Группа UAT-10147 ускорила атаки с помощью ИИ и ослепила EDR

Китайскоязычная киберпреступная группа UAT-10147 наладила масштабные атаки на веб-серверы под управлением Windows и Linux. Исследователи Cisco Talos сообщили, что злоумышленники применяют искусственный интеллект для поиска уязвимостей, доработки эксплойтов, разведки, проверки результатов атак и развертывания вредоносных программ.

Группа атакует организации государственного сектора, университеты, СМИ, технологические компании и игровые сервисы. Компрометированные серверы обнаружили в Бразилии, Боливии, Китае, Канаде и Вьетнаме. Основными мотивами кампании стали кража данных и SEO-мошенничество, при котором взломанные сайты используют для подмены поисковой выдачи и распространения вредоносного JavaScript.

Как началась кампания

В начале 2026 года специалисты Cisco Talos заметили, что зараженный сервер связывается с узлом по адресу 139.180.197[.]150. На нем оказался открытый каталог с инструментами и файлами злоумышленников. Среди них исследователи нашли список примерно из 170 тысяч URL-адресов.

Для ускорения обработки преступники разделили список на 17 файлов примерно по 10 тысяч адресов. В перечень входили ресурсы из разных стран, а среди наиболее часто встречавшихся направлений оказались США, Индия, Великобритания, Германия и Нидерланды.

Первоначальный доступ UAT-10147 получает через известные уязвимости в интернет-сервисах и веб-приложениях. В атаках фигурировали проблемы в Zimbra, AjaxPro, Telerik UI для ASP.NET AJAX и Alibaba Nacos. После выполнения произвольного кода преступники запускают автоматизированные сценарии, устанавливают веб-шеллы и загружают дополнительные компоненты.

Атаки на Windows-серверы

На системах Windows группа использует пакет командных сценариев. Один из них загружает инструмент повышения привилегий EfsPotato, загрузчик Quasar RAT и вспомогательные файлы. Получив права администратора, злоумышленники добавляют системные каталоги IIS в исключения Microsoft Defender, чтобы скрыть вредоносные модули от антивирусной проверки.

Затем первоначальные файлы удаляются для осложнения расследования. Для закрепления в системе создается задание планировщика с названием «Google Chrome Start». Параллельно могут устанавливаться Gh0stCringe, Quasar RAT, бэкдор SPECTRE и вредоносный модуль BadIIS.

BadIIS работает по модели «вредоносная программа как услуга» и применяется несколькими китайскоязычными группами. На взломанном сервере он подменяет содержимое страниц для поисковых роботов, продвигая мошеннические сайты, а отдельным посетителям может показывать вредоносный JavaScript.

Что умеет SPECTRE

В августе 2026 года Cisco Talos отдельно описала SPECTRE — кроссплатформенный бэкдор, написанный на языке C. Первое обнаруженное применение импланта относится к апрелю 2026 года. Он поддерживает обмен данными с командным сервером по HTTPS и содержит 45 команд для управления зараженным компьютером.

SPECTRE способен выполнять команды оболочки, читать и передавать файлы, собирать сведения о системе и сетевых интерфейсах, получать список процессов, делать снимки экрана, регистрировать нажатия клавиш и менять временные метки файлов. В Windows-версии также предусмотрены кража данных из Credential Manager, копирование файлов авторизации Chrome и Edge, внедрение кода и удаление собственного файла.

Имплант использует несколько механизмов защиты от анализа. Он проверяет имена процессов, объем оперативной памяти, число процессорных ядер, свободное место на диске, признаки ускорения сна и названия типичных песочниц. Если итоговая оценка достигает 50 баллов, программа завершает работу.

Как преступники отключают EDR

Windows-версия SPECTRE применяет технику BYOVD — загрузку легитимных, но уязвимых драйверов для получения доступа к ядру системы. Вредоносная программа использует драйвер RTCore64.sys компании MSI, связанный с уязвимостью CVE-2019-16098, или драйвер DBUtil_2_3.sys компании Dell, связанный с CVE-2021-21551.

После загрузки драйвера SPECTRE получает возможность читать и изменять память ядра Windows. По данным Cisco Talos, имплант удаляет зарегистрированные обратные вызовы, которые отслеживают создание процессов, потоков и загрузку образов. В результате продукты EDR, включая CrowdStrike Falcon, SentinelOne и Microsoft Defender, могут потерять видимость новых действий до конца текущего сеанса.

Такая атака не означает полного удаления защитного продукта, но позволяет вредоносной программе скрыть ключевые операции от его датчиков. Поэтому специалисты рекомендуют контролировать загрузку уязвимых драйверов и использовать блокировку известных опасных модулей на уровне Windows.

Linux-версия и руткит

На Linux-серверах злоумышленники сначала устанавливают веб-шелл, затем используют известные уязвимости локального повышения привилегий, чтобы получить права root. В цепочке фигурировали CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 и CVE-2022-0847, известная как Dirty Pipe.

После повышения привилегий группа загружает SPECTRE, Noodle RAT и Meterpreter. Наиболее опасным компонентом считается встроенный руткит Specter. Он маскируется под модуль ядра «acpi_pad.ko» и запускается через поддельную службу systemd «hardware-monitor.service» до начала инициализации большинства защитных инструментов.

Руткит скрывает процессы и сам модуль ядра, поддерживает выполнение команд с правами суперпользователя и сохраняет контроль над системой после перезагрузки. Для перехвата системных функций он использует механизм ftrace, который является штатным инструментом ядра Linux и поэтому может оставлять меньше заметных признаков.

Роль искусственного интеллекта

Talos обнаружила на инфраструктуре UAT-10147 PentestGPT — открытый фреймворк для автоматизации тестирования на проникновение. Его применяли для сканирования веб-серверов и запуска подходящих эксплойтов. Также на сервере нашли DeepAudit, предназначенный для поиска уязвимостей в исходном коде, хотя прямых доказательств использования найденных им проблем против жертв исследователи не получили.

Кроме того, преступники подготовили с помощью ИИ набор инструкций и Python-скриптов для эксплуатации уязвимости десериализации ASP.NET ViewState. Скрипты проверяли права записи, устанавливали SPECTRE, размещали ASHX-веб-шелл и отправляли сведения о системе на удаленный веб-хук.

Cisco Talos оценивает с умеренной уверенностью, что при создании Linux-руткина использовались ИИ-инструменты вместе с работой специалистов. На это указывают подробные комментарии в исходном коде, единообразная структура описаний и наличие нескольких альтернативных способов реализации одних и тех же функций.

Исследователи считают UAT-10147 примером перехода от обычного применения ИИ для написания отдельных скриптов к полуавтоматической организации всей атаки. Для защиты серверов рекомендуется своевременно устранять уязвимости, ограничивать доступ к панелям администрирования, контролировать создание служб и веб-шеллов, проверять загрузку модулей ядра и блокировать уязвимые драйверы.