SPECTRE, la backdoor qui désactive les EDR : dans l’arsenal de UAT-10147

Un répertoire ouvert révèle 170 000 URL dans le collimateur

Récemment, Cisco Talos a publié une analyse en deux parties sur le groupe de langue chinoise UAT-10147, actif contre des serveurs web Windows et Linux à l'échelle mondiale. L'activité a été découverte à partir d'un répertoire ouvert sur l'hôte 139.180.197[.]150, qui communiquait avec une machine déjà compromise. À l'intérieur se trouvait un fichier texte contenant environ 170 000 URL, divisé par l'attaquant en 17 fichiers plus petits d'environ 10 000 entrées chacun, afin de les analyser plus efficacement.

Les secteurs touchés incluent l'éducation, les médias, la technologie et le jeu vidéo. Les victimes confirmées se trouvent au Brésil, en Bolivie, en Chine, au Canada et au Vietnam, tandis que les cinq principales destinations en volume de cibles sont les États-Unis, l'Inde, le Royaume-Uni, l'Allemagne et les Pays-Bas. Le groupe mène des fraudes SEO et du vol de données, en intégrant des outils basés sur l'intelligence artificielle à plusieurs étapes de l'attaque : de l'affinement des exploits à la génération de charges utiles, de la validation à la documentation opérationnelle.

Les chaînes d'attaque sur Windows et Linux

Sur Windows, l'accès initial se fait via des vulnérabilités connues sur des sites ou des serveurs IIS vulnérables, permettant l'exécution de code à distance. Des scripts automatisés suivent pour installer des logiciels malveillants destinés à la fraude SEO ou au vol de données. Dans certains cas, un webshell est chargé, ouvrant la voie à BadIIS et à d'autres portes dérobées pour la persistance.

Un script batch utilise certutil pour télécharger depuis adminapi.tippusoni[.]in l'outil d'élévation de privilèges EfsPotato, un second script batch et Quasar RAT. EfsPotato permet d'obtenir les privilèges SYSTEM et de configurer des exclusions Microsoft Defender. Les charges utiles initiales sont ensuite supprimées pour entraver l'analyse forensique. À ce stade, des implants ultérieurs sont déployés : Gh0stCringe et la nouvelle porte dérobée multiplateforme SPECTRE. Le second script exécute Quasar RAT silencieusement et établit la persistance via une tâche planifiée nommée "Google Chrome Start". Avec des privilèges élevés, un troisième script installe BadIIS.

Talos documente également un guide opérationnel pour les scénarios liés à ASP.NET ViewState : en utilisant la bibliothèque badsecrets, l'attaquant identifie des configurations ASP.NET MachineKey publiques ou divulguées, vérifie leur validité et utilise ysoserial.net pour construire des charges utiles de désérialisation malveillantes. Après l'exécution du code, une reconnaissance systématique est effectuée via PowerShell et les données sont exfiltrées vers un webhook distant. L'accès interactif persistant se fait via SPECTRE ou en écrivant un webshell ASHX dans la racine web IIS et un reverse shell PowerShell TCP. L'élévation de privilèges de l'identité IIS AppPool à SYSTEM utilise la famille d'outils Potato ou la routine intégrée de SPECTRE nommée spectre_potato().

Sur Linux, l'accès initial exploite plusieurs vulnérabilités connues, suivi d'exploits d'élévation de privilèges locaux pour obtenir les privilèges root. Parmi ceux-ci figurent CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 et CVE-2022-0847. Une fois les privilèges root obtenus, plusieurs portes dérobées sont installées : Noodle RAT (variante de Gh0st RAT et Rekoobe), SPECTRE et Meterpreter, afin de garantir des connexions sortantes vers des C2 distants.

SPECTRE : la porte dérobée qui aveugle les produits de sécurité

SPECTRE est décrite par Talos comme une évolution significative de l'outillage offensif standard. C'est une porte dérobée multiplateforme écrite en C, avec obfuscation et techniques anti-analyse. La communication C2 se fait via HTTPS. La version Windows supporte 45 commandes, la version Linux 29. Les deux implémentent un mécanisme de score pondéré anti-sandbox : le programme s'auto-termine si le score dépasse 50 points, en se basant sur des listes noires de noms de processus, la capacité RAM, le nombre de cœurs CPU, l'espace disque, la détection d'accélération du sommeil, les noms d'hôte et les noms d'utilisateur courants des sandbox.

La version Windows inclut des opérations sur les fichiers, l'enregistrement de frappe, les captures d'écran, le téléchargement/téléversement, l'exécution de commandes shell, l'énumération des processus, la modification des horodatages (timestomp), l'injection de shellcode, le process hollowing et l'injection APC Early Bird. La capacité la plus critique est la terminaison des processus EDR via BYOVD (Bring Your Own Vulnerable Driver). SPECTRE charge deux pilotes vulnérables connus : RTCore64.sys de MSI (CVE-2019-16098) et DBUtil_2_3.sys de Dell (CVE-2021-21551). Grâce à eux, il obtient des privilèges élevés et effectue des écritures noyau ciblées pour « décrocher » en toute sécurité chaque callback EDR enregistré dans sa liste doublement chaînée. Par conséquent, des produits comme CrowdStrike Falcon, SentinelOne, Microsoft Defender et d'autres restent aveugles pour le reste de la session en ce qui concerne les nouvelles créations de processus, de threads et les événements de chargement d'images.

La variante Linux effectue des contrôles anti-sandbox avant de se connecter au C2 et inclut un rootkit au niveau noyau intégré appelé Specter, distribué sous forme de module noyau. Talos soupçonne qu'il a été développé en combinant l'assistance de l'IA et l'expérience humaine, étant donné la présence de commentaires descriptifs et de séparateurs décoratifs uniformes dans le code. Le rootkit garantit un contrôle persistant au niveau noyau, survit aux redémarrages et à la plupart des contrôles au niveau utilisateur. Son objectif déclaré est d'empêcher la détection par les produits de sécurité.

L'intelligence artificielle comme multiplicateur offensif

UAT-10147 fait un large usage de frameworks offensifs open source : Metasploit, ysoserial, PentestGPT et DeepAudit. DeepAudit, un framework piloté par l'IA pour l'analyse de vulnérabilités, était laissé accessible sur le serveur de gestion. Talos n'a pas trouvé de preuves que l'acteur ait exploité des vulnérabilités découvertes avec DeepAudit dans les environnements victimes : les hypothèses sont qu'il était destiné à identifier des vulnérabilités chez les cibles ou utilisé de manière défensive pour auditer sa propre infrastructure.

PentestGPT, un framework de pentesting autonome open source, était installé sur le serveur C2 pour scanner des serveurs web et exécuter des preuves de concept. Dans un cas, le groupe a réussi à exploiter un site et à collecter des informations sur l'hôte victime. Quatre scripts Python générés par IA ont également été identifiés : un utilitaire de diagnostic post-exploitation, un script pour télécharger et lancer SPECTRE via la désérialisation ViewState, un pour distribuer le webshell ASHX avec le même mécanisme, et un pour mélanger le trafic d'exfiltration avec du trafic SaaS légitime sur HTTPS. L'exfiltration est acheminée vers un service cloud de gestion de configuration (Nacos), agissant comme un puits asynchrone : les attaquants interrogent leur propre instance Nacos pour vérifier le succès de l'exploitation sans maintenir de reverse shells persistants.

Les vulnérabilités exploitées et l'état des correctifs

Pour l'accès initial, Talos cite CVE-2022-27925 (Zimbra), CVE-2021-23758 (AjaxPro), CVE-2019-18935 (Telerik UI for ASP.NET AJAX), CVE-2021-29441 et CVE-2021-29442 (Alibaba Nacos). Pour ces vulnérabilités, le brief ne fournit pas de détails NVD spécifiques.

Les vulnérabilités d'élévation de privilèges Linux ont des fiches NVD plus détaillées. CVE-2021-3156 (Sudo, « Baron Samedit ») a un CVSS v3 de 7,8 et concerne les versions de Sudo antérieures à la 1.9.5p2. Elle figure au catalogue CISA KEV depuis le 6 avril 2022, avec une échéance de remédiation pour les agences fédérales américaines au 27 avril 2022. CVE-2022-0847 (« Dirty Pipe ») a un CVSS de 7,8, concerne le noyau Linux antérieur à la 5.10.102 et figure au KEV depuis le 25 avril 2022, avec échéance au 16 mai 2022. CVE-2010-3904 (noyau Linux RDS) a un CVSS de 7,8, figure au KEV depuis le 12 mai 2023 avec échéance au 2 juin 2023 et action requise : le produit est en fin de vie et doit être déconnecté. CVE-2022-0995 (écriture hors limites dans watch_queue) a un CVSS de 7,8, mais ne figure pas au catalogue KEV. Les versions de noyau concernées vont de la 5.8 à la 5.10.106 exclue, de la 5.11 à la 5.15.29 exclue, de la 5.16 à la 5.16.5 exclue et les release candidates 5.17 rc1-rc8. CVE-2015-3246 et CVE-2015-5287 n'ont pas de métriques CVSS rapportées dans le brief, bien que l'archive indique respectivement 7,2 et 6,9 au format CVSS v2.

Les deux pilotes vulnérables utilisés dans le BYOVD ont tous deux un historique KEV : CVE-2021-21551 (Dell DBUtil_2_3.sys) figure au catalogue depuis le 31 mars 2022 avec échéance au 21 avril 2022, et a un CVSS de 8,8. CVE-2019-16098 (MSI RTCore64.sys) a un CVSS de 7,8, mais ne figure pas au KEV dans les sources disponibles.

Au cours des derniers mois, pour les mêmes fournisseurs concernés (Red Hat, SUSE, Linux), sont également entrés au catalogue KEV CVE-2026-34486 (4 août 2026), CVE-2026-11645 (9 juin 2026), CVE-2026-42271 (8 juin 2026) et CVE-2022-0492 (2 juin 2026). Cela confirme la pression continue sur ces écosystèmes.

Que faire : mesures d'atténuation et indicateurs de compromission

Pour les vulnérabilités du catalogue KEV, les agences fédérales américaines ont des échéances déjà dépassées : ceux qui n'ont pas encore appliqué les correctifs doivent le faire immédiatement. Pour CVE-2021-3156, mettre à jour Sudo vers la version 1.9.5p2 ou ultérieure. Pour CVE-2022-0847, mettre à jour le noyau Linux au-delà de la 5.10.102 (ou les versions corrigées pour votre distribution). Pour CVE-2010-3904, déconnecter les systèmes encore en usage, étant donné que le produit est en fin de vie. Pour CVE-2022-0995, absente du KEV, mettre à jour le noyau vers les versions corrigées indiquées par le fournisseur.

Sur le front BYOVD, bloquer ou révoquer le chargement des pilotes vulnérables RTCore64.sys et DBUtil_2_3.sys pour empêcher la terminaison des processus EDR. Au niveau des endpoints, surveiller la présence de la tâche planifiée "Google Chrome Start", vérifier les exclusions Microsoft Defender non autorisées, détecter une utilisation anormale de certutil pour le téléchargement d'EfsPotato et de Quasar RAT, rechercher la présence du module noyau Specter et des fichiers de SPECTRE. Attention aux techniques de process hollowing, d'injection APC Early Bird et de timestomp.

Au niveau réseau, surveiller les connexions vers 139.180.197[.]150 et adminapi.tippusoni[.]in, le trafic HTTPS vers des instances Nacos non prévues et les données envoyées à des webhooks anormaux contenant l'inventaire IIS et les évaluations de privilèges.

Étant donné que SPECTRE peut désactiver les callbacks EDR au niveau noyau pour la session, intégrer la surveillance avec des outils qui ne dépendent pas exclusivement des callbacks noyau et avec des journaux centralisés. Vérifier également l'intégrité des pilotes chargés.