MalwareUsed by 1 actor

GoblinRAT

For your environment

Hunt this family in your stack

Mallory pivots from this family to the IOCs, detections, and named campaigns that touch your stack, and pages you when something new lands.

Start free trial

THREAT ACTORS

Groups observed using it

1 distinct threat actor attributed by public researchers. Open in Mallory to see the full evidence chain and overlapping campaigns.

View more details

NGC2140

GoblinRAT (так мы именуем обнаруженное семейство) использовался в самых скрытных атаках, которые нам довелось расследовать.

via rt solarrt-solar.ru

MITRE ATT&CK

Techniques & procedures

22 distinct techniques documented for this family, organized by ATT&CK tactic.

Execution

4 techniques

T1053.003CronEvidence1

ВПО разместили по пути “/usr/bin/memcache” с закреплением через cron-задачи

T1059.004Unix ShellEvidence1

В рамках данной интерактивной сессии атакующие выполнили ряд команд ... созданную в результате отправки соответствующей команды с сервера управления

T1059.006PythonEvidence1

python – для запуска скрипта по сбору информации об атакуемой системе

T1574Hijack Execution FlowEvidence1

атакующие пересобрали atop и добавили в таблицу импортов GoblinRAT в качестве библиотеки

Persistence

3 techniques

T1053.003CronEvidence1

ВПО разместили по пути “/usr/bin/memcache” с закреплением через cron-задачи

T1205.001Port KnockingEvidence1

для успешного соединения требовалась реализация техники Port knocking ... GoblinRAT начал прослушивать порт ... необходимо отправить любой IP-пакет на строго заданную ... последовательность портов

T1543Create or Modify System ProcessEvidence1

После анализа образа жесткого диска мы обнаружили следующий systemd-сервис “/usr/lib/systemd/system/zabbix-agentd.service” ... ExecStart = /usr/sbin/zabbix_agent

Privilege Escalation

2 techniques

T1053.003CronEvidence1

ВПО разместили по пути “/usr/bin/memcache” с закреплением через cron-задачи

T1543Create or Modify System ProcessEvidence1

Stealth

8 techniques

T1036MasqueradingEvidence1

атакующие применяли уникальные названия задач планировщика, файлов, библиотек и служб для закрепления в системе... GoblinRAT мимикрировал под легитимный сервис

T1036.011Overwrite Process ArgumentsEvidence1

GoblinRAT модифицировал имя процесса путем предварительной подготовки и замены нулевого аргумента “argv[0]” на значение "/usr/sbin/zabbix_agentd -c /etc/zabbix/zabbix_agentd.conf”

T1070Indicator RemovalEvidence1

после чего системные журналы этого хоста были очищены... для удаления системных журналов злоумышленники использовали утилиту “shred”

T1070.004File DeletionEvidence1

Для удаления файлов ВПО перезаписывает четыре раза содержимое файла случайными данными ... после ... еще раз перезаписывается нулевыми байтами ... и удаляет файл

T1070.006TimestompEvidence1

выполнен очередной запуск команды touch ... mtime метка этого файла совпадает с некоторыми из той же директории, что указывает на ее подмену

T1205.001Port KnockingEvidence1

T1564Hide ArtifactsEvidence1

Весь используемый инструментарий размещался в директории “/dev/shm”. Данный каталог ... полностью расположен в оперативной памяти, что позволяло атакующим не оставлять следов на жестком диске

T1574Hijack Execution FlowEvidence1

атакующие пересобрали atop и добавили в таблицу импортов GoblinRAT в качестве библиотеки

Credential Access

1 technique

T1552.004Private KeysEvidence1

"find /root/.ssh -type f -ls -exec cat {} \;" , "find /home -maxdepth 3 -iname '*id_rsa*' -ls -exec cat {} \;"

Discovery

4 techniques

T1046Network Service DiscoveryEvidence1

"netstat -apn||ss -apn" , "ip a" , "ip n" , "ip r" , "iptables -S" , "iptables -t nat -S"

T1082System Information DiscoveryEvidence1

Python-скрипт ... используемый атакующими для сбора информации о системе ... uname -a ... hostnamectl ... lsblk ... lspci

T1083File and Directory DiscoveryEvidence1

"ls -alh /home /home/* /home/*/.*history /root / /dev/shm /tmp /var/tmp /opt"

T1087Account DiscoveryEvidence1

"cat /etc/passwd" , "cat /etc/shadow" , "cat /etc/group" , "cat /etc/sudoers"

Collection

1 technique

T1560Archive Collected DataEvidence1

архивирование и разархивирование файлов ... Архивирование файла при помощи zip и отправка его на сервер

Command and Control

4 techniques

T1071.001Web ProtocolsEvidence1

Для коммуникации с С2 GoblinRAT использует взломанные сайты легитимных организаций ... Для установления взаимодействия с С2 ... использовался порт 443

T1090ProxyEvidence1

ssh в Linux и netsh portproxy в Windows – для проксирования трафика ... работу в роли прокси (SOCKS5)

T1105Ingress Tool TransferEvidence1

работу с файловой системой ( ... загрузка и выгрузка файлов с зараженной системы ... ) ... Отправка zip-архива на зараженную систему и его распаковка

T1205.001Port KnockingEvidence1

Exfiltration

1 technique

T1048Exfiltration Over Alternative ProtocolEvidence1

Для эксфильтрации данных с хоста использовались “scp” и “curl”.

INDICATORS OF COMPROMISE

IOCs tracked for this family

56 indicators attributed across vendor reports, sandbox runs, and researcher write-ups. Full values are available in Mallory.

View more in app

Network

18 tracked

IPs, domains, and DNS infrastructure linked to this family.

Hashes

38 tracked

File hashes (MD5, SHA-1, SHA-256) from samples and reports.

TypeValueLatest sighting

hash.sha256●●●●●●●●●●●●View more in app4 days ago

domain●●●●●●●●●●●●View more in app2 months ago

domain●●●●●●●●●●●●View more in app2 years ago

hash.md5●●●●●●●●●●●●View more in app2 years ago

ACTIVITY FEED

Recent activity

1 sources tracked across advisories, community write-ups, and news. New activity surfaces here as Mallory finds it.

1 SOURCESView more in app

rt solarNews

Nov 8, 2024

Неуловимый GoblinRAT: как бэкдор для Linux проник в государственные инфраструктуры

Go-based remote access backdoor focused on stealth and long-term persistence in targeted Linux environments. It supports interactive shell access, single-command execution, file operations, secure deletion, SOCKS5 proxying, Yamux multiplexing, process masquerading, optional self-destruction, and in one variant acts as a server using port knocking before accepting operator connections.

What this page doesn’t show

The version that knows your environment.

This page is what’s public. Mallory adds the parts that aren’t: which of your assets match these IOCs, which detections are missing, which campaigns to expect next, and what to do in the next 30 minutes.

Start free trial

IOC matching56

Match every observed IP, domain, and hash against your live telemetry.

Threat actor attribution1

Named campaigns wielding this family, with evidence pinned to each claim.

Exploited vulnerabilities

CVEs this family uses for access and lateral movement.

Detection signatures

YARA, Sigma, Snort, and vendor rules, auto-deployed to your SIEM.

MITRE ATT&CK mapping22

Every documented technique, ranked by evidence weight.

Researcher chatter

Reddit, Mastodon, and CTI community discussion around this family.

Back to malware

MalwareUsed by 1 actor

GoblinRAT

For your environment

Hunt this family in your stack

Mallory pivots from this family to the IOCs, detections, and named campaigns that touch your stack, and pages you when something new lands.

Start free trial

THREAT ACTORS

Groups observed using it

1 distinct threat actor attributed by public researchers. Open in Mallory to see the full evidence chain and overlapping campaigns.

View more details

NGC2140

via rt solarrt-solar.ru

MITRE ATT&CK

Techniques & procedures

22 distinct techniques documented for this family, organized by ATT&CK tactic.

Execution

4 techniques

T1053.003CronEvidence1

ВПО разместили по пути “/usr/bin/memcache” с закреплением через cron-задачи

T1059.004Unix ShellEvidence1

T1059.006PythonEvidence1

python – для запуска скрипта по сбору информации об атакуемой системе

T1574Hijack Execution FlowEvidence1

атакующие пересобрали atop и добавили в таблицу импортов GoblinRAT в качестве библиотеки

Persistence

3 techniques

T1053.003CronEvidence1

ВПО разместили по пути “/usr/bin/memcache” с закреплением через cron-задачи

T1205.001Port KnockingEvidence1

T1543Create or Modify System ProcessEvidence1

Privilege Escalation

2 techniques

T1053.003CronEvidence1

ВПО разместили по пути “/usr/bin/memcache” с закреплением через cron-задачи

T1543Create or Modify System ProcessEvidence1

Stealth

8 techniques

T1036MasqueradingEvidence1

T1036.011Overwrite Process ArgumentsEvidence1

T1070Indicator RemovalEvidence1

T1070.004File DeletionEvidence1

T1070.006TimestompEvidence1

T1205.001Port KnockingEvidence1

T1564Hide ArtifactsEvidence1

T1574Hijack Execution FlowEvidence1

атакующие пересобрали atop и добавили в таблицу импортов GoblinRAT в качестве библиотеки

Credential Access

1 technique

T1552.004Private KeysEvidence1

"find /root/.ssh -type f -ls -exec cat {} \;" , "find /home -maxdepth 3 -iname '*id_rsa*' -ls -exec cat {} \;"

Discovery

4 techniques

T1046Network Service DiscoveryEvidence1

"netstat -apn||ss -apn" , "ip a" , "ip n" , "ip r" , "iptables -S" , "iptables -t nat -S"

T1082System Information DiscoveryEvidence1

Python-скрипт ... используемый атакующими для сбора информации о системе ... uname -a ... hostnamectl ... lsblk ... lspci

T1083File and Directory DiscoveryEvidence1

"ls -alh /home /home/* /home/*/.*history /root / /dev/shm /tmp /var/tmp /opt"

T1087Account DiscoveryEvidence1

"cat /etc/passwd" , "cat /etc/shadow" , "cat /etc/group" , "cat /etc/sudoers"

Collection

1 technique

T1560Archive Collected DataEvidence1

архивирование и разархивирование файлов ... Архивирование файла при помощи zip и отправка его на сервер

Command and Control

4 techniques

T1071.001Web ProtocolsEvidence1

T1090ProxyEvidence1

ssh в Linux и netsh portproxy в Windows – для проксирования трафика ... работу в роли прокси (SOCKS5)

T1105Ingress Tool TransferEvidence1

T1205.001Port KnockingEvidence1

Exfiltration

1 technique

T1048Exfiltration Over Alternative ProtocolEvidence1

Для эксфильтрации данных с хоста использовались “scp” и “curl”.

INDICATORS OF COMPROMISE

IOCs tracked for this family

56 indicators attributed across vendor reports, sandbox runs, and researcher write-ups. Full values are available in Mallory.

View more in app

Network

18 tracked

IPs, domains, and DNS infrastructure linked to this family.

Hashes

38 tracked

File hashes (MD5, SHA-1, SHA-256) from samples and reports.

TypeValueLatest sighting

hash.sha256●●●●●●●●●●●●View more in app4 days ago

domain●●●●●●●●●●●●View more in app2 months ago

domain●●●●●●●●●●●●View more in app2 years ago

hash.md5●●●●●●●●●●●●View more in app2 years ago

ACTIVITY FEED

Recent activity

1 sources tracked across advisories, community write-ups, and news. New activity surfaces here as Mallory finds it.

1 SOURCESView more in app

rt solarNews

Nov 8, 2024

Неуловимый GoblinRAT: как бэкдор для Linux проник в государственные инфраструктуры

What this page doesn’t show

The version that knows your environment.

Start free trial

IOC matching56

Match every observed IP, domain, and hash against your live telemetry.

Threat actor attribution1

Named campaigns wielding this family, with evidence pinned to each claim.

Exploited vulnerabilities

CVEs this family uses for access and lateral movement.

Detection signatures

YARA, Sigma, Snort, and vendor rules, auto-deployed to your SIEM.

MITRE ATT&CK mapping22

Every documented technique, ranked by evidence weight.

Researcher chatter

Reddit, Mastodon, and CTI community discussion around this family.