Skupina UAT-10147 využívá nástroje založené na umělé inteligenci k automatizaci útoků proti zranitelným webovým serverům s operačními systémy Windows a Linux. Podle analýzy jde o čínsky mluvícího finančně motivovaného aktéra, jehož cílem je především krádež dat, podvody v optimalizaci pro vyhledávače a další způsoby zpeněžení napadené infrastruktury.
Automatizace průzkumu i následné kompromitace
Výzkumníci objevili seznam přibližně 170 000 cílových adres. Napadené nebo ohrožené systémy se nacházely v několika zemích včetně Brazílie, Bolívie, Číny, Kanady a Vietnamu. Mezi zasažené organizace patřily vládní instituce, univerzity, média, technologické společnosti a herní firmy.
Útočníci podle dostupných zjištění kombinují veřejně známé zranitelnosti s nástroji jako Metasploit, ysoserial, PentestGPT a DeepAudit. Umělá inteligence jim pomáhá při průzkumu cílů, generování a ověřování exploitů, hledání zapisovatelných adresářů, řešení chyb během útoku i při nasazování webových shellů.
Nejde tedy pouze o využívání jazykového modelu k napsání jednoduchého skriptu. UAT-10147 začleňuje AI do širšího operačního procesu. Nástroje dokážou reagovat na výsledky předchozích kroků, upravovat postup a vytvářet dokumentaci pro další fáze útoku. Tím se snižuje potřeba ruční práce a současně se zvyšuje počet serverů, které může skupina zkoušet napadnout.
SPECTRE kombinuje zadní vrátka s obcházením ochrany
Jedním z nejvýraznějších nástrojů skupiny je implant SPECTRE, který existuje ve variantách pro Windows i Linux. Podporuje příkazy určené ke krádeži přihlašovacích údajů, pořizování snímků obrazovky, zaznamenávání stisků kláves, vydávání se za jiné procesy a injektování kódu.
Na systémech Windows skupina využívá také techniku BYOVD, tedy zneužití legitimních, ale zranitelných ovladačů k deaktivaci bezpečnostních produktů. V prostředí Linuxu byl zaznamenán vlastní rootkit, který se může načítat jako kernelový modul a skrývat škodlivé procesy.
„UAT-10147 patří mezi novou generaci finančně motivovaných útočníků, kteří využívají agentní umělou inteligenci k nasazení útočných postupů ve velkém měřítku,“ uvedli výzkumníci Cisco Talos.
Organizace by měly omezit vystavení webových serverů internetu, včas instalovat bezpečnostní aktualizace a sledovat neobvyklé vytváření účtů, plánovaných úloh, služeb a kernelových modulů. Důležitá je také kontrola neočekávaných webových shellů a změn v konfiguraci bezpečnostních nástrojů.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
