170 mil alvos e um erro do atacante: o que a Talos encontrou no servidor deles

Um descuido de segurança operacional expôs a retaguarda de uma operação criminosa que está a transformar servidores web vulneráveis em máquinas de fraude. A Cisco Talos divulgou a análise de um grupo que designa por UAT-10147, descrito como um coletivo sinófono com motivação financeira que explora falhas antigas em aplicações expostas à Internet e que integra ferramentas de inteligência artificial em praticamente todas as fases pós-compromisso — do reconhecimento à validação de exploits, da geração de payloads à persistência. O caso é relevante menos pelo ineditismo das vulnerabilidades usadas (todas conhecidas há anos) e mais pelo que revela sobre a industrialização do crime informático.

Um servidor mal configurado que abriu a porta aos investigadores

A Cisco Talos indica que descobriu, no início de 2026, um grupo de cibercrime sinófono ao qual atribuiu a designação UAT-10147 e que tem como alvo um vasto conjunto de servidores web vulneráveis, com atividades que incluem fraude de otimização para motores de busca (SEO) e roubo de dados. Segundo a empresa, o grupo atinge servidores Windows e Linux à escala global, afetando organizações nos setores governamental, da educação, da comunicação social, da tecnologia e do gaming.

A dimensão da operação ficou visível por causa de um erro dos próprios operadores. De acordo com o investigador Joey Chen, a atividade foi detetada depois de se observar um sistema comprometido a comunicar com um servidor de download; uma falha de segurança operacional deixou a diretoria desse servidor publicamente acessível, expondo malware, scripts, ferramentas e uma lista de alvos com cerca de 170 mil URLs. Essa lista terá sido repartida por 17 ficheiros de aproximadamente 10 mil URLs cada, um indício de uma abordagem organizada e de elevado volume na identificação de infraestrutura exposta.

Nada de zero-days: o acesso inicial faz-se com falhas antigas

Ao contrário do que a expressão «ataques com IA» costuma sugerir, o acesso inicial é convencional. As vulnerabilidades listadas pela Talos são publicamente conhecidas e incluem falhas no Zimbra Collaboration, no AjaxPro, no Nacos e no Telerik UI for ASP.NET AJAX. Depois do primeiro acesso, o grupo recorre a exploits locais para elevar privilégios: em Linux, foram observados, entre outros, o Dirty Pipe (CVE-2022-0847) e o Baron Samedit (CVE-2021-3156) antes da instalação de implantes adicionais.

Vale a pena uma nota de rigor sobre a falha do Zimbra: a CVE-2022-27925 é descrita em aviso anterior da CISA como um problema autenticado de carregamento arbitrário de ficheiros, tendo sido amplamente explorada em conjunto com a CVE-2022-37042, um contorno de autenticação que permite alcançar o endpoint vulnerável sem credenciais. Ou seja, o encadeamento importa tanto quanto a falha isolada.

Onde entra a inteligência artificial

O elemento distintivo da campanha está no que acontece depois da intrusão. A Talos afirma ter observado a integração de ferramentas assentes em IA nos fluxos de exploração, reconhecimento, geração de payloads, validação e persistência, incluindo manuais operacionais gerados por IA, scripts de automação de exploits e lógica de resolução de problemas a suportar intrusões reais. Entre os exemplos citados estão scripts que verificam caminhos e permissões de escrita, implantam um implant através de uma RCE por ViewState e colocam uma web shell no sistema comprometido, com a IA a ser usada para testar e validar que o exploit funciona contra o alvo.

O arsenal combina frameworks ofensivas de código aberto, como Metasploit, ysoserial, PentestGPT e DeepAudit, com múltiplos exploits de escalada de privilégios. Convém, ainda assim, separar factos de extrapolações: a Talos observou o PentestGPT na infraestrutura de comando e controlo, usado para varrer servidores web e executar provas de conceito relevantes, e encontrou o DeepAudit instalado, mas afirma explicitamente não ter observado diretamente a exploração de uma vulnerabilidade descoberta por essa framework. A avaliação da equipa é que a integração de orientação de exploração, automação e validação geradas por IA permite escalar ataques complexos de forma mais eficiente, reduzindo a especialização tradicionalmente exigida em operações pós-compromisso avançadas.

SPECTRE, rootkit de kernel e neutralização de EDR

Numa segunda publicação, a Talos detalhou o implante próprio do grupo. A empresa descreve maturidade operacional pela combinação de malware personalizado, ferramentas ofensivas abertas, neutralização de EDR por BYOVD (Bring Your Own Vulnerable Driver), rootkits de kernel Linux e técnicas de web shell em memória. O payload mais capaz é o SPECTRE, uma backdoor escrita em C para Windows e Linux; a versão Windows suportará 45 comandos, incluindo capturas de ecrã, roubo de credenciais, keylogging, personificação de tokens, injeção em processos, execução .NET em memória e escalada de privilégios.

Na variante Linux, foi observado um rootkit de kernel designado Specter, disfarçado de acpi_pad.ko e persistido através de um serviço fraudulento hardware-monitor.service configurado para carregar antes das ferramentas de segurança no arranque; na variante Windows, a Talos refere o descarregamento dos controladores vulneráveis RTCore64.sys e DBUtil_2_3.sys e o uso de kernel callback unlinking para suprimir a visibilidade do EDR. Os investigadores avaliam ainda que o grupo está gradualmente a incorporar desenvolvimento assistido por IA nas suas operações, com indícios desse apoio tanto na backdoor SPECTRE como no rootkit Specter.

O objetivo final: fraude de SEO com o BadIIS

Grande parte da monetização passa pelo BadIIS, malware já bem documentado. Trata-se de um módulo malicioso do IIS que se integra diretamente na cadeia de processamento de pedidos do servidor, permitindo sequestrar servidores web de domínios legítimos governamentais, educativos e empresariais. O esquema funciona em duas fases: serve HTML recheado de palavras-chave aos rastreadores dos motores de busca, envenenando os resultados, e encaminha os visitantes para plataformas de jogo ilegal, pornografia e sítios de phishing de criptomoedas. Para o proprietário do servidor, o resultado é duplo: perda de reputação junto dos motores de busca e potencial exposição de dados.

No caminho até lá, o comportamento em Windows é bastante característico. Os scripts usam certutil para obter payloads, incluindo o EfsPotato para escalada de privilégios e o QuasarRAT disfarçado de svchosts.exe; depois, adicionam System32\inetsrv e SysWOW64\inetsrv às exclusões do Microsoft Defender via PowerShell e Registo, criando um ponto cego precisamente nas diretorias onde os módulos BadIIS são colocados, e enumeram os sites com appcmd. A Talos publicou as conclusões a 20 de agosto, tendo observado também web shells persistentes, criação de contas de administrador local e tarefas agendadas disfarçadas com nomes como «Google Chrome Start».

O que fazer: verificações concretas

• Inventariar e atualizar todas as aplicações expostas à Internet, com prioridade para Zimbra, Telerik UI for ASP.NET AJAX, Nacos e AjaxPro — e confirmar que a correção foi efetivamente aplicada, não apenas agendada.
• Auditar os módulos nativos e geridos do IIS e comparar com uma linha de base conhecida; qualquer DLL não reconhecida em inetsrv deve ser tratada como suspeita.
• Rever as exclusões do Microsoft Defender: uma exclusão de diretoria não documentada é, por si só, um indicador de compromisso.
• Procurar tarefas agendadas recentes com nomes que imitam software legítimo, contas locais novas nos grupos Administradores e Utilizadores de Ambiente de Trabalho Remoto, e ficheiros como svchosts.exe.
• Em Linux, verificar módulos de kernel carregados (atenção a nomes plausíveis como acpi_pad.ko) e serviços systemd desconhecidos com ordem de arranque anterior às ferramentas de segurança.
• Monitorizar utilizações anómalas de certutil, powershell e appcmd, bem como ligações de saída inesperadas a partir de servidores web.
• Ativar listas de bloqueio de controladores vulneráveis (proteção contra BYOVD) e restringir o carregamento de controladores não assinados ou obsoletos.

A recomendação transversal dos investigadores passa por corrigir rapidamente aplicações web expostas, auditar módulos IIS e exclusões do Defender, investigar tarefas agendadas e contas privilegiadas inesperadas, rever registos do servidor à procura de tentativas de exploração dos CVE identificados e procurar handlers ASHX não autorizados, configurações IIS alteradas e comportamento anómalo de rastreadores de motores de busca.

Porque é que isto importa em Portugal

Nenhuma das entidades citadas identifica vítimas em Portugal — a Talos refere vítimas no Brasil, Bolívia, China, Canadá e Vietname —, mas a lógica da campanha é agnóstica quanto à geografia: o critério de seleção é a exposição de um servidor vulnerável na Internet, não a nacionalidade do dono. Universidades, autarquias, meios de comunicação e PME com um servidor IIS ou uma aplicação Java esquecida num rack são exatamente o tipo de alvo descrito.

Do ponto de vista legal, este cenário toca dois eixos. O primeiro é o Regime Jurídico da Cibersegurança, que transpõe a diretiva NIS2 e que reforça obrigações de gestão de riscos, gestão de vulnerabilidades e notificação de incidentes junto do Centro Nacional de Cibersegurança (CNCS) e do CERT.PT para as entidades abrangidas. Manter software exposto sem correção durante anos, como acontece com as falhas exploradas nesta campanha, é dificilmente defensável perante um regulador. O segundo eixo é o RGPD: quando há exfiltração de credenciais, ficheiros de configuração ou dados pessoais alojados no servidor comprometido, a organização enfrenta obrigações de avaliação de risco e, potencialmente, de notificação à CNPD e aos titulares dos dados. Acrescente-se o dano indireto — um site legítimo que passa a redirecionar visitantes para jogo ilegal perde posicionamento nos motores de busca e credibilidade junto dos seus utilizadores.

A leitura mais útil desta investigação para quem defende redes não é o alarme sobre «hackers com IA», mas o inverso: as ferramentas de IA estão a comprimir o tempo e a competência necessários para transformar exploits públicos em intrusões repetíveis. A resposta continua a ser a mesma, mas com menos margem para atrasos — inventário rigoroso do que está exposto, correção atempada, telemetria em servidores (e não apenas em postos de trabalho) e capacidade de detetar alterações à configuração das próprias defesas.

Perguntas frequentes

O UAT-10147 usa inteligência artificial para descobrir vulnerabilidades novas?

Não é isso que está demonstrado. A Cisco Talos descreve o uso de IA sobretudo depois da intrusão, em automação, validação de exploits, geração de manuais operacionais e desenvolvimento de ferramentas. O acesso inicial assenta em vulnerabilidades públicas e antigas, e os investigadores afirmam não ter observado diretamente a exploração de uma falha descoberta por uma das ferramentas de IA encontradas.

Que produtos devo verificar com prioridade?

Servidores Zimbra Collaboration, aplicações com Telerik UI for ASP.NET AJAX, instâncias Alibaba Nacos e componentes AjaxPro expostos à Internet. Em Linux, garanta que o kernel e o sudo estão corrigidos contra Dirty Pipe e Baron Samedit.

Como sei se o meu servidor IIS foi usado para fraude de SEO?

Sinais típicos incluem módulos IIS não reconhecidos, exclusões do Defender nas diretorias do IIS, respostas diferentes consoante o cabeçalho User-Agent, aparecimento de páginas com palavras-chave estranhas nos resultados de pesquisa e queixas de visitantes redirecionados para sites de jogo ou conteúdo adulto.

Tenho de notificar alguma autoridade se detetar este compromisso?

Depende do enquadramento. Entidades abrangidas pelo Regime Jurídico da Cibersegurança têm obrigações de notificação de incidentes significativos junto do CNCS/CERT.PT. Se houver acesso indevido a dados pessoais, aplicam-se também as regras de notificação de violação de dados previstas no RGPD, com avaliação do risco para os titulares.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Cisco Talos, pela Elastic Security Labs e em avisos anteriores de autoridades de cibersegurança sobre as vulnerabilidades referidas.