Transparent Tribe

Origem🇮🇳 Índia

Técnicas (MITRE ATT&CK)14

FonteMITRE ATT&CK

Patrocínio estatal: PakistanConfiança da atribuição: 50%Categorias-alvo: Civil society, Military, Government

Também conhecido como:APT 36APT36C-MajorCOPPER FIELDSTONEEarth KarkaddanGreen HavildarMythic LeopardProjectMStorm-0156TMP.Lapis

Análise Vexday

Transparent Tribe (também conhecido como APT36, Mythic Leopard, ProjectM e COPPER FIELDSTONE) é um grupo de ameaça persistente avançada de origem suspeita no Paquistão, ativo desde pelo menos 2013, com atuação voltada principalmente a organizações diplomáticas, de defesa e de pesquisa na Índia e no Afeganistão. Catalogado pelo MITRE ATT&CK sob o identificador G0134, o grupo possui 14 técnicas documentadas na matriz e está associado à exploração de 2 CVEs conhecidas.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal39

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 14

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos

Domains Domains Drive-by Target

Acesso inicial

Drive-by Compromise Spearphishing Attachment Spearphishing Link

Execução

Visual Basic Exploitation for Client Execution Malicious Link Malicious File

Comando e controle

Dynamic Resolution

stealth

Encrypted/Encoded File Match Legitimate Resource Name or Location Hidden Files and Directories

Vulnerabilidades exploradas 2

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2012-0158HIGHEPSS 100%KEV CVE-2010-3333HIGHEPSS 90%KEV

Infraestrutura conhecida 82

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port2.56.165.157:991NjRATthreatfox

ip:port82.153.241.181:1604DarkCometthreatfox

ip:port47.122.115.225:13152NjRATthreatfox

ip:port129.208.124.105:1177NjRATthreatfox

ip:port79.100.86.116:1604DarkCometthreatfox

ip:port207.189.23.198:1024DarkCometthreatfox

ip:port189.150.106.61:2320DarkCometthreatfox

ip:port170.244.195.143:3000DarkCometthreatfox

sha256_hash33211c0e7a7b9545c13addcd452b68ab0f72b2d5fad857a7a3dd75c34a3fff09njratmalwarebazaar

ip:port47.122.116.54:13676NjRATthreatfox

sha1_hash70c24a2bb97c0b995bce9c7cee42d1cc856d177bNjRATthreatfox

md5_hashac061db892ad8cd21a565996bdb33d5cNjRATthreatfox

sha256_hash135732f938ca6b6e1fd1974ba172665d3c474b5346e035ea24c37b03500fb4e9NjRATthreatfox

sha256_hash135732f938ca6b6e1fd1974ba172665d3c474b5346e035ea24c37b03500fb4e9njratmalwarebazaar

sha1_hash2f6e93b860cef097c863668b1f38a6f7088bcb77NjRATthreatfox

md5_hashb9fbf6f35099d3dd0f984ffb7e027b35NjRATthreatfox

sha256_hash06185d74edbdc06f99095e96f74aa2e49a1cda2d02a294c11a9ac35a0231075eNjRATthreatfox

ip:port86.109.75.132:7777DarkCometthreatfox

ip:port176.129.203.146:1604DarkCometthreatfox

ip:port105.100.163.183:1604DarkCometthreatfox

ip:port151.247.193.128:7777DarkCometthreatfox

ip:port189.150.133.139:1604DarkCometthreatfox

ip:port86.109.75.132:1604DarkCometthreatfox

ip:port82.102.219.33:1177NjRATthreatfox

ip:port188.212.158.102:1177NjRATthreatfox

ip:port188.48.226.49:1177NjRATthreatfox

ip:port103.233.194.35:1177NjRATthreatfox

sha1_hashd0b31bfd1d8e40efc3b3b30c1cf9b655c9365935NjRATthreatfox

sha256_hash03d2e8ef968a70c032ffb01c98b29ab612ae48043b44e63d15c2504f7f85de13NjRATthreatfox

md5_hash0f74892809973a93321c7ba05bdf61caNjRATthreatfox

+82 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo Transparent Tribe usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →