Sicherheitsforscher von Cisco Talos haben eine chinesischsprachige Cybercrime-Gruppe namens UAT-10147 identifiziert, die künstliche Intelligenz nutzt, um Angriffe auf Webserver weltweit zu automatisieren. Auf einer Kommando-Server-Infrastruktur fanden die Analysten eine Zielliste mit rund 170.000 URLs – Deutschland gehört zu den primären Zielen.
Sicherheitsforscher von Cisco Talos haben eine chinesischsprachige Cybercrime-Gruppe identifiziert, die künstliche Intelligenz nutzt, um Angriffe auf Webserver weltweit zu automatisieren und zu skalieren. Die als UAT-10147 geführte Gruppe hat nach Angaben der Analysten eine Zielliste mit rund 170.000 URLs vorbereitet und setzt dabei auf eine Mischung aus bekannten Sicherheitslücken und KI-gestützten Werkzeugen wie DeepAudit und PentestGPT [1].
Die Kampagne richtet sich gegen Windows- und Linux-basierte Webserver in Branchen wie Regierung, Bildung, Medien, Technologie und Gaming. Die Gruppe betreibt nach Einschätzung von Talos vor allem SEO-Betrug und Datendiebstahl [1]. Der Fall gilt als Beleg für einen neuen Trend: KI senkt die Hürden für technisch anspruchsvolle, massenhafte Angriffe deutlich.
KI als Skalierungshebel
Talos bewertet mit mittlerer bis hoher Konfidenz, dass UAT-10147 zu einer neuen Klasse finanziell motivierter Angreifer gehört, die sogenannte agentische KI-Systeme nutzen, um offensive Angriffstechniken in großem Umfang zu operationalisieren [1]. Anders als bei der bloßen Nutzung generativer KI für einfache Skript-Hilfe zeigte die Gruppe nach Angaben der Forscher iterative Exploit-Verfeinerung, adaptives Troubleshooting, Post-Exploitation-Automatisierung und die Erstellung von Betriebsdokumentationen [1].
Konkret setzt die Gruppe das Werkzeug DeepAudit zur Schwachstellenanalyse von Quellcode ein. Zwar beobachteten die Analysten nicht direkt, dass damit entdeckte Lücken ausgenutzt wurden, doch das Framework war auf dem Verwaltungsserver der Gruppe installiert [1]. Zudem nutzte UAT-10147 das Framework PentestGPT, um Webserver dynamisch zu scannen und Proof-of-Concept-Exploits auszuführen [1]. Die KI-generierten Playbooks dokumentieren unter anderem einen Angriff über eine ASP.NET-ViewState-Deserialisierung, inklusive der Erstellung von Python-Skripten zur Bereitstellung von Implantaten und Webshells [1].
Malware-Stack und EDR-Umgehung
Ein zentrales Element der Kampagne ist die Fähigkeit, Endpoint-Detection-and-Response-Lösungen (EDR) gezielt zu neutralisieren. Dazu nutzt die Gruppe die „Bring Your Own Vulnerable Driver“-Technik (BYOVD): Sie lädt legitime, aber fehlerhafte Treiber wie RTCore64.sys von MSI oder DBUtil_2_3.sys von Dell auf die Zielsysteme, um über deren Sicherheitslücken Schutzmechanismen des Betriebssystems zu deaktivieren [2].
Im Zentrum des Malware-Stacks steht die SPECTRE-Malware, ein in C geschriebener, plattformübergreifender Backdoor. Die Windows-Variante kann über Kernel-Callbacks EDR-Produkte wie CrowdStrike Falcon, SentinelOne und Microsoft Defender „blenden“, indem sie deren Registrierung in der Kernel-Liste entfernt [2]. Die Linux-Variante lädt ein Kernel-Rootkit namens Specter, das als „acpi_pad.ko“ getarnt ist und über die legitime ftrace-Schnittstelle sechs Syscall-Handler umleitet [2].
Zusätzlich setzt die Gruppe weitere Werkzeuge ein:
Noodle RAT und Quasar RAT als Fernsteuerungswerkzeuge für dauerhaften Zugriff [2]
Meterpreter zur Ausführung von Befehlen auf kompromittierten Systemen [1]
BadIIS und eine ASHX-SEO-Engine, die auf Microsofts Internet Information Services (IIS) abzielen, um Anmeldedaten zu entwenden oder SEO-Betrug zu begehen [2]
Gh0stCringe zur Überwachung infizierter Hosts [2]
Bekannte Lücken als Haupteinfallstor
Trotz des KI-Einsatzes setzt UAT-10147 bei der initialen Kompromittierung auf die Ausnutzung bekannter Sicherheitslücken, für die teilweise seit Jahren Patches verfügbar sind. Das verdeutlicht, dass unzureichend gepflegte Server-Infrastrukturen das Haupteinfallstor bleiben [1].
Für die Privilegieneskalation auf Linux nutzt die Gruppe unter anderem CVE-2022-0995, CVE-2021-3156 („Baron Samedit“), CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 und CVE-2022-0847 („Dirty Pipe“) [1]. Für den initialen Zugriff auf Webserver kommen unter anderem CVE-2022-27925 (Zimbra), CVE-2021-23758 (AjaxPro), CVE-2021-29441/29442 (Nacos) und CVE-2019-18935 (Telerik) zum Einsatz [1].
Globale Zielauswahl
Die Dimension der Kampagne wird durch die umfangreiche Zielliste deutlich. Talos fand auf einem offenen Verzeichnis des Kommando- und Kontrollservers eine Textdatei mit rund 170.000 URLs, die in 17 Dateien mit jeweils etwa 10.000 Einträgen aufgeteilt war [1]. Die Verteilung der Ziele über die aufgelösten IP-Adressen zeigt eine globale Ausrichtung; zu den am häufigsten adressierten Ländern zählen laut den vorliegenden Berichten die USA, Indien und Großbritannien, aber auch die Niederlande und Deutschland [1] [3].
Talos beobachtete zudem kompromittierte Server in Brasilien, Bolivien, China, Kanada und Vietnam [1]. Die SEO-Engine der Gruppe ist nach Angaben der Forscher speziell auf vietnamesische Internetnutzer ausgerichtet [2].
Einordnung: KI senkt die Einstiegshürde
Sicherheitsexperten werten das Vorgehen von UAT-10147 als Signal für eine neue Phase der Cyberkriminalität, in der die Automatisierung durch KI die Hürden für massenhafte, technisch anspruchsvolle Angriffe deutlich senkt [3]. Die Kombination aus bewährten Exploits und modernen KI-Werkzeugen zur Skalierung stelle eine wachsende Bedrohung für die Integrität globaler Web-Infrastrukturen dar [3].
Talos weist zudem darauf hin, dass Teile des Linux-Rootkits Specter nach Analyse des Quellcodes mit mittlerer Konfidenz KI-gestützt entwickelt worden sein dürften – ein weiteres Indiz dafür, dass generative KI zunehmend auch die Entwicklung von Schadsoftware beschleunigt [2]. Für Betreiber von Webservern bleibt die Lehre der Kampagne nüchtern: Das konsequente Einspielen von Sicherheitsupdates und die Absicherung von IIS- und Linux-Systemen sind weiterhin die wirksamsten Gegenmaßnahmen gegen eine Bedrohung, die sich durch KI immer schneller ausbreitet.