Unit 42 di Palo Alto Networks ha divulgato i dettagli di una campagna di cyber-spionaggio mirata all’infrastruttura Linux associata a enti governativi e organizzazioni affiliate allo Stato. L’attività, monitorata come CL-UNK-1211, è stata osservata tra ottobre 2025 e aprile 2026. La denominazione si riferisce a un cluster non identificato e a motivazioni sconosciute.
I ricercatori hanno affermato che gli aggressori si sono concentrati sui sistemi Linux per effettuare attività di ricognizione, mantenere l’accesso persistente e supportare operazioni di raccolta di informazioni. Tra gli obiettivi segnalati vi erano l’estrazione di database sensibili e l’esfiltrazione di caselle di posta governative alla ricerca di informazioni collegate ad account sui social media.
La campagna ha combinato utilità open source, backdoor personalizzate multipiattaforma e web shell PHP. Gli aggressori hanno inoltre tentato di disabilitare le protezioni degli endpoint, eliminare i log di sistema e lasciare indicatori che potessero far apparire l’attività come parte di una legittima valutazione red team.
Unit 42 ha identificato script PHP e shell dannosi che potrebbero essere stati generati da modelli linguistici di grandi dimensioni o da agenti automatizzati di IA. Diversi script contenevano note di ragionamento conversazionali e dettagliate, passo dopo passo, invece dei tradizionali commenti degli sviluppatori, suggerendo che il codice potrebbe essere stato copiato da una risposta generata dall’IA o prodotto da un agente automatizzato.
L’operazione ha utilizzato molteplici tecniche per raccogliere le credenziali. Tra queste figuravano la sostituzione del file .bashrc con una versione dannosa progettata per rubare le password, l’iniezione di codice nelle pagine di accesso PHP per acquisire le credenziali degli amministratori e la ricerca nei file di configurazione e nella cronologia dei comandi di password in chiaro per email, SMTP e database.
Un componente chiave era SysGoRAT, un trojan ad accesso remoto personalizzato scritto in Go per Windows e Linux. Si connette a un indirizzo di comando e controllo codificato nel malware tramite WebSocket e supporta l’esecuzione arbitraria di comandi, shell interattive, screenshot, esfiltrazione di file e installazione della persistenza. Le sue altre funzioni includono l’elenco delle directory, le connessioni proxy e il relay bidirezionale dei dati.
Gli aggressori hanno inoltre utilizzato reverse shell in memoria per ridurre le tracce forensi sul disco. Hanno enumerato le directory /var/qmail/mailnames/ per contare i messaggi presenti in cartelle specifiche e distribuito uno script PHP chiamato search_social.php per cercare nei titoli delle email termini relativi ai social media. Lo strumento mostrava i percorsi dei file, i mittenti, i destinatari e gli oggetti associati ai messaggi corrispondenti.
Un altro script, zip_mails.sh, era apparentemente destinato a comprimere email selezionate in archivi ZIP per l’esfiltrazione. Unit 42 ha affermato che errori di sintassi hanno impedito allo script di funzionare correttamente.
I risultati sono stati pubblicati insieme alle segnalazioni di Google Threat Intelligence Group, Mandiant e Microsoft sull’uso improprio di framework open source agentici per i penetration test, tra cui ARTEX, PentAGI, Hexstrike e CAIRN. Questi strumenti sono stati collegati ad attività di ricognizione, scansione delle vulnerabilità e furto di dati da parte di attori sponsorizzati dallo Stato e motivati finanziariamente.
Secondo le aziende di sicurezza, tali framework possono accelerare gli attacchi fino alla velocità delle macchine, sebbene la loro attività automatizzata possa sacrificare la furtività generando traffico riconoscibile e tracce a livello di codice che possono agevolare il rilevamento e la mitigazione.
Fonti: The Hacker News.