La convergencia entre la ciberdelincuencia y la Inteligencia Artificial (IA) ha alcanzado un nuevo nivel de sofisticación. Recientemente, investigadores de seguridad han revelado las operaciones de UAT-10147, un grupo de ciberdelincuentes de habla china que está redefiniendo la escala de los ataques contra servidores Windows y Linux a nivel global.
El papel de la IA en la automatización del compromiso
Lo que distingue a UAT-10147 no es solo su objetivo —sectores de educación, medios, tecnología y videojuegos— sino su metodología. El grupo integra herramientas impulsadas por IA, como PentestGPT y DeepAudit, para automatizar fases críticas del ciclo de ataque:
- Reconocimiento y escaneo: Uso de IA para identificar vulnerabilidades en infraestructuras complejas.
- Refinamiento de exploits: Optimización de código malicioso para asegurar el éxito de la intrusión.
- Documentación operativa: Generación de flujos de trabajo automatizados para mantener la persistencia en los sistemas comprometidos.
Esta capacidad de orquestación permite al grupo gestionar listas de objetivos masivas, que superan las 170.000 URLs, dividiendo el trabajo de forma eficiente mediante scripts automatizados.
SPECTRE: Un implante multiplataforma con evasión avanzada
El núcleo de estas operaciones es SPECTRE, un nuevo implante escrito en C capaz de operar tanto en entornos Windows como Linux. Sus capacidades técnicas representan un desafío significativo para las defensas tradicionales:
1. Bypass de EDR mediante BYOVD
En sistemas Windows, SPECTRE utiliza la técnica BYOVD (Bring Your Own Vulnerable Driver). Al instalar controladores legítimos pero vulnerables (como los de MSI o Dell), los atacantes obtienen privilegios a nivel de kernel para desvincular las llamadas de retorno (callbacks) de soluciones de seguridad líderes como CrowdStrike, SentinelOne y Microsoft Defender, dejando al sistema esencialmente «ciego».
2. Rootkit para Linux
En entornos Linux, el grupo despliega un módulo de kernel denominado Specter. Este rootkit proporciona un control persistente y profundo, ocultando procesos y conexiones de red, lo que permite que el ataque sobreviva incluso a reinicios del sistema y controles de seguridad a nivel de usuario.
Impacto empresarial: Fraude SEO y robo de datos
El objetivo final de UAT-10147 suele ser el fraude de optimización de motores de búsqueda (SEO) y el robo de datos sensibles. Al comprometer servidores IIS (Internet Information Services) y desplegar malware como BadIIS, los atacantes manipulan el tráfico web legítimo para fines maliciosos, dañando la reputación digital y la integridad de los datos de las organizaciones afectadas.
Recomendaciones de Intedya
Para las empresas, este escenario subraya la importancia de una estrategia de ciberseguridad proactiva:
- Gestión de vulnerabilidades: El grupo explota fallos conocidos (como CVE-2022-27925 en Zimbra o CVE-2021-3156 en Sudo). Mantener los sistemas parcheados es la primera línea de defensa.
- Monitoreo de integridad del Kernel: Dado que SPECTRE ataca directamente el núcleo del sistema operativo, es vital contar con herramientas que supervisen la carga de controladores y módulos sospechosos.
- Defensa en profundidad: No confiar únicamente en el EDR; implementar controles de red y análisis de comportamiento para detectar comunicaciones con infraestructuras de comando y control (C2).
En Intedya, enfatizamos que la adopción de la IA por parte de los atacantes debe ser respondida con una actualización constante de los marcos de cumplimiento y seguridad técnica, garantizando que la infraestructura empresarial sea resiliente ante amenazas de alta escala.
Fuentes
- The Hacker News — UAT-10147 Uses AI to Scale Server Attacks, Deploys SPECTRE With EDR Bypass and Linux Rootkit
https://thehackernews.com/2026/08/uat-10147-uses-ai-to-scale-server.html