גורם תקיפה · G1006

Earth Lusca

משויך במקורות לסין.

🇨🇳 סין

על גורם התקיפה

Earth Lusca is a threat actor from China that targets organizations of interest to the Chinese government, including academic institutions, telecommunication companies, religious organizations, and other civil society groups. Earth Lusca's tools closely resemble those used by Winnti Umbrella, but the group appears to operate separately from Winnti. Earth Lusca has also been observed targeting cryptocurrency payment platforms and cryptocurrency exchanges in what are likely financially motivated attacks.

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

סקטורים שדווחו: Gambling companies · Government Institutions · Education · Media and Entertainment · Pro-democracy and human rights political organizations · Telecommunications · Religious organization · Cryptocurrency · Medical · Covid-19 research organizations

מידע נוסף מהמקורות

MITRE ATT&CK

Earth Lusca is a suspected China-based cyber espionage group that has been active since at least April 2019. Earth Lusca has targeted organizations in Australia, China, Hong Kong, Mongolia, Nepal, the Philippines, Taiwan, Thailand, Vietnam, the United Arab Emirates, Nigeria, Germany, France, and the United States. Targets included government institutions, news media outlets, gambling companies, educational institutions, COVID-19 research organizations, telecommunications companies, religious movements banned in China, and cryptocurrency trading platforms; security researchers assess some Earth Lusca operations may be financially motivated. Earth Lusca has used malware commonly used by other Chinese threat groups, including APT41 and the Winnti Group cluster, however security researchers assess Earth Lusca's techniques and infrastructure are separate.

כלים ונוזקות שדווחו

שימוש שדווח ב־MITRE ATT&CK, כולל כלים לגיטימיים שנוצלו בתקיפות. כלי משותף אינו מעיד על זהות או קשר בין קבוצות.

MimikatzS0002 TasklistS0057 Cobalt StrikeS0154 certutilS0160 PowerSploitS0194 NltestS0359 Winnti for LinuxS0430 NBTscanS0590 ShadowPadS0596

שיטות פעולה לפי MITRE ATT&CK (44)

טכניקות שדווחו במקור. קישור מוביל להסבר השיטה ב־ATT&CK.

LSASS MemoryT1003.001 DCSyncT1003.006 System Service DiscoveryT1007 System Network Configuration DiscoveryT1016 Remote System DiscoveryT1018 Obfuscated Files or InformationT1027 SteganographyT1027.003 System Owner/User DiscoveryT1033 Match Legitimate Resource Name or LocationT1036.005 Windows Management InstrumentationT1047 System Network Connections DiscoveryT1049 Scheduled TaskT1053.005 Process DiscoveryT1057 PowerShellT1059.001 Visual BasicT1059.005 PythonT1059.006 JavaScriptT1059.007 ProxyT1090 SSH Authorized KeysT1098.004 Modify RegistryT1112 Deobfuscate/Decode Files or InformationT1140 Drive-by CompromiseT1189 Exploit Public-Facing ApplicationT1190 Malicious LinkT1204.001 Malicious FileT1204.002 Exploitation of Remote ServicesT1210 MshtaT1218.005 Domain Trust DiscoveryT1482 Windows ServiceT1543.003 Print ProcessorsT1547.012 Bypass User Account ControlT1548.002 Archive via UtilityT1560.001 Spearphishing LinkT1566.002 Exfiltration to Cloud StorageT1567.002 DLLT1574.001 DomainsT1583.001 ServerT1583.004 Web ServicesT1583.006 ServerT1584.004 Web ServicesT1584.006 MalwareT1588.001 ToolT1588.002 Vulnerability ScanningT1595.002 Upload MalwareT1608.001

מקורות ומחקרים

הפניות מהפרופילים ומפרסומי מחקר. ברשומות ללא כותרת מקורית, שם הקישור נגזר מכתובת הפרסום. תאריך מוצג רק כשזמין.

קשרים שדווחו

קשר, דמיון או חפיפה אינם בהכרח זהות בין הקבוצות. לא נוצרים קשרים רק בגלל כלי משותף או מדינה משותפת.

FishMedleyקשר שדווח במקורמקור: MISP Galaxy

על גורם התקיפה

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

מידע נוסף מהמקורות

MITRE ATT&CK

→ לכל התוקפים והקבוצות

גורם תקיפה · G1006

Earth Lusca

משויך במקורות לסין.

🇨🇳 סין

13 מקורות ומחקרים 1 קשרים מדווחים

על גורם התקיפה

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

מידע נוסף מהמקורות

MITRE ATT&CK

כלים ונוזקות שדווחו

שימוש שדווח ב־MITRE ATT&CK, כולל כלים לגיטימיים שנוצלו בתקיפות. כלי משותף אינו מעיד על זהות או קשר בין קבוצות.

MimikatzS0002 TasklistS0057 Cobalt StrikeS0154 certutilS0160 PowerSploitS0194 NltestS0359 Winnti for LinuxS0430 NBTscanS0590 ShadowPadS0596

שיטות פעולה לפי MITRE ATT&CK (44)

טכניקות שדווחו במקור. קישור מוביל להסבר השיטה ב־ATT&CK.

מקורות ומחקרים

קשרים שדווחו

קשר, דמיון או חפיפה אינם בהכרח זהות בין הקבוצות. לא נוצרים קשרים רק בגלל כלי משותף או מדינה משותפת.

FishMedleyקשר שדווח במקורמקור: MISP Galaxy

Earth Lusca

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

technical brief delving deep an analysis of earth lusca operations

chinese group tag 22 targets nepal philippines taiwan

RWMFIi

SentinelOne SentinelLabs ShadowPad WP V2

overwatch exposes aquatic panda in possession of log 4 shell exploit tools

cta 2023 0808

105127

103517

NCSC MAR Jolly Jellyfish

operation fishmedley

מחקר / פרסום של MITRE ATT&CK

microsoft threat actor naming

קשרים שדווחו

Earth Lusca

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

technical brief delving deep an analysis of earth lusca operations

chinese group tag 22 targets nepal philippines taiwan

RWMFIi

SentinelOne SentinelLabs ShadowPad WP V2

overwatch exposes aquatic panda in possession of log 4 shell exploit tools

cta 2023 0808

105127

103517

NCSC MAR Jolly Jellyfish

operation fishmedley

מחקר / פרסום של MITRE ATT&CK

microsoft threat actor naming

קשרים שדווחו

Earth Lusca

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

technical brief delving deep an analysis of earth lusca operations

chinese group tag 22 targets nepal philippines taiwan

RWMFIi

SentinelOne SentinelLabs ShadowPad WP V2

overwatch exposes aquatic panda in possession of log 4 shell exploit tools

cta 2023 0808

105127

103517

NCSC MAR Jolly Jellyfish

operation fishmedley

מחקר / פרסום של MITRE ATT&CK

microsoft threat actor naming

קשרים שדווחו