UAT-7290 націлюється на високовартісну телекомунікаційну інфраструктуру в Південній Азії
Стежити
Detection stack
- AIDR
- Alert
- ETL
- Query
Резюме
UAT-7290 є групою постійних загроз, пов’язаних з Китаєм, що діє принаймні з 2022 року. Вона надає пріоритетний доступ до початкових точок виходу у мережу та здійснює шпигунські вторгнення проти телекомунікаційних провайдерів у Південній Азії, з нещодавніми активностями, що поширюються на Південно-Східну Європу. Інструменти групи включають імпланти для Linux — RushDrop, DriveSwitch, SilentRaid, і Bulbature — та віконні навантаження, такі як RedLeaves і ShadowPad. UAT-7290 також підтримує інфраструктуру Operational Relay Box (ORB), яка може бути використана для передачі трафіку для інших кіберзагроз.
Розслідування
Cisco Talos проаналізували відповідні зразки і задокументували пошарову інфекційну ланцюг_linux, що починається з зворотнього скидання RushDrop, який створює приховану директорію .pkgdb. Наступні етапи розгортають DriveSwitch, а потім основний імплант SilentRaid. Ці компоненти використовують DNS-розв’язання через публічні резолвери для досягнення команди і контролю та підтримки можливостей виконання команд, управління файлами та встановлення зворотних оболонок. Bulbature функціонує як вузол ORB, слухаючи на конфігурованих портах і використовуючи періодично самопідписаний сертифікат, який Talos відзначила на численних китайських хостованих системах.
Послаблення
Зміцнюйте пристрої мережного краю, усуваючи стандартні облікові дані, обмежуючи експозицію керування та швидко виправляючи відомі уразливості одного дня. Моніторьте аномальну поведінку DNS, особливо неочікувані запити, спрямовані на публічні резолвери, а також незвичайне використання команд BusyBox і появу незнайомих файлів у прихованих директоріях. Якщо можливо, розгорніть захист кінцевих точок і мереж, які здатні виявляти наведені підписи ClamAV і Snort SID 65124, і гарантуйте, щоб попередження були підключені до робочих процесів SOC.
Реагування
Якщо виявлена підозріла активність, відокремте уражений пристрій, захопіть образи енергонезалежної пам’яті та диска та відразу блокуйте будь-які підтверджені C2-домени або IP-адреси. Проведення цільової судової експертизи на літературу .pkgdb, артефакти конфігурації /tmp та будь-які докази з’явлення зворотних оболонок. Скидання компрометованих облікових даних, ротація ключів SSH та перевірка, що жодні вузли ORB не залишилися працюючими всередині середовища.
“graph TB %% Визначення класу classDef action fill:#99ccff classDef tool fill:#ffe699 classDef malware fill:#ffcccc classDef operator fill:#ff9900 %% Фаза розвідки phase_recon[“<b>Фаза</b> – Розвідка”] class phase_recon action tech_active_scanning[“<b>Техніка</b> – T1595 Активне сканування<br><b>Опис</b>: Визначити служби, версії та конфігурації інфраструктури цілі.”] class tech_active_scanning action tech_search_closed_sources[“<b>Техніка</b> – T1597.001 Пошук закритих джерел<br><b>Опис</b>: Збирати розвіддані з звітів постачальників та інших не публічних джерел.”] class tech_search_closed_sources action %% Фаза початкового доступу phase_initial[“<b>Фаза</b> – Початковий доступ”] class phase_initial action tech_exploit_public_facing[“<b>Техніка</b> – T1190 Експлуатація додатку, відкритого до Інтернету<br><b>Опис</b>: Використання вразливостей у пристроях, які відкриті до Інтернету, для отримання доступу.”] class tech_exploit_public_facing action tech_ssh_remote[“<b>Техніка</b> – T1021.004 Віддалені служби (SSH)<br><b>Опис</b>: Доступ до цільових пристроїв через SSH.”] class tech_ssh_remote action tech_ssh_hijack[“<b>Техніка</b> – T1563.001 Викрадення сесії віддаленої служби<br><b>Опис</b>: Викрадення існуючих сесій SSH для обходу автентифікації.”] class tech_ssh_hijack action tool_bruteforce[“<b>Інструмент</b> – Назва: Сценарій грубої сили SSH<br/><b>Опис</b>: Спроби здогадування облікових даних на службах SSH.”] class tool_bruteforce tool %% Фаза виконання та ухилення від захисту phase_exec[“<b>Фаза</b> – Виконання та ухилення від захисту”] class phase_exec action tech_vm_evasion[“<b>Техніка</b> – T1497 Ухилення від віртуалізації/пісочниці<br><b>Опис</b>: Виявляє середовища аналізу та змінює поведінку.”] class tech_vm_evasion action tech_unix_shell[“<b>Техніка</b> – T1059.004 Інтерпретатор команд та сценаріїв: Unix Shell<br><b>Опис</b>: Виконує команди через /bin/sh або busybox.”] class tech_unix_shell action tech_obfuscation[“<b>Техніка</b> – T1027 Обфусковані файли або інформація<br><b>Опис</b>: Використовує пакування або кодування для приховування шкідливого коду.”] class tech_obfuscation action tech_data_obfuscation[“<b>Техніка</b> – T1001 Обфускація даних<br><b>Опис</b>: Змінює дані, щоб уникнути виявлення.”] class tech_data_obfuscation action tech_masquerade[“<b>Техніка</b> – T1036.008 Маскування: Маскування типу файлу<br><b>Опис</b>: Перейменовує виконувані файли, щоб виглядати як легітимні файли.”] class tech_masquerade action malware_rushdrop[“<b>Шкідливе ПЗ</b> – Назва: RushDrop<br/><b>Опис</b>: Навантаження, доставлене після експлуатації, стиснене за допомогою UPX.”] class malware_rushdrop malware malware_driveswitch[“<b>Шкідливе ПЗ</b> – Назва: DriveSwitch<br/><b>Опис</b>: Використовує busybox для виконання команд.”] class malware_driveswitch malware %% Фаза підвищення привілеїв phase_priv_esc[“<b>Фаза</b> – Підвищення привілеїв”] class phase_priv_esc action tech_exploit_priv[“<b>Техніка</b> – T1068 Експлуатація для підвищення привілеїв<br><b>Опис</b>: Використовує вразливі компоненти для отримання більше прав.”] class tech_exploit_priv action tech_abuse_elevation[“<b>Техніка</b> – T1548 Зловживання механізмом підвищення привілеїв<br><b>Опис</b>: Маніпулює механізмами, які надають підвищені привілеї.”] class tech_abuse_elevation action %% Фаза доступу до облікових даних та виявлення phase_cred_disc[“<b>Фаза</b> – Доступ до облікових даних та виявлення”] class phase_cred_disc action tech_credential_dump[“<b>Техніка</b> – T1003.008 Вивантаження облікових даних ОС<br><b>Опис</b>: Читає /etc/passwd і /etc/shadow для отримання паролів.”] class tech_credential_dump action tech_system_info[“<b>Техніка</b> – T1082 Виявлення інформації про систему<br><b>Опис</b>: Збирає ім’я хосту, версію ОС і деталі обладнання.”] class tech_system_info action tech_software_collect[“<b>Техніка</b> – T1592.002 Збір інформації про хост жертви: Програмне забезпечення<br><b>Опис</b>: Перелічує встановлені пакети програмного забезпечення.”] class tech_software_collect action tech_hardware_collect[“<b>Техніка</b> – T1592.001 Збір інформації про хост жертви: Обладнання<br><b>Опис</b>: Отримує дані про процесор, пам’ять та пристрої.”] class tech_hardware_collect action %% Фаза латерального руху phase_lateral[“<b>Фаза</b> – Латеральний рух”] class phase_lateral action tech_internal_proxy[“<b>Техніка</b> – T1090.001 Проксі: Внутрішній проксі<br><b>Опис</b>: Передає трафік через скомпрометовані внутрішні хости.”] class tech_internal_proxy action tech_external_proxy[“<b>Техніка</b> – T1090.002 Проксі: Зовнішній проксі<br><b>Опис</b>: Використовує зовнішні послуги проксі, щоб приховати джерело.”] class tech_external_proxy action tech_protocol_tunnel[“<b>Техніка</b> – T1572 Тунелювання протоколів<br><b>Опис</b>: Інкапсулює трафік у дозволених протоколах.”] class tech_protocol_tunnel action tech_nonstandard_port[“<b>Техніка</b> – T1571 Нестандартний порт<br><b>Опис</b>: Спілкується через незвичайні порти, щоб уникнути виявлення.”] class tech_nonstandard_port action %% Фаза командування та контролю phase_c2[“<b>Фаза</b> – Командування та контроль”] class phase_c2 action tech_dead_drop[“<b>Техніка</b> – T1102.001 Веб-служба: Ухвалення рішень через мертву точку<br><b>Опис</b>: Визначає C2 домени через запити публічних DNS.”] class tech_dead_drop action tech_one_way[“<b>Техніка</b> – T1102.003 Веб-служба: Односторонній зв’язок<br><b>Опис</b>: Відправляє дані до C2 через DNS без отримання відповідей.”] class tech_one_way action tech_data_encoding[“<b>Техніка</b> – T1132 Кодування даних<br><b>Опис</b>: Кодує результати команд перед передачею.”] class tech_data_encoding action %% З’єднання phase_recon u002du002d>|використовує| tech_active_scanning phase_recon u002du002d>|використовує| tech_search_closed_sources phase_initial u002du002d>|використовує| tech_exploit_public_facing phase_initial u002du002d>|використовує| tech_ssh_remote phase_initial u002du002d>|використовує| tech_ssh_hijack phase_initial u002du002d>|використовує| tool_bruteforce phase_exec u002du002d>|застосовує| tech_vm_evasion phase_exec u002du002d>|виконує| tech_unix_shell phase_exec u002du002d>|застосовує| tech_obfuscation phase_exec u002du002d>|застосовує| tech_data_obfuscation phase_exec u002du002d>|застосовує| tech_masquerade phase_exec u002du002d>|доставляє| malware_rushdrop phase_exec u002du002d>|доставляє| malware_driveswitch phase_priv_esc u002du002d>|використовує| tech_exploit_priv phase_priv_esc u002du002d>|використовує| tech_abuse_elevation phase_cred_disc u002du002d>|виконує| tech_credential_dump phase_cred_disc u002du002d>|виконує| tech_system_info phase_cred_disc u002du002d>|виконує| tech_software_collect phase_cred_disc u002du002d>|виконує| tech_hardware_collect phase_lateral u002du002d>|встановлює| tech_internal_proxy phase_lateral u002du002d>|встановлює| tech_external_proxy phase_lateral u002du002d>|використовує| tech_protocol_tunnel phase_lateral u002du002d>|використовує| tech_nonstandard_port phase_c2 u002du002d>|визначає| tech_dead_drop phase_c2 u002du002d>|передає| tech_one_way phase_c2 u002du002d>|кодує| tech_data_encoding “
Потік атаки
Виявлення
Можлива Злочинна Активність Busybox (GTFOBin) з Викликанням Системної Оболонки (через cmdline)
Перегляд
Підозріла Система Linux або Відомий Бінарний Виконується з Незвичайного Шляху (через cmdline)
Перегляд
Прихований Файл Створено на Хості Linux (через file_event)
Перегляд
IOCs (HashMd5) для виявлення: UAT-7290 націлює високозначущу телекомунікаційну інфраструктуру в Південній Азії
Перегляд
IOCs (HashSha256) для виявлення: UAT-7290 націлює високозначущу телекомунікаційну інфраструктуру в Південній Азії
Перегляд
IOCs (HashSha1) для виявлення: UAT-7290 націлює високозначущу телекомунікаційну інфраструктуру в Південній Азії
Перегляд
Виявлення Діяльності Зловмисного ПЗ UAT-7290 [Створення Процесу Linux]
Перегляд
Виконання Симуляції
Необхідні умови: Телеметрія і Базова Перевірка Перед Початком повинна бути успішною.
Обгрунтування: Цей розділ детально описує точне виконання техніки противника (TTP), розробленої для тригера детекційного правила. Команди й оповідання МАЮТЬ безпосередньо відображати ідентифіковані TTPs і мають на меті генерувати саме ту телеметрію, яку очікує логіка виявлення. Абстрактні або незв’язані приклади призведуть до неправильної діагностики.
-
Оповідання і Команди Атаки:
-
Початкове Виконання Дропера (T1480.002):
Атакуючий виконуєRushDropбінарний файл, який, як частину свого навантаження, створює приховану директорію з назвою.pkgdbу поточній робочій директорії../RushDrop --install .pkgdb -
Запуск Привілейованого Компоненту (T1569):
Тоді дропер запускаєSilentRaidз аргументомpluginsщоб завантажити шкідливі модулі, які встановлюють стійкість через системні служби.sudo ./SilentRaid --load plugins -
Виявлення Мережі (T1016.001):
Нарешті, зловмисне ПЗ збирає інформацію маршрутизації для відображення внутрішньої мережі:cat /proc/net/route
Коли ці три фрагменти командного рядка з’являються разом (або перші два разом and третій як альтернатива), умова правила Sigma оцінюється як істинна, генеруючи сповіщення.
-
-
Скрипт Регресійного Тесту:
#!/usr/bin/env bash # # Скрипт перевірки виявлення UAT-7290 # Імітує точні шаблони командного рядка, необхідні по правилу Sigma. # set -euo pipefail # 1. Створити тимчасову робочу директорію WORKDIR=$(mktemp -d) cd "$WORKDIR" # 2. Імітувати RushDrop бінарний файл echo -e '#!/usr/bin/env bashnecho "Виконано RushDrop"' > RushDrop chmod +x RushDrop # 3. Виконати RushDrop з аргументом .pkgdb (створює папку) ./RushDrop --install .pkgdb mkdir -p .pkgdb # імітація поведінки дропера # 4. Імітувати бінарний файл SilentRaid echo -e '#!/usr/bin/env bashnecho "SilentRaid завантажив плагіни"' > SilentRaid chmod +x SilentRaid # 5. Виконати SilentRaid з аргументом plugins (вимагає sudo для реалізму) sudo ./SilentRaid --load plugins # 6. Команда виявлення мережі cat /proc/net/route # 7. Очистити (опціонально - зберегти для мануального огляду, якщо потрібно) # rm -rf "$WORKDIR" -
Команди очищення:
# Видалити тимчасовий каталог і будь-які артефакти, створені під час тесту sudo rm -rf "$WORKDIR" # Очистити чергу auditd щоб переконатися, що залишкові події не залишилися sudo auditctl -D # Перезапустіть auditd щоб відновити правила за замовчуванням sudo systemctl restart auditd