La Unidad 42 de Palo Alto Networks ha revelado detalles de una campaña de ciberespionaje dirigida contra infraestructura Linux asociada a entidades gubernamentales y organizaciones afiliadas a Estados. La actividad, rastreada como CL-UNK-1211, fue observada entre octubre de 2025 y abril de 2026. La designación hace referencia a un grupo no identificado y a una motivación desconocida.

Los investigadores afirmaron que los atacantes se centraron en sistemas Linux para realizar reconocimiento, mantener el acceso persistente y respaldar operaciones de recopilación de inteligencia. Entre sus objetivos declarados se encontraban volcar bases de datos sensibles y extraer buzones de correo gubernamentales en busca de información vinculada a cuentas de redes sociales.

La campaña combinó utilidades de código abierto, puertas traseras multiplataforma personalizadas y web shells de PHP. Los atacantes también intentaron desactivar las protecciones de los endpoints, eliminar los registros del sistema y dejar marcas que pudieran hacer que la actividad pareciera formar parte de una evaluación legítima de red team.

La Unidad 42 identificó scripts maliciosos de PHP y shell que podrían haber sido generados con modelos de lenguaje de gran tamaño o agentes de IA automatizados. Varios scripts contenían notas de razonamiento conversacional paso a paso en lugar de comentarios convencionales de desarrolladores, lo que sugiere que el código pudo haber sido copiado de una respuesta generada por IA o producido por un agente automatizado.

La operación empleó múltiples técnicas para recopilar credenciales. Estas incluían reemplazar el archivo .bashrc por una versión maliciosa diseñada para robar contraseñas, inyectar código en páginas de inicio de sesión PHP para capturar credenciales de administradores y buscar contraseñas de correo electrónico, SMTP y bases de datos almacenadas en texto plano en archivos de configuración y de historial de comandos.

Un componente clave fue SysGoRAT, un troyano de acceso remoto personalizado escrito en Go para Windows y Linux. Se conecta a una dirección de comando y control codificada mediante WebSocket y permite ejecutar comandos arbitrarios, utilizar shells interactivos, tomar capturas de pantalla, extraer archivos e instalar mecanismos de persistencia. Sus otras funciones incluyen listar directorios, establecer conexiones proxy y retransmitir datos bidireccionalmente.

Los atacantes también utilizaron shells inversas en memoria para reducir los rastros forenses en el disco. Enumeraron los directorios /var/qmail/mailnames/ para contar los mensajes de carpetas específicas y desplegaron un script PHP llamado search_social.php para buscar en las cabeceras de los correos términos relacionados con las redes sociales. La herramienta mostraba las rutas de los archivos, los remitentes, los destinatarios y los asuntos asociados con los mensajes coincidentes.

Otro script, zip_mails.sh, aparentemente estaba destinado a comprimir correos electrónicos seleccionados en archivos ZIP para su extracción. La Unidad 42 afirmó que los errores de sintaxis impidieron que el script se ejecutara correctamente.

Los hallazgos se publicaron junto con informes del Google Threat Intelligence Group, Mandiant y Microsoft sobre el uso indebido de marcos de pruebas de penetración agénticas de código abierto, incluidos ARTEX, PentAGI, Hexstrike y CAIRN. Estas herramientas se han vinculado a operaciones de reconocimiento, análisis de vulnerabilidades y robo de datos realizadas por actores patrocinados por Estados y motivados financieramente.

Según las empresas de seguridad, estos marcos pueden acelerar los ataques hasta alcanzar la velocidad de las máquinas, aunque su actividad automatizada puede sacrificar el sigilo al generar tráfico reconocible y rastros a nivel de código que pueden facilitar la detección y la mitigación.

Fuentes: The Hacker News.