SPECTRE, die Backdoor, die EDRs ausschaltet: Einblick in das Arsenal von UAT-10147

Ein offenes Verzeichnis enthüllt 170.000 Ziel-URLs

Kürzlich hat Cisco Talos eine zweiteilige Analyse der chinesischsprachigen Gruppe UAT-10147 veröffentlicht, die weltweit gegen Windows- und Linux-Webserver aktiv ist. Die Aktivität wurde durch die Entdeckung eines offenen Verzeichnisses auf dem Host 139.180.197[.]150 aufgedeckt, das mit einer bereits kompromittierten Maschine kommunizierte. Darin befand sich eine Textdatei mit rund 170.000 URLs, die der Angreifer in 17 kleinere Dateien mit jeweils etwa 10.000 Einträgen aufgeteilt hatte, um sie effizienter zu analysieren.

Zu den betroffenen Branchen zählen Bildung, Medien, Technologie und Gaming. Bestätigte Opfer befinden sich in Brasilien, Bolivien, China, Kanada und Vietnam. Die fünf Länder mit dem höchsten Zielvolumen sind die Vereinigten Staaten, Indien, das Vereinigte Königreich, Deutschland und die Niederlande. Die Gruppe führt SEO-Betrug und Datendiebstahl durch und setzt dabei in verschiedenen Angriffsphasen KI-gestützte Tools ein: von der Optimierung von Exploits über die Generierung von Payloads bis hin zur Validierung und operativen Dokumentation.

Die Angriffsketten unter Windows und Linux

Unter Windows erfolgt der initiale Zugriff über bekannte Schwachstellen auf verwundbaren Websites oder IIS-Servern, wodurch eine Remotecodeausführung erlangt wird. Es folgen automatisierte Skripte zur Installation von Malware für SEO-Betrug oder Datendiebstahl. In einigen Fällen wird eine Web-Shell hochgeladen, die den Weg für BadIIS und andere Backdoors zur Persistenz ebnet.

Ein Batch-Skript verwendet certutil, um von adminapi.tippusoni[.]in das Tool zur Rechteausweitung EfsPotato, ein zweites Batch-Skript und Quasar RAT herunterzuladen. EfsPotato ermöglicht es, SYSTEM-Rechte zu erlangen und Microsoft-Defender-Ausschlüsse zu konfigurieren. Die initialen Payloads werden anschließend gelöscht, um die forensische Analyse zu erschweren. Danach werden weitere Implantate verteilt: Gh0stCringe und die neue plattformübergreifende Backdoor SPECTRE. Das zweite Skript führt Quasar RAT still aus und etabliert Persistenz über eine geplante Aufgabe namens "Google Chrome Start". Mit erhöhten Rechten installiert ein drittes Skript BadIIS.

Talos dokumentiert außerdem eine operative Anleitung für Szenarien im Zusammenhang mit ASP.NET ViewState: Mithilfe der Bibliothek badsecrets identifiziert der Angreifer öffentliche oder geleakte ASP.NET MachineKey-Konfigurationen, überprüft deren Gültigkeit und setzt ysoserial.net ein, um bösartige Deserialisierungs-Payloads zu erstellen. Nach der Codeausführung erfolgt eine systematische Aufklärung per PowerShell, und die Daten werden an einen entfernten Webhook exfiltriert. Der persistente interaktive Zugriff erfolgt über SPECTRE oder durch das Schreiben einer ASHX-Web-Shell in das IIS-Webroot und einer PowerShell-TCP-Reverse-Shell. Die Rechteausweitung von der IIS-AppPool-Identität auf SYSTEM nutzt die Potato-Toolfamilie oder die in SPECTRE integrierte Routine namens spectre_potato().

Unter Linux nutzt der initiale Zugriff mehrere bekannte Schwachstellen, gefolgt von Local-Privilege-Escalation-Exploits zur Erlangung von Root-Rechten. Dazu gehören CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 und CVE-2022-0847. Sobald Root-Rechte erlangt wurden, werden mehrere Backdoors installiert: Noodle RAT (Variante von Gh0st RAT und Rekoobe), SPECTRE und Meterpreter, um ausgehende Verbindungen zu entfernten C2-Servern zu gewährleisten.

SPECTRE: Die Backdoor, die Sicherheitsprodukte blendet

SPECTRE wird von Talos als eine bedeutende Weiterentwicklung des handelsüblichen Offensiv-Toolings beschrieben. Es handelt sich um eine plattformübergreifende Backdoor in C mit Obfuskation und Anti-Analyse-Techniken. Die C2-Kommunikation erfolgt über HTTPS. Die Windows-Version unterstützt 45 Befehle, die Linux-Version 29. Beide implementieren einen gewichteten Anti-Sandbox-Punktemechanismus: Das Programm beendet sich selbst, wenn der Punktestand 50 Punkte übersteigt. Grundlage sind Blocklisten von Prozessnamen, RAM-Kapazität, Anzahl der CPU-Kerne, Festplattenspeicher, Erkennung von Sleep-Acceleration sowie typische Sandbox-Hostnamen und -Benutzernamen.

Die Windows-Version umfasst Dateioperationen, Keylogging, Screenshots, Download/Upload, Ausführung von Shell-Befehlen, Prozessaufzählung, Änderung von Zeitstempeln (Timestomp), Shellcode-Injection, Process Hollowing und Early Bird APC Injection. Die kritischste Fähigkeit ist die Beendigung von EDR-Prozessen mittels BYOVD (Bring Your Own Vulnerable Driver). SPECTRE lädt zwei bekannte verwundbare Treiber: RTCore64.sys von MSI (CVE-2019-16098) und DBUtil_2_3.sys von Dell (CVE-2021-21551). Damit erlangt es erhöhte Rechte und führt gezielte Kernel-Schreibvorgänge durch, um jeden registrierten EDR-Callback sicher aus seiner doppelt verketteten Liste zu „lösen“. Dadurch bleiben Produkte wie CrowdStrike Falcon, SentinelOne, Microsoft Defender und andere für den Rest der Sitzung blind gegenüber neuen Prozess-, Thread- und Image-Load-Ereignissen.

Die Linux-Variante führt vor der Verbindung zum C2 Anti-Sandbox-Prüfungen durch und enthält ein integriertes Kernel-Level-Rootkit namens Specter, das als Kernelmodul ausgeliefert wird. Talos vermutet, dass es durch eine Kombination aus KI-Unterstützung und menschlicher Erfahrung entwickelt wurde, da der Code einheitliche beschreibende Kommentare und dekorative Trennzeichen aufweist. Das Rootkit gewährleistet persistente Kontrolle auf Kernel-Ebene, übersteht Neustarts und die meisten Prüfungen auf Benutzerebene. Sein erklärtes Ziel ist es, die Erkennung durch Sicherheitsprodukte zu verhindern.

Künstliche Intelligenz als offensiver Multiplikator

UAT-10147 nutzt in großem Umfang offene Offensiv-Frameworks: Metasploit, ysoserial, PentestGPT und DeepAudit. DeepAudit, ein KI-gesteuertes Framework für Schwachstellenscans, war auf dem Verwaltungsserver zugänglich. Talos fand keine Beweise dafür, dass der Akteur mit DeepAudit entdeckte Schwachstellen in Opferumgebungen ausgenutzt hat: Es könnte zur Identifizierung von Schwachstellen in Zielsystemen gedacht gewesen sein oder defensiv zur Überprüfung der eigenen Infrastruktur eingesetzt worden sein.

PentestGPT, ein autonomes Open-Source-Pentesting-Framework, war auf dem C2-Server installiert, um Webserver zu scannen und Proof-of-Concept-Angriffe auszuführen. In einem Fall hat die Gruppe erfolgreich eine Website ausgenutzt und Informationen über den Opfer-Host gesammelt. Darüber hinaus wurden vier KI-generierte Python-Skripte identifiziert: ein Post-Exploitation-Diagnosewerkzeug, ein Skript zum Herunterladen und Starten von SPECTRE mittels ViewState-Deserialisierung, eines zur Verteilung der ASHX-Web-Shell über denselben Mechanismus und eines zur Verschleierung des Exfiltrationsverkehrs mit legitimem SaaS-Verkehr über HTTPS. Die Exfiltration wird an einen Cloud-Konfigurationsverwaltungsdienst (Nacos) geleitet, der als asynchroner Sammelpunkt dient: Die Angreifer fragen ihre eigene Nacos-Instanz ab, um den Exploit-Erfolg zu überprüfen, ohne persistente Reverse-Shells aufrechtzuerhalten.

Ausgenutzte Schwachstellen und Patch-Status

Für den initialen Zugriff nennt Talos CVE-2022-27925 (Zimbra), CVE-2021-23758 (AjaxPro), CVE-2019-18935 (Telerik UI for ASP.NET AJAX), CVE-2021-29441 und CVE-2021-29442 (Alibaba Nacos). Für diese Schwachstellen enthält der Bericht keine spezifischen NVD-Details.

Die Linux-Privilege-Escalation-Schwachstellen verfügen über detailliertere NVD-Einträge. CVE-2021-3156 (Sudo, „Baron Samedit“) hat CVSS v3 7.8 und betrifft Sudo-Versionen vor 1.9.5p2. Sie steht seit dem 6. April 2022 im CISA-KEV-Katalog, mit einer Remediation-Frist für US-Bundesbehörden zum 27. April 2022. CVE-2022-0847 („Dirty Pipe“) hat CVSS 7.8, betrifft den Linux-Kernel vor 5.10.102 und steht seit dem 25. April 2022 im KEV, mit Frist 16. Mai 2022. CVE-2010-3904 (Linux-Kernel RDS) hat CVSS 7.8, steht seit dem 12. Mai 2023 im KEV mit Frist 2. Juni 2023 und der geforderten Maßnahme, dass das Produkt sein End-of-Life erreicht hat und getrennt werden muss. CVE-2022-0995 (watch_queue Out-of-Bounds Write) hat CVSS 7.8, ist jedoch nicht im KEV-Katalog gelistet. Die betroffenen Kernel-Versionen reichen von 5.8 bis ausschließlich 5.10.106, von 5.11 bis ausschließlich 5.15.29, von 5.16 bis ausschließlich 5.16.5 sowie die Release Candidates 5.17 rc1-rc8. CVE-2015-3246 und CVE-2015-5287 haben im Bericht keine CVSS-Metriken, obwohl das Archiv im CVSS-v2-Format jeweils 7.2 bzw. 6.9 ausweist.

Die beiden im BYOVD verwendeten verwundbaren Treiber haben beide eine KEV-Historie: CVE-2021-21551 (Dell DBUtil_2_3.sys) steht seit dem 31. März 2022 im Katalog mit Frist 21. April 2022 und hat CVSS 8.8. CVE-2019-16098 (MSI RTCore64.sys) hat CVSS 7.8, ist aber in den verfügbaren Quellen nicht im KEV gelistet.

In den letzten Monaten wurden für dieselben betroffenen Anbieter (Red Hat, SUSE, Linux) zusätzlich CVE-2026-34486 (4. August 2026), CVE-2026-11645 (9. Juni 2026), CVE-2026-42271 (8. Juni 2026) und CVE-2022-0492 (2. Juni 2026) in den KEV-Katalog aufgenommen. Dies bestätigt den anhaltenden Druck auf diese Ökosysteme.

Was zu tun ist: Maßnahmen und Kompromittierungsindikatoren

Für die Schwachstellen im KEV-Katalog sind die Fristen der US-Bundesbehörden bereits abgelaufen: Wer die Patches noch nicht angewendet hat, muss dies unverzüglich nachholen. Für CVE-2021-3156 Sudo auf Version 1.9.5p2 oder höher aktualisieren. Für CVE-2022-0847 den Linux-Kernel über 5.10.102 hinaus aktualisieren (oder die für die jeweilige Distribution korrigierten Versionen). Für CVE-2010-3904 noch in Betrieb befindliche Systeme trennen, da das Produkt sein End-of-Life erreicht hat. Für CVE-2022-0995, das nicht im KEV enthalten ist, den Kernel auf die vom Anbieter angegebenen korrigierten Versionen aktualisieren.

Im Bereich BYOVD das Laden der verwundbaren Treiber RTCore64.sys und DBUtil_2_3.sys blockieren oder widerrufen, um die Beendigung von EDR-Prozessen zu verhindern. Auf Endpoint-Ebene das Vorhandensein der geplanten Aufgabe "Google Chrome Start" überwachen, nicht autorisierte Microsoft-Defender-Ausschlüsse überprüfen, anomale Nutzung von certutil zum Herunterladen von EfsPotato und Quasar RAT erkennen, nach dem Vorhandensein des Kernelmoduls Specter und der SPECTRE-Dateien suchen. Aufmerksamkeit gilt Techniken wie Process Hollowing, Early Bird APC Injection und Timestomp.

Auf Netzwerkebene Verbindungen zu 139.180.197[.]150 und adminapi.tippusoni[.]in überwachen, HTTPS-Verkehr zu unerwarteten Nacos-Instanzen sowie Daten, die an anomale Webhooks mit IIS-Inventar und Rechtebewertungen gesendet werden.

Da SPECTRE EDR-Callbacks auf Kernel-Ebene für die Sitzung deaktivieren kann, sollte die Überwachung durch Tools ergänzt werden, die nicht ausschließlich auf Kernel-Callbacks angewiesen sind, sowie durch zentralisierte Protokolle. Zusätzlich die Integrität der geladenen Treiber überprüfen.