Эксперты Talos в новом отчёте раскрыли детали деятельности ранее неизвестной продвинутой группы кибершпионажа под кодовым обозначением UAT-8302. С конца 2024 года эта группировка целенаправленно атакует правительственные учреждения в Южной Америке, а в 2025 году её активность распространилась и на ведомства Юго-Восточной Европы. Исследователи с высокой степенью уверенности связывают UAT-8302 с китайским киберпространством (China-nexus). Основная задача группы - получение и поддержание долгосрочного доступа к государственным информационным системам по всему миру.
Описание
Для проникновения и закрепления в сетях жертв UAT-8302 использует внушительный набор собственных вредоносных программ. Многие из этих образцов уже были замечены в атаках других известных группировок, приписываемых Китаю. Это указывает на тесные оперативные связи между кластерами. Среди ключевых инструментов - бэкдор NetDraft. Это вариант вредоноса FinalDraft (также известного как SquidDoor), разработанного группой Jewelbug. NetDraft написан на языке C# (.NET) и использует API Microsoft Graph для связи со своим сервером управления (C2), скрывая трафик в легитимном облачном сервисе OneDrive. Для первоначальной загрузки NetDraft применяется техника подгрузки вредоносной библиотеки (DLL) через легитимный исполняемый файл.
Ещё один мощный бэкдор из арсенала UAT-8302 - CloudSorcerer в версии 3. Ранее эта программа уже применялась в атаках на российские госструктуры в 2024 году, о чём сообщала "Лаборатория Касперского". Новая версия умеет получать адреса серверов управления не только из GitHub, но и из профилей на игровом сервисе GameSpot. В зависимости от имени процесса, в который внедряется CloudSorcerer, он может выполнять сбор информации о системе, запускать произвольные команды или работать как прокси.
Помимо этих двух основных бэкдоров, группа активно использует VSHELL. Этот вредонос доставляется с помощью специального загрузчика SNOWLIGHT. Исследователи Talos обнаружили, что UAT-8302 также применяет новую версию этого загрузчика, написанную на языке Rust. Его назвали SNOWRUST. Он основан на фреймворке LexiCrypt для запутывания шелл-кода. Примечательно, что аналогичный загрузчик SNOWLIGHT ранее использовала другая китайская группа - UAT-6382, которая эксплуатировала уязвимость нулевого дня (CVE-2025-0994) в Cityworks. Это ещё одно доказательство пересечения инструментария.
После успешного проникновения UAT-8302 действует по отработанному сценарию. Группа проводит обширную разведку сетевой инфраструктуры. Для этого она использует как стандартные утилиты Windows (ipconfig, net view, nslookup, whoami), так и специализированные скрипты PowerShell. Например, скрипт "whatpc.ps1" собирает подробные сведения о системе, включая список пользователей, локальные группы, сетевые подключения и данные контроллера домена. Для поиска новых целей злоумышленники запускают сканирование сети с помощью open-source инструментов на Golang, например, "gogo", имеющего интерфейс на упрощённом китайском.
Одна из ключевых целей группировки - сбор учётных данных и дальнейшее распространение в сети. Специалисты Talos задокументировали использование инструмента Impacket для удалённого выполнения команд и кражу хешей паролей. Также UAT-8302 применяет утилиту adconnectdump.py для перехвата данных из Azure AD Connect. Для перемещения между хостами злоумышленники используют как встроенные механизмы WMI, так и планировщик задач (schtasks). Для создания постоянных точек входа они устанавливают прокси-серверы, например, с помощью инструмента Stowaway, который также имеет китайское происхождение.
Исследователи отмечают, что UAT-8302 имеет доступ к инструментам, которые ранее были публично задокументированы у других кластеров. Помимо упомянутых NetDraft и CloudSorcerer, в распоряжении группы есть Draculoader (загрузчик шелл-кода, используемый группами Earth Estries и Earth Naga) и связка SNAPPYBEE (DeedRAT) с ZingDoor. Такое смешение технологий говорит о том, что UAT-8302, вероятно, не изолированная команда, а часть более широкой экосистемы китайских кибершпионских группировок, которые обмениваются наработками. Основная цель этой сложной многоступенчатой кампании - скрытный сбор разведывательной информации и долгосрочное присутствие в правительственных сетях.
Индикаторы компрометации
