2026-08-24 00:00
← VoltarPesquisadores de segurança cibernética divulgaram detalhes de um grupo de crimes cibernéticos de língua chinesa chamado UAT-10147, que tem como alvo servidores web Windows e Linux globalmente nos setores de educação, mídia, tecnologia e jogos. A grande maioria dos alvos está localizada no Brasil, Bolívia, China, Canadá e Vietnã. Detalhes da atividade de ameaça vieram à tona após a descoberta de um diretório aberto hospedado em “139.180.197[.]150”, que foi observado comunicando-se com uma das máquinas comprometidas. “O ator aproveitou vulnerabilidades divulgadas publicamente para obter acesso inicial em escala”, disse Cisco Talossai em um relatório de duas partes publicado na semana passada. O ator empregou uma mistura de estruturas ofensivas de código aberto, incluindo Metasploit, ysoserial, PentestGPT, DeepAudit e múltiplas explorações de escalonamento de privilégios para automatizar operações de intrusão e estabelecer persistência. geração, validação e persistência Especificamente, isso envolve o uso de IA para refinar explorações, solucionar problemas de lógica, automatizar fluxos de trabalho pós-exploração, validar explorações e gerar documentação operacional, indicando uma tentativa de implementar tradecraft ofensivo em escala. Uma análise do diretório exposto identificou um arquivo de texto contendo uma lista de alvos com aproximadamente 170.000 URLs, com o invasor dividindo-o em 17 arquivos menores contendo cerca de 10.000 URLs cada para analisar o conjunto com mais...
Pesquisadores de segurança cibernética divulgaram detalhes de um grupo de crimes cibernéticos de língua chinesa chamado UAT-10147, que tem como alvo servidores web Windows e Linux globalmente nos setores de educação, mídia, tecnologia e jogos. A grande maioria dos alvos está localizada no Brasil, Bolívia, China, Canadá e Vietnã. Detalhes da atividade de ameaça vieram à tona após a descoberta de um diretório aberto hospedado em “139.180.197[.]150”, que foi observado comunicando-se com uma das máquinas comprometidas. “O ator aproveitou vulnerabilidades divulgadas publicamente para obter acesso inicial em escala”, disse Cisco Talossai em um relatório de duas partes publicado na semana passada. O ator empregou uma mistura de estruturas ofensivas de código aberto, incluindo Metasploit, ysoserial, PentestGPT, DeepAudit e múltiplas explorações de escalonamento de privilégios para automatizar operações de intrusão e estabelecer persistência. geração, validação e persistência Especificamente, isso envolve o uso de IA para refinar explorações, solucionar problemas de lógica, automatizar fluxos de trabalho pós-exploração, validar explorações e gerar documentação operacional, indicando uma tentativa de implementar tradecraft ofensivo em escala. Uma análise do diretório exposto identificou um arquivo de texto contendo uma lista de alvos com aproximadamente 170.000 URLs, com o invasor dividindo-o em 17 arquivos menores contendo cerca de 10.000 URLs cada para analisar o conjunto com mais eficiência. Os destinos baseados na lista de alvos consistem nos EUA, na Índia, no Reino Unido, na Alemanha e na Holanda.
As cadeias de ataque envolvem a exploração de falhas conhecidas para obter execução remota de código (RCE) em um site ou em um servidor IIS vulnerável e, em seguida, executar um script automatizado para instalar e implantar malware para fraude de SEO ou roubo de dados. UAT-10147 é o seguinte - Curiosamente, o malware BadIIS principal é a mesma variante específica que é conhecida por operar sob um modelo de malware como serviço (MaaS) e é usada por vários grupos de crimes cibernéticos de língua chinesa. incluindoCVE-2022-0995,CVE-2021-3156,CVE-2015-5287,CVE-2015-3246,CVE-2010-3904 eCVE-2022-0847 Depois que o acesso no nível raiz é desbloqueado, o agente da ameaça foi observado implantando vários backdoors comoNoodle RAT(uma variante do Gh0st RAT e. Rekoobe), SPECTRE e Meterpreter para permitir conexões de saída para infraestrutura de comando e controle remoto (C2). Algumas das vulnerabilidades transformadas em armas pelo ator da ameaça ao longo da campanha incluemCVE-2022-27925(Zimbra),CVE-2021-23758(AjaxPro),CVE-2019-18935(Telerik UI para ASP.NET). AJAX),CVE-2021-29441 eCVE-2021-29442(Alibaba Nacos). "Ao rotear os dados exfiltrados para um serviço legítimo de gerenciamento de configuração baseado em nuvem, os invasores combinam efetivamente seu tráfego com operações administrativas normais", disse o pesquisador da Talos, Joey Chen. shell reverso persistente ou manutenção de conexões de entrada diretas." Um aspecto notável da habilidade comercial do UAT-10147 diz respeito a uma estrutura baseada em IA chamada DeepAudit para verificação de vulnerabilidades.
Talos disse que não encontrou nenhuma evidência de que o ator da ameaça explorasse vulnerabilidades descobertas pela ferramenta em ambientes de vítimas, embora tenha sido deixado acesso disponível no servidor de gerenciamento. Isto levantou a possibilidade de os invasores estarem planejando usar o DeepAudit para identificar vulnerabilidades nos ambientes alvo. Por outro lado, também é provável que possa ser usado para melhorar a sua própria postura defensiva, auditando proativamente a sua própria infraestrutura e ferramentas para evitar a potencial exposição e comprometimento por outros atores de ameaças. Descobriu-se também que o UAT-10147 instala o PentestGPT, uma estrutura de pentesting autônoma de código aberto, em seu servidor C2 para verificar servidores da Web e executar explorações de prova de conceito relevantes. Em um caso, diz-se que o agente da ameaça explorou com sucesso um site e coletou informações sobre o host da vítima usando comandos do Linux. Outra ferramenta orientada para IA usada pelo agente da ameaça é um guia de execução remota de código de desserialização ASP.NET ViewState, que se aprofunda nos seguintes aspectos - Quatro outras ferramentas geradas por IA usadas pelo UAT-10147 são scripts Python: uma que atua como um utilitário de diagnóstico pós-exploração para solucionar problemas, entre outras coisas, de falhas de gravação de shell da web, enquanto a segunda usa a primitiva de desserialização ViewState para baixar e iniciar o implante SPECTRE. O terceiro script implanta o web shell ASHX no servidor IIS comprometido por meio do mesmo mecanismo de desserialização. O script final é responsável por combinar o tráfego de exfiltração com o tráfego legítimo de software como serviço (SaaS) por HTTPS e transmitir a enumeração do webfoot, o inventário do site IIS e os detalhes de avaliação de privilégios para um endpoint de webhook.
SPECTRE, de acordo com Talos, é um backdoor multiplataforma escrito em C que apresenta técnicas de ofuscação e anti-análise para passar despercebido pelo radar. Ele se comunica com um servidor C2 usando HTTPS e suporta até 45 comandos que concedem ao operador amplo controle sobre o endpoint infectado. O primeiro uso do implante pelo ator da ameaça remonta a abril de 2026. “O recém-identificado implante SPECTRE representa uma evolução significativa em ferramentas de intrusão de commodities, integrando operações de comando e controle (C2) de plataforma cruzada, injeção de processo, roubo de credenciais, proteções anti-análise e funcionalidade de desvio de detecção e resposta de endpoint (EDR) em nível de kernel”, Talossaid. A versão do Windows está equipada para executar operações de arquivo, registrar pressionamentos de tecla, fazer capturas de tela, baixar / fazer upload de arquivos, executar comandos shell, obter processos em execução, encerrar um processo específico, obter informações do sistema, definir intervalo de suspensão do beacon, modificar carimbos de data / hora do arquivo, injetar código shell, usar esvaziamento de processo e injeção Early Bird APC, eliminar processos EDR usando a técnica traga seu próprio driver vulnerável (BYOVD), exclua-se do host. O ataque BYOVD utiliza dois drivers vulneráveis bem conhecidos, "RTCore64.sys" da MSI (CVE-2019-16098) e "DBUtil_2_3.sys" da Dell (CVE-2021-21551) para obter privilégios elevados e encerrar processos relacionados à segurança. “Ao realizar gravações direcionadas no kernel, o SPECTRE desvincula com segurança cada retorno de chamada EDR registrado de sua lista duplamente vinculada”, explicou Talos. "Consequentemente, produtos de segurança dependentes de retorno de chamada do kernel, como CrowdStrike Falcon, SentinelOne, Microsoft Defender e outros fornecedores de EDR conhecidos, ficam completamente cegos para novas criações de processos, criações de threads e eventos de carregamento de imagem durante o restante da sessão, neutralizando com sucesso a visibilidade do EDR na máquina de destino." A variante Linux do SPECTRE segue mais ou menos o mesmo padrão, executando uma série de verificações anti-sandbox antes de configurar uma conexão C2.
Ambas as versões empregam um mecanismo de pontuação ponderada que faz com que o programa seja encerrado automaticamente se a pontuação exceder 50 pontos. A avaliação é baseada em listas de bloqueio de nomes de processos, capacidade de RAM, contagem de núcleos de CPU, espaço em disco, detecção de aceleração de suspensão e nomes de host e nomes de usuário comuns de sandbox. O conjunto de instruções da versão Linux, por outro lado, suporta apenas 29 comandos que abrangem manipulação do sistema de arquivos, reconhecimento de sistema e processo, gerenciamento de agente e você. execução de shell restrita. Sua capacidade mais potente é um rootkit integrado em nível de kernel chamado Spectre, que é implantado como um módulo de kernel. Suspeita-se que o rootkit foi desenvolvido usando uma combinação de desenvolvimento assistido por IA e experiência humana, dada a presença de comentários descritivos no código-fonte, separadores decorativos uniformes para explicar cada função e a presença de vários métodos para atingir o mesmo propósito – algo que os modelos de IA são conhecidos por gerar quando solicitados a serem completos, em vez de apenas implementar o método mais eficaz. “Essa arquitetura concede ao agente da ameaça controle persistente em nível de kernel do host comprometido que sobrevive tanto às reinicializações quanto à maioria dos controles de segurança em nível de usuário”, disse Talos. "O backdoor Spectre carrega o rootkit do Kernel Linux, Spectre, para evitar a detecção de produtos de segurança." A IA pode encontrar e encadear vulnerabilidades em minutos.
Esta sessão oferece um roteiro prático para fortalecer a visibilidade, a resposta e a correção. A IA está ajudando as equipes a enviar códigos de 10 a 50 vezes mais rápido. Esta sessão mostra como evitar que a segurança fique para trás. Receba as últimas notícias, insights de especialistas, recursos exclusivos e estratégias de líderes do setor, tudo gratuitamente.