Andariel

Origen🇰🇵 Coreia do Norte

Técnicas (MITRE ATT&CK)12

FuenteMITRE ATT&CK

Confianza de atribución: 50%

También conocido como:GOPGuardian of PeaceOnyx SleetOperationTroyPLUTONIUMSilent ChollimaSubgroup: AndarielWHOis Team

Análisis Vexday

Andariel é um grupo de ameaça persistente avançada (APT) patrocinado pelo Estado norte-coreano, ativo desde pelo menos 2009 e identificado no MITRE ATT&CK como G0138. Também rastreado pelos aliases Silent Chollima, PLUTONIUM e Onyx Sleet, o grupo é considerado um subconjunto do Lazarus Group e atua com foco predominante em agências governamentais sul-coreanas, organizações militares e empresas diversas, tendo conduzido também ataques destrutivos e operações financeiras contra caixas eletrônicos, bancos e exchanges de criptomoedas. Entre suas atividades documentadas estão a Operação Black Mine, a Operação GoldenAxe e a Campanha Rifle. O grupo possui 12 técnicas documentadas no MITRE ATT&CK.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal28

Impacto: Alto

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 12

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Reconocimiento

IP Addresses Software

Preparación de recursos

Malware

Acceso inicial

Drive-by Compromise Spearphishing Attachment

Ejecución

Exploitation for Client Execution Malicious File

Descubrimiento

System Network Connections Discovery Process Discovery

Recolección

Data from Local System

Comando y control

Ingress Tool Transfer

stealth

Steganography

Vulnerabilidades explotadas

Ninguna CVE atribuida a este grupo en las fuentes públicas (MITRE ATT&CK). La ausencia de atribución no significa ausencia de actividad.

Infraestructura conocida 3

Indicadores reales (C2, dominios, URLs y hashes) asociados al malware que usa este grupo. Fuente: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

sha256_hash96c0911c225219cfd380076f5196d7ee87c617cddb968d3d465122473e20d6fbGh0stRATmalwarebazaar

sha256_hash0e8553970999b60c3a0a2637e0c282ca52b33d3e3ae88c99b6fa426bddc0075dGh0stRATmalwarebazaar

sha256_hash69e2433df06b829e98e5a6c8f552b9371795fb65df62fa4cfb7362970d1ce744Gh0stRATmalwarebazaar

Referencias

El grupo Andariel usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →