UAT-10147 usa IA agêntica em ataques a servidores web

A Cisco Talos publicou em 20 de agosto de 2026 duas análises complementares sobre o UAT-10147, um grupo de cibercrime de língua chinesa que compromete servidores web expostos à internet e, segundo a empresa, incorporou ferramentas de inteligência artificial em praticamente todas as etapas da operação — da descoberta de falhas à documentação das intrusões. Entre os servidores afetados identificados pela Talos há máquinas no Brasil.

O grupo foi descoberto no início de 2026 e atua com motivação financeira: fraude de otimização para mecanismos de busca (SEO) e roubo de dados. O que chama atenção no relatório assinado pelo pesquisador Joey Chen não é o arsenal em si — bastante convencional — mas o papel que a IA passou a ocupar nele. A Talos avalia com confiança de moderada a alta que o UAT-10147 integra sistemas de IA agêntica para operacionalizar técnicas ofensivas em escala, indo além do uso comum de modelos de linguagem como assistente de script.

Vale delimitar o que a pesquisa mostra e o que ela não mostra. Não há aqui uma IA conduzindo ataques sozinha. O que a Talos recuperou da infraestrutura do grupo são artefatos gerados por ferramentas de IA — manuais operacionais, scripts de automação, registros de depuração — usados por operadores humanos. A distinção importa para não confundir automação assistida com autonomia.

Quem foi atingido e como o grupo foi descoberto

A Talos observou servidores comprometidos no Brasil, Bolívia, China, Canadá e Vietnã, pertencentes a organizações de governo, universidades, mídia, tecnologia e jogos. A descoberta veio de uma falha de segurança operacional do próprio grupo: uma máquina comprometida se comunicava com um servidor de download no endereço 139.180.197[.]150, que mantinha um diretório aberto e navegável. Dentro dele, os pesquisadores encontraram uma lista de alvos com aproximadamente 170 mil URLs, dividida pelo operador em 17 partes de cerca de 10 mil endereços cada — nomeadas com a letra “w”, referência ao caractere chinês 萬 (dez mil).

Acesso inicial: falhas antigas, exploração nova

O UAT-10147 não usa vulnerabilidades de dia zero. Ele se apoia em falhas públicas e já corrigidas, algumas com anos de idade, exploradas em massa com o Metasploit e com exploits customizados.

Duas ressalvas de precisão técnica, importantes para quem for priorizar correções. A Talos descreve o CVE-2022-27925 como “RCE não autenticado” no Zimbra; o registro no NVD e a análise original da Volexity classificam a falha como travessia de diretório que exige autenticação, e que só se torna exploração não autenticada quando encadeada ao CVE-2022-37042, um desvio de autenticação. Da mesma forma, o par CVE-2021-29441/29442 é catalogado pelo GitHub Security Lab como desvio de autenticação no Nacos — a execução de código vem do abuso das funções administrativas expostas depois do desvio, não da falha em si. O CVE-2019-18935 e o CVE-2022-27925 constam do catálogo de vulnerabilidades exploradas conhecidas (KEV) da CISA.

Cadeia em Windows

Após obter execução remota em um servidor IIS, o grupo roda um script em lote (normalmente back.txt ou back.bat) que usa o utilitário legítimo certutil para baixar uma ferramenta de escalonamento de privilégios (EfsPotato, renomeada como prcc1.rar), um script secundário e o QuasarRAT disfarçado de svchosts.exe.

Com privilégios elevados, o script adiciona os diretórios System32\inetsrv e SysWOW64\inetsrv à lista de exclusões do Windows Defender, cegando o antivírus justamente onde os módulos maliciosos do IIS serão gravados. A persistência vem de uma tarefa agendada com nome enganoso, “Google Chrome Start”, e da criação de uma conta local adicionada aos grupos Administradores e Usuários da Área de Trabalho Remota.

Cadeia em Linux

Em servidores Linux, o caminho é um web shell seguido de escalonamento local com exploits conhecidos: CVE-2022-0995 (watch_queue), CVE-2021-3156 (“Baron Samedit”, no sudo), CVE-2015-5287 (ABRT), CVE-2015-3246 (libuser), CVE-2010-3904 (protocolo RDS) e CVE-2022-0847, o “Dirty Pipe”. Com acesso root, o grupo instala NoodleRAT, Meterpreter e o implante próprio SPECTRE.

O que a IA efetivamente faz na operação

A Talos encontrou dois frameworks de IA ofensiva instalados na infraestrutura do grupo: o DeepAudit, para varredura de vulnerabilidades em código-fonte, e o PentestGPT, usado para escanear servidores e executar provas de conceito. Os pesquisadores registram uma limitação honesta: não observaram diretamente exploração de falhas descobertas pelo DeepAudit em ambientes de vítimas, e admitem que o grupo pode estar usando a ferramenta também para auditar a própria infraestrutura.

O achado mais concreto é um manual de exploração de desserialização de ViewState em ASP.NET, gerado por IA, com nove seções — de pré-requisitos e geração de payload até reconhecimento pós-exploração e escalonamento de privilégios.

Três detalhes desse manual merecem atenção defensiva:

• O sucesso aparece como erro. Uma resposta HTTP 500 com InvalidCastException indica que o payload foi desserializado com êxito. Ferramentas de monitoramento que tratam respostas 5xx como ruído tendem a ignorar exatamente o sinal do ataque.
• Teste por tempo não funciona. O documento registra, como lição aprendida por tentativa e erro, que comandos como ping -n 10 não confirmam execução, porque Process.Start() é assíncrono. O grupo passou a usar retornos fora de banda via certutil, PowerShell e consultas DNS.
• A MachineKey é o controle crítico. O ataque depende inteiramente de material de chave exposto, normalmente obtido com a ferramenta aberta badsecrets, que mantém uma base de MachineKeys públicas ou vazadas. A Talos observa ainda que a chave tem escopo de site no IIS — uma chave extraída de um host virtual não vale para os demais na mesma máquina.

Além do manual, foram recuperados quatro scripts Python gerados por IA que verificam permissões de escrita, implantam o backdoor, gravam um web shell em duas etapas e exfiltram dados de reconhecimento. Todos usam o serviço legítimo webhook.site como ponto de coleta, misturando o tráfego de exfiltração a chamadas HTTPS comuns de SaaS.

SPECTRE: backdoor multiplataforma com rootkit de kernel

O implante SPECTRE, escrito em C, existe em versões para Windows e Linux. A variante Windows tem 45 comandos (24 em texto claro, 21 cifrados) e prioriza a evasão: resolve funções da API em tempo de execução, cifra cada string com uma semente própria e executa uma rotina de pontuação antianálise que avalia nome de processo, memória, núcleos de CPU, espaço em disco e nomes típicos de sandbox — se a soma chega a 50 pontos, o processo se encerra. Uma variante lê a configuração de comando e controle de um fluxo alternativo de dados NTFS anexado ao arquivo hosts, permitindo trocar o endereço do servidor sem recompilar o binário.

A capacidade mais severa é o desligamento de EDR por driver vulnerável (BYOVD). O SPECTRE baixa um de dois drivers legítimos e assinados — o RTCore64.sys da MSI (CVE-2019-16098) ou o DBUtil_2_3.sys da Dell (CVE-2021-21551) — instala como serviço de kernel e usa as primitivas de leitura e escrita arbitrárias para localizar o ntoskrnl.exe e desvincular os callbacks registrados pelos produtos de segurança. Com isso, soluções que dependem de notificações de criação de processo, criação de thread e carga de imagem deixam de enxergar essas operações pelo resto da sessão.

Na versão Linux, o SPECTRE tem 29 comandos e carrega um rootkit de kernel chamado Specter, disfarçado de acpi_pad.ko e persistido por uma unidade systemd falsa, hardware-monitor.service, configurada para carregar antes de qualquer ferramenta de segurança. Em vez de alterar a tabela de chamadas de sistema, o rootkit usa o framework nativo de instrumentação ftrace para redirecionar seis manipuladores, incluindo getdents64 (listagem de diretórios) e tcp4_seq_show/tcp6_seq_show (conexões visíveis). Como o ftrace é uma interface legítima de depuração, a abordagem gera pouco ruído em verificações de integridade.

A evidência de desenvolvimento assistido por IA

A Talos avalia com confiança média — e é importante manter essa qualificação — que o rootkit foi criado com auxílio de IA. Os indícios são estilísticos, não forenses: a lista de recursos no topo do código-fonte lê como especificação de produto e não como anotação de desenvolvedor; os separadores decorativos têm largura idêntica ao longo de mais de dez seções; o texto explica conceitos básicos a um leitor que já deveria conhecê-los; e há três métodos alternativos rotulados “Method 1”, “Method 2” e “Method 3” para o mesmo objetivo, quando um desenvolvedor humano escolheria um. Há ainda caminhos de compilação com uma pasta literalmente chamada “AI” embutidos em binários do EfsPotato e do RustPotato. São argumentos plausíveis, mas circunstanciais: nenhum prova geração automática, e a própria Talos não afirma que provam.

Impactos, limites e o que observar

Para quem opera servidores web expostos, a leitura prática é menos alarmante do que o rótulo “IA ofensiva” sugere, e mais incômoda por outro motivo: todas as portas de entrada usadas pelo grupo estão fechadas há anos por atualizações disponíveis. A IA não abriu nenhuma porta nova. O que ela parece ter feito é reduzir o custo de operar em escala — documentar, depurar, validar e repetir contra 170 mil alvos — e diminuir a especialização necessária para etapas pós-comprometimento que antes exigiam experiência considerável. Se a barreira de entrada para operações complexas cair, o volume de grupos capazes de executá-las tende a crescer mesmo sem qualquer avanço na sofisticação técnica. Ao mesmo tempo, a dependência de falhas conhecidas mantém a defesa dentro do alcance de práticas convencionais.

Recomendações

• Aplique as correções para as falhas listadas — Zimbra, Nacos (1.4.1 ou superior), Telerik UI e AjaxPro — e trate como prioritárias as que constam do catálogo KEV da CISA.
• Rotacione MachineKeys do ASP.NET que possam ter sido expostas em repositórios, backups ou artefatos de build, e trate a confidencialidade dessas chaves como controle crítico.
• Monitore respostas HTTP 500 com InvalidCastException em endpoints que processam ViewState, em vez de descartá-las como ruído.
• Alerte sobre alterações na lista de exclusões do Windows Defender, especialmente envolvendo diretórios do IIS, e sobre uso de certutil com download remoto.
• Revise tarefas agendadas com nomes que imitam software legítimo e contas locais recém-criadas em grupos administrativos ou de acesso remoto.
• Habilite listas de bloqueio de drivers vulneráveis e integridade de código protegida por hipervisor (HVCI) no Windows para dificultar o carregamento de RTCore64.sys e DBUtil_2_3.sys.
• Em Linux, monitore carga de módulos de kernel, o estado de /proc/sys/kernel/tainted, unidades systemd criadas fora do processo de gestão e hooks de ftrace inesperados.
• Inspecione tráfego de saída para serviços de webhook públicos a partir de servidores que não deveriam usá-los.
• Consulte os indicadores de comprometimento publicados pela Talos no repositório oficial da equipe e as assinaturas ClamAV e regras Snort divulgadas nos dois relatórios.

Conclusão

O UAT-10147 é relevante menos pelo que inventa e mais pelo que documenta: é um dos registros públicos mais detalhados de um grupo criminoso usando ferramentas de IA de forma sistemática em operações reais, com manuais, scripts e registros de intrusão recuperados diretamente da infraestrutura do atacante. O implante SPECTRE, com neutralização de EDR por driver vulnerável e rootkit de kernel em Linux, mostra que o grupo também mantém capacidade técnica própria.

Para o Brasil, que aparece entre os países com servidores comprometidos, o alerta é direto: servidores IIS e Linux expostos, sem as correções listadas, são alvos ativos. Vale acompanhar se outras equipes de inteligência passarão a recuperar artefatos semelhantes de outros grupos — e se a atribuição de “código gerado por IA”, hoje baseada em pistas estilísticas, ganhará métodos de verificação mais robustos.

Fontes e referências

• Cisco Talos — UAT-10147: Chinese-speaking adversary integrates agentic AI into post-compromise operations (Joey Chen, 20/08/2026)
• Cisco Talos — UAT-10147 deploys SPECTRE: A cross-platform implant with Linux rootkit and BYOVD capabilities (Joey Chen, 20/08/2026)
• NIST NVD — CVE-2022-27925
• Volexity — Mass Exploitation of (Un)authenticated Zimbra RCE: CVE-2022-27925
• CISA — Threat Actors Exploiting Multiple CVEs Against Zimbra Collaboration Suite
• GitHub Security Lab — GHSL-2020-325: Authentication bypass in Nacos
• Bishop Fox — CVE-2019-18935: Remote Code Execution via Insecure Deserialization in Telerik UI
• NIST NVD — CVE-2021-21551 (driver dbutil_2_3.sys da Dell)