גורם תקיפה · G0034

Sandworm

משויך במקורות לרוסיה. מטרות הפעילות המדווחות: ריגול.

🇷🇺 רוסיה

על גורם התקיפה

This threat actor targets industrial control systems, using a tool called Black Energy, associated with electricity and power generation for espionage, denial of service, and data destruction purposes. Some believe that the threat actor is linked to the 2015 compromise of the Ukrainian electrical grid and a distributed denial of service prior to the Russian invasion of Georgia. Believed to be responsible for the 2008 DDoS attacks in Georgia and the 2015 Ukraine power grid outage

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

מטרות לפי המקור: Espionage

סקטורים שדווחו: Electric · Energy · Industrial · Private sector · Government

מידע נוסף מהמקורות

MITRE ATT&CK

Sandworm Team is a destructive threat group that has been attributed to Russia's General Staff Main Intelligence Directorate (GRU) Main Center for Special Technologies (GTsST) military unit 74455. This group has been active since at least 2009. In October 2020, the US indicted six GRU Unit 74455 officers associated with Sandworm Team for the following cyber operations: the 2015 and 2016 attacks against Ukrainian electrical companies and government organizations, the 2017 worldwide NotPetya attack, targeting of the 2017 French presidential campaign, the 2018 Olympic Destroyer attack against the Winter Olympic Games, the 2018 operation against the Organisation for the Prohibition of Chemical Weapons, and attacks against the country of Georgia in 2018 and 2019. Some of these were conducted with the assistance of GRU Unit 26165, which is also referred to as APT28.

Microsoft Threat Intelligence

Microsoft עוקבת אחר פעילות זו בשם Seashell Blizzard. השיוך המדינתי ברשימה: רוסיה. כינויים וקבוצות פעילות מקבילות שמופיעים במיפוי: IRIDIUM · VOODOO BEAR · BE2 · UAC-0113 · Blue Echidna · Sandworm · PHANTOM · BlackEnergy Lite · APT44. זהו מיפוי של הספק ואינו קובע שכל הכינויים מתארים פעילות זהה.

כלים ונוזקות שדווחו

שימוש שדווח ב־MITRE ATT&CK, כולל כלים לגיטימיים שנוצלו בתקיפות. כלי משותף אינו מעיד על זהות או קשר בין קבוצות.

שיטות פעולה לפי MITRE ATT&CK (86)

טכניקות שדווחו במקור. קישור מוביל להסבר השיטה ב־ATT&CK.

Exploit Public-Facing ApplicationT0819 Connection ProxyT0884 LSASS MemoryT1003.001 NTDST1003.003 Data from Local SystemT1005 Remote System DiscoveryT1018 SMB/Windows Admin SharesT1021.002 Obfuscated Files or InformationT1027 Command ObfuscationT1027.010 System Owner/User DiscoveryT1033 MasqueradingT1036 Match Legitimate Resource Name or LocationT1036.005 Network SniffingT1040 Exfiltration Over C2 ChannelT1041 Windows Management InstrumentationT1047 System Network Connections DiscoveryT1049 Scheduled TaskT1053.005 KeyloggingT1056.001 PowerShellT1059.001 Visual BasicT1059.005 File DeletionT1070.004 Web ProtocolsT1071.001 Software Deployment ToolsT1072 Valid AccountsT1078 Domain AccountsT1078.002 System Information DiscoveryT1082 File and Directory DiscoveryT1083 Domain AccountT1087.002 Email AccountT1087.003 ProxyT1090 Bidirectional CommunicationT1102.002 Ingress Tool TransferT1105 Native APIT1106 Standard EncodingT1132.001 External Remote ServicesT1133 Deobfuscate/Decode Files or InformationT1140 Exploit Public-Facing ApplicationT1190 Supply Chain CompromiseT1195 Compromise Software Supply ChainT1195.002 Trusted RelationshipT1199 Exploitation for Client ExecutionT1203 Malicious LinkT1204.001 Malicious FileT1204.002 DatabasesT1213.006 Rundll32T1218.011 Remote Access ToolsT1219 Stored Application DataT1409 Data DestructionT1485 Data Encrypted for ImpactT1486 Service StopT1489 Inhibit System RecoveryT1490 External DefacementT1491.002 Endpoint Denial of ServiceT1499 Web ShellT1505.003 Steal Web Session CookieT1539 Credentials from Web BrowsersT1555.003 Disk Structure WipeT1561.002 Spearphishing AttachmentT1566.001 Spearphishing LinkT1566.002 Lateral Tool TransferT1570 Non-Standard PortT1571 Acquire InfrastructureT1583 DomainsT1583.001 ServerT1583.004 ServerT1584.004 BotnetT1584.005 Social Media AccountsT1585.001 Email AccountsT1585.002 Social Media AccountsT1586.001 MalwareT1587.001 ToolT1588.002 VulnerabilitiesT1588.006 Email AddressesT1589.002 Employee NamesT1589.003 Domain PropertiesT1590.001 Business RelationshipsT1591.002 SoftwareT1592.002 Search Open Websites/DomainsT1593 Search Victim-Owned WebsitesT1594 Vulnerability ScanningT1595.002 Spearphishing LinkT1598.003 Upload MalwareT1608.001 PhishingT1660 Linked DevicesT1676 PowerShellT1701.001 Windows Command ShellT1701.002

מקורות ומחקרים

הפניות מהפרופילים ומפרסומי מחקר. ברשומות ללא כותרת מקורית, שם הקישור נגזר מכתובת הפרסום. תאריך מוצג רק כשזמין.

קשרים שדווחו

קשר, דמיון או חפיפה אינם בהכרח זהות בין הקבוצות. לא נוצרים קשרים רק בגלל כלי משותף או מדינה משותפת.

GreyEnergyדמיון שדווח במקורמקור: MISP Galaxy

על גורם התקיפה

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

מטרות לפי המקור: Espionage

סקטורים שדווחו: Electric · Energy · Industrial · Private sector · Government

מידע נוסף מהמקורות

MITRE ATT&CK

Microsoft Threat Intelligence

Sandworm

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

מחקר / פרסום של MITRE ATT&CK

Win32 Industroyer

killdisk now targeting linux demands 250k ransom cant decrypt

telebots back supply chain attacks against ukraine

xdata ransomware making rounds amid global wannacryptor scare

new ransomware attack hits ukraine

bad rabbit not petya back

russia nexus uac 0113 emulating telecommunication providers in ukraine

405538

apt44 unearthing sandworm

updated cyber threat actor naming system

4279195

קשרים שדווחו

Sandworm

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

מחקר / פרסום של MITRE ATT&CK

Win32 Industroyer

killdisk now targeting linux demands 250k ransom cant decrypt

telebots back supply chain attacks against ukraine

xdata ransomware making rounds amid global wannacryptor scare

new ransomware attack hits ukraine

bad rabbit not petya back

russia nexus uac 0113 emulating telecommunication providers in ukraine

405538

apt44 unearthing sandworm

updated cyber threat actor naming system

4279195

קשרים שדווחו

Sandworm

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

מחקר / פרסום של MITRE ATT&CK

Win32 Industroyer

killdisk now targeting linux demands 250k ransom cant decrypt

telebots back supply chain attacks against ukraine

xdata ransomware making rounds amid global wannacryptor scare

new ransomware attack hits ukraine

bad rabbit not petya back

russia nexus uac 0113 emulating telecommunication providers in ukraine

405538

apt44 unearthing sandworm

updated cyber threat actor naming system

4279195

קשרים שדווחו