TA505
Un grupo criminal que marcó tendencia en la distribución masiva de malware por correo y que después llevó el ransomware Clop.
Quién es
TA505 es un grupo de cibercrimen activo al menos desde 2014. Es conocido por cambiar de malware con frecuencia y por marcar las tendencias globales de distribución de malware criminal. Otros equipos lo llaman Hive0065, Spandex Tempest y CHIMBORAZO. Está detrás de campañas de ransomware con Clop.
Cómo entra
Con campañas de correo masivas y dirigidas, con adjuntos y ligas maliciosas que instalan su primer cargador.
Qué hace una vez dentro
Ha distribuido troyanos bancarios y de acceso remoto como Dridex, TrickBot, FlawedAmmyy, FlawedGrace, SDBbot, ServHelper y Get2. Ya dentro, usa Cobalt Strike, BloodHound y AdFind para mapear el directorio activo, roba credenciales con Mimikatz y despliega el ransomware Clop.
A quién ataca
Bancos, comercios y empresas de muchos sectores en todo el mundo. En nuestra ficha de GOLDVEIN seguimos la extorsión de Cl0p.
Técnicas de MITRE ATT&CK
Ejecución 8
Sigilo 8
Debilitamiento de defensas 4
Impacto 1
- T1486Data Encrypted for Impact
Fuente: MITRE ATT&CK v20, grupo G0092.
Arsenal
En verde, las que ya tienen ficha en nuestro catálogo de armamento; las demás llevan a MITRE.
Villanos relacionados
