LazyScripter

APT / EstatalG0140 ↗
Técnicas (MITRE ATT&CK)20
FonteMITRE ATT&CK

Análise Vexday

LazyScripter é um grupo de ameaça persistente avançada (APT) rastreado pelo MITRE ATT&CK sob o identificador G0140, com atuação documentada no setor de aviação civil desde pelo menos 2018. O grupo tem como característica marcante o uso predominante de ferramentas de código aberto em suas operações. Ao todo, 20 técnicas ATT&CK foram documentadas em associação ao grupo.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal25
Impacto: Alto
T1566.001T1059.001ENTRYAcesso inicialSpearphishingAttachmentEXECExecuçãoPowerShellPERSPersistênciaRegistry Run Keys/ Startup Folder

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 20

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos
DomainsWeb ServicesMalwareUpload Malware
Acesso inicial
Spearphishing AttachmentSpearphishing Link
Execução
PowerShellWindows Command ShellVisual BasicJavaScriptMalicious LinkMalicious File
Persistência
Registry Run Keys / Startup Folder
Comando e controle
DNSWeb ServiceIngress Tool Transfer
stealth
Command ObfuscationMasqueradingMshtaRundll32

Vulnerabilidades exploradas

Nenhuma CVE atribuída a este grupo nas fontes públicas (MITRE ATT&CK). Ausência de atribuição não significa ausência de atividade.

Infraestrutura conhecida 736

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port2.56.165.157:991NjRATthreatfox
ip:port103.83.87.87:26900Remcosthreatfox
ip:port103.83.87.87:27900Remcosthreatfox
ip:port103.83.87.87:22300Remcosthreatfox
ip:port103.83.87.87:24900Remcosthreatfox
domainwhichkindwahalabethisonesooluwahelurboi.duckdns.orgRemcosthreatfox
ip:port155.103.69.20:14647Remcosthreatfox
domaineventras.duckdns.orgRemcosthreatfox
ip:port107.175.88.92:2404Remcosthreatfox
ip:port87.120.244.219:13131Remcosthreatfox
ip:port77.110.108.14:9001Remcosthreatfox
ip:port80.97.160.237:23401Remcosthreatfox
ip:port91.193.7.162:13309Remcosthreatfox
ip:port45.74.3.160:2404Remcosthreatfox
ip:port185.91.126.112:443Remcosthreatfox
ip:port144.24.14.113:7005Remcosthreatfox
ip:port185.116.238.123:8088Remcosthreatfox
ip:port104.251.181.148:1427Remcosthreatfox
ip:port15.204.115.143:2404Remcosthreatfox
ip:port104.251.181.148:443Remcosthreatfox
ip:port104.251.181.148:80Remcosthreatfox
ip:port185.91.126.107:443Remcosthreatfox
domainxoso6640.comRemcosthreatfox
domainaseguradora2026.kozow.comRemcosthreatfox
domain2301amarilloa.kozow.comRemcosthreatfox
domainnordking.spaceRemcosthreatfox
domainnordkingbackup.spaceRemcosthreatfox
domaincreatifanay.duckdns.orgRemcosthreatfox
domaincrushanytics.duckdns.orgRemcosthreatfox
domainnordkingbackup1.spaceRemcosthreatfox

+736 indicadores no total. Veja todos na página de IOCs.

O grupo LazyScripter usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →