EvilGinx
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
EvilGinx es un malware de robo de credenciales asociado al grupo de espionaje Star Blizzard, atribuido al Centro 18 del FSB ruso. La evidencia lo lista entre las familias desplegadas por el actor para realizar operaciones de robo de credenciales y hack-and-leak contra objetivos gubernamentales y de defensa. No se especifica una fecha exacta de inicio, pero forma parte de la infraestructura actual del grupo.
Cómo llega
Entra mediante campañas de spear-phishing sofisticadas, que incluyen suplantación de identidad y construcción de relaciones. Desde 2024, el grupo incorporó señuelos falsos de CAPTCHA y explotó dispositivos iOS usando el kit de exploits DarkSword. También utiliza sitios WordPress comprometidos como infraestructura para distribuir sus herramientas. No se especifica si EvilGinx explota directamente las CVE listadas.
Qué hace una vez dentro
Su función principal es el robo de credenciales en los equipos comprometidos. La evidencia lo lista junto a backdoors como SPICA, YESROBOT, MAYBEROBOT y CosmicPulse dentro de las operaciones del grupo. No se detallan capacidades técnicas adicionales más allá del robo de credenciales.
A quién ataca
Apunta principalmente a funcionarios gubernamentales, personal de defensa, think tanks, organizaciones no gubernamentales y académicos. Las operaciones se concentran en el Reino Unido, Estados Unidos, Ucrania y países de la OTAN. El grupo busca acceder a información sensible mediante el robo de credenciales de estos objetivos específicos.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Reconocimiento | Phishing for Information | T1598 |
| Reconocimiento | Spearphishing Link | T1598.003 |
| Desarrollo de recursos | Acquire Infrastructure | T1583 |
| Desarrollo de recursos | Domains | T1583.001 |
| Desarrollo de recursos | Web Services | T1583.006 |
| Desarrollo de recursos | Compromise Infrastructure | T1584 |
| Desarrollo de recursos | Domains | T1584.001 |
| Desarrollo de recursos | Upload Malware | T1608.001 |
| Desarrollo de recursos | Link Target | T1608.005 |
| Acceso inicial | Phishing | T1566 |
| Acceso inicial | Spearphishing Link | T1566.002 |
| Sigilo | Masquerading | T1036 |
| Sigilo | Match Legitimate Resource Name or Location | T1036.005 |
| Sigilo | Valid Accounts | T1078 |
| Sigilo | Cloud Accounts | T1078.004 |
| Acceso a credenciales | Adversary-in-the-Middle | T1557 |
| Acceso a credenciales | ARP Cache Poisoning | T1557.002 |
| Movimiento lateral | Internal Spearphishing | T1534 |
| Recolección | Input Capture | T1056 |
| Recolección | Web Portal Capture | T1056.003 |
| Recolección | Browser Session Hijacking | T1185 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
