APT / EstatalG0040

Patchwork

Também conhecido como: Hangover Group, Dropping Elephant, Chinastrats, MONSOON, Operation Hangover

Aviso por e-mail de CVE nova atribuída, vítima nova no Brasil e incidente verificado.

Análise Vexday

Patchwork (também conhecido como Hangover Group, Dropping Elephant, Chinastrats, MONSOON e Operation Hangover) é um grupo de espionagem cibernética observado pela primeira vez em dezembro de 2015, com evidências circunstanciais que sugerem origem indiana ou alinhamento pró-Índia. O grupo tem como alvos preferenciais agências governamentais e entidades diplomáticas, e parte significativa do código utilizado em suas operações foi copiada de fóruns públicos online. Em março e abril de 2018, o Patchwork conduziu campanhas de spearphishing direcionadas a grupos de think tank nos Estados Unidos. O grupo possui 41 técnicas documentadas no MITRE ATT&CK (identificador G0040) e 7 CVEs atribuídas.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal85

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 41

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Reconhecimento

Spearphishing Link

Preparação de recursos

Code Signing Certificates Tool

Acesso inicial

Drive-by Compromise Spearphishing Attachment Spearphishing Link

Execução

Scheduled Task PowerShell Windows Command Shell Visual Basic Exploitation for Client Execution Malicious Link Malicious File Dynamic Data Exchange

Persistência

Registry Run Keys / Startup Folder

Escalada de privilégio

Bypass User Account Control

Acesso a credenciais

Credentials from Web Browsers

Descoberta

System Owner/User Discovery System Information Discovery File and Directory Discovery Security Software Discovery Local Storage Discovery

Movimento lateral

Remote Desktop Protocol

Coleta

Data from Local System Local Data Staging Automated Collection Archive Collected Data

Comando e controle

Dead Drop Resolver Ingress Tool Transfer Standard Encoding

defense-impairment

Modify Registry Code Signing

stealth

Binary Padding Software Packing Indicator Removal from Tools Command Obfuscation Match Legitimate Resource Name or Location Process Hollowing File Deletion BITS Jobs DLL

Vulnerabilidades exploradas 7

CVEs que este grupo é conhecido por explorar, com a fonte e a confiança de cada uma ao lado. Ordenadas pela confiança e pela gravidade real.

CVE-2017-11882HIGHEPSS 100%KEV MITRE ATT&CK

CVE-2017-0199HIGHEPSS 100%KEV MITRE ATT&CK

CVE-2015-1641HIGHEPSS 97%KEV MITRE ATT&CK

CVE-2017-8570HIGHEPSS 90%KEV MITRE ATT&CK

CVE-2014-4114HIGHEPSS 82%KEV MITRE ATT&CK

CVE-2014-6352HIGHEPSS 77%KEV MITRE ATT&CK

CVE-2012-1856HIGHEPSS 72%KEV MITRE ATT&CK

Infraestrutura conhecida 630

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port185.7.214.167:9909Quasar RATthreatfox

ip:port143.246.203.148:8080Quasar RATthreatfox

ip:port134.122.191.154:5000Quasar RATthreatfox

sha1_hash8b4840cd84c60df38584e864e9372e51cc78a354Quasar RATthreatfox

md5_hashe074620f5aa2a6f32fdde28eee5c8c21Quasar RATthreatfox

sha256_hash6da7723b6964c0c7165bb57ddce18156668b0b94bc67b1aa2f4ec5fecc5ec0b6Quasar RATthreatfox

sha1_hashb375573147ad807699ebc696fc35b01d0298c99dQuasar RATthreatfox

md5_hash457013a94eefd116aeb5dd4762c3c44eQuasar RATthreatfox

sha256_hashbfc5d48c6d67111d90eeeb6c69d1236f09c6bdfea94163e2af680e16a012a0ffQuasar RATthreatfox

sha256_hashbfc5d48c6d67111d90eeeb6c69d1236f09c6bdfea94163e2af680e16a012a0ffQuasarRATmalwarebazaar

sha256_hash6da7723b6964c0c7165bb57ddce18156668b0b94bc67b1aa2f4ec5fecc5ec0b6QuasarRATmalwarebazaar

sha256_hash2fc945ca06f4a5bc5e747757c5e4e227662b82fc2f235adc44d6c84a58c67b02QuasarRATmalwarebazaar

ip:port70.163.121.189:4782Quasar RATthreatfox

sha256_hash8ae9be8826a832aee632cc05d4db71ddfdc522f50d5feab2bf1d6edbe21af20aQuasarRATmalwarebazaar

ip:port191.217.233.144:4782Quasar RATthreatfox

ip:port39.107.48.89:8080Quasar RATthreatfox

sha1_hashac8eec32eca372a7f4f70fef7433989cd02fff40Quasar RATthreatfox

md5_hash1a588ad387ae1cb173d0128b5a3b8973Quasar RATthreatfox

sha256_hasha9c28a31c8ad6fd5315688201f77de358ee52cfa1eb7fc338b243cee59430071Quasar RATthreatfox

domainariktreininger.business-profiles.comQuasar RATthreatfox

sha256_hasha9c28a31c8ad6fd5315688201f77de358ee52cfa1eb7fc338b243cee59430071QuasarRATmalwarebazaar

ip:port103.91.144.201:443Quasar RATthreatfox

sha256_hash4689a824b8d338949996ab54d6dce23c53ad9cd70357acec2fc693f27e5601eeQuasarRATmalwarebazaar

sha256_hash02e1bfbf151148ad8bb5f57373bb27f70e355bd633ed2a4c523af9c8a897454cQuasarRATmalwarebazaar

sha256_hashf2c56b981ecc9c9881e23f27dc2ec746d925ca658dd854044b996ae20c8989a2Quasar RATthreatfox

urlhttps://dimonpert.com/cim.pngQuasarRATurlhaus

sha256_hashf2c56b981ecc9c9881e23f27dc2ec746d925ca658dd854044b996ae20c8989a2QuasarRATmalwarebazaar

md5_hasha638481cb22f93846b3af0f9f9bb5626Quasar RATthreatfox

sha256_hash0165d8bafde778cf2052d0fa3d904c9cb075fb14cd6664b2fa11e21ea46e1b9bQuasar RATthreatfox

sha1_hash2554426fdfc4effe11c0ed59aff89377958c6c41Quasar RATthreatfox

+630 indicadores no total. Veja todos na página de IOCs.

O grupo Patchwork usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →