APT / EstatalG0007

APT28

También conocido como: APT-C-20, ATK5, Blue Athena, BlueDelta, FANCY BEAR, FROZENLAKE y 24 más

Aviso por correo de CVE nueva atribuida, víctima nueva en Brasil e incidente verificado.

Sobre el grupo

APT28 is a threat group that has been attributed to Russia's General Staff Main Intelligence Directorate (GRU) 85th Main Special Service Center (GTsSS) military unit 26165. This group has been active since at least 2004. APT28 reportedly compromised the Hillary Clinton campaign, the Democratic National Committee, and the Democratic Congressional Campaign Committee in 2016 in an attempt to interfere with the U.S. presidential election. In 2018, the US indicted five GRU Unit 26165 officers associated with APT28 for cyber operations (including close-access operations) conducted between 2014 and 2018 against the World Anti-Doping Agency (WADA), the US Anti-Doping Agency, a US nuclear facility, the Organization for the Prohibition of Chemical Weapons (OPCW), the Spiez Swiss Chemicals Laboratory, and other organizations. Some of these were conducted with the assistance of GRU Unit 74455, which is also referred to as Sandworm Team.

Nombres parecidos y otras marcas

El nombre “GRIZZLY STEPPE” también se usa para APT29. GRIZZLY STEPPE es el nombre que el gobierno de EE. UU. dio al conjunto de la actividad de los servicios de inteligencia rusos; abarca APT28 y APT29, que son grupos distintos. [fuente 1] [fuente 2]

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal92

Impacto: Alto

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 93

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Reconocimiento

Credentials Gather Victim Org Information Vulnerability Scanning Search Open Technical Databases Phishing for Information Spearphishing Link

Preparación de recursos

Domains Virtual Private Server Web Services Network Devices Email Accounts Tool Artificial Intelligence

Acceso inicial

Drive-by Compromise Exploit Public-Facing Application Trusted Relationship Spearphishing Attachment Wi-Fi Networks

Ejecución

PowerShell Windows Command Shell Exploitation for Client Execution Malicious Link Malicious File Dynamic Data Exchange

Persistencia

Logon Script (Windows)Additional Email Delegate Permissions External Remote Services Office Test Web Shell Registry Run Keys / Startup Folder

Escalada de privilegios

Exploitation for Privilege Escalation Component Object Model Hijacking

Acceso a credenciales

OS Credential Dumping LSASS Memory NTDS Network Sniffing Brute Force Password Guessing Password Spraying Steal Application Access Token Evil Twin

Descubrimiento

Process Discovery File and Directory Discovery Peripheral Device Discovery

Movimiento lateral

SMB/Windows Admin Shares Replication Through Removable Media Exploitation of Remote Services Application Access Token Pass the Hash

Recolección

Data from Local System Data from Removable Media Data from Network Shared Drive Keylogging Local Data Staging Remote Data Staging Screen Capture Remote Email Collection Automated Collection Data from Information Repositories Sharepoint Archive Collected Data Archive via Utility

Comando y control

Junk Data Web Protocols Mail Protocols External Proxy Multi-hop Proxy Communication Through Removable Media Bidirectional Communication Ingress Tool Transfer Symmetric Cryptography

Exfiltración

Data Transfer Size Limits Exfiltration Over Asymmetric Encrypted Non-C2 Protocol Exfiltration Over Web Service

Impacto

Network Denial of Service

defense-impairment

Clear Windows Event Logs

stealth

Rootkit Encrypted/Encoded File Masquerading Match Legitimate Resource Name or Location File Deletion Timestomp Valid Accounts Cloud Accounts Token Impersonation/Theft Deobfuscate/Decode Files or Information Exploitation for Stealth Rundll32 Template Injection Bootkit Hidden Files and Directories Hidden Window Impersonation

Vulnerabilidades explotadas 10

CVE que este grupo es conocido por explotar, con la fuente y la confianza de cada una al lado. Ordenadas por la confianza y la gravedad real.

CVE-2014-7169CRITICALEPSS 100%KEV MITRE ATT&CK

CVE-2017-0262HIGHEPSS 81%KEV MITRE ATT&CK

CVE-2015-1701HIGHEPSS 56%KEV MITRE ATT&CK

CVE-2015-2387HIGHEPSS 35%KEV MITRE ATT&CK

CVE-2022-38028HIGHEPSS 15%KEV MITRE ATT&CK

CVE-2015-4902MEDIUMEPSS 14%KEV MITRE ATT&CK

CVE-2017-0263HIGHEPSS 10%KEV MITRE ATT&CK

CVE-2016-6662EPSS 68% MITRE ATT&CK

CVE-2017-0176EPSS 46% MITRE ATT&CK

CVE-2014-4076EPSS 23% MITRE ATT&CK

Referencias

El grupo APT28 usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →