Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
TA505
TA505 es un prolífico grupo de cibercrimen de habla rusa, observado por primera vez en 2014, conocido por sus operaciones a escala industrial en phishing, distribución de malware e intermediación de accesos para afiliados de ransomware. Con un amplio arsenal de herramientas personalizadas, como el ransomware Locky y el troyano bancario Dridex, TA505 ha atacado a innumerables organizaciones en todo el mundo en los sectores financiero, de salud y gubernamental.
Perfil del actor de amenazas
TA505
País de origen
A TA505 se le atribuye un origen en Rusia o en antiguos estados soviéticos, según los patrones lingüísticos y operativos vinculados a sus campañas. Aunque una prueba definitiva de su ubicación exacta sigue siendo difícil de obtener, hay evidencia sustancial que apunta a su origen dentro del ecosistema de cibercrimen de habla rusa.
Miembros
Se desconoce el tamaño exacto de TA505. Sin embargo, su capacidad para operar a gran escala y desarrollar malware sofisticado sugiere un equipo bien organizado, que podría incluir desarrolladores, operadores y corredores de acceso. Las operaciones del grupo a menudo se superponen con las de otros actores afiliados a Rusia, lo que indica un enfoque de red para el cibercrimen.
Liderazgo
No se han revelado identidades ni alias específicos del liderazgo de TA505. Los investigadores de seguridad especulan que el grupo está dirigido por operadores altamente experimentados y motivados económicamente, con vínculos profundos con las redes de cibercrimen más amplias de Rusia y Europa del Este.
TTPs de TA505
tácticas
TA505 se enfoca principalmente en obtener ganancias económicas mediante amplias campañas de phishing, y despliega malware personalizado para robar credenciales, exfiltrar datos sensibles y vender acceso a redes a afiliados de ransomware.
técnicas
TA505 depende en gran medida de la ingeniería social, y usa correos de phishing disfrazados de facturas, avisos de RR. HH. o alertas bancarias para engañar a las víctimas y lograr que ejecuten archivos adjuntos maliciosos. Además, el grupo explota vulnerabilidades en software de transferencia de archivos (por ejemplo, MOVEit, Accellion) para entrar a las redes atacadas.
Procedimientos
La cadena de ataque típica del grupo consiste en la distribución masiva de correos de phishing con macros o enlaces maliciosos. Una vez que se logra el acceso inicial, TA505 despliega descargadores como AndroMut y Get2 para instalar troyanos de acceso remoto (RAT) como FlawedAmmyy o FlawedGrace, con fines de persistencia y robo de credenciales. Estas herramientas suelen abrir camino para el despliegue de ransomware o la venta de acceso a redes.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
2016-2017
Distribuyó el ransomware Locky a gran escala mediante campañas de phishing.
2019–2020
Explotó vulnerabilidades de Accellion FTA, lo que llevó al despliegue de ransomware y a la extorsión de datos.
2023–2024
Lanzó ataques que aprovechaban vulnerabilidades de MOVEit para la transferencia de archivos, dirigidos a entidades corporativas y gubernamentales en todo el mundo.
Aplicación de la ley y arrestos
Aunque ha habido operativos contra actores de cibercrimen rusos, no se han confirmado arrestos ni interrupciones específicas vinculadas directamente al liderazgo de TA505. Sus operaciones sofisticadas y una posible protección geopolítica siguen dificultando los esfuerzos internacionales de las fuerzas del orden.
Cómo defenderte de TA505
1
Seguridad del correo electrónico: Utiliza herramientas que bloqueen archivos adjuntos maliciosos, pongan en sandbox los documentos sospechosos y desactiven las macros.
2
Gestión de parches: Actualiza el software con regularidad, con atención inmediata a los sistemas de transferencia de archivos como MOVEit y Accellion.
3
Detección en endpoints: Monitorea activamente la presencia de RAT (p. ej., FlawedAmmyy, FlawedGrace) y payloads de TA505.
4
Monitoreo de red: Identifica patrones de tráfico inusuales hacia infraestructura de mando y control alojada en la cloud.
5
Capacitación de usuarios: Implementa programas continuos de concientización sobre phishing para los empleados.
Implementa la plataforma de Huntress para ver potentes herramientas de detección y respuesta gestionadas para endpoints e identidades de Microsoft 365, security awareness training respaldado por la ciencia a través de security awareness training, y la experiencia de del centro de operaciones de seguridad (SOC), disponible 24/7.
Referencias
