Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Wicked Panda
Wicked Panda es un grupo de actor de amenazas con sede en China, patrocinado por el estado, identificado como uno de los colectivos de intrusión más prolíficos del mundo. Activo desde mediados de la década de 2000, es reconocido por sus extensas operaciones de ciberespionaje, robo de propiedad intelectual y actividades de vigilancia. Aprovechando tácticas, técnicas y compromisos de la cadena de suministro sofisticados, ha atacado industrias y gobiernos a nivel global, alineando sus objetivos con los intereses del estado chino.
Perfil del actor de amenazas
Wicked Panda
País de origen
Wicked Panda opera desde China y se le atribuye ampliamente a campañas de espionaje vinculadas con actividades patrocinadas por el estado chino. El grupo está vinculado a contratistas e individuos que, según se reporta, operan con el apoyo o la aprobación directa de los servicios de inteligencia chinos.
Miembros
El tamaño y la composición exactos de Wicked Panda no se han divulgado públicamente. Sin embargo, el grupo comprende varias subunidades, incluyendo Winnti Group, y otras, cada una especializada en operaciones cibernéticas distintas. Estas subentidades demuestran alineación patrocinada por el estado y, en ocasiones, revelan motivos dobles de espionaje y cibercrimen con fines financieros.
Liderazgo
Por el momento, los detalles específicos sobre el liderazgo de Wicked Panda siguen sin divulgarse. Sin embargo, se cree que el colectivo opera bajo el paraguas del ecosistema de Amenazas Persistentes Avanzadas (APT) de China, con la participación de múltiples subgrupos.
TTPs de Wicked Panda
tácticas
Los objetivos principales de Wicked Panda giran en torno al espionaje y el robo de propiedad intelectual para beneficiar las ambiciones geopolíticas y económicas de China. Algunos subgrupos dentro de Wicked Panda también realizan cibercrimen con motivaciones financieras, lo que los distingue de otros APT chinos.
técnicas
Compromisos en la cadena de suministro, incluido el uso de actualizaciones de software firmadas (por ejemplo, ASUS ShadowHammer, CCleaner).
Explotación de aplicaciones de cara al público, como VPN, servidores web y servicios cloud.
Campañas de spear phishing con archivos adjuntos maliciosos para obtener acceso inicial.
Robo de credenciales usando herramientas como Mimikatz.
Despliegue de malware personalizado, como Winnti, ShadowPad y PlugX.
Procedimientos
Uso indebido de certificados de firma de código robados para evitar la detección.
Acceso persistente mediante web shells y puertas traseras personalizadas.
Escalada de privilegios y movimiento lateral usando credenciales comprometidas y Cobalt Strike.
Exfiltración a través de canales de comando y control (C2) cifrados, incluido el tunneling de DNS.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Ataque a la cadena de suministro de CCleaner (2017): Vulneración del software Piriform de Avast, que comprometió a millones de usuarios en todo el mundo.
ASUS ShadowHammer (2018): Ataque a la cadena de suministro de ASUS Live Update que afectó a cientos de miles de dispositivos.
Acusaciones del DOJ de EE. UU. (2020): Cargos contra cinco ciudadanos chinos y dos malasios por supervisar ataques globales vinculados a Wicked Panda.
Aplicación de la ley y arrestos
El Departamento de Justicia de Estados Unidos (DOJ) ha respondido directamente a las actividades de Wicked Panda, incluyendo acusaciones en 2020 contra individuos presuntamente involucrados en sus operaciones. Estos cargos expusieron esfuerzos globales de hacking contra diversas industrias.
Cómo defenderte de Wicked Panda
1
Gestión de parches: Aplica rápidamente parches a los sistemas vulnerables expuestos a internet, incluyendo VPN y servidores web.
2
Detección y respuesta de endpoint (EDR): Implementa herramientas avanzadas para identificar movimientos laterales y actividades de robo de credenciales.
3
Seguridad de firma de código: Monitorea binarios firmados anómalos y revoca rápidamente los certificados comprometidos.
4
Políticas de Zero Trust: Usa autenticación multifactor (MFA) para todas las cuentas con privilegios y así restringir el acceso no autorizado.
5
Monitoreo de la cadena de suministro: Valida la integridad del software para detectar comportamientos sospechosos en las actualizaciones.
Huntress Managed EDR ofrece herramientas sólidas para garantizar la resiliencia de endpoint, detectar actividad C2 maliciosa y descubrir compromisos sigilosos vinculados a actores de amenazas como Wicked Panda.
Referencias
