Un equipo de investigación en ciberseguridad ha publicado detalles sobre una campaña atribuida a un grupo de ciberdelincuencia conocido como UAT-10147. Según los hallazgos, el grupo apunta a servidores web en Windows y Linux en distintos países y sectores, incluyendo educación, medios, tecnología y videojuegos. Lo más llamativo es el papel que juega la UAT-10147 IA: la amenaza no solo automatiza pasos de intrusión, sino que también incorpora herramientas orientadas a acelerar tareas como el escaneo, la validación y la generación de componentes operativos.
El rastreo comenzó tras detectar un directorio abierto hospedado en una dirección IP específica, que realizaba comunicaciones con máquinas comprometidas. A partir de esa evidencia, se reconstruyeron cadenas de ataque, herramientas usadas y mecanismos de persistencia, con especial atención en malware que busca reducir la visibilidad de los sistemas de detección.
¿Quién es UAT-10147 y a quién ataca?
UAT-10147 se describe como un actor que combina actividades típicas de fraude y robo de datos con acciones coordinadas para explotar servidores vulnerables. La mayoría de los objetivos identificados se ubican en Brasil, Bolivia, China, Canadá y Vietnam. Además, el análisis del conjunto de destinos revela que entre los lugares más recurrentes se encuentran Estados Unidos, India, Reino Unido, Alemania y Países Bajos.
Los investigadores sostienen que la campaña emplea un listado de objetivos con cientos de miles de URLs, repartidas en múltiples archivos para procesarlas con mayor eficiencia. Esa forma de preparar el material de ataque sugiere una operación que busca escala y repetibilidad, apoyándose en automatización.
Acceso inicial: explotación a escala y automatización
De acuerdo con los informes, el actor aprovecha vulnerabilidades públicamente divulgadas para obtener acceso inicial de forma masiva. Para ejecutar operaciones, se menciona el uso combinado de marcos y utilidades ofensivas de código abierto y técnicas de escalamiento de privilegios.
Entre las piezas citadas se encuentran herramientas como Metasploit y utilidades relacionadas con serialización maliciosa, además de componentes para auditoría y explotación. A nivel conceptual, la intrusión se organiza como una serie de etapas que permiten: ganar acceso, establecer persistencia y desplegar payloads orientados a fraude basado en SEO y/o exfiltración de datos.
El papel de UAT-10147 IA en cada fase del ataque
El rasgo distintivo de la campaña es el uso de herramientas con enfoque en IA para mejorar distintos momentos del ciclo de ataque. No se trata únicamente de “usar IA”, sino de integrarla para que la operación sea más eficiente y flexible, por ejemplo al:
- refinar exploits y mejorar su lógica;
- solucionar problemas durante la ejecución de componentes ofensivos;
- automatizar tareas posteriores a la intrusión;
- validar resultados antes de avanzar;
- producir documentación operativa para acelerar el despliegue y el mantenimiento.
En otras palabras, la UAT-10147 IA se orienta a reducir fricción: cuanto más rápido se comprueba que un exploit funciona, más rápido se puede escalar la campaña sin depender exclusivamente del ensayo y error.
Herramientas orientadas a escaneo y generación de payloads
Los investigadores mencionan un marco llamado DeepAudit para escaneo de vulnerabilidades. Aunque el análisis no detectó pruebas de que el grupo explotara directamente vulnerabilidades detectadas por esa herramienta en entornos de víctimas, el hecho de que quedara accesible en el servidor de administración abre dos posibilidades: que se planee usarlo contra futuros objetivos o que sirva para mejorar su postura defensiva interna (por ejemplo, auditar sus propios sistemas para reducir exposición).
Además, se reporta que el actor instala PentestGPT, un marco autónomo de pentesting de código abierto, en el servidor de mando y control (C2). Se indica que el objetivo es explorar servidores web y ejecutar pruebas de concepto relevantes. En un caso documentado, el grupo habría logrado explotar un sitio y recopilado información del host usando comandos en Linux.
Deserialización en ASP.NET y guía para ejecución remota
Otra pieza relacionada con IA incluye una guía/receta para lograr ejecución remota mediante deserialización de ViewState en entornos ASP.NET. El enfoque descrito combina la manipulación de configuraciones conocidas o filtradas (por ejemplo, valores de MachineKey) con la construcción de payloads de deserialización que evitan controles de ViewState.
Tras la ejecución de código, se realiza reconocimiento sistemático vía PowerShell. Se recopilan datos como información del sistema, tokens de privilegios, listados de directorios web, configuración de sitios IIS, características de interfaces de red y procesos en ejecución. Luego, esa información se envía a un punto remoto mediante un webhook.
En cuanto a persistencia e interacción, se describe la utilización de SPECTRE o la alternativa de crear un web shell en el directorio web de IIS, incluyendo la opción de conexiones reversas por TCP con PowerShell.
Persistencia y trampas para evadir análisis
La operación incorpora mecanismos para sostener el acceso y dificultar el análisis forense. Por ejemplo, se menciona el uso de scripts por lotes para descargar herramientas de escalamiento de privilegios, además de secuencias que configuran exclusiones en Microsoft Defender. También se reporta la eliminación de payloads iniciales tras la instalación de componentes posteriores.
Para persistir en Windows, se citan acciones que incluyen la ejecución silenciosa de un RAT y el establecimiento de una tarea programada con un nombre engañosamente relacionado con un proceso legítimo. Posteriormente, el actor obtiene privilegios elevados para descargar un script adicional que termina por instalar BadIIS.
BadIIS, web shells y acceso persistente en IIS
Los investigadores señalan que el núcleo de BadIIS coincide con una variante conocida por operar bajo un modelo de malware-as-a-service (MaaS) y utilizada por múltiples grupos de habla china. En la cadena de ataque, el despliegue de un web shell puede actuar como puente hacia la instalación de backdoors adicionales, manteniendo el control incluso cuando algunos elementos iniciales ya no son necesarios.
Linux: explotación, escalamiento a root y backdoors
En Linux, la campaña sigue una lógica similar: primero se aprovechan vulnerabilidades conocidas para obtener acceso, y luego se ejecutan técnicas de Local Privilege Escalation para escalar hasta root. Entre las vulnerabilidades mencionadas figuran varias CVE asociadas a fallos en componentes ampliamente presentes en entornos de servidor.
Una vez alcanzado el nivel de privilegio requerido, se despliegan múltiples puertas traseras (backdoors). Se citan variantes como Noodle RAT y Meterpreter, además de SPECTRE para habilitar comunicación con infraestructura C2 remota. Para el robo de datos, se describe una estrategia que combina el tráfico de exfiltración con actividades administrativas legítimas.
SPECTRE: un backdoor multiplataforma con enfoque en ocultación
Los reportes destacan SPECTRE como un implante multiplataforma escrito en C, que incorpora ofuscación y técnicas de anti-análisis. En Windows, el malware se reporta con capacidades amplias: operaciones de archivos, registro de teclas, capturas de pantalla, subida/descarga de archivos, ejecución de comandos del sistema, recopilación de procesos e información del entorno, y ajustes a intervalos de beaconing.
Además, se describen técnicas de inyección y de evasión: por ejemplo, empleo de estrategias que pueden desactivar la visibilidad de productos de EDR al usar un enfoque tipo bring your own vulnerable driver (BYOVD). La lógica se apoya en la escritura dirigida en el kernel para “desconectar” callbacks de monitoreo registrados, con el efecto de dejar ciegos a productos de seguridad basados en esos eventos durante la sesión comprometida.
En Linux, SPECTRE se describe con comprobaciones previas tipo anti-sandbox y un mecanismo de evaluación ponderada que puede provocar el auto-cierre si se detecta un entorno con señales sospechosas. Luego establece conexión con el C2 y habilita una serie de comandos centrados en manipulación de sistema de archivos, reconocimiento y ejecución de shell.
¿Qué significa esto para defensores y equipos de TI?
Más allá de las herramientas específicas, el caso deja una idea clara: la UAT-10147 IA apunta a hacer el ataque más “industrial”. Al automatizar fases y utilizar asistentes basados en IA para validar y ajustar componentes, la operación reduce tiempo entre el acceso y el despliegue de funcionalidades maliciosas, y aumenta la probabilidad de éxito en múltiples objetivos.
Para quienes protegen servidores, el enfoque práctico pasa por endurecer superficies expuestas (especialmente servicios web), revisar configuraciones y parches frente a vulnerabilidades conocidas, y reforzar detección ante secuencias típicas como: uso de scripts para descargas remotas, creación de persistencia mediante tareas programadas, modificaciones en defensas (como exclusiones), y actividad sospechosa vinculada a Web shells.
También conviene monitorear el comportamiento que suele acompañar a SPECTRE y otros implantes: patrones de conexión C2 mediante HTTPS, cambios inusuales en procesos y eventos del host, e intentos de degradar la visibilidad de herramientas de seguridad.
Conclusión
La campaña atribuida a UAT-10147 muestra una combinación de explotación a escala, automatización de intrusiones y uso de herramientas con enfoque en IA para acelerar tareas clave del ciclo de ataque. El despliegue de malware y mecanismos de persistencia, junto con técnicas orientadas a reducir la visibilidad de la seguridad, indica una operación madura que busca maximizar impacto y continuidad.
Si bien el informe se centra en la descripción técnica de la amenaza, el mensaje para organizaciones es general: la defensa debe anticipar cadenas completas, no solo indicadores aislados. Con ello, será más fácil detectar la intrusión temprano y cortar la progresión antes de que la UAT-10147 IA convierta una brecha en un control persistente del sistema.
Fuente: https://thehackernews.com/2026/08/uat-10147-uses-ai-to-scale-server.html
