Хакеры атаковали государственные Linux-серверы с помощью SysGoRAT и скриптов, предположительно созданных ИИ

Исследователи Palo Alto Networks Unit 42 раскрыли детали кибершпионской кампании CL-UNK-1211, нацеленной на Linux-инфраструктуру государственных организаций и аффилированных с государством объектов. Активность наблюдали с октября 2025 года по апрель 2026-го.

Операторы кампании использовали открытые инструменты, собственные кроссплатформенные бэкдоры и веб-шеллы. По оценке Unit 42, их целью были разведка в скомпрометированных сетях, долговременное сохранение доступа и сбор данных. Среди действий исследователи называют попытки выгрузить чувствительные базы данных и содержимое государственных почтовых ящиков, чтобы получить доступ к аккаунтам в социальных сетях.

В атаках применялся SysGoRAT — написанный на Go троян удалённого доступа для Windows и Linux. Он связывается с управляющим сервером по WebSocket и может выполнять команды, запускать интерактивную оболочку, делать снимки экрана, передавать файлы, просматривать каталоги и создавать TCP-прокси. Для закрепления в инфраструктуре также использовалась смесь готовых и специально созданных PHP-веб-шеллов.

Злоумышленники собирали пароли несколькими способами: подменяли файл .bashrc версией с командой для кражи паролей, внедряли код в PHP-страницы входа для перехвата учётных данных администраторов, а также искали открыто хранящиеся пароли от почты, SMTP и баз данных в конфигурационных файлах и истории команд. Кроме того, они использовали обратные оболочки, работающие в памяти, чтобы не оставлять файловых следов, и изучали каталоги почтового сервера qmail.

Отдельная особенность кампании — вредоносные PHP- и shell-скрипты, которые, по оценке Unit 42, могли быть сгенерированы языковыми моделями или автоматизированными ИИ-агентами. В нескольких файлах исследователи обнаружили пошаговые пояснения к логике кода, написанные в разговорной форме. Такие комментарии могут означать, что скрипты скопировали непосредственно из ответа ИИ либо развернули через автоматизированного агента, однако это не является окончательным доказательством способа их создания.

Один из скриптов искал письма по ключевым словам, связанным с соцсетями, и выводил путь к файлу, отправителя, получателя и тему сообщения. Другой, zip_mails.sh, должен был архивировать интересующие письма для последующей выгрузки, но из-за синтаксических ошибок не запускался.

Для маскировки активности атакующие пытались отключать защитные средства на конечных устройствах, очищать системные журналы и оставлять маркеры, которые должны были выдать вторжение за легитимную проверку безопасности. Unit 42 считает, что сочетание привычных техник постэксплуатации с ИИ-инструментами позволяло операторам быстрее создавать и адаптировать рабочие скрипты.