UAT-10147: IA y malware SPECTRE contra 170.000 servidores

En pocas palabras: UAT-10147 es un grupo de habla china rastreado por Cisco Talos que integra IA agéntica en ataques a servidores web expuestos, con unas 170.000 URLs objetivo. Tras el compromiso despliega SPECTRE, malware multiplataforma con rootkit para Linux y capacidades BYOVD, según reportes del 20 de agosto de 2026.

El grupo UAT-10147, un adversario de habla china rastreado por Cisco Talos, usa inteligencia artificial para acelerar sus ataques a servidores web expuestos en internet: la lista de objetivos ronda las 170.000 URLs. Tras comprometer cada equipo, despliega SPECTRE, un malware multiplataforma con rootkit para Linux y capacidades BYOVD.

Según los dos reportes que Cisco Talos publicó el 20 de agosto de 2026, UAT-10147 es el nombre que la firma le dio a un actor de amenazas de habla china que integra IA agéntica en las etapas posteriores a la intrusión. El grupo explota vulnerabilidades conocidas en servidores Windows y Linux con exposición a internet, y se apoya en la IA para corregir, probar y reintentar su código de ataque.

¿Cuál es el alcance real de la campaña UAT-10147?

La campaña es masiva y variada: Talos documenta 17 archivos que suman unas 170.000 URLs objetivo (sí, en serio), con organizaciones de gobierno, educación, tecnología y medios entre los blancos.

Ponele que administrás un servidor web público, sea IIS sobre Windows o nginx sobre Linux. Si tiene una vulnerabilidad conocida sin parchear y salida a internet, entrás en el perfil de víctima. Eso sí: escala no implica éxito garantizado. El punto de entrada siempre es el mismo, una aplicación pública explotable. Si el servidor está al día, el intento muere ahí. (Que, mirando cómo anda el parcheo en promedio, queda bastante margen.)

El resto depende de privilegios y configuración.

¿Qué es SPECTRE y qué lo diferencia de otros RATs?

SPECTRE es un implante multiplataforma que corre en Windows y Linux, recibe comandos por HTTP, roba credenciales, inyecta procesos y resuelve las APIs en tiempo de ejecución para complicar el análisis estático. Su rasgo más llamativo es el soporte BYOVD: puede cargar drivers vulnerables pero con firma válida, un atajo clásico para evadir EDR. En Linux trabaja junto al rootkit Specter, que usa hooks de ftrace para esconder procesos, archivos y tráfico de red bajo el nombre acpi_pad.ko, idéntico al de un módulo legítimo del kernel, según el análisis de Talos.

Ojo con esto: buscar “módulos raros” no alcanza cuando el nombre imita uno de confianza. La comparación con el resto del arsenal deja el panorama claro: SPECTRE es una pieza más de un conjunto que combina implantes, RATs y utilidades del propio sistema. Complementá la lectura con las diferencias entre Microsoft y GitHub y con esta guía de Microsoft.

Herramienta	Plataforma	Rol en la campaña
SPECTRE	Windows y Linux	Implante principal: C2 por HTTP, inyección de procesos, robo de credenciales, evasión EDR vía BYOVD
Specter (rootkit)	Linux	Oculta procesos, archivos y tráfico con hooks de ftrace; se disfraza como acpi_pad.ko
QuasarRAT	Windows	Acceso remoto, descargado con certutil tras el web shell
BadIIS	Windows / IIS	Manipulación de tráfico IIS y persistencia en el servidor
Noodle RAT, Gh0stCringe, Meterpreter	Windows	RATs adicionales según el escenario
EfsPotato	Windows	Escalada de privilegios abusando de SeImpersonatePrivilege

Como ves, el grupo no depende de una sola pieza. En una misma campaña conviven cinco familias de acceso remoto más EfsPotato para trepar a SYSTEM cuando el servicio web tiene habilitado el privilegio SeImpersonatePrivilege. Para un SOC, cazar un único hash es perder de vista el bosque.

¿De qué manera la IA acelera los ataques de UAT-10147?

El aporte de la IA es velocidad de iteración: corregir exploits que fallan, analizar causas y preparar reintentos a una cadencia imposible para un humano. Le tirás un exploit que no funciona, la IA analiza por qué falló, sugiere la corrección, genera los pasos de reintento, volvés a probar y en pocas horas tenés una nueva tanda de intentos sobre la misma víctima sin que nadie escriba casi nada a mano.

Los detalles que describe el reporte de Talos son bien concretos: scripts de Python que integran ysoserial para armar payloads de ViewState RCE, búsqueda automatizada de rutas escribibles en el servidor y controles de calidad del código de ataque asistidos por IA.

Todo apunta a volumen.

¿Y DeepAudit, la herramienta de auditoría de vulnerabilidades que el grupo instaló en su propio servidor de gestión? Existe, está instalada, pero no hay evidencia directa de que sus hallazgos hayan alimentado ataques reales. (Spoiler: ese tipo de detalle suele quedarse en hipótesis para siempre.)

¿Cuáles son los indicadores de un ataque UAT-10147?

Los IOCs se dividen en dos frentes según la plataforma comprometida, y en ambos casos el patrón de fondo es el mismo: un proceso web haciendo cosas que un proceso web no debería hacer.

Señales en Windows

• Procesos hijo anómalos: el proceso padre del sitio web lanzando certutil, cmd o powershell para bajar herramientas.
• Exclusiones nuevas en Defender: sobre todo si apuntan al directorio de IIS.
• Cuentas de la nada: enumeración de sitios con appcmd seguida de administradores o cuentas RDP creadas sin pedido.
• Persistencia sospechosa: tareas programadas con logon de altos privilegios y Alternate Data Streams en el archivo hosts.
• Tráfico C2: peticiones HTTP POST hacia las rutas de registro y resultados de SPECTRE.

Señales en Linux

• Módulos de kernel desconocidos: en particular acpi_pad.ko cargado desde procesos web.
• Linaje de procesos raro: del servicio web directo a modprobe o insmod.
• Web shells y persistencia: archivos nuevos en el raíz del sitio y actividad en /tmp.
• Hooks de ftrace activos sin motivo legítimo.

Talos detalla estas señales de detección en sus reportes, así que no necesitás reinventar la detección. Tema relacionado: el caso del malware Miasma en GitHub.

¿Cómo detectar un ataque UAT-10147 en tiempo real?

La detección temprana pasa por correlacionar eventos en el tiempo. Talos recomienda conectar en una misma línea de tiempo, sobre el mismo host, la petición de exploit, la creación del web shell, la descarga de herramientas, la escalada de privilegios, la persistencia y la comunicación con el C2. Como la campaña usa varios RATs a la vez, seguir las etapas rinde más que perseguir un indicador suelto.

Un ejemplo concreto: ves un POST extraño saliendo de w3wp.exe, quince minutos después certutil baja un binario desconocido y una hora más tarde aparece una cuenta admin nueva.

Por separado, cada evento parece ruido. Juntos, son la firma completa del ataque.

¿Qué hacer si ya te comprometieron?

Primero, contener: aislar el servidor y cortar la comunicación saliente hacia el C2. Después revocá cuentas y credenciales creadas o expuestas durante la intrusión, aplicá los parches pendientes y reconstruí desde una imagen confiable. Y olvidate de “limpiar” el equipo y seguir como si nada: con un rootkit a nivel kernel, la única respuesta seria es reconstruir.

Dicho esto, la contención individual alcanza a medias. Buscá el mismo C2, los mismos hashes, cuentas y web shells en todo el entorno, revisá la configuración de IIS, los drivers y los módulos de Linux, y recién ahí pensá en volver a producción. Sobre eso hablamos en rendimiento de Windows 11 frente a Ubuntu.

¿Cómo defenderse del ataque UAT-10147?

Las prioridades que enumera Talos son cuatro: parcheo, privilegios mínimos, control de egreso y validación de módulos. Aburridas y efectivas, que es justo lo que querés de una lista de seguridad:

• Gestión de vulnerabilidades y virtual patching: parcheo rápido de servidores públicos y reglas de WAF/IPS mientras el parche llega.
• Menor privilegio para el servicio web: fuera SeImpersonatePrivilege y permisos de administración del pool de aplicaciones.
• Control de egreso: restricción de comunicaciones salientes desde procesos web, certutil y DLLs o drivers desconocidos.
• Control de drivers y módulos: validación de firmas antes de permitir cargas en el kernel.

En términos de MITRE ATT&CK, la campaña cubre T1190 (explotación de aplicación pública), T1505.003 (web shell), T1105 (transferencia de herramientas), T1055 (inyección de procesos), T1562.001 (impedimento de defensas) y T1547.006 (módulos de kernel), entre otras. Si tu SOC monitorea esas técnicas, cubrís gran parte del recorrido.

Una nota local: si tus servidores viven en un proveedor como donweb.com o en tu propio rack, el parcheo y el endurecimiento siguen siendo tarea del equipo. El hosting te da la infraestructura; la higiene la ponés vos.

Qué está confirmado y qué todavía no

Confirmado según los reportes de Talos:

• Lista de unas 170.000 URLs objetivo organizada en 17 archivos.
• SPECTRE multiplataforma con C2 por HTTP, inyección de procesos, robo de credenciales y BYOVD.
• Rootkit Specter con hooks de ftrace en Linux.
• Uso de IA para corregir, probar y documentar código de ataque.
• Instalación de DeepAudit en el servidor de gestión del grupo.

Sin confirmar hasta ahora. ¿Alguien verificó estos puntos de forma independiente? Todavía no:

• Los CVE exactos usados en la intrusión inicial.
• Que los hallazgos de DeepAudit hayan alimentado ataques reales.
• El éxito de la exfiltración de datos en cada víctima.
• El alcance completo de distribución de SPECTRE y Specter.
• El límite exacto entre código generado por IA y código escrito por humanos.

Errores comunes al enfrentar esta amenaza

Creer que la IA cambió el vector de entrada. La puerta sigue siendo una vulnerabilidad conocida sin parchear, igual que hace una década. Si tu inventario de exposiciones está al día, ya ganaste la mitad de la batalla.

Cazar un único IOC. Con cinco familias de RAT circulando en la misma campaña, apostar a un hash es apostar a la lotería. Correlacioná etapas en el tiempo, no indicadores sueltos. Te puede servir nuestra cobertura de cómo funcionan los DNS autoritativos.

Ignorar el tráfico saliente. Muchos equipos filtran lo que entra y dejan el egreso abierto. Acá el C2 viaja por HTTP común desde el propio servidor web: sin control de egreso, el implante conversa tranquilo.

Dejar el servicio web con privilegios de más. SeImpersonatePrivilege habilitado más EfsPotato terminan en escalada a SYSTEM. Revisá la configuración de los pools de aplicaciones hoy, no después del incidente.

Preguntas Frecuentes

¿Qué es UAT-10147 y qué amenaza representa?

UAT-10147 es un grupo de amenazas de habla china rastreado por Cisco Talos que integra IA en las operaciones posteriores a la intrusión. Apunta a servidores web públicos en Windows y Linux con vulnerabilidades sin parchear, dentro de una lista de unas 170.000 URLs objetivo.

¿Cómo funciona SPECTRE y qué puede hacer?

SPECTRE es un implante multiplataforma que recibe comandos por HTTP, inyecta procesos, roba credenciales y evade EDR cargando drivers vulnerables firmados (técnica BYOVD). En Linux se combina con el rootkit Specter, que oculta procesos, archivos y tráfico de red mediante hooks de ftrace.

¿Cuáles son los indicadores de un ataque UAT-10147?

Los principales son procesos web lanzando certutil, exclusiones nuevas en Defender para el directorio IIS, cuentas administrador o RDP inexplicables y, en Linux, el módulo acpi_pad.ko junto a web shells. Talos detalla estas señales en sus reportes.

¿Cómo se defienden los servidores contra estos ataques?

Con parcheo rápido de servidores expuestos, virtual patching vía WAF/IPS, principio de menor privilegio para los servicios web, control de egreso y validación de módulos de kernel. Combinadas, estas medidas cortan la cadena de ataque antes de la persistencia.

¿Cuáles son los sectores más afectados por UAT-10147?

Gobierno, educación, tecnología y medios concentran los objetivos. El denominador común es tener aplicaciones web públicas vulnerables, más que pertenecer a un rubro puntual.

Conclusión

Lo que cambia con UAT-10147 es la velocidad de iteración. Un grupo que antes tardaba días en ajustar un exploit ahora cicla en horas con ayuda de IA, y eso multiplica los intentos contra cada víctima de su lista de 170.000 URLs. Para los defensores, la respuesta sigue siendo tan aburrida como efectiva: parchear, limitar privilegios, controlar el egreso y correlacionar eventos en el tiempo. Si administrás servidores públicos, esta semana es un buen momento para revisar esa lista punto por punto.

Fuentes

• Cisco Talos Intelligence – Adversario de habla china integra IA agéntica en operaciones post-compromiso
• Cisco Talos Intelligence – UAT-10147 despliega SPECTRE, un implante multiplataforma con rootkit de Linux y capacidades BYOVD
• Dev.to – Resumen técnico de la intrusión asistida por IA y el malware SPECTRE