У группировки UAT-10147 нашли список примерно из 170 тысяч URL и набор инструментов, который превращает атаки на серверы в почти конвейерный процесс. Речь не только про эксплуатацию старых дыр в Windows и Linux, но и про использование ИИ на разных этапах атаки: от подбора эксплойтов до постэксплуатации и маскировки. Для русскоязычной IT-аудитории это неприятный, но полезный сигнал: атаки на серверы становятся дешевле, быстрее и заметно лучше автоматизируются.
О кампании сообщает The Hacker News со ссылкой на исследование Cisco Talos. Аналитики описывают UAT-10147 как китайскоязычную киберкриминальную группу, которая атакует веб-серверы по всему миру в сферах образования, медиа, технологий и игр. По фактически пораженным целям чаще всего встречались Бразилия, Боливия, Китай, Канада и Вьетнам. При этом в найденном списке целей лидировали уже другие страны: США, Индия, Великобритания, Германия и Нидерланды. Сам по себе этот разнобой показателен: злоумышленники работают широко, без узкой отраслевой или географической специализации, и берут количеством.
Отправной точкой расследования стала открытая директория на сервере 139.180.197[.]150, которая общалась с одной из взломанных машин. Внутри исследователи нашли инфраструктуру, собранную без особой стыдливости: Metasploit, ysoserial, PentestGPT, DeepAudit, несколько локальных эксплойтов повышения привилегий и файлы, из которых видно, как именно строился процесс. Список из 170 тысяч адресов был разбит на 17 частей примерно по 10 тысяч URL в каждой, чтобы удобнее парсить и прогонять цели через автоматизацию. Это важная деталь: перед нами не ручная охота на несколько компаний, а вполне индустриальная схема, где главная ставка делается на масштаб.
Первичный доступ UAT-10147 получала через давно известные уязвимости с возможностью удаленного выполнения кода. В цепочках для Windows фигурируют уязвимости в Zimbra, AjaxPro, Telerik UI for ASP.NET AJAX и Alibaba Nacos. После компрометации сайта или уязвимого IIS-сервера запускался скрипт, который подтягивал следующий набор полезной нагрузки. В одном из сценариев злоумышленники через certutil скачивали EfsPotato, вторичный batch-файл и Quasar RAT с удаленного сервера adminapi.tippusoni[.]in, затем повышали привилегии, прописывали исключения в Microsoft Defender, удаляли исходные файлы, чтобы усложнить форензику, и уже после этого ставили постоянные закладки.
Дальше начинается то, что делает эту историю особенно интересной для защитников. Вместо одного инструмента UAT-10147 использовала целую связку: Quasar RAT, Gh0stCringe, BadIIS, веб-шеллы и ранее не описанный кроссплатформенный имплант SPECTRE. Для закрепления в системе применялась, например, задача планировщика с безобидным именем Google Chrome Start. BadIIS здесь тоже не случайный выбор: Talos отмечает, что это тот же вариант вредоноса, который уже связывали с моделью malware-as-a-service и использованием несколькими китайскоязычными преступными группами. Иными словами, даже в криминальной среде идет нормальная для ИТ-рынка история: готовые компоненты, повторное использование кода и специализация по ролям.
Linux-ветка выглядит не менее приземленно и оттого опасно. Для повышения привилегий до root использовались хорошо известные LPE-уязвимости, включая CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 и CVE-2022-0847. После получения root-доступа на хост загружались Noodle RAT, SPECTRE и Meterpreter, чтобы обеспечить исходящие соединения с командной инфраструктурой. Никакой магии: если сервер давно не патчился, если на нем остались старые компоненты, если кто-то считал, что Linux сам по себе достаточно суров и потому безопасен, то новости для такого подхода плохие.
Главный сюжет, конечно, не в самих CVE. Все перечисленное давно известно. Новость в том, как именно группа встраивает ИИ в рутинную наступательную работу. По данным Talos, UAT-10147 применяла ИИ-инструменты для доработки эксплойтов, отладки логики, автоматизации постэксплуатации, проверки срабатывания и даже подготовки операционной документации. На управляющем сервере нашли DeepAudit, предназначенный для аудита уязвимостей, и PentestGPT, автономный фреймворк для пентеста. Исследователи не увидели подтверждения, что DeepAudit уже использовался для поиска новых дыр у жертв, но сам факт его присутствия важен: злоумышленники явно тестируют сценарий, где атаки на серверы становятся ближе к DevOps-пайплайну, чем к ремеслу одиночки с консолью.
Отдельно Talos описывает AI-сгенерированный гайд по удаленному выполнению кода через десериализацию ASP.NET ViewState. В нем разобран вполне прикладной сценарий: использовать badsecrets для поиска известных или утекших MachineKey, проверить валидность ключей, сгенерировать полезную нагрузку через ysoserial.net и обойти защиту View State. После выполнения кода запускалась систематическая разведка через PowerShell: сбор данных о системе, привилегиях, директориях веб-сайта, конфигурации IIS, сетевых интерфейсах и запущенных процессах с последующей отправкой информации на удаленный webhook. Для закрепления группа либо разворачивала SPECTRE, либо записывала ASHX-веб-шелл в webroot IIS, либо поднимала reverse shell на PowerShell.
SPECTRE в этой истории заслуживает отдельного абзаца, хотя без лишней романтики. Talos описывает его как кроссплатформенный бэкдор на C с обфускацией, антианализом, HTTPS-связью с C2 и поддержкой 45 команд. По оценке исследователей, этот имплант использовался как минимум с апреля 2026 года. Среди возможностей названы управление зараженной машиной, process injection, кража учетных данных, антианалитические функции и обход EDR на уровне ядра. Если это описание подтвердится в дальнейших исследованиях, речь идет не просто об очередной утилите для закрепления, а о довольно зрелом инструменте, который закрывает сразу несколько стадий вторжения.
Есть и еще один трезвый вывод для команд, которые отвечают за инфраструктуру. UAT-10147 не полагалась только на прямые reverse shell-соединения. Для вывода данных группа использовала легитимный облачный сервис управления конфигурациями, чтобы смешивать вредоносный трафик с обычной административной активностью. По сути, это асинхронный канал подтверждения компрометации без лишнего шума и без необходимости держать постоянный интерактивный канал. Для SOC и IR-команд это означает, что привычное разделение на «хороший SaaS-трафик» и «подозрительный внешний канал» работает все хуже.
Для разработчиков и бизнеса здесь нет экзотических выводов, но есть неприятно конкретный список задач. Уязвимые IIS, старые компоненты Telerik и AjaxPro, публично доступные сервисы Nacos, непропатченные Linux-хосты, слабый контроль исходящих HTTPS-соединений и формальная защита веб-серверов по принципу «EDR стоит, значит нормально» больше не выглядят как отдельные недочеты. В связке они дают злоумышленникам достаточно материала, чтобы масштабировать атаки на серверы почти без ручной работы. Похоже, следующий заметный сдвиг в offensive tooling будет не в появлении принципиально новых эксплойтов, а в том, что уже известные техники научатся собирать в быстрые, дешевые и очень повторяемые цепочки.