Kibervédelmi kutatók nyilvánosságra hozták egy kínaiul beszélő kiberbűnözői csoport, az UAT-10147 részleteit. A csoport világszerte Windows és Linux web szervereket támad az oktatási, média-, technológiai és játékipari szektorban.

A célpontok túlnyomó többsége Brazíliában, Bolíviában, Kínában, Kanadában és Vietnámban található. A fenyegetés részletei egy „139.180.197[.]150” címen elérhető nyílt könyvtár felfedezése után kerültek felszínre, amelyet az egyik feltört géppel folytatott kommunikáció közben figyeltek meg.

„A támadó nyilvánosan ismert sebezhetőségeket használt ki, hogy tömegesen szerezzen kezdeti hozzáférést” – írta a Cisco Talos a múlt héten megjelent, két részből álló jelentésében. A támadó többféle nyílt forráskódú támadó frameworköt vetett be, köztük a Metasploit-ot, a ysoserial-t, a PentestGPT-t, a DeepAuditot, valamint több jogosultságkiterjesztő exploitot, hogy automatizálja a betörési műveleteket és tartós jelenlétet építsen ki.

Az UAT-10147 olyan fenyegető szereplőként jelenik meg, amely keresőoptimalizálási (SEO) csalást és adatlopást végez, miközben a támadási ciklus különböző szakaszaiban mesterséges intelligenciával (AI) támogatott eszközöket integrál a kihasználás, a felderítés, a payload-generálás, az ellenőrzés és a tartós jelenlét megkönnyítésére.

Konkrétan AI-t használ exploitok finomhangolására, logikai hibák elhárítására, a poszt-exploitációs munkafolyamatok automatizálására, az exploitok ellenőrzésére és az üzemeltetési dokumentáció elkészítésére. Mindez arra utal, hogy a támadó ipari méretekben próbálja megvalósítani a támadó módszertanokat.

Az exponált könyvtár elemzése során a kutatók találtak egy szövegfájlt, amely egy körülbelül 170 000 URL-ből álló célpontlistát tartalmazott. A támadó ezt 17 kisebb, egyenként nagyjából 10 000 URL-t tartalmazó fájlra bontotta, hogy hatékonyabban tudja feldolgozni az adatokat. A célpontlista alapján az öt leggyakrabban érintett ország az Egyesült Államok, India, az Egyesült Királyság, Németország és Hollandia.

A támadási láncok ismert hibák kihasználásával indulnak, amelyek távoli kódfuttatást (RCE) tesznek lehetővé egy weboldalon vagy egy sebezhető IIS szerveren. Ezt követően egy automatizált script fut le, amely SEO-csalásra vagy adatlopásra szolgáló kártevőt telepít és indít el. Bizonyos esetekben web shellt is telepítenek, amely megnyitja az utat a BadIIS és további backdoorok előtt a tartós hozzáférés érdekében.

Az UAT-10147 által végrehajtott további lépések közül néhány a következő:

• Olyan batch script használata, amely a certutil eszközzel letölt egy jogosultságkiterjesztő eszközt („EfsPotato”), egy másodlagos batch scriptet és a Quasar RAT-et egy távoli szerverről („adminapi.tippusoni[.]in”)
• Az EfsPotato eszköz használata a rendszer szintű jogosultságok megszerzésére, majd Microsoft Defender-kivételek beállítása
• Az elsődleges kártevők törlése a nyomok eltüntetése és a későbbi igazságügyi elemzés megnehezítése érdekében
• További kártevők telepítése, például a Gh0stCringe és egy korábban nem dokumentált, többplatformos implantátum, a SPECTRE
• A másodlagos batch script használata a Quasar RAT csendes futtatására, valamint tartós jelenlét kiépítésére egy „Google Chrome Start” nevű, megtévesztő ütemezett feladattal
• A kiterjesztett jogosultságok kihasználása egy harmadik batch script letöltésére, amely ezután telepíti a BadIIS-t

Érdekesség, hogy a BadIIS kártevő magja ugyanaz a konkrét variáns, amelyet malware-as-a-service (MaaS) modellben kínálnak, és több kínaiul beszélő kiberbűnözői csoport is használja.

A Linux elleni támadások – ahogy ebben az esetben is – különféle ismert sebezhetőségeket használnak ki a kezdeti hozzáférés megszerzésére. Ezt követően több ismert helyi jogosultságkiterjesztő (LPE) exploit segítségével root szintre emelik a jogosultságokat, többek között a CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 és a CVE-2022-0847 kihasználásával.

Miután sikerül root szintű hozzáférést szerezni, a támadó több backdoort is telepít, például a Noodle RAT-et (a Gh0st RAT és a Rekoobe egy variánsát), a SPECTRE-t és a Meterpretert, hogy kifelé irányuló kapcsolatokat hozzon létre a távoli command-and-control (C2) infrastruktúrával. A kampány során a támadó többek között a következő sebezhetőségeket fegyverezte fel: CVE-2022-27925 (Zimbra), CVE-2021-23758 (AjaxPro), CVE-2019-18935 (Telerik UI for ASP.NET AJAX), CVE-2021-29441 és CVE-2021-29442 (Alibaba Nacos).

„Az adatszivárgást egy legitim, felhőalapú konfigurációkezelő szolgáltatáson keresztül irányítva a támadók hatékonyan beleolvasztják a forgalmukat a szokásos adminisztratív műveletek közé” – mondta Joey Chen, a Talos kutatója. „Ez az infrastruktúraválasztás aszinkron exfiltrációs végpontként működik, így a támadók egyszerűen lekérdezhetik a saját Nacos példányukat, és ellenőrizhetik, sikerült-e az áldozatok elleni exploit, anélkül, hogy fenn kellene tartaniuk egy állandó reverse shellt, vagy közvetlen bejövő kapcsolatokat, amelyek működtetése plusz terhet és észlelési kockázatot jelentene.”

UAT-10147 taktikájának egyik figyelemre méltó eleme a DeepAudit nevű, AI-alapú framework használata sebezhetőségek felderítésére. A Talos szerint nincs bizonyíték arra, hogy a támadók a DeepAudit által feltárt sebezhetőségeket ténylegesen kihasználták volna az áldozatok rendszereiben, bár az eszköz elérhető maradt a menedzsment szerveren.

Felmerült a lehetőség, hogy a támadók a jövőben a DeepAuditot használják majd a célpontok környezetében található sebezhetőségek azonosítására. Ugyanakkor az is valószínű, hogy saját védelmük erősítésére vetik be, vagyis előre auditálják vele a saját infrastruktúrájukat és eszközeiket, hogy megelőzzék, hogy más szereplők kompromittálják őket.

UAT-10147-ről az is kiderült, hogy a C2 szerverére telepíti a PentestGPT-t, egy nyílt forráskódú, autonóm pentest frameworköt, amellyel web szervereket pásztáz, és releváns proof-of-concept exploitat futtat. Egy esetben a fenyegetési szereplőnek sikerült is feltörnie egy weboldalt, majd Linux parancsokkal információkat gyűjtött az áldozat gépéről.

A támadók egy másik, AI-orientált eszközt is bevetnek: egy ASP.NET ViewState deszerializációs, távoli kódfuttatást lehetővé tevő útmutatót, amely az alábbi területeket részletezi:

• A badsecrets library használata, amely nyilvánosan ismert vagy kiszivárgott ASP.NET MachineKey konfigurációkat tartalmaz; a kulcs érvényességének ellenőrzése; a ysoserial.net bevetése rosszindulatú deszerializációs payloadok felépítésére, amelyek a korábban kiszivárgott MachineKey segítségével megkerülik a ViewState védelmét, és kódfuttatást érnek el
• Rendszeres felderítés végrehajtása a kódfuttatás után PowerShell segítségével: rendszerinformációk, jogosultsági tokenek, webkönyvtár-listák, IIS site konfigurációk, hálózati interfészadatok és futó folyamatok gyűjtése, majd ezek kiszivárogtatása egy távoli webhookra
• Tartós, interaktív hozzáférés kiépítése a SPECTRE segítségével, vagy alternatívaként egy ASHX web shell írása az IIS webrootba, illetve egy PowerShell-alapú TCP reverse shell létrehozása
• Jogosultságok emelése az IIS AppPool identitásról SYSTEM szintre a Potato eszközcsalád használatával, vagy SPECTRE segítségével egy beépített rutinon keresztül, amelynek neve „spectre_potato()”

UAT-10147 négy további, AI által generált eszközt is használ, amelyek Python scriptek. Az egyik egy utólagos diagnosztikai segédprogramként működik, többek között a web shell írási hibáinak elhárítására. A második a ViewState deszerializációs primitívet használja a SPECTRE implant letöltésére és elindítására.

A harmadik script ugyanazzal a deszerializációs mechanizmussal telepíti az ASHX web shellt a kompromittált IIS szerverre. A negyedik script feladata, hogy az adatkiszivárogtatási forgalmat HTTPS-en keresztül összemossa a legitim szoftver mint szolgáltatás (SaaS) forgalommal, és a webfoot felderítés, az IIS site-leltár és a jogosultsági szint felmérésének eredményeit egy webhook végpontra továbbítsa.

A Talos szerint a SPECTRE egy C-ben írt, többplatformos backdoor, amely obfuszkációs és elemzésellenes technikákat használ, hogy elkerülje a felderítést. HTTPS-en keresztül kommunikál a C2 szerverrel, és akár 45 parancsot is támogat, amelyekkel a támadó széles körű irányítást szerez a fertőzött végpont felett. A fenyegetési szereplő először 2026 áprilisában vetette be az implantot.

„Az újonnan azonosított SPECTRE implant jelentős előrelépést jelent az általánosan elérhető betörési eszköztárakban: egyesíti a többplatformos command-and-control (C2) műveleteket, a process injectiont, a hitelesítő adatok ellopását, az elemzésellenes védelmet és a kernel-szintű endpoint detection and response (EDR) megkerülő funkciókat” – írta a Talos jelentése.

A Windows-változat képes fájlműveletek végrehajtására, billentyűleütések naplózására, képernyőképek készítésére, fájlok letöltésére és feltöltésére, shell parancsok futtatására, a futó folyamatok listázására, egy adott folyamat leállítására, rendszerinformációk lekérésére, a beacon alvási intervallumának beállítására, fájl-időbélyegek módosítására, shellcode injektálására, process hollowing és Early Bird APC injection alkalmazására, EDR folyamatok leállítására a saját sebezhető driver (BYOVD) technika segítségével, valamint saját magának a gépről való törlésére.

A BYOVD támadás két jól ismert sebezhető drivert használ: az MSI „RTCore64.sys” (CVE-2019-16098) és a Dell „DBUtil_2_3.sys” (CVE-2021-21551) komponensét. Ezekkel emelt jogosultságot szerez, majd leállítja a biztonsággal kapcsolatos folyamatokat.

„Célzott kernel-írásokkal a SPECTRE biztonságosan kiemeli az összes regisztrált EDR callbacket a hozzájuk tartozó, kétszeresen láncolt listából” – magyarázta a Talos. „Ennek következtében a kernel-callbackekre támaszkodó biztonsági termékek, például a CrowdStrike Falcon, a SentinelOne, a Microsoft Defender és más ismert EDR megoldások teljesen vakká válnak az új processzek, szálak és image betöltési események észlelésére a munkamenet hátralévő részében, vagyis gyakorlatilag megszűnik az EDR láthatósága a célgépen.”

A SPECTRE Linux-változata nagyjából ugyanazt a mintát követi: több sandbox-ellenőrzést futtat, mielőtt felépíti a C2 kapcsolatot. Mindkét verzió súlyozott pontozási rendszert használ, amely 50 pont felett önmegsemmisítésre készteti a programot. Az értékelés alapja a tiltólistán szereplő processznevek, a RAM mérete, a CPU-magok száma, a lemezterület, az alvásgyorsítás észlelése, valamint gyakori sandbox gépnevek és felhasználónevek.

Ezzel szemben a Linux-változat utasításkészlete csak 29 parancsot támogat, amelyek a fájlrendszer kezelését, a rendszer- és folyamatfelderítést, az ügynök menedzselését és a korlátlan shell-végrehajtást fedik le. Leghatékonyabb képessége egy integrált kernel-szintű rootkit, a Specter, amelyet kernel modul formájában telepítenek.

Feltételezhető, hogy a rootkitet AI-alapú fejlesztés és emberi szakértelem kombinációjával hozták létre. Erre utalnak a beszédes forráskód-kommentek, az egységes, díszítő elválasztók az egyes függvények magyarázatánál, valamint az, hogy több, azonos célra szolgáló módszert is tartalmaz – ilyet gyakran generálnak AI modellek, ha részletességre kérik őket, nem pedig a leghatékonyabb megoldás egyszerű megvalósítására.

„Ez az architektúra tartós, kernel-szintű irányítást ad a támadónak a kompromittált gép felett, amely túléli az újraindításokat és a legtöbb felhasználói szintű biztonsági kontrollt” – közölte a Talos. „A Spectre hátsó kapu betölti a Linux kernel rootkitet, a Spectert, hogy megakadályozza a biztonsági termékek általi észlelést.”

⚠ Elveszett hivatkozás (szerkesztésre vár): said