UNG0002: Региональные операции по борьбе с угрозами отслеживаются в нескольких азиатских юрисдикциях

Обзор

Seqrite Лаборатория APT-Team выявила и отследила UNG0002, также известную как Unknown Group 0002, группу шпионских операций, объединенных в один кластер и проводящих кампании в различных азиатских юрисдикциях, включая Китай, Гонконг и Пакистан. Эта группа угроз демонстрирует явное предпочтение использованию файлов-ярлыков (LNK), VBScript и инструментов постэксплуатации, таких как Cobalt Strike и Metasploit, постоянно используя при этом поддельные документы, имитирующие CV, для заманивания жертв.

Деятельность кластера охватывает две основные кампании: Операция «Кобальтовый шёпот» (май 2024 г. – сентябрь 2024 г.) и Операция AmberMist (январь 2025 г. – май 2025 г.)В ходе операции «Кобальтовый шепот» было зафиксировано 20 цепочек заражения, нацеленных на оборону, электротехнику и гражданскую авиацию. В ходе недавней операции «АмберМист» были разработаны и направлены на игровые, программные и академические учреждения, а также на разработку программного обеспечения. В ходе операции были разработаны усовершенствованные лёгкие имплантаты, включая Shadow RAT, Blister DLL Implant и INET RAT.

В недавней операции AmberMist вредоносная структура также использовала технику ClickFix — метод социальной инженерии, который обманом заставляет жертв выполнять вредоносные скрипты PowerShell через поддельные страницы проверки CAPTCHA. Кроме того, UNG0002 использует методы загрузки DLL-библиотек, в частности, используя легитимные приложения Windows, такие как исполняемые файлы Rasphone и Node-Webkit, для выполнения вредоносных полезных нагрузок.

Ключевые результаты

• Многоэтапные атаки: UNG0002 использует сложные цепочки заражения с использованием вредоносных LNK-файлов, VBScript, пакетных скриптов и PowerShell для развертывания пользовательских имплантов RAT, включая Shadow RAT, INET RAT и Blister DLL.
• Социальная инженерия ClickFix: Группа использует поддельные страницы проверки CAPTCHA, чтобы обманным путем заставить жертв выполнить вредоносные скрипты PowerShell, в частности, подделывая веб-сайт Министерства морских дел Пакистана.
  
• Злоупотребление боковой загрузкой DLL: В ходе недавней кампании систематическое злоупотребление легитимными приложениями Windows (Rasphone, Node-Webkit) для загрузки DLL с целью выполнения вредоносных полезных нагрузок и уклонения от обнаружения.
• Документы-обманки в стиле резюме: использование реалистичных резюме-документов, ориентированных на конкретные отрасли, включая поддельные профили дизайнеров игровых интерфейсов и студентов-компьютерщиков из престижных учебных заведений.
• Постоянная инфраструктура: Поддерживаемая инфраструктура командования и управления с единообразными шаблонами наименования и оперативной безопасностью в ходе нескольких кампаний, охватывающих более года.

• Целевой фокус на отрасли: Систематические нападения на оборону, электротехническое машиностроение, энергетику, гражданскую авиацию, академические круги, медицинские учреждения, исследователей кибербезопасности, игровую индустрию и сферу разработки программного обеспечения.
• Проблемы атрибуцииUNG0002 представляет собой развивающийся кластер угроз, демонстрирующий высокую адаптивность за счет имитации методов из стратегий других субъектов угроз, что усложняет усилия по установлению их причастности. Seqrite Лаборатории с высокой степенью уверенности установили, что группа имеет юго-восточноазиатское происхождение и специализируется на шпионской деятельности. По мере поступления новой разведывательной информации связанные с ней кампании могут быть расширены или усовершенствованы в будущем.

Резюме

UNG0002 представляет собой сложную и устойчивую организацию из Южной Азии, которая осуществляет последовательные операции, направленные на несколько азиатских юрисдикций, по крайней мере с мая 2024 года. Группировка демонстрирует высокую приспособляемость и техническую грамотность, постоянно совершенствуя свой инструментарий, сохраняя при этом постоянную тактику, методы и процедуры.

Сосредоточение злоумышленников на конкретных географических регионах (Китай, Гонконг, Пакистан) и целевых отраслях промышленности свидетельствует о стратегическом подходе к сбору разведывательной информации, также известном как классическая шпионская деятельность. Использование ими поддельных документов, кажущихся законными, методов социальной инженерии и псевдопродвинутых методов уклонения от ответственности свидетельствует о хорошо подготовленной и опытной операции.

UNG0002 демонстрирует единообразие операционных схем в операциях «Кобальтовый шепот» и «Янтарная дымка», поддерживая схожие соглашения об именовании инфраструктуры, механизмы доставки полезной нагрузки и критерии выбора целей. Переход группы от использования преимущественно фреймворков Cobalt Strike и Metasploit к разработке собственных имплантов, таких как Shadow RAT, INET RAT и Blister DLL, свидетельствует об их устойчивом характере.

Важными техническими артефактами являются пути PDB, раскрывающие среды разработки, такие как C:\Users\The Freelancer\source\repos\JAN25\mustang\x64\Release\mustang.pdb для Shadow RAT и C:\Users\Shockwave\source\repos\memcom\x64\Release\memcom.pdb для INET RAT, что указывает на потенциальные кодовые имена «Mustang» и «ShockWave», указывающие на мимикрию уже существующих групп угроз. Подробный технический анализ всех цепочек заражения и подробное описание кампаний можно найти в нашем комплексном исследовании. официальный документ.

Заключение

Определение принадлежности угроз конкретной группе всегда является сложной задачей. Для этого требуется детальный анализ по нескольким направлениям, включая схемы нацеливания, тактику и методы (ТТП), географическую направленность и любые возможные сбои в оперативной безопасности. UNG0002 — это развивающийся кластер, который Seqrite Лаборатория ведет активный мониторинг. По мере поступления дополнительных данных мы можем расширять или совершенствовать соответствующие кампании.Основываясь на наших текущих результатах, мы с высокой степенью уверенности оцениваем, что эта группа происходит из Юго-Восточной Азии и демонстрирует высокий уровень адаптивности, часто копируя методы, используемые в стратегиях других злоумышленников, чтобы усложнить атрибуцию, ориентированную на шпионаж. Мы также выражаем благодарность другим исследователям сообщества, таким как malwarehunterteam, за отслеживание этих кампаний.

МНК

• Не-PE [файлы на основе скриптов, ярлыки, C2-Config, зашифрованные объекты Shellcode]

• ПЭ – Имплантаты

MITRE ATT & CK

Авторы

Сатвик Рам Пракки

Субхаджит Сингха