Cobalt Group

Técnicas (MITRE ATT&CK)34

FuenteMITRE ATT&CK

También conocido como:COBALT SPIDERCobalt GangCobalt SpiderG0080GOLD KINGSWOODMule Libra

Análisis Vexday

Cobalt Group (também identificado como GOLD KINGSWOOD, Cobalt Gang e Cobalt Spider) é um grupo de ameaça com motivação financeira ativo pelo menos desde 2016, com atuação direcionada a instituições financeiras. Suas intrusões visam sistemas de ATM, processamento de cartões, plataformas de pagamento e redes SWIFT, com foco principal em bancos da Europa Oriental, Ásia Central e Sudeste Asiático. Um dos supostos líderes do grupo foi preso na Espanha no início de 2018, embora o grupo permaneça ativo e utilize organizações comprometidas como vetor para atingir vítimas adicionais. O MITRE ATT&CK documenta 34 técnicas associadas ao grupo (identificador G0080), que também tem 5 CVEs atribuídas à sua atividade de exploração.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal66

Impacto: Alto

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 34

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Preparación de recursos

Tool

Acceso inicial

Compromise Software Supply Chain Spearphishing Attachment Spearphishing Link

Ejecución

Scheduled Task PowerShell Windows Command Shell Visual Basic JavaScript Exploitation for Client Execution Malicious Link Malicious File Dynamic Data Exchange

Persistencia

Logon Script (Windows)Windows Service Registry Run Keys / Startup Folder

Escalada de privilegios

Exploitation for Privilege Escalation Bypass User Account Control

Descubrimiento

Network Service Discovery Security Software Discovery

Movimiento lateral

Remote Desktop Protocol

Comando y control

Web Protocols DNS Ingress Tool Transfer Remote Access Tools Protocol Tunneling Asymmetric Cryptography

stealth

Command Obfuscation Process Injection File Deletion CMSTP Odbcconf Regsvr32 XSL Script Processing

Vulnerabilidades explotadas 5

CVEs que este grupo es conocido por explotar, según MITRE ATT&CK. Ordenadas por gravedad real.

CVE-2017-11882HIGHEPSS 100%KEV CVE-2017-0199HIGHEPSS 100%KEV CVE-2018-8174HIGHEPSS 89%KEV CVE-2017-8759HIGHEPSS 87%KEV CVE-2017-8570HIGHEPSS 86%KEV

Infraestructura conocida 1527

Indicadores reales (C2, dominios, URLs y hashes) asociados al malware que usa este grupo. Fuente: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port45.221.118.46:80Cobalt Strikethreatfox

ip:port45.221.118.46:443Cobalt Strikethreatfox

ip:port38.76.183.197:8082Cobalt Strikethreatfox

ip:port8.222.188.173:443Cobalt Strikethreatfox

ip:port8.219.220.240:7777Cobalt Strikethreatfox

ip:port209.99.184.234:50050Cobalt Strikethreatfox

ip:port120.77.42.217:50000Cobalt Strikethreatfox

ip:port49.235.52.47:3000Cobalt Strikethreatfox

ip:port49.235.52.47:8080Cobalt Strikethreatfox

ip:port49.235.52.47:80Cobalt Strikethreatfox

ip:port49.235.52.47:443Cobalt Strikethreatfox

ip:port49.235.52.47:8083Cobalt Strikethreatfox

ip:port147.139.136.105:8080Cobalt Strikethreatfox

ip:port38.207.177.165:8080Cobalt Strikethreatfox

ip:port147.139.136.105:80Cobalt Strikethreatfox

ip:port147.139.136.105:22Cobalt Strikethreatfox

ip:port147.139.136.105:443Cobalt Strikethreatfox

ip:port2.57.241.129:80Cobalt Strikethreatfox

ip:port38.207.177.165:80Cobalt Strikethreatfox

ip:port38.207.177.165:443Cobalt Strikethreatfox

ip:port147.139.245.149:801Cobalt Strikethreatfox

ip:port45.221.118.46:8080Cobalt Strikethreatfox

ip:port119.45.198.250:55555Cobalt Strikethreatfox

ip:port118.24.42.214:443Cobalt Strikethreatfox

ip:port47.251.29.219:50050Cobalt Strikethreatfox

ip:port47.254.68.68:50050Cobalt Strikethreatfox

ip:port172.232.97.189:4444Cobalt Strikethreatfox

ip:port149.88.66.234:21Cobalt Strikethreatfox

ip:port47.108.86.120:22Cobalt Strikethreatfox

ip:port47.108.86.120:111Cobalt Strikethreatfox

+1527 indicadores en total. Míralos todos en la página de IOCs.

Referencias

El grupo Cobalt Group usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →