Een nieuw rapport van Cisco Talos beschrijft een Chinese-speaking cybercrimegroep die wereldwijd webservers aanvalt in sectoren als onderwijs, media, technologie en gaming. De groep krijgt de naam UAT-10147 en valt zowel Windows als Linux doelwitten aan. Opvallend is de rol van AI-tools waarmee de aanvallers hun werkwijze verfijnen, automatiseren en op schaal uitvoeren—en dat leidt tot een opvallend nieuw onderdeel in hun gereedschapskist: de SPECTRE backdoor.
In dit artikel lees je hoe de UAT-10147 SPECTRE aanval in grote lijnen werkt, welke technieken en malware voorbij komen, en welke aandachtspunten je in je eigen omgeving kunt gebruiken om dit soort dreigingen eerder te stoppen.
Wie is UAT-10147 en wat is het doel?
UAT-10147 richt zich op webservers en maakt daarbij gebruik van een combinatie van bekende kwetsbaarheden en geautomatiseerde aanvalsstappen. In het onderzoek duiken onder meer doelwitten op in landen als Brazilië, Bolivia, China, Canada en Vietnam. Daarnaast valt op dat de aanvallers hun infrastructuur en targetlijst lijken te beheren op basis van massale, gestructureerde doellijsten.
Talos schetst bovendien een dubbel doel: SEO-fraude en datadiefstal. Dat betekent dat de aanvallers niet alleen proberen om toegang te krijgen, maar die toegang ook gebruiken om inhoud of verkeer te manipuleren en informatie uit gecompromitteerde systemen te verzamelen.
AI als hefboom: van exploitontwikkeling tot automatisering
De groep gebruikt meerdere offensieve en (deels) open-source frameworks om activiteiten op te schalen. Dat gaat niet alleen om klassiek gereedschap; er wordt ook AI ingezet op verschillende momenten in de aanvalsketen. Volgens Talos wordt AI gebruikt om exploits te verfijnen, logica te testen, post-exploitation workflows te automatiseren, en operational documentation te genereren.
Wat dat concreet betekent: de aanvallers proberen de doorlooptijd van hun operatie te verlagen. Minder handwerk, sneller valideren en daardoor meer pogingen per tijdseenheid. Dat sluit aan bij wat we eerder zagen bij aanvallen waarbij AI wordt gebruikt om werkinstructies, codevarianten en validatiestappen sneller en consistenter te maken.
Als je dit onderwerp breder wilt plaatsen binnen AI-gegenereerde aanvalstechniek, kan dit je helpen: AI-gegenereerde exploit-scripts en PLC’s: wat te doen.
Targetlijsten op schaal en gerichte webcompromis
Uit analyse van een open directory die met een compromis in verband werd gebracht, blijkt een tekstbestand met ongeveer 170.000 URLs. De aanvallers splitsen die lijst op in 17 kleinere bestanden met elk circa 10.000 doelen, zodat ze de set efficiënter kunnen verwerken.
De topbestemmingen binnen de lijst omvatten onder meer de Verenigde Staten, India, het Verenigd Koninkrijk, Duitsland en Nederland. Daarna volgen aanvalsketens die starten met het misbruiken van bekende tekortkomingen om remote code execution (RCE) te bereiken op een website of op een kwetsbare IIS-server.
Van RCE naar persistentie: webshells en backdoors
Na succesvolle RCE draaien de aanvallers geautomatiseerde scripts die malware inzetten voor SEO-fraude of datadiefstal. In sommige gevallen wordt een webshell geplaatst, wat vervolgens de weg opent naar aanvullende componenten. In het onderzoek wordt ook BadIIS genoemd als onderdeel van de persistentie- en aanvalsketen.
BadIIS wordt gepositioneerd als een variant die al bekend is binnen een malware-as-a-service (MaaS)-model en door meerdere groepen zou worden gebruikt. Dat is belangrijk: het laat zien dat UAT-10147 niet “alles zelf bouwt”, maar bestaand pakketwerk inzet binnen hun eigen aanvalsorkestratie.
Windows-aanval: privilege escalation, Defender-omzeiling en een misleidende persistence
Talos beschrijft meerdere stappen op Windows-niveau. Een batchscript maakt gebruik van certutil om een privilege escalation-tool te downloaden, gevolgd door secundaire scripts die extra malware binnenhalen. Een gemelde route is het downloaden van een tool genaamd EfsPotato en een RAT zoals Quasar RAT.
Na het verkrijgen van hogere rechten configureren de aanvallers onder meer Microsoft Defender-exclussies. Ook probeert men sporen te wissen: initiële payloads worden verwijderd om forensische analyse te bemoeilijken.
Voor persistentie wordt een “deceptieve” geplande taak gebruikt met de naam “Google Chrome Start”. Vervolgens wordt verdere payload geïnstalleerd, waaronder BadIIS.
Linux-aanval: kwetsbaarheden, LPE en rootniveau toegang
Op Linux gebruikt UAT-10147 eveneens bekende kwetsbaarheden om een eerste foothold te krijgen, waarna Local Privilege Escalation (LPE) wordt misbruikt om richting root te komen. Talos noemt meerdere CVE’s in deze fase, waaronder CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 en CVE-2022-0847.
Na het verkrijgen van rootrechten worden meerdere backdoors ingezet, zoals Noodle RAT (gelinkt aan Gh0st RAT en Rekoobe varianten), SPECTRE en Meterpreter. De backdoors faciliteren uitgaande verbindingen naar command-and-control (C2)-infrastructuur.
Daarnaast vermeldt het rapport dat kwetsbaarheden in webapplicatiesystemen worden benut, waaronder Zimbra (CVE-2022-27925), AjaxPro (CVE-2021-23758), Telerik UI voor ASP.NET AJAX (CVE-2019-18935) en Alibaba Nacos (CVE-2021-29441 en CVE-2021-29442).
Exfiltratie via “normale” infrastructuur
Een opvallend detail is hoe gestolen gegevens worden afgevoerd. Talos beschrijft dat exfiltratie kan worden “gemengd” met legitieme cloud-achtige configuratiemanagementstromen. In plaats van één directe en opvallende route kiest de groep voor een aanpak waarbij data via een acceptatie- of wachtruimte kan binnenkomen, waarna de aanvallers zelf kunnen controleren of succesvolle exploitatie is gelukt.
Dit verlaagt de operationele overhead én vermindert de kans op detectie die vaak ontstaat bij persistent inbound verbindingen of omgevingen die voortdurend “live” contact leggen met een C2.
DeepAudit, PentestGPT en andere AI-gedreven componenten
Naast tools die direct op compromitteren sturen, gebruikt UAT-10147 ook AI-achtige frameworks voor scanning en test. Een voorbeeld is DeepAudit, bedoeld voor kwetsbaarheidsscanning. Talos ziet geen bewijs dat de groep daadwerkelijk gevonden kwetsbaarheden direct uitbuitte met DeepAudit, maar merkt wel dat het framework bereikbaar bleef op de managementserver.
Dat opent twee scenario’s: ofwel plannen de aanvallers om DeepAudit later te gebruiken om zwaktes in doelomgevingen te identificeren, ofwel zetten ze het in om zelf hun eigen tooling en infrastructuur te auditen zodat ze minder snel verrast worden door beveiligingslekkages van derden.
Verder wordt PentestGPT genoemd als een open-source autonome pentesting tool. Ook wordt er melding gemaakt van een gids rond ASP.NET ViewState deserialisatie voor remote code execution, inclusief stappen om payloads te bouwen die ViewState-bescherming omzeilen met MachineKey-kennis.
SPECTRE: cross-platform backdoor met EDR-bypass
De kern van de UAT-10147 SPECTRE aanval is de cross-platform backdoor SPECTRE. Talos stelt dat SPECTRE anti-analysis technieken bevat en met C2 communiceert via HTTPS. Het implant ondersteunt tientallen commando’s waarmee de aanvaller uitgebreide controle verkrijgt over een geïnfecteerd systeem.
De Windows-versie kan onder meer bestanden manipuleren, toetsaanslagen vastleggen, screenshots maken, bestanden downloaden en uploaden, shellcommando’s uitvoeren, proces- en systeeminfo ophalen en zelfs een specifiek proces beëindigen. Daarnaast worden mechanismen genoemd voor het injecteren van code, het holwassen van processen en Early Bird APC-injectie.
Een van de meest verontrustende elementen is de EDR-bypass via BYOVD (Bring Your Own Vulnerable Driver). Daarbij worden kwetsbare drivers benut om verhoogde privileges te verkrijgen en beveiligingsgerelateerde processen te beëindigen.
Talos licht toe dat SPECTRE vervolgens gerichte kernelwrites uitvoert om EDR-callbacks los te koppelen uit relevante kernelstructuren. Het gevolg: beveiligingsproducten die leunen op kernel-callback-afhandeling worden “blind” voor nieuwe events tijdens de sessie, waaronder process creation, thread creation en image load-events. Die combinatie maakt incidentrespons lastiger, omdat telemetrie tijdelijk kan ontbreken.
Linux-variant: anti-sandboxing en kernel-level rootkit
Op Linux volgt SPECTRE een vergelijkbaar patroon, inclusief anti-sandbox checks voordat de C2-verbinding wordt opgezet. Beide varianten hanteren daarnaast een weighted scoring mechanism: als een score drempelwaarde overschrijdt, beëindigt het implant zichzelf.
Voor Linux omvat de functionaliteit commando’s voor bestands- en systeemreconnaissance, agent management en shell-execution. Bovendien is er sprake van een geïntegreerde kernel-level rootkit genaamd Specter, die als kernelmodule wordt geladen.
Talos vermoedt dat de ontwikkeling van die rootkit is beïnvloed door AI-ondersteund programmeren, gezien onder meer “beschrijvende” broncode-commentaren, consistente decoratieve scheidingstekens en het bestaan van meerdere manieren om hetzelfde doel te bereiken.
Wat kun je doen: praktische aandachtspunten
Hoewel UAT-10147 SPECTRE aanval zich richt op specifieke kwetsbaarheden en tooling, zitten de belangrijkste risico’s in breder toepasbare factoren: geautomatiseerde exploitatie, snelle validatie, persistentie op web- en systeemniveau en pogingen om beveiligingsmonitoring te omzeilen.
- Patch webapplicaties en middleware: richt je prioriteit op bekende kwetsbaarheden in webcomponenten en managementdiensten.
- Monitor voor RCE-indicatoren: let op ongebruikelijke webshell-gedragspatronen en verdachte scheduled tasks.
- Controleer egress en “legitieme” cloud-achtige paden: data-exfiltratie kan worden vermomd als reguliere administratie.
- Verbeter EDR-telemetrie en detectiebereik: test of alerts blijven werken bij callback-verstorende TTP’s; denk aan aanvullende logging buiten EDR.
- Voorkom misbruik van bekend helper-gereedschap: scripts die tools downloaden met certutil en vervolgens Defender uitsluitingen configureren, verdienen extra aandacht.
Als je meer wilt lezen over hoe aanvallers beveiliging omzeilen in Windows- en detectiecontext, is deze context nuttig: Microsoft Defender eigen driver misbruikt voor sabotage.
Conclusie
De UAT-10147 SPECTRE aanval laat zien hoe cybercrimegroepen AI inzetten om hun operatie beter te laten draaien: van exploitontwikkeling en validatie tot het automatiseren van post-exploitation werk en het maken van documentatie. Vervolgens bouwen ze persistentie uit met webshells, backdoors en, in het bijzonder bij SPECTRE, met technieken die EDR-visibility kunnen ondermijnen.
Voor organisaties betekent dit vooral één ding: zorg dat patching, detectie en respons niet alleen gericht zijn op één specifieke payload, maar op de hele keten—van initiële RCE tot uitgaande connecties en monitoring-omzeiling. Alleen zo maak je het voor dit soort aanvallers moeilijker om op schaal succesvol te blijven.
Bron: https://thehackernews.com/2026/08/uat-10147-uses-ai-to-scale-server.html
