APT-C-36

Técnicas (MITRE ATT&CK)38

FonteMITRE ATT&CK

Categorias-alvo: Petroleum, Manufacturing, Financial, Private sector, Government

Regiões visadas: Ecuador · Colombia · Spain · Panama · Chile

Também conhecido como:APT-Q-98AguilaCiegaBlind EagleTAG-144

Análise Vexday

Grupo de ameaça persistente avançada de origem sul-americana, o APT-C-36 — também rastreado como Blind Eagle, TAG-144, AguilaCiega e APT-Q-98 (identificador MITRE ATT&CK: G0099) — conduz operações de espionagem e motivadas financeiramente ao menos desde 2018. Suas atividades têm como alvo instituições governamentais e entidades dos setores financeiro, energético e de manufatura na Colômbia e em outros países da América Latina. Ao grupo são atribuídas 38 técnicas documentadas na base MITRE ATT&CK.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal39

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 38

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Reconhecimento

Search Open Websites/Domains

Preparação de recursos

Domains Virtual Private Server Web Services Botnet Email Accounts Cloud Accounts Malware Malware Tool Upload Malware Written Content Audio-Visual Content

Acesso inicial

Spearphishing Attachment Spearphishing Link

Execução

Windows Management Instrumentation Scheduled Task PowerShell Visual Basic JavaScript Malicious Link Malicious File

Persistência

External Remote Services

Movimento lateral

Internal Spearphishing

Comando e controle

Ingress Tool Transfer Dynamic Resolution Non-Standard Port

stealth

Obfuscated Files or Information Steganography Encrypted/Encoded File Junk Code Insertion Masquerade Task or Service Match Legitimate Resource Name or Location Process Hollowing Execution Guardrails Hidden Window DLL Impersonation

Vulnerabilidades exploradas

Nenhuma CVE atribuída a este grupo nas fontes públicas (MITRE ATT&CK). Ausência de atribuição não significa ausência de atividade.

Infraestrutura conhecida 748

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

urlhttp://dsfdsfs.xsph.ru/L1nc0In.phpDCRatthreatfox

sha256_hash24fdc48249a04de295cbcc222a9da62ecffdf60cee25c3879bf12ccab3393282DCRatmalwarebazaar

urlhttp://ce557109.tw1.ru/L1nc0In.phpDCRatthreatfox

ip:port2.56.165.157:991NjRATthreatfox

ip:port91.202.233.120:8848DCRatthreatfox

ip:port103.83.87.87:27900Remcosthreatfox

ip:port103.83.87.87:26900Remcosthreatfox

ip:port103.83.87.87:24900Remcosthreatfox

ip:port103.83.87.87:22300Remcosthreatfox

domainwhichkindwahalabethisonesooluwahelurboi.duckdns.orgRemcosthreatfox

ip:port155.103.69.20:14647Remcosthreatfox

domaineventras.duckdns.orgRemcosthreatfox

ip:port107.175.88.92:2404Remcosthreatfox

ip:port45.74.3.160:2404Remcosthreatfox

ip:port87.120.244.219:13131Remcosthreatfox

ip:port185.91.126.112:443Remcosthreatfox

ip:port77.110.108.14:9001Remcosthreatfox

ip:port80.97.160.237:23401Remcosthreatfox

ip:port91.193.7.162:13309Remcosthreatfox

ip:port144.24.14.113:7005Remcosthreatfox

ip:port185.116.238.123:8088Remcosthreatfox

ip:port104.251.181.148:1427Remcosthreatfox

ip:port15.204.115.143:2404Remcosthreatfox

ip:port104.251.181.148:443Remcosthreatfox

ip:port104.251.181.148:80Remcosthreatfox

ip:port185.91.126.107:443Remcosthreatfox

domainxoso6640.comRemcosthreatfox

domainaseguradora2026.kozow.comRemcosthreatfox

domain2301amarilloa.kozow.comRemcosthreatfox

domainnordking.spaceRemcosthreatfox

+748 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo APT-C-36 usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →