Dragonfly
La unidad del FSB ruso que lleva más de una década metiéndose en empresas de energía y en los sistemas que controlan la infraestructura crítica.
Quién es
Dragonfly es un grupo de espionaje atribuido al Centro 16 del Servicio Federal de Seguridad de Rusia (FSB), activo al menos desde 2010. Otros equipos lo llaman Energetic Bear, Berserk Bear, Crouching Yeti, IRON LIBERTY, TEMP.Isotope, DYMALLOY y Ghost Blizzard. En 2022 el Departamento de Justicia de Estados Unidos acusó a oficiales del FSB por su campaña contra el sector energético.
Cómo entra
Por tres caminos: la cadena de suministro, con software legítimo de fabricantes alterado para llevar su malware, el correo dirigido con adjuntos y sitios que la víctima visita y que el grupo infecta antes. También explota aplicaciones expuestas a internet.
Qué hace una vez dentro
Instala sus troyanos Backdoor.Oldrea y Trojan.Karagany, roba credenciales con Mimikatz y se mueve con Impacket, CrackMapExec y PsExec. Busca llegar a las redes que operan los procesos industriales y recolecta información de los sistemas de control.
A quién ataca
Empresas de defensa y aviación, gobiernos, compañías ligadas a sistemas de control industrial y sectores de infraestructura crítica en todo el mundo, en especial energía.
Técnicas de MITRE ATT&CK
Acceso inicial 6
Reconocimiento 4
Desarrollo de recursos 5
Ejecución 7
Persistencia 5
Sigilo 5
Debilitamiento de defensas 3
Acceso a credenciales 6
Descubrimiento 8
Recolección 5
Fuente: MITRE ATT&CK v20, grupo G0035.
Arsenal
En verde, las que ya tienen ficha en nuestro catálogo de armamento; las demás llevan a MITRE.
Villanos relacionados
Fuentes
