Grupo APTMITRE G0049

OilRig

También conocido como: apt 34, apt34, atk40, cobalt gypsy, crambus, earth simnavaz, europium, evasive serpens, g0049, hazel sandstorm, helix kitten, irn2

Ficha

OilRig, también conocido como APT34, es un actor de amenazas asociado a operaciones de ciberespionaje. Según la información disponible, su actividad se orienta a la obtención de información en entornos de infraestructuras. No se dispone en los datos consolidados de una fecha fiable de primera aparición, ni de un listado confirmado de vectores de acceso inicial, herramientas o vulnerabilidades explotadas. Su rasgo distintivo, con la información actual, es la motivación de espionaje más que la extorsión económica, lo que suele implicar intrusiones discretas y prolongadas en el tiempo. Esta ficha se basa en una única fuente y se actualizará a medida que se consoliden más datos.

Qué vigilar

Al tratarse de un actor orientado al espionaje, priorice la detección de persistencia prolongada y de exfiltración de datos de bajo volumen, más que de incidentes ruidosos como el cifrado de sistemas.
Preste especial atención a los activos de infraestructura y a los sistemas que contienen información sensible o estratégica, ya que es el tipo de objetivo descrito para este actor.
La información pública consolidada sobre herramientas, vulnerabilidades explotadas y vectores de acceso inicial es insuficiente: evite basar medidas específicas en supuestos no verificados y mantenga una higiene de parcheo general.
Revise periódicamente la inteligencia disponible sobre APT34/OilRig, ya que los indicadores concretos pueden variar entre campañas.

Víctimas en los últimos 90 días0

Países más afectados

Sin datos todavía.

Sectores más afectados

Sin datos todavía.

Mitigaciones prioritarias

Mitigaciones de MITRE ATT&CK que cubren más técnicas de las que usa este grupo.

Gestión de cuentas de usuario (16 técnicas cubiertas)
Formación de usuarios (13 técnicas cubiertas)
Gestión de cuentas privilegiadas (11 técnicas cubiertas)
Prevención de intrusiones en red (11 técnicas cubiertas)
Prevención de ejecución (11 técnicas cubiertas)
Políticas de contraseñas (10 técnicas cubiertas)
Desactivar o eliminar funciones o programas (10 técnicas cubiertas)
Auditoría (10 técnicas cubiertas)

Técnicas MITRE ATT&CK

T1588.003 · Code Signing Certificates T1555.004 · Windows Credential Manager T1082 · System Information Discovery T1003.001 · LSASS Memory T1008 · Fallback Channels T1071.001 · Web Protocols T1005 · Data from Local System T1686.003 · Windows Host Firewall T1059.003 · Windows Command Shell T1021.001 · Remote Desktop Protocol T1505.003 · Web Shell T1587.001 · Malware T1608.001 · Upload Malware T1036 · Masquerading T1219 · Remote Access Tools T1218.001 · Compiled HTML File T1046 · Network Service Discovery T1087.001 · Local Account T1137.004 · Outlook Home Page T1069.002 · Domain Groups T1113 · Screen Capture T1025 · Data from Removable Media T1007 · System Service Discovery T1556.002 · Password Filter DLL T1059.001 · PowerShell T1070.004 · File Deletion T1588.002 · Tool T1204.002 · Malicious File T1133 · External Remote Services T1078.002 · Domain Accounts T1201 · Password Policy Discovery T1586.002 · Email Accounts T1087.002 · Domain Account T1003.004 · LSA Secrets T1140 · Deobfuscate/Decode Files or Information T1553.002 · Code Signing T1048.003 · Exfiltration Over Unencrypted Non-C2 Protocol T1110 · Brute Force T1059.005 · Visual Basic T1566.002 · Spearphishing Link T1112 · Modify Registry T1120 · Peripheral Device Discovery T1071.004 · DNS T1105 · Ingress Tool Transfer T1049 · System Network Connections Discovery T1543.003 · Windows Service T1195 · Supply Chain Compromise T1204.001 · Malicious Link T1078 · Valid Accounts T1573.002 · Asymmetric Cryptography T1566.001 · Spearphishing Attachment T1053.005 · Scheduled Task T1119 · Automated Collection T1583.001 · Domains T1056.001 · Keylogging T1036.005 · Match Legitimate Resource Name or Location T1033 · System Owner/User Discovery T1566.003 · Spearphishing via Service T1572 · Protocol Tunneling T1047 · Windows Management Instrumentation

Víctimas recientes

Sin datos todavía.

Fuentes analizadas

APT34 (OilRig): Espionage on Your Infrastructure (KELA Cyber, 22/7/2026)

Las reivindicaciones las publican los propios grupos criminales y no están verificadas hasta que la organización o la prensa las confirman. Los nombres de personas físicas (autónomos, profesionales individuales) se anonimizan conforme al RGPD. Nunca enlazamos a sitios de filtración ni a datos robados. Para solicitar la retirada o anonimización de una entrada, contacte con el administrador del sitio.

Fuentes: RansomLook (CC BY 4.0), MITRE ATT&CK®, MISP Galaxy, Google News.