Leviathan

Origen🇨🇳 China

Técnicas (MITRE ATT&CK)50

FuenteMITRE ATT&CK

Patrocinio estatal: ChinaConfianza de atribución: 50%Categorías objetivo: Government, Private sector

Regiones atacadas: United States · Hong Kong · The Philippines · Asia Pacific Economic Cooperation · Cambodia · Belgium · Germany · Philippines · Malaysia · Norway +3

También conocido como:APT40ATK29BRONZE MOHAWKG0065GADOLINIUMGadoliniumGingham TyphoonISLAND CASTLEISLANDDREAMSITG09KRYPTONITE PANDAKryptonite PandaMUDCARPRed LadonTA423TEMP.JumperTEMP.Periscope

Sobre el grupo

Leviathan is a Chinese state-sponsored cyber espionage group that has been attributed to the Ministry of State Security's (MSS) Hainan State Security Department and an affiliated front company. Active since at least 2009, Leviathan has targeted the following sectors: academia, aerospace/aviation, biomedical, defense industrial base, government, healthcare, manufacturing, maritime, and transportation across the US, Canada, Australia, Europe, the Middle East, and Southeast Asia.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal82

Impacto: Alto

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 50

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Reconocimiento

Credentials Vulnerability Scanning

Preparación de recursos

Domains Server Network Devices Social Media Accounts Email Accounts Social Media Accounts Email Accounts Exploits

Acceso inicial

Drive-by Compromise Exploit Public-Facing Application Spearphishing Attachment Spearphishing Link

Ejecución

Windows Management Instrumentation PowerShell Visual Basic Exploitation for Client Execution Malicious Link Malicious File Dynamic Data Exchange

Persistencia

External Remote Services Web Shell Registry Run Keys / Startup Folder Shortcut Modification

Escalada de privilegios

Windows Management Instrumentation Event Subscription

Acceso a credenciales

OS Credential Dumping LSASS Memory

Movimiento lateral

Remote Desktop Protocol SSH Internal Spearphishing

Recolección

Local Data Staging Remote Data Staging Archive Collected Data

Comando y control

Multi-hop Proxy One-Way Communication Ingress Tool Transfer Protocol Tunneling

Exfiltración

Exfiltration Over C2 Channel Exfiltration to Cloud Storage

defense-impairment

Code Signing

stealth

Binary Padding Steganography Encrypted/Encoded File Compression Dynamic-link Library Injection Valid Accounts Deobfuscate/Decode Files or Information BITS Jobs Regsvr32

Vulnerabilidades explotadas 5

CVEs que este grupo es conocido por explotar, según MITRE ATT&CK. Ordenadas por gravedad real.

CVE-2017-11882HIGHEPSS 100%KEV MITRE ATT&CK

CVE-2014-7169CRITICALEPSS 100%KEV MITRE ATT&CK

CVE-2017-0199HIGHEPSS 100%KEV MITRE ATT&CK

CVE-2017-8759HIGHEPSS 89%KEV MITRE ATT&CK

CVE-2016-6662EPSS 68% MITRE ATT&CK

Referencias

El grupo Leviathan usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →