Ancaman UAT-10147: Hacker Kini Gunakan AI untuk Serang Server, Ini Cara Melindunginya

Ringkasan: UAT-10147 adalah kelompok peretas berbahasa Mandarin yang memakai agentic AI untuk mengotomatiskan tahap eksploitasi dan lateral movement di server Windows maupun Linux. Mereka menanam backdoor SPECTRE dan memakai teknik Bring Your Own Vulnerable Driver (BYOVD) untuk melumpuhkan EDR dari level kernel.

AI sekarang bukan cuma alat bantu menulis email atau bikin gambar. Di tangan peretas, teknologi yang sama berubah jadi mesin otomatisasi serangan. Pada 20 Agustus 2026, tim riset Cisco Talos merilis dua laporan tentang kelompok peretas berbahasa Mandarin yang mereka beri kode UAT-10147. Di infrastruktur kelompok ini, Talos menemukan daftar target berisi sekitar 170.000 URL server publik, dipecah rapi ke dalam 17 file berisi masing-masing 10.000 alamat.

Yang bikin temuan ini penting bukan cuma jumlah targetnya, tapi cara kerjanya. Talos menilai UAT-10147 sebagai contoh awal kelompok yang benar-benar memasukkan AI ke dalam alur kerja operasional mereka, bukan sekadar minta bantuan chatbot untuk menulis script. Aktivitasnya terpantau sejak April 2026, dengan korban di Brasil, Bolivia, Cina, Kanada, dan Vietnam, menyasar sektor pemerintahan, pendidikan, media, teknologi, dan gaming.

Apa Itu UAT-10147 dan Bagaimana Mereka Memakai AI?

UAT-10147 mengincar server web Windows dan Linux yang belum di-patch, dengan dua tujuan: mencuri data dan menjalankan SEO fraud. Motifnya finansial, bukan spionase, dan ini pembeda penting dari kelompok APT yang biasa diberitakan. Artinya target mereka tidak harus perusahaan besar atau instansi strategis. Cukup server yang kebetulan rentan dan punya reputasi domain yang layak dibajak.

Bedanya dengan serangan konvensional yang mengandalkan script kaku, kelompok ini memasukkan tool berbasis AI ke dalam workflow-nya. Talos menemukan PentestGPT untuk scanning dan menjalankan PoC exploit, DeepAudit untuk memindai celah di source code, plus ysoserial.net untuk membuat payload deserialization. Yang lebih menarik, Talos juga menemukan playbook dan script Python hasil generate AI. Isinya panduan langkah demi langkah setelah berhasil masuk ke server, lengkap dengan perintah siap pakai seperti appcmd.exe list site /config /xml untuk mendata situs di IIS dan whoami /priv untuk mengecek privilege yang sedang dipegang.

Jejaknya bahkan tertinggal di malware-nya sendiri. Path development di dalam SPECTRE menunjuk ke folder C:\Users\iis\Desktop\AI\, indikasi kuat bahwa backdoor ini pun disusun dengan bantuan AI.

Efeknya buat sisi pertahanan cukup jelas. Pekerjaan yang dulu butuh operator berpengalaman kini bisa didelegasikan sebagian ke tool, sehingga satu orang mampu menggarap jauh lebih banyak target sekaligus.

Anatomi Serangan: Celah Lama, SPECTRE, dan BYOVD

Menariknya, tidak ada satu pun 0-day di sini. Semua pintu masuknya celah lama yang patch-nya sudah bertahun-tahun tersedia:

• Zimbra Collaboration Suite — CVE-2022-27925
• Telerik UI for ASP.NET AJAX — CVE-2019-18935
• Nacos — CVE-2021-29441 dan CVE-2021-29442
• AjaxPro — CVE-2021-23758

Di luar daftar itu, mereka juga memanfaatkan ViewState deserialization pada server ASP.NET yang MachineKey-nya bocor. Yang satu ini sering luput dari perhatian karena bukan bug, melainkan konfigurasi yang salah kelola, jadi tidak akan muncul di laporan vulnerability scanner biasa.

Begitu masuk, penyerang menanam SPECTRE: implant lintas platform yang ditulis dalam bahasa C, mendukung 45 perintah di Windows dan 29 di Linux. Setelah itu taktiknya bercabang tergantung sistem operasi target.

Dari semuanya, BYOVD yang paling merepotkan. Cara kerjanya begini: penyerang membawa sendiri driver yang punya celah. Driver-nya asli, bertanda tangan digital sah, dan karena itu diterima Windows tanpa curiga. Lewat celah di driver tersebut mereka dapat akses baca-tulis ke memori kernel, lalu satu per satu melepas callback yang dipakai EDR untuk memantau pembuatan proses dan pemuatan image. Hasilnya, EDR masih terlihat aktif di daftar proses, tapi sudah tidak melihat apa-apa. Talos mencatat SPECTRE menyimpan offset untuk 13 versi Windows berbeda supaya trik ini jalan di mana saja.

Kenapa Serangan Ini Berbahaya buat Bisnis?

Yang membedakan model serangan ini adalah skalanya. Dulu operasi peretasan yang mendalam butuh operator ahli dan waktu panjang, jadi penyerang harus pilih-pilih target. Sekarang satu operator dibantu tool otomatis bisa menyaring dan menggarap puluhan ribu server secara paralel. Server yang selama ini aman karena dianggap tidak menarik jadi ikut kena, semata-mata karena namanya muncul di hasil scanning.

Dari sisi dampak, aktivitas pasca-kompromi UAT-10147 berfokus pada pencurian kredensial dan pemasangan BadIIS, modul IIS jahat yang membuat server Anda menyajikan konten berbeda tergantung siapa yang mengakses. Kalau yang datang crawler mesin pencari, server bertindak sebagai reverse proxy dan menyuguhkan konten situs judi atau situs ilegal lain dari server penyerang. Pengunjung biasa tetap melihat halaman normal, sehingga pemilik situs sering baru sadar setelah peringkatnya terlanjur hancur. Selain BadIIS, Talos juga menemukan NoodleRAT, QuasarRAT yang menyamar sebagai svchosts.exe, Gh0stCringe, dan Meterpreter di server korban.

Kerugiannya nyata. Selain risiko kebocoran data pelanggan, reputasi domain di mata mesin pencari bisa jatuh dan halaman Anda berpotensi di-deindex atau ditandai sebagai situs yang diretas di hasil pencarian. Kabar baiknya, ini bukan vonis permanen: setelah server dibersihkan, Anda bisa mengajukan reconsideration request ke Google untuk memulihkan status domain, meski trafik organik biasanya butuh waktu untuk kembali seperti semula.

Satu hal yang perlu diluruskan: blacklist mesin pencari tidak membuat email perusahaan ikut mati. Layanan email terganggu kalau IP atau domain Anda masuk blocklist spam seperti RBL, dan itu mekanisme yang sama sekali berbeda. Server yang diretas memang bisa kena keduanya sekaligus, misalnya ketika ikut dipakai mengirim spam, tapi masing-masing perlu ditangani lewat jalur yang berbeda.

Cara Mengamankan Server dari Serangan UAT-10147

Karena penyerang sanggup melumpuhkan proteksi dari dalam kernel, mengandalkan antivirus saja jelas tidak cukup. Beberapa langkah berikut bisa langsung Anda kerjakan:

1. Patch aplikasi yang terekspos publik. Daftar 170.000 URL itu berawal dari scanning massal terhadap celah yang patch-nya sudah lama tersedia. Prioritaskan Zimbra, Telerik UI, Nacos, dan aplikasi ASP.NET lama. Khusus ASP.NET, pastikan MachineKey tidak pernah bocor ke publik dan lakukan rotasi kalau Anda ragu.
2. Blokir driver bermasalah. Terapkan Windows Defender Application Control (WDAC) atau aktifkan Microsoft Vulnerable Driver Blocklist supaya driver seperti RTCore64.sys dan DBUtil_2_3.sys tidak bisa dimuat. Langkah ini memotong akses penyerang ke kernel sebelum EDR sempat dilumpuhkan.
3. Audit exclusion list Windows Defender. Ini jejak yang paling gampang dicek. UAT-10147 menambahkan folder System32\inetsrv dan SysWOW64\inetsrv ke daftar pengecualian lewat PowerShell dan Registry. Kalau ada exclusion yang tidak pernah Anda buat sendiri, anggap itu tanda bahaya.
4. Periksa akun dan scheduled task. Cari akun lokal baru di grup Administrators dan Remote Desktop Users, serta scheduled task yang menyamar dengan nama meyakinkan. Pada kampanye ini Talos menemukan task bernama "Google Chrome Start".
5. Pantau pemuatan modul kernel di Linux. Awasi event pemuatan modul lewat dmesg atau syslog, dan curigai modul yang namanya mirip driver bawaan sistem. Di kasus ini rootkit-nya menyamar sebagai acpi_pad.ko. Trik praktisnya: bandingkan output lsmod dengan isi /proc/modules dan /sys/module. Kalau ketiganya tidak sinkron, itu justru petunjuk kuat adanya rootkit yang sedang menyembunyikan diri.
6. Sisir modul dan web shell di IIS. Cek daftar native module serta handler yang terdaftar di IIS, dan cari file .ashx asing di webroot. Talos menemukan nama seperti up.ashx dan sss.ashx. Di log IIS, perhatikan juga user-agent tidak wajar. BadIIS pada keluarga ini tercatat memakai string lwxatisme.
7. Manfaatkan deteksi yang sudah dirilis. Talos menerbitkan signature ClamAV dan rule Snort dengan SID 1:66696 dan 1:66697 untuk kampanye ini. Kalau Anda menjalankan IDS/IPS sendiri, pastikan rule-nya sudah diperbarui.

Kalau Anda curiga server sudah terinfeksi, jangan buru-buru reboot. Isolasi dulu dari jaringan, ambil memory dump untuk kebutuhan forensik, dan hindari login ke server terdampak memakai akun Domain Admin supaya token sesinya tidak ikut dicuri. Reboot menghapus bukti yang hanya ada di memori, dan pada kasus rootkit kernel justru sering menghidupkan kembali persistence yang sudah ditanam penyerang.

FAQ: Ancaman Siber UAT-10147

Apa itu SPECTRE dalam konteks serangan UAT-10147?

SPECTRE adalah backdoor lintas platform buatan UAT-10147, ditulis dalam bahasa C, dan berjalan di Windows maupun Linux. Fungsinya mencuri kredensial, melakukan process injection, mematikan EDR, sekaligus menjadi pengantar rootkit "Specter" di server Linux. Jangan tertukar dengan Spectre celah CPU (CVE-2017-5753 dan CVE-2017-5715) yang ramai pada 2018. Namanya kebetulan mirip, tapi isunya sama sekali berbeda.

Apakah antivirus atau EDR standar mampu mendeteksi serangan ini?

Di tahap awal, bisa. Eksploitasi celah web dan penanaman web shell umumnya masih terdeteksi, dan Talos sudah menerbitkan signature ClamAV serta rule Snort untuk kampanye ini. Masalahnya ada di tahap lanjutan: begitu penyerang berhasil memuat driver rentan dan melepas callback EDR dari kernel, agen keamanan di server itu praktis buta. Karena itu patch dan deteksi di sisi jaringan tetap jadi lapis pertahanan yang paling menentukan.

Bagaimana AI membantu kelompok peretas ini?

Terutama di tahap setelah mereka berhasil masuk. Mereka memakai tool seperti PentestGPT dan DeepAudit untuk menemukan dan memvalidasi celah, lalu AI untuk menyusun playbook, membuat script otomatisasi, dan membantu pengembangan malware-nya. Perlu dicatat, laporan Talos tidak menggambarkan AI yang bergerak sepenuhnya otonom. Yang terjadi adalah operator manusia yang jauh lebih produktif karena sebagian pekerjaan teknisnya bisa didelegasikan.

Apa dampaknya kalau server terinfeksi BadIIS?

Server Anda dipakai diam-diam untuk mendongkrak peringkat situs ilegal. Karena konten jahatnya hanya disajikan ke crawler mesin pencari, gejalanya baru terasa saat peringkat turun, muncul halaman aneh di hasil pencarian, atau browser mulai menampilkan peringatan ke pengunjung. Di luar itu, server yang sama biasanya sudah lebih dulu dipakai untuk mencuri kredensial.

Apakah Indonesia termasuk target?

Laporan Talos menyebut korban yang teridentifikasi berada di Brasil, Bolivia, Cina, Kanada, dan Vietnam, dan tidak menyebut Indonesia secara khusus. Tapi daftar 170.000 URL itu dihimpun dari scanning massal, bukan dari pemilihan target satu per satu. Artinya server publik mana pun yang menjalankan aplikasi rentan berpeluang masuk daftar, termasuk yang ada di Indonesia.

Menghadapi Era Peretasan Berbasis Mesin

Yang ditunjukkan UAT-10147 sebenarnya bukan teknik baru. Celah yang mereka pakai sudah lama, trik malware-nya sudah dikenal, dan SEO fraud jauh dari kata orisinal. Yang berubah adalah biaya untuk menjalankan semua itu dalam skala besar, dan AI menekan biaya tersebut secara drastis. Dulu penyerang harus memilih antara serangan massal yang dangkal atau serangan mendalam ke sedikit target. Sekarang keduanya bisa dijalankan sekaligus.

Konsekuensinya sederhana: server yang selama ini selamat karena dianggap tidak menarik tidak bisa lagi mengandalkan alasan itu. Audit sekarang juga aplikasi yang menghadap langsung ke internet, pastikan patch-nya mutakhir, kunci kemampuan memuat driver di level kernel, dan tinjau ulang penempatan server supaya kalau satu jebol, penyerang tidak otomatis bisa bergerak ke seluruh jaringan.