ZDU · Perfil de adversario · Extorsión silenciosa
GOLDVEIN
La figura del universo ZDU para Cl0p y FIN11: el grupo que dejó de cifrar archivos cuando entendió que basta con llevárselos.
Cl0p · FIN11Graceful SpiderImplante sin archivosOracle E-Business Suite
12
Víctimas MX publicadas
2
CVE explotados
8
Técnicas ATT&CK
3
Capítulos ZDU
01
Ficha del adversario
Actor real detrás
Cl0p, operado por FIN11, también rastreado como Graceful Spider.
Modelo de extorsión
Roba y amenaza con publicar. Dejó de cifrar porque el cifrado despierta a todo el mundo y el robo silencioso no.
Familias de malware
GOLDVEIN.JAVA, SAGEGIFT, SAGELEAF y SAGEWAVE.
Vulnerabilidades que explotó
CVE-2025-61882 y CVE-2025-61884 en Oracle E-Business Suite, el sistema donde viven las órdenes de compra y la nómina.
02
Cómo opera
T1190Explotación de aplicación expuesta a internet
T1078Uso de cuentas válidas, sin malware que delate la entrada
T1059.007Ejecución de código mediante JavaScript
T1083Reconocimiento de archivos y directorios dentro del ERP
T1560Empaquetado de la información antes de sacarla
T1041Exfiltración por el mismo canal de mando
T1586.002Cuentas de correo comprometidas para la negociación
T1657Robo financiero como objetivo declarado
Ninguna de estas ocho técnicas hace ruido en un antivirus. Por eso la detección de GOLDVEIN no es un asunto de firmas: es de telemetría sobre lo que sale de la red, que es justo lo que casi nadie mira.
03
Presencia en México
Doce empresas mexicanas publicadas en su portal de filtraciones: una en 2022, una en 2023 y diez en 2025. El salto de 2025 no es casualidad, es el año de la campaña contra transferencia de archivos y ERP. Los conteos salen del rastreo propio de Blacktrace y se publican por sector, nunca por nombre de empresa.
04
Dónde aparece en el universo ZDU
El perfil que lee un CISO no es el del reporte de fabricante: es a quién tiene enfrente, con qué opera y a quién ya golpeó en su sector. Eso es lo que hace Blacktrace todos los días.
Hablar con el equipo QMA