Das hier ist ein vollständig KI generierter Artikel.

Eine Hackergruppe, die als UAT-8837 bekannt ist und mit China in Verbindung gebracht wird, hat kritische Infrastruktursysteme in Nordamerika ins Visier genommen. Sie verschaffen sich Zugang, indem sie sowohl bekannte als auch Zero-Day-Schwachstellen ausnutzen.

Hintergrund der Angriffe

Die Gruppe UAT-8837 ist seit mindestens 2025 aktiv und zielt darauf ab, anfänglichen Zugriff auf ausgewählte Organisationen zu erlangen. Laut einem Bericht von Cisco Talos konzentriert sich die Gruppe auf die Ausnutzung von Server-Schwachstellen, um sich Zugang zu verschaffen.

Exploits und Werkzeuge

In einem kürzlichen Vorfall nutzte der Bedrohungsakteur die Zero-Day-Schwachstelle CVE-2025-53690 in Sitecore-Produkten aus. Diese Schwachstelle ermöglicht die Deserialisierung von ViewState-Daten, was auf den Zugang zu nicht offengelegten Sicherheitsproblemen hindeuten könnte.

Die Angreifer verwenden eine Vielzahl von Open-Source-Tools und „Living-off-the-land“-Utilities, um ihre Aktivitäten zu verschleiern. Zu den verwendeten Werkzeugen gehören GoTokenTheft, Rubeus und Certipy, die zum Diebstahl von Zugangstoken und zur Sammlung von Active Directory-bezogenen Daten eingesetzt werden.

Post-Exploitation-Aktivitäten

Nach dem Eindringen in das Netzwerk führen die Angreifer verschiedene Befehle aus, um sensible Daten wie Anmeldeinformationen zu sammeln. Zu den beobachteten Aktivitäten gehören die Nutzung von Windows-Befehlen zur Erkundung des Netzwerks und das Deaktivieren von RDP RestrictedAdmin, um das Sammeln von Anmeldeinformationen zu erleichtern.

Fazit

Die Aktivitäten der Gruppe UAT-8837 unterstreichen die Notwendigkeit für Organisationen, ihre Sicherheitsmaßnahmen zu verstärken und auf die Ausnutzung von Zero-Day-Schwachstellen vorbereitet zu sein. Die Verwendung von Open-Source-Tools durch die Angreifer zeigt, wie wichtig es ist, Sicherheitsprotokolle regelmäßig zu aktualisieren und zu überwachen.

Quelle: https://www.bleepingcomputer.com/news/security/china-linked-hackers-exploited-sitecore-zero-day-for-initial-access/