UNG0002: Regionale Bedrohungsoperationen in mehreren asiatischen Rechtsräumen verfolgt

Übersicht

Seqrite Das APT-Team von Labs hat UNG0002, auch bekannt als Unbekannte Gruppe 0002, identifiziert und verfolgt. Diese Gruppe führt Spionageoperationen durch und ist in einem Cluster zusammengefasst, der Kampagnen in mehreren asiatischen Ländern, darunter China, Hongkong und Pakistan, durchführt. Die Bedrohungsgruppe bevorzugt die Verwendung von Shortcut-Dateien (LNK), VBScript und Post-Exploitation-Tools wie Cobalt Strike und Metasploit und setzt dabei regelmäßig computergenerierte Köderdokumente ein, um Opfer anzulocken.

Die Aktivitäten des Clusters umfassen zwei große Kampagnen: Operation Cobalt Whisper (Mai 2024 – September 2024) und Operation AmberMist (Januar 2025 – Mai 2025)Während der Operation Cobalt Whisper wurden 20 Infektionsketten beobachtet, die auf die Bereiche Verteidigung, Elektrotechnik und Zivilluftfahrt abzielten. Die neuere Kampagne Operation AmberMist zielt nun mit verbesserten, leichtgewichtigen Implantaten wie Shadow RAT, Blister DLL Implant und INET RAT auf Spiele, Softwareentwicklung und akademische Einrichtungen ab.

Bei der jüngsten Operation AmberMist missbrauchte die Bedrohungsinstanz zudem die ClickFix-Technik – eine Social-Engineering-Methode, die Opfer über gefälschte CAPTCHA-Verifizierungsseiten zur Ausführung bösartiger PowerShell-Skripte verleitet. Darüber hinaus nutzt UNG0002 DLL-Sideloading-Techniken und missbraucht dabei insbesondere legitime Windows-Anwendungen wie Rasphone und Node-Webkit-Binärdateien, um schädliche Payloads auszuführen.

Hauptergebnisse

• Mehrstufige Angriffe: UNG0002 verwendet ausgeklügelte Infektionsketten mit bösartigen LNK-Dateien, VBScript, Batch-Skripten und PowerShell, um benutzerdefinierte RAT-Implantate wie Shadow RAT, INET RAT und Blister DLL einzusetzen.
• ClickFix Social Engineering: Die Gruppe verwendet gefälschte CAPTCHA-Verifizierungsseiten, um Opfer dazu zu verleiten, bösartige PowerShell-Skripte auszuführen, insbesondere indem sie die Website des pakistanischen Ministeriums für maritime Angelegenheiten fälscht.
  
• Missbrauch des DLL-Sideloadings: In der jüngsten Kampagne kam es wiederholt zu einem Missbrauch legitimer Windows-Anwendungen (Rasphone, Node-Webkit) für DLL-Sideloading, um schädliche Nutzdaten auszuführen und dabei der Erkennung zu entgehen.
• Lockvogeldokumente zum Thema Lebenslauf: Verwendung realistischer, branchenspezifischer Lebenslaufdokumente, einschließlich gefälschter Profile von Spiele-UI-Designern und Informatikstudenten renommierter Institutionen.
• Persistente Infrastruktur: Wartung der Befehls- und Kontrollinfrastruktur mit konsistenten Namensmustern und Betriebssicherheit über mehrere Kampagnen hinweg, die sich über ein Jahr erstreckten.

• Gezielter Branchenfokus: Systematische Angriffe auf die Bereiche Verteidigung, Elektrotechnik, Energie, Zivilluftfahrt, Wissenschaft, medizinische Einrichtungen, Cybersicherheitsforschung, Gaming und Softwareentwicklung.
• Herausforderungen bei der AttributionUNG0002 stellt ein sich entwickelndes Bedrohungscluster dar, das eine hohe Anpassungsfähigkeit aufweist, indem es Techniken aus den Vorgehensweisen anderer Bedrohungsakteure nachahmt, um die Zuordnung zu erschweren. Seqrite Labore gehen mit hoher Wahrscheinlichkeit davon aus, dass die Gruppe aus Südostasien stammt und sich auf Spionageaktivitäten konzentriert. Sobald weitere Informationen vorliegen, können die damit verbundenen Kampagnen in Zukunft ausgeweitet oder verfeinert werden.

Zusammenfassung

UNG0002 ist eine hochentwickelte und hartnäckige Bedrohungseinheit aus Südasien, die seit mindestens Mai 2024 kontinuierliche Operationen mit Zielen in mehreren asiatischen Rechtsräumen durchführt. Die Gruppe beweist hohe Anpassungsfähigkeit und technische Kompetenz und entwickelt ihr Toolset kontinuierlich weiter, behält dabei aber konsistente Taktiken, Techniken und Verfahren bei.

Die Fokussierung des Bedrohungsakteurs auf bestimmte geografische Regionen (China, Hongkong, Pakistan) und Zielbranchen deutet auf einen strategischen Ansatz zur Informationsbeschaffung hin, auch bekannt als klassische Spionageaktivitäten. Der Einsatz legitim wirkender Täuschungsdokumente, Social-Engineering-Techniken und pseudo-fortgeschrittener Umgehungsmethoden deutet auf eine gut ausgestattete und erfahrene Operation hin.

UNG0002 weist sowohl bei der Operation Cobalt Whisper als auch bei der Operation AmberMist konsistente Operationsmuster auf und behält ähnliche Namenskonventionen für Infrastrukturen, Mechanismen zur Nutzlastbereitstellung und Zielauswahlkriterien bei. Die Entwicklung der Gruppe von der primären Nutzung von Cobalt Strike- und Metasploit-Frameworks hin zur Entwicklung maßgeschneiderter Implantate wie Shadow RAT, INET RAT und Blister DLL weist auf ihre Beharrlichkeit hin.

Zu den bemerkenswerten technischen Artefakten zählen PDB-Pfade, die Entwicklungsumgebungen wie C:\Users\The Freelancer\source\repos\JAN25\mustang\x64\Release\mustang.pdb für Shadow RAT und C:\Users\Shockwave\source\repos\memcom\x64\Release\memcom.pdb für INET RAT enthüllen. Dies deutet auf mögliche Codenamen wie „Mustang“ und „ShockWave“ hin, die auf die Nachahmung bereits existierender Bedrohungsgruppen hindeuten. Eine detaillierte technische Analyse der gesamten Infektionsketten und detaillierte Kampagnendetails finden Sie in unserem umfassenden Whitepaper.

Fazit

Die Zuordnung von Bedrohungsaktivitäten zu einer bestimmten Gruppe ist stets eine komplexe Aufgabe. Sie erfordert detaillierte Analysen in verschiedenen Bereichen, darunter Zielmuster, Taktiken und Techniken (TTPs), geografischer Fokus und mögliche Schwachstellen in der operativen Sicherheit. UNG0002 ist ein sich entwickelnder Cluster, der Seqrite Die Labore überwachen die Situation aktiv. Sobald mehr Informationen verfügbar werden, können wir die zugehörigen Kampagnen erweitern oder verfeinernBasierend auf unseren aktuellen Erkenntnissen gehen wir davon aus, dass diese Gruppe aus Südostasien stammt und ein hohes Maß an Anpassungsfähigkeit aufweist. Sie imitiert häufig Techniken aus anderen Szenarien, um die Zuordnung von Spionage-Kampagnen zu erschweren. Wir danken auch anderen Forschern in der Community, wie dem Malwarehunterteam, für die Jagd auf diese Kampagnen.

IOCs

• Nicht-PE [Skriptbasierte Dateien, Verknüpfung, C2-Konfiguration, verschlüsselte Shellcode-Blobs]

• PE – Implantate

MITRE ATT & CK

Autoren

Sathwik Ram Prakki

Subhajeet Singha