UAT-8302とその攻撃の背後にあるマルウェアツールキット

Ruslan Mikhalov SOC Primeの脅威リサーチ責任者

フォローする

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

Cisco Talosは、2024年後半以来南アメリカの政府機関を標的にし、2025年を通じて東南ヨーロッパで活動しているUAT-8302として追跡される中国のAPTグループを攻撃と結び付けています。このグループはNetDraft、CloudSorcerer v3、VSHELL、SNOWLIGHT、SNOWRUST、その他のカスタムコンポーネントを含む広範なマルウェアツールキットを展開しています。その運用はまた、偵察、資格情報の窃盗、および被害者の環境での横移動を支援するために、Impacketやプロキシツール、カスタマイズされたスクリプトといったオープンソースツールにも依存しています。

調査

Talosは、このグループのマルウェア配信チェーン、持続性を維持するためのスケジュールタスクの使用、Microsoft Graphなどの信頼されたサービスの悪用によるコマンド＆コントロールを文書化しました。研究者たちはまた、DLLサイドローディングローダー、偵察コマンド、ネットワークスキャンユーティリティ、およびペイロードの配信とリモートアクセス専用のインフラも観察しました。レポートは、他の中国と関連するクラスター、Jewelbug、Earth Estries、およびいくつかのUNCトラッキンググループとのツールや手法の重複も指摘しています。

軽減策

組織は、参照された脆弱性、特に以下をパッチする必要があります CVE-2025-0994, CVE-2025-20333、および CVE-2025-20362、およびコマンド＆コントロールに悪用される可能性のあるOffice 365とOneDrive APIに厳しい制御を適用する必要があります。防御者はまた、既知の悪意あるドメインとIPアドレスをブロックし、不必要なサービスを無効にし、ImpacketやWMIのリモート実行ツールを可能な限り制限するべきです。監視は、キャンペーンに関連する特定されたスケジュールタスク名とDLLサイドローディングのパターンに焦点を当てるべきです。

対応策

セキュリティチームは、記載されたコンプロマイズの指標に対してアラートを発し、影響を受けたシステムを隔離し、分析のために関連するログとフォレンジックアーティファクトを収集する必要があります。資格情報は迅速にローテートされるべきであり、Active Directoryは侵害や不正アクセスの兆候がないか慎重にレビューされるべきです。また、検知コンテンツも観察されたコマンドラインやスケジュールタスクをカバーするよう更新され、防御者は環境全体で同じマルウェアファミリーからの追加のインプラントを探索するべきです。

"graph TB %% クラス定義 classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#cccccc classDef operator fill:#ff9900 %% 初期アクセス initial_access["アクション – T1190 公開サービスの脆弱性の悪用 説明: 脆弱なインターネット面サービスを悪用して初期フットホールドを獲得。"] class initial_access action vuln_app["ツール – 名前: Cityworks (脆弱) 説明: 公開面アプリケーションでCVE-2025-0994を含む。"] class vuln_app tool %% 実行 – システムバイナリプロキシ exec_proxy["アクション – T1218.002 システムバイナリプロキシ実行 説明: 信頼されたシステムバイナリを悪用して悪意のあるコードの実行をプロキシする。"] class exec_proxy action control_panel["ツール – 名前: コントロールパネル 説明: プロキシとして使用される正当なバイナリ。"] class control_panel tool %% 実行 – 信頼された開発者ユーティリティプロキシ（MSBuild） exec_msbuild["アクション – T1127.001 信頼された開発者ユーティリティプロキシ実行 説明: MSBuildを使用してサイドローディングで悪意のあるDLLをロード。"] class exec_msbuild action msbuild["ツール – 名前: MSBuild 説明: プロジェクトファイルを実行するために使用されるMicrosoftビルドエンジン。"] class msbuild tool %% 実行 – 共有モジュール（DLLサイドローディング） exec_shared["アクション – T1129 共有モジュール 説明: 正当な実行ファイルの隣に配置することで悪意のあるDLLをロード。"] class exec_shared action yandex_exe["ツール – 名前: Yandex.exe 説明: ドロッパーとして使用される正当な実行ファイル。"] class yandex_exe tool vmtools_exe["ツール – 名前: VMtools.exe 説明: サイドローディングに利用されるVMwareツールバイナリ。"] class vmtools_exe tool malware_nedraft["マルウェア – 名前: NetDraft"] class malware_nedraft malware malware_cloudsorcerer["マルウェア – 名前: CloudSorcerer"] class malware_cloudsorcerer malware malware_vshell["マルウェア – 名前: VSHELL"] class malware_vshell malware %% 永続性 – スケジュールタスク persistence_task["アクション – T1053 スケジュールタスク/ジョブ 説明: マルウェアバイナリを持続的に実行するためのスケジュールタスクを作成。"] class persistence_task action scheduled_task["ツール – 名前: MicrosoftMaps{…} 説明: 永続性のために使用されるスケジュールタスク。"] class scheduled_task tool %% 防御回避 – 避けるための搾取 defev_evasion["アクション – T1211 防御回避のための搾取 説明: セキュリティコントロールを回避するための脆弱性を利用。"] class defev_evasion action %% 防御回避 – 信頼制御の転覆（コード署名） defev_signing["アクション – T1553.006 信頼制御の転覆 説明: 悪意あるバイナリを信頼するようコード署名ポリシーを変更。"] class defev_signing action %% 防御回避 – プレOSブート（ROMMONkit） defev_rommon["アクション – T1542.004 プレOSブート: ROMMONkit 説明: ファームウェアブート中に悪意のあるドライバをインストール。"] class defev_rommon action rommon_driver["ツール – 名前: Hades HIPSドライバ"] class rommon_driver tool %% 発見 – アカウントとグループ discovery_account["アクション – T1087.002 アカウント発見: ドメインアカウント 説明: ドメインユーザーアカウントを列挙。"] class discovery_account action discovery_groups["アクション – T1069.002 権限グループの発見: ドメイングループ 説明: ドメイングループを列挙。"] class discovery_groups action %% 発見 – ネットワーク discovery_netconn["アクション – T1049 システムネットワーク接続の発見 説明: アクティブなネットワーク接続を識別。"] class discovery_netconn action discovery_remotes["アクション – T1018 リモートシステム発見 説明: ネットワーク上のリモートシステムを見つける。"] class discovery_remotes action discovery_scanning["アクション – T1595.001 アクティブスキャン: IPブロックのスキャン 説明: ライブホストを探してIP範囲をスキャン。"] class discovery_scanning action discovery_netconfig["アクション – T1016.001 システムネットワーク構成の発見: インターネット接続の発見 説明: ネットワーク構成の詳細を収集。"] class discovery_netconfig action discovery_cloud["アクション – T1526 クラウドサービスの発見 説明: クラウドサービスの使用状況を識別。"] class discovery_cloud action discovery_cfg_repo["アクション – T1602 設定リポジトリからのデータ 説明: SNMP MIBを介してネットワーク機器の構成をダンプ。"] class discovery_cfg_repo action %% 横移動 – リモートサービスの搾取 lateral_wmi["アクション – T1210 リモートサービスの搾取 説明: WMIやSMBを使用してリモートホストでコードを実行。"] class lateral_wmi action lateral_smb["アクション – T1021.002 リモートサービス: SMB/Windows管理共有 説明: 横移動のために管理共有にアクセス。"] class lateral_smb action lateral_transfer["アクション – T1570 ツールの横移動 説明: リモートシステムにツールを転送。"] class lateral_transfer action lateral_taint["アクション – T1080 共有コンテンツを汚染 説明: マルウェアを広めるために共有ファイルを毒する。"] class lateral_taint action lateral_cloud["アクション – T1021.007 リモートサービス: クラウドサービス 説明: 横移動のためにOneDriveやGitHubを使用。"] class lateral_cloud action lateral_rats["アクション – T1219 リモートアクセストツール 説明: gogo、httpx、SNOWRUSTなどのツールを展開。"] class lateral_rats action tool_gogo["ツール – 名前: gogo"] class tool_gogo tool tool_httpx["ツール – 名前: httpx"] class tool_httpx tool tool_snowrust["ツール – 名前: SNOWRUST"] class tool_snowrust tool %% 権限昇格 – アカウント操作 priv_esc["アクション – T1098.007 アカウント操作: 追加のローカルまたはドメイングループ 説明: 侵害されたアカウントを特権グループに追加。"] class priv_esc action %% コマンド＆コントロール – プロキシ (マルチホップ) c2_proxy["アクション – T1090 プロキシ 説明: 内部、外部、およびマルチホップのプロキシを経由してトラフィックをルーティング。"] class c2_proxy action c2_proxy_int["ツール – 名前: 内部プロキシ"] class c2_proxy_int tool c2_proxy_ext["ツール – 名前: 外部プロキシ"] class c2_proxy_ext tool %% コマンド＆コントロール – プロトコルトンネリング c2_tunnel["アクション – T1572 プロトコルトンネリング 説明: 許可されたプロトコル内でC2トラフィックをカプセル化。"] class c2_tunnel action %% コマンド＆コントロール – クラウドAPI c2_cloudapi["アクション – T1059.009 コマンドとスクリプトインタプリタ: クラウドAPI 説明: OneDrive、GitHub、GameSpot APIをC2として使用。"] class c2_cloudapi action c2_onedrive["ツール – 名前: OneDrive"] class c2_onedrive tool c2_github["ツール – 名前: GitHub"] class c2_github tool c2_gamespot["ツール – 名前: GameSpot"] class c2_gamespot tool %% コマンド＆コントロール – Webプロトコル c2_web["アクション – T1071.001 アプリケーションレイヤープロトコル: Webプロトコル 説明: HTTP/HTTPSで通信。"] class c2_web action %% コマンド＆コントロール – マルチステージチャネル c2_multi["アクション – T1104 マルチステージチャネル 説明: 複数のC2チャネルを連鎖して回復性を持たせる。"] class c2_multi action %% 情報漏洩 – Webサービス経由 exfil_web["アクション – T1567.002 Webサービス経由の情報漏洩 説明: 被害データをクラウドストレージサービスにアップロード。"] class exfil_web action %% 接続 – 攻撃フロー initial_access –>|悪用| vuln_app vuln_app –>|有効化| exec_proxy exec_proxy –>|使用| control_panel exec_proxy –>|導く| exec_msbuild exec_msbuild –>|使用| msbuild exec_msbuild –>|助ける| exec_shared exec_shared –>|利用| yandex_exe exec_shared –>|利用| vmtools_exe exec_shared –>|ロード| malware_nedraft exec_shared –>|ロード| malware_cloudsorcerer exec_shared –>|ロード| malware_vshell exec_shared –>|作る| persistence_task persistence_task –>|作る| scheduled_task scheduled_task –>|維持| defev_evasion defev_evasion –>|含む| defev_signing defev_signing –>|変更| rommon_driver defev_evasion –>|含む| defev_rommon defev_rommon –>|インストール| rommon_driver %% 発見フロー scheduled_task –>|収集| discovery_account scheduled_task –>|収集| discovery_groups scheduled_task –>|収集| discovery_netconn scheduled_task –>|収集| discovery_remotes scheduled_task –>|収集| discovery_scanning scheduled_task –>|収集| discovery_netconfig scheduled_task –>|収集| discovery_cloud scheduled_task –>|収集| discovery_cfg_repo %% 横移動フロー discovery_remotes –>|有効化| lateral_wmi lateral_wmi –>|使用| lateral_smb lateral_smb –>|転送| lateral_transfer lateral_transfer –>|移動| lateral_cloud lateral_cloud –>|使用| c2_onedrive lateral_cloud –>|使用| c2_github lateral_cloud –>|使用| c2_gamespot lateral_wmi –>|実行| lateral_rats lateral_rats –>|使用| tool_gogo lateral_rats –>|使用| tool_httpx lateral_rats –>|使用| tool_snowrust %% 権限昇格フロー discovery_groups –>|支援| priv_esc %% コマンド＆コントロールフロー priv_esc –>|報告| c2_proxy c2_proxy –>|ルート| c2_proxy_int c2_proxy –>|ルート| c2_proxy_ext c2_proxy –>|使用| c2_tunnel c2_tunnel –>|確立| c2_cloudapi c2_cloudapi –>|通信| c2_onedrive c2_cloudapi –>|通信| c2_github c2_cloudapi –>|通信| c2_gamespot c2_cloudapi –>|使用| c2_web c2_web –>|有効化| c2_multi c2_multi –>|配信| exfil_web %% スタイリング class initial_access,exec_proxy,exec_msbuild,exec_shared,persistence_task,defev_evasion,defev_signing,defev_rommon,discovery_account,discovery_groups,discovery_netconn,discovery_remotes,discovery_scanning,discovery_netconfig,discovery_cloud,discovery_cfg_repo,lateral_wmi,lateral_smb,lateral_transfer,lateral_taint,lateral_cloud,lateral_rats,priv_esc,c2_proxy,c2_tunnel,c2_cloudapi,c2_web,c2_multi,exfil_web action class vuln_app,control_panel,msbuild,yandex_exe,vmtools_exe,malware_nedraft,malware_cloudsorcerer,malware_vshell,scheduled_task,rommon_driver,tool_gogo,tool_httpx,tool_snowrust,tool_gogo,tool_httpx,tool_snowrust,c2_proxy_int,c2_proxy_ext,c2_onedrive,c2_github,c2_gamespot tool class rommon_driver malware "

UAT-8302とその攻撃の背後にあるマルウェアツールキット

概要

調査

軽減策

対応策

攻撃フロー

検知

疑わしいCURL使用（コマンドライン経由）

クラウドフレア開発ドメインの悪用の可能性（DNS経由）

Impacketコマンドラインパターンの可能性（コマンドライン経由）

Sysinternalsツールの利用の可能性（コマンドライン経由）

PowershellがBypass実行ポリシーを使用して疑わしいディレクトリでファイルを実行（コマンドライン経由）

システムの列挙の可能性（コマンドライン経由）

リモートシステムの発見または接続性チェックの可能性（コマンドライン経由）

管理アカウントまたはグループの列挙の可能性（コマンドライン経由）

疑わしいドメイン信頼の発見（コマンドライン経由）

システムネットワーク構成の発見の可能性（コマンドライン経由）

Schtasksが疑わしいディレクトリ/バイナリ/スクリプトを指す（コマンドライン経由）

LOLBAS wmic（コマンドライン経由）

データエンコーディングと証明書操作にCertutilを使用（コマンドライン経由）

パブリックユーザープロファイルからの疑わしい実行（プロセス生成）

データ収集の可能性【7zip】（コマンドライン経由）

パブリックユーザープロファイル内の疑わしいファイル（ファイルイベント）

直接IPによる疑わしいファイルダウンロード（プロキシ経由）

IOCs（HashSha256）を検出: UAT-8302およびそのマルウェア満載の箱

IOCs（SourceIP）を検出: UAT-8302およびそのマルウェア満載の箱

IOCs（DestinationIP）を検出: UAT-8302およびそのマルウェア満載の箱

UAT-8302によるスケジュールタスクとWMICプロセス作成【Windowsプロセス作成】

UAT-8302のPowerShell偵察活動を検出【Windows PowerShell】

シミュレーション実行