MirrorFace

También conocido como: earth kasha

[MirrorFace](https://attack.mitre.org/groups/G1054) is a People's Republic of China (PRC)-aligned cyberespionage actor believed to be a subgroup under the [menuPass](https://attack.mitre.org/groups/G0045) umbrella based on targeting, tools, and infrastructure overlaps. [MirrorFace](https://attack.mitre.org/groups/G1054) has been active since at least 2019, at first exclusively targeting Japanese organizations across the media, defense, diplomatic, financial, manufacturing, and academic sectors. Subsequent [MirrorFace](https://attack.mitre.org/groups/G1054) operations included targets in Central Europe and featured use of [LODEINFO](https://attack.mitre.org/software/S9020), [HiddenFace](https://attack.mitre.org/software/S9023), and [UPPERCUT](https://attack.mitre.org/software/S0275) malware.(Citation: Kaspersky LODEINFO OCT 2022)(Citation: Kaspersky LODEINFO Part II OCT 2022)(Citation: ESET MirrorFace DEC 2022)(Citation: JPCERT MirrorFace JUL 2024)(Citation: Trend Micro Earth Kasha NOV 2024)(Citation: Trend Micro Earth Kasha Updates APR 2025)

Víctimas en los últimos 90 días0

Países más afectados

Sin datos todavía.

Sectores más afectados

Sin datos todavía.

Mitigaciones prioritarias

Mitigaciones de MITRE ATT&CK que cubren más técnicas de las que usa este grupo.

Formación de usuarios (8 técnicas cubiertas)
Auditoría (8 técnicas cubiertas)
Gestión de cuentas privilegiadas (7 técnicas cubiertas)
Prevención de ejecución (7 técnicas cubiertas)
Gestión de cuentas de usuario (6 técnicas cubiertas)
Prevención de comportamientos en el endpoint (6 técnicas cubiertas)
Configuración del sistema operativo (5 técnicas cubiertas)
Prevención de intrusiones en red (5 técnicas cubiertas)

Técnicas MITRE ATT&CK

T1566.002 · Spearphishing Link T1057 · Process Discovery T1686.003 · Windows Host Firewall T1074.002 · Remote Data Staging T1685 · Disable or Modify Tools T1087.002 · Domain Account T1614.001 · System Language Discovery T1591 · Gather Victim Org Information T1090 · Proxy T1685.005 · Clear Windows Event Logs T1021.001 · Remote Desktop Protocol T1587.001 · Malware T1070.004 · File Deletion T1003.002 · Security Account Manager T1083 · File and Directory Discovery T1482 · Domain Trust Discovery T1684.001 · Impersonation T1588.002 · Tool T1003.001 · LSASS Memory T1204.002 · Malicious File T1018 · Remote System Discovery T1016 · System Network Configuration Discovery T1553.002 · Code Signing T1005 · Data from Local System T1059.003 · Windows Command Shell T1566.001 · Spearphishing Attachment T1059.005 · Visual Basic T1007 · System Service Discovery T1082 · System Information Discovery T1048.002 · Exfiltration Over Asymmetric Encrypted Non-C2 Protocol T1574.001 · DLL T1021.002 · SMB/Windows Admin Shares T1071.002 · File Transfer Protocols T1190 · Exploit Public-Facing Application T1036.008 · Masquerade File Type T1003.003 · NTDS T1560.001 · Archive via Utility T1221 · Template Injection T1556.002 · Password Filter DLL T1047 · Windows Management Instrumentation T1114.001 · Local Email Collection T1027.013 · Encrypted/Encoded File T1033 · System Owner/User Discovery

Víctimas recientes

Sin datos todavía.

Las reivindicaciones las publican los propios grupos criminales y no están verificadas hasta que la organización o la prensa las confirman. Los nombres de personas físicas (autónomos, profesionales individuales) se anonimizan conforme al RGPD. Nunca enlazamos a sitios de filtración ni a datos robados. Para solicitar la retirada o anonimización de una entrada, contacte con el administrador del sitio.

Fuentes: RansomLook (CC BY 4.0), MITRE ATT&CK®, MISP Galaxy, Google News.