{"id":34409,"date":"2025-09-05T03:00:00","date_gmt":"2025-09-05T03:00:00","guid":{"rendered":"https:\/\/globalcyberalliance.org\/?p=34409"},"modified":"2025-09-05T03:03:38","modified_gmt":"2025-09-05T03:03:38","slug":"campanas-de-dark-pink-apt-a-traves-de-la-lente-de-la-telemetria-de-aide","status":"publish","type":"post","link":"https:\/\/globalcyberalliance.org\/es\/campanas-de-dark-pink-apt-a-traves-de-la-lente-de-la-telemetria-de-aide\/","title":{"rendered":"Campa\u00f1as de Dark Pink APT a trav\u00e9s de la lente de la telemetr\u00eda de AIDE"},"content":{"rendered":"\n

En el per\u00edodo previo a <\/em>APNIC60, donde la directora t\u00e9cnica Leslie Daigle pronunciar\u00e1 un discurso de apertura<\/em><\/a>, publicamos una serie de art\u00edculos que abordan amenazas regionales significativas m\u00e1s all\u00e1 de los ataques de origen chino bien documentados. Presentamos cuatro campa\u00f1as distintas vinculadas a Asia basadas en ataques observados directamente en AIDE o confirmados por informes p\u00fablicos coincidentes. Cada caso ofrece una perspectiva diferente del panorama de amenazas, que abarca desde motivaciones geopol\u00edticas hasta disrupciones financieras y espionaje selectivo. Nuestro objetivo es proporcionar contexto, elevar las perspectivas regionales y preparar el escenario para un debate m\u00e1s profundo durante el discurso de apertura. Este es el cuarto y \u00faltimo art\u00edculo de la serie; anteriormente examinamos el grupo con sede en Pakist\u00e1n <\/em>APT36<\/em><\/a> as\u00ed como <\/em>Kimsuky<\/em><\/a> con sede en Corea del Norte y <\/em>RedTail<\/em><\/a>.<\/em><\/p>\n\n

Introducci\u00f3n<\/h2>\n\n

\u201cDark Pink<\/strong>\u201d es la etiqueta utilizada en informes p\u00fablicos desde 2022, descrita por primera vez por Group-IB<\/a>, para describir un grupo de actividad dirigido a organizaciones gubernamentales, de defensa y educativas<\/strong> en la regi\u00f3n de Asia-Pac\u00edfico, particularmente en el Sudeste Asi\u00e1tico<\/strong> (incluidos Camboya, Indonesia, Malasia, Filipinas y Vietnam). Investigadores externos han caracterizado esta actividad como ciberespionaje<\/a>, se\u00f1alando t\u00e1cticas consistentes con campa\u00f1as de acceso estrat\u00e9gico a largo plazo. CrowdStrike<\/a> tambi\u00e9n ha vinculado Dark Pink a un grupo rastreado previamente conocido como Ocean Buffalo, que eval\u00faa como originario de Vietnam e inicialmente centrado en la vigilancia nacional antes de expandirse hacia afuera. Estas evaluaciones se basan en an\u00e1lisis externos en lugar de la confirmaci\u00f3n directa por nuestra investigaci\u00f3n. <\/p>\n\n

AIDE<\/strong><\/a>, la red de honeypots distribuida de GCA con m\u00e1s de 200 sensores en 55 pa\u00edses, proporciona un punto de vista \u00fanico para validar y ampliar estos hallazgos. Analizamos los datos de AIDE recopilados entre abril de 2022 y mayo de 2024<\/strong> e identificamos 129 sesiones<\/strong> que coinciden con los Indicadores de Compromiso (IoC). Estas observaciones confirman el aumento operativo de Dark Pink en Asia-Pac\u00edfico durante 2022, al tiempo que revelan c\u00f3mo la campa\u00f1a aprovech\u00f3 la infraestructura global y extendi\u00f3 su alcance a Europa y Am\u00e9rica del Norte. <\/p>\n\n

Actividad de la campa\u00f1a a lo largo del tiempo<\/h2>\n\n

Los datos de AIDE confirman que Dark Pink estuvo m\u00e1s activo entre agosto y noviembre de 2022, con un pico de 52 ataques a finales de noviembre. En total, se registraron 118 ataques durante este per\u00edodo de cuatro meses. <\/p>\n\n

Esta l\u00ednea de tiempo se correlaciona directamente con Group-IB\u2019s<\/a> <\/strong>informe p\u00fablico (enero de 2023), que describi\u00f3 a Dark Pink como \u201cm\u00e1s activo en la segunda mitad de 2022\u201d y confirm\u00f3 incidentes en septiembre, octubre, noviembre y diciembre. La alineaci\u00f3n entre las detecciones de AIDE y la inteligencia de c\u00f3digo abierto valida la autenticidad de la infraestructura capturada. <\/p>\n\n

Despu\u00e9s de 2022, la actividad disminuy\u00f3 bruscamente, pero persisti\u00f3 a un nivel inferior, con grupos m\u00e1s peque\u00f1os en mayo de 2023 (6 ataques), enero de 2024 (1) y mayo de 2024 (1). Informes externos<\/a> tambi\u00e9n documentaron una marcada disminuci\u00f3n en las operaciones de DarkPink durante 2023, aunque el grupo mantuvo una actividad sostenida limitada.<\/p>\n\n

\"Figura
Figura 1: Cronolog\u00eda de la campa\u00f1a Dark Pink observada en AIDE<\/em><\/figcaption><\/figure>\n\n

Infraestructura y t\u00e1cticas<\/h2>\n\n

Plataformas de nube y alojamiento<\/h3>\n\n

Los datos de AIDE muestran que Dark Pink depende en gran medida de proveedores de nube y alojamiento distribuidos globalmente<\/strong>, con una concentraci\u00f3n de actividad en Europa, Asia-Pac\u00edfico y Am\u00e9rica del Norte. Esto refleja los informes de EclecticIQ<\/a> Research, que tambi\u00e9n document\u00f3 el uso extensivo de la infraestructura en la nube. <\/p>\n\n

\"Figura
Figura 2: Distribuci\u00f3n de ASN por tipo de industria (tipo de industria procedente de PeeringDB)<\/em><\/figcaption><\/figure>\n\n

Informaci\u00f3n sobre el enriquecimiento de ASN<\/h3>\n\n

Utilizando el enriquecimiento de PeeringDB<\/a>, AIDE pudo clasificar la infraestructura de Dark Pink en tres tipos principales de proveedores<\/strong>:<\/p>\n\n