SecBoard
Zurück zur Übersicht
Kritisch75 / 100Konfidenz: Mittel
In CISA KEVCVSS8.1EPSS99 %Über Netz erreichbarOhne Anmeldung

Öffentlich bekannte Schwachstellen umgehend patchen und die Verteidigungsstrategien gegen KI-gestützte Bedrohungen verbessern.

▸Herleitung der Bewertung(5)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2022-0995, CVE-2015-5287, CVE-2015-3246, CVE-2022-27925, CVE-2021-23758+25
  • EPSS 98.7 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+15
  • Hoechster CVSS-Basiswert 8.1+15
  • Hinweis auf verfuegbaren Angriffscode: proof-of-concept, exploit code, weaponized+10
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2021-23758, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

  • Nur ein Herausgeber — keine Gegenlesung
  • Darunter eine technische Analyse mit pruefbaren Details
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • 6 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2021-3156, CVE-2010-3904, CVE-2022-0847, CVE-2021-29441, CVE-2021-29442, CVE-2019-18935

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

UAT-10147: Chinese-speaking adversary integrates agentic AI into post-compromise operations

Cisco Talos·
Originalartikel lesen bei Cisco Talos

Cisco Talos hat die chinesischsprachige Bedrohungsgruppe UAT-10147 identifiziert, die weltweit Windows- und Linux-Webserver angreift. Betroffen sind Organisationen in Regierungs-, Bildungs-, Medien-, Technologie- und Gaming-Sektoren. Die Angreifer nutzen KI-gesteuerte Tools für Exploits, Aufklärung und Persistenz, was komplexe Angriffe effizienter macht. Unternehmen sollten ihre Systeme auf öffentlich bekannte Schwachstellen prüfen und diese umgehend patchen.

SecBoard-Einordnung

Die Integration von KI in die Angriffsoperationen von UAT-10147 ermöglicht effizientere und skalierbarere Angriffe, was die Erkennung und Abwehr erschwert. Unternehmen müssen ihre Verteidigungsstrategien an diese neuen, KI-gestützten Bedrohungen anpassen.

Realistisch schlimmster Fall: Ein erfolgreicher Angriff könnte zu einer vollständigen Kompromittierung von Windows- und Linux-Webservern führen, was Datenexfiltration, Systemausfälle und die Etablierung von Persistenz in den betroffenen Netzwerken zur Folge hätte.

Im erfassten Bestand

  • ▸CVE-2022-27925 stand zum Zeitpunkt dieser Meldung seit 1470 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVE-2021-23758CISA KEV
CVSS
8.1 · HIGH
EPSS
82.6%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-08-26
Patch
unbekannt
Zuweisende CNA
report@snyk.io
CVE-2022-0995CISA KEV
CVSS
7.8 · HIGH
EPSS
8.9%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-08-26
Patch
unbekannt
Zuweisende CNA
secalert@redhat.com
CVE-2015-5287CISA KEV
CVSS
7.8 · HIGH
EPSS
5.0%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-08-26
Patch
unbekannt
Zuweisende CNA
secalert@redhat.com
CVE-2015-3246CISA KEV
CVSS
7.4 · HIGH
EPSS
8.5%
Über das Netz
nein
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-08-26
Patch
unbekannt
Zuweisende CNA
secalert@redhat.com
CVE-2022-27925CISA KEV
CVSS
7.2 · HIGH
EPSS
98.7%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2022-08-11
Patch
unbekannt
Zuweisende CNA
cve@mitre.org
CVE-2010-3904

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2019-18935

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2021-29441

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2021-29442

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2021-3156

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2022-0847

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

Organisationen in Regierungs-, Bildungs-, Medien-, Technologie- und Gaming-Sektoren, die Windows- und Linux-Webserver betreiben.

Hersteller

AJAXPRO.2 ProjectAjax.NET ProfessionalFedoraprojectLibuser ProjectLinuxMichaelschwarzNetappOpensuseOracleRed HatRedhatSynacor

Produkte

Ajax.NET ProfessionalAutomatic Bug Reporting ToolKernelLibuserZimbra Collaboration Suite (ZCS)AJAXPRO.2Enterprise Linux3 VersionenEnterprise Linux DesktopEnterprise Linux HPC NodeEnterprise Linux ServerEnterprise Linux WorkstationFedora+13 weitere
▸ CPE-Rohbezeichner anzeigen (51)
  • cpe:2.3:a:ajaxpro.2_project:ajaxpro.2:*:*:*:*:*:.net:*:*
  • cpe:2.3:a:libuser_project:libuser:*:*:*:*:*:*:*:*
  • cpe:2.3:a:michaelschwarz:ajax.net_professional:*:*:*:*:*:.net:*:*
  • cpe:2.3:a:redhat:automatic_bug_reporting_tool:*:*:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:-:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p10:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p11:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p12:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p13:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p14:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p15:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p16:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p17:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p18:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p19:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p1:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p20:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p21:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p22:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p23:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p24:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p25:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p26:*:*:*:*:*:*
  • cpe:2.3:a:synacor:zimbra_collaboration_suite:8.8.15:p2:*:*:*:*:*:*
  • cpe:2.3:o:fedoraproject:fedora:35:*:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:5.17:rc1:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:5.17:rc2:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:5.17:rc3:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:5.17:rc4:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:5.17:rc5:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:5.17:rc6:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:5.17:rc7:*:*:*:*:*:*
  • cpe:2.3:o:netapp:h300e_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:h300s_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:h410c_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:h410s_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:h500e_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:h500s_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:h610c_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:h610s_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:netapp:h615c_firmware:-:*:*:*:*:*:*:*
  • cpe:2.3:o:opensuse:opensuse:13.2:*:*:*:*:*:*:*
  • cpe:2.3:o:oracle:linux:7:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux:5.0:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux:6.0:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux:7.0:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux_desktop:7.0:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux_hpc_node:7.0:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux_server:7.0:*:*:*:*:*:*:*
  • cpe:2.3:o:redhat:enterprise_linux_workstation:7.0:*:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie alle Windows- und Linux-Webserver auf die Installation der neuesten Sicherheitspatches für öffentlich bekannte Schwachstellen.
  • ▸Führen Sie Scans auf Ihren Webservern durch, um Anzeichen von Kompromittierung oder ungewöhnlicher Aktivität zu identifizieren, die auf die Nutzung von KI-gesteuerten Tools hindeuten könnten.
▸ 1 weitere
  • ▸Validieren Sie die Konfiguration Ihrer Intrusion Detection/Prevention Systeme (IDS/IPS) und Web Application Firewalls (WAFs) auf ihre Fähigkeit, KI-gestützte Exploits und Aufklärungsversuche zu erkennen und zu blockieren.

Offene Punkte

3
▸ anzeigen
  • ▸Spezifische CVEs oder Schwachstellen, die von UAT-10147 ausgenutzt werden, sind nicht im Artikel genannt.
  • ▸Die genauen Mechanismen, wie die KI in die Exploits, Aufklärung und Persistenz integriert wird, sind nicht detailliert beschrieben.
  • ▸Die betroffenen Länder sind nicht spezifisch genannt, nur dass Angriffe weltweit stattfinden.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Ja
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

  • Haben wir Cisco extern erreichbar?
  • Haben wir Windows extern erreichbar?
  • Können wir Execution detektieren?
  • Können wir Persistence detektieren?

Erwähnte Akteure & Werkzeuge

Werkzeuge
QuasarRATS0262

Abgleich mit dem MITRE-ATT&CK-Katalog

MITRE ATT&CK(6)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1190Exploit Public-Facing Applicationzugeordnet

„Die Angreifer nutzen KI-gesteuerte Tools für Exploits“

T1543Create or Modify System Processzugeordnet

„Die Angreifer nutzen KI-gesteuerte Tools für [...] Persistenz“

T1592Gather Victim Host Informationzugeordnet

„Die Angreifer nutzen KI-gesteuerte Tools für [...] Aufklärung“

T1053.005Scheduled Task/Job: Scheduled Taskabgeleitet
T1505.003Server Software Component: Web Shellabgeleitet
T1656Impersonationabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

0

›

Bewaffnung

0

›

Zustellung

0

›

Ausnutzung

1

›

Einnistung

1

›

Fernsteuerung

0

›

Zielhandlung

0

1 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)

Quellen & Belege· 1 Quelle

Cisco TalosTechnischer BelegPUBLICZuverlässigkeit Bdiese Meldung

Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.

  • Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

ATT&CK-Heatmap

ATT&CK-Heatmap
Themen
Threat SpotlightAI
Vollständigen Artikel lesen bei Cisco Talos