▸▾Herleitung der Bewertung(2)
Wie der Wert zustande kommt
- Belegte Wirkungstaktik: collection+8
- Belegte Angriffskette ueber 3 Kill-Chain-Phasen+6
Woraus sich die Konfidenz ergibt
- Zwei unabhaengige Herausgeber berichten den Sachverhalt
- Darunter eine technische Analyse mit pruefbaren Details
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
- 2 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2019-16098, CVE-2021-21551
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
UAT-10147 deploys SPECTRE: A cross-platform implant with Linux rootkit and BYOVD capabilities
Die chinesische Hackergruppe UAT-10147 setzt die neue, plattformübergreifende Malware SPECTRE ein, die IIS- und Linux-Server angreift. Diese integriert fortschrittliche Techniken wie Rootkits und EDR-Bypass, möglicherweise unterstützt durch KI-generierten Code. Unternehmen, die IIS- oder Linux-Server betreiben, sind betroffen und sollten ihre Systeme auf Indicators of Compromise (IoCs) überprüfen und ihre Sicherheitsmaßnahmen verstärken.
SecBoard-Einordnung
Die Malware SPECTRE nutzt Rootkits und EDR-Bypass-Fähigkeiten, was eine Erkennung erschwert und eine tiefe Systemkompromittierung ermöglicht. Die plattformübergreifende Natur erhöht das Risiko für heterogene IT-Umgebungen.
Realistisch schlimmster Fall: Umfassende Kompromittierung von IIS- und Linux-Servern, unbemerkte Persistenz, Datenexfiltration und mögliche weitere Angriffe durch die schwer erkennbare Malware.
Empfehlung: Überprüfung von IIS- und Linux-Servern auf Indicators of Compromise (IoCs), Implementierung robuster Sicherheitsmaßnahmen, einschließlich fortschrittlicher EDR-Lösungen, und Verstärkung der Sicherheitsmaßnahmen.
Im erfassten Bestand
- ▸7. erfasste Meldung zu Havoc innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Betroffen
Unternehmen, die IIS- oder Linux-Server betreiben.
Prüfen
3- ▸Überprüfen Sie alle IIS- und Linux-Server auf bekannte IoCs im Zusammenhang mit SPECTRE (nicht im Artikel spezifiziert).
- ▸Stellen Sie sicher, dass EDR-Lösungen auf allen IIS- und Linux-Servern aktiv und korrekt konfiguriert sind, um BYOVD-Techniken zu erkennen.
▸ 1 weitere▾ weniger
- ▸Führen Sie eine Überprüfung der Systemintegrität auf Linux-Servern durch, um Rootkit-Installationen zu identifizieren.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Spezifische Indicators of Compromise (IoCs) für SPECTRE sind nicht im Artikel genannt.
- ▸Details zu den BYOVD-Fähigkeiten (Bring Your Own Vulnerable Driver) sind nicht im Artikel spezifiziert.
- ▸Die genaue Art und Weise, wie KI-generierter Code eingesetzt wird, ist nicht im Artikel spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Möglich
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Möglich
Kundenfragen
- Haben wir Cisco extern erreichbar?
- Haben wir Windows extern erreichbar?
- Können wir Persistence detektieren?
- Können wir Privilege Escalation detektieren?
Erwähnte Akteure & Werkzeuge
MITRE ATT&CK(9)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Linux-Rootkit“
„Linux-Rootkit (impliziert Persistenz durch Verbergen von Prozessen oder Dateien)“
„EDR-Bypass-Fähigkeiten“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
2
Einnistung
1
Fernsteuerung
0
Zielhandlung
1
3 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- Cisco TalosTechnischer BelegUAT-10147 deploys SPECTRE: A cross-platform implant with Linux rootkit and BYOVD capabilities
- The Hacker NewsKontextUAT-10147 Uses AI to Scale Server Attacks, Deploys SPECTRE With EDR Bypass and Linux Rootkit
Der Vorgang wird seit 4 Tagen berichtet.
Quellen & Belege· 2 unterschiedliche Quellen
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile
ATT&CK-Heatmap