APT32

Origem🇻🇳 Vietnã

Técnicas (MITRE ATT&CK)78

FonteMITRE ATT&CK

Patrocínio estatal: VietnamConfiança da atribuição: 50%Categorias-alvo: Government, Private sector, Civil society

Regiões visadas: China · Germany · United States · Vietnam · Philippines · Association of Southeast Asian Nations

Também conhecido como:APT-C-00ATK17BISMUTHCanvas CycloneCobalt KittyG0050Ocean BuffaloOcean LotusOceanLotusOceanLotus GroupPOND LOACHSea LotusSeaLotusTIN WOODLAWN

Análise Vexday

APT32, também conhecido como OceanLotus, SeaLotus, BISMUTH e Canvas Cyclone (identificador MITRE ATT&CK G0050), é um grupo de ameaça persistente avançada de origem vietnamita ativo pelo menos desde 2014. O grupo tem como alvos múltiplos setores da iniciativa privada, governos estrangeiros, dissidentes e jornalistas, com forte concentração em países do Sudeste Asiático como Vietnã, Filipinas, Laos e Camboja. Entre seus métodos, destaca-se o uso extensivo de comprometimentos estratégicos de sites para atingir vítimas, com 78 técnicas documentadas no MITRE ATT&CK e 2 CVEs atribuídas ao grupo.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal84

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 78

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Reconhecimento

Gather Victim Identity Information Email Addresses Spearphishing Link

Preparação de recursos

Domains Web Services Social Media Accounts Tool Upload Malware Drive-by Target

Acesso inicial

Drive-by Compromise Spearphishing Attachment Spearphishing Link

Execução

Windows Management Instrumentation Scheduled Task Command and Scripting Interpreter PowerShell Windows Command Shell Visual Basic JavaScript Software Deployment Tools Exploitation for Client Execution Malicious Link Malicious File Service Execution

Persistência

Office Application Startup Web Shell Windows Service Registry Run Keys / Startup Folder

Escalada de privilégio

Exploitation for Privilege Escalation

Acesso a credenciais

OS Credential Dumping LSASS Memory Credentials in Registry

Descoberta

Query Registry System Network Configuration Discovery Remote System Discovery System Owner/User Discovery Network Service Discovery System Network Connections Discovery System Information Discovery File and Directory Discovery Local Account Network Share Discovery

Movimento lateral

SMB/Windows Admin Shares Pass the Hash Pass the Ticket Lateral Tool Transfer

Coleta

Keylogging Archive Collected Data

Comando e controle

Web Protocols Mail Protocols Web Service Ingress Tool Transfer Non-Standard Port

Exfiltração

Exfiltration Over C2 Channel Exfiltration Over Unencrypted Non-C2 Protocol

defense-impairment

Modify Registry Linux and Mac Permissions Clear Windows Event Logs

Vulnerabilidades exploradas 2

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2017-11882HIGHEPSS 100%KEV MITRE ATT&CK

CVE-2016-7255HIGHEPSS 81%KEV MITRE ATT&CK

Infraestrutura conhecida 2993

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port114.215.184.158:8000Cobalt Strikethreatfox

urlhttp://69.49.229.88:443/MQEwCobalt Strikethreatfox

ip:port154.12.17.20:8080Cobalt Strikethreatfox

ip:port154.12.17.20:22Cobalt Strikethreatfox

ip:port154.12.17.20:443Cobalt Strikethreatfox

ip:port154.12.17.20:80Cobalt Strikethreatfox

ip:port129.204.55.230:443Cobalt Strikethreatfox

ip:port47.94.56.71:8080Cobalt Strikethreatfox

ip:port47.94.56.71:80Cobalt Strikethreatfox

ip:port47.94.56.71:443Cobalt Strikethreatfox

ip:port45.227.253.132:8080Cobalt Strikethreatfox

ip:port45.227.253.132:80Cobalt Strikethreatfox

ip:port45.227.253.132:443Cobalt Strikethreatfox

ip:port45.227.253.132:32775Cobalt Strikethreatfox

ip:port117.158.148.164:65535Cobalt Strikethreatfox

ip:port38.76.190.209:8888Cobalt Strikethreatfox

ip:port188.227.14.105:8080Cobalt Strikethreatfox

ip:port186.241.115.168:12443Cobalt Strikethreatfox

ip:port109.206.247.245:10881Cobalt Strikethreatfox

ip:port43.134.112.45:7500Cobalt Strikethreatfox

ip:port43.134.112.45:7000Cobalt Strikethreatfox

ip:port43.134.112.45:80Cobalt Strikethreatfox

ip:port43.134.112.45:8080Cobalt Strikethreatfox

ip:port43.134.112.45:443Cobalt Strikethreatfox

ip:port43.134.112.45:22Cobalt Strikethreatfox

ip:port101.34.208.175:18317Cobalt Strikethreatfox

sha1_hash2ff26540ebb9100dae76a2ae040108ba9338113cCobalt Strikethreatfox

md5_hashe4a34372eab0832d0682fa986a8e0b97Cobalt Strikethreatfox

sha256_hash35afe2df347cb0909fdf2aba8ed6a506a681518a98c0a723b25a16957437f944Cobalt Strikethreatfox

sha256_hash224aec5fec1f907ce152895095f56a3a2f2db0d627633ee691af56a13f34e7f8Cobalt Strikethreatfox

+2993 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo APT32 usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →