Onderzoekers melden cyberaanvallen op Linux-infrastructuur van overheden met AI-gegenereerde malware en SysGoRAT trojan.
Cybersecurityonderzoekers hebben een cyberspionagecampagne blootgelegd die zich specifiek richt op Linux-infrastructuur van overheidsinstanties en aan de staat gelieerde netwerken. De campagne, die tussen oktober 2025 en april 2026 werd waargenomen door Palo Alto Networks Unit 42, staat bekend onder de naam CL-UNK-1211, waarbij "CL" verwijst naar cluster en "UNK" naar onbekende motivatie.
Een opvallend kenmerk van deze campagne is het gebruik van grote taalmodellen (LLM's) en/of geautomatiseerde kunstmatige intelligentie (AI)-agenten om payloads te genereren en kwaadaardige code uit te voeren. Volgens onderzoekers Roey Porat en Tom Fakterman richtten de aanvallers zich op Linux-omgevingen om uitgebreid verkenningswerk uit te voeren en langdurige netwerktoegang te behouden voor het verzamelen van inlichtingen. Daarbij probeerden zij gevoelige databases te dumpen en overheidsmailboxen te exfiltreren om toegang te krijgen tot socialmediaprofielen, aldus de onderzoekers.
De campagne maakt gebruik van een veelzijdige tactiek, waarbij open source tools, aangepaste cross-platform backdoors en web shells worden ingezet om toegang te behouden. De aanvallers proberen ook endpointbescherming uit te schakelen, systeemlogs te wissen en valse rode-teammarkeringen te plaatsen om hun activiteiten te maskeren als legitieme beveiligingsbeoordelingen. Kwaadaardige PHP- en shellscripts, vermoedelijk gegenereerd met AI, worden ingezet voor persistente toegang, verkenning en datadiefstal. Deze scripts bevatten vaak conversatienotities met stapsgewijze uitleg van de code, wat erop wijst dat ze direct uit AI-promptoutput afkomstig zijn of door een geautomatiseerde AI-agent zijn ingezet.
Voor het verkrijgen van credentials gebruiken de aanvallers drie methoden: het vervangen van het .bashrc-bestand door een kwaadaardige versie die wachtwoorden steelt, het injecteren van code in PHP-loginpagina's om admin-gegevens te oogsten, en het scannen van configuratie- en commandohistoriebestanden op wachtwoorden in platte tekst. Daarnaast is een op maat gemaakte, multi-platform remote access trojan genaamd SysGoRAT ingezet, geschreven in Go. Deze trojan ondersteunt diverse methoden voor persistente toegang op zowel Windows- als Linux-systemen en communiceert via een WebSocket-verbinding met een hard-coded IP-adres. SysGoRAT kan verschillende commando's uitvoeren, waaronder het starten van interactieve shells, het maken van screenshots, het exfiltreren van bestanden en het opzetten van proxyverbindingen.
De aanvallers maken ook gebruik van in-memory reverse shells om sporen op schijf te vermijden en scannen specifieke directories om het aantal opgeslagen e-mails te bepalen. Vervolgens zoeken zij gericht naar e-mails gerelateerd aan social media, waarbij een PHP-script genaamd search_social.php wordt ingezet om specifieke zoekwoorden in e-mailheaders te vinden en de resultaten overzichtelijk weer te geven. Dit alles wijst op een geavanceerde en goed georganiseerde campagne gericht op langdurige toegang en het verzamelen van gevoelige informatie binnen overheidsnetwerken.
