcance de una operación al pasar de un acceso silencioso y dirigido a una explotación masiva y rápida cuando aumenta el riesgo de detección
técnicas
Explotación de aplicaciones de cara al público: Silk Typhoon tiene un largo historial de aprovechar vulnerabilidades en Microsoft Exchange (en particular, la cadena de vulnerabilidades ProxyLogon en 2021) y ha seguido explotando dispositivos de borde y software empresarial como vector de acceso inicial.
Web shells: el grupo despliega web shells (incluidas variantes de China Chopper) en servidores comprometidos para mantener un acceso remoto persistente y flexible.
Ataques a la cadena de suministro de TI: la actividad más reciente (detallada en el reporte de Microsoft de marzo de 2025) muestra a Silk Typhoon orientándose hacia herramientas RMM, proveedores en la nube y soluciones de gestión de accesos privilegiados (PAM), robando claves de API y credenciales de servicio de estas plataformas para moverse lateralmente hacia los entornos de los clientes de estos proveedores.
Abuso de credenciales y tokens: el grupo recolecta credenciales, claves de entidades de servicio y secretos de aplicaciones OAuth para mezclarse con la actividad administrativa legítima en entornos en la nube, en lugar de depender únicamente de malware.
Vivir de los recursos del entorno: una vez dentro de un entorno, Silk Typhoon prefiere herramientas administrativas legítimas y utilidades integradas para evadir la detección.
Objetivos
Silk Typhoon lanza una red amplia. Los objetivos divulgados históricamente incluyen:
Agencias gubernamentales, contratistas de defensa y centros de estudio de políticas
Bufetes de abogados e instituciones de educación superior/investigación
ONG y organizaciones internacionales
Proveedores de servicios de TI, proveedores de servicios gestionados y plataformas de cloud (usados como vía hacia sus clientes)
¿Quieres detener las amenazas antes de que comiencen?
La campaña de Microsoft Exchange de 2021: lo que vio Huntress
Cuando Microsoft reveló por primera vez las vulnerabilidades de día cero de Exchange Server en marzo de 2021, la campaña se describió públicamente como "limitada y dirigida". Los datos de primera línea de Huntress propios contaban una historia diferente. La explotación silenciosa y dirigida comenzó ya desde enero de 2021, pero a partir de alrededor del 2 de marzo de 2021, la actividad se transformó en una campaña masiva y automatizada de "disparar a lo que sea" que escaneaba internet en busca de cualquier servidor Exchange sin parches, un movimiento deliberado para ocultar la intención original del grupo una vez que los defensores empezaron a cerrar el cerco.
En toda la campaña más amplia de Exchange, los reportes públicos y de la industria describieron una cifra del orden de decenas de miles de web shells, a menudo citada alrededor de 88.000 identificados en sistemas comprometidos en todo el mundo.
Esa visibilidad resultó importante años después. Cuando los investigadores federales persiguieron a los responsables de la campaña, los datos de múltiples organizaciones del sector privado (incluida Huntress) informaron la visión de las autoridades sobre el conjunto de intrusiones y las organizaciones afectadas. Ese conjunto de datos más amplio, junto con otros insumos investigativos, respaldó una acción de remediación autorizada por el DOJ y rara vez utilizada, que aprovechó los propios web shells de los atacantes para eliminarlos de forma remota de los sistemas de las víctimas en todo el mundo.
Aplicación de la ley y arrestos
2025: El Departamento de Justicia de EE. UU. desveló una acusación formal contra Xu Zewei, un presunto hacker contratado que las autoridades estadounidenses asocian con la actividad de HAFNIUM/Silk Typhoon. Fue arrestado en Milán y extraditado a EE. UU., donde compareció en la corte en abril de 2026.
Zhang Yu, un segundo coconspirador identificado en la acusación, sigue prófugo al momento de redactar este texto.
El ecosistema más amplio de contratistas que se cree impulsa las operaciones de Silk Typhoon no ha sido desmantelado: un arresto es apenas una grieta en un caso mucho más grande, no un golpe final.
Cómo defenderte de Silk Typhoon
1
Aplica parches sin descanso, sobre todo en la infraestructura de borde. Silk Typhoon ha convertido repetidamente servidores Exchange sin parches y otros sistemas conectados a internet en puntos de entrada de acceso inicial. Prioriza todo lo que aparezca en el catálogo de vulnerabilidades explotadas conocidas de CISA (KEV).
2
Audita y rota las credenciales vinculadas a herramientas de terceros. Dado el giro del grupo hacia ataques a la cadena de suministro de TI, trata las claves de API y las credenciales de servicio usadas por el software de RMM, las plataformas cloud y las herramientas de PAM como activos de alto valor. Rótalas con regularidad y limita sus permisos de forma estricta.
3
Aplica la autenticación multifactor (MFA) y el acceso condicional en identidades cloud. Las tácticas más recientes de Silk Typhoon se apoyan en abusar de credenciales cloud legítimas y concesiones de OAuth en lugar de instalar malware evidente, así que los controles a nivel de identidad importan tanto como los controles de endpoint.
4
Monitorea la presencia de web shells y actividad administrativa anómala. La detección basada en comportamiento para patrones de web shell y sesiones administrativas inesperadas detecta actividad que los IoC estáticos pasarían por alto.
5
Examina de cerca el acceso de proveedores y MSP. Si el compromiso de un proveedor puede convertirse en tu propio compromiso, debes saber qué acceso tiene realmente cada integración de terceros, y si de verdad necesita todo ese acceso.
Las soluciones de Huntress ayudan a proteger a las organizaciones al monitorear endpoints, detectar intrusiones y mitigar las amenazas de Ryuk con tecnología de nivel empresarial.
