Исследователи в области кибербезопасности раскрыли подробности кампании кибершпионажа, направленной на Linux-инфраструктуру, связанную с государственными структурами и организациями, аффилированными с государством. Активность, наблюдавшаяся Unit 42 компании Palo Alto Networks с октября 2025 по апрель 2026 года, отслеживается под кодовым названием CL-UNK-1211, где “CL” означает кластер, а “UNK” — неизвестный мотив.
Особый аспект кампании заключается в использовании больших языковых моделей (LLM) и/или автоматизированных агентов искусственного интеллекта (AI) для генерации полезных нагрузок и выполнения вредоносного кода.
«Злоумышленники, стоящие за этим кластером активности, сосредоточились на Linux-средах для проведения обширной разведки и поддержания постоянного сетевого доступа в целях сбора разведывательной информации», — заявили исследователи Роэй Порат и Том Фактерман. «Злоумышленники пытались извлечь конфиденциальные базы данных и эксфильтровать правительственные почтовые ящики для доступа к учетным записям в социальных сетях».
Кампания использует «универсальный операционный план», задействуя комбинацию инструментов с открытым исходным кодом, пользовательских кроссплатформенных бэкдоров и веб-оболочек для поддержания доступа. Еще одной отличительной чертой являются попытки отключить средства защиты конечных точек, стереть системные журналы и разместить обманчивые маркеры красной команды, чтобы замаскировать активность под законную оценку безопасности.
Также наблюдалось использование вредоносных PHP- и shell-скриптов, вероятно, сгенерированных с помощью ИИ, для поддержания персистентности, проведения разведки и эксфильтрации данных.
«Вместо стандартной документации для разработчиков, несколько скриптов содержали диалоговые примечания с пошаговым обоснованием. Эти примечания объясняли логику кода оператору, который предоставлял первоначальные инструкции», — сообщила компания по кибербезопасности. «Их наличие предполагает, что код был либо скопирован непосредственно из вывода промпта ИИ, либо развернут автоматизированным агентом ИИ».
В качестве способа поддержания постоянного бэкдора в целевые сети используется комбинация веб-оболочек PHP с открытым исходным кодом и пользовательских. Затем этот доступ используется для сбора учетных данных из целевой среды тремя различными методами.
В рамках атак также развернут пользовательский кроссплатформенный троян удаленного доступа, написанный на Go, который поддерживает различные методы персистентности для обеспечения долгосрочного доступа к системам Windows и Linux. Называемый SysGoRAT, он устанавливает соединение командно-контрольного центра (C2) через WebSocket с жестко закодированным IP-адресом («104.194.158[.]65:443») и получает семь типов команд.
Кроме того, в атаках используются инъекционные обратные оболочки для предотвращения оставления криминалистических артефактов на диске, а также для перечисления каталогов «/var/qmail/mailnames/» с целью подсчета количества писем, хранящихся в определенных папках.
«Далее злоумышленники искали электронные письма, связанные с социальными сетями», — пояснили в Unit 42. «Они развернули PHP-скрипт под названием search_social.php, который искал определенные ключевые слова в заголовках электронной почты и отображал результаты в удобном для пользователя формате».
«Затем скрипт анализировал ответ и отображал точный путь к файлу, отправителя электронной почты, связанной с социальной сетью, получателя и тему».
Также было обнаружено, что злоумышленники пытались сгенерировать bash-скрипт под названием «zip_mails.sh» с целью сжатия интересующих их электронных писем в ZIP-архивы и эксфильтрации информации. Однако синтаксические ошибки в скрипте привели к сбою программы при выполнении.
«Эта кампания демонстрирует, как злоумышленники сочетают традиционные методы пост-эксплуатации с ускоренными с помощью ИИ рабочими процессами для нацеливания на правительственную Linux-серверную инфраструктуру», — заявили в Unit 42. «Используя ИИ для быстрой генерации, адаптации и развертывания операционных скриптов, злоумышленники, стоящие за CL-UNK-1211, поддерживали высокий темп операций, минимизируя ручные затраты на разработку».
Это происходит на фоне того, как Google Threat Intelligence Group (GTIG) и Mandiant, наряду с Microsoft, задокументировали злоупотребление злоумышленниками фреймворками для тестирования на проникновение с открытым исходным кодом, такими как ARTEX, PentAGI, Hexstrike и CAIRN, для выполнения «широкого спектра действий» на различных этапах жизненного цикла атаки с беспрецедентной скоростью и масштабом.
Хотя ARTEX был удален автором после сообщений о его широком злоупотреблении, он породил несколько версий, включая коммерческое предложение под названием ARTEX PRO и локализованный вариант ScopeWeaver.
Некоторые из случаев перечислены ниже:
«Появление ARTEX и аналогичных фреймворков для наступательных вторжений подчеркивает более широкую тенденцию к принятию злоумышленниками многоагентных фреймворков с открытым исходным кодом, а также потенциально пользовательских агентских оболочек», — заявили GTIG и Mandiant.
«Фреймворки, такие как ARTEX, сжимают временные рамки атаки до скорости машины; однако в настоящее время они жертвуют скрытностью ради скорости. Неограниченное автономное выполнение генерирует криминалистический трафик, полагается на узнаваемые идентификаторы и оставляет явные следы на уровне кода, увеличивая вероятность обнаружения и смягчения последствий».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
