Hoy en día, la seguridad de la información (máster a distancia en Almaty) se está convirtiendo en un tema crucial para quienes desean comprender no solo la seguridad de las estaciones de trabajo, sino también cómo repeler ataques a servidores. Cisco Talos ha detectado la actividad del grupo chino UAT-10147, que ataca masivamente servidores web Windows y Linux. Además, los ciberdelincuentes utilizan herramientas de IA para el reconocimiento, las pruebas de exploits y la automatización posterior al ataque. Como resultado, una simple vulnerabilidad en un sitio web puede convertirse en el punto de entrada a una larga cadena de ataques.
¿Por qué es importante obtener un máster en seguridad informática en Almaty tras la campaña UAT-10147?
En primer lugar, UAT-10147 resulta interesante no solo por su colección de malware. El grupo demuestra cómo está cambiando la lógica misma de los ataques. Anteriormente, la explotación a gran escala de vulnerabilidades conocidas requería un extenso trabajo manual. Ahora, parte de este trabajo lo realizan sistemas de sugerencias de IA, scripts y marcos de trabajo automatizados.
Los investigadores encontraron un directorio abierto en un servidor que se comunicaba con una de las máquinas comprometidas. Este directorio contenía una lista de aproximadamente 170 000 URL. Para mayor comodidad, los atacantes la dividieron en 17 archivos, cada uno con aproximadamente 10 000 URL. En general, esto parece más un ataque a escala industrial que un ataque manual aislado.
Los objetivos se ubicaban en todo el mundo, siendo Brasil, Bolivia, China, Canadá y Vietnam los países más afectados. Las URL más visitadas correspondían a Estados Unidos, India, Reino Unido, Alemania y Países Bajos. Los sectores también eran diversos: educación, medios de comunicación, tecnología y videojuegos. Por lo tanto, el riesgo no se limita a ninguna industria en particular.
La idea básica del ataque es sencilla. El grupo explota vulnerabilidades conocidas públicamente, logra la ejecución remota de código y luego ejecuta un script automatizado. Posteriormente, instala una puerta trasera, un troyano de acceso remoto (RAT), herramientas de escalada de privilegios y malware para realizar fraude SEO o robar datos.
¿Qué hizo el grupo UAT-10147?
En pocas palabras, los delincuentes buscaron servidores web y servicios IIS vulnerables. Luego utilizaron kits de exploits prefabricados. El informe menciona Metasploit, ysoserial, PentestGPT, DeepAudit y varios exploits de escalada de privilegios. Esto significa que el grupo no inventó cada paso desde cero.
La cadena de ataques a Windows utilizó scripts por lotes, certutil, EfsPotato y el troyano de acceso remoto Quasar. Posteriormente, los atacantes añadieron exclusiones a Microsoft Defender, eliminaron las cargas útiles iniciales y lograron persistencia mediante una tarea engañosa de "Inicio de Google Chrome". También consiguieron instalar BadIIS y Gh0stCringe.
El esquema también se manifestó de forma persistente en servidores Linux. Tras el acceso inicial, los atacantes explotaron vulnerabilidades conocidas, como CVE-2022-0847, CVE-2021-3156 y otras antiguas. Tras obtener acceso de administrador, aparecieron Noodle RAT, Meterpreter y SPECTRE.
Para los aspirantes a profesionales de la ciberseguridad, es importante ver qué acciones se repiten en casi todas las cadenas:
- Buscar una vulnerabilidad pública en el servidor;
- obtener ejecución remota de código;
- escalada de derechos a SYSTEM o root;
- instalar puertas traseras para un acceso persistente;
- ocultando rastros y eludiendo las medidas de protección.
Cabe destacar que la IA no reemplaza por completo a un hacker. Ayuda a agilizar tareas rutinarias: perfeccionar exploits, verificar la lógica, redactar documentación y elaborar escenarios posteriores a la explotación. Por eso, la formación a distancia en seguridad informática en Almaty debería explicar no solo los nombres de las herramientas, sino también cómo se combinan para formar un ataque efectivo.
De la piratería informática a la fábrica de ataques: Máster en Seguridad de la Información en Almaty
El caso de UAT-10147 demuestra claramente por qué el antiguo enfoque de "cerrar las peores vulnerabilidades más tarde" ya no funciona. Los atacantes no esperan a una vulnerabilidad de día cero poco común. Aprovechan problemas conocidos, recopilan una enorme lista de objetivos y lanzan ataques automatizados. Si el servidor no se actualiza, se vuelve vulnerable.
BadIIS resulta particularmente interesante. Se utilizó una variante que opera bajo el modelo de malware como servicio y se encuentra en varios grupos de habla china. Esto significa que la infraestructura de malware también se ha convertido en un servicio. Algunos desarrollan la herramienta, otros la alquilan o compran, y otros más la utilizan en sus propios planes.
SPECTRE es aún más peligroso. Se trata de una puerta trasera basada en C con versiones para Windows y Linux. Se comunica con el servidor C2 a través de HTTPS, utiliza ofuscación y admite decenas de comandos. La variante para Windows puede tomar capturas de pantalla, registrar pulsaciones de teclas, manipular archivos, ejecutar comandos de shell y descargar archivos.
La parte más preocupante está relacionada con BYOVD. SPECTRE explota las vulnerabilidades de los controladores RTCore64.sys y DBUtil_2_3.sys para obtener capacidades mejoradas y evadir la detección de errores (EDR). El malware interfiere con las devoluciones de llamada del kernel, lo que dificulta que los productos de seguridad detecten la creación de procesos e hilos y la carga de imágenes. Para un centro de operaciones de seguridad (SOC), esto es como apagar las luces de una habitación donde ya hay alguien caminando.
Por lo tanto, es importante comprender bien cómo funciona un servidor, cómo son los procesos normales y qué eventos no deberían ocurrir. En consecuencia, la capacitación técnica en seguridad de la información en Almaty es útil para quienes desean proteger no solo una red abstracta, sino también sistemas Windows y Linux reales.
¿Qué comprobaciones debería realizar el equipo ahora?
En primer lugar, conviene empezar con un inventario de tus servidores web. No puedes proteger algo que no esté en la lista. Es importante conocer tus servidores IIS, de alojamiento Linux, CMS, paneles de control, sitios de prueba y portales heredados. A menudo, un servicio olvidado se convierte en la puerta de entrada a una explotación generalizada.
Antes de una auditoría interna, conviene registrar el orden de las acciones:
- Recopile una lista de servidores web y aplicaciones externas.
- Compruebe las vulnerabilidades conocidas con identificadores CVE para los componentes de Zimbra, Nacos, Telerik e IIS.
- Busque el uso de certutil, ysoserial, Metasploit y archivos por lotes sospechosos.
- Configura alertas para la creación de tareas programadas sospechosas.
- Revisar los intentos de agregar exclusiones en Microsoft Defender.
- Bloquear a los conductores vulnerables conocidos.
- Supervise los servidores Linux por separado en busca de indicios de rootkits.
Este caso resulta muy útil para la docencia y la investigación. Permite estudiar la explotación de vulnerabilidades CVE y EDR conocidas mediante BYOD, rootkits de Linux, HTTPS C2 y exfiltración disfrazada de SaaS. Por lo tanto, la investigación en seguridad informática en Almaty puede basarse en escenarios reales, y no solo en teoría abstracta.
La conclusión principal es simple: los ataques a servidores son cada vez más rápidos y generalizados. UAT-10147 no demostró una técnica mágica, pero sí la combinación de automatización, vulnerabilidades CVE antiguas y soporte de IA. Si una empresa actualiza sus servidores "más adelante", un atacante puede probarlos hoy mismo.
Equipo universitario de SEDICOMM : Cisco Academy , Linux Professional Institute , Python Institute.