Cobalt Group

APT / EstatalG0080 ↗
Técnicas (MITRE ATT&CK)34
FonteMITRE ATT&CK
0
Também conhecido como:COBALT SPIDERCobalt GangCobalt SpiderG0080GOLD KINGSWOODMule Libra

Análise Vexday

Cobalt Group (também identificado como GOLD KINGSWOOD, Cobalt Gang e Cobalt Spider) é um grupo de ameaça com motivação financeira ativo pelo menos desde 2016, com atuação direcionada a instituições financeiras. Suas intrusões visam sistemas de ATM, processamento de cartões, plataformas de pagamento e redes SWIFT, com foco principal em bancos da Europa Oriental, Ásia Central e Sudeste Asiático. Um dos supostos líderes do grupo foi preso na Espanha no início de 2018, embora o grupo permaneça ativo e utilize organizações comprometidas como vetor para atingir vítimas adicionais. O MITRE ATT&CK documenta 34 técnicas associadas ao grupo (identificador G0080), que também tem 5 CVEs atribuídas à sua atividade de exploração.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal66
Impacto: Alto
T1195.002T1053.005T1037.001T1068T1046ENTRYAcesso inicialCompromiseSoftware Supply C…EXECExecuçãoScheduled TaskPERSPersistênciaLogon Script(Windows)PRIVEscalada de privilégioExploitation forPrivilege Escalat…DISCDescobertaNetwork ServiceDiscoveryLATMovimento lateralRemote DesktopProtocol

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 34

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos
Tool
Acesso inicial
Compromise Software Supply ChainSpearphishing AttachmentSpearphishing Link
Execução
Scheduled TaskPowerShellWindows Command ShellVisual BasicJavaScriptExploitation for Client ExecutionMalicious LinkMalicious FileDynamic Data Exchange
Persistência
Logon Script (Windows)Windows ServiceRegistry Run Keys / Startup Folder
Escalada de privilégio
Exploitation for Privilege EscalationBypass User Account Control
Descoberta
Network Service DiscoverySecurity Software Discovery
Movimento lateral
Remote Desktop Protocol
Comando e controle
Web ProtocolsDNSIngress Tool TransferRemote Access ToolsProtocol TunnelingAsymmetric Cryptography
stealth
Command ObfuscationProcess InjectionFile DeletionCMSTPOdbcconfRegsvr32XSL Script Processing

Vulnerabilidades exploradas 5

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2017-11882HIGHEPSS 100%KEVCVE-2017-0199HIGHEPSS 100%KEVCVE-2018-8174HIGHEPSS 89%KEVCVE-2017-8759HIGHEPSS 87%KEVCVE-2017-8570HIGHEPSS 86%KEV

Infraestrutura conhecida 1494

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port47.94.224.229:888Cobalt Strikethreatfox
ip:port149.88.66.234:8089Cobalt Strikethreatfox
ip:port124.220.34.180:80Cobalt Strikethreatfox
ip:port124.220.34.180:8080Cobalt Strikethreatfox
ip:port124.220.34.180:443Cobalt Strikethreatfox
ip:port117.72.125.206:443Cobalt Strikethreatfox
ip:port117.72.125.206:80Cobalt Strikethreatfox
ip:port117.72.125.206:8080Cobalt Strikethreatfox
ip:port110.42.255.63:9090Cobalt Strikethreatfox
ip:port43.136.178.239:22Cobalt Strikethreatfox
ip:port43.136.178.239:8080Cobalt Strikethreatfox
ip:port39.105.200.188:18080Cobalt Strikethreatfox
ip:port43.136.178.239:80Cobalt Strikethreatfox
ip:port43.136.178.239:443Cobalt Strikethreatfox
ip:port39.105.200.188:22Cobalt Strikethreatfox
ip:port110.42.255.63:5432Cobalt Strikethreatfox
ip:port110.42.255.63:22Cobalt Strikethreatfox
ip:port94.23.121.241:7433Cobalt Strikethreatfox
ip:port88.119.174.86:443Cobalt Strikethreatfox
ip:port192.144.171.134:443Cobalt Strikethreatfox
ip:port129.28.122.92:443Cobalt Strikethreatfox
ip:port193.112.191.222:443Cobalt Strikethreatfox
ip:port198.199.72.177:7771Cobalt Strikethreatfox
ip:port182.92.117.223:55000Cobalt Strikethreatfox
ip:port39.106.80.126:50050Cobalt Strikethreatfox
ip:port175.178.99.75:50050Cobalt Strikethreatfox
ip:port167.160.189.206:50050Cobalt Strikethreatfox
ip:port108.165.147.244:50050Cobalt Strikethreatfox
ip:port24.144.93.255:50050Cobalt Strikethreatfox
ip:port178.16.52.177:50050Cobalt Strikethreatfox

+1494 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo Cobalt Group usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →