Unit 42 von Palo Alto Networks hat Details zu einer Cyber-Spionagekampagne veröffentlicht, die sich gegen Linux-Infrastrukturen richtete, die mit Regierungsstellen und staatsnahen Organisationen verbunden sind. Die Aktivitäten wurden als CL-UNK-1211 verfolgt und zwischen Oktober 2025 und April 2026 beobachtet. Die Bezeichnung bezieht sich auf einen nicht identifizierten Cluster und eine unbekannte Motivation.
Die Forscher erklärten, dass sich die Angreifer auf Linux-Systeme konzentrierten, um Aufklärungsmaßnahmen durchzuführen, dauerhaften Zugriff aufrechtzuerhalten und Operationen zur Informationsbeschaffung zu unterstützen. Zu den gemeldeten Zielen gehörten das Auslesen sensibler Datenbanken und die Exfiltration staatlicher Postfächer auf der Suche nach Informationen, die mit Konten in sozialen Medien in Verbindung stehen.
Die Kampagne kombinierte Open-Source-Dienstprogramme, maßgeschneiderte plattformübergreifende Backdoors und PHP-Webshells. Die Angreifer versuchten außerdem, den Schutz von Endpunkten zu deaktivieren, Systemprotokolle zu löschen und Spuren zu hinterlassen, die die Aktivitäten wie einen legitimen Red-Team-Test erscheinen lassen könnten.
Unit 42 identifizierte bösartige PHP- und Shell-Skripte, die möglicherweise mit großen Sprachmodellen oder automatisierten KI-Agenten erstellt wurden. Mehrere Skripte enthielten dialogartige, schrittweise Notizen zum logischen Vorgehen statt herkömmlicher Kommentare von Entwicklern. Dies deutet darauf hin, dass der Code möglicherweise aus einer von einer KI generierten Antwort kopiert oder von einem automatisierten Agenten erzeugt wurde.
Bei der Operation kamen mehrere Techniken zur Sammlung von Zugangsdaten zum Einsatz. Dazu gehörten das Ersetzen der Datei .bashrc durch eine bösartige Version zum Diebstahl von Passwörtern, das Einschleusen von Code in PHP-Anmeldeseiten zum Abfangen von Administratorzugangsdaten sowie die Suche in Konfigurations- und Befehlsverlaufsdateien nach unverschlüsselten Passwörtern für E-Mail-, SMTP- und Datenbankzugänge.
Eine zentrale Komponente war SysGoRAT, ein maßgeschneiderter Remote-Access-Trojaner, der in Go für Windows und Linux geschrieben wurde. Er verbindet sich über WebSocket mit einer fest kodierten Command-and-Control-Adresse und unterstützt die Ausführung beliebiger Befehle, interaktive Shells, Screenshots, die Exfiltration von Dateien und die Einrichtung von Persistenz. Zu seinen weiteren Funktionen gehören das Auflisten von Verzeichnissen, Proxy-Verbindungen und die bidirektionale Weiterleitung von Daten.
Die Angreifer verwendeten außerdem Reverse Shells im Arbeitsspeicher, um forensische Spuren auf der Festplatte zu reduzieren. Sie ermittelten die Verzeichnisse unter /var/qmail/mailnames/, um die Anzahl der Nachrichten in bestimmten Ordnern zu zählen, und setzten ein PHP-Skript namens search_social.php ein, um E-Mail-Header nach Begriffen im Zusammenhang mit sozialen Medien zu durchsuchen. Das Tool zeigte Dateipfade, Absender, Empfänger und Betreffzeilen der Nachrichten an, die passende Treffer enthielten.
Ein weiteres Skript, zip_mails.sh, war offenbar dazu gedacht, ausgewählte E-Mails in ZIP-Archive zu komprimieren, um sie zu exfiltrieren. Unit 42 erklärte, dass Syntaxfehler die erfolgreiche Ausführung des Skripts verhinderten.
Die Ergebnisse wurden zusammen mit Berichten der Google Threat Intelligence Group, von Mandiant und Microsoft über den Missbrauch quelloffener agentischer Penetrationstest-Frameworks veröffentlicht, darunter ARTEX, PentAGI, Hexstrike und CAIRN. Diese Tools wurden von staatlich unterstützten und finanziell motivierten Akteuren mit Aufklärungsmaßnahmen, Schwachstellen-Scans und Datendiebstahloperationen in Verbindung gebracht.
Den Sicherheitsunternehmen zufolge können solche Frameworks Angriffe auf Maschinengeschwindigkeit beschleunigen. Ihre automatisierten Aktivitäten könnten jedoch die Tarnung beeinträchtigen, da sie erkennbare Datenverkehrsmuster und Spuren auf Codeebene erzeugen, die die Erkennung und Eindämmung erleichtern können.
Quellen: The Hacker News.