גורם תקיפה · G0007

APT28

משויך במקורות לרוסיה. מטרות הפעילות המדווחות: ריגול.

🇷🇺 רוסיה

על גורם התקיפה

The Sofacy Group (also known as APT28, Pawn Storm, Fancy Bear and Sednit) is a cyber espionage group believed to have ties to the Russian government. Likely operating since 2007, the group is known to target government, military, and security organizations. It has been characterized as an advanced persistent threat.

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

מטרות לפי המקור: Espionage

סקטורים שדווחו: Military · Government, Administration · Security Service · Government

מידע נוסף מהמקורות

MITRE ATT&CK

APT28 is a threat group that has been attributed to Russia's General Staff Main Intelligence Directorate (GRU) 85th Main Special Service Center (GTsSS) military unit 26165. This group has been active since at least 2004. APT28 reportedly compromised the Hillary Clinton campaign, the Democratic National Committee, and the Democratic Congressional Campaign Committee in 2016 in an attempt to interfere with the U.S. presidential election. In 2018, the US indicted five GRU Unit 26165 officers associated with APT28 for cyber operations (including close-access operations) conducted between 2014 and 2018 against the World Anti-Doping Agency (WADA), the US Anti-Doping Agency, a US nuclear facility, the Organization for the Prohibition of Chemical Weapons (OPCW), the Spiez Swiss Chemicals Laboratory, and other organizations. Some of these were conducted with the assistance of GRU Unit 74455, which is also referred to as Sandworm Team.

Microsoft Threat Intelligence

Microsoft עוקבת אחר פעילות זו בשם Forest Blizzard. השיוך המדינתי ברשימה: רוסיה. כינויים וקבוצות פעילות מקבילות שמופיעים במיפוי: STRONTIUM · FANCY BEAR · Sednit · ATG2 · Sofacy · Blue Athena · Z-Lom Team · Operation Pawn Storm · Tsar Team · CrisisFour · HELLFIRE · APT28. זהו מיפוי של הספק ואינו קובע שכל הכינויים מתארים פעילות זהה.

כלים ונוזקות שדווחו

שימוש שדווח ב־MITRE ATT&CK, כולל כלים לגיטימיים שנוצלו בתקיפות. כלי משותף אינו מעיד על זהות או קשר בין קבוצות.

שיטות פעולה לפי MITRE ATT&CK (95)

טכניקות שדווחו במקור. קישור מוביל להסבר השיטה ב־ATT&CK.

Junk DataT1001.001 OS Credential DumpingT1003 LSASS MemoryT1003.001 NTDST1003.003 Data from Local SystemT1005 RootkitT1014 SMB/Windows Admin SharesT1021.002 Data from Removable MediaT1025 Encrypted/Encoded FileT1027.013 Data Transfer Size LimitsT1030 MasqueradingT1036 Match Legitimate Resource Name or LocationT1036.005 Logon Script (Windows)T1037.001 Data from Network Shared DriveT1039 Network SniffingT1040 Exfiltration Over Asymmetric Encrypted Non-C2 ProtocolT1048.002 KeyloggingT1056.001 Process DiscoveryT1057 PowerShellT1059.001 Windows Command ShellT1059.003 Exploitation for Privilege EscalationT1068 File DeletionT1070.004 TimestompT1070.006 Web ProtocolsT1071.001 Mail ProtocolsT1071.003 Local Data StagingT1074.001 Remote Data StagingT1074.002 Valid AccountsT1078 Cloud AccountsT1078.004 File and Directory DiscoveryT1083 External ProxyT1090.002 Multi-hop ProxyT1090.003 Replication Through Removable MediaT1091 Communication Through Removable MediaT1092 Additional Email Delegate PermissionsT1098.002 Bidirectional CommunicationT1102.002 Ingress Tool TransferT1105 Brute ForceT1110 Password GuessingT1110.001 Password SprayingT1110.003 Screen CaptureT1113 Remote Email CollectionT1114.002 Automated CollectionT1119 Peripheral Device DiscoveryT1120 External Remote ServicesT1133 Token Impersonation/TheftT1134.001 Office TestT1137.002 Deobfuscate/Decode Files or InformationT1140 Drive-by CompromiseT1189 Exploit Public-Facing ApplicationT1190 Trusted RelationshipT1199 Exploitation for Client ExecutionT1203 Malicious LinkT1204.001 Malicious FileT1204.002 Exploitation of Remote ServicesT1210 Exploitation for StealthT1211 Data from Information RepositoriesT1213 SharepointT1213.002 Rundll32T1218.011 Template InjectionT1221 Buy domain nameT1328 Obtain/re-use payloadsT1346 Network Denial of ServiceT1498 Web ShellT1505.003 Steal Application Access TokenT1528 BootkitT1542.003 Component Object Model HijackingT1546.015 Registry Run Keys / Startup FolderT1547.001 Application Access TokenT1550.001 Pass the HashT1550.002 Evil TwinT1557.004 Dynamic Data ExchangeT1559.002 Archive Collected DataT1560 Archive via UtilityT1560.001 Hidden Files and DirectoriesT1564.001 Hidden WindowT1564.003 Spearphishing AttachmentT1566.001 Exfiltration Over Web ServiceT1567 Symmetric CryptographyT1573.001 DomainsT1583.001 Virtual Private ServerT1583.003 Web ServicesT1583.006 Network DevicesT1584.008 Email AccountsT1586.002 ToolT1588.002 Artificial IntelligenceT1588.007 CredentialsT1589.001 Gather Victim Org InformationT1591 Vulnerability ScanningT1595.002 Search Open Technical DatabasesT1596 Phishing for InformationT1598 Spearphishing LinkT1598.003 Wi-Fi NetworksT1669 ImpersonationT1684.001 Clear Windows Event LogsT1685.005

מקורות ומחקרים

הפניות מהפרופילים ומפרסומי מחקר. ברשומות ללא כותרת מקורית, שם הקישור נגזר מכתובת הפרסום. תאריך מוצג רק כשזמין.

קשרים שדווחו

קשר, דמיון או חפיפה אינם בהכרח זהות בין הקבוצות. לא נוצרים קשרים רק בגלל כלי משותף או מדינה משותפת.

אין כרגע קשר מתועד לקבוצה אחרת במקורות שנקלטו.

שמות וכינויים מקושרים

Pawn StormFANCY BEARSednitSNAKEMACKERELTsar TeamTG-4127STRONTIUMSwallowtailIRON TWILIGHTGroup 74SIG40Grizzly SteppeG0007ATK5Fighting UrsaITG05Blue AthenaTA422T-APT-12APT-C-20UAC-0028UAC-0001FROZENLAKESofacyForest BlizzardBlueDeltaFancy BearGruesomeLarchLAKE RELICThreat Group-4127ATG2Z-Lom TeamOperation Pawn StormCrisisFourHELLFIREפנסי ברפורסט בליזארד

לפי המקורות, השמות מתארים פעילות קשורה ועשויים לחפוף רק חלקית.

שיוך מדינתי

🇷🇺 רוסיהלפי MISP Galaxy

🇷🇺 רוסיהלפי Microsoft

ברשימת Microsoft, השם Forest Blizzard משויך לרוסיה. מיפוי שמות בין ספקים עשוי לתאר חפיפה חלקית.

מקורות הפרופיל

MISP Galaxy MITRE ATT&CK (דרך MISP)Microsoft Threat Intelligence

על גורם התקיפה

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

מטרות לפי המקור: Espionage

סקטורים שדווחו: Military · Government, Administration · Security Service · Government

מידע נוסף מהמקורות

MITRE ATT&CK

Microsoft Threat Intelligence

שמות וכינויים מקושרים

לפי המקורות, השמות מתארים פעילות קשורה ועשויים לחפוף רק חלקית.

APT28

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

מחקר / פרסום של MITRE ATT&CK

מחקר / פרסום של Kaspersky Securelist

unit42 sofacys komplex os x trojan

dear joohn sofacy groups global campaign

probable apt28 useo

wp mandiant matryoshka mining

apt28 espionage military government

bears midst intrusion democratic national committee

unit42 sofacy attacks multiple government entities

מחקר / פרסום של Kaspersky Securelist

unit42 new sofacy attacks against us government agency

unit42 let ride sofacy groups dealerschoice attacks continue

קשרים שדווחו

APT28

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

מחקר / פרסום של MITRE ATT&CK

מחקר / פרסום של Kaspersky Securelist

unit42 sofacys komplex os x trojan

dear joohn sofacy groups global campaign

probable apt28 useo

wp mandiant matryoshka mining

apt28 espionage military government

bears midst intrusion democratic national committee

unit42 sofacy attacks multiple government entities

מחקר / פרסום של Kaspersky Securelist

unit42 new sofacy attacks against us government agency

unit42 let ride sofacy groups dealerschoice attacks continue

קשרים שדווחו

APT28

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

מחקר / פרסום של MITRE ATT&CK

מחקר / פרסום של Kaspersky Securelist

unit42 sofacys komplex os x trojan

dear joohn sofacy groups global campaign

probable apt28 useo

wp mandiant matryoshka mining

apt28 espionage military government

bears midst intrusion democratic national committee

unit42 sofacy attacks multiple government entities

מחקר / פרסום של Kaspersky Securelist

unit42 new sofacy attacks against us government agency

unit42 let ride sofacy groups dealerschoice attacks continue

קשרים שדווחו