Turla

Origen🇷🇺 Rússia

Técnicas (MITRE ATT&CK)68

FuenteMITRE ATT&CK

Patrocinio estatal: Russian FederationConfianza de atribución: 50%Categorías objetivo: Government, Military

Regiones atacadas: France · Romania · Kazakhstan · Poland · Tajikistan · Russia · United States · Saudi Arabia · Germany · India +5

También conocido como:ATK13BELUGASTURGEONBlue PythonG0010Group 88Hippo TeamIRON HUNTERITG12KRYPTONKryptonMAKERSMARKPacifier APTPfinetPopeyeSIG23SUMMITSecret BlizzardSnakeTAG_0530TURLA RELICUAC-0003UAC-0024UAC-0144UNC4210UroburosVENOMOUS BearVenomous BearWRAITHWaterbugWhiteBear

Análisis Vexday

Turla é um grupo de espionagem cibernética atribuído ao Serviço Federal de Segurança da Rússia (FSB), rastreado pelo MITRE ATT&CK sob o identificador G0010 e também conhecido pelos aliases IRON HUNTER, Group 88, Waterbug, WhiteBear, Snake e Krypton. O grupo compromete vítimas em mais de 50 países desde pelo menos 2004, abrangendo setores como governo, embaixadas, forças militares, educação, pesquisa e indústria farmacêutica. Suas operações envolvem campanhas de watering hole e spearphishing, com uso de ferramentas e malwares próprios, como o Uroburos. Ao todo, 68 técnicas do framework MITRE ATT&CK são documentadas em associação ao grupo.

Cadena de ataque

Escenario plausible montado a partir de las técnicas reales del grupo, ordenadas por las fases de un ataque. Cada etapa muestra cómo suele actuar el grupo.

Severidad del arsenal62

Impacto: Alto

Cadena ilustrativa derivada de las técnicas documentadas en MITRE ATT&CK — no representa un ataque específico ya ocurrido. La severidad resume el arsenal conocido (cobertura de la cadena, CVEs en explotación activa, técnicas).

Técnicas (MITRE ATT&CK) 68

Cómo opera el grupo, mapeado por la matriz MITRE ATT&CK y organizado por las fases de un ataque.

Preparación de recursos

Web Services Virtual Private Server Server Web Services Malware Malware Tool

Acceso inicial

Drive-by Compromise Spearphishing Link

Ejecución

PowerShell Windows Command Shell Visual Basic Python JavaScript Native API Malicious Link

Persistencia

Registry Run Keys / Startup Folder Winlogon Helper DLL

Escalada de privilegios

Exploitation for Privilege Escalation Windows Management Instrumentation Event Subscription PowerShell Profile

Acceso a credenciales

Brute Force Windows Credential Manager

Descubrimiento

System Service Discovery Query Registry System Network Configuration Discovery Internet Connection Discovery Remote System Discovery System Network Connections Discovery Process Discovery Local Groups Domain Groups System Information Discovery File and Directory Discovery Local Account Domain Account Peripheral Device Discovery System Time Discovery Password Policy Discovery Security Software Discovery Group Policy Discovery

Movimiento lateral

SMB/Windows Admin Shares Lateral Tool Transfer

Recolección

Data from Local System Data from Removable Media Databases Archive via Utility

Comando y control

Web Protocols Mail Protocols Proxy Internal Proxy Web Service Bidirectional Communication Ingress Tool Transfer

Exfiltración

Exfiltration to Cloud Storage

defense-impairment

Modify Registry Code Signing Policy Modification Disable or Modify Tools

stealth

Indicator Removal from Tools Command Obfuscation Fileless Storage Match Legitimate Resource Name or Location Process Injection Dynamic-link Library Injection Local Accounts Create Process with Token Deobfuscate/Decode Files or Information File/Path Exclusions

Vulnerabilidades explotadas

Ninguna CVE atribuida a este grupo en las fuentes públicas (MITRE ATT&CK). La ausencia de atribución no significa ausencia de actividad.

Referencias

El grupo Turla usa técnicas y explota fallas reales. El Pentest Autónomo con IA de TrueHacking simula esos ataques en tu infraestructura y aporta más seguridad a tu aplicación.

Conocer el Pentest Autónomo con IA →