APT28

OrigenRússia

Técnicas (MITRE ATT&CK)93

FuenteMITRE ATT&CK

También conocido como:IRON TWILIGHTSNAKEMACKERELSwallowtailGroup 74SednitSofacyPawn StormFancy BearSTRONTIUMTsar TeamThreat Group-4127TG-4127Forest BlizzardFROZENLAKEGruesomeLarch

Análisis Vexday

APT28 é um grupo de ameaça persistente avançada atribuído à Unidade Militar 26165 do Centro Principal de Serviços Especiais (GTsSS) do GRU, serviço de inteligência militar russo, com atividade documentada desde pelo menos 2004. O grupo é conhecido por ter comprometido a campanha de Hillary Clinton, o Comitê Nacional Democrata (DNC) e o Comitê de Campanha do Congresso Democrata (DCCC) em 2016, em uma operação de interferência nas eleições presidenciais norte-americanas; em 2018, cinco oficiais da Unidade 26165 associados ao grupo foram indiciados nos Estados Unidos por operações cibernéticas conduzidas entre 2014 e 2018. Rastreado pelo MITRE ATT&CK sob o identificador G0007 e também conhecido pelos aliases Sednit, Sofacy, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail e Group 74, o grupo possui 93 técnicas documentadas na base ATT&CK e 10 CVEs a ele atribuídas.

Técnicas (MITRE ATT&CK) 93

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Reconocimiento

Credentials Gather Victim Org Information Vulnerability Scanning Search Open Technical Databases Phishing for Information Spearphishing Link

Preparación de recursos

Domains Virtual Private Server Web Services Network Devices Email Accounts Tool Artificial Intelligence

Acceso inicial

Drive-by Compromise Exploit Public-Facing Application Trusted Relationship Spearphishing Attachment Wi-Fi Networks

Ejecución

PowerShell Windows Command Shell Exploitation for Client Execution Malicious Link Malicious File Dynamic Data Exchange

Persistencia

Logon Script (Windows)Additional Email Delegate Permissions External Remote Services Office Test Web Shell Registry Run Keys / Startup Folder

Escalada de privilegios

Exploitation for Privilege Escalation Component Object Model Hijacking

Acceso a credenciales

OS Credential Dumping LSASS Memory NTDS Network Sniffing Brute Force Password Guessing Password Spraying Steal Application Access Token Evil Twin

Descubrimiento

Process Discovery File and Directory Discovery Peripheral Device Discovery

Movimiento lateral

SMB/Windows Admin Shares Replication Through Removable Media Exploitation of Remote Services Application Access Token Pass the Hash

Recolección

Data from Local System Data from Removable Media Data from Network Shared Drive Keylogging Local Data Staging Remote Data Staging Screen Capture Remote Email Collection Automated Collection Data from Information Repositories Sharepoint Archive Collected Data Archive via Utility

Comando y control

Junk Data Web Protocols Mail Protocols External Proxy Multi-hop Proxy Communication Through Removable Media Bidirectional Communication Ingress Tool Transfer Symmetric Cryptography

Exfiltración

Data Transfer Size Limits Exfiltration Over Asymmetric Encrypted Non-C2 Protocol Exfiltration Over Web Service

Impacto

Network Denial of Service

defense-impairment

Clear Windows Event Logs

stealth

Rootkit Encrypted/Encoded File Masquerading Match Legitimate Resource Name or Location File Deletion Timestomp Valid Accounts Cloud Accounts Token Impersonation/Theft Deobfuscate/Decode Files or Information Exploitation for Stealth Rundll32 Template Injection Bootkit Hidden Files and Directories Hidden Window Impersonation

Vulnerabilidades explotadas 10

CVEs que este grupo es conocido por explotar, según MITRE ATT&CK. Ordenadas por gravedad real.

CVE-2014-7169CRITICALEPSS 100%KEV CVE-2017-0262HIGHEPSS 81%KEV CVE-2015-1701HIGHEPSS 56%KEV CVE-2015-2387HIGHEPSS 37%KEV CVE-2022-38028HIGHEPSS 15%KEV CVE-2015-4902MEDIUMEPSS 13%KEV CVE-2017-0263HIGHEPSS 10%KEV CVE-2016-6662EPSS 68%CVE-2017-0176EPSS 46%CVE-2014-4076EPSS 23%

El grupo APT28 usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →