Китайские хакеры атакуют системы управления инфраструктурой через уязвимость в Cityworks

Эксперты Cisco Talos зафиксировали серию целенаправленных атак на систему управления активами Cityworks, принадлежащую компании Trimble. Злоумышленники, предположительно связанные с китайской хакерской группировкой, эксплуатируют критическую уязвимость CVE-2025-0994, позволяющую выполнять произвольный код на уязвимых серверах.

Описание

Атаки, получившие кодовое обозначение UAT-6382, демонстрируют высокий уровень профессионализма и системный подход. После успешного проникновения злоумышленники оперативно проводят разведку, используя стандартные системные команды для анализа окружения. Следующим шагом становится установка веб-шеллов AntSword и chinatso/Chopper, обеспечивающих постоянный доступ к компрометированным системам.

Особую опасность представляет использование кастомного Rust-лоадера TetraLoader, созданного с помощью фреймворка MaLoader. Этот инструмент, написанный на упрощенном китайском, позволяет скрытно внедрять вредоносные payloads в легитимные процессы системы. В качестве полезной нагрузки чаще всего выступают известные инструменты для кибершпионажа - Cobalt Strike и VShell, обеспечивающие злоумышленникам полный контроль над зараженными системами.

Анализ тактики и инструментария указывает на китайское происхождение атакующей группы. Многочисленные артефакты, включая китайскоязычные интерфейсы управляющих панелей и сообщения в веб-шеллах, подтверждают эту гипотезу. Основной целью злоумышленников становятся системы, связанные с управлением критической инфраструктурой, что представляет серьезную угрозу национальной безопасности.

Для защиты от подобных атак специалисты рекомендуют немедленно установить все доступные обновления для системы Cityworks, усилить мониторинг подозрительной активности на веб-серверах, особенно в каталогах /inetpub/wwwroot, а также заблокировать известные командные серверы злоумышленников. Особое внимание следует уделить обнаружению аномальных процессов, связанных с работой системных утилит, которые могут быть использованы для скрытного выполнения вредоносного кода.