Que es
Earth Kapre (también conocido como RedCurl y Red Wolf) es un actor APT (Advanced Persistent Threat) del grupo regional Unknown / Unmapped Actors. Este grupo ha sido identificado como una organización de espionaje con actividad en múltiples países, incluyendo Rusia, Alemania, Ucrania, Reino Unido, Eslovenia, Canadá, Australia y Estados Unidos. Se caracteriza por utilizar técnicas de phishing para infectar a organizaciones mediante archivos maliciosos.
Contexto
Según informes verificados de OSINT, Earth Kapre opera mediante campañas de phishing que envían correos electrónicos con adjuntos maliciosos, específicamente archivos de tipo .iso y .img. Al abrir estos archivos, se activan mecanismos de infección que permiten al actor establecer una persistencia en el sistema a través de la creación de tareas planificadas. Además, el grupo exfiltraba datos sensibles a servidores de control y coordinación (C&C), lo que sugiere actividades de espionaje o inteligencia.
Analisis
Análisis de IOC: Se ha identificado un indicador de compromiso público relacionado con el dominio www.trendmicro.com, aunque no se proporcionan detalles adicionales sobre su contexto o uso específico. Este dominio podría estar asociado a actividades de investigación o detección de amenazas, pero no se especifica cómo se integra en las operaciones de Earth Kapre.
| Tipo | Valor | Contexto |
| DOMINIO | www.trendmicro.com | Relacionado con actividades de investigación o detección de amenazas (OSINT) |
Conclusión: Earth Kapre representa una amenaza regional con capacidad para operar en múltiples países. Su técnica de phishing mediante archivos .iso/.img y la persistencia a través de tareas planificadas sugieren un nivel de complejidad técnica elevado. La detección de dominios como www.trendmicro.com podría ser parte de una red de defensa o monitoreo, pero no se han descubierto otros indicadores de compromiso publicados.
Conclusion
El grupo Earth Kapre (RedCurl/Red Wolf) es un actor APT con actividad regional y técnicas de phishing avanzadas. Su capacidad para exfiltrar datos sensibles a servidores C&C y establecer persistencia en sistemas sugiere una amenaza significativa para organizaciones en países europeos, canadienses y transpacíficos. La disponibilidad del dominio www.trendmicro.com como indicador de compromiso refleja la necesidad de monitoreo continuo en entornos empresariales. Sin embargo, se requiere más información para comprender completamente su operativa y escalabilidad.