Des chercheurs en cybersécurité ont mis au jour les détails d’une campagne attribuée à un groupe de cybercriminalité connu sous le nom UAT-10147 IA. D’après les informations publiées, l’acteur vise des serveurs web Windows et Linux dans le monde entier, avec une attention particulière pour des environnements liés à l’éducation, aux médias, aux technologies et au gaming. La majorité des cibles observées se situent notamment au Brésil, en Bolivie, en Chine, au Canada et au Vietnam.
Le rapport explique que la découverte d’une annuaire ouvert hébergé à l’adresse 139.180.197[.]150, communiquant avec au moins une machine compromise, a permis de reconstituer une partie du parcours de l’attaque. Surtout, l’enquête décrit une chaîne d’intrusion conçue pour s’exécuter à grande échelle, tout en tirant profit de briques d’attaque et d’outils assistés par IA.
Une opération à grande échelle contre des serveurs web
Selon les analyses, UAT-10147 IA s’appuie sur des vulnérabilités déjà connues pour obtenir un premier accès, et le fait en automatisant au maximum les étapes d’intrusion et d’installation. Les chercheurs indiquent que l’acteur a utilisé un mélange d’outils open source et de frameworks d’offensive, dont Metasploit et ysoserial, ainsi que des composants liés à l’optimisation d’efforts d’exploitation, au repérage et à l’implantation.
Une caractéristique mise en avant concerne une activité orientée fraude SEO et vol de données. L’attaque ne se limite pas à compromettre une machine : elle vise à exécuter des actions qui soutiennent des objectifs opérationnels sur de multiples cibles, typiquement via l’installation de logiciels malveillants et, dans certains cas, via des web shells pour maintenir un contrôle durable.
La liste de cibles et la répartition pour accélérer l’exploitation
Les chercheurs ont examiné l’annuaire exposé et ont relevé un fichier texte contenant une liste de cibles d’environ 170 000 URLs. Pour rendre le traitement plus efficace, l’acteur semble avoir découpé cet ensemble en 17 fichiers distincts, chacun contenant environ 10 000 URLs, afin de mieux parser les cibles.
Parmi les destinations les plus fréquentes figurent les États-Unis, l’Inde, le Royaume-Uni, l’Allemagne et les Pays-Bas. Cette répartition donne une idée de la stratégie : réduire les délais, augmenter le volume de tentatives et maximiser les probabilités d’atterrissage sur une surface vulnérable.
Des chaînes d’attaque structurées : RCE, installation et persistance
Sur la partie Windows et serveurs IIS, la logique décrite est relativement cohérente : exploitation de failles connues menant à l’obtention de l’exécution de code à distance (RCE), puis exécution d’une commande automatisée pour déployer du malware destiné à la fraude SEO ou au vol d’informations.
Dans certains cas, l’attaquant déploie un web shell qui facilite l’étape suivante : l’installation de BadIIS et d’autres portes dérobées pour conserver l’accès. Ce choix s’inscrit dans une logique de persistance et de contrôle sur le long terme.
Techniques observées sur Windows : outils, tâches planifiées et camouflage
Le rapport détaille plusieurs actions observées dans la séquence d’attaque. On retrouve notamment l’utilisation de scripts batch pour télécharger des composants depuis un serveur distant, dont un outil de montée de privilèges nommé EfsPotato, un script batch secondaire et une variante de Quasar RAT. Le tout provient d’un emplacement identifié comme adminapi.tippusoni[.]in.
Parmi les étapes mentionnées :
- Utilisation de EfsPotato pour obtenir des privilèges élevés.
- Configuration d’exclusions dans Microsoft Defender, ce qui peut réduire la probabilité de détection.
- Suppression des charges initiales afin de gêner l’analyse forensique.
- Déploiement d’implants de suivi, dont Gh0stCringe et une implantation cross-plateforme récemment décrite sous le nom SPECTRE.
- Exécution silencieuse de Quasar RAT via un mécanisme de persistance basé sur une tâche planifiée trompeuse baptisée “Google Chrome Start”.
- Téléchargement d’un script supplémentaire, puis installation de BadIIS.
Un point important : le cœur de BadIIS correspond à une variante déjà associée à un modèle malware-as-a-service (MaaS), utilisé par plusieurs groupes cybercriminels de langue chinoise. Autrement dit, l’infrastructure criminelle semble pouvoir s’appuyer sur des briques réutilisées entre acteurs.
Linux : de l’accès initial au contrôle root
Côté Linux, l’enquête indique que l’acteur exploite des vulnérabilités connues pour établir un premier accès, puis recourt à diverses techniques de Local Privilege Escalation (LPE) pour atteindre le niveau root. La liste mentionne notamment : CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 et CVE-2022-0847.
Une fois l’élévation obtenue, l’attaquant déploie plusieurs backdoors, dont Noodle RAT (une variante liée à Gh0st RAT et Rekoobe), SPECTRE et Meterpreter, afin d’établir des connexions sortantes vers des infrastructures de commande et contrôle (C2).
Le rapport cite aussi des vulnérabilités ciblées au cours de la campagne, telles que CVE-2022-27925 (Zimbra), CVE-2021-23758 (AjaxPro), CVE-2019-18935 (Telerik UI pour ASP.NET AJAX) et des références liées à Alibaba Nacos (CVE-2021-29441 et CVE-2021-29442).
L’exfiltration via un service légitime
Une citation du rapport souligne une stratégie d’évitement : les données exfiltrées seraient routées vers un service de configuration basé sur le cloud, utilisé d’une manière qui ressemble à des opérations administratives normales. Ce choix sert de “réceptacle” d’exfiltration asynchrone.
Concrètement, l’attaquant pourrait vérifier la réussite de l’exploitation en sondant sa propre instance (par exemple via Nacos), sans devoir maintenir en permanence une connexion entrante de type reverse shell, ce qui peut compliquer la détection.
SPECTRE : une porte dérobée cross-plateforme avec contournement EDR
Parmi les éléments les plus marquants, le rapport met en avant un implant nommé SPECTRE. D’après Talos, il s’agit d’une backdoor cross-plateforme écrite en C, intégrant des mécanismes d’obfuscation et des protections anti-analyse. Sa communication avec le serveur C2 s’effectuerait via HTTPS, et elle offrirait jusqu’à 45 commandes pour contrôler l’environnement compromis.
La première utilisation attribuée de cette implantation remonterait à avril 2026. Le rapport décrit une évolution notable par rapport à des outils d’intrusion “commodité”, en intégrant des capacités telles que l’injection de processus, le vol d’identifiants, des mécanismes d’anti-analyse et—fait saillant—des fonctionnalités liées au contournement de l’EDR au niveau système.
Version Windows : opérations avancées et suppression de visibilité EDR
Le volet Windows de SPECTRE inclut des fonctions comme les opérations de fichiers, l’enregistrement de frappes clavier, la capture d’images écran, le téléchargement et l’envoi de fichiers, l’exécution de commandes, et l’obtention d’informations système. Il comporte aussi des mécanismes pour tuer des processus liés à la sécurité et pour se supprimer lui-même de la machine.
Le rapport mentionne en particulier une technique BYOVD (Bring Your Own Vulnerable Driver) pour obtenir des privilèges, en s’appuyant sur des pilotes connus comme vulnérables : RTCore64.sys (CVE-2019-16098) et DBUtil_2_3.sys (CVE-2021-21551). Une fois les privilèges obtenus, SPECTRE réaliserait des écritures ciblées au niveau noyau pour “déconnecter” des callbacks enregistrés par l’EDR, rendant ces produits aveugles sur une partie des événements de sécurité pendant la session.
Version Linux : anti-sandbox et module rootkit
Côté Linux, la logique décrite suit un schéma similaire : contrôles anti-sandbox, puis établissement de la connexion C2. Les chercheurs indiquent l’existence d’un mécanisme de scoring pondéré qui peut conduire le programme à s’arrêter si un seuil est dépassé. Ce score dépendrait notamment de la liste des noms de processus, des ressources (RAM, nombre de cœurs CPU, espace disque), et d’indices de sandbox (noms d’hôtes, utilisateurs).
Le rapport précise que la variante Linux fournit un jeu de commandes limité à 29 (manipulation du système de fichiers, reconnaissance système et processus, gestion d’agent, exécution de commandes shell). Sa puissance principale viendrait d’un rootkit au niveau noyau baptisé Specter, déployé comme module kernel.
Outils orientés IA : scanner, générer et rationaliser des opérations d’attaque
Au cœur de l’article, UAT-10147 IA se distingue par l’intégration d’outils assistés par IA à plusieurs moments du cycle d’attaque. L’enquête souligne qu’un cadre nommé DeepAudit aurait été utilisé pour la recherche de vulnérabilités. Il est toutefois noté que les chercheurs n’ont pas trouvé de preuve que l’acteur exploite automatiquement des vulnérabilités découvertes via cet outil dans les environnements des victimes, ce qui n’exclut pas d’autres usages : préparer des plans d’attaque, ou encore auditer leur propre chaîne d’outils afin de réduire les risques de compromission.
Le rapport indique également l’utilisation de PentestGPT, un cadre de pentest autonome, installé sur le serveur C2 pour scanner des serveurs web et exécuter des preuves de concept pertinentes. Dans un cas, l’acteur aurait exploité un site et collecté des informations sur l’hôte à l’aide de commandes Linux.
Autre élément : un guide ou un module associé à l’exécution de code à distance via la désérialisation ASP.NET ViewState. L’approche mentionne l’usage d’une bibliothèque de configurations divulguées (liées à MachineKey), l’utilisation de ysoserial.net pour construire des charges malveillantes capables de contourner la protection View State, puis une phase de reconnaissance via PowerShell (inventaire de répertoires web, configuration IIS, interfaces réseau, processus, etc.). Ces informations seraient exfiltrées vers un point webhook.
Scripts Python et automatisation : diagnostics, déploiement et mélange du trafic
La campagne exploite aussi plusieurs scripts Python côté adversaire. Le rapport cite un outil de diagnostic post-exploitation pour résoudre, entre autres, des échecs d’écriture de web shell. D’autres scripts aideraient à télécharger et lancer l’implant SPECTRE via le même mécanisme de désérialisation.
Enfin, un script serait chargé de mélanger l’exfiltration avec du trafic attendu de solutions SaaS sur HTTPS, en envoyant des éléments comme l’inventaire des sites IIS, des informations d’énumération et des évaluations liées aux privilèges vers un endpoint webhook.
Pourquoi cette affaire compte pour les équipes sécurité
Le principal enseignement de cette enquête, pour les responsables sécurité, réside moins dans un exploit unique que dans la combinaison : exploitation automatisée, persistance via outils variés, et implants capables de réduire la visibilité des mécanismes de protection, notamment via des techniques au niveau noyau sur Windows et via un rootkit sur Linux.
Ajoutez à cela l’utilisation d’outils orientés IA pour rationaliser certains aspects (génération de payloads, documentation opérationnelle, validation, et aide au dépannage de logique), et l’on obtient un modèle d’opération qui cherche à augmenter l’efficacité tout en conservant une capacité d’adaptation.
Conclusion
Les travaux publiés sur UAT-10147 IA décrivent un acteur organisé, capable de cibler des serveurs web Windows et Linux à grande échelle. La campagne s’appuie sur des vulnérabilités connues, des chaînes d’intrusion automatisées et une porte dérobée cross-plateforme, SPECTRE, conçue pour étendre le contrôle et limiter la détection—jusqu’à neutraliser la visibilité offerte par certains systèmes EDR.
Pour réduire le risque, les organisations gagneraient à renforcer la gestion des correctifs, durcir la surface IIS et ASP.NET, surveiller les mécanismes de persistance (tâches planifiées, comportements d’écriture) et vérifier les contrôles EDR face aux techniques de contournement décrites.
Source: https://thehackernews.com/2026/08/uat-10147-uses-ai-to-scale-server.html
