UAT-8837 组织利用 Sitecore 零日漏洞攻击技术分析一、新闻概述1. 标题中国关联黑客组织 UAT-8837 利用 Sitecore 零日漏洞获取初始访问权限2. 发布时间2026 年 1 月 16 日3. 来源BleepingComputer，基于 Cisco Talos 安全研究报告二、核心内容1. 事件摘要A. 主要内容一个追踪代号为 UAT-8837 的中国关联高级威胁组织，正专注于攻击北美地区的关键基础设施系统，通过利用已知漏洞和零日漏洞获取初始访问权限。B. 核心亮点利用 Sitecore ViewState 反序列化零日漏洞（CVE-2025-53690）针对北美关键基础设施的初始访问攻击使用大量开源工具和 LOTL（Living Off The Land）技术目标是获取凭证和 Active Directory 拓扑信息2. 关键信息A. 漏洞编号CVE-2025-53690（Sitecore ViewState 反序列化零日漏洞）B. 重要数据活跃时间：至少从 2025 年开始目标区域：北美关键基础设施攻击目的：获取初始访问权限C. 涉及产品Sitecore 产品Windows 系统Active Directory3. 背景介绍A. 相关组织Cisco Talos 研究人员在之前的报告中还提到了另一个中国关联组织 UAT-7290，该组织自 2022 年以来活跃，同样负责获取访问权限，但还涉及间谍活动。B. 相关上下文Mandiant 研究人员在 2025 年 9 月初报告称 CVE-2025-53690 为正在被积极利用的零日漏洞，在攻击中观察到了名为 WeepSteel 的侦察后门部署。三、详细报道1. 主要内容A. 攻击流程UAT-8837 的攻击通常从以下两种方式开始：利用泄露的凭证利用服务器漏洞在最近的事件中，威胁者利用了 CVE-2025-53690，这是 Sitecore 产品中的一个 ViewState 反序列化零日漏洞。B. 攻击技术ViewState 反序列化攻击凭证窃取和滥用Active Directory 枚举和侦察远程命令执行（WMI、DCOM）C. 后渗透活动使用 Windows 原生命令进行主机和网络侦察禁用 RDP RestrictedAdmin 以便利凭证收集人工键盘操作执行各种命令收集敏感数据2. 技术细节A. 攻击链路graph LR A[初始访问] --> B{攻击向量} B -->|泄露凭证| C[凭证登录] B -->|漏洞利用| D[零日漏洞] D --> E[CVE-2025-53690] E --> F[ViewState 反序列化] F --> G[部署 WeepSteel 后门] C --> H[网络侦察] G --> H H --> I[凭证窃取] I --> J[AD 枚举] J --> K[横向移动] K --> L[数据窃取]B. 工具清单凭证窃取工具：GoTokenTheft：窃取访问令牌Rubeus：滥用 KerberosCertipy：收集 Active Directory 相关凭证和证书数据Active Directory 枚举工具：SharpHound：枚举用户、组、SPN、服务账户和域关系Certipy：证书相关枚举setspn：服务主体名称枚举dsquery、dsget：目录服务查询远程执行工具：Impacket：通过 WMI 和 DCOM 执行远程命令Invoke-WMIExec：WMI 命令执行GoExec：Go 编写的执行工具SharpWMI：Sharp 编写的 WMI 工具攻击者在检测阻止执行时会循环使用这些工具隧道和持久化工具：Earthworm：创建反向 SOCKS 隧道，将内部系统暴露给攻击者控制的基础设施DWAgent：用于维持访问权限和部署额外负载的远程管理工具C. 攻击目标根据执行的命令分析，攻击者的主要目标包括：凭证收集Active Directory 拓扑和信任关系安全策略和配置信息密码和设置信息D. 供应链攻击风险至少在一次入侵中，黑客窃取了受害者使用的产品 DLL 文件，这可能用于未来的木马化植入和供应链攻击。3. 数据与事实A. 组织归属Cisco Talos 对 UAT-8837 与中国运营的关联有中等信心，评估基于与其他已知中国关联威胁组织的战术、技术和程序（TTP）重叠。B. 检测绕过UAT-8837 主要使用开源系统和 LOTL 实用程序，不断循环变体以逃避检测。四、影响分析1. 行业影响A. 安全趋势零日漏洞利用持续威胁关键基础设施ViewState 反序列化成为 Web 应用攻击的重要向量LOTL 技术的使用增加了检测难度B. 攻击趋势针对初始访问的攻击组织专业化分工凭证窃取和 AD 枚举成为攻击的标准流程供应链攻击风险上升2. 用户影响A. Sitecore 用户需要立即检查是否存在 CVE-2025-53690 漏洞监控异常的 ViewState 处理活动加强 Active Directory 安全监控B. 关键基础设施北美地区的能源、交通、通信等行业是主要目标需要加强凭证管理和访问控制建立完善的入侵检测和响应机制C. 防御建议及时修补已知漏洞监控异常的网络活动和命令执行实施 Active Directory 安全最佳实践使用多因素认证加强凭证保护3. 技术趋势A. 攻击技术方向持续利用零日漏洞获取初始访问更多使用开源工具和 LOLBins 降低攻击成本人工键盘操作和自动化工具结合使用B. 防御技术方向需要更好的行为分析和异常检测加强 Web 应用输入验证和反序列化安全实施 Zero Trust 架构减少横向移动风险五、各方反应1. 官方回应Cisco Talos 发布了详细的安全研究报告，提供了攻击中使用的命令和工具示例，以及 UAT-8837 活动的入侵指标（IOC）列表。2. 业内评价A. Mandiant 报告Mandiant 研究人员在 2025 年 9 月初首次报告了 CVE-2025-53690 的主动利用情况，观察到 WeepSteel 侦察后门的部署。B. Cisco Talos 分析Cisco Talos 强调了该组织的专业化和工具链的多样化，指出其持续改进检测绕过技术。3. 用户反馈A. 安全关注Sitecore 用户需要紧急评估漏洞风险关键基础设施运营商应加强安全监控B. 防御挑战LOTL 技术的检测难度较高需要综合使用多种安全工具和策略六、相关链接1. 官方公告Cisco Talos 安全研究报告Mandiant CVE-2025-53690 报告Sitecore 安全公告2. 相关报道BleepingComputer 原始报道Cisco AsyncOS 零日漏洞修补报告VMware ESXi 零日漏洞分析3. 技术文档ViewState 反序列化漏洞原理Active Directory 安全最佳实践LOTL 攻击检测指南七、技术深度解析1. ViewState 反序列化漏洞A. 漏洞原理ViewState 是 ASP.NET Web 表单中用于保持页面状态的技术。当应用程序使用不安全的反序列化配置时，攻击者可以构造恶意的 ViewState 数据，在服务器端反序列化过程中执行任意代码。B. 攻击流程攻击者分析目标 Sitecore 应用程序识别 ViewState 处理端点生成恶意序列化 payload发送包含恶意 ViewState 的请求服务器反序列化 payload 并执行恶意代码部署后门并建立持久化访问C. 防御措施启用 ViewState MAC（消息认证代码）使用强密钥加密 ViewState禁用不必要的 ViewState 功能实施输入验证和输出编码定期更新 .NET 框架和 Sitecore 版本2. Active Directory 攻击技术A. 凭证窃取攻击者使用多种工具窃取凭证：LSASS 内存转储分析Kerberos 票据窃取和重放证书私钥提取NTLM 哈希获取B. 权限提升Kerberoasting 攻击Golden Ticket 创建SID History 注入ACL 滥用C. 横向移动WMI 和 DCOM 远程命令执行PSExec 和 WMIExecSMB 和 WinRM 利用计划任务和服务创建3. 检测和响应A. 入侵指标异常的 ViewState 处理活动异常的进程执行模式大量的 AD 枚举查询异常的网络连接和数据传输B. 日志监控Web 服务器访问日志Windows 事件日志（事件 ID 4624、4625、4672、4648 等）PowerShell 脚本块日志网络流量日志C. 应急响应隔离受影响的系统收集和保存证据分析攻击范围和影响重置泄露的凭证修补漏洞并加强安全措施监控持续的异常活动参考资料China-linked hackers exploited Sitecore zero-day for initial accessCisco Talos Intelligence BlogMandiant CVE-2025-53690 Analysis