Patchwork

Origem🇮🇳 Índia

Técnicas (MITRE ATT&CK)41

FonteMITRE ATT&CK

Patrocínio estatal: IndiaConfiança da atribuição: 50%Categorias-alvo: Private sector, Military

Regiões visadas: Bangladesh · Sri Lanka · Pakistan

Também conhecido como:Hangover GroupDropping ElephantChinastratsMONSOONOperation Hangover

Análise Vexday

Patchwork (também conhecido como Hangover Group, Dropping Elephant, Chinastrats, MONSOON e Operation Hangover) é um grupo de espionagem cibernética observado pela primeira vez em dezembro de 2015, com evidências circunstanciais que sugerem origem indiana ou alinhamento pró-Índia. O grupo tem como alvos preferenciais agências governamentais e entidades diplomáticas, e parte significativa do código utilizado em suas operações foi copiada de fóruns públicos online. Em março e abril de 2018, o Patchwork conduziu campanhas de spearphishing direcionadas a grupos de think tank nos Estados Unidos. O grupo possui 41 técnicas documentadas no MITRE ATT&CK (identificador G0040) e 7 CVEs atribuídas.

Cadeia de ataque

Cenário plausível montado a partir das técnicas reais do grupo, ordenadas pelas fases de um ataque. Cada etapa mostra como o grupo costuma agir.

Severidade do arsenal85

Impacto: Alto

Cadeia ilustrativa derivada das técnicas documentadas no MITRE ATT&CK — não representa um ataque específico já ocorrido. A severidade resume o arsenal conhecido (cobertura da cadeia, CVEs em exploração ativa, técnicas).

Técnicas (MITRE ATT&CK) 41

Como o grupo opera, mapeado pela matriz MITRE ATT&CK e organizado pelas fases de um ataque.

Reconhecimento

Spearphishing Link

Preparação de recursos

Code Signing Certificates Tool

Acesso inicial

Drive-by Compromise Spearphishing Attachment Spearphishing Link

Execução

Scheduled Task PowerShell Windows Command Shell Visual Basic Exploitation for Client Execution Malicious Link Malicious File Dynamic Data Exchange

Persistência

Registry Run Keys / Startup Folder

Escalada de privilégio

Bypass User Account Control

Acesso a credenciais

Credentials from Web Browsers

Descoberta

System Owner/User Discovery System Information Discovery File and Directory Discovery Security Software Discovery Local Storage Discovery

Movimento lateral

Remote Desktop Protocol

Coleta

Data from Local System Local Data Staging Automated Collection Archive Collected Data

Comando e controle

Dead Drop Resolver Ingress Tool Transfer Standard Encoding

defense-impairment

Modify Registry Code Signing

stealth

Binary Padding Software Packing Indicator Removal from Tools Command Obfuscation Match Legitimate Resource Name or Location Process Hollowing File Deletion BITS Jobs DLL

Vulnerabilidades exploradas 7

CVEs que este grupo é conhecido por explorar, segundo o MITRE ATT&CK. Ordenadas por gravidade real.

CVE-2017-11882HIGHEPSS 100%KEV CVE-2017-0199HIGHEPSS 100%KEV CVE-2015-1641HIGHEPSS 93%KEV CVE-2017-8570HIGHEPSS 86%KEV CVE-2014-4114HIGHEPSS 82%KEV CVE-2014-6352HIGHEPSS 78%KEV CVE-2012-1856HIGHEPSS 62%KEV

Infraestrutura conhecida 99

Indicadores reais (C2, domínios, URLs e hashes) associados ao malware que este grupo utiliza. Fonte: abuse.ch (ThreatFox, URLhaus, MalwareBazaar).

ip:port134.122.200.217:8088Quasar RATthreatfox

ip:port20.215.224.217:8080Quasar RATthreatfox

ip:port5.83.150.71:4567Quasar RATthreatfox

ip:port145.63.135.73:4782Quasar RATthreatfox

ip:port178.16.52.35:4433Quasar RATthreatfox

ip:port190.255.83.163:6001Quasar RATthreatfox

urlhttp://217.60.195.219/ty/load.batQuasarRATurlhaus

ip:port5.230.69.252:8443Quasar RATthreatfox

ip:port38.128.251.209:3000Quasar RATthreatfox

ip:port105.108.207.177:288Quasar RATthreatfox

ip:port185.194.30.165:8080Quasar RATthreatfox

ip:port149.30.232.214:46999Quasar RATthreatfox

ip:port20.215.40.6:7000Quasar RATthreatfox

ip:port130.162.224.102:2222Quasar RATthreatfox

sha1_hash00f6a68fef995c15c116c48b18d9611db036c1e5Quasar RATthreatfox

md5_hash2ac1f830806ce3bdd35cdcb957f139baQuasar RATthreatfox

sha256_hash9270d36aa57eec3d44dc2d66929551198cb8a31d0ef383a726c38b75ad8144baQuasar RATthreatfox

ip:port194.59.30.130:5000Quasar RATthreatfox

ip:port38.128.251.36:3000Quasar RATthreatfox

ip:port91.199.133.59:1604Quasar RATthreatfox

urlhttp://91.199.133.59/client.exeQuasarRATurlhaus

ip:port46.151.182.113:9000Quasar RATthreatfox

ip:port45.141.37.116:8080Quasar RATthreatfox

ip:port5.83.145.69:8080Quasar RATthreatfox

ip:port27.50.29.181:5787Quasar RATthreatfox

ip:port103.101.85.103:4747Quasar RATthreatfox

sha256_hashb54bc4caa16d8a0832ea833429556d9db8bd3b5bcf0c9cb1d0de0781bbb620d0Quasar RATthreatfox

sha1_hashae04c23604aa238e4eb59327986d3f1ace780c90Quasar RATthreatfox

md5_hash9d9bd074b5e349b11408a63256af6d5cQuasar RATthreatfox

md5_hash3de985cb3c3427fff40ac76d48022231Quasar RATthreatfox

+99 indicadores no total. Veja todos na página de IOCs.

Referências

O grupo Patchwork usa técnicas e explora falhas reais. O Pentest Autônomo com IA da TrueHacking simula esses ataques na sua infraestrutura e traz mais segurança para sua aplicação.

Conhecer o Pentest Autônomo com IA →