Um grupo cibercriminoso de língua chinesa, rastreado como UAT-10147, está utilizando ferramentas assistidas por inteligência artificial para transformar servidores web vulneráveis em pontos de entrada. A descoberta, feita pela Cisco Talos, revela uma mudança prática nas operações criminais, onde falhas familiares se tornam mais perigosas quando os atacantes automatizam o trabalho ao seu redor.
O que mudou agora
A atividade identificada atingiu sistemas Windows e Linux voltados para a internet em setores governamentais, educacionais, de mídia, tecnologia e jogos. As vítimas foram identificadas em vários países, enquanto um servidor vinculado continha uma lista de alvos com cerca de 170.000 URLs. A Cisco Talos relatou que os operadores misturaram exploits públicos com instruções, scripts e etapas de teste gerados por IA.
O relatório da Cisco Talos compartilhado com o Cyber Security News indica que essa abordagem ajudou o grupo a realizar intrusões complexas em maior escala. A preocupação imediata não é apenas uma nova falha isolada, mas um processo de ataque mais rápido. A IA pode ajudar um operador a escanear um site, ajustar um exploit falho, verificar se um payload funcionou, coletar detalhes do sistema e configurar uma porta dos fundos com muito menos esforço manual.
Vetor e exploração
O acesso inicial baseou-se em fraquezas conhecidas de execução remota de código (RCE). A campanha incluiu falhas no Zimbra, AjaxPro, Nacos e Telerik, lembrando que falhas de RCE em servidores web podem criar um caminho direto para a tomada de controle.
No Windows, os operadores usaram acesso remoto para instalar o BadIIS, um módulo malicioso do IIS associado à manipulação de resultados de pesquisa. Eles também utilizaram scripts para elevar privilégios, enfraquecer a varredura de endpoints em pastas do IIS, criar acesso de alta privacidade e manter o controle após a invasão original.
Os alvos Linux seguiram um padrão semelhante. Após colocar uma web shell, o grupo usou bugs locais de elevação de privilégio, incluindo o Dirty Pipe, para alcançar acesso root e instalar implantes adicionais.
Automação estende o dano
O material recuperado sugere que a IA esteve envolvida em todo o ciclo de ataque, não apenas na escrita de código. Um guia produzido criou uma rota estruturada para abusar da desserialização do ViewState do ASP.NET, desde a verificação de chaves de configuração roubadas até a criação de payloads e confirmação da execução sem efeitos visíveis óbvios.
Os scripts verificaram pastas graváveis, mapearam sites do IIS, implantaram um implante, colocaram uma web shell e coletaram resultados por meio de callbacks. Um ataque falho não precisa parar o operador: o fluxo de trabalho pode diagnosticar um obstáculo e tentar uma alternativa.
A Cisco Talos também observou o grupo usar um serviço de configuração em nuvem para coletar detalhes básicos das vítimas após explorar o Nacos. Ao misturar informações roubadas com tráfego web rotineiro, os atacantes podem tornar a confirmação inicial e a atividade de acompanhamento mais difíceis de serem detectadas pelos defensores.
Medidas de mitigação recomendadas
As organizações devem tratar servidores web voltados para a internet como ativos de alta prioridade. O patching rápido, a limitação da exposição desnecessária, a revisão das alterações de configuração do IIS e aplicativos, e a vigilância quanto a tarefas agendadas incomuns, novas contas, conexões de saída e caminhos de segurança excluídos podem interromper esse tipo de cadeia.
As equipes também devem proteger o material ASP.NET MachineKey e investigar erros inesperados do servidor em vez de descartá-los como ruído. Em particular, as respostas de erro podem revelar se um atacante está testando o acesso à desserialização, enquanto os riscos de implantação do IIS mostram por que restringir rigorosamente os endpoints administrativos é crucial.
O que os CISOs devem fazer imediatamente
A campanha não significa que a IA tornou os ataques totalmente independentes das pessoas. Ela mostra que grupos motivados financeiramente podem usá-la para repetir técnicas estabelecidas com mais eficiência, reduzindo o tempo entre encontrar uma fraqueza e transformá-la em uma intrusão lucrativa.
Para os defensores, a lição prática é direta: reduzir a superfície de ataque antes que a instrumentação automatizada alcance ela. Manter inventários, aplicar atualizações de segurança, proteger segredos e monitorar o comportamento do servidor web permanecem essenciais.
Perguntas frequentes
- Qual é o risco principal? A automação permite que falhas antigas sejam exploradas em massa com menos esforço humano.
- Como detectar? Monitore tarefas agendadas incomuns, novos usuários e conexões de saída suspeitas.
- É necessário reiniciar? Não necessariamente, mas aplique patches críticos e revise configurações de IIS imediatamente.