UNG0002 : Opérations de menace régionale suivies dans plusieurs juridictions asiatiques

Marché

Seqrite L'équipe APT de Labs a identifié et suivi UNG0002, également connu sous le nom de Groupe Inconnu 0002, un ensemble d'opérations d'espionnage menées par un même cluster dans plusieurs juridictions asiatiques, notamment en Chine, à Hong Kong et au Pakistan. Ce groupe malveillant privilégie l'utilisation de fichiers de raccourci (LNK), de scripts VBA et d'outils de post-exploitation tels que Cobalt Strike et Metasploit, tout en déployant systématiquement des documents leurres à thème informatique pour piéger ses victimes.

Les opérations de ce groupe s'articulent autour de deux campagnes majeures : l'opération Cobalt Whisper (mai 2024 – septembre 2024) et l'opération AmberMist (janvier 2025 – mai 2025) . Durant l'opération Cobalt Whisper, 20 chaînes d'infection ont été observées, ciblant les secteurs de la défense, de l'électrotechnique et de l'aviation civile. La campagne plus récente, l'opération AmberMist, a évolué pour cibler les jeux vidéo, le développement logiciel et les établissements d'enseignement supérieur, grâce à des implants légers améliorés tels que Shadow RAT, Blister DLL Implant et INET RAT.

Lors de la récente opération AmberMist, l'entité malveillante a également abusé de la technique ClickFix, une méthode d'ingénierie sociale qui incite les victimes à exécuter des scripts PowerShell malveillants via de fausses pages de vérification CAPTCHA. De plus, UNG0002 exploite des techniques de chargement latéral de DLL, notamment en abusant d'applications Windows légitimes comme Rasphone et les binaires Node-Webkit pour exécuter des charges utiles malveillantes.

Principales conclusions

• Attaques à plusieurs étapes:UNG0002 utilise des chaînes d'infection sophistiquées utilisant des fichiers LNK malveillants, VBScript, des scripts batch et PowerShell pour déployer des implants RAT personnalisés, notamment Shadow RAT, INET RAT et Blister DLL.
• Ingénierie sociale ClickFix:Le groupe utilise de fausses pages de vérification CAPTCHA pour inciter les victimes à exécuter des scripts PowerShell malveillants, notamment en usurpant l'identité du site Web du ministère des Affaires maritimes du Pakistan.
  
• Abus du chargement latéral de DLL:Dans la campagne récente, l'abus constant d'applications Windows légitimes (Rasphone, Node-Webkit) pour le chargement latéral de DLL afin d'exécuter des charges utiles malveillantes tout en échappant à la détection.
• Documents leurres sur le thème du CV:Utilisation de documents de CV réalistes ciblant des secteurs spécifiques, y compris de faux profils de concepteurs d'interface utilisateur de jeux et d'étudiants en informatique d'institutions prestigieuses.
• Infrastructure persistante:Maintenir une infrastructure de commandement et de contrôle avec des modèles de dénomination cohérents et une sécurité opérationnelle sur plusieurs campagnes s'étalant sur plus d'un an.

• Concentration sectorielle ciblée:Ciblage systématique des secteurs de la défense, de l'ingénierie électrotechnique, de l'énergie, de l'aviation civile, du monde universitaire, des institutions médicales, des chercheurs en cybersécurité, des jeux et du développement de logiciels.
• Défis d'attributionUNG0002 représente un groupe de menaces évolutif qui fait preuve d'une grande adaptabilité en imitant les techniques d'autres acteurs malveillants afin de compliquer les efforts d'attribution. Seqrite Les laboratoires estiment avec une grande certitude que le groupe est originaire d'Asie du Sud-Est et se consacre à des activités d'espionnage. À mesure que de nouveaux renseignements seront disponibles, les campagnes associées pourront être étendues ou affinées.

Résumé

UNG0002 représente une entité de menace sophistiquée et persistante d'Asie du Sud qui a maintenu des opérations cohérentes ciblant plusieurs juridictions asiatiques depuis au moins mai 2024. Le groupe fait preuve d'une grande adaptabilité et d'une grande compétence technique, faisant continuellement évoluer son ensemble d'outils tout en maintenant des tactiques, des techniques et des procédures cohérentes.

La concentration de l'acteur malveillant sur des régions géographiques spécifiques (Chine, Hong Kong, Pakistan) et des secteurs ciblés suggère une approche stratégique de la collecte de renseignements, autrement dit des activités classiques d'espionnage. Son recours à des documents leurres d'apparence légitime, à des techniques d'ingénierie sociale et à des méthodes d'évasion pseudo-avancées témoigne d'une opération bien dotée en ressources et expérimentée.

L'UNG0002 présente des schémas opérationnels cohérents dans les opérations Cobalt Whisper et AmberMist, conservant des conventions de nommage d'infrastructure, des mécanismes de livraison de charges utiles et des critères de sélection de cibles similaires. L'évolution du groupe, passant de l'utilisation principale des frameworks Cobalt Strike et Metasploit au développement d'implants personnalisés tels que Shadow RAT, INET RAT et Blister DLL, témoigne de sa nature persistante.

Parmi les éléments techniques notables figurent les chemins d'accès aux fichiers PDB révélant des environnements de développement, tels que C:\Users\The Freelancer\source\repos\JAN25\mustang\x64\Release\mustang.pdb pour Shadow RAT et C:\Users\Shockwave\source\repos\memcom\x64\Release\memcom.pdb pour INET RAT. Ces chemins indiquent les noms de code potentiels « Mustang » et « ShockWave », suggérant une imitation de groupes de menaces déjà existants. Une analyse technique approfondie des chaînes d'infection complètes et des spécificités détaillées de la campagne est disponible dans notre livre blanc.

Conclusion

Attribuer une activité menaçante à un groupe spécifique est toujours une tâche complexe. Elle exige une analyse détaillée portant sur plusieurs aspects, notamment les modes de ciblage, les tactiques et techniques (TTP), la zone géographique d'intervention et toute faille potentielle dans la sécurité opérationnelle. UNG0002 est un groupe en constante évolution. Seqrite Les laboratoires effectuent une surveillance active. À mesure que davantage de renseignements deviennent disponibles, nous pouvons étendre ou affiner les campagnes associées.Sur la base de nos conclusions actuelles, nous estimons avec une grande certitude que ce groupe est originaire d'Asie du Sud-Est et fait preuve d'une grande adaptabilité, imitant souvent les techniques utilisées par d'autres acteurs malveillants afin de compliquer l'attribution des menaces en se concentrant sur l'espionnage. Nous remercions également les autres chercheurs de la communauté, comme Malwarehunterteam, pour leur traque de ces campagnes.

COI

• Non-PE [Fichiers basés sur des scripts, raccourcis, C2-Config, blobs de shellcode chiffrés]

• EP – Implants

MITRE ATT & CK

Auteurs

Sathwik Ram Prakki

Subhajeet Singha