Grupo APTMITRE G0129

Mustang Panda

También conocido como: basin, basin castle, bronze president, camaro dragon, clumsytoad, earth preta, fireant, hive0154, honeymyte, itg27, luminous moth, luminousmoth

Ficha

Mustang Panda, también referido en algunos informes como HoneyMyte, es un grupo de amenaza persistente avanzada (APT) con actividad documentada en 2026. Su herramienta característica es el implante CoolClient, que durante 2026 incorporó un rootkit de nivel kernel para Windows, lo que refuerza su persistencia y su control sobre los equipos comprometidos. En septiembre de 2026 se le atribuyeron ataques contra organizaciones del sector marítimo y logístico en siete Estados de la Unión Europea (Alemania, Bélgica, Dinamarca, Francia, Países Bajos, Polonia y Suecia). Lo distingue el desarrollo continuado de su propio conjunto de herramientas, orientado al espionaje prolongado más que a la extorsión. Las fuentes disponibles no detallan los vectores de acceso inicial empleados.

Herramientas

CoolClient, Rootkit de nivel kernel para Windows

Qué vigilar

Vigilar la carga de controladores no habituales o firmados de forma sospechosa en Windows: el rootkit de nivel kernel opera por debajo de muchas soluciones de seguridad en espacio de usuario.
Activar y supervisar listas de bloqueo de controladores vulnerables, así como el arranque seguro y la integridad de código, para limitar la instalación de componentes en kernel.
Las organizaciones de transporte marítimo y logística en la UE deberían considerarse objetivo prioritario y reforzar la detección en sus redes corporativas y de proveedores.
Incorporar indicadores asociados a CoolClient a la monitorización de endpoints y a la caza de amenazas, prestando atención a persistencia y comunicaciones de mando y control de larga duración.
Al no estar documentado el vector de acceso inicial, conviene mantener medidas de base: parcheo al día, autenticación multifactor y revisión de accesos remotos.

Víctimas en los últimos 90 días0

Países más afectados

Sin datos todavía.

Sectores más afectados

Sin datos todavía.

Mitigaciones prioritarias

Mitigaciones de MITRE ATT&CK que cubren más técnicas de las que usa este grupo.

Prevención de ejecución (17 técnicas cubiertas)
Formación de usuarios (13 técnicas cubiertas)
Prevención de intrusiones en red (13 técnicas cubiertas)
Prevención de comportamientos en el endpoint (13 técnicas cubiertas)
Desactivar o eliminar funciones o programas (13 técnicas cubiertas)
Auditoría (11 técnicas cubiertas)
Gestión de cuentas privilegiadas (10 técnicas cubiertas)
Gestión de cuentas de usuario (9 técnicas cubiertas)

Técnicas MITRE ATT&CK

T1016 · System Network Configuration Discovery T1608.001 · Upload Malware T1583.006 · Web Services T1047 · Windows Management Instrumentation T1573.001 · Symmetric Cryptography T1593 · Search Open Websites/Domains T1204.001 · Malicious Link T1046 · Network Service Discovery T1140 · Deobfuscate/Decode Files or Information T1049 · System Network Connections Discovery T1059.005 · Visual Basic T1219.001 · IDE Tunneling T1567.002 · Exfiltration to Cloud Storage T1053.005 · Scheduled Task T1087.002 · Domain Account T1598.003 · Spearphishing Link T1678 · Delay Execution T1564.001 · Hidden Files and Directories T1218.005 · Mshta T1027.007 · Dynamic API Resolution T1585.002 · Email Accounts T1219.002 · Remote Desktop Software T1218.004 · InstallUtil T1586.002 · Email Accounts T1560.001 · Archive via Utility T1070 · Indicator Removal T1071.001 · Web Protocols T1018 · Remote System Discovery T1069.002 · Domain Groups T1001.003 · Protocol or Service Impersonation T1048.003 · Exfiltration Over Unencrypted Non-C2 Protocol T1566.002 · Spearphishing Link T1041 · Exfiltration Over C2 Channel T1072 · Software Deployment Tools T1557 · Adversary-in-the-Middle T1505.003 · Web Shell T1176.002 · IDE Extensions T1588.003 · Code Signing Certificates T1091 · Replication Through Removable Media T1059.003 · Windows Command Shell T1052.001 · Exfiltration over USB T1003.001 · LSASS Memory T1588.002 · Tool T1588.004 · Digital Certificates T1560.003 · Archive via Custom Method T1070.004 · File Deletion T1129 · Shared Modules T1057 · Process Discovery T1082 · System Information Discovery T1095 · Non-Application Layer Protocol T1203 · Exploitation for Client Execution T1574.005 · Executable Installer File Permissions Weakness T1608 · Stage Capabilities T1622 · Debugger Evasion T1566.001 · Spearphishing Attachment T1654 · Log Enumeration T1083 · File and Directory Discovery T1518 · Software Discovery T1583.001 · Domains T1574.001 · DLL

Víctimas recientes

Sin datos todavía.

Fuentes analizadas

Mustang Panda targeted maritime organizations in seven EU states (ua.news, 22/9/2026)
Mustang Panda Upgrades CoolClient With a Kernel Rootkit (Security Affairs, 16/8/2026)
APT group HoneyMyte upgrades CoolClient: the backdoor gets a kernel-level Windows rootkit (Securelist, 14/8/2026)

Las reivindicaciones las publican los propios grupos criminales y no están verificadas hasta que la organización o la prensa las confirman. Los nombres de personas físicas (autónomos, profesionales individuales) se anonimizan conforme al RGPD. Nunca enlazamos a sitios de filtración ni a datos robados. Para solicitar la retirada o anonimización de una entrada, contacte con el administrador del sitio.

Fuentes: RansomLook (CC BY 4.0), MITRE ATT&CK®, MISP Galaxy, Google News.