Inhalte
- Einführung
- Erste Erkenntnisse
- Infektionskette.
- Technische Analyse
- Stufe 0 – Bösartige ZIP-Datei.
- Stufe 1 – Bösartiges VELETRIX-Implantat.
- Stufe 2 – Bösartiges V-Shell-Implantat.
- Jagd und Infrastruktur.
- Anrechnung
- Fazit
- Seqrite Schutz.
- IOCs
- MITRE ATT&CK.
Autoren: Subhajeet Singha und Sathwik Ram Prakki
Einführung
Seqrite Das APT-Team von Labs hat kürzlich eine Kampagne entdeckt, die es auf die chinesische Telekommunikationsbranche abgesehen hat. Ziel der Kampagne ist China Mobile Tietong Co., Ltd., eine bekannte Tochtergesellschaft von China Mobile, einem der größten Telekommunikationsunternehmen Chinas. Das gesamte Malware-Ökosystem dieser Kampagne basiert auf der Verwendung der Malware VELETRIX und VShell, einem weit verbreiteten Tool zur Simulation von Angriffen, das von chinesischen Bedrohungsakteuren häufig eingesetzt wird, um westliche Unternehmen anzugreifen.
In diesem Blogbeitrag untersuchen wir die technische Komplexität der Kampagne, die wir bei unserer Analyse festgestellt haben. Wir untersuchen die verschiedenen Phasen der Kampagne, beginnend mit einer detaillierten Analyse der ersten Infektionsphase über die in der Kampagne verwendeten Implantate bis hin zu einem abschließenden Überblick über die Kampagne.
Erste Erkenntnisse
Kürzlich, am 13. Mai, fand unser Team eine bösartige ZIP-Datei, die sowohl auf verschiedenen Quellen wie VirusTotal, wobei eine ZIP-Datei als erste Infektionsquelle verwendet wurde, die mehrere EXE- und DLL-Dateien im ZIP-Ordner enthielt. Dieselbe Datei wurde auch von anderen Bedrohungsforscher noch am selben Tag.
Die ZIP-Datei enthält eine interessante ausführbare Datei mit dem Namen „2025 China Mobile Tietong Co., Ltd. Internal Training Program is soon to launch, please register as soon as possible“. Diese Datei lädt eine Reihe interessanter DLLs wie drstat.dll und vieles mehr. Wir haben uns die Funktionsweise dieser Dateien genauer angesehen.
Infektionskette
Technische Analyse
Wir werden die Analyse in drei verschiedene Teile unterteilen. Wir beginnen mit der Untersuchung des bösartigen ZIP-Anhangs, dann mit dem bösartigen Veletrix-Implantat und anschließend mit einer kurzen Analyse der VShell-Malware.
Stufe 0 – Bösartige ZIP-Datei.
Zunächst fanden wir eine schädliche ZIP-Datei namens 附件.zip, auch bekannt als attachment.zip. Beim Untersuchen des Inhalts der ZIP-Datei.
Wir haben eine Reihe interessanter EXE-, DLL- und XML-Dateien gefunden, darunter die meisten legitim von Microsoft signierte Binärdateien, während einige über ein Codesignaturzertifikat von Shenzhen Thunder Networking Technologies Ltd verfügten, sowie eine interessante DLL-Datei namens drstat.dll, die oft mit der Software WonderShare RepairIt in Verbindung gebracht wird.
Nach Bestätigung auf der offiziellen Website von Wondershare Repairit können wir bestätigen, dass eine ausführbare Datei namens drstat.exe dreimal umbenannt und mit drei verschiedenen Namen verpackt wurde:
- Das interne Schulungsprogramm 2025 von China Mobile Limited startet bald. Bitte melden Sie sich so schnell wie möglich an.
- Deinstallieren.
- Registrierungslink.
Als Nächstes haben wir uns entschlossen, weiter zu bestätigen, dass Wondershare die tatsächliche Binärdatei signiert, die offiziell auf ihrer Website verfügbar ist.
Schließlich konnten wir bestätigen, dass die Bedrohungseinheit dieselbe Datei verwendet hat, die zum Download verfügbar ist von Offizielle Website von Wondershare. Durch die Untersuchung dieses Code-Signatur-Manövers von Wondershare und die anschließende Analyse dieser Schadsoftware können wir bestätigen, dass der Bedrohungsakteur DLL-Sideloading gegen das Ziel eingesetzt hat, um das Implantat zu starten, das wir als VELETRIX bezeichnen.
Bevor wir uns in den nächsten Abschnitt vertiefen, bestätigen wir auch, dass das andere Code-Signaturzertifikat, das in diese komprimierte ausführbare Datei von „Shenzhen Thunder Networking Technologies Ltd“ gepackt wurde, in verschiedenen Berichten und Diskussionen häufig mit bösartigen ausführbaren Dateien in Verbindung gebracht wurde, die von Bedrohungseinheiten chinesischen Ursprungs missbraucht wurden.
Stufe 1 – Bösartiges VELETRIX-Implantat.
Bei der Untersuchung des Implantats konnten wir zunächst einige grundlegende Informationen darüber herausfinden: Es handelt sich um eine 64-Bit-Binärdatei, die einige interessante Exportfunktionen enthält. Als Nächstes konzentrieren wir uns auf die Codeanalyse dieses bösartigen Implantats.
Beim Überprüfen aller Exporte stellten wir fest, dass dr_data_stop von allen Exporten interessanten Schadcode enthielt.
Zunächst startet das Implantat mit einem kleinen Anti-Analyse-Trick, der eine Kombination aus Besserer Schlaf & Piep Windows-API, die grundsätzlich in einer Do-While-Schleife läuft, die grundsätzlich in einer Do-While-Schleife läuft, die verzögert die Ausführung um ca. 10 Sekunden und gibt einen Piepton aus, um die automatisierte Sandbox-Analyse zu umgehenDie Schleife schläft 1 Sekunde lang und piept 10 Mal. Dieser gesamte Mechanismus soll die Analyse des Analysten verzögern oder die automatisierte Sandbox verwirren.
Diese Technik nutzt NtDelayExecution auf Systemebene – Beep ruft intern NtDelayExecution auf, das einen „DelayInterval“-Parameter akzeptiert, der die Millisekundenverzögerung angibt. Bei der Ausführung pausiert NtDelayExecution den aufrufenden Thread, was zu Sandbox-Timeouts oder Verlust der Debugger-Kontrolle führt, was es zu einem nicht so schädliche, aber dennoch wirksame Anti-Sandbox-TechnikDie Beep-API ist besonders clever, da sie zwei Zwecken dient: Sie erzeugt Ausführungsverzögerungen durch ihre internen NtDelayExecution-Aufrufe und generiert gleichzeitig Audioartefakte, die in Analyseumgebungen unterschiedliches Verhalten auslösen oder Forscher auf die aktive Codeausführung aufmerksam machen können.
Anschließend wird mit dem Laden von kernel32.dll fortgefahren. Sobald die DLL geladen ist, wird sie mit LoadLibraryA, sobald die DLL geladen ist, weiter GetProcAddress wird verwendet, um einige interessante API-Sätze aufzulösen, nämlich VirtualAllocExNuma, VirtualProtect und EnumCalendarInfo.
Auf ähnliche Weise wird die ADVAPI32.dll geladen und sobald die DLL geladen ist, wird sie mit derselben Technik aufgelöst, nämlich SystemFunction036, HeapAlloc und HeapFree.
Schließlich wird die Datei ntdll.dll geladen und eine interessante Windows-API aufgelöst, die als RtlIpV4StringToAddressA bekannt ist.
Als nächstes verwendet dieser bösartige Loader eine Technik namens IPFuscation, die den bösartigen Shellcode grundsätzlich in eine Liste von IPV4-Adressen umwandelt.
Darüber hinaus wird eine while-Schleife zusammen mit der Verwendung der RtlIpv4StringToAddressA Die API wird verwendet, um den verschleierten Shellcode zu dekodieren. Dies geschieht durch die Konvertierung der ASCII-IP-Zeichenfolge in Binärcode, wobei der Binärcode weiter als Shellcode ausgeführt wird.
Sobald der Shellcode in Binärform extrahiert wurde, wird die VirtualAllocExNuma-API verwendet, um dem aktuellen Prozess einen neuen Speicherblock mit ausschließlich Lese- und Schreibberechtigung zuzuweisen.
Sobald der Speicher zugewiesen ist, wird der codierte Blob, der über die Windows-API aus der IpFuscation-Technik entschleiert wurde, mithilfe einer einfachen XOR-Operation zur weiteren Decodierung per XOR-Operation verwendet und in den zugewiesenen Speicher kopiert.
Anschließend wird mithilfe von VirtualProtect der Speicherschutz des zugewiesenen Speichers in „Ausführen-Lesen-Schreiben“ geändert.
Und schließlich verwendet es eine leicht innovative Technik der Shellcode-Ausführung über eine Callback-Funktion, d. h. durch die Verwendung EnumCalendarInfoA API zur Ausführung des Shellcodes. Diese Technik nutzt die Tatsache, dass EnumCalendarInfoA einen Callback-Funktionszeiger als Parameter erwartet – die Malware übergibt ihre Shellcode-Adresse als diesen Callback, wodurch Windows unwissentlich den Schadcode ausführt, wenn die API versucht, eine vermeintlich legitime Kalender-Enumerationsfunktion aufzurufen. In unserem Fall hingegen wird der Shellcode ausgeführt, der im Grunde ein Windows-Implantat des VShell OST-Frameworks ist.
Abschließend können wir feststellen, dass das Veletrix-Implantat Code-Injektion über einen Callback-Mechanismus durchführt. Im nächsten Abschnitt werden wir uns das recht bekannte Vshell-Implantat ansehen und seine Funktionsweise untersuchen.
Stufe 2 – Bösartiges Vshell-Implantat.
Nun, VShell, ist ein ziemlich bekanntes plattformübergreifendes OST-Framework, das in Golang entwickelt wurde und ursprünglich von einem Forscher entwickelt wurde. Später wurde es auf mysteriöse Weise abgeschaltet, wie in mehreren Forschungsblogs von verschiedenen Forschern erwähnt wurde, die verschiedene Kampagnen verfolgt haben, wie z. B. UNC5174 und ähnliche wurden von Bedrohungsakteuren aus der chinesischen Geosphäre verwendet.
Wie im vorherigen Abschnitt erwähnt, lädt VELETRIX dieses Windows-Implantat in den Speicher. Beim Blick in die Datei stellten wir fest, dass das spezielle Implantat, das gelöscht wurde, den Namen tcp_windows_amd64.dll trägt. Da dieses Framework gut erforscht ist, werden wir uns nur die wichtigsten Artefakte und einen eher grundlegenden Überblick über das Implantat ansehen.
Bei der Betrachtung des Implantats fallen uns mehrere Funktionen wie Verbinden, Senden und Empfangen auf, die zur Interaktion mit dem Bediener verwendet werden. Alle diese Funktionen verwenden zugrunde liegenden Code aus mehreren Windows-APIs von WinSock Bibliothek.
Bei der weiteren Analyse haben wir den Command-and-Control-Server zusammen mit einer Importkonfiguration, d. h. dem Salt qwe123qwe, entdeckt. Im nächsten Abschnitt werden wir uns mit weiteren Jagd- und Infrastrukturartefakten befassen.
Jagd und Infrastruktur.
Bei der Untersuchung der früheren Implantate haben wir einige interessante Artefakte gefunden.
Basierend auf der Analyse und Extraktion des in der in dieser Untersuchung erwähnten Kampagne verwendeten Salts fanden wir insgesamt 44 Implantate, die genau das gleiche Salt verwendeten, nämlich qwe123qwe. Da Vshell ein plattformübergreifendes Tool ist, fanden wir außerdem mehrere EXE-, ELF- und DLL-Dateien, sowohl signiert als auch unsigniert.
Wir haben auch einige Proben gefunden, deren C2s von mehreren Standorten wie den USA, Hongkong und vielen anderen stammen. Außerdem haben wir festgestellt, dass einige Proben von 44 Implantaten, die dasselbe Salz verwenden, Korrelationen mit der APT-Gruppe aufweisen. Erde Lamia die in einigen Fällen indische Unternehmen ins Visier genommen hat. Bei der Suche stellten wir außerdem fest, dass viele ähnliche Implantate mehrere Überschneidungen mit der Kampagne von UNC5174 aufweisen, die ScreenConnect CVE-2024-1709 von Forschern berichtet.
Bei der Betrachtung der infrastrukturellen Überschneidungen wurde der gleiche Indikator dem Cluster von China-Nexus-Staatlich gefördert Bedrohungsakteure, die CVE-2025-31324 missbraucht haben, um SAP NetWeaver Visual Composer anzugreifen.
Wir haben außerdem festgestellt, dass auf derselben Infrastruktur eine Login-basierte Webseite gehostet wurde, die mit dem Asset Lighthouse System in Verbindung steht – einer Open-Source-Plattform zur Asset-Erkennung und -Aufklärung, die von Tophant Kompetenzzentrum (TCC). Es wird hauptsächlich zum Abbilden externer Angriffsflächen verwendet, indem exponierte IPs, Domänen, Ports und Webdienste identifiziert werden. Daher haben wir uns entschieden, diese Artefakte zu nutzen und einige interessante Überschneidungen festgestellt.
Nach der Umstellung entdeckten wir mehrere bösartige Webserver mit ähnlichen Port-Konfigurationen, wie z. B. die Ausführung von ASL über Port 5003, die Cobalt Strike und SuperShell gehostet hatten, die als Go-to-Implantate bekannt sind und von UNC5174 alias Uteus und außerdem haben wir mehrere Webserver mit ähnlichen Port-Konfigurationen entdeckt, die mit Erde Lamia.
Und zu guter Letzt haben wir auch gesehen, dass der Command-and-Control-Server auch Cobalt Strike gehostet hat, um es gegen die Ziele einzusetzen. Damit ist es das zweite Post-Exploitation-Framework, das von dieser Bedrohungseinheit verwendet wird.
Namensnennung.
Durch die Analyse der Implantatnutzung und überlappender Infrastrukturmuster haben wir den Bedrohungsakteur identifiziert, der VELETRIX, ein relativ neuer Lader, der für die Ausführung VShell im Speicher. Obwohl VShell ursprünglich als Open-Source-Projekt veröffentlicht und später vom ursprünglichen Entwickler entfernt wurde, wurde es seitdem von mit China verbündeten Bedrohungsgruppen häufig missbraucht.
Weitere Bedrohungssuche ergab ähnliche Verhaltensmuster, die mit bekannten Aktivitäten übereinstimmen von UNC5174 (Gebärmutter) und Erde Lamia, wie kürzlich von Forschern dokumentiert wurde. Die aktuelle Infrastruktur dieses Akteurs weist eine konsequente Nutzung von Werkzeugen auf wie SuperShell, Cobalt Strike, VShellund die Asset-Leuchtturmsystem– eine Open-Source-Plattform zur Asset-Erkennung und -Aufklärung. Diese Tools wurden zuvor verschiedenen in China ansässigen APT-Clustern zugeschrieben und im aktiven Einsatz beobachtet.
Angesichts der technischen und infrastrukturellen Überschneidungen gehen wir davon aus, dass dieser Bedrohungsakteur Teil einer Bedrohungseinheit ist, zu der China-Nexus-Cluster.
Fazit.
Bei sorgfältiger Untersuchung der Kampagne haben wir festgestellt, dass die Bedrohungseinheit mit China-Nexus, die wir als Operation DRAGONCLONE bezeichnet haben, die DLL-Sideloading-Technik gegen die Wondershare Recoverit-Software verwendet und gleichzeitig das VELETRIX-DLL-Implantat lädt, das interessante Techniken wie Anti-Sandbox, IPFuscation-Technik und Callback-Technik verwendet, um Vshell-Malware auszuführen. Außerdem gibt es zahlreiche Überschneidungen mit UNC5174 und Earth Lamia. Die aktuelle Kampagne ist seit März 2025 aktiv.
Seqrite Schutz.
- AgentCiR
IOCs
| SHA-256 | Dateinamen |
| 40450b4212481492d2213d109a0cd0f42de8e813de42d53360da7efac7249df4 | \附件.zip |
| ac6e0ee1328cfb1b6ca0541e4dfe7ba6398ea79a300c4019253bd908ab6a3dc0 | drstat.dll |
| 645f9f81eb83e52bbbd0726e5bf418f8235dd81ba01b6a945f8d6a31bf406992 | drstat.exe |
| ba4f9b324809876f906f3cb9b90f8af2f97487167beead549a8cddfd9a7c2fdc | tcp_windows_amd64.dll |
| bb6ab67ddbb74e7afb82bb063744a91f3fecf5fd0f453a179c0776727f6870c7 | mscoree.dll |
| 2206cc6bd9d15cf898f175ab845b3deb4b8627102b74e1accefe7a3ff0017112 | tcp_windows_amd64.exe |
| a0f4ee6ea58a8896d2914176d2bfbdb9e16b700f52d2df1f77fe6ce663c1426a | memfd:a (gelöscht) |
IP/Domänen
| IP |
| 62.234.24.38 |
| 47.115.51.44 |
| 47.123.7.206 |
MITRE ATT & CK
| Taktik | Technik-ID | Technikname | Untertechnik-ID | Name der Untertechnik |
| Aufklärung | T1595 | Aktives Scannen | T1595.002 | Vulnerability Scanning |
| Aufklärung | T1588 | Fähigkeiten abrufen | T1588.002 | Werkzeug |
| Erster Zugriff | T1566 | Phishing | T1566.001 | Spear-Phishing-Anhang |
| Ausführung | T1204 | Benutzerausführung | T1204.002 | Schädliche Datei. |
| Beharrlichkeit | ||||
| Verteidigungsflucht | T1140 | Enthüllen/Dekodieren von Dateien oder Informationen | ||
| Verteidigungsflucht | T1574 | Hijack-Ausführungsablauf | T1574.001 | DLL |
| Verteidigungsflucht | T1027 | Verschleierungsdateien oder -informationen | T1027.007 | Dynamische API-Auflösung |
| Verteidigungsflucht | T1027 | Verschleierungsdateien oder -informationen | T1027.013 | Verschlüsselte/kodierte Datei |
| Verteidigungsflucht | T1055 | Prozessinjektion | ||
| Verteidigungsflucht | T1497 | Virtualisierung/Sandbox-Umgehung | T1497.003 | Zeitbasiertes Ausweichen |
| Bewertung | T1046 | Netzwerkdiensterkennung |
