Red Apollo (también conocido como APT 10 por Mandiant , MenuPass por Fireeye , Stone Panda por Crowdstrike y POTASSIUM por Microsoft ) [1] [2] es un grupo de ciberespionaje patrocinado por el estado chino que opera desde 2006. En una acusación formal de 2018, el Departamento de Justicia de los Estados Unidos atribuyó el grupo a la Oficina de Seguridad del Estado de Tianjin del Ministerio de Seguridad del Estado . [3]
El equipo fue designado como una amenaza persistente avanzada por Fireeye, que informó que apunta a empresas aeroespaciales, de ingeniería y de telecomunicaciones, así como a cualquier gobierno que considere rival de China .
Fireeye afirmó que podrían estar apuntando a la propiedad intelectual de instituciones educativas como una universidad japonesa y es probable que expandan sus operaciones al sector educativo en las jurisdicciones de naciones aliadas de los Estados Unidos . [4] Fireeye afirmó que habían sido rastreados desde 2009, sin embargo, debido a la naturaleza de baja amenaza que habían planteado, no eran una prioridad. Fireeye ahora describe al grupo como "una amenaza para las organizaciones en todo el mundo". [4]
El grupo ataca directamente a los proveedores de servicios de tecnología de la información gestionados (MSP) mediante RAT . La función general de un MSP es ayudar a gestionar la red informática de una empresa. Los MSP se vieron frecuentemente comprometidos por Poison Ivy, FakeMicrosoft, PlugX, ArtIEF, Graftor y ChChes, mediante el uso de correos electrónicos de phishing selectivo . [5]
La Operación Cloud Hopper fue un ataque y robo de información a gran escala que tuvo lugar en 2017 contra MSP en el Reino Unido (RU), Estados Unidos (EE. UU.), Japón, Canadá, Brasil, Francia, Suiza, Noruega, Finlandia, Suecia, Sudáfrica, India, Tailandia, Corea del Sur y Australia. El grupo utilizó a los MSP como intermediarios para adquirir activos y secretos comerciales de los sectores de ingeniería, fabricación industrial, comercio minorista, energía, productos farmacéuticos, telecomunicaciones y agencias gubernamentales de los clientes de los MSP.
La Operación Cloud Hopper utilizó más de 70 variantes de puertas traseras, malware y troyanos . Estos se distribuyeron a través de correos electrónicos de phishing selectivo. Los ataques programaron tareas o aprovecharon servicios/utilidades para persistir en los sistemas Microsoft Windows incluso si se reiniciaba el sistema informático. Instalaban malware y herramientas de piratería para acceder a los sistemas y robar datos. [5]
Los piratas informáticos accedieron a los registros relacionados con 130.000 miembros de la Marina de los EE. UU. (de un total de 330.000). [6] En virtud de estas acciones, la Marina decidió coordinarse con Hewlett Packard Enterprise Services , a pesar de que se habían dado advertencias antes de la violación. [7] Se exigió que todos los marineros afectados fueran notificados.
Una acusación formal de 2018 mostró evidencia de que CVNX no era el nombre del grupo, sino el alias de uno de los dos piratas informáticos. Ambos usaron cuatro alias cada uno para que pareciera que habían sido más de cinco los piratas informáticos los que habían atacado.
En abril de 2019, APT10 atacó a organizaciones gubernamentales y privadas en Filipinas . [8]
En 2020, Symantec implicó a Red Apollo en una serie de ataques a objetivos en Japón. [9]
En marzo de 2021, atacaron a Bharat Biotech y al Serum Institute of India (SII) , el mayor fabricante de vacunas del mundo, para exfiltrar su propiedad intelectual . [10]