A Unit 42 da Palo Alto Networks divulgou detalhes de uma campanha de ciberespionagem que tinha como alvo uma infraestrutura Linux associada a entidades governamentais e organizações afiliadas ao Estado. A atividade, rastreada como CL-UNK-1211, foi observada entre outubro de 2025 e abril de 2026. A designação refere-se a um grupo não identificado e a uma motivação desconhecida.
Os pesquisadores afirmaram que os invasores se concentraram em sistemas Linux para realizar reconhecimento, manter acesso persistente e apoiar operações de coleta de inteligência. Entre os objetivos relatados estavam extrair bancos de dados sensíveis e exfiltrar caixas de correio governamentais em busca de informações vinculadas a contas de redes sociais.
A campanha combinou utilitários de código aberto, backdoors multiplataforma personalizados e web shells em PHP. Os invasores também tentaram desativar as proteções de endpoints, excluir logs do sistema e deixar marcadores que poderiam fazer com que a atividade parecesse parte de uma avaliação legítima de red team.
A Unit 42 identificou scripts maliciosos em PHP e shell que podem ter sido gerados com grandes modelos de linguagem ou agentes automatizados de IA. Vários scripts continham notas de raciocínio conversacional, passo a passo, em vez de comentários convencionais de desenvolvedores, sugerindo que o código pode ter sido copiado de uma resposta gerada por IA ou produzido por um agente automatizado.
A operação utilizou várias técnicas para coletar credenciais. Entre elas estavam substituir o arquivo .bashrc por uma versão maliciosa projetada para roubar senhas, injetar código em páginas de login em PHP para capturar credenciais de administradores e procurar senhas de e-mail, SMTP e bancos de dados em texto simples em arquivos de configuração e de histórico de comandos.
Um componente fundamental foi o SysGoRAT, um trojan de acesso remoto personalizado escrito em Go para Windows e Linux. Ele se conecta a um endereço de comando e controle codificado diretamente no programa por WebSocket e oferece suporte à execução arbitrária de comandos, shells interativos, capturas de tela, exfiltração de arquivos e instalação de persistência. Suas outras funções incluem listagem de diretórios, conexões de proxy e retransmissão bidirecional de dados.
Os invasores também utilizaram shells reversos em memória para reduzir os vestígios forenses no disco. Eles enumeraram os diretórios /var/qmail/mailnames/ para contar mensagens em pastas específicas e implantaram um script PHP chamado search_social.php para procurar, nos cabeçalhos de e-mail, termos relacionados a redes sociais. A ferramenta exibiu caminhos de arquivos, remetentes, destinatários e assuntos associados às mensagens correspondentes.
Outro script, zip_mails.sh, aparentemente tinha como objetivo compactar e-mails selecionados em arquivos ZIP para exfiltração. A Unit 42 afirmou que erros de sintaxe impediram a execução bem-sucedida do script.
As descobertas foram publicadas juntamente com informações do Google Threat Intelligence Group, da Mandiant e da Microsoft sobre o uso indevido de estruturas de teste de penetração agentivas de código aberto, incluindo ARTEX, PentAGI, Hexstrike e CAIRN. Essas ferramentas foram associadas a operações de reconhecimento, varredura de vulnerabilidades e roubo de dados realizadas por agentes patrocinados por Estados e motivados financeiramente.
Segundo as empresas de segurança, essas estruturas podem acelerar os ataques à velocidade das máquinas, embora sua atividade automatizada possa sacrificar a furtividade ao gerar tráfego reconhecível e vestígios no nível do código que podem ajudar na detecção e na mitigação.
Fontes: The Hacker News.