APT1
La unidad del Ejército Popular de Liberación que Mandiant expuso en 2013 por robar propiedad intelectual a cientos de empresas de habla inglesa.
Quién es
APT1 es un grupo de espionaje chino atribuido a la Unidad 61398 del Ejército Popular de Liberación, del Tercer Departamento del Estado Mayor General. También lo llaman Comment Crew, Comment Group y Comment Panda. Mandiant lo expuso en 2013 con un informe que puso nombre y edificio a la unidad, y en 2014 el Departamento de Justicia de Estados Unidos acusó a cinco de sus oficiales.
Cómo entra
Por correo dirigido: adjuntos y ligas maliciosas enviados a personas concretas de la organización, con mensajes que imitan a contactos o temas de su trabajo.
Qué hace una vez dentro
Instala puertas traseras propias como BISCUIT, CALENDAR, GLOOXMAIL y WEBC2, que esconden su tráfico en servicios comunes. Roba credenciales con Mimikatz, pwdump y gsecdump, se mueve con PsExec y pasa el hash, y recolecta correo y documentos de forma sostenida durante meses o años.
A quién ataca
Empresas de muchos sectores en países de habla inglesa, con foco en propiedad intelectual, planes de negocio y datos técnicos. Mandiant documentó intrusiones en más de 140 organizaciones.
Técnicas de MITRE ATT&CK
Desarrollo de recursos 5
Ejecución 1
- T1059.003Windows Command Shell
Sigilo 1
- T1036.005Match Legitimate Resource Name or Location
Acceso a credenciales 1
- T1003.001LSASS Memory
Descubrimiento 6
Recolección 5
Fuente: MITRE ATT&CK v20, grupo G0006.
Arsenal
En verde, las que ya tienen ficha en nuestro catálogo de armamento; las demás llevan a MITRE.
Villanos relacionados
Fuentes
