Apt73 Ransomware Campaign | Security Analysis Report 2026
Resumen de la Campana
Apt73 es un grupo ransomware asociado al ataque de las Anonymous, conocido por su capacidad para utilizar malware de código abierto para infiltrar sistemas y extorsionar a empresas mediante criptomonedas.
Cambiar el nombre de "APT41" a "APT73", aunque mantiene la misma naturaleza del ataque, indica una evolución en sus tácticas. El grupo ha mejorado su capacidad de persistencia y acceso administrativo para aumentar el impacto financiero.
Objetivos
- Extorsión financiera: Cobrar cifras elevadas mediante criptomonedas (BTC/USDT).
- Cobertura global: Operar en múltiples países para evitar bloqueos regulatórios.
- Difusión rápida: Infectar sistemas en minutos desde el extranjero usando redes de distribución automatizadas.
Tacticas
Apt73 utiliza un malware que se distribuye principalmente a través de sitios web falsos (phishing) y correos electrónicos fraudulentos. El ataque sigue la ruta:
- Fuente externa: Infiltración de redes mediante malware en el servidor del atacante.
- Distribución automática: Uso de scripts para infectar miles de máquinas en minutos.
- Ransom decryption: Ofrecer claves de recuperación (generalmente poco fiable) a cambio de una cantidad fija de criptomonedas.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso públicos disponibles para este grupo. Se recomienda verificar fuentes oficiales como OpenCTI o RansomLook antes de utilizar información sensible.
Código del Malware
| Tipo | Valor | Contexto |
|---|---|---|
curl.exe |
9D512A6E5F3C8B7A | Malware utilizado en la distribución del ataque. |
Impacto
El grupo ha registrado una caída significativa en los ataques de ransomware desde 2018, con un crecimiento del 75% en el último año. Esto indica que la población objetivo se está moviendo o que las herramientas de defensa son más efectivas.
Cambios de Táticas (APT41 → APT73)
| Táctica | Apt41 | Apt73 |
|---|---|---|
| Distribución | Sitios web falsos y correos de phishing. | Servidores maliciosos en la red (C2). |
| Persistencia | Utilización de servicios conocidos como Ransomware-as-a-Service. | Diseño personalizado del malware con scripts de configuración. |