LuminousMoth

APT / EstatalG1014 ↗
Origen🇨🇳 China
Técnicas (MITRE ATT&CK)28
FuenteMITRE ATT&CK
Patrocinio estatal: ChinaConfianza de atribución: 50%Categorías objetivo: Civil society
Regiones atacadas: United States · Germany
También conocido como:BASINBASIN CASTLEBRONZE PRESIDENTEarth PretaHive0154HoneyMyteITG27Mustang PandaPolarisRed LichStately TaurusTA416TANTALUMTEMP.HEXTwill TyphoonUNK_SteadySplit

Sobre el grupo

LuminousMoth is a Chinese-speaking cyber espionage group that has been active since at least October 2020. LuminousMoth has targeted high-profile organizations, including government entities, in Myanmar, the Philippines, Thailand, and other parts of Southeast Asia. Some security researchers have concluded there is a connection between LuminousMoth and Mustang Panda based on similar targeting and TTPs, as well as network infrastructure overlaps.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal46
Impacto: Alto
T1566.002T1053.005T1547.001T1539T1091T1005ENTRYAcceso inicialSpearphishing LinkEXECEjecuciónScheduled TaskPERSPersistenciaRegistry Run Keys/ Startup FolderCREDAcceso a credencialesSteal Web SessionCookieLATMovimiento lateralReplicationThrough Removable…COLLRecolecciónData from LocalSystemEXFILExfiltraciónData Transfer SizeLimits

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 28

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Preparación de recursos
MalwareMalwareToolDigital CertificatesUpload MalwareDrive-by TargetLink Target
Acceso inicial
Spearphishing Link
Ejecución
Scheduled TaskMalicious Link
Persistencia
Registry Run Keys / Startup Folder
Acceso a credenciales
Steal Web Session CookieARP Cache Poisoning
Descubrimiento
System Owner/User DiscoveryFile and Directory Discovery
Movimiento lateral
Replication Through Removable Media
Recolección
Data from Local SystemArchive Collected Data
Comando y control
Web ProtocolsIngress Tool Transfer
Exfiltración
Data Transfer Size LimitsExfiltration Over C2 ChannelExfiltration to Cloud Storage
defense-impairment
Modify RegistryCode Signing
stealth
Match Legitimate Resource Name or LocationHidden Files and DirectoriesDLL

Vulnerabilidades explotadas

Ninguna CVE atribuida a este grupo en las fuentes públicas (MITRE ATT&CK). La ausencia de atribución no significa ausencia de actividad.

Infraestructura conocida 2986

Indicadores reales (C2, dominios, URLs y hashes) asociados al malware que usa este grupo. Fuente: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port114.215.184.158:8000Cobalt Strikethreatfox
urlhttp://69.49.229.88:443/MQEwCobalt Strikethreatfox
ip:port154.12.17.20:8080Cobalt Strikethreatfox
ip:port154.12.17.20:22Cobalt Strikethreatfox
ip:port154.12.17.20:443Cobalt Strikethreatfox
ip:port154.12.17.20:80Cobalt Strikethreatfox
ip:port129.204.55.230:443Cobalt Strikethreatfox
ip:port47.94.56.71:8080Cobalt Strikethreatfox
ip:port47.94.56.71:80Cobalt Strikethreatfox
ip:port47.94.56.71:443Cobalt Strikethreatfox
ip:port45.227.253.132:8080Cobalt Strikethreatfox
ip:port45.227.253.132:80Cobalt Strikethreatfox
ip:port45.227.253.132:443Cobalt Strikethreatfox
ip:port45.227.253.132:32775Cobalt Strikethreatfox
ip:port117.158.148.164:65535Cobalt Strikethreatfox
ip:port38.76.190.209:8888Cobalt Strikethreatfox
ip:port188.227.14.105:8080Cobalt Strikethreatfox
ip:port186.241.115.168:12443Cobalt Strikethreatfox
ip:port109.206.247.245:10881Cobalt Strikethreatfox
ip:port43.134.112.45:7500Cobalt Strikethreatfox
ip:port43.134.112.45:7000Cobalt Strikethreatfox
ip:port43.134.112.45:80Cobalt Strikethreatfox
ip:port43.134.112.45:8080Cobalt Strikethreatfox
ip:port43.134.112.45:443Cobalt Strikethreatfox
ip:port43.134.112.45:22Cobalt Strikethreatfox
ip:port101.34.208.175:18317Cobalt Strikethreatfox
sha1_hash2ff26540ebb9100dae76a2ae040108ba9338113cCobalt Strikethreatfox
md5_hashe4a34372eab0832d0682fa986a8e0b97Cobalt Strikethreatfox
sha256_hash35afe2df347cb0909fdf2aba8ed6a506a681518a98c0a723b25a16957437f944Cobalt Strikethreatfox
sha256_hash224aec5fec1f907ce152895095f56a3a2f2db0d627633ee691af56a13f34e7f8Cobalt Strikethreatfox

+2986 indicadores en total. Míralos todos en la página de IOCs.

Referencias

El grupo LuminousMoth usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →