גורם תקיפה · G0082

APT38

משויך במקורות לקוריאה הצפונית.

🇰🇵 קוריאה הצפונית

על גורם התקיפה

APT38 is a North Korean state-sponsored threat group that specializes in financial cyber operations; it has been attributed to the Reconnaissance General Bureau. Active since at least 2014, APT38 has targeted banks, financial institutions, casinos, cryptocurrency exchanges, SWIFT system endpoints, and ATMs in at least 38 countries worldwide. Significant operations include the 2016 Bank of Bangladesh heist, Bancomext and Banco de Chile , along with software supply chain compromises and destructive malware attacks. North Korean group definitions are known to have significant overlap, and some security researchers report all North Korean state-sponsored cyber activity under the name Lazarus Group instead of tracking clusters or subgroups.

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

כלים ונוזקות שדווחו

שימוש שדווח ב־MITRE ATT&CK, כולל כלים לגיטימיים שנוצלו בתקיפות. כלי משותף אינו מעיד על זהות או קשר בין קבוצות.

MimikatzS0002 NetS0039 DarkCometS0334 HOPLIGHTS0376 ECCENTRICBANDWAGONS0593 KillDiskS0607

שיטות פעולה לפי MITRE ATT&CK (115)

טכניקות שדווחו במקור. קישור מוביל להסבר השיטה ב־ATT&CK.

Data from Local SystemT1005 Query RegistryT1012 Software PackingT1027.002 Command ObfuscationT1027.010 CompressionT1027.015 Junk Code InsertionT1027.016 System Owner/User DiscoveryT1033 Rename Legitimate UtilitiesT1036.003 Match Legitimate Resource Name or LocationT1036.005 Space after FilenameT1036.006 Masquerade File TypeT1036.008 Exfiltration Over C2 ChannelT1041 Exfiltration Over Asymmetric Encrypted Non-C2 ProtocolT1048.002 System Network Connections DiscoveryT1049 CronT1053.003 Scheduled TaskT1053.005 Systemd TimersT1053.006 Process InjectionT1055 KeyloggingT1056.001 GUI Input CaptureT1056.002 Process DiscoveryT1057 PowerShellT1059.001 AppleScriptT1059.002 Windows Command ShellT1059.003 Unix ShellT1059.004 Visual BasicT1059.005 PythonT1059.006 JavaScriptT1059.007 Clear Command HistoryT1070.003 File DeletionT1070.004 TimestompT1070.006 Web ProtocolsT1071.001 Local Data StagingT1074.001 Local AccountsT1078.003 Cloud AccountsT1078.004 System Information DiscoveryT1082 File and Directory DiscoveryT1083 Ingress Tool TransferT1105 Native APIT1106 Brute ForceT1110 Modify RegistryT1112 Clipboard DataT1115 System Time DiscoveryT1124 Standard EncodingT1132.001 Network Share DiscoveryT1135 Deobfuscate/Decode Files or InformationT1140 Drive-by CompromiseT1189 Compromise Software Dependencies and Development ToolsT1195.001 Malicious LinkT1204.001 Malicious FileT1204.002 Messaging ApplicationsT1213.005 DatabasesT1213.006 Browser Information DiscoveryT1217 Compiled HTML FileT1218.001 MshtaT1218.005 MsiexecT1218.007 Rundll32T1218.011 Linux and Mac PermissionsT1222.002 Execution GuardrailsT1480 Mutual ExclusionT1480.002 Data DestructionT1485 Data Encrypted for ImpactT1486 Web ShellT1505.003 Software DiscoveryT1518 Security Software DiscoveryT1518.001 System Shutdown/RebootT1529 Launch AgentT1543.001 Windows ServiceT1543.003 Launch DaemonT1543.004 Installer PackagesT1546.016 Registry Run Keys / Startup FolderT1547.001 Bypass User Account ControlT1548.002 Sudo and Sudo CachingT1548.003 TCC ManipulationT1548.006 Shell HistoryT1552.003 Private KeysT1552.004 Mark-of-the-Web BypassT1553.005 Credentials from Password StoresT1555 KeychainT1555.001 Credentials from Web BrowsersT1555.003 Archive via UtilityT1560.001 Disk Structure WipeT1561.002 Hidden WindowT1564.003 Ignore Process InterruptsT1564.011 File/Path ExclusionsT1564.012 Stored Data ManipulationT1565.001 Transmitted Data ManipulationT1565.002 Runtime Data ManipulationT1565.003 Spearphishing AttachmentT1566.001 Spearphishing LinkT1566.002 Spearphishing via ServiceT1566.003 Exfiltration Over Web ServiceT1567 Service ExecutionT1569.002 Non-Standard PortT1571 DomainsT1583.001 Virtual Private ServerT1583.003 Web ServicesT1583.006 Social Media AccountsT1585.001 Email AccountsT1585.002 Cloud AccountsT1586.003 ToolT1588.002 Upload MalwareT1608.001 Reflective Code LoadingT1620 Financial TheftT1657 Poisoned Pipeline ExecutionT1677 Delay ExecutionT1678 Written ContentT1683.001 Audio-Visual ContentT1683.002 ImpersonationT1684.001 Disable or Modify ToolsT1685 Modify or Spoof Tool UIT1685.003 Clear Windows Event LogsT1685.005 Disable or Modify System FirewallT1686 Network Device FirewallT1686.002 Prevent Command History LoggingT1690

מקורות ומחקרים

הפניות מהפרופילים ומפרסומי מחקר. ברשומות ללא כותרת מקורית, שם הקישור נגזר מכתובת הפרסום. תאריך מוצג רק כשזמין.

קשרים שדווחו

קשר, דמיון או חפיפה אינם בהכרח זהות בין הקבוצות. לא נוצרים קשרים רק בגלל כלי משותף או מדינה משותפת.

אין כרגע קשר מתועד לקבוצה אחרת במקורות שנקלטו.

על גורם התקיפה

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

APT38

על גורם התקיפה

כלים ונוזקות שדווחו

מקורות ומחקרים

מחקר / פרסום של MITRE ATT&CK

Report2021GTR

microsoft threat actor naming

מחקר / פרסום של Kaspersky Securelist

aa20 239a

meet crowdstrikes adversary of the month for april stardust chollima

three north korean military hackers indicted wide ranging scheme commit cyberattacks and

mitigating the axios npm supply chain compromise

dissecting sapphire sleets macos intrusion from lure to compromise

postinstall payload inside mastra npm supply chain compromise

nickel gladstone

קשרים שדווחו

APT38

על גורם התקיפה

כלים ונוזקות שדווחו

מקורות ומחקרים

מחקר / פרסום של MITRE ATT&CK

Report2021GTR

microsoft threat actor naming

מחקר / פרסום של Kaspersky Securelist

aa20 239a

meet crowdstrikes adversary of the month for april stardust chollima

three north korean military hackers indicted wide ranging scheme commit cyberattacks and

mitigating the axios npm supply chain compromise

dissecting sapphire sleets macos intrusion from lure to compromise

postinstall payload inside mastra npm supply chain compromise

nickel gladstone

קשרים שדווחו

APT38

על גורם התקיפה

כלים ונוזקות שדווחו

מקורות ומחקרים

מחקר / פרסום של MITRE ATT&CK

Report2021GTR

microsoft threat actor naming

מחקר / פרסום של Kaspersky Securelist

aa20 239a

meet crowdstrikes adversary of the month for april stardust chollima

three north korean military hackers indicted wide ranging scheme commit cyberattacks and

mitigating the axios npm supply chain compromise

dissecting sapphire sleets macos intrusion from lure to compromise

postinstall payload inside mastra npm supply chain compromise

nickel gladstone

קשרים שדווחו