Forschende von Cisco Talos haben Details zu einer chinesischsprachigen Cybercrime-Gruppe veröffentlicht, die unter dem Namen UAT-10147 bekannt geworden ist. Die Aktivitäten richten sich offenbar gegen weltweit eingesetzte Windows- und Linux-Webserver – besonders in Branchen wie Bildung, Medien, Technologie und Gaming.
Bemerkenswert ist dabei, wie stark die Gruppe ihren Vorgehensablauf industrialisiert: UAT-10147 setzt nicht nur auf bekannte Schwachstellen, sondern koppelt Automatisierung mit KI-gestützten Tools, um Abläufe von der Schwachstellensuche bis zur Payload-Erstellung und Persistenz zu beschleunigen. Im Zentrum steht außerdem ein neuer oder zumindest auffällig eingesetzter Backdoor namens SPECTRE, der laut Analyse auch EDR-Schutzmechanismen gezielt aushebeln kann.
Wer ist UAT-10147 und wen trifft es?
UAT-10147 wird als Akteur beschrieben, der global operiert und dabei gezielt Webserver angreift. Die Mehrzahl der betroffenen Ziele liegt den Angaben zufolge in Brasilien, Bolivien, China, Kanada und Vietnam. Die Ermittler stießen zudem auf einen offenen Verzeichnisbereich, der mit kompromittierten Systemen kommunizierte – ein Hinweis darauf, dass die Infrastruktur der Angreifer planvoll strukturiert ist.
Im Bericht wird außerdem erwähnt, dass ein Teil der Angriffsziele auf eine sehr große, systematisch verarbeitete URL-Liste zurückgeht. Diese Listendaten wurden aufgeteilt, um sie effizienter auswerten zu können. Genau hier wird klar: Es geht nicht um einzelne Vorfälle, sondern um eine skalierte Kampagne.
UAT-10147 KI: Wie KI den Angriffsbetrieb beschleunigt
Ein Kernpunkt der Analyse ist die Nutzung von KI-orientierten Frameworks über mehrere Phasen des Angriffszyklus hinweg. Laut Talos soll UAT-10147 KI einsetzen, um Exploits zu verfeinern, Logikfehler zu beheben und Post-Exploitation-Schritte zu automatisieren. Ergänzend wird beschrieben, dass Werkzeuge auch beim Validieren von Exploit-Ansätzen sowie bei der Erstellung von operativen Dokumentationen zum Einsatz kommen.
Dadurch entsteht eine Art Produktionslinie: Erst wird Zugriff vorbereitet, dann werden konkrete Schritte vorbereitet, und schließlich wird das Vorgehen wiederholbar umgesetzt. UAT-10147 KI bedeutet in diesem Kontext nicht nur „KI für den Angriff“, sondern KI zur Standardisierung und Skalierung des Angriffsbetriebs.
DeepAudit & Co. als Scanning- und Vorbereitungsbaustein
Besondere Aufmerksamkeit erhielt ein KI-gestütztes Framework namens DeepAudit. Dem Bericht zufolge fanden die Forschenden keine Belege dafür, dass die Angreifer in den beobachteten Umgebungen tatsächlich Exploits nutzten, die erst durch DeepAudit entdeckt wurden. Gleichzeitig blieb das Tool auf einem Management-Server verfügbar.
Das lässt zwei Möglichkeiten offen: Entweder planen die Angreifer, DeepAudit später zur Schwachstellenidentifikation in Zielumgebungen einzusetzen. Oder sie nutzen das Framework, um eigene Infrastruktur und Tools proaktiv zu prüfen – also zur Abschätzung von Risiken durch andere Akteure.
PentestGPT: Automatisches Testen und Beweisführung
Weiterhin wurde PentestGPT auf dem Command-and-Control-Server installiert. Laut Analyse dient es als Grundlage für automatisiertes Scannen von Webservern und das Ausführen passender Proof-of-Concept-Exploits. In einem dokumentierten Fall soll die Gruppe erfolgreich eine Website ausgenutzt und Informationen über den Host über Linux-Kommandos gesammelt haben.
Auch hier zeigt sich der gleiche Trend: Statt jedes Mal manuell zu suchen und anzupassen, wird der Werkzeugkasten so aufgebaut, dass die Arbeitsschritte reproduzierbar sind.
Angriffskette: Vom RCE zum Schadcode
Die beobachteten Kampagnen folgen laut Bericht typischen Mustern: Zuerst wird über öffentlich bekannte Schwachstellen initialer Zugriff hergestellt. Danach wird versucht, Remote Code Execution (RCE) auf einer kompromittierten Webseite oder einem verwundbaren IIS-Server zu erreichen. Anschließend werden automatisierte Skripte verwendet, um Malware für SEO-Fraud oder Datendiebstahl zu installieren und auszubringen.
In einigen Fällen setzt die Gruppe zusätzlich auf Webshells. Diese schaffen die Grundlage, um weitere Komponenten wie BadIIS und zusätzliche Backdoors für dauerhaften Zugriff zu nachzuladen.
BadIIS, Quasar RAT und versteckte Persistenz
Der Bericht beschreibt mehrere konkrete Schritte, die Teil der Windows-Angriffskette sein sollen. Dazu gehört beispielsweise der Einsatz eines Batch-Skripts, das über certutil eine Privilege-Escalation-Komponente namens EfsPotato, ein weiteres sekundäres Skript sowie Quasar RAT aus einer entfernten Quelle herunterlädt.
Im Anschluss wird EfsPotato verwendet, um höhere Systemrechte zu erlangen. Dazu gehört auch das Konfigurieren von Microsoft Defender-Ausnahmen, um Schutzmechanismen gezielt zu reduzieren. Um Spuren zu verwischen, sollen außerdem anfängliche Payloads gelöscht werden.
Für Persistenz wird unter anderem Quasar RAT still ausgeführt. Auffällig ist dabei eine geplante Aufgabe, die als „Google Chrome Start“ getarnt sein soll. Über diese Mechanik bleibt der Zugriff auch nach Neustarts oder Zeitintervallen zuverlässig erhalten.
SPECTRE: Cross-Plattform und EDR-Umgehung
Ein besonders relevanter Teil der Analyse betrifft SPECTRE – einen Backdoor, der als plattformübergreifend beschrieben wird und in C geschrieben sein soll. Talos führt an, dass der Code Obfuscation und Anti-Analyse-Techniken enthält, um detektiert zu werden.
Die Kommunikation mit dem Command-and-Control-Server erfolgt laut Bericht über HTTPS. Zudem soll SPECTRE bis zu 45 Befehle unterstützen, wodurch der Operator eine breite Kontrolle über das infizierte System erhält.
Windows-Funktionen und BYOVD-EDR-Bypass
Die Windows-Version umfasst Funktionen wie Dateiverarbeitung, das Aufzeichnen von Tastatureingaben, Bildschirmfotos, Datei-Upload/-Download, das Ausführen von Shell-Befehlen sowie das Ermitteln und Beenden von Prozessen. Zudem werden Injektionstechniken beschrieben, darunter Process Hollowing und Early Bird APC Injection.
Ein zentraler Punkt ist der EDR-Bypass über eine „bring your own vulnerable driver“-Strategie (BYOVD). Talos nennt dafür zwei konkrete Treiber, mit deren Hilfe erhöhte Rechte erlangt und sicherheitsrelevante Prozesse gestoppt werden können: RTCore64.sys (CVE-2019-16098) und DBUtil_2_3.sys (CVE-2021-21551).
Darüber hinaus beschreibt der Bericht einen Kernel-Write-Ansatz, bei dem EDR-Callbacks aus einer doppelt verketteten Liste entfernt werden. Dadurch sollen Produkte wie CrowdStrike Falcon, SentinelOne, Microsoft Defender und weitere EDR-Anbieter für den Rest der Sitzung blind sein – etwa bei der Erkennung neuer Prozess-, Thread- oder Image-Load-Ereignisse.
Linux-Variante: Anti-Sandbox und Kernel-Rootkit
Auch die Linux-Version folgt laut Analyse einem ähnlichen Grundmuster: Zunächst werden Anti-Sandbox-Prüfungen durchgeführt, danach wird die Verbindung zum C2 aufgebaut. Auffällig ist ein Scoring-Mechanismus: Überschreitet ein berechneter Wert einen Grenzwert, beendet sich das Programm selbst.
Als Bewertungsfaktoren werden unter anderem Blocklisten für Prozessnamen, verfügbare RAM-Kapazität, CPU-Kernanzahl, Plattenspeicher, Hinweise auf Sleep-Timing-Manipulation sowie typische Sandbox-Namen und Benutzernamen genannt.
Die Linux-Version verfügt laut Talos über ein Kommando-Set mit 29 Befehlen, unter anderem für Dateisystemoperationen, System- und Prozess-Reconnaissance, Agentenmanagement und das Ausführen von Shell-Kommandos. Die stärkste Komponente ist ein integriertes Kernel-Rootkit namens Specter, das als Kernel-Modul bereitgestellt wird.
Der Rootkit-Ansatz soll zudem darauf hindeuten, dass bei der Entwicklung sowohl menschliches Know-how als auch KI-gestützte Unterstützung beteiligt sein könnte. Gründe dafür sind u. a. erklärende Quellcode-Kommentare, gleichförmige Trennmuster für Funktionen sowie mehrere Wege zur Erreichung ähnlicher Ziele.
Datendiebstahl: Tarnung durch legitime Cloud-Services
Ein weiterer Schwerpunkt im Bericht ist die Exfiltration. Talos beschreibt, dass die Angreifer ausgeleitete Daten über einen legitimen cloudbasierten Konfigurationsmanagement-Dienst routen. Dadurch soll der Datenverkehr sich eher in normale administrative Muster einfügen.
Dieser Ansatz wird als asynchroner „Exfiltration Sink“ eingeordnet: Die Angreifer können dabei ihre eigene Instanz abfragen, um zu prüfen, ob die Ausnutzung bei den Opfern erfolgreich war, ohne eine persistente Reverse Shell betreiben oder dauerhafte Inbound-Verbindungen aufrechterhalten zu müssen.
Welche Schwachstellen wurden genannt?
Im Verlauf der Kampagne sollen unterschiedliche veröffentlichte Lücken als Einstiegspunkt gedient haben. Für Linux nennt der Bericht unter anderem CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 und CVE-2022-0847, nachdem der initiale Zugriff bereits erfolgt war.
Für weitere Komponenten werden außerdem Schwachstellen aus dem Web- und Applikationsumfeld erwähnt, darunter CVE-2022-27925 (Zimbra), CVE-2021-23758 (AjaxPro), CVE-2019-18935 (Telerik UI für ASP.NET AJAX) sowie CVE-2021-29441 und CVE-2021-29442 (Alibaba Nacos).
Was bedeutet das für Betreiber von Webservern?
Für Administratoren und Sicherheitsteams liegt die wichtigste Lehre in der Kombination aus Exploitation, Automatisierung und dauerhafter Kontrolle. UAT-10147 KI zeigt, dass Angreifer nicht nur Schwachstellen ausnutzen, sondern auch ihren Prozess so ausrichten, dass Wiederholbarkeit und Effizienz steigen.
Praktisch heißt das: Patching allein ist notwendig, aber nicht ausreichend. Entscheidend ist außerdem, dass Monitoring- und Erkennungsprozesse auch gegen Techniken funktionieren, die auf Kernel-Eingriffe oder das gezielte Abschalten von EDR-Visibility abzielen.
Ebenso relevant ist das Thema „indirekte Exfiltration“ über legitime Cloud- oder Konfigurationsdienste. Wer nur nach klassischen Reverse-Shell-Mustern sucht, könnte auffälligen Datenabfluss über unauffällige Kanäle übersehen.
Fazit
UAT-10147 KI steht im Bericht für eine Kampagne, die auf Skalierung und Automatisierung setzt: bekannte Schwachstellen werden genutzt, operative Schritte werden weitgehend orchestriert, und KI-gestützte Tools unterstützen dabei, Exploits zu verbessern, Abläufe zu validieren und Dokumentation sowie Post-Exploitation zu beschleunigen.
Mit SPECTRE wird zudem eine Backdoor beschrieben, die Windows- und Linux-Ziele adressieren kann und in der Lage sein soll, EDR-Überwachung erheblich zu stören – ergänzt durch eine Linux-Rootkit-Komponente.
Wer Webserver betreibt, sollte daher konsequent auf Schwachstellenmanagement, harte Konfiguration und belastbares Monitoring setzen, das auch unter Umständen greift, in denen Angreifer gezielt Sichtbarkeit reduzieren.
Quelle: https://thehackernews.com/2026/08/uat-10147-uses-ai-to-scale-server.html
