Los grupos de atacantes más activos de este mes
Grupos de MITRE ATT&CK ordenados por los indicadores que Q-Feeds les atribuyó por primera vez en los últimos 30 días. Solo cuenta la atribución directa. Cifras hasta el , actualizadas cada mes.
- 25Grupos en el ranking
- 6.860Nuevos indicadores del grupo más activo, 30 días
- 18Grupos cuyos indicadores citan una CVE del catálogo KEV de la CISA
Conclusiones principales
En los 30 días hasta el , Kimsuky fue el grupo al que Q-Feeds atribuyó más indicadores nuevos: 6.860.
Una cifra alta indica que un grupo tiene mucha actividad en la infraestructura que ve Q-Feeds: dominios, direcciones IP, URL y hashes de archivos nuevos que las pruebas vinculan con él. No dice lo peligroso que es un grupo. Un grupo que usa poca infraestructura puede quedar abajo y seguir muy activo.
La columna de CVE recoge las vulnerabilidades citadas en indicadores atribuidos a cada grupo. Eso vincula la infraestructura del grupo con esas CVE, pero no demuestra que el grupo las haya explotado. Las CVE del catálogo de vulnerabilidades explotadas de la CISA llevan la marca KEV.
Grupos de atacantes por nuevos indicadores
| Puesto | Grupo | Nuevos indicadores, 30 días | 90 días | Tendencia semanal, 13 semanas | Malware vinculado | CVE citadas |
|---|---|---|---|---|---|---|
| 1 | Kimsuky | 6.860 | 7.112 | AsyncRAT, XLoader, PureCrypter, AppleSeed, KONNI |
| |
| 2 | Akira | 340 | 358 | Akira, Agendacrypt, Cobalt Strike, SocGholish, Etherrat |
| |
| 3 | The Gentlemen | 121 | 142 | Gentlemen, Hastalamuerte, SystemBC, The Gentlemen Ransomware, Cobalt Strike |
| |
| 4 | APT29 | 67 | 75 | CozyCar, CloudDuke, Mispadu, Rogue, Graphdrop |
| |
| 5 | Lazarus Group | 47 | 156 | BeaverTail, InvisibleFerret, Fudmodule, AppleJeus, Comebacker |
| |
| 6 | APT28 | 42 | 79 | Grunt, Beardshell, Slimagent, Gonepostal, JHUHUGIT |
| |
| 7 | Sandworm Team | 40 | 66 | Matchboil, Matchwok, Mythicratatoskr, QuasarRAT, Bluemoon |
| |
| 8 | menuPass | 36 | 93 | ChChes, PlugX, RedLeaves, Php2shell, Amadey |
| |
| 9 | Leviathan | 27 | 27 | Stealc, BADFLICK, BLACKCOFFEE, China Chopper, Cobalt Strike | 0 | |
| 10 | APT38 | 26 | 27 | Sugarloader, Rustbucket, Snatchcrypto, Clickfix, Wannacryptor |
| |
| 11 | TeamPCP | 25 | 47 | Shai-Hulud, CanisterWorm, Systemd, Litellm, Telnyx |
| |
| 12 | MuddyWater | 25 | 32 | Handala, Tsundere Botnet, Mango, Phoenix, Bugsleep |
| |
| 13 | BITTER | 21 | 23 | Dracarys, Wmrat, Miyarat, ZxxZ, Orpcbackdoor |
| |
| 14 | ShinyHunters | 20 | 53 | Scout, Blackfile, Agendacrypt, Gentlemen, MEDUSA |
| |
| 15 | Transparent Tribe | 15 | 48 | TRUSTTRAP, Findpos, Crimson, Crimson rat, Elizarat |
| |
| 16 | Sidewinder | 5 | 18 | WhisperGate, Valleyrat, Donut_injector, Donutloader, Revive |
| |
| 17 | APT-C-36 | 4 | 23 | Remcos, PureCrypter, AsyncRAT, njRAT, DCRAT | 0 | |
| 18 | SideCopy | 4 | 13 | Reverserat, Xenorat, Xenofiscal, Sidecopy apt, Crimson |
| |
| 19 | Patchwork | 3 | 14 | Spyder, Donot, Donut_injector, Modelorat, QuasarRAT | 0 | |
| 20 | Star Blizzard | 2 | 29 | Coldcopy, Norobot, Redflick, Lostkeys, Proton | 0 | |
| 21 | Contagious Interview | 2 | 19 | BeaverTail, InvisibleFerret, Ottercookie, Etherrat, Golangghost | 0 | |
| 22 | Mustang Panda | 1 | 60 | PlugX, PUBLOAD, TONESHELL, Mistcloak, Adaptixc2 |
| |
| 23 | Dark Caracal | 1 | 46 | Bandook, Gocaracal, Clickfix, Kazuar, Phishingit | 0 | |
| 24 | Salt Typhoon | 0 | 133 | Ghostemperor, Silkparasite, Sparrowdoor, Dacls, Snappybee |
| |
| 25 | CURIUM | 0 | 87 | LIGHTRAIL, Mirage, Mirage kitten, IMAPLoader | 0 |
Un indicador cuenta en el periodo en que Q-Feeds lo vio por primera vez. El ID del grupo enlaza con su página de MITRE ATT&CK. El malware vinculado es el software que MITRE ATT&CK o los datos de Q-Feeds relacionan con el grupo. Los grupos con muy pocos indicadores nuevos en 90 días quedan fuera.
Los nombres, alias e ID de los grupos proceden de MITRE ATT&CK®. © The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.
Cómo lo medimos
- Fuente. La base de datos de threat intelligence de Q-Feeds, que agrega, enriquece y puntúa indicadores de más de 2.500 fuentes.
- Solo atribución directa. Un indicador cuenta para un grupo cuando las pruebas que lo acompañan nombran a ese grupo o a uno de sus alias. Q-Feeds también deduce indicios a partir de técnicas de MITRE ATT&CK que se solapan. Esos indicios quedan fuera de este ranking, para que una suposición nunca sume al total de un grupo.
- Periodos. Un indicador cuenta en el periodo en que Q-Feeds lo vio por primera vez: los últimos 30 días y los últimos 90 días, hasta la fecha de la instantánea.
- CVE. Una CVE aparece cuando se cita en un indicador atribuido al grupo. Los falsos positivos quedan excluidos. La marca KEV procede del catálogo de vulnerabilidades explotadas de la CISA.
- Actualizaciones. En los primeros días de cada mes se calcula una nueva instantánea, que se publica aquí automáticamente.
¿Necesita los indicadores?
Esta página cuenta indicadores por grupo y nunca los muestra. Los indicadores, su atribución y los perfiles completos de los actores están en el portal de Q-Feeds, en Threat Lookup y en los threat feeds.
Plataforma de threat intelligence
Cómo vincula Q-Feeds los indicadores con grupos de atacantes, malware y CVE, y qué muestra el portal de cada grupo.
Threat Lookup
Compruebe un dominio, una dirección IP, una URL o un hash y vea qué actores y qué malware están vinculados.
Estadísticas de amenazas
Los otros rankings mensuales: los TLD más abusados y las redes con más direcciones IP maliciosas.
Preguntas frecuentes sobre este ranking
¿Qué es un grupo de atacantes?
Una persona o un grupo detrás de una actividad maliciosa, lo que en inglés se llama threat actor. Esta página usa los grupos que sigue MITRE ATT&CK, una base de conocimiento pública que asigna a cada grupo un ID como G0032 y recoge sus alias, técnicas y software conocidos.
¿Cómo atribuye Q-Feeds un indicador a un grupo?
Mediante las pruebas que acompañan al indicador: una etiqueta de la fuente, un informe o un enriquecimiento que nombra al grupo o a uno de sus alias. Aquí solo cuentan esos vínculos directos. El portal también muestra indicios basados en técnicas que se solapan, marcados como indicios, pero no forman parte de este ranking.
¿Una CVE en la tabla significa que el grupo la explotó?
No. Significa que la CVE se cita en uno o más indicadores atribuidos al grupo, por ejemplo un dominio o un hash de archivo notificados junto con esa vulnerabilidad. Úselo como pista para priorizar parches, no como prueba de explotación.
¿Por qué falta un grupo conocido?
El ranking cuenta los indicadores que Q-Feeds vio por primera vez en los últimos 30 y 90 días. Un grupo que estuvo inactivo en ese periodo, que reutiliza infraestructura antigua o que se notifica con un nombre que MITRE ATT&CK no recoge queda fuera hasta que aparezcan indicadores nuevos.
¿Con qué frecuencia se actualiza esta página?
Cada mes. En los primeros días del mes se calcula una nueva instantánea, y esta página se actualiza automáticamente.
¿Puedo usar estos datos?
Sí. Las cifras se publican con licencia CC BY 4.0. Puede reutilizarlas libremente, también con fines comerciales, enlazando a esta página como atribución. Los nombres, alias e ID de los grupos proceden de MITRE ATT&CK y se rigen por sus condiciones de uso.
¡Evalúe nuestra inteligencia hoy mismo!
Simplifique sus operaciones de seguridad, inicie su prueba gratuita de Q-Feeds y compruebe la diferencia.
Empezar gratis