ZDU · Perfil de adversario · Crimen organizado
DARKWEB SYNDICATE
El adversario de fondo del universo. Nunca aparece en cuadro porque no es una persona: es la estructura que le vende accesos, herramientas e infraestructura a todos los demás.
Estructura criminalMercado y corredoresInfraestructura como servicioAntagonista de temporada
8
Técnicas ATT&CK
1
Capítulo ZDU
ZDU-015
Primera detección
Red
Modelo
01
Ficha del adversario
Qué es
No es un grupo: es una estructura. Mercado, corredor de accesos, coordinador de campañas y proveedor de infraestructura, todo en la misma red de relaciones.
Cómo se manifiesta
Como patrón. Técnicas compartidas entre campañas que nadie relaciona, infraestructura reutilizada y coordinación en los tiempos.
Quiénes son sus células
Grupos de ransomware, APT contratados, corredores de acceso inicial y redes de bots. LockBit, APT40 y El Corredor entran ahí como afiliados o como clientes.
Primera detección en ZDU
Blacktrace, en el capítulo de Hikvision, al encontrar la misma infraestructura detrás de campañas sin relación aparente.
02
Cómo opera
T1583Adquisición de infraestructura
T1584Compromiso de infraestructura de terceros
T1585Creación de cuentas y personas falsas
T1586Compromiso de cuentas existentes
T1587Desarrollo de capacidades propias
T1588Obtención de capacidades de terceros
T1589Recolección de información sobre la identidad del objetivo
T1590Recolección de información sobre la red del objetivo
Las ocho técnicas son de preparación, no de ataque. Ocurren antes de que exista un incidente que reportar, y esa es la razón por la que esta capa casi nunca aparece en los informes: cuando el SOC ve el primer indicador, este trabajo ya lleva meses hecho.
03
Dónde aparece en el universo ZDU
Es el antagonista de largo aliento del universo. Una temporada completa equivale a desmantelar una célula, y la estructura sigue de pie. Por eso no se le vence en un capítulo.
El perfil que lee un CISO no es el del reporte de fabricante: es a quién tiene enfrente, con qué opera y a quién ya golpeó en su sector. Eso es lo que hace Blacktrace todos los días.
Hablar con el equipo QMA