Threat Actor Search
Threat Actor Search
Nota atomica extraida de la seccion "Threat Actor Search" del master osint-references-master. Concepto unico = nota propia.
Recursos (de awesome-osint)
Search for Threat actors and their associated information.
- APT Groups and Operations - Know about Threat Actors, sponsored countries, their tools, methods, etc.
- APTWiki - Historical wiki with 214 actor entries.
- Bi.Zone - 148 threat groups with detailed TTPs.
- BreachHQ - Provides a list of all known cyber threat actors also referred to as malicious actors, APT groups or hackers.
- Cybergeist - Cybergeist.io generates intelligence profiles about key threats and threat context that is actively being discussed and reported upon across the internet.
- Dark Web Informer - Tracking 854 Threat Actors as of 29th of May 2025.
- ETDA - Search for Threat Actor groups and their tools.
- FortiGuard Labs - Powered by FortiGuard Labs, our Threat Actor Encyclopedia provides actionable insights, helping security teams prepare and streamline advanced threat hunting and response.
- KNOWLEDGENOW - Trending Threats.
- lazarusholic - Total 203 threat actors.
- Malpedia - Get List of threat actor groups.
- MISP Galaxy - Known or estimated adversary groups as identified by 360.net.
- OPENHUNTING.IO - Threat Library Collecting Information.
- SOCRadar LABS - Know threat actor tactics, techniques, and past activities. Access detailed profiles and track their activities.Keep up with the latest threats and Tactics, Techniques, and Procedures (TTPs).
- Thales - Find Threat actor groups in a graphical attack explorer.
Desde Inbox: Arsenal del Actor
Importado desde
Inbox/Arsenal del Actor.mddurante consolidacion bulk.
Resumen
Coleccion de recursos clave para investigar el arsenal (herramientas y malware) empleado por threat actors. Incluye bases de datos de software ofensivo (MITRE ATT&CK), fichas de grupos (ETDA), repositorios de muestras de malware (VX-Underground), e informes de CERTs y proveedores de inteligencia de amenazas.
Categoria
Herramientas y malware de actores de amenazas: bases de datos de software, muestras y reportes de CERTs.
Herramientas y Recursos
| Recurso | URL | Descripcion |
|---|---|---|
| MITRE ATT&CK - Software | Link | Base de datos de software ofensivo y malware documentado por MITRE |
| ETDA - Threat Group Card | Link | Fichas de grupos de amenazas con herramientas asociadas |
| VX-Underground - Samples | Link | Repositorio de muestras de malware para analisis |
| VX-Underground - Virusshare | Link | Coleccion Virusshare integrada en VX-Underground |
| Informes de CERTs y Organismos Publicos | N/A | Reportes de amenazas publicados por CERTs nacionales e internacionales |
| Informes y blogs de proveedores de inteligencia | N/A | Analisis de malware y herramientas publicados por vendors CTI |
Casos de Uso
- Identificar herramientas y malware asociados a un threat actor especifico
- Obtener muestras para analisis en sandbox o ingenieria inversa
- Mapear software ofensivo contra tecnicas MITRE ATT&CK
- Complementar perfilado de actores con informacion de arsenal
Notas
- Los recursos de VX-Underground requieren precaucion al descargar muestras
- Las fichas ETDA son utiles para correlacionar grupos con herramientas conocidas
- Se recomienda cruzar con threat-actor-search y threat-actor-search para un perfil completo del adversario
Desde Inbox: Black Forums
Importado desde
Inbox/Black Forums.mddurante consolidacion bulk.
Black Forums - Directorio de Foros Underground
Resumen
Directorio exhaustivo de aproximadamente 200 foros underground y darknet. Incluye foros de hacking, carding, leaks de datos, criptomonedas y comunidades underground en multiples idiomas (ruso, ingles, etc.). Se mantiene el estado online/offline actualizado.
Categoria
Foros underground / Darknet / Cibervigilancia / Threat Intelligence.
Herramientas y Recursos
Casos de Uso
- Monitorizar foros underground en busca de datos filtrados de clientes
- Rastrear comunicaciones de actores de amenazas
- Identificar venta de accesos, credenciales o datos robados
- Investigar campanas de carding y fraude
- Cibervigilancia proactiva de amenazas emergentes
Notas
- XSS y Exploit.in son los foros premium de habla rusa
- BreachForums es el sucesor de RaidForums (seized by FBI)
- Dread es el "Reddit" de la darknet
- LOLZ.guru es uno de los foros mas activos del ecosistema ruso
- Los estados online/offline cambian frecuentemente, verificar periodicamente
- Ver threat-actor-search para mercados underground
- Ver opsec-network-transport-security para herramientas de monitorizacion
- Ver data-breach-search-engines para fuentes de datos filtrados
Desde Inbox: Black Markets
Importado desde
Inbox/Black Markets.mddurante consolidacion bulk.
Black Markets - Directorio de Mercados Underground
Resumen
Directorio exhaustivo de aproximadamente 120 mercados underground y darknet. Incluye marketplaces de carding, venta de credenciales (RDP, logs, cookies), datos robados, malware-as-a-service, documentos falsos y drogas. Se mantiene el estado online/offline actualizado.
Categoria
Mercados underground / Darknet markets / Cibervigilancia / Threat Intelligence.
Herramientas y Recursos
Casos de Uso
- Monitorizar mercados underground en busca de datos robados de clientes
- Rastrear venta de credenciales y accesos RDP comprometidos
- Investigar campanas de carding y fraude financiero
- Identificar servicios de malware-as-a-service
- Cibervigilancia proactiva de amenazas a la organizacion
Notas
- Russian Market es uno de los mercados mas grandes de credenciales y logs
- Genesis Market fue seized by FBI en 2023 (Operation Cookie Monster)
- BidenCash publica dumps masivos de tarjetas de credito periodicamente
- STYX es un mercado emergente de servicios de cibercrimen
- Los estados online/offline cambian frecuentemente, verificar periodicamente
- Ver threat-actor-search para foros underground
- Ver opsec-network-transport-security para herramientas de monitorizacion
- Ver data-breach-search-engines para bases de datos de credenciales
Desde Inbox: Informacion General
Importado desde
Inbox/Informacion General.mddurante consolidacion bulk.
Resumen
Directorio de las 7 plataformas de referencia para obtener informacion general sobre threat actors. Incluye bases de datos de campañas, fichas de grupos APT, playbooks de investigacion y mapas de amenazas globales.
Categoria
Plataformas de inteligencia de amenazas para perfilado general de threat actors.
Herramientas y Recursos
| Plataforma | URL | Descripcion |
|---|---|---|
| MITRE ATT&CK - Campaigns | Link | Base de datos de campañas documentadas con TTPs asociadas |
| ETDA - Threat Group Card | Link | Fichas detalladas de grupos de amenazas tailandesas y globales |
| Playbook UNIT42 de Palo Alto | Link | Playbooks de investigacion de threat actors por UNIT42 |
| Mandiant - APT Groups | Link | Perfiles de grupos APT por Mandiant (Google) |
| CrowdStrike - Global Threat | Link | Panorama global de amenazas y perfiles de adversarios |
| Killing the Bear | Link | Recurso en español sobre grupos de amenazas |
| Threat Actor Map - CheckPoint | Link | Mapa interactivo de amenazas en tiempo real |
| Malpedia | Link | Enciclopedia de malware y threat actors de Fraunhofer FKIE |
Casos de Uso
- Identificar y perfilar un threat actor por nombre o alias
- Consultar campañas conocidas asociadas a un grupo
- Obtener playbooks de investigacion para grupos especificos
- Visualizar panorama global de amenazas activas
Notas
- MITRE ATT&CK es la referencia principal para mapeo de campañas y TTPs
- Malpedia destaca por su enfoque academico y catalogacion exhaustiva de malware
- Forma parte de la estructura de threat-actor-search en el cheatsheet CTI-OSINT
Desde Inbox: Informacion de Victimas
Importado desde
Inbox/Informacion de Victimas.mddurante consolidacion bulk.
Resumen
Directorio de plataformas especializadas en el seguimiento de victimas de ransomware. Permite monitorizar que organizaciones han sido comprometidas, por que grupos, y en que sectores/regiones.
Categoria
Seguimiento de victimas de ransomware: leak sites, feeds de actividad, monitorizacion.
Herramientas y Recursos
| Plataforma | URL | Rating | Descripcion |
|---|---|---|---|
| Darkfeed | Link | 2/3 | Feed de actividad de ransomware con victimas recientes y grupos activos |
| DarkTracer | Link | 3/3 | Monitorizacion de leak sites de ransomware y datos de victimas |
Casos de Uso
- Monitorizar si clientes o sectores relevantes aparecen como victimas
- Identificar grupos de ransomware activos y sus patrones de targeting
- Alimentar reportes de inteligencia estrategica con datos de victimologia
- Evaluar nivel de amenaza ransomware para sectores especificos
Notas
- DarkTracer ofrece la cobertura mas amplia de leak sites (rating 3/3)
- Se recomienda cruzar con threat-actor-search y threat-actor-search para contexto geografico
- Forma parte de la estructura de threat-actor-search en el cheatsheet CTI-OSINT
Desde Inbox: Informacion del Actor
Importado desde
Inbox/Informacion del Actor.mddurante consolidacion bulk.
Resumen
Nota indice que organiza los recursos de investigacion de threat actors en tres categorias principales: informacion general (plataformas de inteligencia), proveedores de inteligencia (blogs y reportes de vendors) y CERTs/organismos publicos (fuentes gubernamentales).
Categoria
Indice de recursos de perfilado de threat actors.
Herramientas y Recursos
| Categoria | Enlace | Descripcion |
|---|---|---|
| Informacion General | threat-actor-search | Plataformas de inteligencia de amenazas (MITRE, ETDA, UNIT42, Mandiant, CrowdStrike, Malpedia) |
| Proveedores de Inteligencia | threat-intelligence-feeds | Blogs, informes y repositorios de vendors CTI |
| CERTs y Organismos Publicos | threat-intelligence-feeds | Fuentes gubernamentales y reportes de CERTs nacionales/internacionales |
Casos de Uso
- Punto de partida para investigacion de un threat actor desconocido
- Navegacion rapida a fuentes especializadas por tipo de informacion
- Referencia durante perfilado de adversarios para reportes CTI
Notas
- Este indice es parte del segundo nivel del cti-osint-cheatsheet
- Complementar con threat-actor-search para herramientas y threat-actor-search para TTPs
- La categoria threat-actor-search contiene las 7 plataformas mas relevantes
Desde Inbox: Modus Operandi
Importado desde
Inbox/Modus Operandi.mddurante consolidacion bulk.
Resumen
Nota indice del modulo "Modus Operandi" dentro del cheatsheet CTI-OSINT. Organiza los recursos para analizar como operan los threat actors en dos grandes bloques: tacticas, tecnicas y procedimientos (TTPs) y planes de mitigacion correspondientes.
Categoria
Analisis de modus operandi: TTPs y mitigaciones.
Herramientas y Recursos
| Categoria | Enlace | Descripcion |
|---|---|---|
| TTPs | threat-actor-search | Recursos MITRE ATT&CK para tacticas, tecnicas y procedimientos |
| Planes de Mitigacion | threat-intelligence-feeds | Frameworks y recursos de control y mitigacion (MITRE, NIST, Ransomware Control Matrix) |
Casos de Uso
- Mapear TTPs de un threat actor a tecnicas MITRE ATT&CK
- Identificar planes de mitigacion aplicables a las tecnicas detectadas
- Estructura de analisis para reportes de perfilado de adversarios
Notas
- Este indice forma parte del tercer nivel del cti-osint-cheatsheet
- Los TTPs y mitigaciones deben analizarse en conjunto para evaluar gaps de cobertura
- Complementar con threat-actor-search para correlacionar herramientas con tecnicas
Desde Inbox: Objetivos de Ataques
Importado desde
Inbox/Objetivos de Ataques.mddurante consolidacion bulk.
Resumen
Nota indice del modulo "Objetivos de Ataques" dentro del cheatsheet CTI-OSINT. Organiza los recursos para analizar que, donde, a quien y en que sectores atacan los threat actors, en cuatro submodulos.
Categoria
Indice de targeting: operaciones, paises, victimas y sectores.
Herramientas y Recursos
| Submodulo | Enlace | Descripcion |
|---|---|---|
| Operaciones Conocidas | threat-actor-search | Campañas documentadas de threat actors (MITRE, ETDA, UNIT42, SOCRadar) |
| Paises Objetivo | threat-actor-search | Targeting geografico (DarkTracer, UNIT42, ETDA, CheckPoint) |
| Informacion de Victimas | threat-actor-search | Seguimiento de victimas de ransomware (Darkfeed, DarkTracer) |
| Sectores Objetivo | threat-actor-search | Targeting sectorial (DarkTracer, UNIT42, ETDA) |
Casos de Uso
- Analizar el perfil de targeting completo de un threat actor
- Identificar si un cliente o sector especifico es objetivo activo
- Alimentar reportes de inteligencia estrategica con datos de victimologia
- Navegar de forma estructurada los recursos de targeting del cheatsheet
Notas
- Este indice es parte del primer nivel del cti-osint-cheatsheet
- Los cuatro submodulos cubren las dimensiones clave de targeting: que (operaciones), donde (paises), quien (victimas) y en que sector
- DarkTracer aparece como recurso recurrente en multiples submodulos
Desde Inbox: Online Sandboxes
Importado desde
Inbox/Online Sandboxes.mddurante consolidacion bulk.
Resumen
Directorio de plataformas de sandbox online para analisis dinamico de malware. Permite detonar muestras sospechosas en entornos aislados y obtener IOCs, comportamiento de red, modificaciones al sistema y clasificacion de amenazas.
Categoria
Sandboxes online: analisis dinamico de malware en entorno controlado.
Herramientas y Recursos
| Plataforma | URL | Descripcion |
|---|---|---|
| JoeSandbox | Link | Sandbox avanzado con analisis profundo de comportamiento y generacion de reportes detallados |
| ANY.RUN | Link | Sandbox interactivo que permite manipulacion en tiempo real de la muestra |
| VirusTotal | Link | Motor multiescaner con analisis estatico y dinamico, integracion con multiples AVs |
| Hybrid Analysis | Link | Sandbox de CrowdStrike con analisis hibrido (estatico + dinamico) gratuito |
Casos de Uso
- Analisis dinamico de archivos sospechosos detectados en alertas del SOC
- Extraccion de IOCs de red (C2, dominios, IPs) de muestras de malware
- Verificacion de payloads asociados a campañas de phishing
- Generacion de reportes tecnicos de comportamiento de malware
Notas
- ANY.RUN destaca por su interactividad, util para malware que requiere input del usuario
- VirusTotal es la herramienta mas versatil para busquedas rapidas de hashes/URLs/dominios
- Forma parte de la estructura de threat-intelligence-feeds en el cheatsheet CTI-OSINT
Desde Inbox: Operaciones y campañas conocidas
Importado desde
Inbox/Operaciones y campañas conocidas.mddurante consolidacion bulk.
Resumen
Directorio de 4 plataformas clave para investigar operaciones y campañas conocidas de threat actors. Incluye bases de datos de campañas documentadas, fichas de grupos y herramientas de seguimiento, con valoracion de utilidad.
Categoria
Seguimiento de operaciones y campañas: bases de datos, fichas de grupos, tracking.
Herramientas y Recursos
| Plataforma | URL | Rating | Descripcion |
|---|---|---|---|
| MITRE ATT&CK - Campaigns | Link | 3/3 | Base de datos autoritativa de campañas documentadas con TTPs |
| ETDA - Threat Group Card | Link | 1/3 | Fichas de grupos con operaciones asociadas |
| Playbook UNIT42 de Palo Alto | Link | 2/3 | Playbooks de investigacion con analisis de campañas |
| SOCRadar - Campaigns | Link | 2/3 | Seguimiento de campañas activas con contexto geopolitico |
Casos de Uso
- Investigar campañas historicas asociadas a un threat actor
- Identificar patrones de operacion entre multiples campañas
- Alimentar reportes de inteligencia estrategica con datos de campañas
- Correlacionar campañas con TTPs y herramientas empleadas
Notas
- MITRE ATT&CK es la referencia principal (rating 3/3) para campañas documentadas
- SOCRadar añade contexto geopolitico util para inteligencia estrategica
- Forma parte de la estructura de threat-actor-search en el cheatsheet CTI-OSINT
Desde Inbox: Paises Objetivo
Importado desde
Inbox/Paises Objetivo.mddurante consolidacion bulk.
Resumen
Directorio de 4 plataformas para identificar los paises objetivo de threat actors. Permite mapear la distribucion geografica de ataques y correlacionar patrones de targeting regional.
Categoria
Targeting geografico: paises y regiones objetivo de threat actors.
Herramientas y Recursos
| Plataforma | URL | Rating | Descripcion |
|---|---|---|---|
| DarkTracer | Link | 3/3 | Monitorizacion de victimas con desglose geografico |
| Playbook UNIT42 de Palo Alto | Link | 1/3 | Playbooks con informacion de regiones objetivo |
| ETDA - Threat Group Card | Link | 1/3 | Fichas de grupos con paises objetivo documentados |
| Threat Actor Map - CheckPoint | Link | 1/3 | Mapa interactivo de actividad de amenazas por pais |
Casos de Uso
- Identificar que threat actors operan contra un pais o region especifica
- Evaluar nivel de amenaza geografica para clientes en distintas jurisdicciones
- Alimentar inteligencia estrategica con datos de targeting regional
- Correlacionar paises objetivo con sectores afectados
Notas
- DarkTracer destaca como la plataforma mas util (rating 3/3) para targeting geografico
- Forma parte de la estructura de threat-actor-search en el cheatsheet CTI-OSINT
- Complementar con threat-actor-search para un perfil de targeting completo
Desde Inbox: Ransomware Gangs
Importado desde
Inbox/Ransomware Gangs.mddurante consolidacion bulk.
Desde Inbox: Sectores Objetivo
Importado desde
Inbox/Sectores Objetivo.mddurante consolidacion bulk.
Resumen
Directorio de 3 plataformas para identificar sectores industriales objetivo de threat actors. Permite mapear que industrias son atacadas por que grupos y con que frecuencia.
Categoria
Targeting sectorial: industrias y sectores objetivo de threat actors.
Herramientas y Recursos
| Plataforma | URL | Rating | Descripcion |
|---|---|---|---|
| DarkTracer | Link | 3/3 | Monitorizacion de victimas con desglose por sector industrial |
| Playbook UNIT42 de Palo Alto | Link | 2/3 | Playbooks con informacion de sectores objetivo por threat actor |
| ETDA - Threat Group Card | Link | 1/3 | Fichas de grupos con sectores objetivo documentados |
Casos de Uso
- Identificar que threat actors atacan un sector industrial especifico
- Evaluar nivel de amenaza sectorial para clientes en distintas industrias
- Alimentar inteligencia estrategica con datos de targeting por sector
- Priorizar threat actors relevantes segun sector del cliente
Notas
- DarkTracer destaca como la plataforma mas util (rating 3/3) para targeting sectorial
- Forma parte de la estructura de threat-actor-search en el cheatsheet CTI-OSINT
- Complementar con threat-actor-search para un perfil de targeting completo
Desde Inbox: Tacticas, tecnicas y procedimientos(TTP)
Importado desde
Inbox/Tacticas, tecnicas y procedimientos(TTP).mddurante consolidacion bulk.
Resumen
Directorio de 7 recursos para investigar TTPs (Tacticas, Tecnicas y Procedimientos) de threat actors basados en el framework MITRE ATT&CK. Incluye las matrices oficiales de ATT&CK, herramientas de busqueda avanzada y visualizaciones interactivas.
Categoria
Recursos TTP: frameworks, herramientas de busqueda y visualizacion MITRE ATT&CK.
Herramientas y Recursos
| Recurso | URL | Descripcion |
|---|---|---|
| MITRE ATT&CK Tacticas | Link | Catalogo oficial de tacticas del framework ATT&CK Enterprise |
| MITRE ATT&CK Tecnicas | Link | Catalogo oficial de tecnicas y sub-tecnicas ATT&CK |
| MITRE ATT&CK Software | Link | Base de datos de software ofensivo mapeado a tecnicas |
| MITRE Assistant | Link | Herramienta de busqueda avanzada de adversarios y tecnicas MITRE |
| Tidal Cyber - TTPs | Link | Plataforma de inteligencia de amenazas con mapeo de TTPs |
| Website Attack Reference | Link | Referencia de ataques web mas comunes |
| MITRE ATT&CK Visualizations | Link | Visualizacion interactiva del framework MITRE ATT&CK |
Casos de Uso
- Mapear comportamiento observado en un incidente a tecnicas ATT&CK
- Identificar TTPs asociados a un threat actor especifico
- Diseñar hipotesis de threat hunting basadas en tecnicas ATT&CK
- Crear reglas de deteccion mapeadas a tecnicas especificas
Notas
- MITRE ATT&CK es el estandar de facto para catalogacion de TTPs
- Tidal Cyber ofrece una interfaz moderna con enrichment adicional
- Las visualizaciones interactivas son utiles para presentaciones y briefings
- Forma parte de la estructura de threat-actor-search en el cheatsheet CTI-OSINT