Fox Kitten

Origem🇮🇷 Irã

Técnicas (MITRE ATT&CK)41

FonteMITRE ATT&CK

Também conhecido como:Lemon SandstormPARISITEPIONEER KITTENParisitePioneer KittenRUBIDIUMUNC757

Análise Vexday

Fox Kitten é um grupo APT com suspeita de vínculos ao governo iraniano, ativo desde pelo menos 2017 contra entidades no Oriente Médio, Norte da África, Europa, Austrália e América do Norte. O grupo tem como alvo múltiplos setores industriais, incluindo petróleo e gás, tecnologia, governo, defesa, saúde, manufatura e engenharia. Também rastreado como UNC757, Parisite, Pioneer Kitten, RUBIDIUM e Lemon Sandstorm (identificador MITRE G0117), o ator tem 41 técnicas ATT&CK documentadas e 4 CVEs a ele atribuídas.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal59

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 41

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos

Establish Accounts Social Media Accounts

Acesso inicial

Exploit Public-Facing Application

Execução

Scheduled Task Command and Scripting Interpreter PowerShell Windows Command Shell

Persistência

Local Account Web Shell

Escalada de privilégio

Accessibility Features

Acesso a credenciais

LSASS Memory NTDS Brute Force Credentials In Files Password Managers

Descoberta

Query Registry Remote System Discovery Network Service Discovery File and Directory Discovery Local Account Domain Account Browser Information Discovery

Movimento lateral

Remote Desktop Protocol SMB/Windows Admin Shares SSH VNC Exploitation of Remote Services

Coleta

Data from Local System Data from Network Shared Drive Messaging Applications Data from Cloud Storage Archive via Utility

Comando e controle

Proxy Web Service Ingress Tool Transfer Protocol Tunneling

stealth

Command Obfuscation Encrypted/Encoded File Masquerade Task or Service Match Legitimate Resource Name or Location Valid Accounts

Vulnerabilidades exploradas 4

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2014-7169CRITICALEPSS 100%KEV MITRE ATT&CK

CVE-2016-6662EPSS 68% MITRE ATT&CK

CVE-2017-0176EPSS 46% MITRE ATT&CK

CVE-2019-3610MEDIUMEPSS 0% MITRE ATT&CK

Infraestrutura conhecida 8

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port45.76.165.219:443SystemBCthreatfox

ip:port45.86.230.112:4001SystemBCthreatfox

domainpaladin5.comSystemBCthreatfox

domainanzo11rikasha22b.pwSystemBCthreatfox

domainkall4234ribk3assa.pwSystemBCthreatfox

ip:port94.232.46.202:4321SystemBCthreatfox

sha256_hash1eb027a9844495e9a3c64bc0c7ea645058933a9b18cc98ff3f42a7b1a9142753SystemBCmalwarebazaar

ip:port34.171.171.32:4001SystemBCthreatfox

Referências

O grupo Fox Kitten usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →