Chimera

Origem🇨🇳 China

Técnicas (MITRE ATT&CK)59

FonteMITRE ATT&CK

Análise Vexday

Chimera é um grupo de ameaça persistente avançada (APT) com origem atribuída à China, ativo pelo menos desde 2018, com atuação documentada contra a indústria de semicondutores em Taiwan e dados do setor de aviação. Identificado no MITRE ATT&CK como G0114, o grupo possui 59 técnicas documentadas nessa base de conhecimento.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal59

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 59

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Reconhecimento

Credentials

Preparação de recursos

Tool

Execução

Windows Management Instrumentation Scheduled Task PowerShell Windows Command Shell Native API Service Execution

Persistência

External Remote Services

Acesso a credenciais

NTDS Password Spraying Credential Stuffing Multi-Factor Authentication Interception

Descoberta

System Service Discovery Query Registry System Network Configuration Discovery Remote System Discovery System Owner/User Discovery Network Service Discovery System Network Connections Discovery Process Discovery Local Groups File and Directory Discovery Local Account Domain Account System Time Discovery Network Share Discovery Password Policy Discovery Browser Information Discovery Domain Trust Discovery Local Storage Discovery

Movimento lateral

Remote Desktop Protocol SMB/Windows Admin Shares Windows Remote Management Pass the Hash Lateral Tool Transfer

Coleta

Data from Network Shared Drive Local Data Staging Remote Data Staging Local Email Collection Remote Email Collection Automated Collection Sharepoint Archive via Utility

Comando e controle

Web Protocols DNS Ingress Tool Transfer Protocol Tunneling

Exfiltração

Exfiltration Over C2 Channel Exfiltration to Cloud Storage

defense-impairment

Domain Controller Authentication Clear Windows Event Logs

stealth

Command Obfuscation Match Legitimate Resource Name or Location File Deletion Timestomp Valid Accounts Domain Accounts DLL

Vulnerabilidades exploradas

Nenhuma CVE atribuída a este grupo nas fontes públicas (MITRE ATT&CK). Ausência de atribuição não significa ausência de atividade.

Infraestrutura conhecida 1359

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port149.88.66.234:9999Cobalt Strikethreatfox

ip:port149.88.66.234:8088Cobalt Strikethreatfox

ip:port149.88.66.234:22Cobalt Strikethreatfox

ip:port149.88.66.234:9200Cobalt Strikethreatfox

ip:port119.29.122.42:53Cobalt Strikethreatfox

domainc2.apamm.kdns.frCobalt Strikethreatfox

ip:port38.190.196.19:22Cobalt Strikethreatfox

ip:port8.163.59.20:8082Cobalt Strikethreatfox

ip:port43.225.157.17:1080Cobalt Strikethreatfox

ip:port47.93.42.22:22Cobalt Strikethreatfox

ip:port101.34.235.48:8080Cobalt Strikethreatfox

ip:port101.34.235.48:443Cobalt Strikethreatfox

ip:port38.190.196.19:80Cobalt Strikethreatfox

ip:port38.190.196.19:443Cobalt Strikethreatfox

ip:port154.91.85.44:8080Cobalt Strikethreatfox

ip:port154.91.85.44:80Cobalt Strikethreatfox

ip:port103.217.186.180:55554Cobalt Strikethreatfox

ip:port23.148.212.86:443Cobalt Strikethreatfox

ip:port38.190.196.19:8080Cobalt Strikethreatfox

ip:port154.91.85.44:443Cobalt Strikethreatfox

domaincdn.winservers-network.comCobalt Strikethreatfox

ip:port103.193.151.121:50050Cobalt Strikethreatfox

ip:port120.48.91.111:80Cobalt Strikethreatfox

ip:port140.99.130.213:443Cobalt Strikethreatfox

ip:port101.34.235.48:80Cobalt Strikethreatfox

ip:port192.227.128.8:8443Cobalt Strikethreatfox

ip:port47.254.3.109:50050Cobalt Strikethreatfox

ip:port64.83.47.231:50050Cobalt Strikethreatfox

ip:port101.42.183.92:50050Cobalt Strikethreatfox

ip:port64.90.17.97:50050Cobalt Strikethreatfox

+1359 indicadores no total. Veja todos na página de IOCs.

O grupo Chimera usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →