Grupo chinês UAT-10147 usa IA para escalar ataques a servidores com backdoor SPECTRE e rootkit Linux
A Cisco Talos documentou o UAT-10147, grupo de língua chinesa que integra ferramentas de IA (DeepAudit, PentestGPT) para automatizar varredura e exploração de cerca de 170 mil URLs em escopo, implantando o backdoor multiplataforma SPECTRE com bypass de EDR via BYOVD e um rootkit em módulo de kernel no Linux.
A Cisco Talos revelou detalhes do UAT-10147, um grupo de língua chinesa que mira servidores web Windows e Linux nos setores de educação, mídia, tecnologia e games, com maior concentração de alvos no Brasil, Bolívia, China, Canadá e Vietnã, operando em modelo de malware-as-a-service ao lado do malware BadIIS já compartilhado entre múltiplos atores.
O diferencial operacional do grupo é o uso direto de ferramentas de IA como parte da infraestrutura de ataque, não apenas como assistente de redação de phishing: o grupo instala DeepAudit e PentestGPT em seus próprios servidores C2 para automatizar a varredura e exploração de vulnerabilidades em aplicações web, além de usar IA para gerar payloads, validar exploits e até documentar operações internamente — um exemplo concreto de ferramental ofensivo com IA embutido na própria infraestrutura de ataque, permitindo operar em escala sobre as cerca de 170 mil URLs mapeadas como alvo.
O backdoor Windows, batizado SPECTRE, suporta 45 comandos e oferece roubo de credenciais, injeção de shellcode e process hollowing, além de bypass de EDR via BYOVD (Bring Your Own Vulnerable Driver), abusando de drivers assinados e vulneráveis da MSI (CVE-2019-16098) e da Dell (CVE-2021-21551) para obter escrita arbitrária em kernel e desvincular callbacks de produtos como CrowdStrike e SentinelOne das listas duplamente encadeadas do sistema, cegando o EDR sem removê-lo.
No Linux, o rootkit em módulo de kernel batizado Specter garante persistência que sobrevive a reinicializações, aparentemente desenvolvido com assistência de IA, a julgar por comentários descritivos no código. O caso importa porque é uma demonstração real e atualmente ativa de como IA está reduzindo a barreira de custo para grupos de ameaça automatizarem varredura, exploração e evasão de EDR em larga escala — confirmando na prática a tendência que times de segurança vêm alertando de que IA torna o trabalho de exploração mais barato.