Cisco Talos’un son incelemelerine göre UAT-10147 adlı tehdit aktörü, Windows ve Linux web sunucularını küresel ölçekte hedef alarak açık kaynak araçları, yapay zekâ destekli iş akışları ve yeni bir çapraz platform arka kapı ailesini aynı kampanyada bir araya getirdi. Eğitim, medya, teknoloji ve oyun sektörlerine yayılan saldırılarda ilk erişim çoğunlukla kamuya açık zafiyetlerin istismarıyla sağlandı; hedeflerin büyük bölümü Brezilya, Bolivya, Çin, Kanada ve Vietnam’da yer aldı.
İnceleme, saldırganın internette açık bırakılan bir dizinle ortaya çıkmasıyla görünür hâle geldi. 139.180.197[.]150 adresindeki bu dizin, ele geçirilmiş makinelerden biriyle iletişim kurarken fark edildi ve kampanyanın operasyonel ayrıntıları da böylece açığa çıktı. Araştırmacılar, saldırganın erişimi büyütmek, kalıcılık kurmak ve izlerini gizlemek için Metasploit, ysoserial, PentestGPT, DeepAudit ve çeşitli yetki yükseltme araçlarını birlikte kullandığını aktardı.
170 bin URL’lik hedef listesi ve SEO dolandırıcılığı
Talos, UAT-10147’yi SEO dolandırıcılığı ve veri hırsızlığı yürüten bir tehdit grubu olarak tanımlıyor. Kampanyanın öne çıkan yönü, saldırganların yapay zekâ araçlarını saldırı zincirinin farklı aşamalarına yerleştirmesi. AI destekli sistemler; istismar kodunu sadeleştirme, keşif yapma, yük üretme, doğrulama, sonradan yapılacak işlemleri otomatikleştirme ve operasyonel dokümantasyon hazırlama gibi işlerde kullanıldı.
Açık dizinde bulunan bir metin dosyası yaklaşık 170 bin URL’den oluşan bir hedef listesi içeriyordu. Saldırganın bu listeyi yaklaşık 10 bin URL’lik 17 ayrı dosyaya bölerek daha kolay ayrıştırdığı görüldü. Listedeki ilk beş hedef ülke arasında ABD, Hindistan, Birleşik Krallık, Almanya ve Hollanda yer aldı.
Kampanyanın ilk aşamalarında bilinen açıkların istismarıyla bir web sitesinde ya da zafiyetli bir IIS sunucusunda uzaktan kod çalıştırma elde edildi. Ardından otomatik betikler devreye girerek SEO dolandırıcılığı ya da veri çalmak için kötü amaçlı yazılımları kurdu. Bazı vakalarda web shell kullanıldığı, bunun da BadIIS ve kalıcı erişim sağlayan ek arka kapılara giden yolu açtığı belirtildi.
Talos’un aktardığı zincirlerden birinde saldırgan, certutil kullanan bir batch betiğiyle yetki yükseltme aracı EfsPotato’yu, ikinci bir batch betiğini ve Quasar RAT’ı uzaktaki bir sunucudan indirdi. Kullanılan kaynak sunucu adminapi.tippusoni[.]in olarak verildi. EfsPotato ile sistem yetkisi alan saldırgan, ardından Microsoft Defender dışlamalarını yapılandırdı, ilk yükleri sildi ve adli incelemeyi zorlaştırmaya çalıştı.
Sonraki aşamada Gh0stCringe ve daha önce raporlanmamış, SPECTRE adı verilen çapraz platform bir yük devreye sokuldu. İkinci batch betiği Quasar RAT’ı sessizce çalıştırdı ve “Google Chrome Start” adını taşıyan aldatıcı bir zamanlanmış görev üzerinden kalıcılık kurdu. Yetkiler yükselince üçüncü bir batch betiği indirildi ve bu betik BadIIS yüklemesini tamamladı.
Talos, BadIIS’in kullanılan çekirdek varyantının malware-as-a-service modeliyle çalışan ve birden fazla Çince konuşan siber suç grubunun elinde görülen sürümle aynı olduğunu da belirtti.
Linux tarafında kök yetkiye uzanan ayrı zincir
Linux sunucularına yönelen saldırılar da benzer bir model izledi. Önce bilinen zafiyetler kullanılarak ilk tutunma noktası elde edildi, ardından yerel yetki yükseltme açıklarıyla root erişimi alındı. Kullanılan LPE istismarları arasında CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 ve CVE-2022-0847 yer aldı. İlgili kayıtlar için NVD sayfaları sırasıyla şu adreslerde bulunuyor: https://nvd.nist.gov/vuln/detail/CVE-2022-0995, https://nvd.nist.gov/vuln/detail/CVE-2021-3156, https://nvd.nist.gov/vuln/detail/CVE-2015-5287, https://nvd.nist.gov/vuln/detail/CVE-2015-3246, https://nvd.nist.gov/vuln/detail/CVE-2010-3904 ve https://nvd.nist.gov/vuln/detail/CVE-2022-0847.
Root erişimi açıldıktan sonra Noodle RAT, SPECTRE ve Meterpreter gibi arka kapılar yüklendi. Bu yüklerin amacı, dışarıya açılan komut ve kontrol altyapısıyla sürekli bağlantı kurmak ve ele geçirilen makinelerde kalıcı erişim sağlamak olarak aktarıldı. Kampanya boyunca kötüye kullanılan diğer zafiyetler arasında CVE-2022-27925 (Zimbra), CVE-2021-23758 (AjaxPro), CVE-2019-18935 (Telerik UI for ASP.NET AJAX), CVE-2021-29441 ve CVE-2021-29442 (Alibaba Nacos) bulunuyor. Bunların kayıtları için NVD bağlantıları da şu şekilde: https://nvd.nist.gov/vuln/detail/CVE-2022-27925, https://nvd.nist.gov/vuln/detail/CVE-2021-23758, https://nvd.nist.gov/vuln/detail/CVE-2019-18935, https://nvd.nist.gov/vuln/detail/CVE-2021-29441 ve https://nvd.nist.gov/vuln/detail/CVE-2021-29442.
Talos araştırmacısı Joey Chen, çalınan verilerin meşru bir bulut tabanlı konfigürasyon yönetim servisine yönlendirilmesiyle saldırganların trafiği normal yönetim işlemleriyle aynı görünüme soktuğunu söyledi. Chen’e göre bu yapı, asenkron bir veri sızdırma havuzu gibi çalışıyor; saldırganlar kendi Nacos örneklerini yoklayarak kurbanlarda başarıyı doğrulayabiliyor ve bunu kalıcı bir reverse shell kurma ya da doğrudan inbound bağlantı sürdürme yükü olmadan yapabiliyor.
SPECTRE: EDR atlatma, çekirdek düzeyi rootkit ve AI izi
Kampanyadaki en dikkat çekici unsurlardan biri, SPECTRE adlı yeni çapraz platform arka kapı oldu. C ile yazılan implant, gizleme teknikleri ve analiz karşıtı özelliklerle donatıldı; HTTPS üzerinden bir C2 sunucusuyla haberleşiyor ve operatöre 45’e kadar komut sağlıyor. Saldırganın bu implantı ilk kez Nisan 2026’da kullandığı tespit edildi.
Talos, SPECTRE’yi ticari amaçlı sızma araçlarında görülen sıradan işlevlerin ötesine geçen bir yapı olarak tanımladı. İmplant; çapraz platform komuta-kontrol, süreç enjeksiyonu, kimlik bilgisi hırsızlığı, analiz karşıtı korumalar ve çekirdek düzeyinde EDR atlatma yeteneklerini aynı pakette topluyor.
Windows sürümü dosya işlemleri yapabiliyor, klavye girdilerini kaydedebiliyor, ekran görüntüsü alabiliyor, dosya indirip yükleyebiliyor, kabuk komutları çalıştırabiliyor, çalışan süreçleri listeleyip sonlandırabiliyor, sistem bilgisi çekebiliyor, beacon uyku aralığını ayarlayabiliyor, dosya zaman damgalarını değiştirebiliyor, shellcode enjekte edebiliyor ve process hollowing ile Early Bird APC enjeksiyonunu kullanabiliyor. Ayrıca BYOVD tekniğiyle EDR süreçlerini öldürebiliyor ve kendini sistemden silebiliyor.
Bu BYOVD zincirinde MSI’ın RTCore64.sys sürücüsü ile Dell’in DBUtil_2_3.sys sürücüsü kullanıldı. İki sürücü de daha önce bilinen zafiyetlerle ilişkilendiriliyor: RTCore64.sys için CVE-2019-16098, DBUtil_2_3.sys için CVE-2021-21551. Talos, SPECTRE’nin çekirdek yazma işlemleriyle her kayıtlı EDR geri çağrısını çift bağlı listesinden güvenli biçimde ayırdığını açıkladı. Böylece CrowdStrike Falcon, SentinelOne, Microsoft Defender ve benzeri ürünler, oturumun geri kalanında yeni süreç oluşumları, thread oluşumları ve image load olaylarını göremez hâle geliyor.
Linux sürümü benzer biçimde önce anti-sandbox kontrollerinden geçiyor, ardından C2 bağlantısı kuruyor. İki sürüm de ağırlıklı puanlama sistemi kullanıyor; puan 50’yi aşarsa program kendi kendini sonlandırıyor. Değerlendirme, süreç adı kara listeleri, RAM kapasitesi, CPU çekirdek sayısı, disk alanı, sleep hızlandırma tespiti ve yaygın sandbox ana makine adları ile kullanıcı adları üzerinden yapılıyor.
Linux sürümünün komut seti 29 komutla sınırlı tutulmuş. Dosya sistemi işlemleri, sistem ve süreç keşfi, ajan yönetimi ve sınırsız kabuk çalıştırma bu komutlar arasında yer alıyor. En güçlü işlevi ise Specter adlı, kernel modülü olarak kurulan yerleşik bir rootkit. Talos, rootkit’in AI destekli geliştirme ile insan uzmanlığının birleşimiyle yazılmış olabileceğini düşünüyor; kaynak kodundaki açıklayıcı yorumlar, her işlev için kullanılan dekoratif ayırıcılar ve aynı amaca ulaşmak için birden fazla yöntem sunulması bu ihtimali güçlendiriyor.
Talos, bu yapının saldırgana yeniden başlatmalardan sonra da yaşayan ve çoğu kullanıcı düzeyi güvenlik kontrolünü aşan kalıcı, çekirdek seviyesi bir denetim verdiğini kaydetti. Araştırmaya göre Spectre arka kapısı, tespiti önlemek için Linux Kernel rootkit Specter’ı yüklüyor.
Talos ayrıca DeepAudit adlı yapay zekâ odaklı zafiyet tarama çerçevesini de inceledi. Yönetim sunucusunda açık bırakılmış olmasına rağmen, araştırmacılar kurban ortamlarında bu araçla keşfedilen açıkların fiilen istismar edildiğine dair kanıt bulmadı. Buna karşın, saldırganların DeepAudit’i hedef ortamlardaki zafiyetleri belirlemek için kullanmayı planlıyor olabileceği ya da kendi altyapılarını ve araçlarını proaktif biçimde denetlemek için kullandığı ihtimalini dışlamadı.
Grubun C2 sunucusuna PentestGPT adlı açık kaynak otonom sızma çerçevesini de kurduğu belirlendi. Bu araç, web sunucularını taramak ve ilgili proof-of-concept istismarlarını çalıştırmak için kullanıldı. Bir vakada saldırganın bir web sitesini başarıyla istismar ettiği ve Linux komutlarıyla hedef ana makineden bilgi topladığı ifade edildi.
UAT-10147’nin kullandığı diğer AI odaklı araçlardan biri de ASP.NET ViewState deserialization yoluyla uzaktan kod çalıştırmayı anlatan bir rehberdi. Talos, bu rehberin badsecrets kütüphanesiyle kamuya açık ya da sızdırılmış ASP.NET MachineKey yapılandırmalarını kullandığını, anahtarın geçerliliğini kontrol ettiğini, ysoserial.net ile kötü amaçlı serileştirme yükleri ürettiğini, önceden ifşa edilmiş MachineKey üzerinden ViewState korumasını atlattığını ve kod çalıştırma elde ettiğini aktardı.
Aynı akışta PowerShell ile sistem bilgisi, ayrıcalık belirteçleri, web dizini listeleri, IIS site yapılandırmaları, ağ arayüzü verileri ve çalışan süreçlerin toplandığı; bunların uzak bir webhook’a sızdırıldığı da yer aldı. Talos’a göre SPECTRE kullanılarak kalıcı etkileşimli erişim kurulabiliyor, alternatif olarak IIS webroot içine bir ASHX web shell yazılabiliyor ya da PowerShell tabanlı TCP reverse shell açılabiliyor. Yükseltilmiş yetkilerle IIS AppPool kimliğinden SYSTEM seviyesine geçiş, Potato ailesi araçları ya da gömülü spectre_potato() rutiniyle sağlanıyor.
UAT-10147’nin kullandığı AI tarafından üretilmiş diğer dört Python betiği ise saldırı sonrası tanılama, web shell yazma hatalarını giderme, ViewState serileştirme tekniğiyle SPECTRE yükleme, ASHX web shell’i aynı mekanizmayla IIS sunucusuna yerleştirme ve sızdırma trafiğini HTTPS üzerinden meşru SaaS trafiğiyle harmanlayarak webhook uç noktasına webfoot keşfi, IIS site envanteri ve ayrıcalık değerlendirmesi iletme işlevlerini yerine getiriyor.