APT38

Origem🇰🇵 Coreia do Norte

Técnicas (MITRE ATT&CK)56

FonteMITRE ATT&CK

Patrocínio estatal: Korea (Democratic People's Republic of)Confiança da atribuição: 50%Categorias-alvo: Government, Private sector

Regiões visadas: South Korea · Bangladesh Bank · Sony Pictures Entertainment · United States · Thailand · France · China · Hong Kong · United Kingdom · Guatemala +9

Também conhecido como:APT-C-26ATK117ATK3AndarielApplewormBeagleBoyzBlack ArtemisBluenoroffBureau 121COPERNICIUMCOVELLITECitrine SleetDEV-0139DEV-1222Dark SeoulDiamond SleetG0032G0082Group 77Hastati GroupHidden CobraLabyrinth ChollimaLazarus groupMoonstone SleetNICKEL GLADSTONENewRomanic Cyber Army TeamNickel AcademyOperation AppleJeusOperation DarkSeoulOperation GhostSecretOperation TroySapphire SleetStardust ChollimaSubgroup: BluenoroffTA404Unit 121Whois Hacking TeamZINCZinc

Análise Vexday

APT38 é um grupo de ameaça persistente avançada patrocinado pelo Estado norte-coreano, atribuído ao Reconnaissance General Bureau, com atuação documentada desde pelo menos 2014. O grupo é especializado em operações financeiras cibernéticas, tendo como alvos bancos, instituições financeiras, cassinos, exchanges de criptomoedas, endpoints do sistema SWIFT e caixas eletrônicos em pelo menos 38 países. Entre suas operações de maior impacto estão o roubo de US$ 81 milhões do Banco de Bangladesh em 2016 e ataques contra o Bancomext e o Banco de Chile, alguns dos quais com caráter destrutivo. O grupo é rastreado pelo MITRE ATT&CK sob o identificador G0082, com 56 técnicas documentadas e 2 CVEs atribuídas, sendo também reconhecido pelos aliases NICKEL GLADSTONE, BeagleBoyz, Bluenoroff, Stardust Chollima, Sapphire Sleet e COPERNICIUM.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal68

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 56

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos

Domains Tool

Acesso inicial

Drive-by Compromise Spearphishing Attachment

Execução

Cron Scheduled Task PowerShell Windows Command Shell Visual Basic Native API Malicious Link Malicious File Service Execution

Persistência

Web Shell Windows Service

Escalada de privilégio

Bypass User Account Control

Acesso a credenciais

Brute Force

Descoberta

System Owner/User Discovery System Network Connections Discovery Process Discovery System Information Discovery File and Directory Discovery Network Share Discovery Browser Information Discovery Security Software Discovery

Coleta

Data from Local System Keylogging Clipboard Data

Comando e controle

Web Protocols Ingress Tool Transfer

Impacto

Data Destruction Data Encrypted for Impact System Shutdown/Reboot Disk Structure Wipe Stored Data Manipulation Transmitted Data Manipulation Runtime Data Manipulation

defense-impairment

Modify Registry Mark-of-the-Web Bypass Disable or Modify Tools Clear Windows Event Logs Disable or Modify System Firewall Network Device Firewall Prevent Command History Logging

stealth

Software Packing Rename Legitimate Utilities Space after Filename Process Injection File Deletion Timestomp Deobfuscate/Decode Files or Information Compiled HTML File Mshta Msiexec Rundll32 Mutual Exclusion

Vulnerabilidades exploradas 2

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2024-55591CRITICALEPSS 94%KEV MITRE ATT&CK

CVE-2017-8625EPSS 15% MITRE ATT&CK

Infraestrutura conhecida 28

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port188.132.242.67:8731DarkCometthreatfox

ip:port87.243.97.168:100DarkCometthreatfox

ip:port188.132.242.67:8087DarkCometthreatfox

urlhttp://92.127.156.174:8880/master.exeMimiKatzthreatfox

ip:port69.40.43.85:1604DarkCometthreatfox

ip:port74.162.154.113:1604DarkCometthreatfox

ip:port87.243.97.168:1604DarkCometthreatfox

md5_hashfec27228340485485f6902f8759bbd62MimiKatzthreatfox

sha256_hashf9d53fdcc12d548e6c9bd395642f30d2b2c6a9a4204bc0948badf8a7c571c072MimiKatzthreatfox

sha1_hash07b35a3b431e653ddcf36cecd49793d538e2aa79MimiKatzthreatfox

ip:port92.137.236.176:4444DarkCometthreatfox

ip:port88.231.147.247:1660DarkCometthreatfox

ip:port132.243.172.182:1604DarkCometthreatfox

ip:port189.150.86.165:1604DarkCometthreatfox

ip:port82.153.241.181:1604DarkCometthreatfox

ip:port189.150.106.61:2320DarkCometthreatfox

ip:port170.244.195.143:3000DarkCometthreatfox

ip:port79.100.86.116:1604DarkCometthreatfox

ip:port207.189.23.198:1024DarkCometthreatfox

ip:port176.129.203.146:1604DarkCometthreatfox

ip:port105.100.163.183:1604DarkCometthreatfox

ip:port151.247.193.128:7777DarkCometthreatfox

ip:port189.150.133.139:1604DarkCometthreatfox

ip:port86.109.75.132:7777DarkCometthreatfox

ip:port86.109.75.132:1604DarkCometthreatfox

md5_hash77c96f339974b65ae435313a8fcc3b35MimiKatzthreatfox

sha1_hashc5ec7e2ad924e832e49fbac9d0c82719b570e080MimiKatzthreatfox

sha256_hash889cc3e793cb39889c7acc8e73a84973e9a08fcd69451f7b546509c74ffdda90MimiKatzthreatfox

Referências

O grupo APT38 usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →