Связанные с Китаем хакеры использовали уязвимость нулевого дня Sitecore для получения первоначального доступа.

[admin]

Злоумышленник, отслеживаемый как UAT-8837 и предположительно связанный с Китаем, сосредоточил свои усилия на системах критической инфраструктуры в Северной Америке, получая доступ к ним путем использования как известных, так и уязвимостей нулевого дня.


Группа хакеров действует как минимум с 2025 года, и, судя по сегодняшнему отчету исследователей Cisco Talos, ее основная цель, по всей видимости, заключается в получении первоначального доступа к целевым организациям.


В предыдущем отчете те же исследователи отметили, что еще один связанный с Китаем субъект, отслеживаемый внутри компании как UAT-7290 и активный как минимум с 2022 года, также преследует цель получения доступа. Однако они отмечают, что этот злоумышленник также занимается шпионажем.

Атаки UAT-8837 обычно начинаются с использования скомпрометированных учетных данных или уязвимостей сервера.


В недавнем инциденте злоумышленник использовал уязвимость нулевого дня CVE-2025-53690 в модуле десериализации ViewState в продуктах Sitecore , что может указывать на доступ к скрытым уязвимостям безопасности.

Исследователи Mandiant сообщили об уязвимости нулевого дня CVE-2025-53690, которая активно использовалась злоумышленниками в ходе атаки, в ходе которой они обнаружили развертывание разведывательного бэкдора под названием «WeepSteel».


Cisco Talos оценивает вероятность связи UAT-8837 с китайскими операциями в соответствии со средним уровнем достоверности, и оценка исследователя основана на "совпадении тактики, методов и процедур (ТТП) с тактикой и процедурами других известных субъектов, представляющих угрозу связи с Китаем".


После взлома сети UAT-8837 может использовать собственные команды Windows для проведения разведки хоста и сети, а также отключить RDP RestrictedAdmin для облегчения сбора учетных данных.


Аналитики Cisco Talos отмечают, что после взлома злоумышленник выполняет различные команды с помощью клавиатуры для сбора конфиденциальных данных, таких как учетные данные.


Что касается инструментов, используемых в этих атаках, то UAT-8837 преимущественно использует утилиты с открытым исходным кодом и самодельные решения, постоянно обновляя их варианты для обхода обнаружения. В отчете Cisco Talos упоминаются следующие инструменты:

• GoTokenTheft, Rubeus, Certipy — для кражи токенов доступа, злоупотребления Kerberos и сбора учетных данных и данных сертификатов, связанных с Active Directory.
• SharpHound, Certipy, setspn, dsquery, dsget – перечисляют пользователей Active Directory, группы, SPN, учетные записи служб и связи доменов.
• Impacket, Invoke-WMIExec, GoExec, SharpWMI – Выполнение команд на удаленных системах через WMI и DCOM; субъект переключается между инструментами, когда обнаружение блокирует выполнение.
• Earthworm — создает обратные SOCKS-туннели, делая внутренние системы уязвимыми для инфраструктуры, контролируемой злоумышленниками.
• DWAgent – инструмент удаленного администрирования для управления доступом и развертывания дополнительных полезных нагрузок.
• Команды и утилиты Windows — собирают информацию о хосте, сети и политиках безопасности, включая пароли и настройки.

На основе команд, выполненных в ходе проанализированного вторжения, исследователи пришли к выводу, что злоумышленники нацелены на учетные данные, топологию Active Directory и отношения доверия, а также на политики и конфигурации безопасности.

По меньшей мере в одном случае хакеры извлекли DLL-файл из продукта, используемого жертвой, который мог быть использован для будущих троянских атак и атак на цепочку поставок.


Cisco Talos В отчете приводятся примеры команд и инструментов, использованных в атаке, а также список индикаторов компрометации для активности UAT-8837 .