Aquatic Panda

APT / EstatalG0143 ↗
Origen🇨🇳 China
Técnicas (MITRE ATT&CK)35
FuenteMITRE ATT&CK
Categorías objetivo: Gambling companies, Government Institutions, Education, Media and Entertainment, Pro-democracy and human rights political organizations, Telecommunications, Religious organization, Cryptocurrency, Medical, Covid-19 research organizations
Regiones atacadas: Australia · China · France · Germany · Hong Kong · Japan · Mongolia · Nepal · Nigeria · Philippines +5
También conocido como:BRONZE UNIVERSITYBountyGladCHROMIUMCharcoal TyphoonControlXFISHMONGERRed Dev 10Red ScyllaRedHotelTAG-22

Análisis Vexday

Aquatic Panda é um grupo APT de origem chinesa com dupla missão de coleta de inteligência e espionagem industrial, ativo pelo menos desde maio de 2020. Suas operações têm como alvos prioritários entidades dos setores de telecomunicações, tecnologia e governo. O grupo é rastreado pelo MITRE ATT&CK sob o identificador G0143, com 35 técnicas documentadas atribuídas ao seu arsenal.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal46
Impacto: Alto
T1047T1543.003T1003.001T1007T1021EXECEjecuciónWindows ManagementInstrumentationPERSPersistenciaWindows ServiceCREDAcceso a credencialesLSASS MemoryDISCDescubrimientoSystem ServiceDiscoveryLATMovimiento lateralRemote ServicesCOLLRecolecciónData from LocalSystem

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 35

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Reconocimiento
Vulnerability Scanning
Preparación de recursos
MalwareTool
Ejecución
Windows Management InstrumentationPowerShellWindows Command ShellUnix Shell
Persistencia
Windows Service
Acceso a credenciales
LSASS Memory
Descubrimiento
System Service DiscoverySystem Owner/User DiscoverySystem Information DiscoveryAccount DiscoverySecurity Software DiscoveryLog Enumeration
Movimiento lateral
Remote ServicesRemote Desktop ProtocolSMB/Windows Admin SharesSSHPass the Hash
Recolección
Data from Local SystemArchive via Utility
Comando y control
Ingress Tool Transfer
defense-impairment
Modify RegistryDisable or Modify ToolsClear Windows Event Logs
stealth
Command ObfuscationMasquerade Task or ServiceMatch Legitimate Resource Name or LocationClear Command HistoryFile DeletionDomain AccountsRundll32DLLDynamic Linker Hijacking

Vulnerabilidades explotadas

Ninguna CVE atribuida a este grupo en las fuentes públicas (MITRE ATT&CK). La ausencia de atribución no significa ausencia de actividad.

Infraestructura conocida 1597

Indicadores reales (C2, dominios, URLs y hashes) asociados al malware que usa este grupo. Fuente: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port45.221.118.46:80Cobalt Strikethreatfox
ip:port45.221.118.46:443Cobalt Strikethreatfox
ip:port2.56.165.157:991NjRATthreatfox
ip:port38.76.183.197:8082Cobalt Strikethreatfox
ip:port8.222.188.173:443Cobalt Strikethreatfox
ip:port8.219.220.240:7777Cobalt Strikethreatfox
ip:port120.77.42.217:50000Cobalt Strikethreatfox
ip:port209.99.184.234:50050Cobalt Strikethreatfox
ip:port49.235.52.47:80Cobalt Strikethreatfox
ip:port49.235.52.47:3000Cobalt Strikethreatfox
ip:port49.235.52.47:8080Cobalt Strikethreatfox
ip:port49.235.52.47:8083Cobalt Strikethreatfox
ip:port49.235.52.47:443Cobalt Strikethreatfox
ip:port147.139.136.105:8080Cobalt Strikethreatfox
ip:port38.207.177.165:8080Cobalt Strikethreatfox
ip:port147.139.136.105:22Cobalt Strikethreatfox
ip:port147.139.136.105:80Cobalt Strikethreatfox
ip:port147.139.136.105:443Cobalt Strikethreatfox
ip:port2.57.241.129:80Cobalt Strikethreatfox
ip:port38.207.177.165:80Cobalt Strikethreatfox
ip:port38.207.177.165:443Cobalt Strikethreatfox
ip:port45.221.118.46:8080Cobalt Strikethreatfox
ip:port147.139.245.149:801Cobalt Strikethreatfox
ip:port118.24.42.214:443Cobalt Strikethreatfox
ip:port119.45.198.250:55555Cobalt Strikethreatfox
ip:port172.232.97.189:4444Cobalt Strikethreatfox
ip:port47.254.68.68:50050Cobalt Strikethreatfox
ip:port47.251.29.219:50050Cobalt Strikethreatfox
ip:port149.88.66.234:21Cobalt Strikethreatfox
ip:port47.108.86.120:22Cobalt Strikethreatfox

+1597 indicadores en total. Míralos todos en la página de IOCs.

Referencias

El grupo Aquatic Panda usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →