Transparent Tribe

Origem🇮🇳 Índia

Técnicas (MITRE ATT&CK)14

FonteMITRE ATT&CK

Patrocínio estatal: PakistanConfiança da atribuição: 50%Categorias-alvo: Civil society, Military, Government

Também conhecido como:APT 36APT36C-MajorCOPPER FIELDSTONEEarth KarkaddanGreen HavildarMythic LeopardProjectMStorm-0156TMP.Lapis

Análise Vexday

Transparent Tribe (também conhecido como APT36, Mythic Leopard, ProjectM e COPPER FIELDSTONE) é um grupo de ameaça persistente avançada de origem suspeita no Paquistão, ativo desde pelo menos 2013, com atuação voltada principalmente a organizações diplomáticas, de defesa e de pesquisa na Índia e no Afeganistão. Catalogado pelo MITRE ATT&CK sob o identificador G0134, o grupo possui 14 técnicas documentadas na matriz e está associado à exploração de 2 CVEs conhecidas.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal39

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 14

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos

Domains Domains Drive-by Target

Acesso inicial

Drive-by Compromise Spearphishing Attachment Spearphishing Link

Execução

Visual Basic Exploitation for Client Execution Malicious Link Malicious File

Comando e controle

Dynamic Resolution

stealth

Encrypted/Encoded File Match Legitimate Resource Name or Location Hidden Files and Directories

Vulnerabilidades exploradas 2

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2012-0158HIGHEPSS 100%KEV MITRE ATT&CK

CVE-2010-3333HIGHEPSS 90%KEV MITRE ATT&CK

Infraestrutura conhecida 169

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

sha256_hashd7fea5f6217db6e04f75333a65a46cdfcc523c7f3ddc29cfaecb18cd8876ea98NjRATthreatfox

md5_hash1cf8cce965f8f2089ce67ef811b29d13NjRATthreatfox

sha1_hashca868ac1e4f42282fb74865fc2f9edf38b052e4bNjRATthreatfox

sha1_hash19dc42491a499830d7638933b5f457740ffce395NjRATthreatfox

md5_hash1742ad51f743c9e518abec7fc6f9451bNjRATthreatfox

sha256_hashd5c4983535d57d69fc6f8c09ff4a3838d6a61ac6b149de67b89c0c062968d9cdNjRATthreatfox

ip:port81.71.128.221:14149NjRATthreatfox

ip:port156.223.213.38:1177NjRATthreatfox

ip:port188.132.242.67:8731DarkCometthreatfox

ip:port87.243.97.168:100DarkCometthreatfox

ip:port188.132.242.67:8087DarkCometthreatfox

ip:port188.209.158.187:1177NjRATthreatfox

ip:port156.223.177.158:1177NjRATthreatfox

ip:port172.94.46.114:1012NjRATthreatfox

sha1_hashb5abd48cdb1d3f97418047505d5a32e03e694fe5NjRATthreatfox

md5_hash2a85f2e5876b278a7af9393483de455bNjRATthreatfox

sha256_hashbae4f4322d4c215be01990ad77275474f829ed7b3731703ed07946ab9d041413NjRATthreatfox

ip:port105.72.55.52:8080NjRATthreatfox

ip:port8.148.27.183:12050NjRATthreatfox

domainjoaoszr3.ddns.netNjRATthreatfox

domainzenvyus.ddns.netNjRATthreatfox

domainfouad-94.myq-see.comNjRATthreatfox

ip:port69.40.43.85:1604DarkCometthreatfox

ip:port74.162.154.113:1604DarkCometthreatfox

ip:port87.243.97.168:1604DarkCometthreatfox

ip:port187.101.57.177:1177NjRATthreatfox

sha1_hashfd7ec45552919baf92c37cb17b533d5eedfe5758NjRATthreatfox

md5_hash01af93c099eda51a2b46fb2108fc1e2aNjRATthreatfox

sha256_hashf9ac08dc0d9d265ba44e7b256cc554cd9a741ca2a7e4dc01807376a90f8b1024NjRATthreatfox

ip:port8.148.23.144:12329NjRATthreatfox

+169 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo Transparent Tribe usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →