Aquatic Panda

Origen🇨🇳 China

Técnicas (MITRE ATT&CK)35

FuenteMITRE ATT&CK

Categorías objetivo: Gambling companies, Government Institutions, Education, Media and Entertainment, Pro-democracy and human rights political organizations, Telecommunications, Religious organization, Cryptocurrency, Medical, Covid-19 research organizations

Regiones atacadas: Australia · China · France · Germany · Hong Kong · Japan · Mongolia · Nepal · Nigeria · Philippines +5

También conocido como:BRONZE UNIVERSITYBountyGladCHROMIUMCharcoal TyphoonControlXFISHMONGERRed Dev 10Red ScyllaRedHotelTAG-22

Sobre el grupo

Aquatic Panda is a suspected China-based threat group with a dual mission of intelligence collection and industrial espionage. Active since at least May 2020, Aquatic Panda has primarily targeted entities in the telecommunications, technology, and government sectors.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal46

Impacto: Alto

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 35

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Reconocimiento

Vulnerability Scanning

Preparación de recursos

Malware Tool

Ejecución

Windows Management Instrumentation PowerShell Windows Command Shell Unix Shell

Persistencia

Windows Service

Acceso a credenciales

LSASS Memory

Descubrimiento

System Service Discovery System Owner/User Discovery System Information Discovery Account Discovery Security Software Discovery Log Enumeration

Movimiento lateral

Remote Services Remote Desktop Protocol SMB/Windows Admin Shares SSH Pass the Hash

Recolección

Data from Local System Archive via Utility

Comando y control

Ingress Tool Transfer

defense-impairment

Modify Registry Disable or Modify Tools Clear Windows Event Logs

stealth

Command Obfuscation Masquerade Task or Service Match Legitimate Resource Name or Location Clear Command History File Deletion Domain Accounts Rundll32 DLL Dynamic Linker Hijacking

Vulnerabilidades explotadas

Ninguna CVE atribuida a este grupo en las fuentes públicas (MITRE ATT&CK). La ausencia de atribución no significa ausencia de actividad.

Infraestructura conocida 3147

Indicadores reales (C2, dominios, URLs y hashes) asociados al malware que usa este grupo. Fuente: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port193.160.32.138:18082Cobalt Strikethreatfox

ip:port132.243.172.224:80Cobalt Strikethreatfox

ip:port31.207.4.106:443Cobalt Strikethreatfox

ip:port114.215.184.158:8000Cobalt Strikethreatfox

urlhttp://69.49.229.88:443/MQEwCobalt Strikethreatfox

ip:port154.12.17.20:8080Cobalt Strikethreatfox

ip:port154.12.17.20:22Cobalt Strikethreatfox

ip:port154.12.17.20:80Cobalt Strikethreatfox

ip:port154.12.17.20:443Cobalt Strikethreatfox

ip:port129.204.55.230:443Cobalt Strikethreatfox

ip:port47.94.56.71:8080Cobalt Strikethreatfox

ip:port47.94.56.71:80Cobalt Strikethreatfox

ip:port47.94.56.71:443Cobalt Strikethreatfox

md5_hash1cf8cce965f8f2089ce67ef811b29d13NjRATthreatfox

sha256_hashd7fea5f6217db6e04f75333a65a46cdfcc523c7f3ddc29cfaecb18cd8876ea98NjRATthreatfox

sha1_hashca868ac1e4f42282fb74865fc2f9edf38b052e4bNjRATthreatfox

sha256_hashd5c4983535d57d69fc6f8c09ff4a3838d6a61ac6b149de67b89c0c062968d9cdNjRATthreatfox

sha1_hash19dc42491a499830d7638933b5f457740ffce395NjRATthreatfox

md5_hash1742ad51f743c9e518abec7fc6f9451bNjRATthreatfox

ip:port45.227.253.132:8080Cobalt Strikethreatfox

ip:port45.227.253.132:443Cobalt Strikethreatfox

ip:port45.227.253.132:80Cobalt Strikethreatfox

ip:port45.227.253.132:32775Cobalt Strikethreatfox

ip:port117.158.148.164:65535Cobalt Strikethreatfox

ip:port38.76.190.209:8888Cobalt Strikethreatfox

ip:port188.227.14.105:8080Cobalt Strikethreatfox

ip:port186.241.115.168:12443Cobalt Strikethreatfox

ip:port109.206.247.245:10881Cobalt Strikethreatfox

ip:port43.134.112.45:7500Cobalt Strikethreatfox

ip:port43.134.112.45:80Cobalt Strikethreatfox

+3147 indicadores en total. Míralos todos en la página de IOCs.

Referencias

El grupo Aquatic Panda usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →