UNG0002: Mga Regional Threat Operations na Sinusubaybayan sa Maramihang Mga Hurisdiksyon sa Asya

Pangkalahatang-ideya

Seqrite Natukoy at nasubaybayan ng Labs APT-Team ang UNG0002 na kilala rin bilang Unknown Group 0002, isang grupo ng mga operasyong nakatuon sa paniniktik na pinagsama-sama sa ilalim ng iisang kumpol na nagsasagawa ng mga kampanya sa maraming hurisdiksyon sa Asya kabilang ang China, Hong Kong, at Pakistan. Ang threat entity na ito ay nagpapakita ng matinding kagustuhan sa paggamit ng mga shortcut file (LNK), VBScript, at mga tool pagkatapos ng pagsasamantala tulad ng Cobalt Strike at Metasploit, habang patuloy na nagde-deploy ng mga decoy document na may temang CV upang akitin ang mga biktima.

Ang mga operasyon ng kumpol ay sumasaklaw sa dalawang pangunahing kampanya: ang Operation Cobalt Whisper (Mayo 2024 – Setyembre 2024) at ang Operation AmberMist (Enero 2025 – Mayo 2025) . Sa panahon ng Operation Cobalt Whisper, 20 kadena ng impeksyon ang naobserbahan na tumatarget sa mga sektor ng depensa, electrotechnical engineering, at civil aviation. Ang mas bagong kampanya ng Operation AmberMist ay umunlad upang i-target ang gaming, software development, at mga institusyong pang-akademiko gamit ang pinahusay na magaan na implant kabilang ang Shadow RAT, Blister DLL Implant, at INET RAT.

Sa kamakailang operasyon na AmberMist, inabuso din ng entity ng pagbabanta ang ClickFix Technique – isang paraan ng social engineering na nanlinlang sa mga biktima sa pagsasagawa ng mga nakakahamak na PowerShell script sa pamamagitan ng mga pekeng CAPTCHA verification page. Bukod pa rito, ginagamit ng UNG0002 ang mga diskarte sa pag-sideload ng DLL, partikular na ang pag-abuso sa mga lehitimong Windows application tulad ng Rasphone at Node-Webkit binary upang magsagawa ng mga nakakahamak na payload.

Key Findings

• Mga Multi-Stage Attack: Gumagamit ang UNG0002 ng mga sopistikadong chain ng impeksyon gamit ang mga nakakahamak na LNK file, VBScript, mga batch script, at PowerShell para mag-deploy ng mga custom na RAT implant kabilang ang Shadow RAT, INET RAT, at Blister DLL.
• ClickFix Social Engineering: Gumagamit ang grupo ng mga pekeng pahina ng pag-verify ng CAPTCHA upang linlangin ang mga biktima na magsagawa ng mga nakakahamak na script ng PowerShell, lalo na ang panggagaya sa website ng Ministry of Maritime Affairs ng Pakistan.
  
• Inaabuso ang DLL Sideloading: Sa kamakailang kampanya, pare-parehong pang-aabuso ng mga lehitimong Windows application (Rasphone, Node-Webkit) para sa DLL sideloading upang magsagawa ng mga nakakahamak na payload habang umiiwas sa pagtuklas.
• Mga Dokumentong Pang-decoy na may temang CV: Paggamit ng mga makatotohanang dokumento ng resume na nagta-target sa mga partikular na industriya, kabilang ang mga pekeng profile ng mga taga-disenyo ng UI ng laro at mga mag-aaral sa computer science mula sa mga prestihiyosong institusyon.
• Patuloy na Imprastraktura: Pinapanatili ang imprastraktura ng command at control na may pare-parehong mga pattern ng pagbibigay ng pangalan at seguridad sa pagpapatakbo sa maraming campaign na sumasaklaw sa loob ng isang taon.

• Target na Pokus sa Industriya: Systematic na pag-target ng defense, electrotechnical engineering, energy, civil aviation, academia, medical institutions, cybersecurity researcher, gaming, at software development sector.
• Mga Hamon sa PagpapatungkolAng UNG0002 ay kumakatawan sa isang umuusbong na kumpol ng banta na nagpapakita ng mataas na kakayahang umangkop sa pamamagitan ng paggaya sa mga pamamaraan mula sa iba pang mga playbook ng aktor ng banta upang gawing kumplikado ang mga pagsisikap sa pagpapatungkol, kasama ang Seqrite Mataas ang kumpiyansang sinusuri ng mga laboratoryo na ang grupo ay nagmula sa Timog-Silangang Asya at nakatuon sa mga aktibidad ng paniniktik. Habang dumarami ang impormasyong makukuha, maaaring palawakin o pinuhin ang mga kaugnay na kampanya sa hinaharap.

Buod

Ang UNG0002 ay kumakatawan sa isang sopistikado at paulit-ulit na entity ng pagbabanta mula sa South Asia na nagpapanatili ng pare-parehong mga operasyon na nagta-target sa maraming hurisdiksyon sa Asia mula noong hindi bababa sa Mayo 2024. Ang grupo ay nagpapakita ng mataas na kakayahang umangkop at teknikal na kasanayan, patuloy na nagbabago ng kanilang toolset habang pinapanatili ang pare-parehong mga taktika, diskarte, at pamamaraan.

Ang pagtutok ng banta ng aktor sa mga partikular na heyograpikong rehiyon (China, Hong Kong, Pakistan) at mga target na industriya ay nagmumungkahi ng isang madiskarteng diskarte sa pangangalap ng paniktik AKA classic na aktibidad na nauugnay sa espiya. Ang kanilang paggamit ng mga lehitimong mukhang decoy na dokumento, social engineering technique, at pseudo-advanced na paraan ng pag-iwas ay nagpapahiwatig ng mahusay na mapagkukunan at karanasang operasyon.

Ang UNG0002 ay nagpapakita ng pare-parehong mga pattern ng pagpapatakbo sa parehong Operation Cobalt Whisper at Operation AmberMist, na pinapanatili ang magkatulad na mga convention sa pagbibigay ng pangalan sa imprastraktura, mga mekanismo ng paghahatid ng kargamento, at pamantayan sa pagpili ng target. Ang ebolusyon ng grupo mula sa pangunahing paggamit ng Cobalt Strike at Metasploit na mga balangkas hanggang sa pagbuo ng mga custom na implant tulad ng Shadow RAT, INET RAT, at Blister DLL ay nagpapahiwatig ng kanilang likas na katangian.

Kabilang sa mga kapansin-pansing teknikal na artifact ang mga PDB path na nagpapakita ng mga development environment tulad ng C:\Users\The Freelancer\source\repos\JAN25\mustang\x64\Release\mustang.pdb para sa Shadow RAT at C:\Users\Shockwave\source\repos\memcom\x64\Release\memcom.pdb para sa INET RAT, na nagpapahiwatig ng mga potensyal na code name na "Mustang" at "ShockWave" na nagpapahiwatig ng panggagaya sa mga umiiral nang threat group. Ang isang malalimang teknikal na pagsusuri ng kumpletong infection chain at detalyadong mga detalye ng kampanya ay matatagpuan sa aming komprehensibong whitepaper.

Konklusyon

Ang pag-uugnay ng aktibidad ng banta sa isang partikular na grupo ay palaging isang masalimuot na gawain. Nangangailangan ito ng detalyadong pagsusuri sa ilang mga lugar, kabilang ang mga pattern ng pag-target, taktika at pamamaraan (TTP), heograpikong pokus, at anumang posibleng pagkakamali sa seguridad sa operasyon. Ang UNG0002 ay isang umuusbong na kumpol na Seqrite Aktibong sinusubaybayan ng Labs. Habang nagiging available ang higit pang intelligence, maaari naming palawakin o pinuhin ang mga nauugnay na campaign. Batay sa aming kasalukuyang mga natuklasan, tinatasa namin nang may mataas na kumpiyansa na ang pangkat na ito ay nagmula sa Timog-Silangang Asya at nagpapakita ng mataas na antas ng kakayahang umangkop — madalas na ginagaya ang mga diskarteng nakikita sa iba pang mga banta sa playbook ng aktor upang gawing kumplikado ang pagpapatungkol na nakatuon sa espionage. Pinahahalagahan din namin ang iba pang mga mananaliksik sa komunidad, tulad ng malwarehunterteam para sa pangangaso sa mga kampanyang ito.

Mga IOC

• Hindi PE [Mga File na Nakabatay sa Script, Shortcut, C2-Config, Mga Naka-encrypt na Shellcode blobs]

• PE – Mga implant

MITER ATT&CK

May-akda

Sathwik Ram Prakki

Subhajeet Singha