Mustard Tempest

APT / EstatalG1020 ↗
Técnicas (MITRE ATT&CK)12
FonteMITRE ATT&CK
0
Também conhecido como:DEV-0206TA569GOLD PRELUDEUNC1543

Análise Vexday

Mustard Tempest é um grupo de acesso inicial (IAB) que opera a rede de distribuição SocGholish desde pelo menos 2017, sendo rastreado também pelos aliases DEV-0206, TA569, GOLD PRELUDE e UNC1543. O grupo estabeleceu parceria com o Indrik Spider para fornecer acesso que viabiliza o download de malwares adicionais, incluindo LockBit, WastedLocker e ferramentas de acesso remoto. Ao grupo são atribuídas 12 técnicas documentadas no MITRE ATT&CK (identificador G1020).

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal22
Impacto: Alto
T1189T1204.001ENTRYAcesso inicialDrive-byCompromiseEXECExecuçãoMalicious LinkDISCDescobertaSystem InformationDiscovery

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 12

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Preparação de recursos
ServerMalvertisingDomainsUpload MalwareDrive-by TargetSEO Poisoning
Acesso inicial
Drive-by CompromiseSpearphishing Link
Execução
Malicious Link
Descoberta
System Information Discovery
Comando e controle
Ingress Tool Transfer
stealth
Match Legitimate Resource Name or Location

Vulnerabilidades exploradas

Nenhuma CVE atribuída a este grupo nas fontes públicas (MITRE ATT&CK). Ausência de atribuição não significa ausência de atividade.

Infraestrutura conhecida 1339

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port23.148.212.86:443Cobalt Strikethreatfox
ip:port38.190.196.19:8080Cobalt Strikethreatfox
ip:port154.91.85.44:443Cobalt Strikethreatfox
domaincdn.winservers-network.comCobalt Strikethreatfox
ip:port101.34.235.48:80Cobalt Strikethreatfox
ip:port120.48.91.111:80Cobalt Strikethreatfox
ip:port103.193.151.121:50050Cobalt Strikethreatfox
ip:port140.99.130.213:443Cobalt Strikethreatfox
ip:port192.227.128.8:8443Cobalt Strikethreatfox
ip:port70.39.181.128:50050Cobalt Strikethreatfox
ip:port101.42.183.92:50050Cobalt Strikethreatfox
ip:port64.83.47.231:50050Cobalt Strikethreatfox
ip:port64.90.17.97:50050Cobalt Strikethreatfox
ip:port158.247.224.146:50050Cobalt Strikethreatfox
ip:port47.254.3.109:50050Cobalt Strikethreatfox
ip:port54.149.132.52:50050Cobalt Strikethreatfox
ip:port47.251.17.93:50050Cobalt Strikethreatfox
ip:port47.254.74.124:50050Cobalt Strikethreatfox
ip:port43.106.16.169:50050Cobalt Strikethreatfox
ip:port47.94.224.229:3306Cobalt Strikethreatfox
ip:port47.94.224.229:21Cobalt Strikethreatfox
ip:port47.94.224.229:22Cobalt Strikethreatfox
ip:port47.242.248.156:30001Cobalt Strikethreatfox
ip:port108.165.147.244:8081Cobalt Strikethreatfox
ip:port101.42.255.92:8001Cobalt Strikethreatfox
ip:port149.88.66.234:80Cobalt Strikethreatfox
ip:port149.88.66.234:2020Cobalt Strikethreatfox
ip:port116.204.119.99:443Cobalt Strikethreatfox
ip:port47.236.53.104:443Cobalt Strikethreatfox
ip:port47.237.89.109:443Cobalt Strikethreatfox

+1339 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo Mustard Tempest usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →