Grupo APTMITRE G0034

Sandworm Team

También conocido como: apt44, blackenergy (group), blue echidna, electrum, frozenbarents, g0034, iridium, iron viking, quedagh, sandworm, sandworm relic, seashell blizzard

Ficha

Sandworm Team es un grupo de amenazas conocido por operaciones destructivas contra infraestructuras críticas, especialmente del sector energético. Su actividad documentada se remonta al menos a diciembre de 2015, cuando un ataque contra la red eléctrica de Ucrania provocó un apagón que afectó a unas 230.000 personas. Según ESET, a finales de 2025 el grupo estuvo detrás de un ciberataque contra la red eléctrica de Polonia en el que empleó DynoWiper, un programa malicioso diseñado para borrar datos. Lo distintivo del grupo es el uso de malware de borrado (wipers) con fines de sabotaje más que de lucro, así como una aparente carga simbólica en el calendario: el ataque a Polonia coincidió con el décimo aniversario del incidente ucraniano. Entre las herramientas asociadas al grupo figuran también BlackEnergy, vinculada a sus campañas contra el sector eléctrico.

Activo desde: 2015

Herramientas

DynoWiper (wiper), BlackEnergy

Qué vigilar

Prestar atención a los entornos de tecnología operativa (OT/ICS) del sector energético: son el objetivo recurrente documentado de este grupo en Ucrania y Polonia.
Preparar la detección y respuesta ante malware de borrado (wipers) como DynoWiper: copias de seguridad desconectadas y verificadas, y procedimientos de restauración probados, ya que el objetivo es la destrucción de datos y no la extorsión.
Revisar indicadores históricos asociados a BlackEnergy en redes eléctricas y segmentar los entornos industriales respecto de la red corporativa para limitar la propagación.
Reforzar la vigilancia y la capacidad de respuesta en fechas señaladas o aniversarios de incidentes previos, dado que la campaña contra Polonia coincidió con el décimo aniversario del ataque a Ucrania de 2015.
Las fuentes disponibles no detallan el vector de acceso inicial empleado; conviene mantener controles básicos amplios (acceso remoto, credenciales y proveedores) mientras no haya información más concreta.

Víctimas en los últimos 90 días0

Países más afectados

Sin datos todavía.

Sectores más afectados

Sin datos todavía.

Mitigaciones prioritarias

Mitigaciones de MITRE ATT&CK que cubren más técnicas de las que usa este grupo.

Gestión de cuentas de usuario (17 técnicas cubiertas)
Formación de usuarios (15 técnicas cubiertas)
Prevención de intrusiones en red (11 técnicas cubiertas)
Gestión de cuentas privilegiadas (10 técnicas cubiertas)
Prevención de ejecución (9 técnicas cubiertas)
Prevención de comportamientos en el endpoint (9 técnicas cubiertas)
Restringir contenido web (8 técnicas cubiertas)
Autenticación multifactor (8 técnicas cubiertas)

Técnicas MITRE ATT&CK

T1608.001 · Upload Malware T1588.006 · Vulnerabilities T1040 · Network Sniffing T1027.010 · Command Obfuscation T1595.002 · Vulnerability Scanning T1585.001 · Social Media Accounts T1586.001 · Social Media Accounts T1132.001 · Standard Encoding T1213.006 · Databases T1539 · Steal Web Session Cookie T1059.001 · PowerShell T1090 · Proxy T1203 · Exploitation for Client Execution T1041 · Exfiltration Over C2 Channel T1053.005 · Scheduled Task T1190 · Exploit Public-Facing Application T1078.002 · Domain Accounts T1003.003 · NTDS T1036 · Masquerading T1598.003 · Spearphishing Link T1133 · External Remote Services T1587.001 · Malware T1072 · Software Deployment Tools T1584.005 · Botnet T1566.002 · Spearphishing Link T1018 · Remote System Discovery T1589.003 · Employee Names T1078 · Valid Accounts T1566.001 · Spearphishing Attachment T1204.002 · Malicious File T1106 · Native API T1588.002 · Tool T1583.004 · Server T1590.001 · Domain Properties T1083 · File and Directory Discovery T1049 · System Network Connections Discovery T1555.003 · Credentials from Web Browsers T1489 · Service Stop T1571 · Non-Standard Port T1070.004 · File Deletion T1047 · Windows Management Instrumentation T1021.002 · SMB/Windows Admin Shares T1204.001 · Malicious Link T1505.003 · Web Shell T1218.011 · Rundll32 T1499 · Endpoint Denial of Service T1195.002 · Compromise Software Supply Chain T1199 · Trusted Relationship T1056.001 · Keylogging T1561.002 · Disk Structure Wipe T1486 · Data Encrypted for Impact T1592.002 · Software T1491.002 · External Defacement T1583 · Acquire Infrastructure T1219 · Remote Access Tools T1584.004 · Server T1003.001 · LSASS Memory T1594 · Search Victim-Owned Websites T1570 · Lateral Tool Transfer T1027 · Obfuscated Files or Information

Víctimas recientes

Sin datos todavía.

Fuentes analizadas

ESET Research: Sandworm behind cyberattack on Poland’s power grid in late 2025 (ESET WeLiveSecurity, 23/1/2026)

Las reivindicaciones las publican los propios grupos criminales y no están verificadas hasta que la organización o la prensa las confirman. Los nombres de personas físicas (autónomos, profesionales individuales) se anonimizan conforme al RGPD. Nunca enlazamos a sitios de filtración ni a datos robados. Para solicitar la retirada o anonimización de una entrada, contacte con el administrador del sitio.

Fuentes: RansomLook (CC BY 4.0), MITRE ATT&CK®, MISP Galaxy, Google News.