运维123 - Active Directory
type: channel
link: https://www.sddts.cn/index.php/tag/Active-Directory/
items: UAT-8837 组织利用 Sitecore 零日漏洞攻击技术分析

UAT-8837 组织利用 Sitecore 零日漏洞攻击技术分析
type: item
date: 2026-01-17T07:45:30+00:00
description: UAT-8837 组织利用 Sitecore 零日漏洞攻击技术分析一、新闻概述1. 标题中国关联黑客组织 UAT-8837 利用 Sitecore 零日漏洞获取初始访问权限2. 发布时间2026 年 1 月 16 日3. 来源BleepingComputer，基于 Cisco Talos 安全研究报告二、核心内容1. 事件摘要A. 主要内容一个追踪代号为 UAT-8837 的中国关联高级威胁组织，正专注于攻击北美地区的关键基础设施系统，通过利用已知漏洞和零日漏洞获取初始访问权限。B. 核心亮点利用 Sitecore ViewState 反序列化零日漏洞（CVE-2025-53690）针对北美关键基础设施的初始访问攻击使用大量开源工具和 LOTL（Living Off The Land）技术目标是获取凭证和 Active Directory 拓扑信息2. 关键信息A. 漏洞编号CVE-2025-53690（Sitecore ViewState 反序列化零日漏洞）B. 重要数据活跃时间：至少从 2025 年开始目标区域：北美关键基础设施攻击目的：获取初始访问权限C. 涉及产品Sitecore 产品Windows 系统Active Directory3. 背景介绍A. 相关组织Cisco Talos 研究人员在之前的报告中还提到了另一个中国关联组织 UAT-7290，该组织自 2022 年以来活跃，同样负责获取访问权限，但还涉及间谍活动。B. 相关上下文Mandiant 研究人员在 2025 年 9 月初报告称 CVE-2025-53690 为正在被积极利用的零日漏洞，在攻击中观察到了名为 WeepSteel 的侦察后门部署。三、详细报道1. 主要内容A. 攻击流程UAT-8837 的攻击通常从以下两种方式开始：利用泄露的凭证利用服务器漏洞在最近的事件中，威胁者利用了 CVE-2025-53690，这是 Sitecore 产品中的一个 ViewState 反序列化零日漏洞。B. 攻击技术ViewState 反序列化攻击凭证窃取和滥用Active Directory 枚举和侦察远程命令执行（WMI、DCOM）C. 后渗透活动使用 Windows 原生命令进行主机和网络侦察禁用 RDP RestrictedAdmin 以便利凭证收集人工键盘操作执行各种命令收集敏感数据2. 技术细节A. 攻击链路graph LR A[初始访问] --> B{攻击向量} B -->|泄露凭证| C[凭证登录] B -->|漏洞利用| D[零日漏洞] D --> E[CVE-2025-53690] E --> F[ViewState 反序列化] F --> G[部署 WeepSteel 后门] C --> H[网络侦察] G --> H H --> I[凭证窃取] I --> J[AD 枚举] J --> K[横向移动] K --> L[数据窃取]B. 工具清单凭证窃取工具：GoTokenTheft：窃取访问令牌Rubeus：滥用 KerberosCertipy：收集 Active Directory 相关凭证和证书数据Active Directory 枚举工具：SharpHound：枚举用户、组、SPN、服务账户和域关系Certipy：证书相关枚举setspn：服务主体名称枚举dsquery、dsget：目录服务查询远程执行工具：Impacket：通过 WMI 和 DCOM 执行远程命令Invoke-WMIExec：WMI 命令执行GoExec：Go 编写的执行工具SharpWMI：Sharp 编写的 WMI 工具攻击者在检测阻止执行时会循环使用这些工具隧道和持久化工具：Earthworm：创建反向 SOCKS 隧道，将内部系统暴露给攻击者控制的基础设施DWAgent：用于维持访问权限和部署额外负载的远程管理工具C. 攻击目标根据执行的命令分析，攻击者的主要目标包括：凭证收集Active Directory 拓扑和信任关系安全策略和配置信息密码和设置信息D. 供应链攻击风险至少在一次入侵中，黑客窃取了受害者使用的产品 DLL 文件，这可能用于未来的木马化植入和供应链攻击。3. 数据与事实A. 组织归属Cisco Talos 对 UAT-8837 与中国运营的关联有中等信心，评估基于与其他已知中国关联威胁组织的战术、技术和程序（TTP）重叠。B. 检测绕过UAT-8837 主要使用开源系统和 LOTL 实用程序，不断循环变体以逃避检测。四、影响分析1. 行业影响A. 安全趋势零日漏洞利用持续威胁关键基础设施ViewState 反序列化成为 Web 应用攻击的重要向量LOTL 技术的使用增加了检测难度B. 攻击趋势针对初始访问的攻击组织专业化分工凭证窃取和 A…