UAT-10147: Chinesische Gruppe automatisiert Server-Angriffe mit KI im großen Stil

Sicherheitsforscher von Cisco Talos haben Details zu einer Cyberkriminalitaets-Kampagne veröffentlicht, die unter dem Namen UAT-10147 geführt wird. Die vermutlich chinesischsprachige Gruppe greift gezielt Windows- und Linux-Webserver weltweit an, mit Schwerpunkten in den Bereichen Bildung, Medien, Technologie und Gaming. Besonders bemerkenswert: Die Angreifer setzen künstliche Intelligenz an mehreren Stellen der Angriffskette ein, um Exploits anzupassen, Fehler zu beheben und Nachbearbeitungsschritte zu automatisieren.

Wie wurde die Kampagne entdeckt?

Den Forschern fiel ein offenes Verzeichnis auf einem Server mit der IP-Adresse 139.180.197.150 auf, das mit einer bereits kompromittierten Maschine kommunizierte. Cisco Talos veröffentlichte die Ergebnisse in einem zweiteiligen Bericht. Die Angreifer nutzten dabei eine Mischung aus quelloffenen Offensive-Security-Frameworks, darunter Metasploit, ysoserial, PentestGPT und DeepAudit, kombiniert mit mehreren Privilege-Escalation-Exploits, um Einbrüche automatisiert durchzuführen und Persistenz herzustellen.

In dem exponierten Verzeichnis fand sich eine Textdatei mit einer Zielliste von rund 170.000 URLs. Die Angreifer hatten diese Liste in 17 kleinere Dateien mit jeweils etwa 10.000 URLs aufgeteilt, um sie effizienter automatisiert abarbeiten zu können. Die fünf am häufigsten vertretenen Zielregionen waren die USA, Indien, Großbritannien, Deutschland und die Niederlande.

Wo genau kommt KI in der Angriffskette zum Einsatz?

UAT-10147 wird von Talos als Akteur beschrieben, der SEO-Betrug und Datendiebstahl betreibt und dabei KI-gestützte Werkzeuge in verschiedenen Phasen des Angriffszyklus integriert. Konkret nutzt die Gruppe KI, um Exploits zu verfeinern, Logikfehler zu beheben, Nachbearbeitungs-Workflows zu automatisieren, Exploits zu validieren und sogar operative Dokumentation zu erzeugen. Das deutet auf den Versuch hin, offensives Handwerk in großem Maßstab zu skalieren, statt einzelne Ziele manuell zu bearbeiten.

Die Angriffskette im Detail

Bei Windows-Servern, insbesondere IIS-Servern, nutzt UAT-10147 bekannte Schwachstellen aus, um Remote Code Execution zu erreichen, und führt danach ein automatisiertes Skript aus, das Schadsoftware für SEO-Betrug oder Datendiebstahl installiert. In ausgewählten Fällen wird eine Web-Shell platziert, die weiteren Backdoors wie BadIIS den Weg ebnet.

Bei Linux-Systemen setzt die Gruppe auf bekannte Schwachstellen für den initialen Zugriff und nutzt anschließend mehrere Local-Privilege-Escalation-Exploits, um Root-Rechte zu erlangen, darunter CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 und CVE-2022-0847. Diese Schwachstellen sind teils mehrere Jahre alt, was zeigt, dass ungepatchte Legacy-Systeme weiterhin ein zentrales Einfallstor bleiben.

Bemerkenswert ist zudem der Fund eines bislang nicht öffentlich bekannten, plattformübergreifenden Implants mit dem Namen SPECTRE, der zusammen mit dem bekannten Gh0stCringe eingesetzt wird. Der zentrale BadIIS-Schadcode wird außerdem als Malware-as-a-Service-Variante beschrieben, die von mehreren chinesischsprachigen Cyberkriminellen-Gruppen parallel genutzt wird.

Was Admins jetzt tun sollten

1. Alle öffentlich erreichbaren Windows- und Linux-Webserver auf ausstehende Sicherheitsupdates prüfen, besonders IIS-Server
2. Legacy-Linux-Systeme, die noch auf die genannten älteren CVE-IDs anfällig sein könnten, priorisiert patchen oder isolieren
3. Geplante Aufgaben (Scheduled Tasks) auf ungewöhnliche oder irreführend benannte Einträge prüfen, insbesondere solche, die legitime Namen wie Browser-Prozesse imitieren
4. Microsoft-Defender-Ausnahmen regelmäßig auf unerwartete Einträge kontrollieren
5. Auf verdächtige certutil-Aufrufe zum Nachladen externer Dateien achten, das ist eine bekannte Living-off-the-Land-Technik
6. Netzwerkverkehr zu ungewöhnlichen IP-Adressen und Domains überwachen, insbesondere ausgehende Verbindungen von Webservern
7. Webserver-Logs auf Anzeichen von SEO-Spam-Injektionen oder unerwarteten Inhaltsänderungen prüfen
8. Bei IIS-Servern gezielt nach Web-Shells und untypischen ISAPI-Filtern suchen
9. Grundsätzlich: Prinzip der geringsten Rechte für Serverdienste konsequent umsetzen, um Privilege-Escalation-Ketten zu erschweren

Einordnung: KI-gestützte Angriffe werden zum Alltag

UAT-10147 ist ein weiteres Beispiel dafür, dass KI-Werkzeuge nicht nur auf der Verteidigungsseite Einzug halten, sondern zunehmend auch von Angreifern genutzt werden, um Angriffe zu skalieren, Fehler in Exploits schneller zu beheben und Nachbearbeitung zu automatisieren. Für Admins bedeutet das keine grundsätzlich neue Bedrohung, aber eine höhere Angriffsgeschwindigkeit und -reichweite: Wo früher manuelle Arbeit nötig war, übernehmen KI-Tools heute Teile der Anpassung und Validierung von Exploits. Konsequentes Patch-Management und die Überwachung typischer Post-Exploitation-Verhaltensmuster bleiben die wirksamsten Gegenmaßnahmen, unabhängig davon, ob ein Angriff manuell oder KI-unterstützt erfolgt.

Passende Anleitungen auf S-EDV

1. Microsoft Early Security Update August 2026: Drei CVEs mit CVSS 10,0, darunter Teams Privilege Escalation
2. Arch AUR: Infostealer in Hunderten Community-Paketen entdeckt

Quellen

1. The Hacker News: UAT-10147 Uses AI to Scale Server Attacks, Deploys SPECTRE With EDR Bypass and Linux Rootkit
2. Cisco Talos Blog: UAT-10147 - Chinese-speaking adversary integrates agentic AI into post-compromise operations
3. GBHackers: UAT-10147 Compromises Web Servers to Deploy BadIIS for SEO Fraud