UAT-8302 y el kit de herramientas de malware detrás de sus ataques

Ruslan Mikhalov Jefe de Investigación de Amenazas en SOC Prime

Seguir

UAT-8302 y el kit de herramientas de malware detrás de sus ataques

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

Cisco Talos ha vinculado un grupo APT con nexos en China, rastreado como UAT-8302, a ataques contra organizaciones gubernamentales en América del Sur desde finales de 2024 y en el sureste de Europa a lo largo de 2025. El grupo despliega un amplio conjunto de herramientas de malware que incluye NetDraft, CloudSorcerer v3, VSHELL, SNOWLIGHT, SNOWRUST y componentes personalizados adicionales. Sus operaciones también dependen de herramientas de código abierto como Impacket, utilidades de proxy y scripts personalizados para apoyar el reconocimiento, el robo de credenciales y el movimiento lateral en los entornos de las víctimas.

Investigación

Talos documentó la cadena de entrega de malware del grupo, su uso de tareas programadas para la persistencia y su abuso de servicios de confianza como Microsoft Graph para el comando y control. Los investigadores también observaron cargadores DLL de carga lateral, comandos de reconocimiento, utilidades de escaneo de red e infraestructura dedicada a la entrega de payloads y al acceso remoto. El informe también indicó superposiciones en el uso de herramientas y técnicas con otros grupos vinculados a China, incluyendo Jewelbug, Earth Estries y varios grupos rastreados por UNC.

Mitigación

Las organizaciones deben parchear las vulnerabilidades mencionadas, incluyendo CVE-2025-0994, CVE-2025-20333, y CVE-2025-20362, y aplicar controles estrictos a las APIs de Office 365 y OneDrive que podrían ser abusadas para el comando y control. Los defensores también deben bloquear los dominios maliciosos conocidos y las direcciones IP, deshabilitar servicios innecesarios y restringir herramientas de ejecución remota como Impacket y WMI siempre que sea posible. El monitoreo debe centrarse en los nombres de tareas programadas identificados y en los patrones de carga lateral de DLL asociados con la campaña.

Respuesta

Los equipos de seguridad deben alertar sobre los indicadores de compromiso listados, aislar los sistemas afectados y recopilar los registros relevantes y artefactos forenses para su análisis. Las credenciales deben rotarse rápidamente y el Active Directory debe revisarse cuidadosamente en busca de signos de compromiso o acceso no autorizado. El contenido de detección también debe actualizarse para cubrir las líneas de comandos observadas y las tareas programadas, mientras los defensores buscan implantes adicionales de las mismas familias de malware en todo el entorno.

"graph TB %% Definiciones de clases classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#cccccc classDef operator fill:#ff9900 %% Acceso Inicial initial_access["Acción – T1190 Explotar Aplicación Expuesta al Público Descripción: Explotar un servicio expuesto a internet vulnerable para obtener el acceso inicial."] class initial_access action vuln_app["Herramienta – Nombre: Cityworks (vulnerable) Descripción: Aplicación expuesta al público que contiene CVEu20112025u20110994."] class vuln_app tool %% Ejecución – Proxy de Binario del Sistema exec_proxy["Acción – T1218.002 Ejecución de Proxy de Binario del Sistema Descripción: Abusar de binarios del sistema confiables para ejecutar código malicioso a través de un proxy."] class exec_proxy action control_panel["Herramienta – Nombre: Panel de Control Descripción: Binario legítimo usado como proxy."] class control_panel tool %% Ejecución – Proxy de Utilidades de Desarrollador Confiable (MSBuild) exec_msbuild["Acción – T1127.001 Ejecución de Proxy de Utilidades de Desarrollador Confiable Descripción: Usar MSBuild para cargar DLLs maliciosos a través de carga lateral."] class exec_msbuild action msbuild["Herramienta – Nombre: MSBuild Descripción: Motor de compilación de Microsoft usado para ejecutar archivos de proyecto."] class msbuild tool %% Ejecución – Módulos Compartidos (Carga Lateral de DLLs) exec_shared["Acción – T1129 Módulos Compartidos Descripción: Cargar DLLs maliciosos colocándolos junto a ejecutables benignos."] class exec_shared action yandex_exe["Herramienta – Nombre: Yandex.exe Descripción: Ejecutable legítimo usado como dropper."] class yandex_exe tool vmtools_exe["Herramienta – Nombre: VMtools.exe Descripción: Binario de herramientas de VMware utilizado para carga lateral."] class vmtools_exe tool malware_nedraft["Malware – Nombre: NetDraft"] class malware_nedraft malware malware_cloudsorcerer["Malware – Nombre: CloudSorcerer"] class malware_cloudsorcerer malware malware_vshell["Malware – Nombre: VSHELL"] class malware_vshell malware %% Persistencia – Tarea Programada persistence_task["Acción – T1053 Tarea/Trabajo Programado Descripción: Crear tareas programadas para ejecutar binarios maliciosos de forma persistente."] class persistence_task action scheduled_task["Herramienta – Nombre: MicrosoftMaps{…} Descripción: Tarea programada utilizada para la persistencia."] class scheduled_task tool %% Evasión de Defensa – Explotación para Evasión defev_evasion["Acción – T1211 Explotación para Evasión de Defensa Descripción: Aprovechar vulnerabilidades para eludir controles de seguridad."] class defev_evasion action %% Evasión de Defensa – Subvertir Controles de Confianza (Firma de Código) defev_signing["Acción – T1553.006 Subvertir Controles de Confianza Descripción: Modificar políticas de firma de código para confiar en binarios maliciosos."] class defev_signing action %% Evasión de Defensa – Preu2011OS Boot (ROMMONkit) defev_rommon["Acción – T1542.004 Preu2011OS Boot: ROMMONkit Descripción: Instalar controlador malicioso durante el arranque del firmware."] class defev_rommon action rommon_driver["Herramienta – Nombre: Controlador Hades HIPS"] class rommon_driver tool %% Descubrimiento – Cuenta y Grupo discovery_account["Acción – T1087.002 Descubrimiento de Cuenta: Cuenta de Dominio Descripción: Enumerar cuentas de usuario de dominio."] class discovery_account action discovery_groups["Acción – T1069.002 Descubrimiento de Grupos de Permisos: Grupos de Dominio Descripción: Enumerar grupos de dominio."] class discovery_groups action %% Descubrimiento – Red discovery_netconn["Acción – T1049 Descubrimiento de Conexiones de Red del Sistema Descripción: Identificar conexiones de red activas."] class discovery_netconn action discovery_remotes["Acción – T1018 Descubrimiento de Sistema Remoto Descripción: Encontrar sistemas remotos en la red."] class discovery_remotes action discovery_scanning["Acción – T1595.001 Escaneo Activo: Escaneo de Bloques IP Descripción: Escanear rangos de IP para anfitriones activos."] class discovery_scanning action discovery_netconfig["Acción – T1016.001 Descubrimiento de Configuración de Red del Sistema: Descubrimiento de Conexión a Internet Descripción: Recoger detalles de configuración de red."] class discovery_netconfig action discovery_cloud["Acción – T1526 Descubrimiento de Servicios en la Nube Descripción: Identificar uso de servicios en la nube."] class discovery_cloud action discovery_cfg_repo["Acción – T1602 Datos de Repositorio de Configuración Descripción: Descargar configuración de dispositivos de red a través de SNMP MIB."] class discovery_cfg_repo action %% Movimiento Lateral – Explotación de Servicios Remotos lateral_wmi["Acción – T1210 Explotación de Servicios Remotos Descripción: Usar WMI o SMB para ejecutar código en hosts remotos."] class lateral_wmi action lateral_smb["Acción – T1021.002 Servicios Remotos: SMB/Comparticiones de Administración de Windows Descripción: Acceder a comparticiones de administración para movimiento lateral."] class lateral_smb action lateral_transfer["Acción – T1570 Transferencia de Herramienta Lateral Descripción: Transferir herramientas a sistemas remotos."] class lateral_transfer action lateral_taint["Acción – T1080 Contaminación de Contenido Compartido Descripción: Envenenar archivos compartidos para propagar malware."] class lateral_taint action lateral_cloud["Acción – T1021.007 Servicios Remotos: Servicios en la Nube Descripción: Usar OneDrive o GitHub para movimiento lateral."] class lateral_cloud action lateral_rats["Acción – T1219 Herramientas de Acceso Remoto Descripción: Desplegar herramientas como gogo, httpx, SNOWRUST."] class lateral_rats action tool_gogo["Herramienta – Nombre: gogo"] class tool_gogo tool tool_httpx["Herramienta – Nombre: httpx"] class tool_httpx tool tool_snowrust["Herramienta – Nombre: SNOWRUST"] class tool_snowrust tool %% Escalamiento de Privilegios – Manipulación de Cuenta priv_esc["Acción – T1098.007 Manipulación de Cuenta: Grupos Locales o de Dominio Adicionales Descripción: Agregar cuentas comprometidas a grupos privilegiados."] class priv_esc action %% Comando y Control – Proxy (multiu2011hop) c2_proxy["Acción – T1090 Proxy Descripción: Enrutar el tráfico a través de proxies internos, externos y multiu2011hop."] class c2_proxy action c2_proxy_int["Herramienta – Nombre: Proxy Interno"] class c2_proxy_int tool c2_proxy_ext["Herramienta – Nombre: Proxy Externo"] class c2_proxy_ext tool %% Comando y Control – Túnel de Protocolo c2_tunnel["Acción – T1572 Túnel de Protocolo Descripción: Encapsular tráfico de C2 dentro de protocolos permitidos."] class c2_tunnel action %% Comando y Control – API de Nube c2_cloudapi["Acción – T1059.009 Comando e Intérprete de Script: API de Nube Descripción: Usar APIs de OneDrive, GitHub, GameSpot para C2."] class c2_cloudapi action c2_onedrive["Herramienta – Nombre: OneDrive"] class c2_onedrive tool c2_github["Herramienta – Nombre: GitHub"] class c2_github tool c2_gamespot["Herramienta – Nombre: GameSpot"] class c2_gamespot tool %% Comando y Control – Protocolos Web c2_web["Acción – T1071.001 Protocolo de Capa de Aplicación: Protocolos Web Descripción: Comunicarse sobre HTTP/HTTPS."] class c2_web action %% Comando y Control – Canales Multiu2011etapa c2_multi["Acción – T1104 Canales Multiu2011etapa Descripción: Encadenar múltiples canales de C2 para resiliencia."] class c2_multi action %% Exfiltración – Sobre Servicio Web exfil_web["Acción – T1567.002 Exfiltración sobre Servicio Web Descripción: Subir datos robados a servicios de almacenamiento en la nube."] class exfil_web action %% Conexiones – Flujo de Ataque initial_access –>|explota| vuln_app vuln_app –>|habilita| exec_proxy exec_proxy –>|usa| control_panel exec_proxy –>|lleva_a| exec_msbuild exec_msbuild –>|usa| msbuild exec_msbuild –>|facilita| exec_shared exec_shared –>|aprovecha| yandex_exe exec_shared –>|aprovecha| vmtools_exe exec_shared –>|carga| malware_nedraft exec_shared –>|carga| malware_cloudsorcerer exec_shared –>|carga| malware_vshell exec_shared –>|crea| persistence_task persistence_task –>|crea| scheduled_task scheduled_task –>|mantiene| defev_evasion defev_evasion –>|incluye| defev_signing defev_signing –>|modifica| rommon_driver defev_evasion –>|incluye| defev_rommon defev_rommon –>|instala| rommon_driver %% Flujo de Descubrimiento scheduled_task –>|recopila| discovery_account scheduled_task –>|recopila| discovery_groups scheduled_task –>|recopila| discovery_netconn scheduled_task –>|recopila| discovery_remotes scheduled_task –>|recopila| discovery_scanning scheduled_task –>|recopila| discovery_netconfig scheduled_task –>|recopila| discovery_cloud scheduled_task –>|recopila| discovery_cfg_repo %% Flujo de Movimiento Lateral discovery_remotes –>|habilita| lateral_wmi lateral_wmi –>|usa| lateral_smb lateral_smb –>|transfiere| lateral_transfer lateral_transfer –>|mueve| lateral_cloud lateral_cloud –>|usa| c2_onedrive lateral_cloud –>|usa| c2_github lateral_cloud –>|usa| c2_gamespot lateral_wmi –>|ejecuta| lateral_rats lateral_rats –>|usa| tool_gogo lateral_rats –>|usa| tool_httpx lateral_rats –>|usa| tool_snowrust %% Flujo de Escalamiento de Privilegios discovery_groups –>|soporta| priv_esc %% Flujo de Comando y Control priv_esc –>|reporta a| c2_proxy c2_proxy –>|enruta a través de| c2_proxy_int c2_proxy –>|enruta a través de| c2_proxy_ext c2_proxy –>|usa| c2_tunnel c2_tunnel –>|establece| c2_cloudapi c2_cloudapi –>|se comunica vía| c2_onedrive c2_cloudapi –>|se comunica vía| c2_github c2_cloudapi –>|se comunica vía| c2_gamespot c2_cloudapi –>|usa| c2_web c2_web –>|habilita| c2_multi c2_multi –>|entrega| exfil_web %% Estilos class initial_access,exec_proxy,exec_msbuild,exec_shared,persistence_task,defev_evasion,defev_signing,defev_rommon,discovery_account,discovery_groups,discovery_netconn,discovery_remotes,discovery_scanning,discovery_netconfig,discovery_cloud,discovery_cfg_repo,lateral_wmi,lateral_smb,lateral_transfer,lateral_taint,lateral_cloud,lateral_rats,priv_esc,c2_proxy,c2_tunnel,c2_cloudapi,c2_web,c2_multi,exfil_web action class vuln_app,control_panel,msbuild,yandex_exe,vmtools_exe,malware_nedraft,malware_cloudsorcerer,malware_vshell,scheduled_task,rommon_driver,tool_gogo,tool_httpx,tool_snowrust,tool_gogo,tool_httpx,tool_snowrust,c2_proxy_int,c2_proxy_ext,c2_onedrive,c2_github,c2_gamespot tool class rommon_driver malware "

UAT-8302 y el kit de herramientas de malware detrás de sus ataques

Resumen

Investigación

Mitigación

Respuesta

Flujo de Ataque

Detecciones

Uso sospechoso de CURL (vía cmdline)

Posible abuso de dominio de desarrollo de Cloudflare (vía dns)

Posibles patrones de línea de comando de Impacket (vía cmdline)

Posible uso de herramientas de Sysinternals (vía cmdline)

PowerShell ejecutando archivo en directorio sospechoso usando política de ejecución de bypass (vía cmdline)

Posible enumeración del sistema (vía cmdline)

Posible descubrimiento de sistema remoto o verificación de conectividad (vía cmdline)

Posible enumeración de cuentas de administrador o grupo (vía cmdline)

Descubrimiento sospechoso de confianzas de dominio (vía cmdline)

Posible descubrimiento de configuración de red del sistema (vía cmdline)

Schtasks apunta a directorio/binario/script sospechoso (vía cmdline)

LOLBAS wmic (vía cmdline)

Usando Certutil para codificación de datos y operaciones de certificado (vía cmdline)

Ejecución sospechosa desde perfil de usuario público (vía process_creation)

Posible recolección de datos [7zip] (vía cmdline)

Archivos sospechosos en el perfil de usuario público (vía file_event)

Descarga de archivo sospechosa directa desde IP (vía proxy)

IOC (HashSha256) para detectar: UAT-8302 y su caja llena de malware

IOC (SourceIP) para detectar: UAT-8302 y su caja llena de malware

IOC (DestinationIP) para detectar: UAT-8302 y su caja llena de malware

Creación de Tarea Programada y Proceso WMIC por UAT-8302 [Creación de Proceso de Windows]

Detectar actividad de reconocimiento de PowerShell de UAT-8302 [Windows PowerShell]

Ejecución de Simulación