De recent ontdekte dreigingsactor UNC6692 maakt gebruik van een combinatie van e-mailbombardementen en social engineering om slachtoffers te misleiden en kwaadaardige code uit te voeren, meldt de Google Threat Intelligence Group (GTIG). In december 2025 werd vastgesteld dat UNC6692 doelwitten overspoelde met e-mails en vervolgens contact zocht via Microsoft Teams, waarbij de aanvallers zich voordeden als medewerkers van de IT-helpdesk. Onder het mom van hulp bij het grote aantal binnenkomende berichten, werden slachtoffers verleid om op een URL te klikken die leidde naar een phishingpagina met een nep mailbox-reparatieprogramma.

De phishingpagina controleerde of er een e-mailparameter in de link zat en of de browser van het slachtoffer Microsoft Edge was. Vervolgens werd een scherm getoond dat leek op het reparatieprogramma. Bij het klikken op een ‘health check’-knop verscheen een valse authenticatiebox om inloggegevens te verzamelen en te valideren. Een nep voortgangsbalk moest argwaan voorkomen. Achter de schermen werd een script uitgevoerd dat een AutoHotKey-binary en een AutoHotKey-script naar het systeem downloadde. Na uitvoering infecteerden deze payloads het systeem met een JavaScript-gebaseerde backdoor, genaamd Snowbelt, die als een Chromium-browserextensie werd geïnstalleerd.

Om persistente toegang te waarborgen, voegde de malware een snelkoppeling naar het AutoHotKey-script toe aan de Windows-opstart en creëerde twee geplande taken. Deze taken startten een vensterloze Edge-process en laadden Snowbelt, en beëindigden headless Edge-processen. Met de kwaadaardige extensie werden vervolgens extra payloads gedownload, waaronder AutoHotKey-scripts, een ZIP-archief, de Snowglaze-tunnel en de Snowbasin-malware, vanuit een door de aanvallers beheerde AWS S3-bucket.

UNC6692 gebruikte Snowglaze om via een Sysinternals PsExec-sessie het systeem te benaderen en administratoraccounts te inventariseren. Met een van deze accounts startte de dreigingsactor een Remote Desktop Protocol (RDP)-sessie naar een back-upserver via de Snowglaze-tunnel. Hoewel niet direct waargenomen, vermoedt GTIG dat de aanvallers lokale administratorcredentials via meerdere aanvalspaden, zoals geauthenticeerde Server Message Block (SMB)-share-enumeratie, hebben verkregen. Vervolgens werd het geheugen van het LSASS-proces op de back-upserver uitgelezen en via LimeWire geëxfiltreerd om gebruikersnamen, wachtwoorden en account-hashes te achterhalen.

Met behulp van Pass-The-Hash kreeg UNC6692 toegang tot de domeincontroller van het netwerk. Daar werd FTK Imager gedownload en gebruikt om de lokale opslag te mounten en belangrijke Active Directory-bestanden, waaronder de Security Account Manager (SAM), System en Security registry hives, naar de map 5Downloads 5 te kopiëren. Ook deze data werd via LimeWire geëxfiltreerd.

De modulaire ‘Snow’-malware bestaat uit drie hoofdcomponenten: Snowbelt, Snowglaze en Snowbasin. Deze vormen samen een gecoördineerde keten die de aanvallers van browsertoegang naar het interne netwerk van de organisatie leidt. Snowbelt onderschept en voert opdrachten uit via Snowbasin en zorgt voor geauthenticeerde toegang, wat laterale beweging en privilege-escalatie mogelijk maakt. Snowglaze is een Python-gebaseerde tunneler die een beveiligde WebSocket-tunnel naar de command-and-control-server opzet, SOCKS-proxyfuncties faciliteert en kwaadaardig verkeer verbergt. Snowbasin functioneert als een persistente backdoor en lokale HTTP-server die commando-uitvoering, screenshot-captures en dataverzameling ondersteunt.

De campagne van UNC6692 laat zien hoe moderne aanvallers social engineering combineren met technische evasietechnieken om een voet tussen de deur te krijgen in netwerken. Door kwaadaardige componenten te hosten op vertrouwde cloudplatforms, kunnen zij traditionele netwerkfilters omzeilen en opgaan in het grote volume legitiem cloudverkeer, aldus GTIG. Meer informatie over deze dreiging is te vinden in het onderzoek van Google Threat Intelligence Group.