BackdoorDiplomacy

Técnicas (MITRE ATT&CK)15

FonteMITRE ATT&CK

Categorias-alvo: Government, Telecomms

Regiões visadas: Libya · Namibia · Sudan · Albania · Croatia · Georgia · Poland · Iran · Qatar · Saudi Arabia +2

Análise Vexday

Ativo desde pelo menos 2017, o BackdoorDiplomacy (identificador MITRE ATT&CK G0135) é um grupo de espionagem cibernética que tem como alvos Ministérios de Relações Exteriores e empresas de telecomunicações na África, Europa, Oriente Médio e Ásia. O grupo possui 15 técnicas documentadas no MITRE ATT&CK e é associado à exploração de 3 CVEs conhecidas.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal45

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 15

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos

Malware Tool

Acesso inicial

Exploit Public-Facing Application

Persistência

Web Shell

Descoberta

Network Service Discovery System Network Connections Discovery Peripheral Device Discovery

Coleta

Local Data Staging

Comando e controle

Non-Application Layer Protocol Ingress Tool Transfer

stealth

Obfuscated Files or Information Masquerade Task or Service Match Legitimate Resource Name or Location Dynamic-link Library Injection DLL

Vulnerabilidades exploradas 3

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2020-5902CRITICALEPSS 100%KEV CVE-2014-7169CRITICALEPSS 100%KEV CVE-2016-6662EPSS 68%

Infraestrutura conhecida 113

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port134.122.200.208:8088Quasar RATthreatfox

ip:port134.122.200.212:8088Quasar RATthreatfox

ip:port94.154.34.203:1604Quasar RATthreatfox

md5_hash8ad256c5b786abb5f1552d906df3482aQuasar RATthreatfox

sha1_hashc321593cb3d8e279dfbdcf6d8bb94fac93cdc405Quasar RATthreatfox

sha256_hashb3c2f9ac068664bb861d7f8a59db533810032bc26d75fad48dbd0e2ba26413b2Quasar RATthreatfox

ip:port153.52.162.73:8080Quasar RATthreatfox

ip:port169.58.23.30:22Quasar RATthreatfox

domainvk10.waizerfly.comQuasar RATthreatfox

ip:port202.181.188.64:1488Quasar RATthreatfox

ip:port194.59.30.105:9619Quasar RATthreatfox

ip:port134.122.200.217:8088Quasar RATthreatfox

ip:port20.215.224.217:8080Quasar RATthreatfox

ip:port5.83.150.71:4567Quasar RATthreatfox

ip:port145.63.135.73:4782Quasar RATthreatfox

ip:port178.16.52.35:4433Quasar RATthreatfox

ip:port190.255.83.163:6001Quasar RATthreatfox

urlhttp://217.60.195.219/ty/load.batQuasarRATurlhaus

ip:port5.230.69.252:8443Quasar RATthreatfox

ip:port38.128.251.209:3000Quasar RATthreatfox

ip:port105.108.207.177:288Quasar RATthreatfox

ip:port185.194.30.165:8080Quasar RATthreatfox

ip:port149.30.232.214:46999Quasar RATthreatfox

ip:port20.215.40.6:7000Quasar RATthreatfox

ip:port130.162.224.102:2222Quasar RATthreatfox

md5_hash2ac1f830806ce3bdd35cdcb957f139baQuasar RATthreatfox

sha1_hash00f6a68fef995c15c116c48b18d9611db036c1e5Quasar RATthreatfox

sha256_hash9270d36aa57eec3d44dc2d66929551198cb8a31d0ef383a726c38b75ad8144baQuasar RATthreatfox

ip:port194.59.30.130:5000Quasar RATthreatfox

ip:port38.128.251.36:3000Quasar RATthreatfox

+113 indicadores no total. Veja todos na página de IOCs.

Referências

welivesecurity.com ↗

O grupo BackdoorDiplomacy usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →