UAT-10147 Nutzt Agentische KI zur Erweiterung der Post-Kompromiss-Aktivität

Zusammenfassung

UAT-10147 ist eine chinesischsprachige Cybercrime-Gruppe, die agentische KI nutzt, um Post-Kompromittierungsoperationen zu automatisieren und zu skalieren. Der Akteur zielt auf Windows- und Linux-Webserver ab, um SEO-Betrug und Datendiebstahl durchzuführen. Die KI-gesteuerten Tools unterstützen die Verfeinerung von Exploits, Aufklärung und Payload-Generierung und spiegeln einen breiteren Trend zu halbautonomer Angrifforchestierung wider.

Untersuchung

Cisco Talos identifizierte die Aktivitäten, nachdem ein kompromittiertes System beobachtet wurde, das mit einem C2-Download-Server kommunizierte. Die Untersuchung enthüllte ein offenes Verzeichnis, das eine Zielliste von etwa 170.000 URLs sowie Beweise für KI-generierte operative Handbücher enthielt. Analysten rekonstruierte auch verschiedene Infektionsketten, die sowohl auf Windows- als auch auf Linux-Umgebungen abzielten.

Minderung

Organisationen sollten die Vertraulichkeit von ASP.NET-MachineKeys schützen und exponierte Software gegen bekannte RCE-Schwachstellen aktualisiert halten. Striktes Egress-Filtering und Monitoring auf anomale PowerShell- oder certutil Aktivitäten werden empfohlen. Sicherheitsteams sollten zudem regelmäßig die Ausnahmelisten von Windows Defender auf unzulässige Änderungen überprüfen, die kritische Systemverzeichnisse betreffen.

Reaktion

Wenn Aktivität von UAT-10147 erkannt wird, sollten betroffene Webserver sofort isoliert und auf bösartige Batch-Skripte und Web-Shells analysiert werden. Einsatzkräfte sollten letzte Änderungen an Windows Defender-Ausnahmen und die Erstellung geplanter Aufgaben überprüfen. IIS-Konfigurationen sollten ebenfalls validiert und Systeme auf unautorisierte lokale Benutzerkonten überprüft werden, die während der Intrusion erstellt wurden.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Basislinien-Pre-Flight-Check muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Umsetzung der gegnerischen Technik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht zusammenhängende Beispiele führen zur Fehldiagnose.

• Angriffs-Narrativ & Befehle: Der Angreifer hat sich initialen Zugang zu einem Webserver verschafft. Um laterale Bewegung und Datenausfuhr zu erleichtern, führen sie zunächst eine Aufklärung durch, um die IIS-Webstruktur mithilfe von appcmdzu verstehen. Anschließend versuchen sie, um sicherzustellen, dass ihr Toolkit während der nächsten Phase der Operation unentdeckt bleibt, Sicherheitskontrollen zu deaktivieren, indem sie eine Pfadausschluss zu Windows Defender hinzufügen mit Hilfe von cmd.exe um den reg Befehl zu umschließen.

• Regressionstest-Skript:

  # Simulations-Skript für Erkennungsvalidierung
  # Hinweis: Dieses Skript benötigt Administratorrechte, um das Register zu ändern.
  
  Write-Host "[+] Simulation starten..." -ForegroundColor Cyan
  
  # 1. IIS-Aufklärung simulieren (T1105-Vorläufer)
  Write-Host "[+] IIS appcmd-Aufklärung ausführen..." -ForegroundColor Yellow
  Start-Process "cmd.exe" -ArgumentList "/C C:Windowssystem32inetsrvappcmd list site /config /xml" -Wait
  
  # 2. Defender-Ausweichung über das Register simulieren (T1564.012)
  Write-Host "[+] Windows Defender-Registeränderung ausführen..." -ForegroundColor Yellow
  Start-Process "cmd.exe" -ArgumentList '/C reg add "HKLMSOFTWAREMicrosoftWindows DefenderExclusionsPaths" /v "C:Temp" /t REG_SZ /d "C:Temp" /f' -Wait
  
  Write-Host "[+] Simulation abgeschlossen." -ForegroundColor Green

• Bereinigungsbefehle:

  # Bereinigungsskript
  Write-Host "[+] Registrierungsänderungen bereinigen..." -ForegroundColor Cyan
  
  # Entfernen des hinzugefügten Registrierungs-Schlüssel/Wert
  reg delete "HKLMSOFTWAREMicrosoftWindows DefenderExclusionsPaths" /v "C:Temp" /f
  
  Write-Host "[+] Bereinigung abgeschlossen." -ForegroundColor Green