Cisco Talos обнаружила долгосрочную вредоносную кампанию, которую они отслеживают под идентификатором UAT-5918. Эта кампания, активная по крайней мере с 2023 года, преследует цель получить устойчивый доступ к среде жертв для кражи информации и сбора учетных данных. UAT-5918 использует комбинацию веб-оболочек и инструментов с открытым исходным кодом для действий после взлома, поэтому он может оставаться незамеченным и продолжать свою активность.
Описание
Группа атакующих, известных как UAT-5918, заинтересована в получении постоянного доступа для кражи информации. Они используют различные открытые инструменты и веб-оболочки для обеспечения постоянного доступа в среду жертв.
Основная цель атакующих - это кража информации и сбор учетных данных.
Они также разворачивают веб-оболочки на серверах и поддоменах для создания точек входа в организации-жертвы. Для этой цели они собирают учетные данные пользователей и создают новые административные учетные записи для обеспечения дополнительных каналов доступа. Используя инструменты с открытым исходным кодом, такие как Mimikatz, атакующие собирают учетные данные и используют их для бокового перемещения по сети жертвы.
Они также используют тактики, подобные тем, которые когда-то использовали другие известные APT-группы, такие как Volt Typhoon, Flax Typhoon, Earth Estries и Dalbit. Правительство США связывает некоторые из этих групп с Китаем и Южной Кореей.
UAT-5918 также пересекается с ними по отраслевым и географическим параметрам. В основном UAT-5918 нацелена на организации в Тайване в сферах телекоммуникаций, здравоохранения, информационных технологий и других критически важных отраслях. Они используют инструменты, такие как LaZagne, SNetCracker, PortBrute и др. для своих атак, не замеченные ранее в отчетах о других APT-группах.
В целом, UAT-5918 представляет значительную угрозу для организаций в Тайване и является предметом внимания организаций и правительственных органов по всему миру.
Indicators of Compromise
