Wprowadzenie do problemu / definicja
UAT-10147 to oznaczenie kampanii przypisywanej chińskojęzycznemu aktorowi zagrożeń, który koncentruje się na atakach na publicznie dostępne serwery WWW działające pod kontrolą Windows i Linuksa. Najważniejszą cechą tej operacji jest praktyczne wykorzystanie narzędzi wspieranych przez sztuczną inteligencję do przyspieszania rekonesansu, walidacji podatności, generowania ładunków oraz działań po uzyskaniu dostępu.
W centrum technicznej części kampanii znajduje się SPECTRE, czyli wieloplatformowy backdoor zaprojektowany do utrzymania dostępu, ukrywania aktywności i obchodzenia rozwiązań ochronnych. To połączenie automatyzacji, gotowych exploitów i zaawansowanego malware pokazuje, że AI staje się realnym akceleratorem operacji ofensywnych, a nie tylko eksperymentalnym dodatkiem.
W skrócie
- UAT-10147 atakuje internetowo dostępne serwery WWW w wielu sektorach, m.in. edukacji, mediach, technologii i gamingu.
- Grupa wykorzystuje znane podatności prowadzące do zdalnego wykonania kodu, a następnie automatyzuje kolejne etapy kompromitacji.
- W kampanii obserwowano użycie narzędzi takich jak BadIIS, Quasar RAT, Gh0stCringe, Noodle RAT oraz SPECTRE.
- Operatorzy mieli wykorzystywać rozwiązania AI, w tym PentestGPT i DeepAudit, do przyspieszania działań ofensywnych.
- Szczególne zagrożenie stanowi obejście EDR w Windows metodą BYOVD oraz linuksowy rootkit działający na poziomie jądra.
Kontekst / historia
Aktywność UAT-10147 została opisana po analizie infrastruktury powiązanej z napastnikami oraz danych pochodzących ze skompromitowanych środowisk. Z ustaleń badaczy wynika, że operacja miała charakter szeroko zakrojony, a lista potencjalnych celów obejmowała około 170 tysięcy adresów URL podzielonych na mniejsze zestawy robocze. Najwięcej celów znajdowało się w Stanach Zjednoczonych, Indiach, Wielkiej Brytanii, Niemczech i Niderlandach.
Kampania nie opierała się na jednym wektorze wejścia. Atakujący korzystali z wielu publicznie znanych luk w oprogramowaniu, m.in. w Zimbrze, Telerik UI for ASP.NET AJAX, AjaxPro oraz Alibaba Nacos. Po uzyskaniu przyczółka uruchamiane były skrypty automatyzujące pobieranie kolejnych komponentów, eskalację uprawnień oraz wdrażanie mechanizmów trwałości.
W tym przypadku szczególnie istotny jest aspekt wykorzystania AI. Nie chodzi jedynie o wsparcie analityczne, ale o operacyjne użycie narzędzi, które skracają czas od wykrycia podatnego systemu do pełnej kompromitacji. To ważny sygnał dla obrońców, ponieważ skala i tempo takich kampanii mogą rosnąć szybciej niż w klasycznych modelach działania grup intruzyjnych.
Analiza techniczna
Łańcuch ataku zwykle rozpoczynał się od wykorzystania znanej podatności prowadzącej do RCE na serwerze WWW lub podatnym serwerze IIS. Następnie wdrażano zestaw skryptów odpowiedzialnych za pobieranie dodatkowych narzędzi, podnoszenie uprawnień i uruchamianie właściwego malware. W środowiskach Windows operatorzy wykorzystywali między innymi certutil do pobierania komponentów, EfsPotato do eskalacji uprawnień oraz mechanizmy wykluczeń w Microsoft Defenderze w celu ograniczenia wykrywalności.
Po uzyskaniu uprawnień SYSTEM instalowane były kolejne implanty. Wśród nich znalazł się BadIIS, znany z nadużyć związanych z oszustwami SEO i utrzymywaniem ukrytego dostępu przez moduły IIS. Dodatkowo obserwowano Quasar RAT, web shelle typu ASHX oraz zadania harmonogramu maskowane nazwami przypominającymi legalne komponenty systemowe.
Na serwerach linuksowych schemat działania pozostawał podobny. Najpierw uzyskiwano przyczółek poprzez eksploatację podatności, a następnie przeprowadzano lokalną eskalację uprawnień do roota z wykorzystaniem znanych błędów, takich jak CVE-2021-3156, CVE-2022-0847 czy CVE-2022-0995. Po przejęciu hosta wdrażano backdoory zapewniające trwałą komunikację z infrastrukturą C2.
Najbardziej zaawansowanym elementem kampanii był SPECTRE. To napisany w języku C backdoor dla Windows i Linuksa, komunikujący się przez HTTPS i udostępniający szeroki zestaw komend operatorskich. Wariant windowsowy obsługuje m.in. operacje na plikach, wykonywanie poleceń powłoki, keylogging, zrzuty ekranu, transfer danych, enumerację procesów, shellcode injection, process hollowing oraz technikę Early Bird APC. Dodatkowo potrafi usuwać się z systemu i modyfikować znaczniki czasowe plików, co utrudnia analizę powłamaniową.
Kluczową funkcją windowsowej wersji SPECTRE jest obejście EDR poprzez BYOVD. Malware wykorzystuje podatne sterowniki, takie jak RTCore64.sys oraz DBUtil_2_3.sys, aby uzyskać uprzywilejowany dostęp do jądra i dezaktywować callbacki używane przez rozwiązania EDR do monitorowania aktywności procesów. W praktyce znacząco ogranicza to widoczność działań napastnika po eskalacji uprawnień.
Wersja linuksowa oferuje mniejszy zestaw komend, ale zawiera szczególnie groźny moduł rootkita Specter. Działa on na poziomie jądra, ma zapewniać trwałość po restarcie i ukrywać aktywność przed kontrolami działającymi w przestrzeni użytkownika. Badacze zwracają również uwagę, że sam rootkit mógł zostać opracowany przy wsparciu AI, na co mają wskazywać styl kodu i widoczna redundancja implementacyjna.
Istotnym elementem operacji było także wykorzystywanie legalnie wyglądających usług do eksfiltracji danych i walidacji skuteczności włamań. Zamiast klasycznych reverse shelli operatorzy mogli mieszać ruch z normalną administracją, co dodatkowo utrudniało detekcję.
Konsekwencje / ryzyko
Kampania UAT-10147 pokazuje, że połączenie publicznie dostępnych exploitów, gotowych frameworków ofensywnych i narzędzi AI pozwala prowadzić szeroko zakrojone operacje bez konieczności budowania całego arsenału od zera. To obniża próg wejścia, zwiększa tempo działań i skraca czas potrzebny do osiągnięcia pełnej kompromitacji.
Dla organizacji największe ryzyko dotyczy serwerów internetowych, szczególnie IIS oraz hostów linuksowych obsługujących aplikacje webowe. Kompromitacja takich systemów może prowadzić do kradzieży danych, manipulacji treścią stron, oszustw SEO, instalacji dodatkowych furtkek oraz wykorzystania zasobów ofiary do dalszych operacji.
Najgroźniejsze są dwa aspekty tej kampanii. Po pierwsze, zdolność do obchodzenia EDR w Windows znacząco utrudnia wykrycie działań napastnika po uzyskaniu wysokich uprawnień. Po drugie, obecność rootkita jądra w Linuksie zwiększa szanse na długotrwałe utrzymanie się w środowisku nawet po podstawowych działaniach naprawczych. Organizacje, które ograniczą reakcję do usunięcia pojedynczych plików malware, mogą pozostawić aktywne mechanizmy trwałości.
Rekomendacje
Priorytetem powinno być szybkie ograniczenie powierzchni ataku na serwerach publicznie dostępnych oraz założenie, że kompromitacja serwera WWW może oznaczać pełne przejęcie uprzywilejowane. Działania obronne powinny obejmować zarówno warstwę aplikacyjną, jak i systemową.
- Przyspieszyć patch management dla aplikacji webowych, serwerów IIS, Zimbry, Telerik UI, AjaxPro, Nacos oraz systemów operacyjnych narażonych na lokalną eskalację uprawnień.
- Przeprowadzić przegląd mechanizmów trwałości na hostach Windows i Linux, w tym zadań harmonogramu, modułów IIS, nietypowych usług, web shelli i elementów startowych.
- Monitorować użycie narzędzi takich jak certutil, PowerShell, skrypty batch, exploity z rodziny Potato oraz nietypowe modyfikacje konfiguracji Defendera.
- Wdrożyć kontrolę ładowania sterowników i blokowanie znanych podatnych sterowników wykorzystywanych w scenariuszach BYOVD.
- Rozszerzyć telemetrię o zdarzenia jądra, integralność modułów oraz anomalie w callbackach i sterownikach EDR.
- Na serwerach linuksowych przeprowadzić inspekcję modułów jądra, persistence i oznak ukrywania procesów lub artefaktów rootkitowych.
- Skorelować ruch wychodzący HTTPS z nietypową aktywnością na serwerach aplikacyjnych, zwłaszcza gdy hosty komunikują się z usługami niespowiązanymi z normalnym profilem biznesowym.
- Wykonać threat hunting pod kątem artefaktów związanych z BadIIS, Quasar RAT, Gh0stCringe, Noodle RAT oraz SPECTRE.
W środowiskach potencjalnie dotkniętych incydentem warto traktować zdarzenie jako pełną kompromitację. W praktyce oznacza to rotację poświadczeń, ponowne wdrożenie zaufanych obrazów systemowych oraz weryfikację integralności infrastruktury, a nie tylko punktowe usuwanie pojedynczych plików.
Podsumowanie
Sprawa UAT-10147 dobrze pokazuje zmianę jakościową w krajobrazie zagrożeń. Najważniejsza nie jest sama obecność AI, lecz jej skuteczne włączenie do dojrzałego łańcucha ataku. Operatorzy połączyli masowe skanowanie i eksploatację znanych luk z automatyzacją działań po włamaniu, a następnie wsparli całość zaawansowanym implantem SPECTRE.
Z perspektywy obrony oznacza to konieczność równoległego wzmacniania higieny podatności, telemetrii serwerowej, kontroli sterowników oraz zdolności wykrywania trwałości na poziomie jądra. Organizacje, które nadal traktują serwery webowe wyłącznie jako element aplikacyjny, a nie pełnoprawny punkt wejścia do środowiska, pozostają w strefie podwyższonego ryzyka.
Źródła
- https://thehackernews.com/2026/08/uat-10147-uses-ai-to-scale-server.html
- https://blog.talosintelligence.com/uat-10147-chinese-speaking-adversary-integrates-agentic-ai-into-post-compromise-operations/
- https://blog.talosintelligence.com/uat-10147-deploys-spectre-a-cross-platform-implant-with-linux-rootkit-and-byovd-capabilities/
- https://nvd.nist.gov/vuln/detail/CVE-2021-3156
- https://nvd.nist.gov/vuln/detail/CVE-2022-0847