Activiteit van dreigingsactoren deze maand
MITRE ATT&CK-groepen gerangschikt naar de indicatoren die Q-Feeds de afgelopen 30 dagen voor het eerst aan ze toeschreef. Alleen directe toeschrijving telt mee. Cijfers tot en met , elke maand bijgewerkt.
- 25Groepen in de ranglijst
- 6.860Nieuwe indicatoren van de actiefste groep, 30 dagen
- 18Groepen met indicatoren die een CVE uit de CISA KEV-catalogus noemen
Belangrijkste bevindingen
In de 30 dagen tot schreef Q-Feeds de meeste nieuwe indicatoren toe aan Kimsuky: 6.860.
Een hoog aantal betekent dat een groep druk is in de infrastructuur die Q-Feeds ziet: nieuwe domeinen, IP-adressen, URL's en bestandshashes die het bewijs aan de groep koppelt. Het zegt niets over hoe gevaarlijk een groep is. Een groep die weinig infrastructuur gebruikt, kan laag staan en toch zeer actief zijn.
De CVE-kolom toont kwetsbaarheden die genoemd worden bij indicatoren die aan een groep zijn toegeschreven. Dat verbindt de infrastructuur van de groep met die CVE's, maar bewijst niet dat de groep ze heeft misbruikt. CVE's uit de CISA-catalogus van actief misbruikte kwetsbaarheden zijn gemarkeerd met KEV.
Dreigingsactoren naar nieuwe indicatoren
| Positie | Groep | Nieuwe indicatoren, 30 dagen | 90 dagen | Trend per week, 13 weken | Gelinkte malware | Genoemde CVE's |
|---|---|---|---|---|---|---|
| 1 | Kimsuky | 6.860 | 7.112 | AsyncRAT, XLoader, PureCrypter, AppleSeed, KONNI |
| |
| 2 | Akira | 340 | 358 | Akira, Agendacrypt, Cobalt Strike, SocGholish, Etherrat |
| |
| 3 | The Gentlemen | 121 | 142 | Gentlemen, Hastalamuerte, SystemBC, The Gentlemen Ransomware, Cobalt Strike |
| |
| 4 | APT29 | 67 | 75 | CozyCar, CloudDuke, Mispadu, Rogue, Graphdrop |
| |
| 5 | Lazarus Group | 47 | 156 | BeaverTail, InvisibleFerret, Fudmodule, AppleJeus, Comebacker |
| |
| 6 | APT28 | 42 | 79 | Grunt, Beardshell, Slimagent, Gonepostal, JHUHUGIT |
| |
| 7 | Sandworm Team | 40 | 66 | Matchboil, Matchwok, Mythicratatoskr, QuasarRAT, Bluemoon |
| |
| 8 | menuPass | 36 | 93 | ChChes, PlugX, RedLeaves, Php2shell, Amadey |
| |
| 9 | Leviathan | 27 | 27 | Stealc, BADFLICK, BLACKCOFFEE, China Chopper, Cobalt Strike | 0 | |
| 10 | APT38 | 26 | 27 | Sugarloader, Rustbucket, Snatchcrypto, Clickfix, Wannacryptor |
| |
| 11 | TeamPCP | 25 | 47 | Shai-Hulud, CanisterWorm, Systemd, Litellm, Telnyx |
| |
| 12 | MuddyWater | 25 | 32 | Handala, Tsundere Botnet, Mango, Phoenix, Bugsleep |
| |
| 13 | BITTER | 21 | 23 | Dracarys, Wmrat, Miyarat, ZxxZ, Orpcbackdoor |
| |
| 14 | ShinyHunters | 20 | 53 | Scout, Blackfile, Agendacrypt, Gentlemen, MEDUSA |
| |
| 15 | Transparent Tribe | 15 | 48 | TRUSTTRAP, Findpos, Crimson, Crimson rat, Elizarat |
| |
| 16 | Sidewinder | 5 | 18 | WhisperGate, Valleyrat, Donut_injector, Donutloader, Revive |
| |
| 17 | APT-C-36 | 4 | 23 | Remcos, PureCrypter, AsyncRAT, njRAT, DCRAT | 0 | |
| 18 | SideCopy | 4 | 13 | Reverserat, Xenorat, Xenofiscal, Sidecopy apt, Crimson |
| |
| 19 | Patchwork | 3 | 14 | Spyder, Donot, Donut_injector, Modelorat, QuasarRAT | 0 | |
| 20 | Star Blizzard | 2 | 29 | Coldcopy, Norobot, Redflick, Lostkeys, Proton | 0 | |
| 21 | Contagious Interview | 2 | 19 | BeaverTail, InvisibleFerret, Ottercookie, Etherrat, Golangghost | 0 | |
| 22 | Mustang Panda | 1 | 60 | PlugX, PUBLOAD, TONESHELL, Mistcloak, Adaptixc2 |
| |
| 23 | Dark Caracal | 1 | 46 | Bandook, Gocaracal, Clickfix, Kazuar, Phishingit | 0 | |
| 24 | Salt Typhoon | 0 | 133 | Ghostemperor, Silkparasite, Sparrowdoor, Dacls, Snappybee |
| |
| 25 | CURIUM | 0 | 87 | LIGHTRAIL, Mirage, Mirage kitten, IMAPLoader | 0 |
Een indicator telt mee in het tijdvak waarin Q-Feeds hem voor het eerst zag. De groeps-ID linkt naar de pagina van de groep bij MITRE ATT&CK. Gelinkte malware is software die MITRE ATT&CK of Q-Feeds-data aan de groep koppelt. Groepen met te weinig nieuwe indicatoren in 90 dagen vallen weg.
Groepsnamen, aliassen en ID's komen uit MITRE ATT&CK®. © The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.
Zo meten we dit
- Bron. De threat intelligence-database van Q-Feeds, die indicatoren uit meer dan 2.500 bronnen verzamelt, verrijkt en scoort.
- Alleen directe toeschrijving. Een indicator telt mee voor een groep als het bewijs dat erbij hoort die groep of een van haar aliassen noemt. Q-Feeds leidt daarnaast hints af uit overlappende MITRE ATT&CK-technieken. Die blijven buiten deze ranglijst, zodat een vermoeden nooit meetelt.
- Tijdvakken. Een indicator telt mee in het tijdvak waarin Q-Feeds hem voor het eerst zag: de afgelopen 30 dagen en de afgelopen 90 dagen, tot de datum van de snapshot.
- CVE's. Een CVE staat erbij als hij genoemd wordt bij een indicator die aan de groep is toegeschreven. False positives tellen niet mee. De KEV-markering komt uit de CISA-catalogus van actief misbruikte kwetsbaarheden.
- Updates. In de eerste dagen van elke maand wordt een nieuwe snapshot berekend en hier automatisch gepubliceerd.
De indicatoren zelf nodig?
Deze pagina telt indicatoren per groep en toont ze nooit. De indicatoren, hun toeschrijving en de volledige actorprofielen staan in het Q-Feeds-portaal, in Threat Lookup en in de threat feeds.
Threat Intelligence Platform
Hoe Q-Feeds indicatoren koppelt aan dreigingsactoren, malware en CVE's, en wat het portaal per groep laat zien.
Threat Lookup
Controleer een domein, IP-adres, URL of hash en zie welke actoren en malware eraan gekoppeld zijn.
Dreigingsstatistieken
De andere maandelijkse ranglijsten: de meest misbruikte TLD's en de netwerken met de meeste kwaadaardige IP-adressen.
Veelgestelde vragen over deze ranglijst
Wat is een dreigingsactor?
Een persoon of groep achter kwaadaardige activiteit. Deze pagina gebruikt de groepen die MITRE ATT&CK volgt, een openbare kennisbank die elke groep een ID geeft, zoals G0032, en haar bekende aliassen, technieken en software vastlegt.
Hoe schrijft Q-Feeds een indicator toe aan een groep?
Via het bewijs dat bij de indicator hoort: een tag van de bron, een rapport of een verrijking die de groep of een van haar aliassen noemt. Alleen die directe koppelingen tellen hier mee. Het portaal toont ook hints op basis van overlappende technieken, duidelijk als hint gemarkeerd, maar die vallen buiten deze ranglijst.
Betekent een CVE in de tabel dat de groep hem heeft misbruikt?
Nee. Het betekent dat de CVE genoemd wordt bij een of meer indicatoren die aan de groep zijn toegeschreven, bijvoorbeeld een domein of bestandshash die samen met die kwetsbaarheid is gemeld. Gebruik het als aanwijzing voor patchprioriteit, niet als bewijs van misbruik.
Waarom ontbreekt een bekende groep?
De ranglijst telt indicatoren die Q-Feeds de afgelopen 30 en 90 dagen voor het eerst zag. Een groep die in die periode stil was, oude infrastructuur hergebruikt of gemeld wordt onder een naam die MITRE ATT&CK niet kent, valt weg tot er nieuwe indicatoren verschijnen.
Hoe vaak wordt deze pagina bijgewerkt?
Elke maand. In de eerste dagen van de maand wordt een nieuwe snapshot berekend, en deze pagina werkt zichzelf bij.
Mag ik deze data gebruiken?
Ja. De cijfers vallen onder CC BY 4.0. Hergebruik ze vrij, ook commercieel, met een link naar deze pagina als bronvermelding. Groepsnamen, aliassen en ID's komen uit MITRE ATT&CK en vallen onder de gebruiksvoorwaarden daarvan.
Evalueer onze intelligence vandaag!
Vereenvoudig uw security operations, start uw gratis Q-Feeds-proefperiode en ervaar het verschil.
Start gratis