Китайскоязычная киберпреступная группа UAT-10147 массово атакует веб-серверы под управлением Windows и Linux. Ее интересуют организации из сферы образования, медиа, технологий и игровой индустрии. Основные задачи: мошенничество с поисковой оптимизацией, кража данных и сохранение доступа к зараженным системам. Большинство подтвержденных жертв находилось в Бразилии, Боливии, Китае, Канаде и Вьетнаме. При этом в открытом каталоге злоумышленников исследователи нашли около 170 000 целевых URL. Список был разбит на 17 файлов примерно по 10 000 адресов, вероятно, для более быстрой автоматической обработки. Чаще всего в нем встречались ресурсы из США, Индии, Великобритании, Германии и Нидерландов, поэтому география планируемых атак заметно шире картины уже установленных заражений.
Операцию изучила Cisco Talos, опубликовавшая результаты в отчете из двух частей, вышедшем, согласно исходному описанию, «на прошлой неделе»; точная дата публикации не названа. Самое раннее известное применение импланта SPECTRE группой UAT-10147 относится к апрелю 2026 года. Исследователи обнаружили автоматизацию почти на каждом этапе атаки: при разведке, проверке уязвимостей, доработке эксплойтов, поиске ошибок в их логике, создании полезной нагрузки, действиях после взлома, закреплении и составлении внутренней документации. Искусственный интеллект здесь не заменяет оператора, а позволяет одному оператору прогонять огромные списки целей.
Обычная атака начинается с поиска уязвимого сайта либо сервера Microsoft Internet Information Services (IIS). Получив удаленное выполнение кода, преступники запускают автоматический сценарий развертывания и устанавливают инструменты для SEO-мошенничества и похищения информации. На части серверов появляется веб-шелл, через который загружаются BadIIS и дополнительные бэкдоры. Затем группа повышает привилегии, при возможности добирается до уровня root и закрепляется при помощи Noodle RAT, SPECTRE или Meterpreter. Управление строится через исходящие соединения с удаленной инфраструктурой командования и контроля, то есть открывать прямой вход к серверу жертвы требуется далеко не всегда.
Для первоначального проникновения используются давно опубликованные уязвимости: CVE-2022-27925 в Zimbra, CVE-2021-23758 в AjaxPro, CVE-2019-18935 в Telerik UI for AJAX, а также CVE-2021-29441 и CVE-2021-29442 в Alibaba Nacos. Они дают удаленное выполнение кода либо помогают развить атаку после первого доступа. В арсенале также замечены Metasploit, ysoserial, несколько неназванных эксплойтов повышения привилегий и два инструмента с ИИ-компонентами: PentestGPT и DeepAudit. Ставка на известные CVE делает кампанию особенно неприятной для владельцев серверов, которые откладывают обновления: злоумышленникам не приходится тратить редкие уязвимости нулевого дня.
DeepAudit, доступный на управляющем сервере группы, представляет собой управляемую искусственным интеллектом систему поиска уязвимостей. Talos не нашла подтверждений, что UAT-10147 уже применяла обнаруженные ею ошибки внутри сетей жертв. У инструмента могли быть две задачи: искать новые точки входа в чужой инфраструктуре либо проверять собственные серверы и программы группы, чтобы их не перехватили конкуренты. PentestGPT, открытая автономная платформа тестирования на проникновение, была установлена непосредственно на C2-сервере. Она сканировала веб-узлы, выбирала подходящие демонстрационные эксплойты и запускала их. В одном задокументированном эпизоде система успешно взломала сайт, после чего Linux-командами собрала сведения о сервере жертвы.
Отдельный комплект автоматизированных сценариев работал с конфигурациями MachineKey: создавал или обрабатывал ключи, проверял их действительность и применял ysoserial. Третий сценарий через механизм десериализации помещал на взломанный IIS-сервер веб-шелл формата ASHX. Финальный сценарий отправлял данные по HTTPS на webhook, маскируя передачу под обычный трафик программных сервисов SaaS. В пакет входили результаты перечисления webroot, инвентаризация сайтов IIS и сведения об уровне привилегий. В описании встречался вариант «webfoot enumeration», но это, вероятно, ошибка расшифровки. Название связанного с этими сценариями ИИ-инструмента и сведения о первых сценариях в доступном материале отсутствуют.
Одним из приемников украденной информации служил легальный облачный сервис управления конфигурациями Alibaba Nacos. Исследователь Talos Joey Chen объяснил, что такая передача растворяется среди нормальных административных обращений. Nacos работает как асинхронное хранилище: атакующие периодически опрашивают собственный экземпляр сервиса и видят, на каких из множества целей эксплуатация завершилась успешно. Им не нужно удерживать постоянную обратную оболочку или устанавливать прямое входящее соединение с каждой жертвой. Это сокращает технические расходы и уменьшает вероятность обнаружения по сетевым признакам.
После доступа BadIIS используется для SEO-мошенничества и закрепления. Noodle RAT, описанный как вариант Gh0st RAT и Rekoobe, дает еще один канал удаленного управления, а Meterpreter применяется как дополнительная нагрузка с исходящим подключением к C2. Центральный имплант кампании, написанный на C бэкдор SPECTRE, работает в Windows и Linux, связывается с управляющим сервером по HTTPS и защищен обфускацией и приемами против анализа. Полный набор насчитывает до 45 команд, хотя Linux-версия поддерживает 29. В одном инструменте собраны удаленное управление, кража учетных и системных данных, внедрение в процессы, наблюдение за пользователем и подавление средств защиты.
В Windows SPECTRE умеет загружать, выгружать и удалять файлы, менять временные метки, выполнять команды оболочки, собирать сведения о системе, получать список процессов и завершать выбранные процессы. Он записывает нажатия клавиш, делает снимки экрана и регулирует интервал между обращениями к C2. Для скрытого исполнения предусмотрены внедрение шелл-кода, process hollowing и техника Early Bird APC injection. При необходимости бэкдор удаляет себя с компьютера. В набор обхода защиты входят остановка процессов EDR и схема bring your own vulnerable driver (BYOVD), при которой преступники сами приносят в систему легитимный, но уязвимый драйвер.
Для доступа к ядру SPECTRE злоупотребляет драйверами RTCore64.sys компании MSI с уязвимостью CVE-2019-16098 и DBUtil_2_3.sys компании Dell с CVE-2021-21551. Получив возможность адресной записи в память ядра, вредонос аккуратно исключает зарегистрированные обратные вызовы EDR из двусвязных списков. Среди затронутых продуктов Talos назвала CrowdStrike Falcon, SentinelOne, Microsoft Defender и другие крупные EDR. После удаления callbacks защитные агенты до конца текущего сеанса перестают видеть создание процессов и потоков, а также загрузку образов. Сам агент может продолжать выглядеть работающим, хотя его наблюдение за главными событиями уже ослеплено.
Обе версии SPECTRE проверяют, не запущены ли они в песочнице или исследовательской среде. Решение принимается по взвешенной шкале: баллы начисляются за процессы из черного списка, малый объем оперативной памяти, небольшое число ядер процессора, ограниченное дисковое пространство, ускоренное прохождение задержек, характерные имена компьютеров и пользователей. Если сумма превышает 50 баллов, имплант завершает работу. Такой метод терпим к одному подозрительному признаку, но реагирует на их сочетание, типичное для автоматических лабораторий анализа вредоносного ПО.
Linux-вариант выполняет 29 команд: работает с файловой системой, исследует ОС и процессы, управляет агентом и без ограничений запускает команды оболочки. Его наиболее опасный компонент называется Specter. Регистр здесь помогает не запутаться: SPECTRE — кроссплатформенный бэкдор, Specter — загружаемый им модуль ядра Linux. Руткит скрывает действия атакующих, сохраняет контроль на уровне ядра после перезагрузки и переживает большинство защитных механизмов пользовательского уровня. Talos допускает, что Specter создавался совместно человеком и ИИ: в исходном коде замечены чрезмерно подробные комментарии, одинаковые декоративные разделители с пояснениями и несколько параллельных способов решения одной задачи. Модели нередко оставляют такую избыточность, когда получают указание предусмотреть всё, а опытный разработчик затем доводит код до рабочего состояния.
Среди опубликованных артефактов встречаются 180.197[.]150, якобы связанный с зараженной машиной, и tippusoni[.. Первый индикатор неполон: IPv4-адрес должен состоять из четырех октетов. Второй похож на обрезанное или поврежденное доменное имя. Использовать их как подтвержденные индикаторы компрометации нельзя без сверки с полным отчетом Cisco Talos. Для практического поиска следов кампании надежнее проверять появление RTCore64.sys и DBUtil_2_3.sys, неожиданных ASHX-шеллов, обращений серверов к нештатным экземплярам Nacos, загрузку модулей ядра, отключение EDR-callbacks и эксплуатацию перечисленных CVE.
Операцию изучила Cisco Talos, опубликовавшая результаты в отчете из двух частей, вышедшем, согласно исходному описанию, «на прошлой неделе»; точная дата публикации не названа. Самое раннее известное применение импланта SPECTRE группой UAT-10147 относится к апрелю 2026 года. Исследователи обнаружили автоматизацию почти на каждом этапе атаки: при разведке, проверке уязвимостей, доработке эксплойтов, поиске ошибок в их логике, создании полезной нагрузки, действиях после взлома, закреплении и составлении внутренней документации. Искусственный интеллект здесь не заменяет оператора, а позволяет одному оператору прогонять огромные списки целей.
Обычная атака начинается с поиска уязвимого сайта либо сервера Microsoft Internet Information Services (IIS). Получив удаленное выполнение кода, преступники запускают автоматический сценарий развертывания и устанавливают инструменты для SEO-мошенничества и похищения информации. На части серверов появляется веб-шелл, через который загружаются BadIIS и дополнительные бэкдоры. Затем группа повышает привилегии, при возможности добирается до уровня root и закрепляется при помощи Noodle RAT, SPECTRE или Meterpreter. Управление строится через исходящие соединения с удаленной инфраструктурой командования и контроля, то есть открывать прямой вход к серверу жертвы требуется далеко не всегда.
Для первоначального проникновения используются давно опубликованные уязвимости: CVE-2022-27925 в Zimbra, CVE-2021-23758 в AjaxPro, CVE-2019-18935 в Telerik UI for AJAX, а также CVE-2021-29441 и CVE-2021-29442 в Alibaba Nacos. Они дают удаленное выполнение кода либо помогают развить атаку после первого доступа. В арсенале также замечены Metasploit, ysoserial, несколько неназванных эксплойтов повышения привилегий и два инструмента с ИИ-компонентами: PentestGPT и DeepAudit. Ставка на известные CVE делает кампанию особенно неприятной для владельцев серверов, которые откладывают обновления: злоумышленникам не приходится тратить редкие уязвимости нулевого дня.
DeepAudit, доступный на управляющем сервере группы, представляет собой управляемую искусственным интеллектом систему поиска уязвимостей. Talos не нашла подтверждений, что UAT-10147 уже применяла обнаруженные ею ошибки внутри сетей жертв. У инструмента могли быть две задачи: искать новые точки входа в чужой инфраструктуре либо проверять собственные серверы и программы группы, чтобы их не перехватили конкуренты. PentestGPT, открытая автономная платформа тестирования на проникновение, была установлена непосредственно на C2-сервере. Она сканировала веб-узлы, выбирала подходящие демонстрационные эксплойты и запускала их. В одном задокументированном эпизоде система успешно взломала сайт, после чего Linux-командами собрала сведения о сервере жертвы.
Отдельный комплект автоматизированных сценариев работал с конфигурациями MachineKey: создавал или обрабатывал ключи, проверял их действительность и применял ysoserial. Третий сценарий через механизм десериализации помещал на взломанный IIS-сервер веб-шелл формата ASHX. Финальный сценарий отправлял данные по HTTPS на webhook, маскируя передачу под обычный трафик программных сервисов SaaS. В пакет входили результаты перечисления webroot, инвентаризация сайтов IIS и сведения об уровне привилегий. В описании встречался вариант «webfoot enumeration», но это, вероятно, ошибка расшифровки. Название связанного с этими сценариями ИИ-инструмента и сведения о первых сценариях в доступном материале отсутствуют.
Одним из приемников украденной информации служил легальный облачный сервис управления конфигурациями Alibaba Nacos. Исследователь Talos Joey Chen объяснил, что такая передача растворяется среди нормальных административных обращений. Nacos работает как асинхронное хранилище: атакующие периодически опрашивают собственный экземпляр сервиса и видят, на каких из множества целей эксплуатация завершилась успешно. Им не нужно удерживать постоянную обратную оболочку или устанавливать прямое входящее соединение с каждой жертвой. Это сокращает технические расходы и уменьшает вероятность обнаружения по сетевым признакам.
После доступа BadIIS используется для SEO-мошенничества и закрепления. Noodle RAT, описанный как вариант Gh0st RAT и Rekoobe, дает еще один канал удаленного управления, а Meterpreter применяется как дополнительная нагрузка с исходящим подключением к C2. Центральный имплант кампании, написанный на C бэкдор SPECTRE, работает в Windows и Linux, связывается с управляющим сервером по HTTPS и защищен обфускацией и приемами против анализа. Полный набор насчитывает до 45 команд, хотя Linux-версия поддерживает 29. В одном инструменте собраны удаленное управление, кража учетных и системных данных, внедрение в процессы, наблюдение за пользователем и подавление средств защиты.
В Windows SPECTRE умеет загружать, выгружать и удалять файлы, менять временные метки, выполнять команды оболочки, собирать сведения о системе, получать список процессов и завершать выбранные процессы. Он записывает нажатия клавиш, делает снимки экрана и регулирует интервал между обращениями к C2. Для скрытого исполнения предусмотрены внедрение шелл-кода, process hollowing и техника Early Bird APC injection. При необходимости бэкдор удаляет себя с компьютера. В набор обхода защиты входят остановка процессов EDR и схема bring your own vulnerable driver (BYOVD), при которой преступники сами приносят в систему легитимный, но уязвимый драйвер.
Для доступа к ядру SPECTRE злоупотребляет драйверами RTCore64.sys компании MSI с уязвимостью CVE-2019-16098 и DBUtil_2_3.sys компании Dell с CVE-2021-21551. Получив возможность адресной записи в память ядра, вредонос аккуратно исключает зарегистрированные обратные вызовы EDR из двусвязных списков. Среди затронутых продуктов Talos назвала CrowdStrike Falcon, SentinelOne, Microsoft Defender и другие крупные EDR. После удаления callbacks защитные агенты до конца текущего сеанса перестают видеть создание процессов и потоков, а также загрузку образов. Сам агент может продолжать выглядеть работающим, хотя его наблюдение за главными событиями уже ослеплено.
Обе версии SPECTRE проверяют, не запущены ли они в песочнице или исследовательской среде. Решение принимается по взвешенной шкале: баллы начисляются за процессы из черного списка, малый объем оперативной памяти, небольшое число ядер процессора, ограниченное дисковое пространство, ускоренное прохождение задержек, характерные имена компьютеров и пользователей. Если сумма превышает 50 баллов, имплант завершает работу. Такой метод терпим к одному подозрительному признаку, но реагирует на их сочетание, типичное для автоматических лабораторий анализа вредоносного ПО.
Linux-вариант выполняет 29 команд: работает с файловой системой, исследует ОС и процессы, управляет агентом и без ограничений запускает команды оболочки. Его наиболее опасный компонент называется Specter. Регистр здесь помогает не запутаться: SPECTRE — кроссплатформенный бэкдор, Specter — загружаемый им модуль ядра Linux. Руткит скрывает действия атакующих, сохраняет контроль на уровне ядра после перезагрузки и переживает большинство защитных механизмов пользовательского уровня. Talos допускает, что Specter создавался совместно человеком и ИИ: в исходном коде замечены чрезмерно подробные комментарии, одинаковые декоративные разделители с пояснениями и несколько параллельных способов решения одной задачи. Модели нередко оставляют такую избыточность, когда получают указание предусмотреть всё, а опытный разработчик затем доводит код до рабочего состояния.
Среди опубликованных артефактов встречаются 180.197[.]150, якобы связанный с зараженной машиной, и tippusoni[.. Первый индикатор неполон: IPv4-адрес должен состоять из четырех октетов. Второй похож на обрезанное или поврежденное доменное имя. Использовать их как подтвержденные индикаторы компрометации нельзя без сверки с полным отчетом Cisco Talos. Для практического поиска следов кампании надежнее проверять появление RTCore64.sys и DBUtil_2_3.sys, неожиданных ASHX-шеллов, обращений серверов к нештатным экземплярам Nacos, загрузку модулей ядра, отключение EDR-callbacks и эксплуатацию перечисленных CVE.