ToddyCat

APT / EstatalG1022 ↗
Técnicas (MITRE ATT&CK)25
FuenteMITRE ATT&CK
Categorías objetivo: Military, Government
Regiones atacadas: Afghanistan · India · Indonesia · Iran · Kyrgyzstan · Malaysia · Pakistan · Russia · Slovakia · Taiwan +4
También conocido como:Websiic

Sobre el grupo

ToddyCat is a sophisticated threat group that has been active since at least 2020 using custom loaders and malware in multi-stage infection chains against government and military targets across Europe and Asia.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal55
Impacto: Alto
T1190T1047T1018T1021.002T1005ENTRYAcceso inicialExploitPublic-Facing App…EXECEjecuciónWindows ManagementInstrumentationDISCDescubrimientoRemote SystemDiscoveryLATMovimiento lateralSMB/Windows AdminSharesCOLLRecolecciónData from LocalSystemEXFILExfiltraciónExfiltration toCloud Storage

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 25

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Acceso inicial
Exploit Public-Facing ApplicationSpearphishing via Service
Ejecución
Windows Management InstrumentationScheduled TaskPowerShellWindows Command ShellNative API
Descubrimiento
Remote System DiscoverySystem Network Connections DiscoveryProcess DiscoveryDomain GroupsFile and Directory DiscoveryDomain AccountSecurity Software DiscoveryLocal Storage Discovery
Movimiento lateral
SMB/Windows Admin Shares
Recolección
Data from Local SystemRemote Data StagingArchive via Utility
Comando y control
Non-Application Layer Protocol
Exfiltración
Exfiltration to Cloud Storage
defense-impairment
Disable or Modify System Firewall
stealth
Match Legitimate Resource Name or LocationDomain AccountsHidden Window

Vulnerabilidades explotadas 3

CVEs que este grupo es conocido por explotar, según MITRE ATT&CK. Ordenadas por gravedad real.

CVE-2021-26855CRITICALEPSS 100%KEV MITRE ATT&CK
CVE-2014-7169CRITICALEPSS 100%KEV MITRE ATT&CK
CVE-2016-6662EPSS 68% MITRE ATT&CK

Infraestructura conocida 2986

Indicadores reales (C2, dominios, URLs y hashes) asociados al malware que usa este grupo. Fuente: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port114.215.184.158:8000Cobalt Strikethreatfox
urlhttp://69.49.229.88:443/MQEwCobalt Strikethreatfox
ip:port154.12.17.20:8080Cobalt Strikethreatfox
ip:port154.12.17.20:22Cobalt Strikethreatfox
ip:port154.12.17.20:443Cobalt Strikethreatfox
ip:port154.12.17.20:80Cobalt Strikethreatfox
ip:port129.204.55.230:443Cobalt Strikethreatfox
ip:port47.94.56.71:8080Cobalt Strikethreatfox
ip:port47.94.56.71:80Cobalt Strikethreatfox
ip:port47.94.56.71:443Cobalt Strikethreatfox
ip:port45.227.253.132:8080Cobalt Strikethreatfox
ip:port45.227.253.132:80Cobalt Strikethreatfox
ip:port45.227.253.132:443Cobalt Strikethreatfox
ip:port45.227.253.132:32775Cobalt Strikethreatfox
ip:port117.158.148.164:65535Cobalt Strikethreatfox
ip:port38.76.190.209:8888Cobalt Strikethreatfox
ip:port188.227.14.105:8080Cobalt Strikethreatfox
ip:port186.241.115.168:12443Cobalt Strikethreatfox
ip:port109.206.247.245:10881Cobalt Strikethreatfox
ip:port43.134.112.45:7500Cobalt Strikethreatfox
ip:port43.134.112.45:7000Cobalt Strikethreatfox
ip:port43.134.112.45:80Cobalt Strikethreatfox
ip:port43.134.112.45:8080Cobalt Strikethreatfox
ip:port43.134.112.45:443Cobalt Strikethreatfox
ip:port43.134.112.45:22Cobalt Strikethreatfox
ip:port101.34.208.175:18317Cobalt Strikethreatfox
sha1_hash2ff26540ebb9100dae76a2ae040108ba9338113cCobalt Strikethreatfox
md5_hashe4a34372eab0832d0682fa986a8e0b97Cobalt Strikethreatfox
sha256_hash35afe2df347cb0909fdf2aba8ed6a506a681518a98c0a723b25a16957437f944Cobalt Strikethreatfox
sha256_hash224aec5fec1f907ce152895095f56a3a2f2db0d627633ee691af56a13f34e7f8Cobalt Strikethreatfox

+2986 indicadores en total. Míralos todos en la página de IOCs.

Referencias

El grupo ToddyCat usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →