Os grupos de atacantes mais ativos deste mês
Grupos do MITRE ATT&CK ordenados pelos indicadores que a Q-Feeds lhes atribuiu pela primeira vez nos últimos 30 dias. Só conta a atribuição direta. Números até , atualizados todos os meses.
- 25Grupos no ranking
- 6.860Novos indicadores do grupo mais ativo, 30 dias
- 18Grupos cujos indicadores citam uma CVE do catálogo KEV da CISA
Principais conclusões
Nos 30 dias até , Kimsuky foi o grupo a que a Q-Feeds atribuiu mais indicadores novos: 6.860.
Um número alto indica que um grupo tem muita atividade na infraestrutura que a Q-Feeds vê: domínios, endereços IP, URLs e hashes de ficheiros novos que as evidências ligam a ele. Não diz quão perigoso é um grupo. Um grupo que usa pouca infraestrutura pode ficar mal classificado e continuar muito ativo.
A coluna de CVEs lista as vulnerabilidades citadas em indicadores atribuídos a cada grupo. Isso liga a infraestrutura do grupo a essas CVEs, mas não prova que o grupo as explorou. As CVEs do catálogo de vulnerabilidades exploradas da CISA levam a marca KEV.
Grupos de atacantes por novos indicadores
| Posição | Grupo | Novos indicadores, 30 dias | 90 dias | Tendência semanal, 13 semanas | Malware associado | CVEs citadas |
|---|---|---|---|---|---|---|
| 1 | Kimsuky | 6.860 | 7.112 | AsyncRAT, XLoader, PureCrypter, AppleSeed, KONNI |
| |
| 2 | Akira | 340 | 358 | Akira, Agendacrypt, Cobalt Strike, SocGholish, Etherrat |
| |
| 3 | The Gentlemen | 121 | 142 | Gentlemen, Hastalamuerte, SystemBC, The Gentlemen Ransomware, Cobalt Strike |
| |
| 4 | APT29 | 67 | 75 | CozyCar, CloudDuke, Mispadu, Rogue, Graphdrop |
| |
| 5 | Lazarus Group | 47 | 156 | BeaverTail, InvisibleFerret, Fudmodule, AppleJeus, Comebacker |
| |
| 6 | APT28 | 42 | 79 | Grunt, Beardshell, Slimagent, Gonepostal, JHUHUGIT |
| |
| 7 | Sandworm Team | 40 | 66 | Matchboil, Matchwok, Mythicratatoskr, QuasarRAT, Bluemoon |
| |
| 8 | menuPass | 36 | 93 | ChChes, PlugX, RedLeaves, Php2shell, Amadey |
| |
| 9 | Leviathan | 27 | 27 | Stealc, BADFLICK, BLACKCOFFEE, China Chopper, Cobalt Strike | 0 | |
| 10 | APT38 | 26 | 27 | Sugarloader, Rustbucket, Snatchcrypto, Clickfix, Wannacryptor |
| |
| 11 | TeamPCP | 25 | 47 | Shai-Hulud, CanisterWorm, Systemd, Litellm, Telnyx |
| |
| 12 | MuddyWater | 25 | 32 | Handala, Tsundere Botnet, Mango, Phoenix, Bugsleep |
| |
| 13 | BITTER | 21 | 23 | Dracarys, Wmrat, Miyarat, ZxxZ, Orpcbackdoor |
| |
| 14 | ShinyHunters | 20 | 53 | Scout, Blackfile, Agendacrypt, Gentlemen, MEDUSA |
| |
| 15 | Transparent Tribe | 15 | 48 | TRUSTTRAP, Findpos, Crimson, Crimson rat, Elizarat |
| |
| 16 | Sidewinder | 5 | 18 | WhisperGate, Valleyrat, Donut_injector, Donutloader, Revive |
| |
| 17 | APT-C-36 | 4 | 23 | Remcos, PureCrypter, AsyncRAT, njRAT, DCRAT | 0 | |
| 18 | SideCopy | 4 | 13 | Reverserat, Xenorat, Xenofiscal, Sidecopy apt, Crimson |
| |
| 19 | Patchwork | 3 | 14 | Spyder, Donot, Donut_injector, Modelorat, QuasarRAT | 0 | |
| 20 | Star Blizzard | 2 | 29 | Coldcopy, Norobot, Redflick, Lostkeys, Proton | 0 | |
| 21 | Contagious Interview | 2 | 19 | BeaverTail, InvisibleFerret, Ottercookie, Etherrat, Golangghost | 0 | |
| 22 | Mustang Panda | 1 | 60 | PlugX, PUBLOAD, TONESHELL, Mistcloak, Adaptixc2 |
| |
| 23 | Dark Caracal | 1 | 46 | Bandook, Gocaracal, Clickfix, Kazuar, Phishingit | 0 | |
| 24 | Salt Typhoon | 0 | 133 | Ghostemperor, Silkparasite, Sparrowdoor, Dacls, Snappybee |
| |
| 25 | CURIUM | 0 | 87 | LIGHTRAIL, Mirage, Mirage kitten, IMAPLoader | 0 |
Um indicador conta no período em que a Q-Feeds o viu pela primeira vez. O ID do grupo leva à sua página no MITRE ATT&CK. O malware associado é o software que o MITRE ATT&CK ou os dados da Q-Feeds ligam ao grupo. Os grupos com poucos indicadores novos em 90 dias ficam de fora.
Os nomes, aliases e IDs dos grupos vêm do MITRE ATT&CK®. © The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.
Como medimos
- Fonte. A base de dados de threat intelligence da Q-Feeds, que agrega, enriquece e pontua indicadores de mais de 2.500 fontes.
- Só atribuição direta. Um indicador conta para um grupo quando as evidências que o acompanham nomeiam esse grupo ou um dos seus aliases. A Q-Feeds também deduz pistas a partir de técnicas do MITRE ATT&CK que se sobrepõem. Essas pistas ficam fora deste ranking, para que uma suposição nunca aumente o total de um grupo.
- Períodos. Um indicador conta no período em que a Q-Feeds o viu pela primeira vez: os últimos 30 dias e os últimos 90 dias, até a data do snapshot.
- CVEs. Uma CVE aparece quando é citada num indicador atribuído ao grupo. Os falsos positivos ficam de fora. A marca KEV vem do catálogo de vulnerabilidades exploradas da CISA.
- Atualizações. Nos primeiros dias de cada mês é calculado um novo snapshot, publicado aqui automaticamente.
Precisa dos próprios indicadores?
Esta página conta indicadores por grupo e nunca os lista. Os indicadores, a sua atribuição e os perfis completos dos atores estão no portal da Q-Feeds, no Threat Lookup e nos threat feeds.
Plataforma de threat intelligence
Como a Q-Feeds liga indicadores a grupos de atacantes, malware e CVEs, e o que o portal mostra sobre cada grupo.
Threat Lookup
Verifique um domínio, endereço IP, URL ou hash e veja os atores e o malware associados.
Estatísticas de ameaças
Os outros rankings mensais: os TLDs mais abusados e as redes com mais endereços IP maliciosos.
Perguntas frequentes sobre este ranking
O que é um grupo de atacantes?
Uma pessoa ou um grupo por trás de atividade maliciosa, a que em inglês se chama threat actor. Esta página usa os grupos acompanhados pelo MITRE ATT&CK, uma base de conhecimento pública que dá a cada grupo um ID como G0032 e regista os seus aliases, técnicas e software conhecidos.
Como é que a Q-Feeds atribui um indicador a um grupo?
Através das evidências que acompanham o indicador: uma tag da fonte, um relatório ou um enriquecimento que nomeia o grupo ou um dos seus aliases. Aqui só contam essas ligações diretas. O portal também mostra pistas baseadas em técnicas que se sobrepõem, assinaladas como pistas, mas não fazem parte deste ranking.
Uma CVE na tabela significa que o grupo a explorou?
Não. Significa que a CVE é citada num ou mais indicadores atribuídos ao grupo, por exemplo um domínio ou hash de ficheiro reportado junto com essa vulnerabilidade. Use-a como pista para priorizar correções, não como prova de exploração.
Por que razão falta um grupo conhecido?
O ranking conta os indicadores que a Q-Feeds viu pela primeira vez nos últimos 30 e 90 dias. Um grupo que esteve inativo nesse período, que reutiliza infraestrutura antiga ou que é reportado com um nome que o MITRE ATT&CK não regista fica de fora até surgirem novos indicadores.
Com que frequência esta página é atualizada?
Todos os meses. Nos primeiros dias do mês é calculado um novo snapshot, e esta página é atualizada automaticamente.
Posso usar estes dados?
Sim. Os números são publicados sob a licença CC BY 4.0. Reutilize-os livremente, inclusive para fins comerciais, com um link para esta página como atribuição. Os nomes, aliases e IDs dos grupos vêm do MITRE ATT&CK e seguem os seus termos de utilização.
Avalie a nossa inteligência hoje mesmo!
Simplifique as suas operações de segurança, inicie a sua avaliação gratuita da Q-Feeds e veja a diferença.
Começar grátis