Les groupes d'attaquants les plus actifs ce mois-ci
Les groupes MITRE ATT&CK classés selon les indicateurs que Q-Feeds leur a attribués pour la première fois au cours des 30 derniers jours. Seule l'attribution directe compte. Chiffres arrêtés au , mis à jour chaque mois.
- 25Groupes au classement
- 6 860Nouveaux indicateurs du groupe le plus actif, 30 jours
- 18Groupes dont les indicateurs citent une CVE du catalogue KEV de la CISA
Principaux constats
Sur les 30 jours arrêtés au , Kimsuky est le groupe auquel Q-Feeds a attribué le plus de nouveaux indicateurs : 6 860.
Un total élevé signifie qu'un groupe est très présent dans l'infrastructure que voit Q-Feeds : nouveaux domaines, adresses IP, URL et empreintes de fichiers que les éléments de preuve relient à lui. Il ne dit rien de la dangerosité du groupe. Un groupe qui utilise peu d'infrastructure peut être mal classé tout en restant très actif.
La colonne CVE liste les vulnérabilités citées sur les indicateurs attribués à chaque groupe. Cela relie l'infrastructure du groupe à ces CVE, sans prouver que le groupe les a exploitées. Les CVE du catalogue des vulnérabilités exploitées de la CISA portent la mention KEV.
Groupes d'attaquants par nouveaux indicateurs
| Rang | Groupe | Nouveaux indicateurs, 30 jours | 90 jours | Tendance hebdomadaire, 13 semaines | Malwares liés | CVE citées |
|---|---|---|---|---|---|---|
| 1 | Kimsuky | 6 860 | 7 112 | AsyncRAT, XLoader, PureCrypter, AppleSeed, KONNI |
| |
| 2 | Akira | 340 | 358 | Akira, Agendacrypt, Cobalt Strike, SocGholish, Etherrat |
| |
| 3 | The Gentlemen | 121 | 142 | Gentlemen, Hastalamuerte, SystemBC, The Gentlemen Ransomware, Cobalt Strike |
| |
| 4 | APT29 | 67 | 75 | CozyCar, CloudDuke, Mispadu, Rogue, Graphdrop |
| |
| 5 | Lazarus Group | 47 | 156 | BeaverTail, InvisibleFerret, Fudmodule, AppleJeus, Comebacker |
| |
| 6 | APT28 | 42 | 79 | Grunt, Beardshell, Slimagent, Gonepostal, JHUHUGIT |
| |
| 7 | Sandworm Team | 40 | 66 | Matchboil, Matchwok, Mythicratatoskr, QuasarRAT, Bluemoon |
| |
| 8 | menuPass | 36 | 93 | ChChes, PlugX, RedLeaves, Php2shell, Amadey |
| |
| 9 | Leviathan | 27 | 27 | Stealc, BADFLICK, BLACKCOFFEE, China Chopper, Cobalt Strike | 0 | |
| 10 | APT38 | 26 | 27 | Sugarloader, Rustbucket, Snatchcrypto, Clickfix, Wannacryptor |
| |
| 11 | TeamPCP | 25 | 47 | Shai-Hulud, CanisterWorm, Systemd, Litellm, Telnyx |
| |
| 12 | MuddyWater | 25 | 32 | Handala, Tsundere Botnet, Mango, Phoenix, Bugsleep |
| |
| 13 | BITTER | 21 | 23 | Dracarys, Wmrat, Miyarat, ZxxZ, Orpcbackdoor |
| |
| 14 | ShinyHunters | 20 | 53 | Scout, Blackfile, Agendacrypt, Gentlemen, MEDUSA |
| |
| 15 | Transparent Tribe | 15 | 48 | TRUSTTRAP, Findpos, Crimson, Crimson rat, Elizarat |
| |
| 16 | Sidewinder | 5 | 18 | WhisperGate, Valleyrat, Donut_injector, Donutloader, Revive |
| |
| 17 | APT-C-36 | 4 | 23 | Remcos, PureCrypter, AsyncRAT, njRAT, DCRAT | 0 | |
| 18 | SideCopy | 4 | 13 | Reverserat, Xenorat, Xenofiscal, Sidecopy apt, Crimson |
| |
| 19 | Patchwork | 3 | 14 | Spyder, Donot, Donut_injector, Modelorat, QuasarRAT | 0 | |
| 20 | Star Blizzard | 2 | 29 | Coldcopy, Norobot, Redflick, Lostkeys, Proton | 0 | |
| 21 | Contagious Interview | 2 | 19 | BeaverTail, InvisibleFerret, Ottercookie, Etherrat, Golangghost | 0 | |
| 22 | Mustang Panda | 1 | 60 | PlugX, PUBLOAD, TONESHELL, Mistcloak, Adaptixc2 |
| |
| 23 | Dark Caracal | 1 | 46 | Bandook, Gocaracal, Clickfix, Kazuar, Phishingit | 0 | |
| 24 | Salt Typhoon | 0 | 133 | Ghostemperor, Silkparasite, Sparrowdoor, Dacls, Snappybee |
| |
| 25 | CURIUM | 0 | 87 | LIGHTRAIL, Mirage, Mirage kitten, IMAPLoader | 0 |
Un indicateur compte dans la période où Q-Feeds l'a vu pour la première fois. L'identifiant du groupe renvoie vers sa page MITRE ATT&CK. Les malwares liés sont les logiciels que MITRE ATT&CK ou les données Q-Feeds rattachent au groupe. Les groupes avec trop peu de nouveaux indicateurs sur 90 jours sont écartés.
Les noms, alias et identifiants des groupes proviennent de MITRE ATT&CK®. © The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.
Comment nous mesurons
- Source. La base de threat intelligence de Q-Feeds, qui agrège, enrichit et note des indicateurs issus de plus de 2 500 sources.
- Attribution directe uniquement. Un indicateur compte pour un groupe quand les éléments de preuve qui l'accompagnent nomment ce groupe ou l'un de ses alias. Q-Feeds déduit aussi des pistes à partir de techniques MITRE ATT&CK qui se recoupent. Elles restent hors de ce classement, pour qu'une supposition ne gonfle jamais le total d'un groupe.
- Périodes. Un indicateur compte dans la période où Q-Feeds l'a vu pour la première fois : les 30 derniers jours et les 90 derniers jours, arrêtés à la date de l'instantané.
- CVE. Une CVE figure dans la liste quand elle est citée sur un indicateur attribué au groupe. Les faux positifs sont exclus. La mention KEV provient du catalogue des vulnérabilités exploitées de la CISA.
- Mises à jour. Un nouvel instantané est calculé dans les premiers jours de chaque mois et publié ici automatiquement.
Besoin des indicateurs eux-mêmes ?
Cette page compte les indicateurs par groupe et ne les liste jamais. Les indicateurs, leur attribution et les profils complets des acteurs se trouvent dans le portail Q-Feeds, dans Threat Lookup et dans les threat feeds.
Plateforme de threat intelligence
Comment Q-Feeds relie les indicateurs aux groupes d'attaquants, aux malwares et aux CVE, et ce que le portail affiche pour chaque groupe.
Threat Lookup
Vérifiez un domaine, une adresse IP, une URL ou une empreinte et voyez les acteurs et malwares qui y sont liés.
Statistiques des menaces
Les autres classements mensuels : les TLD les plus détournés et les réseaux qui comptent le plus d'adresses IP malveillantes.
Questions fréquentes sur ce classement
Qu'est-ce qu'un groupe d'attaquants ?
Une personne ou un groupe à l'origine d'une activité malveillante, souvent appelé threat actor. Cette page s'appuie sur les groupes suivis par MITRE ATT&CK, une base de connaissances publique qui donne à chaque groupe un identifiant comme G0032 et recense ses alias, techniques et logiciels connus.
Comment Q-Feeds attribue-t-il un indicateur à un groupe ?
Par les éléments de preuve qui accompagnent l'indicateur : un tag de la source, un rapport ou un enrichissement qui nomme le groupe ou l'un de ses alias. Seuls ces liens directs comptent ici. Le portail affiche aussi des pistes fondées sur des techniques qui se recoupent, signalées comme telles, mais elles ne font pas partie de ce classement.
Une CVE dans le tableau signifie-t-elle que le groupe l'a exploitée ?
Non. Elle signifie que la CVE est citée sur un ou plusieurs indicateurs attribués au groupe, par exemple un domaine ou une empreinte de fichier signalés avec cette vulnérabilité. Voyez-y une piste pour prioriser les correctifs, pas une preuve d'exploitation.
Pourquoi un groupe connu n'apparaît-il pas ?
Le classement compte les indicateurs que Q-Feeds a vus pour la première fois au cours des 30 et 90 derniers jours. Un groupe resté discret sur cette période, qui réutilise une ancienne infrastructure ou qui est signalé sous un nom absent de MITRE ATT&CK n'y figure pas tant que de nouveaux indicateurs n'apparaissent pas.
À quelle fréquence cette page est-elle mise à jour ?
Chaque mois. Un nouvel instantané est calculé dans les premiers jours du mois, et cette page se met à jour automatiquement.
Puis-je utiliser ces données ?
Oui. Les chiffres sont publiés sous licence CC BY 4.0. Vous pouvez les réutiliser librement, y compris à des fins commerciales, avec un lien vers cette page comme attribution. Les noms, alias et identifiants des groupes proviennent de MITRE ATT&CK et relèvent de ses conditions d'utilisation.
Évaluez notre intelligence dès aujourd'hui !
Simplifiez vos opérations de sécurité, lancez votre essai gratuit de Q-Feeds et constatez la différence.
Commencer gratuitement