LuminousMoth

APT / EstatalG1014 ↗
Origem🇨🇳 China
Técnicas (MITRE ATT&CK)28
FonteMITRE ATT&CK
Patrocínio estatal: ChinaConfiança da atribuição: 50%Categorias-alvo: Civil society
Regiões visadas: United States · Germany
Também conhecido como:BASINBASIN CASTLEBRONZE PRESIDENTEarth PretaHoneyMytePolarisRed LichStately TaurusTA416TANTALUMTEMP.HEXTwill Typhoon

Análise Vexday

Grupo de espionagem cibernética de língua chinesa, o LuminousMoth (identificador MITRE ATT&CK G1014) está ativo pelo menos desde outubro de 2020 e tem como alvo organizações de alto perfil, incluindo entidades governamentais, em Myanmar, Filipinas, Tailândia e outras regiões do Sudeste Asiático. Pesquisadores de segurança identificaram indícios de conexão entre o LuminousMoth e o grupo Mustang Panda, com base em sobreposições de infraestrutura de rede, alvos similares e TTPs compartilhadas. O grupo possui 28 técnicas documentadas no framework MITRE ATT&CK.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal46
Impacto: Alto
T1566.002T1053.005T1547.001T1539T1091T1005ENTRYAcesso inicialSpearphishing LinkEXECExecuçãoScheduled TaskPERSPersistênciaRegistry Run Keys/ Startup FolderCREDAcesso a credenciaisSteal Web SessionCookieLATMovimento lateralReplicationThrough Removable…COLLColetaData from LocalSystemEXFILExfiltraçãoData Transfer SizeLimits

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 28

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos
MalwareMalwareToolDigital CertificatesUpload MalwareDrive-by TargetLink Target
Acesso inicial
Spearphishing Link
Execução
Scheduled TaskMalicious Link
Persistência
Registry Run Keys / Startup Folder
Acesso a credenciais
Steal Web Session CookieARP Cache Poisoning
Descoberta
System Owner/User DiscoveryFile and Directory Discovery
Movimento lateral
Replication Through Removable Media
Coleta
Data from Local SystemArchive Collected Data
Comando e controle
Web ProtocolsIngress Tool Transfer
Exfiltração
Data Transfer Size LimitsExfiltration Over C2 ChannelExfiltration to Cloud Storage
defense-impairment
Modify RegistryCode Signing
stealth
Match Legitimate Resource Name or LocationHidden Files and DirectoriesDLL

Vulnerabilidades exploradas

Nenhuma CVE atribuída a este grupo nas fontes públicas (MITRE ATT&CK). Ausência de atribuição não significa ausência de atividade.

Infraestrutura conhecida 1524

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port45.221.118.46:80Cobalt Strikethreatfox
ip:port45.221.118.46:443Cobalt Strikethreatfox
ip:port38.76.183.197:8082Cobalt Strikethreatfox
ip:port8.222.188.173:443Cobalt Strikethreatfox
ip:port8.219.220.240:7777Cobalt Strikethreatfox
ip:port209.99.184.234:50050Cobalt Strikethreatfox
ip:port120.77.42.217:50000Cobalt Strikethreatfox
ip:port49.235.52.47:3000Cobalt Strikethreatfox
ip:port49.235.52.47:8080Cobalt Strikethreatfox
ip:port49.235.52.47:80Cobalt Strikethreatfox
ip:port49.235.52.47:443Cobalt Strikethreatfox
ip:port49.235.52.47:8083Cobalt Strikethreatfox
ip:port147.139.136.105:8080Cobalt Strikethreatfox
ip:port38.207.177.165:8080Cobalt Strikethreatfox
ip:port147.139.136.105:80Cobalt Strikethreatfox
ip:port147.139.136.105:22Cobalt Strikethreatfox
ip:port147.139.136.105:443Cobalt Strikethreatfox
ip:port2.57.241.129:80Cobalt Strikethreatfox
ip:port38.207.177.165:80Cobalt Strikethreatfox
ip:port38.207.177.165:443Cobalt Strikethreatfox
ip:port147.139.245.149:801Cobalt Strikethreatfox
ip:port45.221.118.46:8080Cobalt Strikethreatfox
ip:port119.45.198.250:55555Cobalt Strikethreatfox
ip:port118.24.42.214:443Cobalt Strikethreatfox
ip:port47.251.29.219:50050Cobalt Strikethreatfox
ip:port47.254.68.68:50050Cobalt Strikethreatfox
ip:port172.232.97.189:4444Cobalt Strikethreatfox
ip:port149.88.66.234:21Cobalt Strikethreatfox
ip:port47.108.86.120:22Cobalt Strikethreatfox
ip:port47.108.86.120:111Cobalt Strikethreatfox

+1524 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo LuminousMoth usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →