UAT-10147 sta trasformando la compromissione dei server web in un ecosistema post-exploitation capace di operare allo stesso livello su Windows e Linux. Cisco Talos ha individuato SPECTRE, una nuova backdoor scritta in C che combina controllo remoto, process injection, furto di credenziali, evasione degli EDR e un rootkit kernel dedicato ai sistemi Linux. L’attore, descritto come Chinese-speaking intrusion actor, colpisce server IIS e Linux esposti su Internet e affianca alla persistenza tecnica attività di SEO fraud attraverso BadIIS e strumenti proprietari. La parte più interessante riguarda però l’evoluzione del malware: Talos ritiene con moderata confidenza che alcune componenti, soprattutto il rootkit Specter, siano state sviluppate combinando competenze umane e AI generativa.
Cosa leggere
SPECTRE porta 45 comandi su Windows e 29 su Linux
La ricerca tecnica di Cisco Talos descrive SPECTRE come una backdoor cross-platform costruita per restare operativa dopo la compromissione iniziale dei server. La versione Windows dispone di 45 comandi, mentre quella Linux ne implementa 29. Entrambe consentono esecuzione shell, gestione dei file, upload e download, ricognizione del sistema, modifica degli intervalli di beacon e cancellazione dell’impianto. Prima di collegarsi al C2 viene eseguito un sistema anti-sandbox basato su più indicatori, tra cui memoria disponibile, numero di core CPU, spazio disco, nomi di processi e host tipici degli ambienti di analisi.
Se il punteggio supera una soglia di 50, il malware termina senza produrre ulteriori attività. Su Windows le stringhe sensibili vengono cifrate singolarmente con xorshift32, mentre le API vengono risolte dinamicamente attraverso PEB hash walking, riducendo la quantità di indicatori visibili nell’analisi statica. Il modello ricorda altre piattaforme multipiattaforma già osservate nel ransomware, dove Windows e Linux vengono ormai trattati come parti dello stesso ambiente da compromettere.
Su Windows SPECTRE spegne gli EDR direttamente dal kernel
La variante Windows concentra le capacità più aggressive nelle funzioni di process injection, privilege escalation e BYOVD. SPECTRE supporta process hollowing, APC EarlyBird injection e un meccanismo di self-hollowing che sposta automaticamente l’impianto dentro RuntimeBroker.exe. Per ottenere privilegi SYSTEM utilizza named pipe impersonation, quindi può salvare le hive SAM, SYSTEM e SECURITY per estrarre offline gli hash NT. A questo si aggiungono funzioni per enumerare Windows Credential Manager e copiare i database di login di Chrome ed Edge. Il passaggio decisivo arriva però quando il malware scarica dal C2 uno tra RTCore64.sys di MSI, vulnerabile a CVE-2019-16098, e DBUtil_2_3.sys di Dell, legato a CVE-2021-21551. Attraverso le primitive di lettura e scrittura kernel esposte dai driver, SPECTRE individua le callback utilizzate dagli EDR e le scollega dalle rispettive liste. In questo modo prodotti dipendenti da tali callback possono smettere di vedere nuove creazioni di processi, thread e caricamenti di immagini. È una versione particolarmente avanzata della tecnica già utilizzata da campagne BYOVD per neutralizzare Microsoft Defender, SentinelOne e altri controlli endpoint.
Specter nasconde processi Linux e ottiene UID 0
Su Linux l’elemento distintivo è Specter, rootkit distribuito come modulo kernel caricabile e mascherato con il nome acpi_pad.ko, identico a quello di un componente legittimo per la gestione energetica ACPI. Il malware installa anche una falsa unità systemd chiamata hardware-monitor.service, configurata con Before=sysinit.target in modo da essere caricata durante il boot prima di molti strumenti di sicurezza. Il modulo non modifica direttamente la syscall table ma sfrutta ftrace, infrastruttura legittima del kernel Linux, per intercettare sei handler e ridurre il rumore prodotto dai controlli di integrità. SPECTRE comunica con il rootkit inviando segnali a un PID magico impostato a 31337: determinati signal permettono di eliminare un processo dalla vista di /proc, rimuovere il modulo da lsmod oppure modificare direttamente le credenziali del processo per ottenere UID 0. La versione Linux può quindi nascondere se stessa, ottenere root, alterare timestamp e installare persistenza senza dipendere da un ulteriore framework esterno. La combinazione tra backdoor user-space e rootkit kernel rende l’impianto molto più difficile da individuare con strumenti che osservano soltanto processi e filesystem.
Il codice del rootkit mostra segnali di sviluppo assistito dall’AI
Talos considera con moderata confidenza che lo sviluppo di Specter abbia utilizzato sia esperienza umana sia strumenti di AI generativa. La valutazione non deriva da una semplice impressione sullo stile: i ricercatori hanno recuperato porzioni di source code contenenti una struttura estremamente didattica, con elenchi delle funzionalità, separatori uniformi tra sezioni e spiegazioni di concetti basilari che un programmatore esperto difficilmente avrebbe necessità di annotare per sé. Alcune funzioni presentano inoltre tre differenti metodi per ottenere lo stesso risultato, indicati esplicitamente come “Method 1”, “Method 2” e “Method 3”, comportamento che Talos associa alla tendenza dei modelli generativi a proporre soluzioni esaustive invece di scegliere subito quella più adatta. Altri tool compilati dall’attore contengono percorsi locali come Desktop\AI\EfsPotatoCPP, ulteriore indicazione che l’AI sia entrata nel workflow di sviluppo. Non significa che un LLM abbia costruito autonomamente l’intera operazione: il rootkit utilizza ftrace, manipolazione delle strutture kernel e tecniche di persistenza che indicano comunque competenze offensive consolidate. È piuttosto un esempio di come l’AI possa accelerare sviluppo, documentazione e sperimentazione di malware già guidati da operatori esperti.
BadIIS, web shell e RAT trasformano il server compromesso in un’infrastruttura permanente
SPECTRE è soltanto una parte dell’arsenale di UAT-10147. Talos ha osservato BadIIS, un engine SEO in C#, web shell caricate interamente in memoria, Meterpreter, Noodle RAT, QuasarRAT e Gh0stCringe. BadIIS e il componente SeoEngineHandler manipolano le risposte dei server compromessi per mostrare contenuti differenti ai crawler dei motori di ricerca e agli utenti reali, monetizzando l’accesso attraverso SEO poisoning e redirect malevoli. Uno degli engine individuati appare configurato specificamente per utenti vietnamiti e riconosce anche il crawler di Cốc Cốc, motore di ricerca diffuso in Vietnam. Le web shell utilizzano invece un header X-ID per autenticare silenziosamente il traffico dell’operatore e restituire un falso errore 404 alle richieste non autorizzate. Per l’elevazione dei privilegi vengono inoltre impiegati strumenti della famiglia Potato, sia precompilati sia ricostruiti localmente. Questa varietà mostra che UAT-10147 non dipende da un singolo malware: costruisce ridondanza attraverso impianti custom, tool open source e componenti commodity, approccio già visto in campagne che combinano RAT, rootkit e strumenti multipiattaforma per mantenere più percorsi di accesso sullo stesso host.
La vera evoluzione di UAT-10147 sta quindi nella capacità di unire monetizzazione, persistenza e difesa evasiva nello stesso ecosistema. Su Windows SPECTRE porta l’attacco dentro il kernel attraverso driver vulnerabili; su Linux utilizza direttamente un rootkit proprietario; sopra entrambi mantiene backdoor alternative e strumenti di escalation. L’AI sembra accelerare alcune fasi dello sviluppo, ma non sostituisce la competenza dell’operatore. SPECTRE mostra piuttosto cosa accade quando tecniche BYOVD, rootkit Linux, commodity malware e sviluppo assistito da AI vengono integrate in una singola piattaforma post-exploitation capace di adattarsi al sistema compromesso.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
