Actores de amenazas

Akira, un grupo de ransomware activo desde marzo de 2023, opera como una plataforma de Ransomware-as-a-Service (RaaS) que ataca a organizaciones a nivel global en industrias críticas, incluyendo salud, manufactura y finanzas. Al aprovechar tácticas avanzadas como la explotación de vulnerabilidades de VPN y la doble extorsión, Akira representa una amenaza significativa para empresas e infraestructura en todo el mundo.

Los grupos de ransomware van y vienen, pero Alpha Spider (también conocido como ALPHV Ransomware Group o ALPHV Blackcat) se niega a desaparecer entre las sombras. Este grupo cibercriminal surgió en noviembre de 2021 y es responsable de una de las operaciones de ransomware como servicio (RaaS) más avanzadas que existen. Incluso después de que lasautoridades confiscaran su infraestructura en diciembre de 2023, Alpha Spider se reorganizó y continuó sus operaciones, lo que demuestra que la resiliencia no siempre es algo positivo. Su agilidad, sigilo y experiencia técnica representan una amenaza formidable dentro del panorama de ciberamenazas actual. Entonces, ¿quién es Alpha Spider, qué hace y cómo puedes proteger tu organización de este grupo?

Andariel, también conocido como "Jumpy Pisces", es un grupo de ciberespionaje y ransomware vinculado a Corea del Norte que, según se cree, surgió alrededor de 2015. Afiliado al infame Lazarus Group, Andariel es conocido por atacar instituciones financieras, entidades gubernamentales y empresas mediante campañas avanzadas de ransomware y esquemas sofisticados de phishing. Sus operaciones suelen tener como objetivo financiar al régimen de Corea del Norte o recopilar inteligencia.

APT1, también conocido como "Comment Crew", es un grupo de amenaza persistente avanzada (APT) altamente sofisticado que se cree activo desde al menos 2006. Se le ha vinculado con China, específicamente afiliado al Ejército Popular de Liberación (EPL) chino. El enfoque principal del grupo es el espionaje cibernético, dirigido a diversas industrias mediante tácticas como spear phishing, exfiltración de datos y despliegue de malware.

APT3, también conocido como Gothic Panda, UPS Team, Pirate Panda y Buckeye, es un grupo chino de ciberespionaje patrocinado por el estado, activo desde al menos 2007. Se cree que opera bajo el Ministerio de Seguridad del Estado (MSS) en Guangdong, y APT3 es conocido por atacar sectores críticos como aeroespacial, defensa, telecomunicaciones e ingeniería. Emplean tácticas avanzadas, incluyendo malware personalizado y exploits de zero-day, para llevar a cabo una extensa recopilación de inteligencia.

Babuk es un grupo de cibercrimen que apareció por primera vez a principios de 2021 y rápidamente se hizo conocido por su modelo de ransomware como servicio (RaaS). Estos actores son conocidos por la doble extorsión: cifran los archivos de la víctima mientras también roban datos sensibles y amenazan con filtrarlos. Se enfocan principalmente en grandes entidades corporativas y gubernamentales.

BianLian es un grupo de ransomware y extorsión de datos, observado por primera vez en junio de 2022. Probablemente con base en Rusia, el grupo ataca sectores de infraestructura crítica en EE. UU. y Australia. Conocido por sus tácticas de extorsión basadas en exfiltración, BianLian ha dejado de lado el cifrado de sistemas para enfocarse en el robo de datos y la extorsión.

Bitwise Spider es un grupo de actor de amenazas prominente y muy activo, identificado por primera vez en 2019. Este grupo opera dentro del ecosistema de ransomware y se especializa en aprovechar tácticas avanzadas de ingeniería social, variantes sofisticadas de malware y modelos implacables de ransomware como servicio (RaaS). Bitwise Spider se ha vinculado a numerosos ciberataques a nivel global, dirigidos a industrias críticas como la salud, las finanzas y la manufactura.

BlackCat (también conocido como ALPHV) es un sofisticado grupo de ransomware observado por primera vez a finales de 2021. Ampliamente reconocido por su uso de operaciones avanzadas de ransomware-as-a-service (RaaS), BlackCat ataca a organizaciones de diversas industrias y recurre a tácticas de doble extorsión para presionar a las víctimas. Con presuntos vínculos a otros grupos cibercriminales prominentes, BlackCat es uno de los actores más disruptivos del ecosistema del ransomware.

BlackMatter es un grupo cibercriminal de ransomware como servicio (RaaS) que apareció por primera vez en julio de 2021. Se cree que es un cambio de marca del notorio grupo DarkSide, y BlackMatter rápidamente se hizo conocido por atacar infraestructura crítica. El grupo es conocido por aprovechar credenciales previamente comprometidas para infiltrarse en redes y cifrar datos, exigiendo cuantiosos rescates en Bitcoin y Monero.

Bluenoroff (también conocido como Gleaming Pisces) es un actor de amenazas de alto perfil que opera bajo Lazarus Group, afiliado a Corea del Norte, identificado por primera vez en 2014. Este grupo, motivado financieramente, se especializa en atacar criptomonedas y el sector financiero mediante ingeniería social avanzada, ataques basados en malware y tecnologías emergentes. Sus operaciones sofisticadas reflejan altos niveles de organización y patrocinio estatal.

Brain Spider es un grupo de cibercriminales global que surgió por primera vez en 2019, y es conocido por su experiencia en ataques de ransomware y corretaje de acceso. Con sus operaciones sofisticadas, alto nivel de coordinación y afiliación con otros actores de amenazas, Brain Spider continúa representando una amenaza crítica para organizaciones en todo el mundo al atacar industrias como salud, finanzas y gobierno.

Detectada por primera vez en marzo de 2023, esta operación de doble extorsión rápidamente se hizo un nombre al atacar a grandes entidades comerciales. Son conocidos por explotar vulnerabilidades de VPN, pero su movimiento más singular es cifrar su propio binario para evitar la detección. Vaya.

Carbon Spider se destaca como uno de los grupos cibercriminales con motivación financiera más sofisticados y adaptables que operan en la actualidad. Conocido por múltiples alias, incluidos FIN7, GOLD NIAGARA e ITG14, este actor de amenazas de Europa del Este ha evolucionado de ladrones de puntos de venta a operadores de ransomware desde su aparición alrededor de 2013-2015.

Chaotic Spider, también conocido como 0mid16B, es un actor de ciberamenazas con base en el sudeste asiático, activo desde septiembre de 2021. Operando bajo alias como Desorden y ALTDOS, este actor se especializa en explotar vulnerabilidades, en particular mediante inyección SQL, para exfiltrar y monetizar datos sensibles. Cabe destacar que el grupo evita el malware personalizado, enfocándose en cambio en la infiltración y la venta de información comprometida.

Charming Kitten, también conocido como APT35, Phosphorus, Ajax Security Team e ITG18, es un sofisticado grupo iraní de ciberespionaje activo desde al menos 2011. Estrechamente vinculado al Cuerpo de la Guardia Revolucionaria Islámica (CGRI), sus actividades se centran en el ciberespionaje, la vigilancia y la influencia geopolítica. Utilizando spear-phishing, suplantación de identidad y malware personalizado para infiltrarse en personas e industrias de alto perfil, siguen siendo un actor de amenazas persistente y peligroso.

Clockwork Spider es un actor de amenazas cibercriminal con motivación financiera, observado por primera vez alrededor de 2014. Este grupo es conocido por operar Retefe, un malware bancario utilizado principalmente para robar credenciales y ejecutar esquemas de fraude electrónico. Clasificados como oportunistas, sus ataques apuntan a víctimas en jurisdicciones y sectores de alto valor, con un enfoque particular en instituciones financieras y clientes bancarios individuales.

Clop, un infame grupo de ransomware, surgió alrededor de 2019 y rápidamente se convirtió en un nombre importante dentro del ecosistema cibercriminal. Conocido por sus ataques sofisticados y objetivos de alto valor, Clop se enfoca principalmente en la extorsión, el robo de datos y la interrupción financiera. Según se informa, es un grupo de habla rusa, y Clop ha atacado industrias como la salud, la educación, el gobierno y más, dejando un rastro de sistemas comprometidos en todo el mundo.

Cobalt Group, también conocido como Cobalt Gang, es una organización de cibercrimen con motivación financiera que surgió alrededor de 2016. Conocido por sus ataques sofisticados y a gran escala contra bancos, cajeros automáticos y sistemas de pago, este grupo fue pionero en las operaciones modernas de jackpotting de cajeros automáticos. Estrechamente asociado con Carbanak y FIN7, Cobalt Group ha robado un estimado de €1 mil millones a nivel mundial mediante ataques financieros dirigidos.

Copy Kittens, también conocido como Slayer Kitten, es un grupo iraní de ciberespionaje activo desde al menos 2013. Afiliado a los intereses estatales iraníes, el grupo emplea tácticas, técnicas y procedimientos (TTPs) avanzados para atacar a gobiernos, TI y sectores de medios a nivel mundial. Sus campañas, como Operation Wilted Tulip, destacan su enfoque en el robo de información y el espionaje.

Cosmic Wolf es un grupo de espionaje vinculado a Turquía, activo desde 2017, conocido por el secuestro de DNS, el robo de credenciales cloud y por atacar infraestructura de telecomunicaciones. El grupo opera bajo múltiples alias, incluyendo Sea Turtle, Teal Kurma y Marbled Dust.

APT29, también conocido como Cozy Bear, es un grupo de ciberespionaje patrocinado por el estado, asociado con agencias de inteligencia rusas. Activo desde al menos 2008, el grupo es conocido por sus campañas sofisticadas y sigilosas dirigidas a gobiernos, entidades políticas y corporaciones multinacionales. Su arsenal incluye spear-phishing, robo de credenciales y operaciones de malware personalizado.

Curly Spider es un grupo de cibercrimen de habla rusa que surgió en 2019 y opera dentro del ecosistema de ransomware como servicio (RaaS). Conocido principalmente por la creación de la familia de ransomware Snake (Ekans), la actividad del grupo representa un cambio importante en las campañas de ransomware, al dirigirse explícitamente a los sistemas de control industrial (ICS). Al adoptar un modelo de doble extorsión, Curly Spider interrumpe entornos críticos de tecnología operativa (OT) y exige el pago mediante cifrado y amenazas de exposición de datos.

DarkSide es un grupo de ransomware como servicio (RaaS) que surgió en 2020 y se cree que opera desde Europa del Este, con fuertes indicios de vínculos con Rusia. Especializado en tácticas de doble extorsión, DarkSide ha atacado a diversas industrias, pero en gran medida evita atacar organizaciones en países de la CEI. Sus operaciones se caracterizan por una marca profesional y una selección estratégica de víctimas.

Demon Spider es una entidad cibercriminal conocida por su papel en el panorama del malware como servicio (MaaS). Al surgir como desarrollador y distribuidor del descargador Matanbuchus, este actor de amenazas ofrece a sus afiliados acceso a soluciones de malware personalizadas de dos etapas mediante infraestructura controlada y herramientas amigables para afiliados. Aunque gran parte de las operaciones de Demon Spider siguen siendo opacas, son un actor activo en el cibercrimen moderno.

Donut Spider es un actor de amenazas con motivación financiera activo desde 2021. Conocido por sus campañas de big game hunting, este grupo desarrolló las familias de ransomware HelloXD y D0nut. Operan un servicio privado de Ransomware-as-a-Service (RaaS) bajo el nombre D#nut Ransomware Team, usando técnicas avanzadas para atacar a organizaciones de alto valor en diversas industrias. El grupo usa el framework de código abierto Donut para generar shellcode y ejecutar payloads de forma sigilosa.

Doppel Spider, también conocido como GOLD HERON, es un grupo cibercriminal de origen ruso activo desde al menos abril de 2019. Son conocidos por operar familias de ransomware como DoppelPaymer y DoppelDridex, atacando organizaciones a nivel global con tácticas sofisticadas.

Egregor es una operación sofisticada de ransomware as a service (RaaS) que irrumpió en escena en septiembre de 2020, ganando rápidamente notoriedad como el heredero aparente del infame grupo de ransomware Maze. Conocido por sus tácticas de doble extorsión, Egregor no solo cifra los datos de la víctima, sino que también los exfiltra, amenazando con publicarlos para presionar a las empresas a pagar.

Surgido en 2021, Ember Bear—comúnmente reconocido como UAC-0056 o Lorec53—es un grupo de ciberespionaje patrocinado por el estado ruso, estrechamente vinculado a la GRU. Conocido por el spear-phishing y malware de tipo wiper como WhisperGate, este grupo tiene como blanco infraestructura crítica, gobiernos y sectores de defensa, a menudo combinando tácticas destructivas con robo de datos.

Activo desde al menos 2010, Emissary Panda —también conocido por alias como APT27, LuckyMouse y Bronze Union— es un grupo de amenaza persistente avanzada (APT) patrocinado por el estado chino. Conocido por sus misiones de espionaje industrial e inteligencia geopolítica, este grupo emplea tácticas avanzadas como el spearphishing, los compromisos estratégicos de sitios web y malware personalizado para infiltrarse en objetivos de alto valor a nivel mundial.

Ethereal Panda es un grupo de amenaza persistente avanzada (APT) alineado con China, también conocido por alias como Flax Typhoon, RedJuliett, Storm-0919 y UNC5007. Observado públicamente por primera vez a mediados de 2021, este actor de amenazas patrocinado por un estado se enfoca en el espionaje y la recopilación de inteligencia. Ethereal Panda emplea un enfoque sigiloso, aprovechando herramientas legítimas y métodos de vivir de la tierra para infiltrarse en objetivos del ámbito académico, gubernamental, tecnológico y de telecomunicaciones.

Famous Chollima es un actor de amenazas alineado con Corea del Norte que consigue que lo contraten en lugar de irrumpir. Los operadores usan identidades robadas y fabricadas para conseguir empleos remotos de TI, y luego roban datos, código fuente y criptomoneda para financiar al régimen de la RPDC.

Fancy Bear, también conocido como APT28, es un grupo de espionaje cibernético patrocinado por el estado ruso, activo desde al menos 2004. Este grupo representa un actor de amenazas persistentes avanzadas (APT) altamente calificado, vinculado de manera constante a la Dirección Principal de Inteligencia de la Federación Rusa (GRU). Fancy Bear es conocido por su uso de vulnerabilidades zero-day, campañas de spear-phishing y malware sofisticado para atacar a organizaciones gubernamentales, militares y de infraestructura crítica en todo el mundo con fines de recopilación de inteligencia. Sus actividades reflejan los intereses estratégicos del estado ruso.

Ferocious Kitten es un grupo de amenaza persistente avanzada (APT) alineado con Irán, identificado por primera vez en 2015. Este grupo se dedica principalmente a operaciones de ciberespionaje, con un enfoque en objetivos de Medio Oriente, aunque se ha observado que llega a redes globales. Conocido por usar aplicaciones maliciosas de Telegram como señuelo, Ferocious Kitten está afiliado a grupos más amplios de actividad respaldada por el estado iraní. Sus métodos principales incluyen malware de vigilancia, phishing y campañas de ingeniería social.

FIN7, también rastreado como Carbon Spider, GOLD NIAGARA, Sangria Tempest y ITG14, es un grupo cibercriminal con motivación financiera que ha estado activo desde aproximadamente 2015. Originario de Europa del Este, sus operaciones se centran fuertemente en el robo de datos de tarjetas de pago mediante la vulneración de sistemas POS, el despliegue de ransomware y tácticas de extorsión. Sus técnicas y estructura organizacional en constante evolución los distinguen como uno de los sindicatos cibercriminales más sofisticados de la actualidad.

Fox Kitten, un actor de amenazas alineado con un estado-nación y vinculado a Irán, surgió por primera vez en 2017 y ganó reconocimiento por su explotación metódica de vulnerabilidades de VPN y acceso remoto. Como elemento clave del ecosistema APT de Irán, Fox Kitten se especializa en facilitar el espionaje, atacando industrias como defensa, aviación y energía. Sus tácticas giran en torno a establecer puntos de apoyo a largo plazo, otorgando acceso para operaciones de múltiples etapas por parte de otros grupos de amenazas iraníes.

Frozen Spider, también conocido por alias como White Kali, es un grupo criminal de ransomware clasificado como motivado financieramente. Activo desde finales de 2022, esta operación de Ransomware-as-a-Service (RaaS) es conocida por implementar el ransomware Medusa para atacar a organizaciones de alto valor en lo que suele llamarse “Big Game Hunting” (BGH). Sus tácticas de doble extorsión los convierten en una amenaza seria para organizaciones a nivel mundial.

Gallium, también conocido como Phantom Panda, Alloy Taurus y Granite Typhoon, es un actor de amenazas con sede en China que ha estado activo desde al menos 2012. Este grupo es conocido por su enfoque en el espionaje, particularmente dirigido a empresas de telecomunicaciones para obtener datos sensibles. Por lo general, obtienen acceso explotando servicios expuestos a internet sin parchear, una táctica clásica que sigue siendo sorprendentemente efectiva.

Ghost Jackal es un actor de ciberamenazas sofisticado y escurridizo, conocido por aprovechar tácticas, técnicas y procedimientos (TTPs) avanzados para atacar diversas industrias a nivel mundial. Las actividades de Ghost Jackal lo han convertido en una preocupación importante para los profesionales de la ciberseguridad y las organizaciones de todo el mundo.

Graceful Spider, también conocido como TA505, Hive0065 y varios otros alias, es un grupo de actores de amenazas con motivación financiera activo desde al menos 2016, con posibles raíces desde 2014-2015. Esta organización de ciberdelincuencia de habla rusa se especializa en explotación masiva, extorsión y robo de datos. Usan tácticas avanzadas como vulnerabilidades de día cero, campañas de phishing, y explotan aplicaciones empresariales expuestas a internet en industrias de todo el mundo.

Helix Kitten, también conocido como APT34, OilRig o Chrysene, es un grupo de ciberespionaje con vínculos con Irán activo desde mediados de la década de 2010. Conocido por orquestar intrusiones altamente dirigidas, utiliza phishing dirigido, implantes basados en PowerShell y puertas traseras personalizadas para vulnerar organizaciones en Medio Oriente y más allá. Helix Kitten se enfoca principalmente en la recolección de inteligencia, alineándose con los objetivos geopolíticos iraníes.

Hermit Spider es un actor de amenazas sofisticado vinculado a campañas de ciberespionaje respaldadas por gobiernos. Surgido alrededor de 2022, este grupo altamente avanzado se especializa en desplegar spyware personalizado para Android, aprovechando vulnerabilidades zero-day para infiltrarse y monitorear dispositivos específicos. Conocidos por su operación sigilosa y precisión, su enfoque principal radica en el espionaje de alto valor en industrias sensibles y entidades gubernamentales.

Hive, observado por primera vez en junio de 2021, es un conocido grupo de ransomware especializado en tácticas de doble extorsión. Conocido por atacar infraestructuras críticas, el sector de la salud y otras industrias, extorsiona a las víctimas cifrando sus datos y amenazando con filtrarlos. Pese a importantes interrupciones por parte de las autoridades en 2023, fragmentos del grupo siguen activos y representan una amenaza constante para organizaciones de todo el mundo.

Hive Spider, identificado por primera vez en junio de 2021, es un conocido grupo de ransomware que opera bajo un modelo de Ransomware-as-a-Service (RaaS). Conocido por sus tácticas avanzadas y métodos de doble extorsión, Hive Spider ha atacado infraestructura crítica, incluyendo hospitales, causando una disrupción generalizada.

Hook Spider es un notorio agente de acceso inicial (IAB) que surgió como un actor clave en el ecosistema de eCrime. Conocido principalmente por vender credenciales comprometidas y endpoints de acceso remoto, Hook Spider facilita operaciones de ransomware y campañas de extorsión para grupos como Scattered Spider y Vice Spider. Sus métodos son simples pero efectivos, y a menudo aprovechan el phishing y las técnicas de fuerza bruta para comprometer redes.

Hunters International, también conocido como "World Leaks" tras su cambio de marca, es un grupo de ransomware observado por primera vez en octubre de 2023. Este grupo inicialmente operaba como una entidad de Ransomware-as-a-Service (RaaS) antes de pasar a un modelo exclusivo de extorsión. Conocido por aprovechar técnicas como phishing, ingeniería social y robo de datos, ha atacado a sectores en todo el mundo, explotando vulnerabilidades y amenazando con filtrar datos para obtener ganancias financieras.

Indrik Spider, también conocido como Evil Corp, es un sofisticado grupo cibercriminal ruso activo desde al menos 2014. Conocido por desarrollar el troyano bancario Dridex y orquestar campañas de ransomware a gran escala, el grupo ha atacado sectores de alto perfil en todo el mundo, incluyendo salud y finanzas, causando graves daños monetarios y operativos.

Jackpot Panda, un actor de amenazas con sede en China que ha estado activo desde al menos mayo de 2020. Este grupo de amenaza persistente avanzada (APT) se enfoca fuertemente en el ecosistema de apuestas en línea en el este y sudeste de Asia. Aprovechando compromisos en la cadena de suministro, phishing y técnicas sigilosas posteriores al compromiso, se alinean estrechamente con las prioridades de inteligencia nacional de la RPC.

Kimsuky (también conocido como "Velvet Chollima" o "Sparkling Pisces") es un grupo norcoreano de amenaza persistente avanzada (APT) que, según se cree, está activo desde alrededor de 2012. Conocido por sus operaciones de ciberespionaje, Kimsuky ataca principalmente a entidades gubernamentales, centros de estudios y organizaciones de medios en Estados Unidos, Europa y Corea del Sur. Su arsenal incluye campañas de spear-phishing, malware y tácticas sofisticadas de ingeniería social.

Labyrinth Chollima, activo desde al menos 2009, es un actor de amenazas patrocinado por el estado norcoreano que opera bajo el paraguas de Lazarus Group. Conocido por operaciones cibernéticas de alto perfil como el hackeo a Sony Pictures y el robo al Banco de Bangladesh, este grupo combina espionaje, robo financiero y tácticas destructivas para apoyar las ambiciones del régimen norcoreano.

El Lazarus Group, también identificado como HIDDEN COBRA, ZINC, Labyrinth Chollima y Guardians of Peace, es una organización cibercriminal patrocinada por el estado norcoreano. Activo desde al menos 2009, Lazarus abarca un conjunto de operaciones cibernéticas norcoreanas especializadas en robo financiero, espionaje cibernético y ciberataques destructivos. Han atacado sectores como finanzas, gobierno e infraestructura crítica, utilizando tácticas sofisticadas y malware personalizado.

Lightning Spider, un actor de amenazas de eCrime activo desde al menos noviembre de 2019, se especializa en actividades cibernéticas con motivación financiera. Operando dentro de un modelo de Malware-as-a-Service (MaaS) o Pay-Per-Install (PPI), utilizan herramientas como el loader Apolog y el descargador Satacom para construir y operar una botnet de sistemas comprometidos. Su infraestructura escalable entrega payloads de malware con fines de lucro, lo que convierte a Lightning Spider en un facilitador significativo de ciberamenazas derivadas.

El ransomware Lockbit, identificado por primera vez en 2019, es una ciberamenaza global altamente sofisticada. Conocido por su modelo de ransomware como servicio (RaaS), permite a los afiliados ejecutar ataques devastadores en diversas industrias. Aprovechando tácticas de doble extorsión, Lockbit cifra datos sensibles y exige rescates, a menudo dirigidos a grandes organizaciones en todo el mundo. Su agilidad y eficiencia operativa lo han convertido en uno de los grupos de ransomware más notorios.

LulzSec (abreviatura de "Lulz Security") fue un notorio grupo hacktivista, activo principalmente durante 2011, que atacó organizaciones de alto perfil como gobiernos, corporaciones y medios de comunicación. Conocido por su enfoque juguetón pero disruptivo, LulzSec realizaba ataques "por los lulz" (jerga de internet para referirse a risas o diversión), a menudo exponiendo vulnerabilidades de seguridad para hacer una declaración. A pesar de su corta actividad, las operaciones de LulzSec dejaron un impacto duradero en las prácticas de ciberseguridad en todo el mundo.

Lunar Spider es un formidable grupo de eCrime rusoparlante, activo desde al menos 2017, que opera como un colectivo con motivación financiera especializado en el desarrollo de malware y la intermediación de acceso inicial. Más notablemente, el grupo creó y desplegó el troyano bancario IcedID (también conocido como BokBot), el descargador Latrodectus y la familia de cargadores Lotus. Conocido por su capacidad de adaptación, Lunar Spider ha evolucionado de operaciones de fraude bancario a equipar a afiliados de ransomware, explotando credenciales robadas y desplegando marcos avanzados de post-explotación como Brute Ratel y Cobalt Strike. Sus tácticas los hacen notorios, ya que avanzan rápidamente de campañas de phishing a entregar acceso a socios criminales de alto valor, atacando tanto a SMB vulnerables como a empresas grandes.

Masked Spider es un adversario oportunista de eCrime activo desde mayo de 2022. Al operar como un Big Game Hunter (BGH), este actor de amenazas está vinculado al desarrollo de la familia de ransomware BianLian. Especializado en ataques dirigidos a las plataformas Microsoft Windows y VMware ESXi, Masked Spider emplea cifrado AES-256 con claves codificadas para cifrar los datos de las víctimas. Aunque se cree que cambiaron sus tácticas operativas a principios de 2023, Masked Spider sigue siendo un actor clave en el panorama del ransomware.

El grupo de ransomware Maze irrumpió en escena alrededor de mayo de 2019 y rápidamente se hizo famoso por ser pionero en la táctica de "doble extorsión". Este grupo de cibercrimen no solo cifraba los datos de sus víctimas; primero los robaba, amenazando con filtrar información sensible en línea si no se pagaba el rescate. Este método convirtió un incidente de ransomware en una filtración de datos en toda regla.

El grupo de ransomware Medusa ha estado causando estragos desde finales de 2021, operando con un modelo de Ransomware como Servicio (RaaS). Estos actores usan la doble extorsión, lo que significa que no solo cifran tus datos, sino que primero los roban y amenazan con filtrarlos en su sitio de la dark web. Es un golpe doble diseñado para maximizar la presión.

Mirage Tiger, antes rastreado como el grupo “WiseGuy”, es un grupo de intrusión dirigida vinculado a la India. Activo desde aproximadamente 2017, este actor de amenaza persistente avanzada (APT) ataca principalmente a organizaciones gubernamentales y militares de Pakistán. Sus operaciones dependen de documentos de Microsoft Office protegidos con contraseña y con macros maliciosas como vector de acceso inicial. La inteligencia pública sobre este grupo sigue siendo limitada, y la telemetría detallada queda reservada en informes de proveedores.

Monarch Spider es un actor de amenazas sofisticado, identificado como un corredor de exploits especializado en la creación, promoción y distribución de exploits armados dirigidos a múltiples vulnerabilidades. Como actor clave en las comunidades clandestinas de cibercriminales, Monarch Spider es conocido por su experiencia en vulnerabilidades de escalamiento de privilegios de Windows, y ofrece exploits a otros actores de amenazas. Su capacidad para desarrollar u obtener exploits de día cero (zero-day) demuestra sus capacidades avanzadas y su impacto dentro del panorama de ciberamenazas.

Mummy Spider, identificado por primera vez en 2014, es un grupo cibercriminal de habla rusa responsable de la creación y operación del infame malware Emotet. Originalmente un troyano bancario, ha evolucionado hasta convertirse en una poderosa botnet modular y plataforma de distribución de malware, lo que convierte a Mummy Spider en un actor clave en el ecosistema de cibercrimen como servicio. Este grupo se hizo conocido por habilitar campañas de ransomware a gran escala y operaciones cibernéticas disruptivas a nivel global.

Mythic Leopard, también conocido como Transparent Tribe o APT36, es un grupo de amenaza persistente avanzada (APT) vinculado a Pakistán, activo desde al menos 2013. Este actor patrocinado por el estado ataca principalmente a los sectores gubernamental, militar y de defensa de India, empleando spear-phishing, malware e infraestructura engañosa para llevar a cabo operaciones de ciberespionaje.

Netwalker, también conocido como Mailto o Circus Rastreador web, es una operación sofisticada de ransomware-as-a-service (RaaS) que apareció por primera vez en agosto de 2019. Este grupo de cibercrimen con motivación financiera se hizo notorio por sus tácticas de doble extorsión, mediante las cuales no solo cifran los archivos de la víctima, sino que también extraen datos sensibles y amenazan con filtrarlos públicamente a menos que se pague un segundo rescate.

Ocean Buffalo, también ampliamente conocido como OceanLotus o APT32, es un grupo de ciberespionaje con nexo en Vietnam activo desde al menos mediados de la década de 2010. Este sofisticado grupo es conocido por atacar objetivos políticos, comerciales y de inteligencia regional mediante tácticas como ataques de abrevadero, campañas de spear phishing y despliegue de malware personalizado en sistemas macOS, Windows y Linux. Sus operaciones se enfocan principalmente en el sudeste asiático, pero se extienden globalmente cuando resulta estratégicamente ventajoso.

Odyssey Spider es un adversario de eCrime con motivación financiera observado por primera vez en operaciones ya desde finales de 2018. Conocido por sus tácticas sofisticadas dirigidas a los sectores de hospitalidad y viajes, este grupo se enfoca en robar información de tarjetas de crédito durante los procesos de reserva y reservación. Operando principalmente desde Brasil, su presencia se extiende por Latinoamérica y partes del suroeste de Europa, mostrando métodos cada vez más complejos con cada campaña.

Outrider Tiger es un actor de amenazas con motivación financiera, identificado por primera vez en junio de 2023. Conocido por el desarrollo y operación del loader Nitrogen y el ransomware LukaLocker, Outrider Tiger inicialmente operó como afiliado del programa Alphv Ransomware-as-a-Service (RaaS) hasta su cierre en marzo de 2024.

Gossamer Bear, también conocido como Callisto, SEABORGIUM, TA446 y otros alias, es un sofisticado grupo de Amenaza Persistente Avanzada (APT) vinculado a Rusia. Surgido en los últimos años, este grupo realiza principalmente operaciones de ciberespionaje, empleando tácticas como la recolección de credenciales, el phishing y las campañas de filtración. Afiliado al Servicio Federal de Seguridad de Rusia (FSB), Gossamer Bear ataca a entidades geopolíticas, sectores de defensa y estados de la OTAN.

APT10, también conocido como MenuPass, Red Apollo o Stone Panda, es un grupo de ciberespionaje altamente sofisticado que se cree vinculado al Ministerio de Seguridad del Estado de China (MSS). Activo desde al menos 2009, APT10 aprovecha malware avanzado, spear-phishing y compromisos en la cadena de suministro para atacar industrias a nivel global. Sus campañas se centran en robar propiedad intelectual y datos sensibles, lo que los convierte en uno de los grupos de espionaje más notorios hasta la fecha.

APT37, también conocido como Reaper o ScarCruft, es un grupo norcoreano de amenaza persistente avanzada (APT) que ha estado activo desde al menos 2012. Este grupo patrocinado por el estado se enfoca fuertemente en el espionaje cibernético, aprovechando spear phishing y exploits zero-day avanzados para infiltrarse en sus objetivos. APT37 apoya los objetivos estratégicos de Corea del Norte, específicamente en defensa, seguridad y vigilancia dentro de contextos tanto regionales como globales.

Avaddon fue una operación de Ransomware as a Service (RaaS) que generó mucho ruido entre 2020 y 2021. Este grupo cibercriminal era conocido por sus tácticas de doble extorsión, que no solo cifraban los datos de las víctimas, sino que también los robaban y amenazaban con filtrarlos en su sitio de la dark web. Incluso recurrían a ataques DDoS para presionar aún más a las víctimas y lograr que pagaran.

Imperial Kitten es un grupo iraní de amenaza persistente avanzada (APT), que se cree opera en nombre del Cuerpo de la Guardia Revolucionaria Islámica (CGRI). Activo desde al menos 2017, este actor de amenazas se especializa en el ciberespionaje, aprovechando el phishing, el malware y compromisos estratégicos de sitios web para atacar industrias críticas en todo el mundo. También conocido por alias como Yellow Liderc, Tortoiseshell, TA456 y Crimson Sandstorm, el grupo es famoso por sus ataques a sectores clave, incluyendo tecnología, logística y defensa.

Primitive Bear es un actor de amenazas alineado con Rusia, estrechamente afiliado al Servicio Federal de Seguridad de Rusia (FSB), específicamente al FSB Center 18. Observado por primera vez durante la anexión de Crimea en 2014, este grupo se especializa en operaciones psicológicas, desinformación y campañas de phishing. Desempeñan un papel importante dentro de la doctrina de guerra híbrida de Rusia, combinando operaciones cibernéticas con propaganda para desestabilizar a sus adversarios, dirigiéndose específicamente a Ucrania, la OTAN y organizaciones políticas de Europa del Este.

Salty Spider, también asociado con el malware Sality y la botnet, es un grupo de eCrime con motivación financiera que ha estado activo desde 2003. Operando principalmente desde Rusia, este grupo emplea infectores de archivos polimórficos y propagación peer-to-peer para infectar sistemas a nivel mundial. Son conocidos por sus campañas de botnets a gran escala, robo de criptomonedas, cryptojacking y ciberataques ocasionales con motivación política.

Vampire Spider, un actor de ciberamenazas emergente, es conocido por su papel como proveedor de herramientas de malware que facilita el trabajo de otros cibercriminales. Desde que ganó notoriedad pública alrededor de 2023, ha desarrollado y otorgado licencias de herramientas como Strigoi Master y servicios como RegXploit para habilitar la distribución de malware. Su enfoque principal parece estar impulsado por las ganancias mediante la comercialización de ransomware como servicio (RaaS).

Pinchy Spider, también conocido como Gold Southfield, es un grupo cibercriminal con motivación financiera que se originó en Rusia. Activo desde 2018, es infame por desarrollar y operar el ransomware GandCrab y REvil bajo un modelo de Ransomware-as-a-Service (RaaS). Sus operaciones se centran en objetivos de alto valor usando tácticas avanzadas como el movimiento lateral y la exfiltración de datos.

Play (también conocido como PlayCrypt) es un grupo de ransomware con motivación financiera identificado por primera vez en junio de 2022. Especializado en técnicas de doble extorsión (cifrar archivos y amenazar con filtrar públicamente los datos robados), Play ha crecido rápidamente hasta convertirse en uno de los grupos de ransomware más activos a nivel global. Con un enfoque principal en grandes empresas e infraestructura crítica, Play ha impactado a cientos de organizaciones en todo el mundo.

Punk Spider, detectado por primera vez en 2023, es un grupo de ransomware de Big-Game-Hunting (BGH) vinculado a la operación de ransomware como servicio (RaaS) Akira. Este actor de amenazas se especializa en la doble extorsión, es decir, no solo cifra tus datos, sino que primero los roba y amenaza con filtrarlos en línea. A menudo ingresan a través de VPN débiles y usan herramientas legítimas para moverse sin ser detectados.

El grupo cibercriminal Qilin, una operación de ransomware como servicio (RaaS) de habla rusa, apareció en escena alrededor de agosto de 2022. Conocidos inicialmente por su ransomware "Agenda", estos actores tienen la mala costumbre de atacar sectores críticos. Proveen a sus afiliados malware personalizable, lo que los convierte en una amenaza flexible y peligrosa a tener en cuenta.

Quantum Spider, también conocido por los alias MountLocker, SunRiseLocker y AstroLocker, es un adversario de big game hunting (BGH) observado por primera vez en agosto de 2020. Operando como un Ransomware-as-a-Service (RaaS), este grupo emplea tácticas de doble extorsión, cifrando archivos y amenazando con filtrar datos confidenciales si no se paga el rescate.

Ransomhub, un grupo de Ransomware-as-a-Service (RaaS), surgió en febrero de 2024 y rápidamente se hizo conocido por atacar sectores de infraestructura crítica. Conocido por sus tácticas de doble extorsión, Ransomhub ha afectado a más de 200 organizaciones a nivel mundial, aprovechando técnicas avanzadas para exfiltrar y cifrar datos confidenciales.

Razor Tiger, también conocido como SideWinder, APT-C-17 y Rattlesnake, es un actor de amenazas patrocinado por un Estado y activo desde al menos 2012. Se cree que opera desde India, y el grupo se especializa en ciberespionaje dirigido a los sectores militar, gubernamental y marítimo. Razor Tiger emplea spear-phishing, malware sin archivos e infraestructura avanzada para lograr sus objetivos.

Refined Kitten, también conocido como APT33, es un presunto grupo de amenaza persistente avanzada (APT) vinculado a Irán que surgió alrededor de 2013. Este grupo se especializa en ciberespionaje y potenciales tácticas disruptivas, aprovechando spear-phishing, malware y compromisos en la cadena de suministro. Conocido por sus ataques dirigidos a los sectores de energía, aviación y defensa, Refined Kitten sigue siendo una fuerza formidable en las operaciones cibernéticas a nivel mundial.

Remix Kitten, también conocido como APT39 o Chafer, es un grupo de espionaje cibernético vinculado a Irán, activo desde alrededor de 2012. Asociado con el Ministerio de Inteligencia y Seguridad de Irán (MOIS), Remix Kitten realiza principalmente operaciones de espionaje dirigidas a sectores como telecomunicaciones, viajes, academia y gobierno. Sus tácticas incluyen spear-phishing, recolección de credenciales y el despliegue de puertas traseras personalizadas para recopilar inteligencia sensible que se alinea con los objetivos del estado iraní.

Renaissance Spider, a veces estilizado como RENAISSANCE SPIDER, es un actor de amenazas de eCrime con motivación financiera, con base en la Federación de Rusia. Observado por primera vez a mediados de 2019, este grupo es conocido por el uso de campañas de malspam y operaciones de intrusión dirigidas. Más allá del delito financiero puro, realizan esfuerzos de influencia y sabotaje usando personas hacktivistas falsas como "DaVinci Group" y "Fire Cells Group".

Renegade Jackal, también conocido por alias como Desert Varnish, UNC718, Desert Falcons y Arid Viper, es un actor de ciberamenazas sofisticado que ha estado activo en Medio Oriente desde al menos 2015. Se cree que tiene un nexo con grupos de interés propalestinos, y este actor suele usar tácticas de phishing e ingeniería social para infiltrarse en objetivos vinculados a entidades gubernamentales o diplomáticas de la región. Su motivación principal parece ser la recolección de inteligencia, lo que lo convierte en un adversario clave para los defensores de la ciberseguridad.

REvil, también conocido como Sodinokibi, es un notorio actor de amenazas de ransomware-as-a-service (RaaS), observado por primera vez en 2019. Ampliamente atribuido como un grupo de habla rusa con base en Rusia, es conocido por sus operaciones de alto impacto que atacan industrias a nivel global con tácticas de doble extorsión. Sus ataques han causado grandes interrupciones, afectando a organizaciones desde pequeñas empresas hasta corporaciones internacionales.

Rhysida es un grupo de ransomware como servicio (RaaS) que surgió en mayo de 2023. Conocido por sus tácticas de "doble extorsión", el grupo cifra archivos y amenaza con divulgar los datos robados si no se paga el rescate. Operando bajo la apariencia de un “equipo de ciberseguridad”, Rhysida ataca principalmente industrias como la salud, la educación y el gobierno.Rhysida es un grupo de ransomware como servicio que usa tácticas de doble extorsión para atacar industrias como la salud, la educación y el gobierno mediante el cifrado de archivos y la filtración de datos.

Rice Spider, rastreado por primera vez por CrowdStrike, se clasifica como un proveedor de servicios criminales dentro del ecosistema del cibercrimen. Surgiendo como un habilitador clave para grupos de eCrime y de big game hunting (BGH), sus métodos principales incluyen Crypter-as-a-Service (CaaS) y técnicas de sideloading de DLL para ocultar y entregar payloads de malware. Si bien Rice Spider en sí no lleva a cabo ataques de ransomware ni extorsión, sus herramientas y servicios los convierten en una pieza clave de las intrusiones cibernéticas a gran escala.

Ricochet Chollima, también conocido como APT37, es un actor de amenazas vinculado a Corea del Norte que se cree surgió en 2012. Este grupo es conocido por sus operaciones de ciberespionaje dirigidas a medios, investigación y sectores públicos a nivel mundial. Sus métodos incluyen phishing, despliegue de malware y explotación de vulnerabilidades de Android, lo que los convierte en una amenaza persistente y sigilosa en el panorama de la ciberseguridad.

Robot Spider es un actor de amenazas destacado, especializado en operaciones de Crypter-as-a-Service (CaaS), activo desde 2017. Operando desde Brasil, Robot Spider colabora principalmente con adversarios de eCrime con base en LATAM, lo que permite ataques dirigidos mediante servicios de cifrado avanzados que encubren malware y herramientas de acceso remoto (RATs) para evadir los mecanismos de defensa.

Royal Spider, también conocido como "Royal" o "BlackSuit", es un grupo cibercriminal ruso especializado en operaciones de Ransomware-as-a-Service (RaaS). Surgido a comienzos de 2022, el grupo emplea técnicas avanzadas de doble extorsión, atacando sectores como salud, infraestructura crítica y finanzas a nivel global. Con demandas de rescate que van desde $1 millón hasta $10 millones, Royal Spider se ha convertido rápidamente en un actor de amenazas destacado en el panorama de la ciberseguridad.

Ryuk es un grupo de ransomware prolífico identificado por primera vez en 2018. Conocido por atacar a grandes empresas, servicios públicos e industrias críticas como la salud y el gobierno, Ryuk ganó notoriedad con su estrategia de alto riesgo de "big game hunting". Aprovechando cadenas de ataque sofisticadas de varias etapas y malware comercial como TrickBot, Ryuk provocó graves interrupciones operativas y generó pagos de rescate significativos. Las actividades del grupo resaltan el peligro persistente y cambiante de las campañas de ransomware con motivación financiera.

Salt Typhoon es un grupo de amenaza persistente avanzada (APT) altamente sofisticado con vínculos con el gobierno chino. Surgido alrededor de 2020, este actor patrocinado por el estado se especializa en espionaje cibernético y robo de datos. Obtienen acceso inicial principalmente explotando vulnerabilidades conocidas en aplicaciones públicas y dispositivos de red, lo que los convierte en una seria amenaza para las telecomunicaciones globales y la infraestructura crítica.

Samba Spider es un actor de amenazas de ciberdelincuencia vinculado al troyano bancario Mispadu. Este grupo apunta principalmente a usuarios en América Latina, con un fuerte enfoque en sistemas que usan los idiomas español y portugués. Son conocidos por sus campañas de spam clásicas, aunque efectivas, diseñadas para engañar a las personas y hacer que descarguen malware que roba credenciales bancarias y otros datos sensibles.

Scattered Spider, también identificado como UNC3944, Starfraud y Muddled Libra, es un grupo cibercriminal prominente activo desde al menos 2022 (CISA). El colectivo es conocido por sus esquemas de ingeniería social, campañas avanzadas de phishing y el uso de ransomware como servicio (RaaS). Dirigen sus operaciones a industrias como telecomunicaciones, retail, salud e infraestructura crítica, y suelen girar en torno al robo de datos, la extorsión y el despliegue de ransomware.

TEMP.Hermit, también conocido como Selective Pisces, es un sofisticado y muy activo actor de amenazas que se cree que surgió alrededor de 2021. Conocido por sus campañas de ciberespionaje, TEMP.Hermit usa principalmente malware avanzado y sigiloso, además de tácticas de phishing, para atacar agencias gubernamentales, infraestructura crítica y organizaciones del sector privado a nivel mundial. Su precisión operativa y su capacidad de adaptar técnicas sugieren una estructura avanzada y bien organizada.

ShinyHunters es una operación de cibercrimen y extorsión motivada financieramente que ha estado activa desde al menos 2019. El grupo es más conocido por el robo de datos a gran escala, intrusiones enfocadas en SaaS y extorsión de tipo "paga o se filtra". Sin afiliación confirmada (o abierta) con un estado-nación, el grupo se ha establecido como una de las bandas de robo de datos y extorsión más prolíficas del mundo, dirigiéndose a plataformas SaaS, entornos en la cloud y proveedores de identidad empresarial mediante ingeniería social sofisticada, robo de credenciales y exfiltración de datos a gran escala, seguido de demandas de rescate bajo un implacable modelo de "paga o se filtra".

Silent Chollima es un grupo de actor de amenazas sofisticado afiliado a la República Popular Democrática de Corea (RPDC), observado por primera vez alrededor de 2007-2009. Conocido por su espionaje estratégico y sus capacidades cibernéticas destructivas, este grupo ha ampliado recientemente sus operaciones para incluir ataques con motivación financiera, como ransomware y extorsión, para financiar sus actividades. Opera con un alto nivel de habilidad técnica y suele explotar vulnerabilidades conocidas, además de usar malware personalizado.

Silk Typhoon (anteriormente conocido como HAFNIUM) es un grupo de amenaza persistente avanzada (APT) respaldado por un estado y apoyado por contratistas, que el gobierno de EE. UU. ha vinculado a la República Popular China. Activo desde al menos 2016, el grupo llamó la atención mundial por primera vez en 2021 por explotar masivamente servidores Microsoft Exchange on-premises. Desde entonces, el grupo ha evolucionado hasta convertirse en un actor de espionaje constantemente activo que ataca la cadena de suministro de TI, abusando de herramientas confiables como el software de monitoreo y gestión remota (RMM), los proveedores de servicios cloud y las plataformas de gestión de accesos privilegiados para llegar a los clientes posteriores de sus objetivos iniciales.

Slippy Spider, también conocido como Lapsus$, es un grupo cibercriminal que surgió a fines de 2021 y rápidamente se hizo notorio por sus descaradas tácticas de extorsión de datos y sus ataques disruptivos a grandes corporaciones y gobiernos. Conocido por atacar industrias prominentes, este grupo usa técnicas de infiltración creativas y poco convencionales que explotan tanto vulnerabilidades técnicas como debilidades de ingeniería social.

Solar Spider es un actor de eCrime con motivación financiera al que le encanta hacer phishing. Conocido por sus campañas dirigidas contra bancos y servicios financieros, este grupo usa ingeniería social sofisticada y malware personalizado para lograr lo que busca. Su herramienta distintiva es el troyano de acceso remoto (RAT) JSOutProx, una pieza de malware basada en JavaScript particularmente dañina.

Sprite Spider, un actor de eCrime, surgió en 2015 y es conocido por sus campañas de ransomware dirigidas con Defray777. Este grupo se especializa en ataques de ransomware de big game hunting (BGH), a menudo dirigidos a servidores ESXi para maximizar el impacto. Sus operaciones han evolucionado significativamente, convirtiéndolo en uno de los grupos de ransomware más destructivos de los últimos años.

Stardust Chollima, también conocido por alias como BlueNoroff y APT38, es un actor de ciberamenazas patrocinado por el estado y vinculado a Corea del Norte. Surgido como un grupo sofisticado, sus métodos principales incluyen robos financieros a gran escala, campañas de malware en macOS y phishing. Se sospecha que desempeñan un papel crucial en el financiamiento del régimen mediante operaciones cibernéticas avanzadas dirigidas a los sectores financiero y de criptomonedas.

Static Kitten, también conocido como MuddyWater, Seedworm, TEMP.Zagros y Mercury, es un sofisticado grupo de ciberespionaje patrocinado por el estado iraní que opera desde al menos 2017. Fuertemente vinculado al Ministerio de Inteligencia y Seguridad (MOIS) de Irán, este grupo emplea una variedad de tácticas y técnicas avanzadas, incluidas campañas de spear-phishing, puertas traseras basadas en PowerShell y spyware de Android, para atacar a gobiernos, instituciones académicas, telecomunicaciones y ONG principalmente en Medio Oriente y Asia Central.

Storm-0940 es un actor de amenazas alineado con el Estado chino, rastreado por Microsoft y activo desde 2021. Se dirige a organizaciones de muchas industrias para el robo de datos, mediante ataque de pulverización de contraseñas, explotación de aplicaciones expuestas a internet y abuso de aplicaciones OAuth en Microsoft 365 y Entra ID. Microsoft atribuye al grupo el ataque a la cadena de suministro de ConnectWise Cloud Backup de octubre de 2026.

TA505 es un prolífico grupo de cibercrimen de habla rusa, observado por primera vez en 2014, conocido por sus operaciones a escala industrial en phishing, distribución de malware e intermediación de accesos para afiliados de ransomware. Con un amplio arsenal de herramientas personalizadas, como el ransomware Locky y el troyano bancario Dridex, TA505 ha atacado a innumerables organizaciones en todo el mundo en los sectores financiero, de salud y gubernamental.

Traveling Spider es un sofisticado actor de amenazas de eCrime especializado en el desarrollo y la operación de ransomware. Surgido en el panorama del cibercrimen bajo diversos alias, este grupo es conocido por su participación en la creación y distribución de múltiples variantes de ransomware. Operando principalmente desde la Federación Rusa, Traveling Spider utiliza programas de afiliados y técnicas avanzadas de extorsión para atacar organizaciones a nivel mundial.

TUNNEL SPIDER es un grupo cibercriminal avanzado, motivado financieramente, conocido por sus tácticas de "big game hunting". Este grupo ataca a organizaciones grandes y lucrativas para desplegar ransomware a cambio de pagos de alto valor. Son los actores principales asociados con el ransomware Cactus y se les ha observado como afiliados de varias otras operaciones importantes de Ransomware-as-a-Service (RaaS), lo que los convierte en una amenaza significativa y versátil.

Turbine Panda, también conocido como APT26, es un actor de amenazas patrocinado por el Estado chino, afiliado a la Oficina de Jiangsu del Ministerio de Seguridad del Estado (JSSD). Observado por primera vez alrededor de 2010, este sofisticado grupo emplea notablemente tácticas como el espionaje y el compromiso de cadenas de suministro. Su enfoque principal incluye el robo de propiedad intelectual y el espionaje económico dirigido a los sectores aeroespacial, de defensa y energético.

Vanguard Panda, también conocido como Volt Typhoon, Bronze Silhouette, DEV-0391 y varios otros alias, es un grupo de Advanced Persistent Threat (APT) patrocinado por el estado chino. Activo desde al menos mediados de 2021, este grupo se especializa en ciberespionaje y reconocimiento de infraestructura crítica. Al aprovechar estrategias sigilosas de "living-off-the-land" y explotar vulnerabilidades conocidas, Vanguard Panda representa un riesgo de ciberseguridad global significativo.

Activo desde al menos octubre de 2021, Vault Panda es un grupo de amenaza persistente avanzada (APT) vinculado a China, conocido por el ciberespionaje. Este grupo no tiene favoritos y apunta a una amplia gama de sectores, incluidos servicios financieros, defensa y gobierno, para recopilar inteligencia. Usan un arsenal compartido de malware común entre los actores de amenazas chinos para lograr su cometido.

Venomous Bear, también conocido como Turla, Snake, Uroboros y otros alias, es un sofisticado grupo de ciberespionaje atribuido al Servicio Federal de Seguridad de Rusia (FSB). Activo desde al menos 2004, este grupo de amenaza persistente avanzada (APT) se especializa en recopilar inteligencia mediante malware de última generación, campañas sigilosas y métodos estratégicos de selección de objetivos.

Vertigo Panda es un grupo de amenaza persistente avanzada (APT) vinculado a China que surgió alrededor de mediados de 2020. Aunque es un equipo separado, opera cerca del notorio Mustang Panda. Estos actores se dedican al espionaje, atacando principalmente a organizaciones gubernamentales, de defensa e incluso religiosas en Europa y otras partes del mundo.

Vice Society, también conocido como DEV-0832 o Vanilla Tempest, es un notorio grupo de ransomware y extorsión identificado por primera vez a mediados de 2021. Este actor con motivación financiera se ha hecho infame por atacar instituciones educativas, proveedores de salud, entidades de manufactura y sectores gubernamentales. Aprovechando un modelo de doble extorsión (cifrar los datos de la víctima mientras amenaza simultáneamente con filtrar información sensible), Vice Society ha demostrado una estructura operativa centralizada en lugar de depender de un modelo basado en afiliados, como se ve en otros grupos de ransomware. A continuación, presentamos un perfil detallado que describe las tácticas, técnicas, objetivos e indicadores de compromiso observados de Vice Society.

Vice Spider es un grupo de ransomware de habla rusa activo desde al menos abril de 2021. Conocido por aprovechar ataques basados en identidad y explotar vulnerabilidades, usan principalmente las variantes de ransomware Zeppelin y Hello Kitty. Sus operaciones suelen incluir tácticas de doble extorsión, dirigidas a sectores con recursos de ciberseguridad limitados.

Viking Spider es un grupo cibercriminal conocido por desarrollar e implementar el ransomware Ragnar Locker. Surgido a finales de 2019, el grupo emplea tácticas de big game hunting (BGH) para atacar a organizaciones de alto valor. Están vinculados a la red más amplia de "Ransom Cartel", una red de operadores de ransomware.

Vixen Panda, también conocido como APT15 y Ke3chang, es un grupo de amenaza persistente avanzada (APT) afiliado a China, activo desde al menos 2010. Conocido por su enfoque en el ciberespionaje, este grupo apunta a entidades de gobierno, militares y diplomáticas, particularmente aquellas involucradas en temas geopolíticos. Sus métodos principales incluyen campañas de spearphishing, puertas traseras personalizadas y la explotación de aplicaciones de cara al público.

Voodoo Bear, también conocido por alias como Sandworm, Telebots y BlackEnergy, es un actor de amenazas ruso altamente avanzado y patrocinado por el estado. Se sabe que está afiliado a la Unidad 74455 del GRU, y Voodoo Bear se especializa en espionaje cibernético, sabotaje y operaciones de influencia. Activo desde al menos 2008, el grupo se enfoca principalmente en infraestructura crítica, agencias gubernamentales y empresas globales, usando malware destructivo y técnicas sofisticadas.

Wandering Spider, activo desde al menos abril de 2020, es un conocido adversario de big game hunting (BGH). Conocido por el uso de una variedad de familias de ransomware, este grupo ha sido vinculado a ataques sofisticados dirigidos a organizaciones de todos los tamaños. Entre sus herramientas destacadas se encuentran Black Basta, DoppelPaymer y REvil, entre otras.

Wicked Panda es un grupo de actor de amenazas con sede en China, patrocinado por el estado, identificado como uno de los colectivos de intrusión más prolíficos del mundo. Activo desde mediados de la década de 2000, es reconocido por sus extensas operaciones de ciberespionaje, robo de propiedad intelectual y actividades de vigilancia. Aprovechando tácticas, técnicas y compromisos de la cadena de suministro sofisticados, ha atacado industrias y gobiernos a nivel global, alineando sus objetivos con los intereses del estado chino.

Wicked Spider, un actor de amenazas motivado financieramente y un componente del grupo chino Wicked Panda, surgió como un adversario cibernético clave. Conocido por su doble capacidad de generar ganancias criminales y realizar espionaje patrocinado por el estado, Wicked Spider aprovecha técnicas avanzadas como spear-phishing, ataques a la cadena de suministro y robo de certificados para atacar industrias a nivel global, con un fuerte enfoque en videojuegos y tecnología.

Wizard Spider es un prolífico grupo de cibercrimen vinculado a Rusia, activo desde al menos 2016. Conocido por su conexión con TrickBot y las operaciones de ransomware Conti, el grupo se especializa en ciberataques con motivación financiera, aprovechando malware avanzado, campañas de phishing y tácticas de ransomware de doble extorsión. Sus operaciones afectan a sectores críticos en todo el mundo, lo que refleja su estructura similar a la de un cartel y sus métodos sofisticados.