UAT-8302 und das Malware-Toolkit hinter seinen Angriffen

Ruslan Mikhalov Leiter der Bedrohungsforschung bei SOC Prime

Folgen

UAT-8302 und das Malware-Toolkit hinter seinen Angriffen

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Cisco Talos hat eine China-vernetzte APT-Gruppe, die als UAT-8302 verfolgt wird, mit Angriffen auf Regierungsorganisationen in Südamerika seit Ende 2024 und in Südosteuropa im Jahr 2025 in Verbindung gebracht. Die Gruppe setzt ein breites Malware-Toolkit ein, das NetDraft, CloudSorcerer v3, VSHELL, SNOWLIGHT, SNOWRUST und zusätzliche benutzerdefinierte Komponenten umfasst. Ihre Operationen setzen auch auf Open-Source-Tools wie Impacket, Proxying-Utilities und maßgeschneiderte Skripte, um die Aufklärung, den Diebstahl von Anmeldeinformationen und die seitliche Bewegung im Umfeld der Opfer zu unterstützen.

Untersuchung

Talos dokumentierte die Malware-Lieferkette der Gruppe, ihre Verwendung von geplanten Aufgaben zur Persistenz und den Missbrauch von vertrauenswürdigen Diensten wie Microsoft Graph für die Befehls- und Kontrollmechanismen. Die Forscher beobachteten auch DLL Sideloading-Loader, Aufklärungsbefehle, Netzwerk-Scan-Utilities und eine Infrastruktur, die für die Bereitstellung von Nutzlasten und den Fernzugriff bestimmt war. Der Bericht stellte außerdem Überschneidungen in den Werkzeugen und der Vorgehensweise mit anderen China-verbundenen Clustern fest, darunter Jewelbug, Earth Estries und mehrere nach UNC verfolgte Gruppen.

Minderung

Organisationen sollten die referenzierten Schwachstellen patchen, einschließlich CVE-2025-0994, CVE-2025-20333, und CVE-2025-20362, und strenge Kontrollen für Office 365 und OneDrive APIs anwenden, die für Kommandos und Kontrolle missbraucht werden könnten. Verteidiger sollten auch die bekannten bösartigen Domains und IP-Adressen blockieren, unnötige Dienste deaktivieren und Tools zur entfernten Ausführung wie Impacket und WMI, soweit möglich, einschränken. Die Überwachung sollte sich auf die identifizierten Namen geplanter Aufgaben und DLL Sideloading-Muster konzentrieren, die mit der Kampagne in Verbindung stehen.

Reaktion

Sicherheitsteams sollten auf die aufgeführten Indikatoren einer Kompromittierung aufmerksam machen, betroffene Systeme isolieren und relevante Protokolle und forensische Artefakte zur Analyse sammeln. Anmeldedaten sollten umgehend gewechselt werden, und das Active Directory sollte sorgfältig auf Anzeichen einer Kompromittierung oder unbefugtem Zugriff überprüft werden. Auch der Erkennungsinhalt sollte aktualisiert werden, um die beobachteten Befehlszeilen und geplanten Aufgaben abzudecken, während Verteidiger nach zusätzlichen Implantaten aus denselben Malware-Familien im gesamten Umfeld suchen.

"graph TB %% Klassendefinitionen classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#cccccc classDef operator fill:#ff9900 %% Erste Zugriff initial_access["Aktion – T1190 Ausnützung einer öffentlich zugänglichen Anwendung Beschreibung: Ausnutzung eines verwundbaren, internetexponierten Dienstes, um sich einen ersten Zugang zu verschaffen."] class initial_access action vuln_app["Tool – Name: Cityworks (verletzt) Beschreibung: Öffentlich zugängliche Anwendung mit CVE-2025-0994."] class vuln_app tool %% Ausführung – System Binary Proxy exec_proxy["Aktion – T1218.002 System Binary Proxy Execution Beschreibung: Missbrauch vertrauenswürdiger System-Binaries, um die Ausführung bösartigen Codes zu proxyen."] class exec_proxy action control_panel["Tool – Name: Systemsteuerung Beschreibung: Legitimes Binary, das als Proxy verwendet wird."] class control_panel tool %% Ausführung – Vertrauenswürdige Entwickler-Utilities Proxy (MSBuild) exec_msbuild["Aktion – T1127.001 Vertrauenswürdige Entwickler-Utilities Proxy Execution Beschreibung: Verwenden Sie MSBuild, um bösartige DLLs über Sideloading zu laden."] class exec_msbuild action msbuild["Tool – Name: MSBuild Beschreibung: Microsoft Build-Engine, die zur Ausführung von Projektdateien verwendet wird."] class msbuild tool %% Ausführung – Gemeinsame Module (DLL Side-loading) exec_shared["Aktion – T1129 Gemeinsame Module Beschreibung: Laden Sie bösartige DLLs, indem Sie sie neben gutartigen ausführbaren Dateien platzieren."] class exec_shared action yandex_exe["Tool – Name: Yandex.exe Beschreibung: Legitimes ausführbares Programm, das als Dropper verwendet wird."] class yandex_exe tool vmtools_exe["Tool – Name: VMtools.exe Beschreibung: VMware-Tools-Binary, das zum Side-loading verwendet wird."] class vmtools_exe tool malware_nedraft["Malware – Name: NetDraft"] class malware_nedraft malware malware_cloudsorcerer["Malware – Name: CloudSorcerer"] class malware_cloudsorcerer malware malware_vshell["Malware – Name: VSHELL"] class malware_vshell malware %% Persistenz – Geplante Aufgabe persistence_task["Aktion – T1053 Geplante Aufgabe/Job Beschreibung: Erstellen Sie geplante Aufgaben, um bösartige Binärdateien dauerhaft auszuführen."] class persistence_task action scheduled_task["Tool – Name: MicrosoftMaps{…} Beschreibung: Geplante Aufgabe zur Persistenz verwendet."] class scheduled_task tool %% Angriffsumgehung – Ausnützung zur Umgehung defev_evasion["Aktion – T1211 Ausnützung zur Umgehung von Verteidigungsmaßnahmen Beschreibung: Nutzung von Schwachstellen zur Umgehung von Sicherheitskontrollen."] class defev_evasion action %% Angriffsumgehung – Subvertierung der Vertrauensmaßnahmen (Code-Signierung) defev_signing["Aktion – T1553.006 Subvertierung der Vertrauensmaßnahmen Beschreibung: Ändern Sie die Code-Signierungsrichtlinien, um bösartige Binärdateien zu vertrauen."] class defev_signing action %% Angriffsumgehung – Pre-OS Boot (ROMMONkit) defev_rommon["Aktion – T1542.004 Pre-OS Boot: ROMMONkit Beschreibung: Installieren Sie einen bösartigen Treiber während des Firmware-Boots."] class defev_rommon action rommon_driver["Tool – Name: Hades HIPS Treiber"] class rommon_driver tool %% Ermittlung – Konto- und Gruppen discovery_account["Aktion – T1087.002 Kontenermittlung: Domänenkonto Beschreibung: Aufzählung von Domänenbenutzerkonten."] class discovery_account action discovery_groups["Aktion – T1069.002 Berechtigungsgruppenermittlung: Domänengruppen Beschreibung: Aufzählung der Domänengruppen."] class discovery_groups action %% Ermittlung – Netzwerk discovery_netconn["Aktion – T1049 Systemnetzwerkverbindungen Ermittlung Beschreibung: Erkennen von aktiven Netzwerkverbindungen."] class discovery_netconn action discovery_remotes["Aktion – T1018 Fernsystemermittlung Beschreibung: Finden Sie entfernte Systeme im Netzwerk."] class discovery_remotes action discovery_scanning["Aktion – T1595.001 Aktives Scannen: IP-Blöcke scannen Beschreibung: Scannen Sie IP-Bereiche nach aktiven Hosts."] class discovery_scanning action discovery_netconfig["Aktion – T1016.001 Systemnetzwerkkonfigurationsermittlung: Internetverbindungsermittlung Beschreibung: Sammeln von Netzwerkkonfigurationsdetails."] class discovery_netconfig action discovery_cloud["Aktion – T1526 Cloud-Dienstermittlung Beschreibung: Identifizieren von Cloud-Dienstnutzung."] class discovery_cloud action discovery_cfg_repo["Aktion – T1602 Daten aus Konfigurationsrepository Beschreibung: Dumpen der Netzwerkkonfiguration über SNMP MIB."] class discovery_cfg_repo action %% Seitliche Bewegung – Ausnutzung von Fernsystemdiensten lateral_wmi["Aktion – T1210 Ausnutzung von Fernsystemdiensten Beschreibung: Verwenden Sie WMI oder SMB, um Code auf entfernten Hosts auszuführen."] class lateral_wmi action lateral_smb["Aktion – T1021.002 Fernsystemdienste: SMB/Windows Admin Shares Beschreibung: Zugriff auf Admin Shares für seitliche Bewegung."] class lateral_smb action lateral_transfer["Aktion – T1570 Lateral Tool Transfer Beschreibung: Übertragen von Tools auf entfernte Systeme."] class lateral_transfer action lateral_taint["Aktion – T1080 Gemeinsamen Inhalt verderben Beschreibung: Beschädigung gemeinsamer Dateien, um Malware zu verbreiten."] class lateral_taint action lateral_cloud["Aktion – T1021.007 Fernsystemdienste: Cloud-Dienste Beschreibung: Verwenden von OneDrive oder GitHub für seitliche Bewegungen."] class lateral_cloud action lateral_rats["Aktion – T1219 Fernzugriffstools Beschreibung: Einsatz von Tools wie Gogo, httpx, SNOWRUST."] class lateral_rats action tool_gogo["Tool – Name: Gogo"] class tool_gogo tool tool_httpx["Tool – Name: httpx"] class tool_httpx tool tool_snowrust["Tool – Name: SNOWRUST"] class tool_snowrust tool %% Privilegien-Erweiterung – Kontomanipulation priv_esc["Aktion – T1098.007 Kontomanipulation: Zusätzliche lokale oder Domänengruppen Beschreibung: Hinzufügen kompromittierter Konten zu privilegierten Gruppen."] class priv_esc action %% Kommandieren und Kontrollieren – Proxy (Multihop) c2_proxy["Aktion – T1090 Proxy Beschreibung: Leitet den Verkehr durch interne, externe und Multihop-Proxies."] class c2_proxy action c2_proxy_int["Tool – Name: Interner Proxy"] class c2_proxy_int tool c2_proxy_ext["Tool – Name: Externer Proxy"] class c2_proxy_ext tool %% Kommandieren und Kontrollieren – Protokoll-Tunneling c2_tunnel["Aktion – T1572 Protokoll-Tunneling Beschreibung: Verkapselung von C2-Verkehr innerhalb erlaubter Protokolle."] class c2_tunnel action %% Kommandieren und Kontrollieren – Cloud-API c2_cloudapi["Aktion – T1059.009 Befehl und Skriptinterpreter: Cloud-API Beschreibung: Verwendung von OneDrive, GitHub, GameSpot-APIs für C2."] class c2_cloudapi action c2_onedrive["Tool – Name: OneDrive"] class c2_onedrive tool c2_github["Tool – Name: GitHub"] class c2_github tool c2_gamespot["Tool – Name: GameSpot"] class c2_gamespot tool %% Kommandieren und Kontrollieren – Webprotokolle c2_web["Aktion – T1071.001 Anwendungsschichtprotokolle: Webprotokolle Beschreibung: Kommunikation über HTTP/HTTPS."] class c2_web action %% Kommandieren und Kontrollieren – Multistage-Kanäle c2_multi["Aktion – T1104 Multistage-Kanäle Beschreibung: Ketten mehrerer C2-Kanäle für Ausfallsicherheit."] class c2_multi action %% Exfiltration – Über Webdienst exfil_web["Aktion – T1567.002 Exfiltration über Webdienst Beschreibung: Upload gestohlener Daten zu Cloudspeicherdiensten."] class exfil_web action %% Verbindungen – Angriff Flow initial_access –>|ausnutzen| vuln_app vuln_app –>|ermöglicht| exec_proxy exec_proxy –>|verwendet| control_panel exec_proxy –>|führt zu| exec_msbuild exec_msbuild –>|verwendet| msbuild exec_msbuild –>|unterstützt| exec_shared exec_shared –>|nutzt aus| yandex_exe exec_shared –>|nutzt aus| vmtools_exe exec_shared –>|lädt| malware_nedraft exec_shared –>|lädt| malware_cloudsorcerer exec_shared –>|lädt| malware_vshell exec_shared –>|erstellt| persistence_task persistence_task –>|erstellt| scheduled_task scheduled_task –>|erhält| defev_evasion defev_evasion –>|enthält| defev_signing defev_signing –>|ändert| rommon_driver defev_evasion –>|enthält| defev_rommon defev_rommon –>|installiert| rommon_driver %% Discovery Flow scheduled_task –>|sammelt| discovery_account scheduled_task –>|sammelt| discovery_groups scheduled_task –>|sammelt| discovery_netconn scheduled_task –>|sammelt| discovery_remotes scheduled_task –>|sammelt| discovery_scanning scheduled_task –>|sammelt| discovery_netconfig scheduled_task –>|sammelt| discovery_cloud scheduled_task –>|sammelt| discovery_cfg_repo %% Seitliche Bewegungsflow discovery_remotes –>|ermöglicht| lateral_wmi lateral_wmi –>|verwendet| lateral_smb lateral_smb –>|überträgt| lateral_transfer lateral_transfer –>|bewegt sich| lateral_cloud lateral_cloud –>|verwendet| c2_onedrive lateral_cloud –>|verwendet| c2_github lateral_cloud –>|verwendet| c2_gamespot lateral_wmi –>|führt aus| lateral_rats lateral_rats –>|verwendet| tool_gogo lateral_rats –>|verwendet| tool_httpx lateral_rats –>|verwendet| tool_snowrust %% Privilegien-Erweiterungsflusse discovery_groups –>|unterstützt| priv_esc %% Kommandieren und Kontrollieren Flow priv_esc –>|meldet sich bei| c2_proxy c2_proxy –>|leitet weiter über| c2_proxy_int c2_proxy –>|leitet weiter über| c2_proxy_ext c2_proxy –>|verwendet| c2_tunnel c2_tunnel –>|etabliert| c2_cloudapi c2_cloudapi –>|kommuniziert über| c2_onedrive c2_cloudapi –>|kommuniziert über| c2_github c2_cloudapi –>|kommuniziert über| c2_gamespot c2_cloudapi –>|verwendet| c2_web c2_web –>|setzt in die Lage| c2_multi c2_multi –>|liefert| exfil_web %% Stilierung class initial_access,exec_proxy,exec_msbuild,exec_shared,persistence_task,defev_evasion,defev_signing,defev_rommon,discovery_account,discovery_groups,discovery_netconn,discovery_remotes,discovery_scanning,discovery_netconfig,discovery_cloud,discovery_cfg_repo,lateral_wmi,lateral_smb,lateral_transfer,lateral_taint,lateral_cloud,lateral_rats,priv_esc,c2_proxy,c2_tunnel,c2_cloudapi,c2_web,c2_multi,exfil_web aktion class vuln_app,control_panel,msbuild,yandex_exe,vmtools_exe,malware_nedraft,malware_cloudsorcerer,malware_vshell,scheduled_task,rommon_driver,tool_gogo,tool_httpx,tool_snowrust,tool_gogo,tool_httpx,tool_snowrust,c2_proxy_int,c2_proxy_ext,c2_onedrive,c2_github,c2_gamespot tool class rommon_driver malware "

UAT-8302 und das Malware-Toolkit hinter seinen Angriffen

Zusammenfassung

Untersuchung

Minderung

Reaktion

Angriffsfluss

Erkennungen

Verdächtige CURL-Nutzung (via cmdline)

Möglicher Missbrauch von Cloudflare-Entwicklungsdomain (via dns)

Mögliche Impacket-Befehlszeilenmuster (via cmdline)

Mögliche Verwendung von Sysinternals-Tools (via cmdline)

Powershell Ausführen von Dateien in verdächtigem Verzeichnis mit Exekutionsrichtlinien-Umgehen (via cmdline)

Mögliche System-Ermittlung (via cmdline)

Mögliche Remote-System-Ermittlung oder Konnektivitätsprüfung (via cmdline)

Mögliche Administrator- oder Gruppenermittlung (via cmdline)

Verdächtige Domain-Vertrauensermittlung (via cmdline)

Mögliche System-Netzwerkkonfigurationsermittlung (via cmdline)

Schtasks verweist auf verdächtiges Verzeichnis/Binary/Skript (via cmdline)

LOLBAS wmic (via cmdline)

Verwendung von Certutil für Datenkodierung und Zertifikatsoperationen (via cmdline)

Verdächtige Ausführung aus öffentlichem Benutzerprofil (via process_creation)

Mögliche Datensammlung [7zip] (via cmdline)

Verdächtige Dateien im öffentlichen Benutzerprofil (via file_event)

Verdächtiger Dateidownload Direkt-IP (via proxy)

IOCs (HashSha256) zur Erkennung: UAT-8302 und seine Box voller Malware

IOCs (SourceIP) zur Erkennung: UAT-8302 und seine Box voller Malware

IOCs (DestinationIP) zur Erkennung: UAT-8302 und seine Box voller Malware

Geplante Aufgabe und WMIC-Prozess-Erstellung durch UAT-8302 [Windows-Prozess-Erstellung]

Erkennen von UAT-8302 PowerShell-Erkundungsaktivitäten [Windows PowerShell]

Simulationausführung