ToddyCat

Técnicas (MITRE ATT&CK)25

FuenteMITRE ATT&CK

Categorías objetivo: Military, Government

Regiones atacadas: Afghanistan · India · Indonesia · Iran · Kyrgyzstan · Malaysia · Pakistan · Russia · Slovakia · Taiwan +4

Análisis Vexday

ToddyCat é um grupo APT sofisticado, ativo desde pelo menos 2020, que utiliza carregadores e malwares personalizados em cadeias de infecção multiestágio contra alvos governamentais e militares na Europa e na Ásia. O grupo possui 25 técnicas documentadas no MITRE ATT&CK (identificador G1022) e é associado à exploração de 3 CVEs.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal55

Impacto: Alto

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 25

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Acceso inicial

Exploit Public-Facing Application Spearphishing via Service

Ejecución

Windows Management Instrumentation Scheduled Task PowerShell Windows Command Shell Native API

Descubrimiento

Remote System Discovery System Network Connections Discovery Process Discovery Domain Groups File and Directory Discovery Domain Account Security Software Discovery Local Storage Discovery

Movimiento lateral

SMB/Windows Admin Shares

Recolección

Data from Local System Remote Data Staging Archive via Utility

Comando y control

Non-Application Layer Protocol

Exfiltración

Exfiltration to Cloud Storage

defense-impairment

Disable or Modify System Firewall

stealth

Match Legitimate Resource Name or Location Domain Accounts Hidden Window

Vulnerabilidades explotadas 3

CVEs que este grupo es conocido por explotar, según MITRE ATT&CK. Ordenadas por gravedad real.

CVE-2021-26855CRITICALEPSS 100%KEV CVE-2014-7169CRITICALEPSS 100%KEV CVE-2016-6662EPSS 68%

Infraestructura conocida 1255

Indicadores reales (C2, dominios, URLs y hashes) asociados al malware que usa este grupo. Fuente: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port68.64.182.169:110Cobalt Strikethreatfox

ip:port68.64.182.169:465Cobalt Strikethreatfox

ip:port101.42.255.92:8443Cobalt Strikethreatfox

ip:port68.64.182.169:995Cobalt Strikethreatfox

ip:port68.64.182.169:7000Cobalt Strikethreatfox

ip:port68.64.182.169:8000Cobalt Strikethreatfox

ip:port68.64.182.169:7010Cobalt Strikethreatfox

ip:port8.163.59.20:22Cobalt Strikethreatfox

ip:port178.128.80.204:22Cobalt Strikethreatfox

ip:port68.64.182.169:4190Cobalt Strikethreatfox

ip:port68.64.182.169:993Cobalt Strikethreatfox

ip:port91.92.42.118:13019Cobalt Strikethreatfox

ip:port118.31.18.77:2301Cobalt Strikethreatfox

ip:port119.29.122.42:8080Cobalt Strikethreatfox

ip:port68.64.182.169:587Cobalt Strikethreatfox

ip:port119.29.122.42:80Cobalt Strikethreatfox

ip:port119.29.122.42:443Cobalt Strikethreatfox

ip:port68.64.182.169:3306Cobalt Strikethreatfox

ip:port68.64.182.169:8010Cobalt Strikethreatfox

ip:port68.64.182.169:5727Cobalt Strikethreatfox

ip:port68.64.182.169:111Cobalt Strikethreatfox

ip:port68.64.182.169:443Cobalt Strikethreatfox

ip:port68.64.182.169:8080Cobalt Strikethreatfox

ip:port159.75.123.199:21Cobalt Strikethreatfox

ip:port68.64.183.127:8090Cobalt Strikethreatfox

ip:port68.64.183.127:5555Cobalt Strikethreatfox

ip:port139.196.217.227:80Cobalt Strikethreatfox

ip:port159.75.123.199:5003Cobalt Strikethreatfox

ip:port156.239.47.245:80Cobalt Strikethreatfox

ip:port156.239.47.245:8080Cobalt Strikethreatfox

+1255 indicadores en total. Míralos todos en la página de IOCs.

Referencias

El grupo ToddyCat usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →