🔍 Contexte

Publié le 20 août 2026 par Cisco Talos, cet article constitue une analyse technique approfondie des outils et tactiques de UAT-10147, un acteur d’intrusion sinophone hautement capable ciblant des serveurs IIS et Linux exposés sur Internet. L’article fait suite à une précédente publication Talos documentant l’utilisation de workflows d’exploitation assistés par IA par ce même acteur.

🎯 Acteur et ciblage

UAT-10147 est décrit comme un groupe cybercriminel sinophone opérant un écosystème de post-exploitation multiplateforme. L’acteur combine fraude SEO (monétisation via manipulation de référencement) avec des techniques avancées de persistance et d’évasion. Des artefacts de développement (chemins PDB) lient certains composants à un individu référencé sous le pseudonyme “xshen” (x神). Le QuasarRAT déployé contient un Campaign ID avec une chaîne dérogative en chinois ciblant des personnes vietnamiennes, suggérant un ciblage géographique spécifique du Vietnam.

🦠 SPECTRE : backdoor multiplateforme

SPECTRE est un backdoor écrit en C, disponible en variantes Windows et Linux.

Variante Windows

  • Basée sur le framework Havoc avec des capacités post-exploitation personnalisées
  • Anti-analyse : scoring pondéré (liste de processus, RAM, CPU, disque, sandbox), seuil de 50 points → auto-terminaison
  • Obfuscation : résolution d’API via PEB hash walking (algorithme DJB2), chiffrement de chaînes par PRNG xorshift32 par chaîne
  • C2 : HTTP POST vers /api/v1/register et /api/v1/output; configuration C2 lisible depuis un NTFS Alternate Data Stream (C:\Windows\System32\drivers\etc\hosts:cache)
  • 45 commandes dont : injection de processus (hollowing, APC EarlyBird, self-hollowing sur RuntimeBroker.exe), élévation de privilèges (named pipe impersonation → token SYSTEM), vol de credentials (SAM/SYSTEM/SECURITY hive dump, Chromedump, Vaultdump)
  • BYOVD EDR killer : téléchargement de RTCore64.sys (CVE-2019-16098) ou DBUtil_2_3.sys (CVE-2021-21551), écriture en mémoire kernel pour supprimer les callbacks EDR (PspCreateProcessNotifyRoutine, PspCreateThreadNotifyRoutine, PspLoadImageNotifyRoutine), neutralisant CrowdStrike Falcon, SentinelOne, Microsoft Defender

Variante Linux

  • ELF x86-64 lié statiquement, 29 commandes sans obfuscation
  • Anti-sandbox scoring à 8 facteurs
  • Intègre le rootkit kernel Specter via des commandes dédiées (rootkit_load, rootkit_hide, rootkit_root, etc.)

🐧 Specter : rootkit Linux kernel

  • Déployé comme module kernel déguisé en acpi_pad.ko (module ACPI légitime)
  • Persistance via faux service systemd hardware-monitor.service (Before=sysinit.target)
  • Hooks via ftrace (FTRACE_OPS_FL_IPMODIFY) sur 6 handlers syscall : tcp6_seq_show, tcp4_seq_show, tkill, tgkill, kill, getdents64
  • IPC via signaux kill() vers PID magique 0x7A69 (31337) : signal 62 (masquage processus), 36 (masquage module), 37 (escalade UID 0), 35 (handshake)
  • Talos évalue avec confiance moyenne que le rootkit a été développé avec assistance d’IA générative (structure de commentaires, séparateurs uniformes, présentation multi-méthodes)

🛠️ Arsenal complémentaire

  • BadIIS (MaaS) : fraude SEO sur serveurs IIS, artefacts PDB liés à xshen
  • ASHX SEO Engine (SeoEngineHandler) : ciblage spécifique des internautes vietnamiens, moteur Cốc Cốc, domaines C2 en .vn[.]xyz
  • Famille Potato : GodPotato, JuicyPotato (binaires), EfsPotato, RustPotato (compilés depuis source, chemins PDB révélant un dossier AI dans l’environnement de build)
  • Web shell : architecture deux couches, compilation en mémoire via CodeDomProvider, authentification via header X-ID avec token x9, 5 modes opérationnels
  • Meterpreter (reverse shell Linux, dropper deux étapes)
  • Noodle RAT (variante ELF Type 0x03A2)
  • QuasarRAT (persistance IIS)
  • Gh0stCringe (loader Go personnalisé)

📋 Type d’article

Il s’agit d’une publication de recherche technique produite par Cisco Talos, visant à documenter exhaustivement l’écosystème d’outils de UAT-10147, fournir des IOCs et des signatures de détection, et alerter la communauté CTI sur l’intégration croissante de l’IA générative dans le développement de malwares offensifs.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • UAT-10147 (cybercriminal) —

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1505.003 — Server Software Component: Web Shell (Persistence)
  • T1543.003 — Create or Modify System Process: Windows Service (Persistence)
  • T1543.002 — Create or Modify System Process: Systemd Service (Persistence)
  • T1547.006 — Boot or Logon Autostart Execution: Kernel Modules and Extensions (Persistence)
  • T1055.012 — Process Injection: Process Hollowing (Defense Evasion)
  • T1055.004 — Process Injection: Asynchronous Procedure Call (Defense Evasion)
  • T1055.001 — Process Injection: Dynamic-link Library Injection (Defense Evasion)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
  • T1014 — Rootkit (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1564.004 — Hide Artifacts: NTFS File Attributes (Defense Evasion)
  • T1070.006 — Indicator Removal: Timestomp (Defense Evasion)
  • T1134.001 — Access Token Manipulation: Token Impersonation/Theft (Privilege Escalation)
  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1003.002 — OS Credential Dumping: Security Account Manager (Credential Access)
  • T1003.005 — OS Credential Dumping: Cached Domain Credentials (Credential Access)
  • T1056.001 — Input Capture: Keylogging (Collection)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1573 — Encrypted Channel (Command and Control)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1588.002 — Obtain Capabilities: Tool (Resource Development)
  • T1608 — Stage Capabilities (Resource Development)
  • T1218 — System Binary Proxy Execution (Defense Evasion)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1620 — Reflective Code Loading (Defense Evasion)
  • T1102 — Web Service (Command and Control)

IOC

  • CVEs : CVE-2019-16098 — NVD · CIRCL
  • CVEs : CVE-2021-21551 — NVD · CIRCL
  • Fichiers : acpi_pad.ko
  • Fichiers : hardware-monitor.service
  • Fichiers : RTCore64.sys
  • Fichiers : DBUtil_2_3.sys
  • Fichiers : demo.pdb
  • Fichiers : service.pdb
  • Fichiers : EfsPotato.pdb
  • Chemins : C:\Windows\System32\drivers\etc\hosts:cache
  • Chemins : C:\Users\Administrator\Desktop\2025-11-21 (x神订制全站劫持按浏览器语言跳转)\dll\Release\demo.pdb
  • Chemins : C:\Users\Administrator\Desktop\2025-11-21 (x神订制全站劫持按浏览器语言跳转)\dll\x64\Release\demo.pdb
  • Chemins : C:\Users\Administrator\Desktop\x神的自安装服务\svchost\x64\Release\service.pdb
  • Chemins : C:\Users\iis\Desktop\AI\EfsPotatoCpp\x64\Release\EfsPotato.pdb
  • Chemins : C:\Users\Intel\Desktop\AI\EfsPotatoCPP\x64\Debug\EfsPotato.pdb

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 20 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • SPECTRE (backdoor)
  • Specter (other)
  • BadIIS (other)
  • ASHX SEO Engine (other)
  • GodPotato (tool)
  • JuicyPotato (tool)
  • EfsPotato (tool)
  • RustPotato (tool)
  • Gh0stCringe (rat)
  • QuasarRAT (rat)
  • Meterpreter (framework)
  • Noodle RAT (rat)
  • Havoc (framework)

🟢 Indice de vérification factuelle : 80/100 (haute)

  • ✅ blog.talosintelligence.com — source reconnue (liste interne) (20pts)
  • ✅ 25885 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 15 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 29 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : UAT-10147 (5pts)
  • ✅ 2/2 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://blog.talosintelligence.com/uat-10147-deploys-spectre-a-cross-platform-implant-with-linux-rootkit-and-byovd-capabilities/