BackdoorDiplomacy

APT / EstatalG0135 ↗
Técnicas (MITRE ATT&CK)15
FonteMITRE ATT&CK
Categorias-alvo: Government, Telecomms
Regiões visadas: Libya · Namibia · Sudan · Albania · Croatia · Georgia · Poland · Iran · Qatar · Saudi Arabia +2

Análise Vexday

Ativo desde pelo menos 2017, o BackdoorDiplomacy (identificador MITRE ATT&CK G0135) é um grupo de espionagem cibernética que tem como alvos Ministérios de Relações Exteriores e empresas de telecomunicações na África, Europa, Oriente Médio e Ásia. O grupo possui 15 técnicas documentadas no MITRE ATT&CK e é associado à exploração de 3 CVEs conhecidas.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal45
Impacto: Alto
T1190T1505.003T1046ENTRYAcesso inicialExploitPublic-Facing App…PERSPersistênciaWeb ShellDISCDescobertaNetwork ServiceDiscoveryCOLLColetaLocal Data Staging

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 15

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos
MalwareTool
Acesso inicial
Exploit Public-Facing Application
Persistência
Web Shell
Descoberta
Network Service DiscoverySystem Network Connections DiscoveryPeripheral Device Discovery
Coleta
Local Data Staging
Comando e controle
Non-Application Layer ProtocolIngress Tool Transfer
stealth
Obfuscated Files or InformationMasquerade Task or ServiceMatch Legitimate Resource Name or LocationDynamic-link Library InjectionDLL

Vulnerabilidades exploradas 3

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2020-5902CRITICALEPSS 100%KEVCVE-2014-7169CRITICALEPSS 100%KEVCVE-2016-6662EPSS 68%

Infraestrutura conhecida 102

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port134.122.200.217:8088Quasar RATthreatfox
ip:port20.215.224.217:8080Quasar RATthreatfox
ip:port5.83.150.71:4567Quasar RATthreatfox
ip:port145.63.135.73:4782Quasar RATthreatfox
ip:port178.16.52.35:4433Quasar RATthreatfox
ip:port190.255.83.163:6001Quasar RATthreatfox
urlhttp://217.60.195.219/ty/load.batQuasarRATurlhaus
ip:port5.230.69.252:8443Quasar RATthreatfox
ip:port38.128.251.209:3000Quasar RATthreatfox
ip:port105.108.207.177:288Quasar RATthreatfox
ip:port185.194.30.165:8080Quasar RATthreatfox
ip:port149.30.232.214:46999Quasar RATthreatfox
ip:port20.215.40.6:7000Quasar RATthreatfox
ip:port130.162.224.102:2222Quasar RATthreatfox
sha1_hash00f6a68fef995c15c116c48b18d9611db036c1e5Quasar RATthreatfox
md5_hash2ac1f830806ce3bdd35cdcb957f139baQuasar RATthreatfox
sha256_hash9270d36aa57eec3d44dc2d66929551198cb8a31d0ef383a726c38b75ad8144baQuasar RATthreatfox
ip:port194.59.30.130:5000Quasar RATthreatfox
ip:port38.128.251.36:3000Quasar RATthreatfox
ip:port91.199.133.59:1604Quasar RATthreatfox
urlhttp://91.199.133.59/client.exeQuasarRATurlhaus
ip:port46.151.182.113:9000Quasar RATthreatfox
ip:port45.141.37.116:8080Quasar RATthreatfox
ip:port5.83.145.69:8080Quasar RATthreatfox
ip:port27.50.29.181:5787Quasar RATthreatfox
ip:port103.101.85.103:4747Quasar RATthreatfox
sha256_hashb54bc4caa16d8a0832ea833429556d9db8bd3b5bcf0c9cb1d0de0781bbb620d0Quasar RATthreatfox
sha1_hashae04c23604aa238e4eb59327986d3f1ace780c90Quasar RATthreatfox
md5_hash9d9bd074b5e349b11408a63256af6d5cQuasar RATthreatfox
md5_hash3de985cb3c3427fff40ac76d48022231Quasar RATthreatfox

+102 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo BackdoorDiplomacy usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →