Кампания CL-UNK-1211 атакует Linux-серверы госструктур с помощью SysGoRAT и ИИ-скриптов

Злоумышленники проводили разведку, сохраняли долгосрочный доступ к сетям и пытались выгрузить чувствительные базы данных. Также они пытались вынести почтовые ящики госслужащих, чтобы найти среди писем аккаунты в социальных сетях.

Для работы использовались открытые инструменты, собственные кроссплатформенные бэкдоры и PHP-веб-шеллы. Атакующие также пытались отключить средства защиты конечных точек, очищать системные журналы и оставляли ложные маркеры red team, чтобы выдать активность за легитимную проверку безопасности.

Вредоносная программа SysGoRAT

Ключевой инструмент кампании, SysGoRAT, троян удалённого доступа на Go, который работает на Windows и Linux и поддерживает несколько методов закрепления в системе. Он устанавливает соединение с управляющим сервером по WebSocket, по жёстко заданному IP-адресу. По данным исследователей, с сервера трояну поступает семь типов команд.

Кроме того, атакующие использовали reverse shell в памяти, чтобы не оставлять следов на диске. Для поиска писем с соцсетями они применяли PHP-скрипт search_social.php, который искал ключевые слова в заголовках писем и выводил путь к файлу, отправителя, получателя и тему.

Роль ИИ в атаке

Часть скриптов, по оценке Unit 42, создана с помощью больших языковых моделей или автоматизированных ИИ-агентов. Об этом свидетельствуют пояснительные комментарии в коде, которые объясняют логику работы кода оператору, давшему первичные инструкции. Скрипт zip_mails.sh, предназначенный для упаковки писем в ZIP-архивы, не сработал из-за синтаксических ошибок.

Исследователи отмечают, что ИИ помогал быстро генерировать и адаптировать скрипты, что позволяло атакующим работать быстрее и тратить меньше ручных усилий разработчиков. Похожие случаи злоупотреблений открытыми фреймворками для автономного тестирования на проникновение, такими как ARTEX, PentAGI, Hexstrike и CAIRN, описали Google Threat Intelligence Group, Mandiant и Microsoft.