Cybersecurity-onderzoekers hebben details bekendgemaakt van een Chineessprekende cybercriminaliteitsgroep genaamd UAT-10147 dat zich richt op Windows- en Linux-webservers wereldwijd in de sectoren onderwijs, media, technologie en gaming.
De overgrote meerderheid van de doelwitten bevindt zich in Brazilië, Bolivia, China, Canada en Vietnam. Details van de bedreigingsactiviteit kwamen aan het licht na de ontdekking van een open directory gehost op “139.180.197(.)150”, waarbij werd waargenomen dat deze communiceerde met een van de gecompromitteerde machines.
“De actor maakte gebruik van openbaar gemaakte kwetsbaarheden om initiële toegang op grote schaal te verkrijgen”, zei Cisco Talos in een tweedelig rapport dat vorige week werd gepubliceerd. De acteur gebruikte een mix van open-source offensieve raamwerken, waaronder Metasploit, ysoserial, PentestGPT, DeepAudit en meerdere exploits voor escalatie van bevoegdheden om inbraakoperaties te automatiseren en persistentie te bewerkstelligen.
UAT-10147 is beschreven als een bedreigingsacteur die fraude met zoekmachineoptimalisatie (SEO) en gegevensdiefstal uitvoert, terwijl hij door kunstmatige intelligentie (AI) aangedreven tools integreert in verschillende fasen van de aanvalscyclus om exploitatie, verkenning, het genereren van payloads, validatie en persistentie te vergemakkelijken.
Concreet gaat het hierbij om het gebruik van AI om exploits te verfijnen, logica op te lossen, workflows na exploitatie te automatiseren, exploits te valideren en operationele documentatie te genereren, wat wijst op een poging om offensief vakmanschap op grote schaal te implementeren.
Een analyse van de blootgestelde map heeft een tekstbestand geïdentificeerd met een doellijst met ongeveer 170.000 URL’s, waarbij de aanvaller dit opsplitste in 17 kleinere bestanden met elk ongeveer 10.000 URL’s om de set efficiënter te kunnen parseren. De top vijf bestemmingen op basis van de doelgroeplijst bestaan uit de VS, India, Groot-Brittannië, Duitsland en Nederland.
Aanvalsketens omvatten het exploiteren van bekende fouten om externe code-uitvoering (RCE) op een website of een kwetsbare IIS-server te bewerkstelligen, en vervolgens een geautomatiseerd script uit te voeren om malware te installeren en in te zetten voor SEO-fraude of het stelen van gegevens. Bepaalde exemplaren vereisen de implementatie van een webshell, die vervolgens de weg vrijmaakt voor BadIIS en extra achterdeurtjes voor permanente toegang.
Enkele van de andere stappen die door UAT-10147 worden ondernomen, zijn als volgt:
- Een batchscript gebruiken dat certutil gebruikt om een privilege-escalatietool (“EfsPotato”), een secundair batchscript en Quasar RAT te downloaden van een externe server (“adminapi.tippusoni(.)in”)
- Gebruik EfsPotato om verhoogde systeemrechten te verkrijgen en configureer Microsoft Defender-uitsluitingen
- Het verwijderen van initiële ladingen om de sporen ervan uit te wissen en forensische analyse te dwarsbomen
- Inzet van vervolgimplantaten zoals Gh0stCringe en een niet eerder gerapporteerd platformonafhankelijk implantaat genaamd SPECTRE
- Het secundaire batchscript gebruiken om Quasar RAT stil uit te voeren en persistentie tot stand te brengen met behulp van een misleidende geplande taak met de naam ‘Google Chrome Start’
- Misbruik van de verhoogde rechten om een derde batchscript te downloaden, dat vervolgens BadIIS installeert
Interessant genoeg is de kernmalware van BadIIS dezelfde specifieke variant waarvan bekend is dat deze werkt onder een Malware-as-a-Service (MaaS)-model en wordt gebruikt door meerdere Chineessprekende cybercriminaliteitsgroepen.
De Linux-aanvallen maken, net als in dit geval, gebruik van verschillende bekende kwetsbaarheden om een eerste voet aan de grond te krijgen, gevolgd door misbruik van verschillende bekende Local Privilege Escalation (LPE) exploits om naar de root te escaleren, waaronder CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 en CVE-2022-0847.
Zodra de toegang op rootniveau is ontgrendeld, is waargenomen dat de bedreigingsacteur meerdere achterdeurtjes inzet, zoals Noodle RAT (een variant van Gh0st RAT en Rekoobe), SPECTRE en Meterpreter om uitgaande verbindingen met de C2-infrastructuur (remote command-and-control) mogelijk te maken. Enkele van de kwetsbaarheden die door de bedreigingsacteur in de loop van de campagne zijn bewapend, zijn onder meer CVE-2022-27925 (Zimbra), CVE-2021-23758 (AjaxPro), CVE-2019-18935 (Telerik UI voor ASP.NET AJAX), CVE-2021-29441 en CVE-2021-29442 (Alibaba Nacos).
“Door de geëxfiltreerde gegevens naar een legitieme cloudgebaseerde configuratiebeheerservice te sturen, combineren de aanvallers hun verkeer effectief met normale administratieve activiteiten”, zegt Talos-onderzoeker Joey Chen. “Deze infrastructuurkeuze fungeert als een asynchrone exfiltratie-sink, waardoor de tegenstanders hun eigen Nacos-instantie kunnen ondervragen om succesvolle uitbuiting door slachtoffers te verifiëren zonder de operationele overhead of het detectierisico van het opzetten van een persistente reverse shell of het onderhouden van directe inkomende verbindingen.”
Een opmerkelijk aspect van het vakmanschap van UAT-10147 betreft een AI-gestuurd raamwerk genaamd DeepAudit voor het scannen van kwetsbaarheden. Talos zei dat het geen bewijs heeft gevonden dat de bedreigingsacteur misbruik maakt van de kwetsbaarheden die door de tool zijn ontdekt in slachtofferomgevingen, hoewel deze toegankelijk bleef op de beheerserver.
Dit heeft de mogelijkheid vergroot dat de aanvallers van plan zijn DeepAudit te gebruiken om kwetsbaarheden in doelomgevingen te identificeren. Omgekeerd is het ook waarschijnlijk dat het kan worden gebruikt om hun eigen defensieve houding te verbeteren door proactief hun eigen infrastructuur en instrumenten te controleren om potentiële blootstelling en compromittering door andere bedreigingsactoren te voorkomen.
Er is ook gevonden dat UAT-10147 PentestGPT, een open-source autonoom pentesting-framework, op hun C2-server installeert om webservers te scannen en relevante proof-of-concept-exploits uit te voeren. In één geval zou de bedreigingsacteur met succes een website hebben uitgebuit en informatie over de slachtofferhost hebben verzameld met behulp van Linux-opdrachten.
Een andere AI-georiënteerde tool die door de bedreigingsacteur wordt gebruikt, is een ASP.NET ViewState deserialisatie-handleiding voor het op afstand uitvoeren van code, die ingaat op de volgende aspecten:
- Gebruikmakend van de badsecrets-bibliotheek met publiekelijk bekende of gelekte ASP.NET MachineKey-configuraties, controleert de geldigheid van de sleutel, gebruikt ysoserial.net om kwaadaardige deserialisatie-payloads te bouwen die de View State-bescherming omzeilen met behulp van de vooraf blootgestelde MachineKey, en zorgt voor code-uitvoering
- Het uitvoeren van systematische verkenningen na het uitvoeren van code via PowerShell om systeeminformatie, privilegetokens, webdirectorylijsten, IIS-siteconfiguraties, netwerkinterfacegegevens en lopende processen te verzamelen en deze naar een externe webhook te exfiltreren
- Het tot stand brengen van permanente interactieve toegang met behulp van SPECTRE, of als alternatief het schrijven van een ASHX-webshell naar de IIS-webroot en een PowerShell TCP reverse shell
- Rechten verhogen van de IIS AppPool-identiteit naar SYSTEM met behulp van de Potato-familie van tools of SPECTRE via een ingebouwde routine met de naam “spectre_potato()”
Vier andere door AI gegenereerde tools die door UAT-10147 worden gebruikt, zijn Python-scripts: een die fungeert als een diagnostisch hulpprogramma na exploitatie om onder andere schrijffouten in de webshell op te lossen, terwijl de tweede de ViewState-deserialisatieprimitief gebruikt om het SPECTRE-implantaat te downloaden en te starten.
Het derde script implementeert de ASHX-webshell op de gecompromitteerde IIS-server via hetzelfde deserialisatiemechanisme. Het uiteindelijke script is verantwoordelijk voor het combineren van exfiltratieverkeer met legitiem Software-as-a-Service (SaaS)-verkeer via HTTPS en het verzenden van webfoot-opsommingen, IIS-site-inventarisatie en bevoegdhedenbeoordelingsdetails naar een webhookeindpunt.
SPECTRE is volgens Talos een platformonafhankelijke achterdeur geschreven in C met verduisterings- en anti-analysetechnieken om onder de radar te blijven. Het communiceert met een C2-server via HTTPS en ondersteunt maar liefst 45 opdrachten die de operator uitgebreide controle geven over het geïnfecteerde eindpunt. Het eerste gebruik van het implantaat door de bedreigingsacteur dateert van april 2026.
“Het nieuw geïdentificeerde SPECTRE-implantaat vertegenwoordigt een significante evolutie in de tooling voor commodity-inbraak, waarbij cross-platform command-and-control (C2) -operaties, procesinjectie, diefstal van inloggegevens, anti-analysebescherming en kernel-level endpoint detectie en respons (EDR) bypass-functionaliteit worden geïntegreerd”, aldus Talos.
De Windows-versie is uitgerust om bestandsbewerkingen uit te voeren, toetsaanslagen op te nemen, schermafbeeldingen te maken, bestanden te downloaden/uploaden, shell-opdrachten uit te voeren, processen te starten, een specifiek proces te beëindigen, systeeminformatie op te halen, het baken-slaapinterval in te stellen, bestandstijdstempels te wijzigen, shellcode te injecteren, procesuitholling en Early Bird APC-injectie te gebruiken, EDR-processen te beëindigen met behulp van de breng je eigen kwetsbare driver (BYOVD) techniek, zichzelf van de host te verwijderen.
De BYOVD-aanval maakt gebruik van twee bekende kwetsbare stuurprogramma’s MSI’s “RTCore64.sys” (CVE-2019-16098) en Dell’s “DBUtil_2_3.sys” (CVE-2021-21551) om verhoogde rechten te verkrijgen en beveiligingsgerelateerde processen te beëindigen.
“Door gerichte kernelschrijfbewerkingen uit te voeren, ontkoppelt de SPECTRE veilig elke geregistreerde EDR-callback van de dubbel gekoppelde lijst”, legt Talos uit. “Als gevolg hiervan worden kernel-callback-afhankelijke beveiligingsproducten zoals CrowdStrike Falcon, SentinelOne, Microsoft Defender en andere bekende EDR-leveranciers volledig blind gemaakt voor nieuwe procescreaties, threadcreaties en beeldlaadgebeurtenissen voor de rest van de sessie, waardoor de EDR-zichtbaarheid op de doelmachine met succes wordt geneutraliseerd.”
De Linux-variant van SPECTRE volgt min of meer hetzelfde patroon en voert een reeks anti-sandbox-controles uit voordat een C2-verbinding wordt opgezet. Beide versies maken gebruik van een gewogen scoremechanisme dat ervoor zorgt dat het programma zichzelf beëindigt als de score hoger is dan 50 punten. De evaluatie is gebaseerd op blokkeerlijsten van procesnamen, RAM-capaciteit, CPU-kernaantal, schijfruimte, detectie van slaapversnelling en algemene sandbox-hostnamen en -gebruikersnamen.
De instructieset van de Linux-versie ondersteunt daarentegen slechts 29 opdrachten die manipulatie van het bestandssysteem, systeem- en procesverkenning, agentbeheer en onbeperkte shell-uitvoering omvatten. De krachtigste mogelijkheid is een geïntegreerde rootkit op kernelniveau genaamd Spectre, die wordt ingezet als een kernelmodule.
Er wordt vermoed dat de rootkit is ontwikkeld met behulp van een combinatie van AI-ondersteunde ontwikkeling en menselijke expertise, gezien de aanwezigheid van beschrijvend broncodecommentaar, uniforme decoratieve scheidingstekens om elke functie uit te leggen, en de aanwezigheid van meerdere methoden om hetzelfde doel te bereiken – iets waarvan bekend is dat AI-modellen genereren wanneer wordt gevraagd grondig te zijn, in plaats van alleen de meest effectieve methode te implementeren.
“Deze architectuur geeft de bedreigingsacteur persistente controle op kernelniveau over de gecompromitteerde host die zowel opnieuw opstarten als de meeste beveiligingscontroles op gebruikersniveau overleeft”, aldus Talos. “De Spectre-achterdeur laadt de Linux Kernel-rootkit, Spectre, om detectie door beveiligingsproducten te voorkomen.”
