Cybersecurity araştırmacıları, UAT-10147 adlı bir Çin dilini konuşan siber suç grubunun dünya çapında eğitim, medya, teknoloji ve oyun sektörlerinde Windows ve Linux web sunucularına yönelik saldırılar düzenlediğini açıkladılar.
Hedeflerin büyük çoğunluğu Brezilya, Bolivya, Çin, Kanada ve Vietnam'da bulunmaktadır. Tehdit faaliyeti hakkında bilgiler, birincil olarak 139.180.197[.]150 adresinde barındırılan açık bir dizinin keşfedilmesiyle ortaya çıktı ve bu dizin, birinden etkilenen makinelerle iletişim kurarken gözlemlendi.
Cisco Talos, iki bölümlük bir raporunda, aktörün kamuya açıklanmış zafiyetleri kullanarak ilk erişimi geniş ölçekte elde ettiğini söyledi. Aktör, Metasploit, yoserial, PentestGPT, DeepAudit ve çoklu ayrıcalık yükseltmeexploitleri de dahil olmak üzere açık kaynaklı saldırı çerçevelerinin bir karışımını kullanarak intrusion operasyonlarını otomatikleştirmek ve kalıcılık sağlamak için kullandı.
UAT-10147, arama motoru optimizasyonu (SEO) dolandırıcılığı ve veri hırsızlığı gerçekleştiren ve saldırı döngüsünün çeşitli evrelerinde sömürü, keşif, payload oluşturma, doğrulama ve kalıcılık sağlamak için yapay zeka (AI) destekli araçları entegre eden bir tehdit aktörü olarak tanımlanmıştır.
Bu, özellikle sömürüleri iyileştirmek, mantık hatalarını gidermek, post-exploitation iş akışlarını otomatikleştirmek, sömürüleri doğrulamak ve operasyonel belgeler oluşturmak için AI kullanmayı içermektedir. Bu, geniş ölçekte saldırı sanatını uygulamaya çalıştığını göstermektedir.
Maruz kalan dizinin analizi, yaklaşık 170.000 URL içeren bir hedef listesini içeren bir metin dosyasını tanımlamıştır. Saldırgan, bu listeyi daha verimli bir şekilde ayrıştırmak için 17 küçük dosyaya bölmüştür ve her bir dosya yaklaşık 10.000 URL içermektedir. Hedef listesine göre ilk beş varış noktası ABD, Hindistan, İngiltere, Almanya ve Hollanda'dır.
