L’unité 42 de Palo Alto Networks a révélé les détails d’une campagne de cyberespionnage ciblant des infrastructures Linux associées à des entités gouvernementales et à des organisations affiliées à des États. L’activité, suivie sous le nom de CL-UNK-1211, a été observée entre octobre 2025 et avril 2026. Cette désignation fait référence à un groupe non identifié et à une motivation inconnue.

Les chercheurs ont déclaré que les attaquants se concentraient sur les systèmes Linux afin d’effectuer des opérations de reconnaissance, de maintenir un accès persistant et de soutenir des activités de collecte de renseignements. Parmi leurs objectifs signalés figuraient l’extraction de bases de données sensibles et l’exfiltration de boîtes aux lettres gouvernementales à la recherche d’informations liées à des comptes de réseaux sociaux.

La campagne combinait des utilitaires open source, des portes dérobées multiplateformes personnalisées et des web shells PHP. Les attaquants ont également tenté de désactiver les protections des terminaux, de supprimer les journaux système et de laisser des marqueurs susceptibles de faire passer l’activité pour une évaluation légitime menée par une équipe red team.

L’unité 42 a identifié des scripts PHP et shell malveillants qui pourraient avoir été générés à l’aide de grands modèles de langage ou d’agents d’IA automatisés. Plusieurs scripts contenaient des notes de raisonnement conversationnelles, étape par étape, plutôt que des commentaires classiques de développeurs, ce qui laisse penser que le code pourrait avoir été copié depuis une réponse générée par une IA ou produit par un agent automatisé.

L’opération a utilisé plusieurs techniques pour recueillir des identifiants. Celles-ci comprenaient le remplacement du fichier .bashrc par une version malveillante conçue pour voler des mots de passe, l’injection de code dans des pages de connexion PHP afin de capturer les identifiants des administrateurs, ainsi que la recherche de mots de passe en clair pour les services de messagerie électronique, SMTP et les bases de données dans les fichiers de configuration et d’historique des commandes.

Un composant clé était SysGoRAT, un cheval de Troie d’accès à distance personnalisé écrit en Go pour Windows et Linux. Il se connecte à une adresse de commande et de contrôle codée en dur via WebSocket et prend en charge l’exécution de commandes arbitraires, les shells interactifs, les captures d’écran, l’exfiltration de fichiers et l’installation de mécanismes de persistance. Ses autres fonctions comprennent la liste des répertoires, les connexions proxy et le relais de données bidirectionnel.

Les attaquants ont également utilisé des shells inversés en mémoire afin de réduire les traces forensiques sur le disque. Ils ont énuméré les répertoires /var/qmail/mailnames/ pour compter les messages dans des dossiers spécifiques et déployé un script PHP appelé search_social.php afin de rechercher dans les en-têtes des e-mails des termes liés aux réseaux sociaux. L’outil affichait les chemins des fichiers, les expéditeurs, les destinataires et les objets associés aux messages correspondants.

Un autre script, zip_mails.sh, semblait destiné à compresser certains e-mails dans des archives ZIP en vue de leur exfiltration. L’unité 42 a déclaré que des erreurs de syntaxe avaient empêché le script de s’exécuter correctement.

Les conclusions ont été publiées parallèlement à des rapports du Google Threat Intelligence Group, de Mandiant et de Microsoft sur l’utilisation abusive de frameworks open source de tests d’intrusion agentiques, notamment ARTEX, PentAGI, Hexstrike et CAIRN. Ces outils ont été associés à des opérations de reconnaissance, d’analyse des vulnérabilités et de vol de données menées par des acteurs soutenus par des États et motivés par des intérêts financiers.

Selon les entreprises de sécurité, de tels frameworks peuvent accélérer les attaques jusqu’à la vitesse des machines, même si leur activité automatisée peut sacrifier la furtivité en générant un trafic reconnaissable et des traces au niveau du code susceptibles de faciliter la détection et l’atténuation.

Sources: The Hacker News.