UNG0002: 複数のアジア管轄区域にわたる地域的脅威活動の追跡

概要

Seqrite Labs APTチームは、UNG0002（別名Unknown Group 0002）を特定し、追跡しました。UNGXNUMXは、中国、香港、パキスタンを含む複数のアジア地域で活動を展開する、スパイ活動に特化した一連の活動群です。この脅威主体は、ショートカットファイル（LNK）、VBScript、そしてCobalt StrikeやMetasploitなどのエクスプロイト後ツールを好んで使用し、履歴書を題材にしたおとり文書を一貫して展開して被害者を誘い込んでいます。

クラスターの活動は、2 つの主要なキャンペーンにわたります。 コバルト・ウィスパー作戦（2024年2024月～XNUMX年XNUMX月） の三脚と アンバーミスト作戦（2025年2025月～XNUMX年XNUMX月）オペレーション・コバルト・ウィスパーでは、防衛、電気工学、民間航空分野を標的とした20件の感染チェーンが確認されました。最近のオペレーション・アンバーミストは進化を遂げ、Shadow RAT、Blister DLL Implant、INET RATといった改良された軽量インプラントを用いて、ゲーム、ソフトウェア開発、学術機関を標的としています。

最近のAmberMist作戦では、脅威主体はClickFixテクニックも悪用しています。これは、偽のCAPTCHA認証ページを通して被害者を誘導し、悪意のあるPowerShellスクリプトを実行させるソーシャルエンジニアリング手法です。さらに、UNG0002はDLLサイドローディング技術を活用し、特にRasphoneやNode-Webkitバイナリといった正規のWindowsアプリケーションを悪用して悪意のあるペイロードを実行します。

主な発見

• 多段階攻撃UNG0002 は、悪意のある LNK ファイル、VBScript、バッチ スクリプト、PowerShell を使用した高度な感染チェーンを採用し、Shadow RAT、INET RAT、Blister DLL などのカスタム RAT インプラントを展開します。
• ClickFixソーシャルエンジニアリングこのグループは偽の CAPTCHA 検証ページを利用して被害者を騙し、悪意のある PowerShell スクリプトを実行させます。具体的には、パキスタン海事省の Web サイトを偽装します。
  
• DLLサイドローディングの悪用最近のキャンペーンでは、正規の Windows アプリケーション (Rasphone、Node-Webkit) を継続的に悪用して DLL サイドローディングを行い、検出を回避しながら悪意のあるペイロードを実行しました。
• 履歴書をテーマにしたおとり文書: 名門校のゲームUIデザイナーやコンピュータサイエンス専攻の学生の偽のプロフィールなど、特定の業界をターゲットにしたリアルな履歴書文書の使用。
• 永続的なインフラストラクチャ: 1 年以上にわたる複数のキャンペーンにわたって、一貫した命名パターンと運用セキュリティを備えたコマンド アンド コントロール インフラストラクチャを維持しました。

• 対象業界防衛、電気工学、エネルギー、民間航空、学術界、医療機関、サイバーセキュリティ研究者、ゲーム、ソフトウェア開発部門を組織的に標的にしています。
• アトリビューションの課題UNG0002は、他の脅威アクターのプレイブックの手法を模倣することで高い適応力を示し、アトリビューションを複雑化する、進化を続ける脅威クラスターです。Seqrite Labsは、このグループが東南アジアを拠点とし、スパイ活動に重点を置いていると高い確度で評価しています。より多くのインテリジェンスが利用可能になるにつれて、関連するキャンペーンは今後拡大または洗練される可能性があります。

製品概要

UNG0002は、少なくとも2024年XNUMX月以降、複数のアジアの管轄区域を標的とした一貫した活動を維持している、南アジアを拠点とする高度で持続的な脅威団体です。このグループは高い適応性と技術的熟練度を示し、一貫した戦術、技術、手順を維持しながらツールセットを継続的に進化させています。

脅威アクターが特定の地理的地域（中国、香港、パキスタン）と標的の業界に注力していることは、情報収集、つまり典型的なスパイ活動への戦略的なアプローチを示唆しています。正規の文書に見えるおとり文書、ソーシャルエンジニアリングの手法、そして高度な回避策を装う手法を用いて、十分なリソースと経験を備えた活動を展開していることが示唆されます。

UNG0002は、オペレーション・コバルト・ウィスパーとオペレーション・アンバーミストの両方において一貫した運用パターンを示しており、同様のインフラストラクチャ命名規則、ペイロード配信メカニズム、標的選定基準を維持しています。このグループは、主にCobalt StrikeとMetasploitフレームワークを使用していましたが、Shadow RAT、INET RAT、Blister DLLといったカスタムインプラントを開発するようになったことから、その持続性の高さが伺えます。

注目すべき技術的痕跡には、Shadow RATの場合はC:\Users\The Freelancer\source\repos\JAN25\mustang\x64\Release\mustang.pdb、INET RATの場合はC:\Users\Shockwave\source\repos\memcom\x64\Release\memcom.pdbといった開発環境を示すPDBパスが含まれます。これは「Mustang」や「ShockWave」といったコードネームが使われている可能性を示唆しており、既存の脅威グループの模倣を示唆しています。感染チェーン全体とキャンペーンの詳細な詳細に関する詳細な技術分析は、当社の包括的なレポートをご覧ください。 ホワイトペーパー.

結論

脅威活動を特定のグループに帰属させることは常に複雑な作業です。標的のパターン、戦術と手法（TTP）、地理的な焦点、そして運用上のセキュリティ上の潜在的な不備など、複数の領域にわたる詳細な分析が必要です。UNG0002は、Seqrite Labsが積極的に監視している進化を続けるクラスターです。 より多くの情報が入手できるようになると、関連するキャンペーンを拡大または改善する可能性があります。現時点での調査結果に基づき、このグループは東南アジアを拠点とし、高い適応力を示していると高い確信を持って判断しています。彼らは、スパイ活動に重点を置いた攻撃者の特定を困難にするために、他の脅威アクターのプレイブックに見られる手法を模倣することがよくあります。また、これらのキャンペーンのハンティングに尽力いただいたmalwarehunterteamをはじめとするコミュニティの他の研究者の方々にも感謝いたします。

IOC

• 非 PE [スクリプトベースのファイル、ショートカット、C2 構成、暗号化されたシェルコード BLOB]

• PE – インプラント

MITER ATT＆CK

著者

サトウィック・ラム・プラッキ

スバジート・シンハ