Amenaza persistente avanzada (APT).

El término APT (amenaza persistente avanzada) designa tanto al actor como a la campaña: adversarios cualificados que permanecen semanas o años dentro del entorno objetivo, priorizando el sigilo y la persistencia sobre los ataques ruidosos de tipo "entrar y robar". Las APT suelen encadenar spear-phishing, compromisos de la cadena de suministro, malware a medida, técnicas de living-off-the-land y exploits zero-day. Sus objetivos son normalmente el espionaje (propiedad intelectual, comunicaciones diplomáticas, investigación de defensa), el preposicionamiento para sabotear infraestructura crítica o el robo financiero prolongado.

Las campañas con nombre propio ilustran todo el espectro. APT29 (Cozy Bear) troyanizó las actualizaciones de SolarWinds Orion con la puerta trasera SUNBURST en 2020, alcanzando a miles de organizaciones a través de un único proveedor de confianza. Volt Typhoon, un grupo vinculado a la República Popular China, empleó técnicas de living-off-the-land —herramientas integradas como wmic, netsh y PowerShell en lugar de malware a medida— para mantener acceso persistente en redes de comunicaciones, energía, agua y transporte de EE. UU.; CISA, el FBI y la NSA advirtieron en el aviso conjunto AA24-038A (febrero de 2024) de que la intención era el preposicionamiento para ataques disruptivos durante una crisis futura, no el espionaje.

La defensa requiere controles en capas: detección basada en inteligencia de amenazas, EDR/XDR con analítica de comportamiento, segmentación de red, controles estrictos de identidad, registro reforzado de la actividad de autenticación y de línea de comandos, y caza proactiva de amenazas contra los TTP catalogados en MITRE ATT&CK.

flowchart LR
  A[Reconocimiento] --> B[Acceso inicial<br/>spear-phish / cadena de suministro / 0-day]
  B --> C[Punto de apoyo<br/>y persistencia]
  C --> D[Escalada de privilegios<br/>+ robo de credenciales]
  D --> E[Movimiento lateral<br/>living off the land]
  E --> F[Recolección sigilosa<br/>a largo plazo]
  F --> G[Exfiltración o<br/>preposicionamiento]
  F -.evadir.-> H[EDR / caza de amenazas<br/>MITRE ATT&CK]
  H -.detectar y expulsar.-> C