Daixin Team
Alias: Daixin, Daixin Team ransomware
Fecha de revisión del perfil de origen: 2026-06-01
Añadido al registro de la fuente: 2022-08-03 · Instantánea de la fuente: 2026-09-15
Los metadatos de la fuente no se han verificado de forma independiente. La fecha de registro no es necesariamente la del primer ataque. Los resúmenes de la fuente se traducen automáticamente cuando es necesario; el flujo puede contener evaluaciones antiguas.
Estado de la investigación: Expediente investigado existente
Este expediente separa la información de fuentes específica del actor del análisis defensivo general. Las recomendaciones y preguntas de investigación no constituyen hechos adicionales sobre el actor. Las limitaciones de la evidencia pública se indican expresamente.
Resumen ejecutivo
Daixin Team se enfoca, segun CISA/FBI/HHS, principalmente en Healthcare and Public Health, con acceso VPN, abuso de credenciales, RDP/SSH, exfiltracion y ransomware.
Daixin Team es relevante para organizaciones sanitarias porque advisories publicos vinculan al grupo con ataques HPH, con enfasis en acceso remoto, credenciales comprometidas, exfiltracion mediante Rclone e interrupcion de servicios criticos.
Las últimas cinco víctimas reivindicadas conocidas
Cargando reivindicaciones guardadas…
Son reivindicaciones públicas atribuidas al grupo, no intrusiones confirmadas de forma independiente. Las fechas indican publicación o descubrimiento, no necesariamente el ataque.
Resumen ejecutivo
Daixin Team es un grupo de ransomware y extorsion de datos que, segun FBI, CISA y HHS, ha atacado principalmente organizaciones Healthcare and Public Health de EE. UU.
Los ataques Daixin no tratan solo de cifrado. El advisory describe exfiltracion de datos, amenaza de publicacion y uso de herramientas como Rclone.
La leccion defensiva concreta es que VPN, MFA, segmentacion de red, logging y aislamiento de backups no son opcionales en entornos sanitarios.
Grupo y desarrollo
Daixin Team fue descrito en el advisory conjunto como grupo cybercrime que apunta activamente a organizaciones HPH.
El grupo usa ransomware y data extortion. La defensa debe mantener sistemas disponibles y evitar que datos sensibles se recopilen o salgan.
Daixin debe analizarse desde dependencias operativas: que sistemas soportan atencion, que proveedores tienen acceso, que perfiles VPN existen y donde estan los datos mas sensibles.
Patron de ataque en casos publicos
El advisory describe uso de servidores VPN y credenciales comprometidas. En algunos casos se obtuvo acceso mediante VPN sin MFA.
Tras el acceso, los actores se mueven lateralmente por RDP y SSH, buscan datos sensibles y preparan exfiltracion. Rclone se menciona como herramienta de transferencia.
Daixin ransomware puede apuntar a ubicaciones y sistemas especificos. Entornos sanitarios deben saber que servidores soportan procesos clinicos.
El ataque suele ser una combinacion de identidad y ruta de red.
IOCs y artefactos conocidos
Rclone es una categoria IOC concreta en el advisory Daixin. Busque rclone.exe, archivos de configuracion, destinos cloud, lineas de comando y grandes transferencias salientes.
Acceso VPN sin MFA o con credenciales comprometidas es indicador central de acceso inicial.
Actividad RDP y SSH entre sistemas internos es relevante para movimiento lateral.
Patron de victimas y lecciones
Daixin se vincula principalmente a Healthcare and Public Health. La leccion es que ransomware en salud no es un incidente puramente IT.
Como los datos sanitarios son muy sensibles, la exfiltracion por si sola ya es grave.
Fuera de salud, Daixin sigue siendo util como ejemplo: acceso remoto sin MFA, segmentacion insuficiente y monitorizacion debil de datos son riesgos transversales.
Como defenderse contra Daixin Team
Exija MFA en VPN, portales de administracion y acceso externo. Revise excepciones y cuentas legacy.
Segmente sistemas clinicos, domain controllers, file servers y entornos de backup.
Monitorice Rclone y herramientas similares de exfiltracion.
Pruebe procesos de recuperacion para sistemas sanitarios criticos y proteja backups fuera del dominio normal.
Logica practica de deteccion para Daixin Team
La deteccion Daixin debe empezar en VPN. El advisory vincula al grupo con acceso VPN mediante credenciales comprometidas y entornos sin MFA.
Rclone es un indicador concreto de exfiltracion. Detecte rclone.exe, archivos de configuracion, lineas de comando con destinos remotos, grandes transferencias salientes y uso desde servidores que normalmente no transfieren datos externamente.
Como Daixin afecta principalmente HPH, la deteccion debe mirar procesos sanitarios criticos: planificacion, historiales, diagnostico, medicacion y comunicacion.
Prioridades concretas de hardening
Exija MFA en VPN sin excepciones para legacy o proveedores.
Segmente entornos medicos, administrativos y de gestion.
Practique recuperacion por prioridad clinica.
Identidad, nombres y atribución
Una evaluación fiable de Daixin Team comienza con una identificación precisa. El expediente local recoge los siguientes nombres o alias: Daixin, Daixin Team ransomware. Un alias facilita la búsqueda, pero no demuestra que distintas operaciones compartan responsables. Los nombres parecidos, logotipos reutilizados y textos de extorsión similares no bastan. Conserva la grafía original y distingue entre quien publica, la familia de malware y el supuesto ejecutor de la intrusión. Pueden ser personas diferentes. Un incidente no debe atribuirse únicamente por la semejanza de un nombre de archivo. Toda relación propuesta necesita una fuente propia, verificable y fechada. Las nuevas pruebas deben permitir corregir la atribución anterior.
Cronología e interpretación de las fechas
La fecha de registro disponible para Daixin Team es 2022-08-03; la instantánea de metadatos corresponde a 2026-09-15. Estas fechas describen el registro, no el comienzo demostrado de la actividad criminal. El grupo podría haber actuado antes y una publicación podría referirse a un incidente antiguo. Separa la intrusión supuesta, el acceso a datos, el descubrimiento por la víctima, la publicación del extorsionador y la observación del servicio de seguimiento. La fecha de revisión del perfil tiene otro significado. No conviertas implícitamente unos hitos en otros. Cuando las fuentes discrepen, conserva ambas observaciones y su procedencia hasta disponer de pruebas que permitan una cronología más precisa.
Víctimas reivindicadas y selección de objetivos
El panel de víctimas de Daixin Team muestra hasta cinco organizaciones distintas del historial guardado. Es una muestra, no un censo completo de incidentes. Las listas públicas pueden omitir víctimas, repetir información antigua o exagerar el acceso obtenido. Varias organizaciones del mismo país o sector no demuestran por sí solas una campaña dirigida. Compara especialmente proveedores compartidos, accesos remotos, servicios expuestos y flujos sensibles con los de tu organización. Una reivindicación sobre un proveedor justifica verificarla mediante contactos conocidos, pero no prueba que sus clientes estén afectados. Mantén claramente separadas las declaraciones confirmadas y las afirmaciones de los extorsionadores.
Indicadores de compromiso (IOC)
Los indicadores son observaciones históricas, no pruebas de una infección actual. Verifica la fuente, la antigüedad y el contexto antes de detectar o bloquear; las herramientas legítimas de administración pueden producir falsos positivos.
| Tipo | Valor | Fuente | Contexto |
|---|---|---|---|
| tooling | Rclone associated exfiltration | CISA AA22-294A | Daixin advisory includes Rclone-associated IOCs. |
| access | VPN access with compromised credentials / no MFA | CISA AA22-294A | Observed route into HPH organizations. |
| tooling | RDP and SSH lateral movement | CISA AA22-294A | Used for movement after initial access. |
| sector | Healthcare and Public Health targeting | CISA AA22-294A | Predominant sector focus in advisory. |
Fuentes
Evidencia y limitaciones
La atribución describe la evaluación de la fuente, no una identidad verificada. Una publicación en un sitio de filtraciones no demuestra por sí sola cifrado, robo de datos, una vulnerabilidad concreta ni una relación de afiliación. La información ausente se señala explícitamente.