Pesquisadores de cibersegurança divulgaram detalhes de um grupo criminoso de língua chinesa, identificado como UAT-10147, que está mirando servidores web em Windows e Linux no mundo todo, com foco nos setores de educação, mídia, tecnologia e games.
A maior parte dos alvos está localizada no Brasil, na Bolívia, na China, no Canadá e no Vietnã. Os detalhes da atividade maliciosa vieram à tona após a descoberta de um diretório aberto hospedado em "139.180.197[.]150", que foi visto se comunicando com uma das máquinas comprometidas.
"O agente explorou vulnerabilidades divulgadas publicamente para obter acesso inicial em larga escala", afirmou a Cisco Talos em um relatório em duas partes publicado na semana passada. "O grupo empregou uma mistura de estruturas ofensivas de código aberto, incluindo Metasploit, ysoserial, PentestGPT, DeepAudit e múltiplos exploits de elevação de privilégio para automatizar operações de intrusão e estabelecer persistência."
O UAT-10147 é descrito como um threat actor que realiza fraude de otimização para mecanismos de busca, ou SEO, e roubo de dados, ao mesmo tempo em que integra ferramentas com IA em várias fases do ciclo de ataque para facilitar exploração, reconhecimento, geração de payload, validação e persistência.
Na prática, isso inclui o uso de IA para refinar exploits, corrigir falhas lógicas, automatizar fluxos de trabalho pós-exploração, validar exploits e gerar documentação operacional, o que indica uma tentativa de aplicar táticas ofensivas em escala.
A análise do diretório exposto identificou um arquivo de texto com uma lista de alvos contendo cerca de 170.000 URLs. O invasor dividiu esse material em 17 arquivos menores, com cerca de 10.000 URLs cada, para processar o conjunto com mais eficiência. Os cinco principais destinos da lista são Estados Unidos, Índia, Reino Unido, Alemanha e Países Baixos.
As cadeias de ataque envolvem a exploração de falhas conhecidas para obter execução remota de código (RCE) em um site ou em um servidor IIS vulnerável e, em seguida, a execução de um script automatizado para instalar e implantar malware voltado à fraude de SEO ou ao roubo de dados. Em alguns casos, há a implantação de uma web shell, que abre caminho para o BadIIS e para outros backdoors com acesso persistente.
Outras etapas observadas nas ações do UAT-10147 incluem:
- uso de um script em lote que emprega certutil para baixar uma ferramenta de elevação de privilégio ("EfsPotato"), um segundo script em lote e o Quasar RAT a partir de um servidor remoto ("adminapi.tippusoni[.]in")
- uso do EfsPotato para obter privilégios elevados de sistema e configurar exclusões no Microsoft Defender
- exclusão dos payloads iniciais para apagar vestígios e dificultar a análise forense
- implantação de implantes subsequentes como Gh0stCringe e um implante multiplataforma até então não documentado, chamado SPECTRE
- uso do segundo script em lote para executar silenciosamente o Quasar RAT e estabelecer persistência com uma tarefa agendada enganosa chamada "Google Chrome Start"
- abuso de privilégios elevados para baixar um terceiro script em lote, que então instala o BadIIS
De forma curiosa, o malware central BadIIS é a mesma variante específica conhecida por operar sob um modelo malware-as-a-service (MaaS) e já usada por vários grupos criminosos de língua chinesa.
Nos ataques em Linux, o grupo também explora várias vulnerabilidades conhecidas para obter um ponto de apoio inicial e, depois, abusa de diferentes exploits conhecidos de elevação local de privilégio (LPE) para chegar ao nível root, incluindo
CVE-2022-0995
,
CVE-2021-3156
,
CVE-2015-5287
,
CVE-2015-3246
,
CVE-2010-3904
e
CVE-2022-0847
.
Uma vez obtido o acesso root, o threat actor foi observado implantando múltiplos backdoors como Noodle RAT, uma variante de Gh0st RAT e Rekoobe, além de SPECTRE e Meterpreter, para viabilizar conexões de saída com a infraestrutura remota de command and control (C2). Entre as vulnerabilidades armadas pelo grupo ao longo da campanha estão
CVE-2022-27925
, em Zimbra,
CVE-2021-23758
, em AjaxPro,
CVE-2019-18935
, em Telerik UI for ASP.NET AJAX, e CVE-2021-29441 e
CVE-2021-29442
, em Alibaba Nacos.
"Ao direcionar os dados exfiltrados para um serviço legítimo de gerenciamento de configuração em cloud, os atacantes conseguem misturar seu tráfego com operações administrativas normais", afirmou o pesquisador da Talos, Joey Chen. "Essa escolha de infraestrutura atua como um coletor assíncrono de exfiltração, permitindo que os adversários consultem sua própria instância do Nacos para verificar se a exploração foi bem-sucedida em diferentes vítimas, sem o custo operacional nem o risco de detecção associados à criação de uma shell reversa persistente ou à manutenção de conexões de entrada diretas."
Um aspecto notável das táticas do UAT-10147 é o uso de um framework orientado por IA chamado DeepAudit para varredura de vulnerabilidades. A Talos disse não ter encontrado evidências de que o threat actor tenha explorado, em ambientes das vítimas, falhas descobertas pela ferramenta, embora ela estivesse acessível no servidor de gerenciamento.
Isso levanta a possibilidade de que os atacantes pretendam usar o DeepAudit para identificar vulnerabilidades nos ambientes-alvo. Por outro lado, também é possível que a ferramenta seja usada para reforçar sua própria postura defensiva, auditando proativamente sua infraestrutura e suas ferramentas para evitar exposição e comprometimento por outros threat actors.
O UAT-10147 também foi flagrado instalando o PentestGPT, um framework open source autônomo de testes de intrusão, em seu servidor de C2 para varrer servidores web e executar exploits de prova de conceito relevantes. Em um caso, o threat actor teria explorado com sucesso um site e coletado informações sobre o host da vítima usando comandos Linux.
Outra ferramenta voltada a IA usada pelo grupo é um guia de execução remota de código para desserialização de ViewState em ASP.NET, que aborda os seguintes pontos:
- uso da biblioteca badsecrets, que reúne configurações públicas conhecidas ou vazadas de MachineKey do ASP.NET, verificação da validade da chave, uso do ysoserial.net para criar payloads maliciosos de desserialização que burlam a proteção do ViewState com a MachineKey exposta e obtenção de execução de código
- realização de reconhecimento sistemático após a execução do código via PowerShell para coletar informações do sistema, tokens de privilégio, listagens de diretórios web, configurações de sites IIS, dados de interfaces de rede e processos em execução, com exfiltração para um webhook remoto
- estabelecimento de acesso interativo persistente com SPECTRE ou, alternativamente, gravação de uma web shell ASHX no diretório raiz do IIS e uso de uma shell reversa TCP em PowerShell
- elevação de privilégios da identidade IIS AppPool para SYSTEM com ferramentas da família Potato ou com SPECTRE, por meio de uma rotina interna chamada "spectre_potato()"
Outras quatro ferramentas geradas por IA usadas pelo UAT-10147 são scripts em Python. Um deles atua como utilitário de diagnóstico pós-exploração para corrigir, entre outros problemas, falhas na gravação de web shell, enquanto o segundo usa o primitive de desserialização do ViewState para baixar e iniciar o implante SPECTRE.
O terceiro script implanta a web shell ASHX no servidor IIS comprometido por meio do mesmo mecanismo de desserialização. O script final é responsável por mesclar o tráfego de exfiltração com tráfego legítimo de software-as-a-service (SaaS) sobre HTTPS e enviar informações de enumeração de webfoot, inventário de sites IIS e detalhes de avaliação de privilégios para um endpoint de webhook.
Segundo a Talos, o SPECTRE é um backdoor multiplataforma escrito em C que usa técnicas de ofuscação e antianálise para passar despercebido. Ele se comunica com um servidor de C2 via HTTPS e suporta até 45 comandos, que dão ao operador amplo controle sobre o endpoint infectado. O primeiro uso do implante pelo threat actor remonta a abril de 2026.
"O implante SPECTRE, recém-identificado, representa uma evolução significativa em ferramentas genéricas de intrusão, ao integrar operações de command and control (C2) multiplataforma, injeção de processos, roubo de credenciais, proteções contra análise e funcionalidade de bypass de detecção e resposta em endpoint (EDR) em nível de kernel", disse a Talos.
A versão para Windows é capaz de realizar operações com arquivos, registrar teclas digitadas, fazer capturas de tela, baixar e enviar arquivos, executar comandos de shell, listar processos em execução, encerrar processos específicos, obter informações do sistema, ajustar o intervalo de sono do beacon, modificar carimbos de tempo de arquivos, injetar shellcode, usar process hollowing e injeção Early Bird APC, encerrar processos de EDR com a técnica bring your own vulnerable driver (BYOVD) e se apagar do host.
O ataque BYOVD usa dois drivers vulneráveis conhecidos, o RTCore64.sys da MSI, identificado por
CVE-2019-16098
, e o DBUtil_2_3.sys da Dell, identificado por
CVE-2021-21551
, para obter privilégios elevados e encerrar processos relacionados à segurança.
"Ao realizar gravações direcionadas no kernel, o SPECTRE remove com segurança o vínculo de cada callback de EDR registrado de sua lista duplamente encadeada", explicou a Talos. "Como consequência, produtos de segurança que dependem de callbacks do kernel, como CrowdStrike Falcon, SentinelOne, Microsoft Defender e outros fornecedores conhecidos de EDR, ficam completamente cegos para novas criações de processo, criações de thread e eventos de carregamento de imagem durante o restante da sessão, neutralizando com sucesso a visibilidade do EDR na máquina-alvo."
A variante do SPECTRE para Linux segue, em linhas gerais, o mesmo padrão, executando uma série de verificações anti-sandbox antes de estabelecer uma conexão com C2. As duas versões usam um mecanismo de pontuação ponderada que faz o programa se autodestruir se a pontuação ultrapassar 50 pontos. A avaliação considera bloqueios por nomes de processos, capacidade de RAM, número de núcleos de CPU, espaço em disco, detecção de aceleração do sono e nomes de host e usuários comuns em sandbox.
O conjunto de comandos da versão Linux, por outro lado, suporta apenas 29 instruções, que abrangem manipulação do sistema de arquivos, reconhecimento do sistema e dos processos, gerenciamento do agente e execução irrestrita de shell. Seu recurso mais potente é um rootkit integrado em nível de kernel, chamado Specter, implantado como um módulo de kernel.
Suspeita-se que o rootkit tenha sido desenvolvido com uma combinação de desenvolvimento assistido por IA e conhecimento humano, devido à presença de comentários descritivos no código-fonte, separadores decorativos uniformes para explicar cada função e múltiplos métodos para alcançar o mesmo objetivo, algo que modelos de IA costumam gerar quando recebem instruções para serem detalhistas, em vez de apenas implementar o método mais eficaz.
"Essa arquitetura garante ao threat actor controle persistente em nível de kernel sobre o host comprometido, sobrevivendo tanto a reinicializações quanto à maioria dos controles de segurança em nível de usuário", afirmou a Talos. "O backdoor Spectre carrega o rootkit Linux Specter para impedir a detecção por produtos de segurança."
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...