ZDU Intel · Ficha de armamento · Malware

FinSpy

También conocido como FinFisher

MITRE ATT&CK S0182 Malpedia27 técnicas1 grupo

0indicadores nuevos en 7 días

0en 30 días

0servidores de C2 en 30 días

0ligados a México en 30 días

Indicadores nuevos por día · últimos 14 días

Qué es

Es un spyware comercial de vigilancia que, según los reportes, se vende solo a agencias de gobierno para investigaciones criminales. Funciona como un troyano de acceso remoto con capacidades de robo de información y de contraseñas.

Qué hace una vez dentro

Realiza espionaje y robo de información de las víctimas afectadas. Emplea técnicas de ofuscación pesada y múltiples mecanismos anti-análisis, incluyendo el uso de VMProtect para evadir la detección.

A quién ataca

Ataca plataformas Windows y Android, con reportes recientes que señalan objetivos en Estados Unidos y en los sectores de educación y tecnología.

Técnicas de MITRE ATT&CK

Táctica	Técnica	ID
Escalada de privilegios	Exploitation for Privilege Escalation	T1404
Persistencia	Windows Service	T1543.003
Persistencia	Registry Run Keys / Startup Folder	T1547.001
Escalada de privilegios	Bypass User Account Control	T1548.002
Sigilo	Obfuscated Files or Information	T1027
Sigilo	Software Packing	T1027.002
Sigilo	Junk Code Insertion	T1027.016
Sigilo	Match Legitimate Resource Name or Location	T1036.005
Sigilo	Dynamic-link Library Injection	T1055.001
Sigilo	Token Impersonation/Theft	T1134.001
Sigilo	Deobfuscate/Decode Files or Information	T1140
Sigilo	System Checks	T1497.001
Sigilo	Bootkit	T1542.003
Sigilo	DLL	T1574.001
Sigilo	KernelCallbackTable	T1574.013
Debilitamiento de defensas	Clear Windows Event Logs	T1685.005
Recolección	Audio Capture	T1429
Recolección	Location Tracking	T1430
Recolección	Call Log	T1636.002
Recolección	SMS Messages	T1636.004
Descubrimiento	Query Registry	T1012
Descubrimiento	Process Discovery	T1057
Descubrimiento	System Information Discovery	T1082
Descubrimiento	File and Directory Discovery	T1083
Descubrimiento	Security Software Discovery	T1518.001
Recolección	Credential API Hooking	T1056.004
Recolección	Screen Capture	T1113

Fuente: MITRE ATT&CK v20 (S0182).

Grupos que la usan

Dark Caracal

Uso documentado por MITRE ATT&CK, o por Malpedia confirmado con AlienVault OTX. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.

Vulnerabilidades asociadas

CVE	Producto	CVSS	KEV de CISA
CVE-2017-8759	Microsoft .NET Framework	7.8	Sí

Actividad en feeds públicos

Tipo de indicador	Nuevos en 30 días
Servidores de comando y control (IP:puerto)	0
Dominios	0
URLs	0
Hashes de archivos	0

Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.

Fuentes

← Todo el catálogo de armamento

Inteligencia de Amenazas QMA · Ficha generada a partir de fuentes públicas verificadas (MITRE ATT&CK v20, Malpedia, AlienVault OTX, ThreatFox y URLhaus de abuse.ch), redactada con asistencia de IA y revisada por QMA. Los conteos se actualizan a diario; corte: 21-oct-2026. Los indicadores de entrega pueden ser sitios legítimos comprometidos, por eso aquí solo se cuentan. Mira la infraestructura en el mapa de la War Room de ZDU.