Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Il gruppo UAT-10147 sta usando l’intelligenza artificiale per rendere più autonomi gli attacchi informatici. Cisco Talos ha scoperto l’impiego di DeepAudit e PentestGPT per cercare vulnerabilità, sviluppare exploit e diagnosticare errori, insieme alla backdoor SPECTRE, capace di disabilitare le difese Windows e nascondersi nel kernel Linux.
Il gruppo di lingua cinese UAT-10147 ha trasformato l’intelligenza artificiale da assistente di codifica in un vero e proprio strumento di attacco. Gli aggressori ordinano all’intelligenza artificiale di cercare vulnerabilità, preparare strumenti di sfruttamento, controllarne il funzionamento e contribuire a prendere piede sui server, e la backdoor SPECTRE da loro sviluppata può disabilitare gli strumenti di protezione Windows e nascondersi nel kernel Linux.
Il gruppo è stato scoperto all’inizio del 2026 dagli specialisti Cisco Talos. UAT-10147 attacca i server accessibili da Internet di organizzazioni governative, università, media, società tecnologiche e di gioco. Infezioni confermate sono state riscontrate in Brasile, Bolivia, Cina, Canada e Vietnam. Su uno dei server degli aggressori gli esperti hanno trovato un elenco di circa 170mila indirizzi di potenziali obiettivi.
Gli obiettivi principali di UAT-10147 sono rubare dati e imbrogliare con i risultati di ricerca. Dopo essere penetrati nel sistema, gli aggressori installano BadIIS o il proprio gestore SeoEngineHandler. I moduli dannosi sostituiscono il contenuto dei siti Web per i robot di ricerca e possono reindirizzare i visitatori. Un’opzione si rivolge specificamente al Vietnam e riconosce il motore di ricerca Cốc Cốc.
Per Windows, il gruppo utilizza EfsPotato, GodPotato, JuicyPotato e RustPotato per aumentare i privilegi, aggiunge directory IIS alle eccezioni di Microsoft Defender, crea un account amministratore e assegna l’accesso remoto. Gli attacchi includevano anche QuasarRAT e Gh0stCringe. Su Linux, gli aggressori hanno utilizzato le vulnerabilità note CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 e CVE-2022-0847, dopo di che hanno installato SPECTRE, Noodle RAT o Meterpreter.
Un posto speciale nell’arsenale è occupato dalla backdoor SPECTRE scritta in C per Windows e Linux. La versione Windows supporta 45 comandi: può eseguire programmi, intercettare sequenze di tasti, acquisire screenshot, rubare credenziali Chrome ed Edge, estrarre dati di registro e iniettare codice nei processi. Prima di essere lanciato, il programma dannoso valuta i segnali dell’ambiente virtuale e smette di funzionare se sospetta di essere analizzato.
SPECTRE è in grado di disabilitare gli strumenti di rilevamento degli attacchi tramite i driver vulnerabili RTCore64.sys e DBUtil_2_3.sys associati a CVE-2019-16098 (7.8 Alto) e CVE-2021-21551 (8,8 Alto). Acquisendo la capacità di modificare la memoria del kernel di Windows, la backdoor disabilita le funzioni attraverso le quali i prodotti di sicurezza monitorano il modo in cui vengono creati processi e thread e vengono caricati i moduli software.
La versione Linux di SPECTRE contiene 29 comandi e installa il rootkit Spectre mascherato da modulo del kernel acpi_pad.ko. Spectre nasconde i processi e il proprio modulo, aumenta i privilegi a root e viene eseguito ogni volta che il sistema si avvia tramite il servizio hardware-monitor.service. Per intercettare le funzioni del sistema, il rootkit utilizza il meccanismo ftrace standard, che aiuta ad apportare modifiche meno evidenti al kernel.
UAT-10147 utilizza anche l’intelligenza artificiale direttamente durante gli attacchi. Gli esperti hanno trovato DeepAudit e PentestGPT sul server di controllo del gruppo. Il sistema ha generato istruzioni e script per sfruttare gli errori di deserializzazione di ASP.NET ViewState, ha controllato le autorizzazioni di scrittura, ha diagnosticato errori, ha caricato SPECTRE e ha creato un wrapper web. Talos ha anche trovato prove che Spectre è stato generato da una macchina e tracce di una directory AI in un ambiente in cui gli aggressori hanno assemblato i propri strumenti.
Secondo Cisco Talos, gli attacchi UAT-10147 mostrano che l’intelligenza artificiale si sta spostando dall’assistenza convenzionale nella scrittura di programmi ad attacchi parzialmente autonomi. Il modello aiuta già a individuare obiettivi, perfezionare metodi di sfruttamento, cercare cause di errori, verificare risultati e preparare strumenti, riducendo la quantità di lavoro manuale e il livello di conoscenza di cui un aggressore ha bisogno per sferrare un attacco complesso.
Sono ufficialmente aperte le adesioni al Program Sponsor della Red Hot Cyber Conference 2027, la sesta edizione dell’evento annuale gratuito promosso dalla community di Red Hot Cyber per diffondere cultura, competenze e consapevolezza sui temi della cybersecurity, dell’innovazione e delle tecnologie digitali. La Conference si terrà a Roma, martedì 18 e mercoledì 19 maggio 2027, presso l’Auditorium del Seraphicum, nel cuore del quartiere EUR, con una giornata dedicata ai workshop pratici e alle attività tecniche e una seconda giornata interamente dedicata alla conferenza.
Anche per il 2027, le aziende potranno scegliere di sostenere concretamente il progetto attraverso il Program Sponsor, partecipando alla crescita di un appuntamento che mette in relazione professionisti, aziende, istituzioni, studenti, ricercatori e appassionati di tecnologia. Il programma prevede la possibilità di aderire come Sponsor Sostenitore, una formula pensata per le aziende che desiderano essere tra le prime realtà a credere e contribuire alla realizzazione della nuova edizione, oppure attraverso i tre consueti livelli di sponsorizzazione Platinum, Gold e Silver. Ogni livello di sponsorizzazione acquistato, sarà accompagnato da un pacchetto Advertising, con l'opportunità di visibilità attraverso articoli, banner e contenuti all’interno del circuito editoriale di Red Hot Cyber.
Le aziende interessate a conoscere le formule disponibili, il Media Kit e tutte le opportunità previste dal Program Sponsor 2027 possono richiedere informazioni scrivendo a [email protected].