UAT-10147 usa SPECTRE para Persistência e Evasão Multiplataforma

Resumo

UAT-10147 é um agente ameaçador de língua chinesa que opera um ecossistema sofisticado de pós-exploração multiplataforma. Seu conjunto de ferramentas inclui o backdoor multiplataforma SPECTRE, o rootkit Specter Linux e ferramentas de fraude de SEO, como o BadIIS. O ator também utiliza técnicas avançadas, incluindo o uso de drivers vulneráveis próprios (BYOVD) para desativar proteções de EDR e incorpora fluxos de trabalho de desenvolvimento assistidos por IA.

Investigação

A Cisco Talos analisou o código-fonte recuperado e amostras de malware para rastrear a evolução das ferramentas do UAT-10147. A investigação identificou sinais de geração de código assistida por IA dentro do rootkit Linux e artefatos de desenvolvimento distintivos no malware BadIIS. Os pesquisadores também documentaram as estruturas de comando do implante SPECTRE, as técnicas de injeção e as capacidades de evasão de defesa a nível de kernel.

Mitigação

As organizações devem reforçar os servidores IIS e Linux voltados para a internet e monitorar a implantação de drivers vulneráveis conhecidos, como RTCore64.sys and DBUtil_2_3.sys. Configurações fortes de EDR devem ser aplicadas, com monitoramento para carregamento não autorizado de módulos de kernel e criação suspeita de serviços do systemd. As defesas do servidor web também devem incluir auditoria para manipuladores ASHX não autorizados e cabeçalhos HTTP inesperados como X-ID.

Resposta

Se for detectada atividade do UAT-10147, os servidores IIS ou Linux comprometidos devem ser isolados imediatamente para limitar o movimento lateral. Os respondedores devem conduzir uma análise forense da integridade do kernel e buscar por fluxos de dados alternativos NTFS não autorizados. Os logs dos sistemas também devem ser revisados para instalações de serviços suspeitas e potencial roubo de credenciais através de dump de hives do registro ou enumeração do gerenciador de credenciais.

Execução de Simulação

Pré-requisito: O Check de Pré-voo de Telemetria & Linha de Base deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a erros de diagnóstico.

• Narrativa de Ataque & Comandos: O adversário obteve acesso inicial por meio de uma vulnerabilidade web. Para estabelecer persistência profunda e evadir a detecção, eles pretendem implantar um rootkit. O atacante primeiro inicia um shell para estabilizar sua sessão. Em seguida, eles executam ps para verificar se processos de monitoramento de segurança estão em execução. Finalmente, eles usam insmod para carregar um módulo de kernel fictício, imitando o método da variante SPECTRE de alterar o comportamento do kernel para controle remoto.

• Script de Teste de Regressão:

  #!/bin/bash
  # Script de Simulação da Variante SPECTRE Linux
  
  echo "[+] Iniciando Simulação da Variante SPECTRE Linux..."
  
  # 1. Simular Execução de Shell (selection_shell)
  echo "[+] Passo 1: Executando comando shell..."
  /bin/sh -c "echo 'Acesso ao shell estabelecido'"
  
  # 2. Simular Descoberta de Processos (selection_ps)
  echo "[+] Passo 2: Realizando descoberta de processos..."
  ps -ef | grep "simulation"
  
  # 3. Simular Carregamento de Módulo de Kernel (selection_kernel_module)
  # Nota: Isto requer sudo. Tentaremos carregar um módulo fictício ou simular o comando.
  # Para evitar travar o sistema, usaremos um nome de módulo inexistente 
  # que ainda gera a telemetria da linha de comando 'insmod'.
  echo "[+] Passo 3: Tentando carregar módulo de kernel via insmod..."
  sudo insmod spectre_rootkit_test.ko || echo "[!] insmod falhou como esperado (módulo não encontrado), mas telemetria deve ser gerada."
  
  echo "[+] Simulação completa."

• Comandos de Limpeza:

  # A limpeza é mínima, pois usamos um nome de módulo inexistente para evitar instabilidade do sistema.
  # Se um módulo real tivesse sido carregado, use:
  # sudo rmmod spectre_rootkit_test
  echo "[+] Limpeza: Nenhuma mudança persistente feita ao kernel."