APT41

Resumen

APT41 es un grupo que, según Mandiant, realiza espionaje patrocinado por el Estado chino y, en paralelo, operaciones con motivación financiera para beneficio personal de sus integrantes. Esta doble naturaleza es poco común entre los actores estatales chinos: el mismo arsenal no público que se usa en campañas de espionaje aparece en intrusiones contra la industria de videojuegos, donde el grupo ha manipulado monedas virtuales, robado código fuente y certificados de firma de código, e intentado desplegar ransomware.

MITRE ATT&CK lo sitúa activo desde al menos 2012, con objetivos en salud, telecomunicaciones, tecnología, finanzas, educación, comercio y videojuegos. Su espionaje se ha alineado con los planes quinquenales de desarrollo de China, y Mandiant documenta además vigilancia de personas (registros de llamadas en operadores de telecomunicaciones, sistemas de reservas hoteleras). El grupo se solapa parcialmente con lo que otros proveedores denominan BARIUM y Winnti.

En septiembre de 2020 el Departamento de Justicia de EE. UU. anunció cargos contra cinco ciudadanos chinos asociados a APT41 por intrusiones en más de 100 organizaciones en el mundo.

Campañas destacadas

• 2019 — Informe “Double Dragon”. Mandiant documenta la operación dual de espionaje y cibercrimen, incluidos compromisos de la cadena de suministro de software (Mandiant).
• 2020 — Campaña global de explotación. Entre enero y marzo, APT41 intentó explotar Citrix ADC/Gateway (CVE-2019-19781), routers Cisco RV320/RV325 y Zoho ManageEngine Desktop Central (CVE-2020-10189) en más de 75 clientes de FireEye en una veintena de países (FireEye/Mandiant).
• 2020 — Acusaciones del DOJ. Cargos por intrusiones contra empresas de software, videojuegos, telecomunicaciones, universidades y gobiernos extranjeros, y por el uso de ransomware y criptominería para monetizar accesos (DOJ).
• 2021–2022 — Gobiernos estatales de EE. UU. Compromiso de al menos seis redes estatales mediante aplicaciones web expuestas, incluido un día cero en USAHerds (CVE-2021-44207) y Log4j (CVE-2021-44228) (Mandiant).
• 2023–2024 — APT41 DUST. Accesos prolongados en logística marítima, medios y entretenimiento, tecnología y automotriz, principalmente en Italia, España, Taiwán, Tailandia, Turquía y Reino Unido, con DUSTPAN, DUSTTRAP y exfiltración a OneDrive (Mandiant / Google TAG).
• 2024 — TOUGHPROGRESS. Spearphishing con enlaces a archivos alojados en un sitio gubernamental comprometido y uso de Google Calendar como canal de mando y control (GTIG).
• 2025 — Sur de África. Espionaje, reportado en julio de 2025, contra servicios de TI gubernamentales con acceso inicial probable por un servidor web expuesto y C2 sobre un SharePoint interno (Kaspersky).

TTPs principales

Acceso inicial. El vector más constante es la explotación de aplicaciones expuestas a Internet (T1190), con adopción rápida de vulnerabilidades recién publicadas. También usa spearphishing con adjuntos (T1566.001) y enlaces, compromisos de la cadena de suministro de software (T1195.002), accesos VPN de terceros (T1133) y credenciales válidas (T1078).

Ejecución y persistencia. PowerShell (T1059.001) y WMI (T1047) para ejecución; web shells como China Chopper (T1505.003), servicios de Windows (T1543.003), tareas programadas (T1053.005) y, en casos puntuales, bootkits como ROCKBOOT (T1542.003).

Evasión. Carga lateral de DLL (T1574.001) y malware firmado con certificados robados (T1553.002), lo que reduce la efectividad de los controles basados en reputación.

Credenciales y movimiento lateral. Volcado de LSASS (T1003.001) y de NTDS (T1003.003), pass-the-hash (T1550.002) y movimiento mediante recursos compartidos SMB (T1021.002).

Recolección, C2 y exfiltración. Extracción de bases de datos (T1213.006), descarga de herramientas con certutil y BITSAdmin (T1105), uso de servicios legítimos como resolutores (T1102.001), proxies y CDN para ocultar el C2 (T1090) y exfiltración a almacenamiento en la nube (T1567.002).

Impacto (vertiente financiera). Cifrado con ransomware (T1486) y minería de criptomonedas en recursos de la víctima (T1496.001).

Detección y mitigación

• Superficie expuesta. Inventariar y parchear con prioridad VPN, ADC, consolas de gestión y aplicaciones web públicas (M1051, M1016). Ante avisos de explotación activa, revisar retroactivamente los registros del WAF, del proxy inverso y del propio equipo desde la fecha de publicación del CVE.
• Web shells. Monitorear la creación de archivos .aspx, .jsp y .php en directorios web y los procesos hijos de w3wp.exe, tomcat o httpd que lancen cmd.exe, powershell.exe o certutil.exe (Sysmon EID 1 y 11, o telemetría EDR).
• LOLBins. Alertar sobre certutil -urlcache, trabajos BITS hacia dominios nuevos y rundll32 con DLL fuera de rutas del sistema. Restringir su uso con políticas de control de aplicaciones (M1038).
• Credenciales. Activar LSA Protection y Credential Guard (M1043), vigilar accesos a lsass.exe (Sysmon EID 10) y la creación de copias de ntds.dit. Aplicar MFA en VPN y accesos remotos de terceros (M1032) y segmentar las cuentas privilegiadas (M1026).
• C2 sobre servicios legítimos. Correlacionar tráfico hacia APIs de Google Calendar, Cloudflare Workers, OneDrive o hosting gratuito desde servidores que normalmente no los usan. Aplicar filtrado de salida en servidores (M1037).
• Cadena de suministro. Validar la integridad y la firma de actualizaciones de software y vigilar binarios firmados con certificados revocados o inusuales.
• Hunting. En sectores de gobierno, telecomunicaciones, salud y videojuegos, buscar actividad de mineros (picos de CPU, conexiones a pools) y ejecución de whoami, net group y netstat desde cuentas de servicio web, indicadores tempranos de una intrusión de este tipo.