Análise Vexday
APT19 é um grupo de ameaça persistente avançada de origem chinesa, rastreado pelo MITRE ATT&CK sob o identificador G0073 e também conhecido pelos aliases Codoso, C0d0so0, Codoso Team e Sunshop Group. O grupo tem como alvo uma variedade de setores, incluindo defesa, finanças, energia, farmacêutico, telecomunicações, alta tecnologia, educação, manufatura e serviços jurídicos. Em 2017, uma campanha de phishing foi utilizada contra sete escritórios de advocacia e firmas de investimento. Alguns analistas associam o APT19 ao grupo Deep Panda, embora não haja confirmação clara a partir de fontes abertas sobre se tratar da mesma entidade; ao todo, 21 técnicas MITRE ATT&CK são documentadas para este grupo.
Cadeia de ataque
Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.
Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).
Técnicas (MITRE ATT&CK) 21
Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.
Vulnerabilidades exploradas
Nenhuma CVE atribuída a este grupo nas fontes públicas (MITRE ATT&CK). Ausência de atribuição não significa ausência de atividade.
Infraestrutura conhecida 2986
Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).
114.215.184.158:8000Cobalt Strikethreatfoxhttp://69.49.229.88:443/MQEwCobalt Strikethreatfox154.12.17.20:8080Cobalt Strikethreatfox154.12.17.20:22Cobalt Strikethreatfox154.12.17.20:443Cobalt Strikethreatfox154.12.17.20:80Cobalt Strikethreatfox129.204.55.230:443Cobalt Strikethreatfox47.94.56.71:8080Cobalt Strikethreatfox47.94.56.71:80Cobalt Strikethreatfox47.94.56.71:443Cobalt Strikethreatfox45.227.253.132:8080Cobalt Strikethreatfox45.227.253.132:80Cobalt Strikethreatfox45.227.253.132:443Cobalt Strikethreatfox45.227.253.132:32775Cobalt Strikethreatfox117.158.148.164:65535Cobalt Strikethreatfox38.76.190.209:8888Cobalt Strikethreatfox188.227.14.105:8080Cobalt Strikethreatfox186.241.115.168:12443Cobalt Strikethreatfox109.206.247.245:10881Cobalt Strikethreatfox43.134.112.45:7500Cobalt Strikethreatfox43.134.112.45:7000Cobalt Strikethreatfox43.134.112.45:80Cobalt Strikethreatfox43.134.112.45:8080Cobalt Strikethreatfox43.134.112.45:443Cobalt Strikethreatfox43.134.112.45:22Cobalt Strikethreatfox101.34.208.175:18317Cobalt Strikethreatfox2ff26540ebb9100dae76a2ae040108ba9338113cCobalt Strikethreatfoxe4a34372eab0832d0682fa986a8e0b97Cobalt Strikethreatfox35afe2df347cb0909fdf2aba8ed6a506a681518a98c0a723b25a16957437f944Cobalt Strikethreatfox224aec5fec1f907ce152895095f56a3a2f2db0d627633ee691af56a13f34e7f8Cobalt Strikethreatfox+2986 indicadores no total. Veja todos na página de IOCs.
Referências
O grupo APT19 usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.
Conhecer o Pentest Autônomo com IA →