Gamaredon Group

Origen🇷🇺 Rússia

Técnicas (MITRE ATT&CK)70

FuenteMITRE ATT&CK

Categorías objetivo: Government

Regiones atacadas: Ukraine · Germany

También conocido como:ACTINIUMActiniumAqua BlizzardArmageddonBlue OtsoBlueAlphaDEV-0157G0047IRON TILDENNastyShrewPRIMITIVE BEARPrimitive BearShuckwormTrident UrsaUAC-0010Winterflounder

Análisis Vexday

Gamaredon Group é um grupo suspeito de espionagem cibernética de origem russa que atua contra organizações militares, de segurança pública, do judiciário, sem fins lucrativos e não governamentais na Ucrânia desde pelo menos 2013. Em novembro de 2021, o governo ucraniano atribuiu publicamente o grupo ao Centro 18 do Serviço Federal de Segurança da Rússia (FSB), avaliação posteriormente corroborada por múltiplos pesquisadores independentes de segurança. Registrado no MITRE ATT&CK como G0047, o grupo é rastreado sob os aliases IRON TILDEN, Primitive Bear, ACTINIUM, Armageddon, Shuckworm e DEV-0157, com 70 técnicas documentadas na base de conhecimento.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal59

Impacto: Alto

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 70

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Preparación de recursos

Domains Virtual Private Server Web Services Digital Certificates Tool Upload Malware

Acceso inicial

Spearphishing Attachment

Ejecución

Windows Management Instrumentation Scheduled Task PowerShell Windows Command Shell Visual Basic Native API Malicious Link Malicious File Component Object Model

Persistencia

Office Application Startup Registry Run Keys / Startup Folder

Descubrimiento

Query Registry Internet Connection Discovery System Owner/User Discovery Process Discovery System Information Discovery File and Directory Discovery Peripheral Device Discovery Security Software Discovery

Movimiento lateral

VNC Taint Shared Content Replication Through Removable Media Internal Spearphishing

Recolección

Data from Local System Data from Removable Media Data from Network Shared Drive Screen Capture Automated Collection

Comando y control

Data Obfuscation Web Protocols Proxy Multi-hop Proxy Non-Application Layer Protocol Web Service Bidirectional Communication One-Way Communication Ingress Tool Transfer Dynamic Resolution Fast Flux DNS Non-Standard Port

Exfiltración

Automated Exfiltration Exfiltration Over C2 Channel

Impacto

Internal Defacement Disk Content Wipe

defense-impairment

Modify Registry Disable or Modify Tools

stealth

Obfuscated Files or Information Compile After Delivery Command Obfuscation LNK Icon Smuggling Compression Junk Code Insertion Match Legitimate Resource Name or Location Process Injection File Deletion Deobfuscate/Decode Files or Information Mshta Rundll32 Template Injection Execution Guardrails System Checks Hidden Window Reflective Code Loading

Vulnerabilidades explotadas

Ninguna CVE atribuida a este grupo en las fuentes públicas (MITRE ATT&CK). La ausencia de atribución no significa ausencia de actividad.

Infraestructura conocida 466

Indicadores reales (C2, dominios, URLs y hashes) asociados al malware que usa este grupo. Fuente: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port103.83.87.87:26900Remcosthreatfox

ip:port103.83.87.87:22300Remcosthreatfox

ip:port103.83.87.87:27900Remcosthreatfox

ip:port103.83.87.87:24900Remcosthreatfox

domainwhichkindwahalabethisonesooluwahelurboi.duckdns.orgRemcosthreatfox

ip:port155.103.69.20:14647Remcosthreatfox

domaineventras.duckdns.orgRemcosthreatfox

ip:port107.175.88.92:2404Remcosthreatfox

ip:port87.120.244.219:13131Remcosthreatfox

ip:port77.110.108.14:9001Remcosthreatfox

ip:port80.97.160.237:23401Remcosthreatfox

ip:port91.193.7.162:13309Remcosthreatfox

ip:port185.91.126.112:443Remcosthreatfox

ip:port45.74.3.160:2404Remcosthreatfox

ip:port144.24.14.113:7005Remcosthreatfox

ip:port104.251.181.148:1427Remcosthreatfox

ip:port185.116.238.123:8088Remcosthreatfox

ip:port15.204.115.143:2404Remcosthreatfox

ip:port104.251.181.148:443Remcosthreatfox

ip:port104.251.181.148:80Remcosthreatfox

ip:port185.91.126.107:443Remcosthreatfox

domainxoso6640.comRemcosthreatfox

domainaseguradora2026.kozow.comRemcosthreatfox

domain2301amarilloa.kozow.comRemcosthreatfox

domainnordking.spaceRemcosthreatfox

domainnordkingbackup.spaceRemcosthreatfox

domaincreatifanay.duckdns.orgRemcosthreatfox

domaincrushanytics.duckdns.orgRemcosthreatfox

domainnordkingbackup1.spaceRemcosthreatfox

domainnordkingbackup2.spaceRemcosthreatfox

+466 indicadores en total. Míralos todos en la página de IOCs.

Referencias

El grupo Gamaredon Group usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →