UAT-8302 e il Kit di Strumenti Malware Dietro i Suoi Attacchi

Ruslan Mikhalov Capo della Ricerca sulle Minacce presso SOC Prime

Segui

UAT-8302 e il Kit di Strumenti Malware Dietro i Suoi Attacchi

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Riassunto

Cisco Talos ha collegato un gruppo APT connesso alla Cina tracciato come UAT-8302 ad attacchi contro organizzazioni governative in Sud America dalla fine del 2024 e nel sud-est dell’Europa durante tutto il 2025. Il gruppo utilizza un ampio set di strumenti malware che include NetDraft, CloudSorcerer v3, VSHELL, SNOWLIGHT, SNOWRUST, e componenti personalizzati aggiuntivi. Le sue operazioni si basano anche su strumenti open-source come Impacket, utilità di proxying e script su misura per supportare ricognizioni, furti di credenziali e movimenti laterali negli ambienti delle vittime.

Indagine

Talos ha documentato la catena di consegna del malware del gruppo, il suo uso di attività pianificate per la persistenza e il suo abuso di servizi attendibili come Microsoft Graph per il comando e controllo. I ricercatori hanno anche osservato loader di sideloading DLL, comandi di ricognizione, utilità di scansione di rete e infrastrutture dedicate alla consegna del payload e accesso remoto. Il rapporto ha inoltre notato sovrapposizioni negli strumenti e nel modus operandi con altri cluster collegati alla Cina, inclusi Jewelbug, Earth Estries, e diversi gruppi tracciati UNC.

Mitigazione

Le organizzazioni dovrebbero correggere le vulnerabilità di cui sopra, inclusi CVE-2025-0994, CVE-2025-20333, e CVE-2025-20362, e applicare controlli rigorosi alle API di Office 365 e OneDrive che potrebbero essere abusate per il comando e controllo. I difensori dovrebbero anche bloccare i domini maligni noti e indirizzi IP, disabilitare i servizi non necessari e limitare l’uso di strumenti di esecuzione remota come Impacket e WMI ove possibile. Il monitoraggio dovrebbe concentrarsi sui nomi delle attività pianificate identificate e sui pattern di sideloading DLL associati alla campagna.

Risposta

I team di sicurezza dovrebbero avvisare sugli indicatori di compromissione elencati, isolare i sistemi compromessi e raccogliere i registri pertinenti e gli artefatti forensi per l’analisi. Le credenziali dovrebbero essere ruotate prontamente, e Active Directory dovrebbe essere esaminato attentamente per segni di compromissione o accesso non autorizzato. Anche il contenuto di rilevamento dovrebbe essere aggiornato per coprire le righe di comando osservate e le attività pianificate, mentre i difensori cercano ulteriori impianti dalle stesse famiglie di malware nell’ambiente.

"grafico TB %% Definizioni di classe classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#cccccc classDef operator fill:#ff9900 %% Accesso Iniziale initial_access["Azione – T1190 Sfruttamento Applicazione Esposa al Pubblico Descrizione: Sfruttare un servizio vulnerabile esposto a Internet per ottenere un primo punto d’appoggio."] class initial_access action vuln_app["Strumento – Nome: Cityworks (vulnerabile) Descrizione: Applicazione esposta al pubblico contenente CVE-2025-0994."] class vuln_app tool %% Esecuzione – Proxy Binario di Sistema exec_proxy["Azione – T1218.002 Esecuzione Proxy Binario di Sistema Descrizione: Abusare di binari di sistema attendibili per eseguire codice malevolo."] class exec_proxy action control_panel["Strumento – Nome: Pannello di Controllo Descrizione: Binario legittimo usato come proxy."] class control_panel tool %% Esecuzione – Proxy di Utilità per Sviluppatori Attendibili (MSBuild) exec_msbuild["Azione – T1127.001 Esecuzione Proxy Utilità per Sviluppatori Attendibili Descrizione: Usare MSBuild per caricare DLL malevole tramite side-loading."] class exec_msbuild action msbuild["Strumento – Nome: MSBuild Descrizione: Motore di build Microsoft usato per eseguire file di progetto."] class msbuild tool %% Esecuzione – Moduli Condivisi (DLL Side-Loading) exec_shared["Azione – T1129 Moduli Condivisi Descrizione: Caricare DLL malevoli posizionandole accanto a eseguibili benigni."] class exec_shared action yandex_exe["Strumento – Nome: Yandex.exe Descrizione: Eseguibile legittimo usato come dropper."] class yandex_exe tool vmtools_exe["Strumento – Nome: VMtools.exe Descrizione: Binario degli strumenti VMware utilizzato per il side-loading."] class vmtools_exe tool malware_nedraft["Malware – Nome: NetDraft"] class malware_nedraft malware malware_cloudsorcerer["Malware – Nome: CloudSorcerer"] class malware_cloudsorcerer malware malware_vshell["Malware – Nome: VSHELL"] class malware_vshell malware %% Persistenza – Attività Pianificate persistence_task["Azione – T1053 Attività/Job Pianificato Descrizione: Creare attività pianificate per eseguire binari malevoli in modo persistente."] class persistence_task action scheduled_task["Strumento – Nome: MicrosoftMaps{…} Descrizione: Attività pianificata utilizzata per persistenza."] class scheduled_task tool %% Evasione Difensiva – Sfruttamento per Evasione defev_evasion["Azione – T1211 Sfruttamento per Evasione Difensiva Descrizione: Sfruttare vulnerabilità per bypassare i controlli di sicurezza."] class defev_evasion action %% Evasione Difensiva – Sovversione Controlli di Fiducia (Firmare Codice) defev_signing["Azione – T1553.006 Sovversione Controlli di Fiducia Descrizione: Modificare le politiche di firma codice per fidarsi di binari malevoli."] class defev_signing action %% Evasione Difensiva – Pre-OS Boot (ROMMONkit) defev_rommon["Azione – T1542.004 Pre-OS Boot: ROMMONkit Descrizione: Installare driver malevoli durante l’avvio del firmware."] class defev_rommon action rommon_driver["Strumento – Nome: Driver Hades HIPS"] class rommon_driver tool %% Scoperta – Account e Gruppi discovery_account["Azione – T1087.002 Scoperta Account: Account di Dominio Descrizione: Enumerare account utente di dominio."] class discovery_account action discovery_groups["Azione – T1069.002 Scoperta Gruppi Autorizzazioni: Gruppi di Dominio Descrizione: Enumerare gruppi di dominio."] class discovery_groups action %% Scoperta – Rete discovery_netconn["Azione – T1049 Scoperta Connessioni di Rete di Sistema Descrizione: Identificare connessioni di rete attive."] class discovery_netconn action discovery_remotes["Azione – T1018 Scoperta Sistema Remoto Descrizione: Trovare sistemi remoti sulla rete."] class discovery_remotes action discovery_scanning["Azione – T1595.001 Scansione Attiva: Scansione Blocchi IP Descrizione: Scansionare intervalli IP per host attivi."] class discovery_scanning action discovery_netconfig["Azione – T1016.001 Scoperta Configurazione Rete di Sistema: Scoperta Connessione Internet Descrizione: Raccolta dettagli di configurazione della rete."] class discovery_netconfig action discovery_cloud["Azione – T1526 Scoperta Servizi Cloud Descrizione: Identificare l’uso dei servizi cloud."] class discovery_cloud action discovery_cfg_repo["Azione – T1602 Dati da Repository di Configurazione Descrizione: Scaricare configurazione del dispositivo di rete tramite SNMP MIB."] class discovery_cfg_repo action %% Movimento Laterale – Sfruttamento dei Servizi Remoti lateral_wmi["Azione – T1210 Sfruttamento dei Servizi Remoti Descrizione: Utilizzare WMI o SMB per eseguire codice su host remoti."] class lateral_wmi action lateral_smb["Azione – T1021.002 Servizi Remoti: Condivisioni Amministrative SMB/Windows Descrizione: Accedere a condivisioni amministrative per movimento laterale."] class lateral_smb action lateral_transfer["Azione – T1570 Trasferimento Strumenti Laterali Descrizione: Trasferimento strumenti a sistemi remoti."] class lateral_transfer action lateral_taint["Azione – T1080 Contaminazione Contenuti Condivisi Descrizione: Avvelenare file condivisi per diffondere malware."] class lateral_taint action lateral_cloud["Azione – T1021.007 Servizi Remoti: Servizi Cloud Descrizione: Usare OneDrive o GitHub per movimento laterale."] class lateral_cloud action lateral_rats["Azione – T1219 Strumenti di Accesso Remoto Descrizione: Distribuire strumenti come gogo, httpx, SNOWRUST."] class lateral_rats action tool_gogo["Strumento – Nome: gogo"] class tool_gogo tool tool_httpx["Strumento – Nome: httpx"] class tool_httpx tool tool_snowrust["Strumento – Nome: SNOWRUST"] class tool_snowrust tool %% Escalation Privilegi – Manipolazione Account priv_esc["Azione – T1098.007 Manipolazione Account: Gruppi Locali o di Dominio Aggiuntivi Descrizione: Aggiungere account compromessi a gruppi privilegiati."] class priv_esc action %% Comando e Controllo – Proxy (multi-hop) c2_proxy["Azione – T1090 Proxy Descrizione: Instradare traffico attraverso proxy interni, esterni e multi-hop."] class c2_proxy action c2_proxy_int["Strumento – Nome: Proxy Interno"] class c2_proxy_int tool c2_proxy_ext["Strumento – Nome: Proxy Esterno"] class c2_proxy_ext tool %% Comando e Controllo – Tunneling di Protocollo c2_tunnel["Azione – T1572 Tunneling di Protocollo Descrizione: Incapsulare traffico C2 dentro protocolli consentiti."] class c2_tunnel action %% Comando e Controllo – API Cloud c2_cloudapi["Azione – T1059.009 Interprete di Comandi e Script: API Cloud Descrizione: Usare API di OneDrive, GitHub, GameSpot per C2."] class c2_cloudapi action c2_onedrive["Strumento – Nome: OneDrive"] class c2_onedrive tool c2_github["Strumento – Nome: GitHub"] class c2_github tool c2_gamespot["Strumento – Nome: GameSpot"] class c2_gamespot tool %% Comando e Controllo – Protocolli Web c2_web["Azione – T1071.001 Protocollo Livello Applicazione: Protocolli Web Descrizione: Comunicare tramite HTTP/HTTPS."] class c2_web action %% Comando e Controllo – Canali Multi-Fase c2_multi["Azione – T1104 Canali Multi-Fase Descrizione: Collegare più canali C2 per resilienza."] class c2_multi action %% Esfiltrazione – Tramite Servizio Web exfil_web["Azione – T1567.002 Esfiltrazione Tramite Servizio Web Descrizione: Carica dati rubati sui servizi di cloud storage."] class exfil_web action %% Connessioni – Flusso di Attacco initial_access –>|exploits| vuln_app vuln_app –>|abilita| exec_proxy exec_proxy –>|usa| control_panel exec_proxy –>|porta a| exec_msbuild exec_msbuild –>|usa| msbuild exec_msbuild –>|facilita| exec_shared exec_shared –>|sfrutta| yandex_exe exec_shared –>|sfrutta| vmtools_exe exec_shared –>|carica| malware_nedraft exec_shared –>|carica| malware_cloudsorcerer exec_shared –>|carica| malware_vshell exec_shared –>|crea| persistence_task persistence_task –>|crea| scheduled_task scheduled_task –>|mantiene| defev_evasion defev_evasion –>|include| defev_signing defev_signing –>|modifica| rommon_driver defev_evasion –>|include| defev_rommon defev_rommon –>|installa| rommon_driver %% Flusso di Scoperta scheduled_task –>|raccoglie| discovery_account scheduled_task –>|raccoglie| discovery_groups scheduled_task –>|raccoglie| discovery_netconn scheduled_task –>|raccoglie| discovery_remotes scheduled_task –>|raccoglie| discovery_scanning scheduled_task –>|raccoglie| discovery_netconfig scheduled_task –>|raccoglie| discovery_cloud scheduled_task –>|raccoglie| discovery_cfg_repo %% Flusso di Movimento Laterale discovery_remotes –>|abilita| lateral_wmi lateral_wmi –>|usa| lateral_smb lateral_smb –>|trasferisce| lateral_transfer lateral_transfer –>|sposta| lateral_cloud lateral_cloud –>|usa| c2_onedrive lateral_cloud –>|usa| c2_github lateral_cloud –>|usa| c2_gamespot lateral_wmi –>|esegue| lateral_rats lateral_rats –>|usa| tool_gogo lateral_rats –>|usa| tool_httpx lateral_rats –>|usa| tool_snowrust %% Flusso di Escalation Privilegi discovery_groups –>|supporta| priv_esc %% Flusso di Comando e Controllo priv_esc –>|riporta a| c2_proxy c2_proxy –>|instrada attraverso| c2_proxy_int c2_proxy –>|instrada attraverso| c2_proxy_ext c2_proxy –>|usa| c2_tunnel c2_tunnel –>|stabilisce| c2_cloudapi c2_cloudapi –>|comunica tramite| c2_onedrive c2_cloudapi –>|comunica tramite| c2_github c2_cloudapi –>|comunica tramite| c2_gamespot c2_cloudapi –>|usa| c2_web c2_web –>|abilita| c2_multi c2_multi –>|consegna| exfil_web %% Stilizzazione class initial_access,exec_proxy,exec_msbuild,exec_shared,persistence_task,defev_evasion,defev_signing,defev_rommon,discovery_account,discovery_groups,discovery_netconn,discovery_remotes,discovery_scanning,discovery_netconfig,discovery_cloud,discovery_cfg_repo,lateral_wmi,lateral_smb,lateral_transfer,lateral_taint,lateral_cloud,lateral_rats,priv_esc,c2_proxy,c2_tunnel,c2_cloudapi,c2_web,c2_multi,exfil_web action class vuln_app,control_panel,msbuild,yandex_exe,vmtools_exe,malware_nedraft,malware_cloudsorcerer,malware_vshell,scheduled_task,rommon_driver,tool_gogo,tool_httpx,tool_snowrust,tool_gogo,tool_httpx,tool_snowrust,c2_proxy_int,c2_proxy_ext,c2_onedrive,c2_github,c2_gamespot tool class rommon_driver malware "

UAT-8302 e il Kit di Strumenti Malware Dietro i Suoi Attacchi

Riassunto

Indagine

Mitigazione

Risposta

Flusso di Attacco

Rilevamenti

Uso Sospetto di CURL (via cmdline)

Possibile Abuso di Domain di Sviluppo Cloudflare (via dns)

Possibili Pattern di Linea di Comando Impacket (via cmdline)

Possibile Uso di Strumenti Sysinternals (via cmdline)

Powershell che Esegue File in Cartella Sospetta Usando Politica di Esecuzione Bypassata (via cmdline)

Possibile Enumerazione di Sistema (via cmdline)

Possibile Scoperta di Sistema Remoto o Verifica di Connessione (via cmdline)

Possibile Enumerazione di Account o Gruppo Admin (via cmdline)

Scoperta Sospetta di Fiducia di Dominio (via cmdline)

Possibile Scoperta di Configurazione di Rete di Sistema (via cmdline)

Schtasks Punta a Cartella / Binario / Script Sospetto (via cmdline)

LOLBAS wmic (via cmdline)

Uso di Certutil per Codifica dei Dati e Operazioni Certificato (via cmdline)

Esecuzione Sospetta da Profilo Utente Pubblico (via process_creation)

Possibile Raccolta Dati [7zip] (via cmdline)

File Sospetti nel Profilo Utente Pubblico (via file_event)

Download di File Sospetto Tramite IP Diretto (via proxy)

IOC (HashSha256) per rilevare: UAT-8302 e la sua scatola piena di malware

IOC (SourceIP) per rilevare: UAT-8302 e la sua scatola piena di malware

IOC (DestinationIP) per rilevare: UAT-8302 e la sua scatola piena di malware

Creazione Processo di Attività Pianificata e WMIC da parte di UAT-8302 [Creazione Processo Windows]

Rileva Attività di Ricognizione di UAT-8302 PowerShell [Windows PowerShell]

Esecuzione di Simulazione