Aquatic Panda

Origem🇨🇳 China

Técnicas (MITRE ATT&CK)35

FonteMITRE ATT&CK

Categorias-alvo: Gambling companies, Government Institutions, Education, Media and Entertainment, Pro-democracy and human rights political organizations, Telecommunications, Religious organization, Cryptocurrency, Medical, Covid-19 research organizations

Regiões visadas: Australia · China · France · Germany · Hong Kong · Japan · Mongolia · Nepal · Nigeria · Philippines +5

Também conhecido como:BRONZE UNIVERSITYBountyGladCHROMIUMCharcoal TyphoonControlXFISHMONGERRed Dev 10Red ScyllaRedHotelTAG-22

Análise Vexday

Aquatic Panda é um grupo APT de origem chinesa com dupla missão de coleta de inteligência e espionagem industrial, ativo pelo menos desde maio de 2020. Suas operações têm como alvos prioritários entidades dos setores de telecomunicações, tecnologia e governo. O grupo é rastreado pelo MITRE ATT&CK sob o identificador G0143, com 35 técnicas documentadas atribuídas ao seu arsenal.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal46

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 35

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Reconhecimento

Vulnerability Scanning

Preparação de recursos

Malware Tool

Execução

Windows Management Instrumentation PowerShell Windows Command Shell Unix Shell

Persistência

Windows Service

Acesso a credenciais

LSASS Memory

Descoberta

System Service Discovery System Owner/User Discovery System Information Discovery Account Discovery Security Software Discovery Log Enumeration

Movimento lateral

Remote Services Remote Desktop Protocol SMB/Windows Admin Shares SSH Pass the Hash

Coleta

Data from Local System Archive via Utility

Comando e controle

Ingress Tool Transfer

defense-impairment

Modify Registry Disable or Modify Tools Clear Windows Event Logs

stealth

Command Obfuscation Masquerade Task or Service Match Legitimate Resource Name or Location Clear Command History File Deletion Domain Accounts Rundll32 DLL Dynamic Linker Hijacking

Vulnerabilidades exploradas

Nenhuma CVE atribuída a este grupo nas fontes públicas (MITRE ATT&CK). Ausência de atribuição não significa ausência de atividade.

Infraestrutura conhecida 3144

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port114.215.184.158:8000Cobalt Strikethreatfox

urlhttp://69.49.229.88:443/MQEwCobalt Strikethreatfox

ip:port154.12.17.20:8080Cobalt Strikethreatfox

ip:port154.12.17.20:22Cobalt Strikethreatfox

ip:port154.12.17.20:443Cobalt Strikethreatfox

ip:port154.12.17.20:80Cobalt Strikethreatfox

ip:port129.204.55.230:443Cobalt Strikethreatfox

ip:port47.94.56.71:8080Cobalt Strikethreatfox

ip:port47.94.56.71:80Cobalt Strikethreatfox

ip:port47.94.56.71:443Cobalt Strikethreatfox

md5_hash1cf8cce965f8f2089ce67ef811b29d13NjRATthreatfox

sha256_hashd7fea5f6217db6e04f75333a65a46cdfcc523c7f3ddc29cfaecb18cd8876ea98NjRATthreatfox

sha1_hashca868ac1e4f42282fb74865fc2f9edf38b052e4bNjRATthreatfox

sha256_hashd5c4983535d57d69fc6f8c09ff4a3838d6a61ac6b149de67b89c0c062968d9cdNjRATthreatfox

sha1_hash19dc42491a499830d7638933b5f457740ffce395NjRATthreatfox

md5_hash1742ad51f743c9e518abec7fc6f9451bNjRATthreatfox

ip:port45.227.253.132:8080Cobalt Strikethreatfox

ip:port45.227.253.132:443Cobalt Strikethreatfox

ip:port45.227.253.132:80Cobalt Strikethreatfox

ip:port45.227.253.132:32775Cobalt Strikethreatfox

ip:port117.158.148.164:65535Cobalt Strikethreatfox

ip:port38.76.190.209:8888Cobalt Strikethreatfox

ip:port188.227.14.105:8080Cobalt Strikethreatfox

ip:port186.241.115.168:12443Cobalt Strikethreatfox

ip:port109.206.247.245:10881Cobalt Strikethreatfox

ip:port43.134.112.45:7500Cobalt Strikethreatfox

ip:port43.134.112.45:8080Cobalt Strikethreatfox

ip:port43.134.112.45:7000Cobalt Strikethreatfox

ip:port43.134.112.45:80Cobalt Strikethreatfox

ip:port43.134.112.45:443Cobalt Strikethreatfox

+3144 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo Aquatic Panda usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →