ToddyCat

APT / EstatalG1022 ↗
Técnicas (MITRE ATT&CK)25
FonteMITRE ATT&CK
Categorias-alvo: Military, Government
Regiões visadas: Afghanistan · India · Indonesia · Iran · Kyrgyzstan · Malaysia · Pakistan · Russia · Slovakia · Taiwan +4
Também conhecido como:Websiic

Análise Vexday

ToddyCat é um grupo APT sofisticado, ativo desde pelo menos 2020, que utiliza carregadores e malwares personalizados em cadeias de infecção multiestágio contra alvos governamentais e militares na Europa e na Ásia. O grupo possui 25 técnicas documentadas no MITRE ATT&CK (identificador G1022) e é associado à exploração de 3 CVEs.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal55
Impacto: Alto
T1190T1047T1018T1021.002T1005ENTRYAcesso inicialExploitPublic-Facing App…EXECExecuçãoWindows ManagementInstrumentationDISCDescobertaRemote SystemDiscoveryLATMovimento lateralSMB/Windows AdminSharesCOLLColetaData from LocalSystemEXFILExfiltraçãoExfiltration toCloud Storage

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 25

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Acesso inicial
Exploit Public-Facing ApplicationSpearphishing via Service
Execução
Windows Management InstrumentationScheduled TaskPowerShellWindows Command ShellNative API
Descoberta
Remote System DiscoverySystem Network Connections DiscoveryProcess DiscoveryDomain GroupsFile and Directory DiscoveryDomain AccountSecurity Software DiscoveryLocal Storage Discovery
Movimento lateral
SMB/Windows Admin Shares
Coleta
Data from Local SystemRemote Data StagingArchive via Utility
Comando e controle
Non-Application Layer Protocol
Exfiltração
Exfiltration to Cloud Storage
defense-impairment
Disable or Modify System Firewall
stealth
Match Legitimate Resource Name or LocationDomain AccountsHidden Window

Vulnerabilidades exploradas 3

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2021-26855CRITICALEPSS 100%KEV MITRE ATT&CK
CVE-2014-7169CRITICALEPSS 100%KEV MITRE ATT&CK
CVE-2016-6662EPSS 68% MITRE ATT&CK

Infraestrutura conhecida 2986

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port114.215.184.158:8000Cobalt Strikethreatfox
urlhttp://69.49.229.88:443/MQEwCobalt Strikethreatfox
ip:port154.12.17.20:8080Cobalt Strikethreatfox
ip:port154.12.17.20:22Cobalt Strikethreatfox
ip:port154.12.17.20:443Cobalt Strikethreatfox
ip:port154.12.17.20:80Cobalt Strikethreatfox
ip:port129.204.55.230:443Cobalt Strikethreatfox
ip:port47.94.56.71:8080Cobalt Strikethreatfox
ip:port47.94.56.71:80Cobalt Strikethreatfox
ip:port47.94.56.71:443Cobalt Strikethreatfox
ip:port45.227.253.132:8080Cobalt Strikethreatfox
ip:port45.227.253.132:80Cobalt Strikethreatfox
ip:port45.227.253.132:443Cobalt Strikethreatfox
ip:port45.227.253.132:32775Cobalt Strikethreatfox
ip:port117.158.148.164:65535Cobalt Strikethreatfox
ip:port38.76.190.209:8888Cobalt Strikethreatfox
ip:port188.227.14.105:8080Cobalt Strikethreatfox
ip:port186.241.115.168:12443Cobalt Strikethreatfox
ip:port109.206.247.245:10881Cobalt Strikethreatfox
ip:port43.134.112.45:7500Cobalt Strikethreatfox
ip:port43.134.112.45:7000Cobalt Strikethreatfox
ip:port43.134.112.45:80Cobalt Strikethreatfox
ip:port43.134.112.45:8080Cobalt Strikethreatfox
ip:port43.134.112.45:443Cobalt Strikethreatfox
ip:port43.134.112.45:22Cobalt Strikethreatfox
ip:port101.34.208.175:18317Cobalt Strikethreatfox
sha1_hash2ff26540ebb9100dae76a2ae040108ba9338113cCobalt Strikethreatfox
md5_hashe4a34372eab0832d0682fa986a8e0b97Cobalt Strikethreatfox
sha256_hash35afe2df347cb0909fdf2aba8ed6a506a681518a98c0a723b25a16957437f944Cobalt Strikethreatfox
sha256_hash224aec5fec1f907ce152895095f56a3a2f2db0d627633ee691af56a13f34e7f8Cobalt Strikethreatfox

+2986 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo ToddyCat usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →