Play

Técnicas (MITRE ATT&CK)26

FonteMITRE ATT&CK

Análise Vexday

Play é um grupo de ransomware ativo desde pelo menos 2022, responsável pela implantação do ransomware Playcrypt contra organizações dos setores empresarial, governamental, de infraestrutura crítica, saúde e mídia na América do Norte, América do Sul e Europa. O grupo adota o modelo de dupla extorsão, exfiltrando dados antes de criptografar os sistemas das vítimas, e é classificado por pesquisadores de segurança como uma operação fechada. Catalogado no MITRE ATT&CK sob o identificador G1040, o Play possui 26 técnicas documentadas e 6 CVEs atribuídas à sua atuação.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal73

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 26

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos

Malware Tool

Acesso inicial

Exploit Public-Facing Application

Execução

PowerShell Windows Command Shell

Persistência

External Remote Services

Acesso a credenciais

LSASS Memory

Descoberta

System Network Configuration Discovery Remote System Discovery Process Discovery System Information Discovery File and Directory Discovery Security Software Discovery

Movimento lateral

SMB/Windows Admin Shares

Coleta

Archive via Utility

Comando e controle

Ingress Tool Transfer

Exfiltração

Data Transfer Size Limits Exfiltration Over Alternative Protocol

Impacto

Financial Theft

defense-impairment

Disable or Modify Tools Clear Windows Event Logs

stealth

Command Obfuscation File Deletion Valid Accounts Domain Accounts Local Accounts

Vulnerabilidades exploradas 6

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2018-13379CRITICALEPSS 100%KEV MITRE ATT&CK

CVE-2022-41082HIGHEPSS 100%KEV MITRE ATT&CK

CVE-2022-41040HIGHEPSS 100%KEV MITRE ATT&CK

CVE-2014-7169CRITICALEPSS 100%KEV MITRE ATT&CK

CVE-2020-12812CRITICALEPSS 49%KEV MITRE ATT&CK

CVE-2016-6662EPSS 68% MITRE ATT&CK

Impacto e vítimas

O grupo Play tem 1 vítimas de ransomware conhecidas. Veja os setores e países mais atingidos e as vítimas recentes.

1vítimas conhecidas

1no Brasil

1setores atingidos

Setores mais atacados

Manufacturing1

Países mais atingidos

🇧🇷 Brasil1

Vítimas recentes

MetallcoManufacturing · BR · 2026-09-21

Infraestrutura conhecida 2887

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port104.143.204.78:8443Cobalt Strikethreatfox

ip:port156.239.4.189:50050Cobalt Strikethreatfox

md5_hashaaed196675895fcb5816edf09b0cb120Cobalt Strikethreatfox

ip:port153.80.242.105:8080Cobalt Strikethreatfox

ip:port153.80.242.105:443Cobalt Strikethreatfox

ip:port153.80.242.105:80Cobalt Strikethreatfox

ip:port47.114.83.19:8084Cobalt Strikethreatfox

ip:port153.80.242.105:9999Cobalt Strikethreatfox

ip:port95.217.135.208:8443Cobalt Strikethreatfox

ip:port46.19.140.50:8080Cobalt Strikethreatfox

ip:port46.19.140.50:443Cobalt Strikethreatfox

ip:port46.19.140.50:80Cobalt Strikethreatfox

ip:port46.19.140.50:22Cobalt Strikethreatfox

ip:port104.143.204.78:8080Cobalt Strikethreatfox

ip:port104.143.204.78:443Cobalt Strikethreatfox

ip:port104.143.204.78:80Cobalt Strikethreatfox

ip:port104.143.204.78:22Cobalt Strikethreatfox

ip:port114.215.184.158:1099Cobalt Strikethreatfox

ip:port95.217.135.208:8080Cobalt Strikethreatfox

ip:port114.215.184.158:22Cobalt Strikethreatfox

ip:port95.217.135.208:80Cobalt Strikethreatfox

ip:port95.217.135.208:443Cobalt Strikethreatfox

ip:port95.217.135.208:22Cobalt Strikethreatfox

ip:port156.239.4.189:8889Cobalt Strikethreatfox

ip:port114.66.27.110:8434Cobalt Strikethreatfox

ip:port101.35.217.145:50050Cobalt Strikethreatfox

ip:port121.127.33.186:8080Cobalt Strikethreatfox

ip:port121.127.33.186:80Cobalt Strikethreatfox

ip:port121.127.33.186:443Cobalt Strikethreatfox

ip:port121.127.33.186:22Cobalt Strikethreatfox

+2887 indicadores no total. Veja todos na página de IOCs.

O grupo Play usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →