Que es
LYCEUM es un actor APT (Advanced Persistent Threat) asociado al grupo regional Unknown / Unmapped Actors, con alias como HEXANE, Siamesekitten, DanBot, DanDrop, Invoke-Obfuscation, PowerShell, PoshC2, y referencias a regiones como el Middle East, Kuwait, South Africa, y posiblemente al Irán. Este grupo se ha vinculado con actividades de ciberataque, aunque su origen exacto sigue siendo desconocido. Los alias sugieren una operación a escala regional, con posibles conexiones a actores en Oriente Medio o África.
| Tipo | Valor | Contexto |
| Domain | www.secureworks.com | Indicador de compromiso verificado por OSINT |
Contexto
El grupo LYCEUM actúa como un actor regional no mapeado, con actividad vinculada a regiones geográficas como el Middle East, Kuwait, y South Africa. Los alias asociados (DanBot, DanDrop) sugieren un enfoque de ataque basado en técnicas de obfuscación, como la utilización de PowerShell y PoshC2. La presencia en dominios como www.secureworks.com refleja una posible conexión con actores o entidades de defensa informática, aunque no se ha confirmado un papel directo en ataques específicos.
Análisis
El análisis de LYCEUM revela que este grupo opera como un actor no identificado, con actividades centradas en la ciberseguridad regional. La utilización de técnicas como Invoke-Obfuscation y herramientas basadas en PowerShell sugiere una operación a largo plazo, con un enfoque en la evasión de detección. Aunque no se han reportado ataques específicos atribuidos al grupo, su asociación con alias como Siamesekitten o DanBot indica una posible conexión con actores en el Middle East o África. La presencia de un indicador de compromiso verificado (www.secureworks.com) sugiere que este dominio podría ser utilizado para actividades maliciosas, aunque su uso no esté directamente vinculado a ataques específicos.
Conclusion
El grupo LYCEUM representa un riesgo regional asociado con actores no mapeados y técnicas de ataque avanzadas. Su vinculación con dominios como www.secureworks.com y alias como DanBot sugiere una operación a escala geográfica, con posibles conexiones a actores en Oriente Medio o África. Aunque no se han reportado ataques específicos atribuidos al grupo, su actividad requiere monitoreo continuo, especialmente en regiones con intereses cibernéticos críticos.