« Todas las amenazas

Grupo APTMITRE G1045

Salt Typhoon

También conocido como: famoussparrow, ghostemperor, operator panda, redmike, unc2286

Ficha

Salt Typhoon es un grupo de ciberespionaje vinculado a China al que diversas fuentes públicas relacionan con el actor que ESET sigue como FamousSparrow; no obstante, ESET los rastrea como grupos distintos al no disponer de indicadores técnicos que confirmen una conexión directa, por lo que la actividad descrita a continuación corresponde a FamousSparrow —activo al menos desde 2019— y solo podría atribuirse a Salt Typhoon si esa vinculación llegara a confirmarse. Esa actividad se ha centrado históricamente en el acceso a servidores Microsoft Exchange expuestos a Internet, incluida la explotación de ProxyLogon documentada en septiembre de 2021, para después desplegar puertas traseras propias y herramientas de posexplotación. Desde julio de 2025, según los informes disponibles, FamousSparrow ha concentrado sus operaciones de forma casi exclusiva en América Latina, con especial atención a organismos gubernamentales de países como Argentina, Brasil, Chile, Colombia, Ecuador, Guatemala, Honduras, México, Panamá, Perú y Venezuela, así como a asuntos de interés político estadounidense en la región. Su rasgo más distintivo en este periodo es la sustitución de su histórica puerta trasera SparrowDoor por SparroWocky, un implante modular escrito en C++ con capacidades avanzadas de evasión que se despliega desde agosto de 2025.

Activo desde: 2019

Acceso inicial

Herramientas

SparroWocky (puerta trasera modular en C++), SparrowDoor (puerta trasera anterior), Cobalt Strike, Beacon Object Files (BOF)

Qué vigilar

Víctimas en los últimos 90 días0

Países más afectados

Sin datos todavía.

Sectores más afectados

Sin datos todavía.

Mitigaciones prioritarias

Mitigaciones de MITRE ATT&CK que cubren más técnicas de las que usa este grupo.

  1. Segmentación de red (5 técnicas cubiertas)
  2. Gestión de cuentas de usuario (4 técnicas cubiertas)
  3. Autenticación multifactor (4 técnicas cubiertas)
  4. Filtrar el tráfico de red (4 técnicas cubiertas)
  5. Restringir permisos de ficheros y carpetas (3 técnicas cubiertas)
  6. Prevención de intrusiones en red (3 técnicas cubiertas)
  7. Cifrar la información sensible (3 técnicas cubiertas)
  8. Gestión de cuentas privilegiadas (2 técnicas cubiertas)

Técnicas MITRE ATT&CK

T1685.006 · Clear Linux or Mac System LogsT1590.004 · Network TopologyT1572 · Protocol TunnelingT1587.001 · MalwareT1048.003 · Exfiltration Over Unencrypted Non-C2 ProtocolT1098.004 · SSH Authorized KeysT1040 · Network SniffingT1602.002 · Network Device Configuration DumpT1110.002 · Password CrackingT1021.004 · SSHT1686 · Disable or Modify System FirewallT1588.002 · ToolT1136 · Create AccountT1190 · Exploit Public-Facing Application

Víctimas recientes

Sin datos todavía.

Fuentes analizadas

Las reivindicaciones las publican los propios grupos criminales y no están verificadas hasta que la organización o la prensa las confirman. Los nombres de personas físicas (autónomos, profesionales individuales) se anonimizan conforme al RGPD. Nunca enlazamos a sitios de filtración ni a datos robados. Para solicitar la retirada o anonimización de una entrada, contacte con el administrador del sitio.

Fuentes: RansomLook (CC BY 4.0), MITRE ATT&CK®, MISP Galaxy, Google News.