UAT-10147 dùng AI để tự động hóa tấn công máy chủ web
"Cybersecurity researchers reported that the UAT-10147 threat group is using AI-assisted tooling and open-source offensive frameworks to automate large-scale attacks against Windows and Linux web servers. The campaign leverages multiple known vulnerabilities and privilege-escalation flaws to gain RCE and root access, then deploys malware and backdoors including BadIIS, Quasar RAT, Gh0stCringe, SPECTRE, and Linux implants for persistence, SEO fraud, and data theft; no new CVE was introduced, but the article highlights exploitation of several known CVEs and the use of EDR/Defender evasion techniques."
Tác động cao do khai thác lỗ hổng đã biết, leo thang lên root và triển khai backdoor/persistence trên cả Windows lẫn Linux.
Có thể gây gián đoạn dịch vụ web, rò rỉ dữ liệu và ảnh hưởng uy tín/SEO của tổ chức nếu bị chèn mã độc hoặc lạm dụng hạ tầng.
Các nhà nghiên cứu an ninh mạng cho biết nhóm đe dọa UAT-10147 đang nhắm vào máy chủ web Windows và Linux trên nhiều lĩnh vực, gồm giáo dục, truyền thông, công nghệ và game. Chiến dịch này tận dụng lỗ hổng đã công bố để đạt RCE và leo thang đặc quyền, sau đó triển khai nhiều công cụ và mã độc như BadIIS, Quasar RAT, Gh0stCringe, SPECTRE và các Linux implant nhằm duy trì truy cập, SEO fraud và đánh cắp dữ liệu.
Theo báo cáo, nhóm này kết hợp các framework tấn công mã nguồn mở như Metasploit, ysoserial, PentestGPT và DeepAudit, đồng thời dùng AI để tinh chỉnh khai thác, tự động hóa hậu khai thác, kiểm tra tính hiệu quả và tạo tài liệu vận hành. Một danh sách mục tiêu bị lộ cho thấy khoảng 170.000 URL, được chia thành 17 tệp nhỏ để xử lý hiệu quả hơn.
Trên Linux, nhóm khai thác nhiều lỗi leo thang đặc quyền đã biết, gồm CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 và CVE-2022-0847. Sau khi có quyền root, chúng triển khai backdoor và thiết lập kết nối tới hạ tầng C2.
Khuyến nghị: ưu tiên vá các CVE liên quan, rà soát IIS/Zimbra/Nacos/Telerik, kiểm tra EDR/Defender exclusions, tìm dấu hiệu web shell và theo dõi lưu lượng bất thường tới hạ tầng điều khiển.