UAT-8302 및 그 공격 배후의 악성코드 도구세트

Ruslan Mikhalov SOC Prime에서 위협 연구 책임자

팔로우

Detection stack

AIDR
Alert
ETL
Query

위협 보고서
공격 흐름
탐지
시뮬레이션

요약

Cisco Talos는 UAT-8302로 추적되는 중국 관련 APT 그룹이 2024년 후반부터 남미의 정부 기관을 대상으로, 2025년 내내 동남 유럽에서 공격을 수행한 것을 연결 지었다. 이 그룹은 NetDraft, CloudSorcerer v3, VSHELL, SNOWLIGHT, SNOWRUST, 그리고 추가적인 맞춤형 구성 요소를 포함한 광범위한 악성 코드 툴킷을 배포한다. 그들의 작전은 또한 Impacket과 같은 오픈 소스 도구, 프록시 유틸리티, 맞춤형 스크립트에 의존하여 희생자 환경에서의 정찰, 자격 증명 도용, 측면 이동을 지원한다.

조사

Talos는 그룹의 악성 코드 전달 체인, 지속성을 위한 예약 작업의 사용, 그리고 Microsoft Graph와 같은 신뢰 서비스의 명령 및 제어를 학대하는 것을 문서화했다. 연구원들은 또한 DLL 사이드로딩 로더, 정찰 명령, 네트워크 스캐닝 유틸리티, 페이로드 전달 및 원격 접근에 전념하는 인프라를 관찰했다. 보고서는 또한 Jewelbug, Earth Estries, 여러 UNC 추적 그룹을 포함한 다른 중국 관련 클러스터와 도구 및 상업 기법에서의 중복을 설명했다.

완화

조직은 참조된 취약점, 포함 CVE-2025-0994, CVE-2025-20333, 과 CVE-2025-20362에 대한 패치를 적용하고 명령 및 제어에 악용될 수 있는 Office 365와 OneDrive API에 엄격한 제어를 적용해야 한다. 수비자들은 또한 알려진 악성 도메인과 IP 주소를 차단하고 불필요한 서비스를 비활성화하며, Impacket 및 WMI와 같은 원격 실행 도구를 가능한 한 제한해야 한다. 모니터링은 식별된 예약 작업 이름과 캠페인과 관련된 DLL 사이드로딩 패턴에 집중해야 한다.

응답

보안 팀은 나열된 침투 지표를 경고하고, 영향을 받은 시스템을 격리하며, 분석을 위한 관련 로그 및 포렌식 아티팩트를 수집해야 한다. 자격 증명은 신속하게 회전해야 하며, Active Directory는 침투 또는 권한 없는 접근의 징후를 주의 깊게 검토해야 한다. 탐지 콘텐츠는 관찰된 명령 줄 및 예약 작업을 포괄하도록 업데이트되어야 하며, 수비자들은 환경 내 동일한 악성 코드 계열로부터 추가적인 기입을 검색해야 한다.

"graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#cccccc classDef operator fill:#ff9900 %% Initial Access initial_access["Action – T1190 Exploit Public-Facing Application Description: Exploit a vulnerable internetu2011facing service to gain initial foothold."] class initial_access action vuln_app["Tool – Name: Cityworks (vulnerable) Description: Publicu2011facing application containing CVEu20112025u20110994."] class vuln_app tool %% Execution u2013 System Binary Proxy exec_proxy["Action – T1218.002 System Binary Proxy Execution Description: Abuse trusted system binaries to proxy execution of malicious code."] class exec_proxy action control_panel["Tool – Name: Control Panel Description: Legitimate binary used as proxy."] class control_panel tool %% Execution u2013 Trusted Developer Utilities Proxy (MSBuild) exec_msbuild["Action – T1127.001 Trusted Developer Utilities Proxy Execution Description: Use MSBuild to load malicious DLLs via sideu2011loading."] class exec_msbuild action msbuild["Tool – Name: MSBuild Description: Microsoft build engine used to execute project files."] class msbuild tool %% Execution u2013 Shared Modules (DLL Sideu2011Loading) exec_shared["Action – T1129 Shared Modules Description: Load malicious DLLs by placing them next to benign executables."] class exec_shared action yandex_exe["Tool – Name: Yandex.exe Description: Legitimate executable used as dropper."] class yandex_exe tool vmtools_exe["Tool – Name: VMtools.exe Description: VMware tools binary leveraged for sideu2011loading."] class vmtools_exe tool malware_nedraft["Malware – Name: NetDraft"] class malware_nedraft malware malware_cloudsorcerer["Malware – Name: CloudSorcerer"] class malware_cloudsorcerer malware malware_vshell["Malware – Name: VSHELL"] class malware_vshell malware %% Persistence u2013 Scheduled Task persistence_task["Action – T1053 Scheduled Task/Job Description: Create scheduled tasks to run malicious binaries persistently."] class persistence_task action scheduled_task["Tool – Name: MicrosoftMaps{…} Description: Scheduled task used for persistence."] class scheduled_task tool %% Defense Evasion u2013 Exploitation for Evasion defev_evasion["Action – T1211 Exploitation for Defense Evasion Description: Leverage vulnerabilities to bypass security controls."] class defev_evasion action %% Defense Evasion u2013 Subvert Trust Controls (Code Signing) defev_signing["Action – T1553.006 Subvert Trust Controls Description: Modify code signing policies to trust malicious binaries."] class defev_signing action %% Defense Evasion u2013 Preu2011OS Boot (ROMMONkit) defev_rommon["Action – T1542.004 Preu2011OS Boot: ROMMONkit Description: Install malicious driver during firmware boot."] class defev_rommon action rommon_driver["Tool – Name: Hades HIPS driver"] class rommon_driver tool %% Discovery u2013 Account and Group discovery_account["Action – T1087.002 Account Discovery: Domain Account Description: Enumerate domain user accounts."] class discovery_account action discovery_groups["Action – T1069.002 Permission Groups Discovery: Domain Groups Description: Enumerate domain groups."] class discovery_groups action %% Discovery u2013 Network discovery_netconn["Action – T1049 System Network Connections Discovery Description: Identify active network connections."] class discovery_netconn action discovery_remotes["Action – T1018 Remote System Discovery Description: Find remote systems on the network."] class discovery_remotes action discovery_scanning["Action – T1595.001 Active Scanning: Scanning IP Blocks Description: Scan IP ranges for live hosts."] class discovery_scanning action discovery_netconfig["Action – T1016.001 System Network Configuration Discovery: Internet Connection Discovery Description: Gather network configuration details."] class discovery_netconfig action discovery_cloud["Action – T1526 Cloud Service Discovery Description: Identify cloud service usage."] class discovery_cloud action discovery_cfg_repo["Action – T1602 Data from Configuration Repository Description: Dump network device configuration via SNMP MIB."] class discovery_cfg_repo action %% Lateral Movement u2013 Exploitation of Remote Services lateral_wmi["Action – T1210 Exploitation of Remote Services Description: Use WMI or SMB to execute code on remote hosts."] class lateral_wmi action lateral_smb["Action – T1021.002 Remote Services: SMB/Windows Admin Shares Description: Access admin shares for lateral movement."] class lateral_smb action lateral_transfer["Action – T1570 Lateral Tool Transfer Description: Transfer tools to remote systems."] class lateral_transfer action lateral_taint["Action – T1080 Taint Shared Content Description: Poison shared files to spread malware."] class lateral_taint action lateral_cloud["Action – T1021.007 Remote Services: Cloud Services Description: Use OneDrive or GitHub for lateral movement."] class lateral_cloud action lateral_rats["Action – T1219 Remote Access Tools Description: Deploy tools such as gogo, httpx, SNOWRUST."] class lateral_rats action tool_gogo["Tool – Name: gogo"] class tool_gogo tool tool_httpx["Tool – Name: httpx"] class tool_httpx tool tool_snowrust["Tool – Name: SNOWRUST"] class tool_snowrust tool %% Privilege Escalation u2013 Account Manipulation priv_esc["Action – T1098.007 Account Manipulation: Additional Local or Domain Groups Description: Add compromised accounts to privileged groups."] class priv_esc action %% Command and Control u2013 Proxy (multiu2011hop) c2_proxy["Action – T1090 Proxy Description: Route traffic through internal, external and multiu2011hop proxies."] class c2_proxy action c2_proxy_int["Tool – Name: Internal Proxy"] class c2_proxy_int tool c2_proxy_ext["Tool – Name: External Proxy"] class c2_proxy_ext tool %% Command and Control u2013 Protocol Tunneling c2_tunnel["Action – T1572 Protocol Tunneling Description: Encapsulate C2 traffic inside allowed protocols."] class c2_tunnel action %% Command and Control u2013 Cloud API c2_cloudapi["Action – T1059.009 Command and Scripting Interpreter: Cloud API Description: Use OneDrive, GitHub, GameSpot APIs for C2."] class c2_cloudapi action c2_onedrive["Tool – Name: OneDrive"] class c2_onedrive tool c2_github["Tool – Name: GitHub"] class c2_github tool c2_gamespot["Tool – Name: GameSpot"] class c2_gamespot tool %% Command and Control u2013 Web Protocols c2_web["Action – T1071.001 Application Layer Protocol: Web Protocols Description: Communicate over HTTP/HTTPS."] class c2_web action %% Command and Control u2013 Multiu2011Stage Channels c2_multi["Action – T1104 Multiu2011Stage Channels Description: Chain multiple C2 channels for resilience."] class c2_multi action %% Exfiltration u2013 Over Web Service exfil_web["Action – T1567.002 Exfiltration Over Web Service Description: Upload stolen data to cloud storage services."] class exfil_web action %% Connections u2013 Attack Flow initial_access –>|exploits| vuln_app vuln_app –>|enables| exec_proxy exec_proxy –>|uses| control_panel exec_proxy –>|leads_to| exec_msbuild exec_msbuild –>|uses| msbuild exec_msbuild –>|facilitates| exec_shared exec_shared –>|leverages| yandex_exe exec_shared –>|leverages| vmtools_exe exec_shared –>|loads| malware_nedraft exec_shared –>|loads| malware_cloudsorcerer exec_shared –>|loads| malware_vshell exec_shared –>|creates| persistence_task persistence_task –>|creates| scheduled_task scheduled_task –>|maintains| defev_evasion defev_evasion –>|includes| defev_signing defev_signing –>|modifies| rommon_driver defev_evasion –>|includes| defev_rommon defev_rommon –>|installs| rommon_driver %% Discovery Flow scheduled_task –>|gathers| discovery_account scheduled_task –>|gathers| discovery_groups scheduled_task –>|gathers| discovery_netconn scheduled_task –>|gathers| discovery_remotes scheduled_task –>|gathers| discovery_scanning scheduled_task –>|gathers| discovery_netconfig scheduled_task –>|gathers| discovery_cloud scheduled_task –>|gathers| discovery_cfg_repo %% Lateral Movement Flow discovery_remotes –>|enables| lateral_wmi lateral_wmi –>|uses| lateral_smb lateral_smb –>|transfers| lateral_transfer lateral_transfer –>|moves| lateral_cloud lateral_cloud –>|uses| c2_onedrive lateral_cloud –>|uses| c2_github lateral_cloud –>|uses| c2_gamespot lateral_wmi –>|executes| lateral_rats lateral_rats –>|uses| tool_gogo lateral_rats –>|uses| tool_httpx lateral_rats –>|uses| tool_snowrust %% Privilege Escalation Flow discovery_groups –>|supports| priv_esc %% Command and Control Flow priv_esc –>|reports to| c2_proxy c2_proxy –>|routes through| c2_proxy_int c2_proxy –>|routes through| c2_proxy_ext c2_proxy –>|uses| c2_tunnel c2_tunnel –>|establishes| c2_cloudapi c2_cloudapi –>|communicates via| c2_onedrive c2_cloudapi –>|communicates via| c2_github c2_cloudapi –>|communicates via| c2_gamespot c2_cloudapi –>|uses| c2_web c2_web –>|enables| c2_multi c2_multi –>|delivers| exfil_web %% Styling class initial_access,exec_proxy,exec_msbuild,exec_shared,persistence_task,defev_evasion,defev_signing,defev_rommon,discovery_account,discovery_groups,discovery_netconn,discovery_remotes,discovery_scanning,discovery_netconfig,discovery_cloud,discovery_cfg_repo,lateral_wmi,lateral_smb,lateral_transfer,lateral_taint,lateral_cloud,lateral_rats,priv_esc,c2_proxy,c2_tunnel,c2_cloudapi,c2_web,c2_multi,exfil_web action class vuln_app,control_panel,msbuild,yandex_exe,vmtools_exe,malware_nedraft,malware_cloudsorcerer,malware_vshell,scheduled_task,rommon_driver,tool_gogo,tool_httpx,tool_snowrust,tool_gogo,tool_httpx,tool_snowrust,c2_proxy_int,c2_proxy_ext,c2_onedrive,c2_github,c2_gamespot tool class rommon_driver malware "

UAT-8302 및 그 공격 배후의 악성코드 도구세트

요약

조사

완화

응답

공격 흐름

탐지

의심스러운 CURL 사용 (명령 줄을 통해)

Cloudflare 개발 도메인 오용 가능성 (DNS 통해)

Impacket 명령 줄 패턴 가능성 (명령 줄을 통해)

Sysinternals 도구 사용 가능성 (명령 줄을 통해)

바이패스 실행 정책을 사용하는 의심스러운 디렉터리에서 실행되는 PowerShell (명령 줄을 통해)

시스템 열거 가능성 (명령 줄을 통해)

원격 시스템 발견 또는 연결성 확인 가능성 (명령 줄을 통해)

관리자 계정 또는 그룹 열거 가능성 (명령 줄을 통해)

의심스러운 도메인 신뢰 발견 (명령 줄을 통해)

시스템 네트워크 구성 발견 가능성 (명령 줄을 통해)

Schtasks가 의심스러운 디렉터리/바이너리/스크립트를 가리킴 (명령 줄을 통해)

LOLBAS wmic (명령 줄을 통해)

데이터 인코딩 및 인증서 작업에 Certutil 사용 (명령 줄을 통해)

공공 사용자 프로필에서의 의심스러운 실행 (프로세스 생성을 통해)

데이터 수집 가능성 [7zip] (명령 줄을 통해)

공공 사용자 프로필에서의 의심스러운 파일 (파일 이벤트를 통해)

의심스러운 파일 다운로드 직접 IP (프록시를 통해)

악성코드 가득 찬 상자 UAT-8302를 탐지하기 위한 IOC (HashSha256)

악성코드 가득 찬 상자 UAT-8302를 탐지하기 위한 IOC (SourceIP)

악성코드 가득 찬 상자 UAT-8302를 탐지하기 위한 IOC (DestinationIP)

UAT-8302에 의한 예약 작업 및 WMIC 프로세스 생성 [Windows 프로세스 생성]

UAT-8302 PowerShell 정찰 활동 탐지 [Windows PowerShell]

시뮬레이션 실행