Die aktivsten Angreifergruppen dieses Monats
MITRE ATT&CK-Gruppen, gereiht nach den Indikatoren, die Q-Feeds ihnen in den letzten 30 Tagen erstmals zugeordnet hat. Es zählt nur die direkte Zuordnung. Zahlen bis , monatlich aktualisiert.
- 25Gruppen im Ranking
- 6.860Neue Indikatoren der aktivsten Gruppe, 30 Tage
- 18Gruppen, deren Indikatoren eine CVE aus dem CISA-KEV-Katalog nennen
Die wichtigsten Ergebnisse
In den 30 Tagen bis hat Q-Feeds Kimsuky die meisten neuen Indikatoren zugeordnet: 6.860.
Eine hohe Zahl heißt, dass eine Gruppe in der Infrastruktur, die Q-Feeds sieht, viel unterwegs ist: neue Domains, IP-Adressen, URLs und Datei-Hashes, die die Belege mit ihr verbinden. Wie gefährlich eine Gruppe ist, sagt die Zahl nicht. Eine Gruppe, die wenig Infrastruktur nutzt, kann weit hinten stehen und trotzdem sehr aktiv sein.
Die CVE-Spalte zeigt Schwachstellen, die bei Indikatoren einer Gruppe genannt werden. Das verbindet die Infrastruktur der Gruppe mit diesen CVEs, beweist aber nicht, dass die Gruppe sie ausgenutzt hat. CVEs aus dem CISA-Katalog aktiv ausgenutzter Schwachstellen sind mit KEV markiert.
Angreifergruppen nach neuen Indikatoren
| Rang | Gruppe | Neue Indikatoren, 30 Tage | 90 Tage | Wochentrend, 13 Wochen | Verknüpfte Malware | Genannte CVEs |
|---|---|---|---|---|---|---|
| 1 | Kimsuky | 6.860 | 7.112 | AsyncRAT, XLoader, PureCrypter, AppleSeed, KONNI |
| |
| 2 | Akira | 340 | 358 | Akira, Agendacrypt, Cobalt Strike, SocGholish, Etherrat |
| |
| 3 | The Gentlemen | 121 | 142 | Gentlemen, Hastalamuerte, SystemBC, The Gentlemen Ransomware, Cobalt Strike |
| |
| 4 | APT29 | 67 | 75 | CozyCar, CloudDuke, Mispadu, Rogue, Graphdrop |
| |
| 5 | Lazarus Group | 47 | 156 | BeaverTail, InvisibleFerret, Fudmodule, AppleJeus, Comebacker |
| |
| 6 | APT28 | 42 | 79 | Grunt, Beardshell, Slimagent, Gonepostal, JHUHUGIT |
| |
| 7 | Sandworm Team | 40 | 66 | Matchboil, Matchwok, Mythicratatoskr, QuasarRAT, Bluemoon |
| |
| 8 | menuPass | 36 | 93 | ChChes, PlugX, RedLeaves, Php2shell, Amadey |
| |
| 9 | Leviathan | 27 | 27 | Stealc, BADFLICK, BLACKCOFFEE, China Chopper, Cobalt Strike | 0 | |
| 10 | APT38 | 26 | 27 | Sugarloader, Rustbucket, Snatchcrypto, Clickfix, Wannacryptor |
| |
| 11 | TeamPCP | 25 | 47 | Shai-Hulud, CanisterWorm, Systemd, Litellm, Telnyx |
| |
| 12 | MuddyWater | 25 | 32 | Handala, Tsundere Botnet, Mango, Phoenix, Bugsleep |
| |
| 13 | BITTER | 21 | 23 | Dracarys, Wmrat, Miyarat, ZxxZ, Orpcbackdoor |
| |
| 14 | ShinyHunters | 20 | 53 | Scout, Blackfile, Agendacrypt, Gentlemen, MEDUSA |
| |
| 15 | Transparent Tribe | 15 | 48 | TRUSTTRAP, Findpos, Crimson, Crimson rat, Elizarat |
| |
| 16 | Sidewinder | 5 | 18 | WhisperGate, Valleyrat, Donut_injector, Donutloader, Revive |
| |
| 17 | APT-C-36 | 4 | 23 | Remcos, PureCrypter, AsyncRAT, njRAT, DCRAT | 0 | |
| 18 | SideCopy | 4 | 13 | Reverserat, Xenorat, Xenofiscal, Sidecopy apt, Crimson |
| |
| 19 | Patchwork | 3 | 14 | Spyder, Donot, Donut_injector, Modelorat, QuasarRAT | 0 | |
| 20 | Star Blizzard | 2 | 29 | Coldcopy, Norobot, Redflick, Lostkeys, Proton | 0 | |
| 21 | Contagious Interview | 2 | 19 | BeaverTail, InvisibleFerret, Ottercookie, Etherrat, Golangghost | 0 | |
| 22 | Mustang Panda | 1 | 60 | PlugX, PUBLOAD, TONESHELL, Mistcloak, Adaptixc2 |
| |
| 23 | Dark Caracal | 1 | 46 | Bandook, Gocaracal, Clickfix, Kazuar, Phishingit | 0 | |
| 24 | Salt Typhoon | 0 | 133 | Ghostemperor, Silkparasite, Sparrowdoor, Dacls, Snappybee |
| |
| 25 | CURIUM | 0 | 87 | LIGHTRAIL, Mirage, Mirage kitten, IMAPLoader | 0 |
Ein Indikator zählt in dem Zeitfenster, in dem Q-Feeds ihn zuerst gesehen hat. Die Gruppen-ID verlinkt auf ihre Seite bei MITRE ATT&CK. Verknüpfte Malware ist Software, die MITRE ATT&CK oder Q-Feeds-Daten mit der Gruppe verbinden. Gruppen mit zu wenigen neuen Indikatoren in 90 Tagen fallen heraus.
Gruppennamen, Aliasse und IDs stammen aus MITRE ATT&CK®. © The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.
So messen wir
- Quelle. Die Threat-Intelligence-Datenbank von Q-Feeds, die Indikatoren aus mehr als 2.500 Quellen zusammenführt, anreichert und bewertet.
- Nur direkte Zuordnung. Ein Indikator zählt für eine Gruppe, wenn die Belege, die mit ihm kommen, diese Gruppe oder einen ihrer Aliasse nennen. Q-Feeds leitet außerdem Hinweise aus sich überschneidenden MITRE ATT&CK-Techniken ab. Die bleiben aus diesem Ranking heraus, damit eine Vermutung nie mitzählt.
- Zeitfenster. Ein Indikator zählt in dem Zeitfenster, in dem Q-Feeds ihn zuerst gesehen hat: die letzten 30 Tage und die letzten 90 Tage, jeweils bis zum Datum des Snapshots.
- CVEs. Eine CVE steht in der Liste, wenn sie bei einem Indikator genannt wird, der der Gruppe zugeordnet ist. False Positives zählen nicht. Die KEV-Markierung stammt aus dem CISA-Katalog aktiv ausgenutzter Schwachstellen.
- Aktualisierung. In den ersten Tagen jedes Monats wird ein neuer Snapshot berechnet und hier automatisch veröffentlicht.
Sie brauchen die Indikatoren selbst?
Diese Seite zählt Indikatoren pro Gruppe und listet sie nie auf. Die Indikatoren, ihre Zuordnung und die vollständigen Akteursprofile finden Sie im Q-Feeds-Portal, in Threat Lookup und in den Threat Feeds.
Threat Intelligence Platform
Wie Q-Feeds Indikatoren mit Angreifergruppen, Malware und CVEs verknüpft und was das Portal zu jeder Gruppe zeigt.
Threat Lookup
Prüfen Sie eine Domain, IP-Adresse, URL oder einen Hash und sehen Sie, welche Akteure und welche Malware damit verknüpft sind.
Bedrohungsstatistiken
Die anderen Monatsrankings: die am häufigsten missbrauchten TLDs und die Netzwerke mit den meisten bösartigen IP-Adressen.
Häufige Fragen zu diesem Ranking
Was ist eine Angreifergruppe?
Eine Person oder Gruppe hinter bösartigen Aktivitäten, im Englischen Threat Actor genannt. Diese Seite nutzt die Gruppen, die MITRE ATT&CK erfasst. Die öffentliche Wissensdatenbank gibt jeder Gruppe eine ID wie G0032 und führt ihre bekannten Aliasse, Techniken und Software auf.
Wie ordnet Q-Feeds einen Indikator einer Gruppe zu?
Über die Belege, die mit dem Indikator kommen: ein Tag der Quelle, ein Bericht oder eine Anreicherung, die die Gruppe oder einen ihrer Aliasse nennt. Nur diese direkten Verbindungen zählen hier. Das Portal zeigt zusätzlich Hinweise auf Basis sich überschneidender Techniken, klar als Hinweis gekennzeichnet, aber sie gehören nicht zu diesem Ranking.
Heißt eine CVE in der Tabelle, dass die Gruppe sie ausgenutzt hat?
Nein. Sie heißt, dass die CVE bei einem oder mehreren Indikatoren der Gruppe genannt wird, etwa bei einer Domain oder einem Datei-Hash, die zusammen mit dieser Schwachstelle gemeldet wurden. Nutzen Sie das als Hinweis für die Patch-Priorität, nicht als Beweis für eine Ausnutzung.
Warum fehlt eine bekannte Gruppe?
Das Ranking zählt Indikatoren, die Q-Feeds in den letzten 30 und 90 Tagen zum ersten Mal gesehen hat. Eine Gruppe, die in dieser Zeit ruhig war, alte Infrastruktur wiederverwendet oder unter einem Namen gemeldet wird, den MITRE ATT&CK nicht kennt, fehlt, bis neue Indikatoren auftauchen.
Wie oft wird diese Seite aktualisiert?
Jeden Monat. In den ersten Tagen des Monats wird ein neuer Snapshot berechnet, und diese Seite aktualisiert sich automatisch.
Darf ich diese Daten verwenden?
Ja. Die Zahlen stehen unter CC BY 4.0. Sie dürfen sie frei weiterverwenden, auch kommerziell, mit einem Link auf diese Seite als Quellenangabe. Gruppennamen, Aliasse und IDs stammen aus MITRE ATT&CK und unterliegen dessen Nutzungsbedingungen.
Bewerten Sie unsere Intelligence noch heute!
Vereinfachen Sie Ihren Sicherheitsbetrieb, starten Sie Ihre kostenlose Q-Feeds Testphase und erleben Sie den Unterschied.
Kostenlos starten