Gamaredon Group

Origem🇷🇺 Rússia

Técnicas (MITRE ATT&CK)70

FonteMITRE ATT&CK

Categorias-alvo: Government

Regiões visadas: Ukraine · Germany

Também conhecido como:ACTINIUMActiniumAqua BlizzardArmageddonBlue OtsoBlueAlphaDEV-0157G0047IRON TILDENNastyShrewPRIMITIVE BEARPrimitive BearShuckwormTrident UrsaUAC-0010Winterflounder

Análise Vexday

Gamaredon Group é um grupo suspeito de espionagem cibernética de origem russa que atua contra organizações militares, de segurança pública, do judiciário, sem fins lucrativos e não governamentais na Ucrânia desde pelo menos 2013. Em novembro de 2021, o governo ucraniano atribuiu publicamente o grupo ao Centro 18 do Serviço Federal de Segurança da Rússia (FSB), avaliação posteriormente corroborada por múltiplos pesquisadores independentes de segurança. Registrado no MITRE ATT&CK como G0047, o grupo é rastreado sob os aliases IRON TILDEN, Primitive Bear, ACTINIUM, Armageddon, Shuckworm e DEV-0157, com 70 técnicas documentadas na base de conhecimento.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal59

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 70

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos

Domains Virtual Private Server Web Services Digital Certificates Tool Upload Malware

Acesso inicial

Spearphishing Attachment

Execução

Windows Management Instrumentation Scheduled Task PowerShell Windows Command Shell Visual Basic Native API Malicious Link Malicious File Component Object Model

Persistência

Office Application Startup Registry Run Keys / Startup Folder

Descoberta

Query Registry Internet Connection Discovery System Owner/User Discovery Process Discovery System Information Discovery File and Directory Discovery Peripheral Device Discovery Security Software Discovery

Movimento lateral

VNC Taint Shared Content Replication Through Removable Media Internal Spearphishing

Coleta

Data from Local System Data from Removable Media Data from Network Shared Drive Screen Capture Automated Collection

Comando e controle

Data Obfuscation Web Protocols Proxy Multi-hop Proxy Non-Application Layer Protocol Web Service Bidirectional Communication One-Way Communication Ingress Tool Transfer Dynamic Resolution Fast Flux DNS Non-Standard Port

Exfiltração

Automated Exfiltration Exfiltration Over C2 Channel

Impacto

Internal Defacement Disk Content Wipe

defense-impairment

Modify Registry Disable or Modify Tools

stealth

Obfuscated Files or Information Compile After Delivery Command Obfuscation LNK Icon Smuggling Compression Junk Code Insertion Match Legitimate Resource Name or Location Process Injection File Deletion Deobfuscate/Decode Files or Information Mshta Rundll32 Template Injection Execution Guardrails System Checks Hidden Window Reflective Code Loading

Vulnerabilidades exploradas

Nenhuma CVE atribuída a este grupo nas fontes públicas (MITRE ATT&CK). Ausência de atribuição não significa ausência de atividade.

Infraestrutura conhecida 1287

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port45.128.234.124:443Remcosthreatfox

ip:port198.135.49.110:4489Remcosthreatfox

ip:port37.120.206.165:60507Remcosthreatfox

ip:port103.83.87.86:2404Remcosthreatfox

ip:port185.149.24.115:2404Remcosthreatfox

ip:port128.90.108.225:2424Remcosthreatfox

ip:port103.83.86.40:14642Remcosthreatfox

ip:port31.59.137.81:4565Remcosthreatfox

domainjustily.duckdns.orgRemcosthreatfox

ip:port128.90.108.89:2424Remcosthreatfox

ip:port103.254.61.170:3889Remcosthreatfox

ip:port194.116.236.83:15800Remcosthreatfox

ip:port46.246.14.21:5987Remcosthreatfox

ip:port204.44.93.119:7878Remcosthreatfox

ip:port128.90.108.50:2424Remcosthreatfox

ip:port128.90.102.194:2015Remcosthreatfox

ip:port43.228.157.72:1208Remcosthreatfox

ip:port102.220.163.130:14644Remcosthreatfox

ip:port128.90.108.109:2405Remcosthreatfox

ip:port84.32.41.212:443Remcosthreatfox

ip:port194.116.236.83:2404Remcosthreatfox

ip:port194.116.236.83:15700Remcosthreatfox

ip:port185.214.10.188:2404Remcosthreatfox

ip:port172.111.137.68:65070Remcosthreatfox

ip:port155.103.71.210:55280Remcosthreatfox

ip:port78.40.209.168:2404Remcosthreatfox

domainwww.mrfixitmrfixitlocalplcbackup.comRemcosthreatfox

domainwww.mrfixitmrfixitlocalplc1.comRemcosthreatfox

domainwww.mrfixitmrfixitlocalplc.comRemcosthreatfox

ip:port172.111.137.69:65070Remcosthreatfox

+1287 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo Gamaredon Group usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →