Tonto Team

Origem🇨🇳 China

Técnicas (MITRE ATT&CK)15

FonteMITRE ATT&CK

Patrocínio estatal: ChinaConfiança da atribuição: 50%Categorias-alvo: Military, Government, Private sector

Regiões visadas: Eastern Europe · Japan · South Korea · Taiwan · United States

Também conhecido como:BRONZE HUNTLEYCOPPERCactusPeteEarth AkhlutG0131KARMA PANDAKarma PandaLONE CASTLEPLA Unit 65017Red BeifangTAG-74

Análise Vexday

Tonto Team é um grupo de espionagem cibernética de origem chinesa, suspeito de ser patrocinado pelo Estado, ativo desde pelo menos 2009 e identificado no MITRE ATT&CK como G0131. O grupo atuou inicialmente contra alvos na Coreia do Sul, Japão, Taiwan e Estados Unidos, expandindo suas operações a partir de 2020 para outros países asiáticos e do Leste Europeu, com foco em organizações governamentais, militares, de energia, mineração, financeiras, educacionais, de saúde e de tecnologia — incluindo as campanhas Heartbeat Campaign (2009–2012) e Operation Bitter Biscuit (2017). Também conhecido pelos aliases Earth Akhlut, BRONZE HUNTLEY, CactusPete e Karma Panda, o grupo possui 15 técnicas documentadas no MITRE ATT&CK e 10 CVEs a ele atribuídas.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal62

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 15

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Acesso inicial

Spearphishing Attachment

Execução

PowerShell Python Exploitation for Client Execution Malicious File

Persistência

Web Shell

Escalada de privilégio

Exploitation for Privilege Escalation

Acesso a credenciais

OS Credential Dumping

Descoberta

Local Groups Network Share Discovery

Movimento lateral

Exploitation of Remote Services

Coleta

Keylogging

Comando e controle

External Proxy Ingress Tool Transfer

stealth

DLL

Vulnerabilidades exploradas 10

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2017-11882HIGHEPSS 100%KEV MITRE ATT&CK

CVE-2014-7169CRITICALEPSS 100%KEV MITRE ATT&CK

CVE-2018-0798HIGHEPSS 95%KEV MITRE ATT&CK

CVE-2018-0802HIGHEPSS 93%KEV MITRE ATT&CK

CVE-2018-8174HIGHEPSS 88%KEV MITRE ATT&CK

CVE-2019-0803HIGHEPSS 45%KEV MITRE ATT&CK

CVE-2020-8468HIGHEPSS 6%KEV MITRE ATT&CK

CVE-2016-6662EPSS 68% MITRE ATT&CK

CVE-2017-0176EPSS 46% MITRE ATT&CK

CVE-2019-9489EPSS 2% MITRE ATT&CK

Infraestrutura conhecida 17

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port43.139.9.82:12340ShadowPadthreatfox

ip:port166.88.7.116:443ShadowPadthreatfox

ip:port122.114.8.224:12340ShadowPadthreatfox

ip:port122.114.252.72:12340ShadowPadthreatfox

ip:port119.91.36.172:12340ShadowPadthreatfox

ip:port117.50.118.106:12340ShadowPadthreatfox

ip:port112.95.159.90:50012ShadowPadthreatfox

ip:port111.230.253.13:12340ShadowPadthreatfox

urlhttp://92.127.156.174:8880/master.exeMimiKatzthreatfox

md5_hashfec27228340485485f6902f8759bbd62MimiKatzthreatfox

sha256_hashf9d53fdcc12d548e6c9bd395642f30d2b2c6a9a4204bc0948badf8a7c571c072MimiKatzthreatfox

sha1_hash07b35a3b431e653ddcf36cecd49793d538e2aa79MimiKatzthreatfox

ip:port122.114.12.82:12340ShadowPadthreatfox

ip:port122.114.166.126:12340ShadowPadthreatfox

sha1_hashc5ec7e2ad924e832e49fbac9d0c82719b570e080MimiKatzthreatfox

md5_hash77c96f339974b65ae435313a8fcc3b35MimiKatzthreatfox

sha256_hash889cc3e793cb39889c7acc8e73a84973e9a08fcd69451f7b546509c74ffdda90MimiKatzthreatfox

Referências

O grupo Tonto Team usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →