SPECTRE trasforma un server compromesso in una fonte di reddito
Per UAT-10147, un server IIS o Linux non serve solo per entrare: serve per restare dentro e monetizzare l’accesso. Talos descrive SPECTRE come un implant cross-platform che unisce furto di credenziali, persistenza e neutralizzazione dell’EDR a livello kernel, così il foothold può sopravvivere anche dopo una risposta di contenimento che sembra chiudere l’incidente.
Il meccanismo è quello di un controllo che scende sotto il sistema operativo. Un driver legittimo viene abusato per aggirare la protezione, poi un rootkit Linux nasconde l’attività dell’attaccante sotto la superficie che l’EDR dovrebbe osservare. Il risultato è un server che può continuare a servire accessi, SEO fraud e movimento laterale mentre gli strumenti difensivi risultano ciechi o disattivati.
Per chi gestisce server esposti a Internet, il punto non è solo la compromissione iniziale. Se un operatore ottiene un appiglio in kernel e ruba credenziali, un riavvio pulito o una verifica rapida dell’alerting possono non bastare a escludere che il controllo resti attivo e riutilizzabile.