Gorgon Group

APT / EstatalG0078 ↗
Origen🇷🇺 Rússia
Técnicas (MITRE ATT&CK)16
FuenteMITRE ATT&CK
0
También conocido como:ATK92G0078Pasty GeminiSubaat

Análisis Vexday

Gorgon Group é um grupo de ameaça cujos membros são suspeitos de ter base no Paquistão ou conexões com o país. O grupo conduziu uma mistura de ataques criminosos e direcionados, incluindo campanhas contra organizações governamentais no Reino Unido, Espanha, Rússia e Estados Unidos. Catalogado no MITRE ATT&CK sob o identificador G0078, o grupo possui 16 técnicas documentadas na matriz.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal27
Impacto: Alto
T1566.001T1059.001ENTRYAcceso inicialSpearphishingAttachmentEXECEjecuciónPowerShellPERSPersistenciaRegistry Run Keys/ Startup Folder

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 16

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Preparación de recursos
Tool
Acceso inicial
Spearphishing Attachment
Ejecución
PowerShellWindows Command ShellVisual BasicNative APIMalicious File
Persistencia
Registry Run Keys / Startup FolderShortcut Modification
Comando y control
Ingress Tool Transfer
defense-impairment
Modify RegistryDisable or Modify Tools
stealth
Portable Executable InjectionProcess HollowingDeobfuscate/Decode Files or InformationHidden Window

Vulnerabilidades explotadas

Ninguna CVE atribuida a este grupo en las fuentes públicas (MITRE ATT&CK). La ausencia de atribución no significa ausencia de actividad.

Infraestructura conocida 743

Indicadores reales (C2, dominios, URLs y hashes) asociados al malware que usa este grupo. Fuente: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port2.56.165.157:991NjRATthreatfox
ip:port103.83.87.87:26900Remcosthreatfox
ip:port103.83.87.87:27900Remcosthreatfox
ip:port103.83.87.87:22300Remcosthreatfox
ip:port103.83.87.87:24900Remcosthreatfox
domainwhichkindwahalabethisonesooluwahelurboi.duckdns.orgRemcosthreatfox
ip:port155.103.69.20:14647Remcosthreatfox
domaineventras.duckdns.orgRemcosthreatfox
ip:port107.175.88.92:2404Remcosthreatfox
ip:port87.120.244.219:13131Remcosthreatfox
ip:port77.110.108.14:9001Remcosthreatfox
ip:port80.97.160.237:23401Remcosthreatfox
ip:port91.193.7.162:13309Remcosthreatfox
ip:port45.74.3.160:2404Remcosthreatfox
ip:port185.91.126.112:443Remcosthreatfox
ip:port144.24.14.113:7005Remcosthreatfox
ip:port185.116.238.123:8088Remcosthreatfox
ip:port104.251.181.148:1427Remcosthreatfox
ip:port15.204.115.143:2404Remcosthreatfox
ip:port104.251.181.148:443Remcosthreatfox
ip:port104.251.181.148:80Remcosthreatfox
ip:port185.91.126.107:443Remcosthreatfox
domainxoso6640.comRemcosthreatfox
domainaseguradora2026.kozow.comRemcosthreatfox
domain2301amarilloa.kozow.comRemcosthreatfox
domainnordking.spaceRemcosthreatfox
domainnordkingbackup.spaceRemcosthreatfox
domaincreatifanay.duckdns.orgRemcosthreatfox
domaincrushanytics.duckdns.orgRemcosthreatfox
domainnordkingbackup1.spaceRemcosthreatfox

+743 indicadores en total. Míralos todos en la página de IOCs.

Referencias

El grupo Gorgon Group usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →