Earth Lusca

Origem🇨🇳 China

Técnicas (MITRE ATT&CK)44

FonteMITRE ATT&CK

Categorias-alvo: Gambling companies, Government Institutions, Education, Media and Entertainment, Pro-democracy and human rights political organizations, Telecommunications, Religious organization, Cryptocurrency, Medical, Covid-19 research organizations

Regiões visadas: Australia · China · France · Germany · Hong Kong · Japan · Mongolia · Nepal · Nigeria · Philippines +5

Também conhecido como:AQUATIC PANDABRONZE UNIVERSITYBountyGladCHROMIUMCharcoal TyphoonControlXFISHMONGERRed Dev 10Red ScyllaRedHotelTAG-22

Análise Vexday

Earth Lusca é um grupo de espionagem cibernética de origem chinesa, ativo desde pelo menos abril de 2019 e rastreado pela MITRE ATT&CK sob o identificador G1006, sendo também conhecido pelos aliases TAG-22, Charcoal Typhoon, CHROMIUM e ControlX. O grupo tem como alvos organizações governamentais, veículos de mídia, empresas de telecomunicações, instituições educacionais, plataformas de negociação de criptomoedas e movimentos religiosos proscritos na China, entre outros setores, com atuação documentada em múltiplos países da Ásia-Pacífico, Europa, África e América do Norte. Ao grupo são atribuídas 4 CVEs conhecidas por exploração ativa e 44 técnicas documentadas no framework MITRE ATT&CK.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal75

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 44

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Reconhecimento

Vulnerability Scanning

Preparação de recursos

Domains Server Web Services Server Web Services Malware Tool Upload Malware

Acesso inicial

Drive-by Compromise Exploit Public-Facing Application Spearphishing Link

Execução

Windows Management Instrumentation Scheduled Task PowerShell Visual Basic Python JavaScript Malicious Link Malicious File

Persistência

SSH Authorized Keys Windows Service Print Processors

Escalada de privilégio

Bypass User Account Control

Acesso a credenciais

LSASS Memory DCSync

Descoberta

System Service Discovery System Network Configuration Discovery Remote System Discovery System Owner/User Discovery System Network Connections Discovery Process Discovery Domain Trust Discovery

Movimento lateral

Exploitation of Remote Services

Coleta

Archive via Utility

Comando e controle

Proxy

Exfiltração

Exfiltration to Cloud Storage

defense-impairment

Modify Registry

stealth

Obfuscated Files or Information Steganography Match Legitimate Resource Name or Location Deobfuscate/Decode Files or Information Mshta DLL

Vulnerabilidades exploradas 4

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2014-7169CRITICALEPSS 100%KEV MITRE ATT&CK

CVE-2020-1472MEDIUMEPSS 99%KEV MITRE ATT&CK

CVE-2016-6662EPSS 68% MITRE ATT&CK

CVE-2017-0176EPSS 46% MITRE ATT&CK

Infraestrutura conhecida 2993

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port114.215.184.158:8000Cobalt Strikethreatfox

urlhttp://69.49.229.88:443/MQEwCobalt Strikethreatfox

ip:port154.12.17.20:8080Cobalt Strikethreatfox

ip:port154.12.17.20:22Cobalt Strikethreatfox

ip:port154.12.17.20:443Cobalt Strikethreatfox

ip:port154.12.17.20:80Cobalt Strikethreatfox

ip:port129.204.55.230:443Cobalt Strikethreatfox

ip:port47.94.56.71:8080Cobalt Strikethreatfox

ip:port47.94.56.71:80Cobalt Strikethreatfox

ip:port47.94.56.71:443Cobalt Strikethreatfox

ip:port45.227.253.132:8080Cobalt Strikethreatfox

ip:port45.227.253.132:80Cobalt Strikethreatfox

ip:port45.227.253.132:443Cobalt Strikethreatfox

ip:port45.227.253.132:32775Cobalt Strikethreatfox

ip:port117.158.148.164:65535Cobalt Strikethreatfox

ip:port38.76.190.209:8888Cobalt Strikethreatfox

ip:port188.227.14.105:8080Cobalt Strikethreatfox

ip:port186.241.115.168:12443Cobalt Strikethreatfox

ip:port109.206.247.245:10881Cobalt Strikethreatfox

ip:port43.134.112.45:7500Cobalt Strikethreatfox

ip:port43.134.112.45:7000Cobalt Strikethreatfox

ip:port43.134.112.45:80Cobalt Strikethreatfox

ip:port43.134.112.45:8080Cobalt Strikethreatfox

ip:port43.134.112.45:443Cobalt Strikethreatfox

ip:port43.134.112.45:22Cobalt Strikethreatfox

ip:port101.34.208.175:18317Cobalt Strikethreatfox

sha1_hash2ff26540ebb9100dae76a2ae040108ba9338113cCobalt Strikethreatfox

md5_hashe4a34372eab0832d0682fa986a8e0b97Cobalt Strikethreatfox

sha256_hash35afe2df347cb0909fdf2aba8ed6a506a681518a98c0a723b25a16957437f944Cobalt Strikethreatfox

sha256_hash224aec5fec1f907ce152895095f56a3a2f2db0d627633ee691af56a13f34e7f8Cobalt Strikethreatfox

+2993 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo Earth Lusca usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →