Un'indagine di Palo Alto Networks Unit 42 rivela una campagna malevola contro server Linux governativi, caratterizzata dall'uso di script generati da intelligenza artificiale per il furto di credenziali e l'instaurazione di accessi persistenti.
Ricercatori di sicurezza hanno scoperto una campagna di attacco informatico mirata a server Linux, presumibilmente appartenenti a enti governativi, che si è protratta per diversi mesi, da ottobre 2025 ad aprile 2026. L'operazione, tracciata da Palo Alto Networks Unit 42 con la sigla CL-UNK-1211, si distingue per l'impiego di script malevoli che mostrano chiari segni di assistenza da parte di modelli linguistici di grandi dimensioni (LLM) e intelligenza artificiale.
L'analisi del codice malevolo, composto da script PHP e shell, ha rivelato la presenza di annotazioni conversazionali e ragionamenti passo-passo tipici dello sviluppo assistito da IA. Questi elementi suggeriscono che gli aggressori abbiano copiato direttamente l'output dei modelli AI nei loro payload o abbiano utilizzato agenti automatizzati per la generazione del codice. La presenza di comandi codificati in Base64, intestazioni di sezione strutturate e l'alternanza tra linguaggi come PHP, JavaScript, Bash e Python supportano questa ipotesi, sebbene non dimostrino un'operatività completamente autonoma dell'IA. È importante notare che l'assistenza dell'IA non ha garantito la piena funzionalità del codice; alcuni script, come quello per la raccolta di email (zip_mails.sh), presentavano errori di sintassi che ne avrebbero impedito l'esecuzione, limitando così le rivendicazioni di successo nel furto di email o nell'intrusione completamente automatizzata.
Gli attaccanti hanno utilizzato una combinazione di web shell personalizzate e disponibili pubblicamente. Una tecnica particolarmente insidiosa impiegata è stata la modifica della configurazione auto_prepend_file di PHP. Questa impostazione, presente in diverse configurazioni sotto le directory /etc/php/ e /opt/plesk/php/, forza l'esecuzione di un file malevolo designato prima di qualsiasi altro script PHP, garantendo così la persistenza dell'attacco attraverso le applicazioni ospitate. Un esempio di tale implant è stato identificato come /usr/lib/php/plesk_sys_driver.php.
La campagna mirava specificamente al furto di credenziali di amministratore. Gli aggressori hanno modificato il file .bashrc per creare un alias fasullo del comando sudo. Questo alias presentava un prompt di password ingannevole, registrava il segreto inserito dall'utente e solo successivamente inoltrava l'input al comando sudo legittimo. I dati rubati venivano salvati in un file denominato Solarwinds.StatusLog.txt, un nome scelto per impersonare attività di routine del software SolarWinds, sebbene non vi siano prove che l'infrastruttura di quest'ultima sia stata compromessa. Ulteriori modifiche alle pagine di login PHP sono state utilizzate per catturare le credenziali degli amministratori. Gli operatori hanno anche scandagliato file di configurazione e cronologie dei comandi alla ricerca di password SMTP, email e database esposte, al fine di facilitare il movimento laterale all'interno della rete.
Il toolkit offensivo includeva SysGoRAT, un Trojan di accesso remoto personalizzato basato su Go, compatibile sia con Linux che con Windows. Questo strumento comunicava tramite WebSockets, con un indirizzo predefinito di 104.194.158[.]65:443, e offriva funzionalità quali l'esecuzione di comandi, l'enumerazione di directory, shell interattive e proxying TCP. Per garantire la persistenza, sono stati sfruttati i servizi systemd e cron su Linux, oltre alle voci di registro e alle attività pianificate su Windows. I binari malevoli venivano mascherati con nomi come sys-control-client, pip2.7, ea_install e semanage. Gli attaccanti hanno inoltre impiegato reverse shell residenti prevalentemente in memoria, utilizzando strumenti come Netcat, Bash e Python, e operando attraverso almeno sette server di comando e controllo (C2) per minimizzare le tracce su disco.
L'attività di ricognizione includeva la scansione della directory /var/qmail/mailnames/ e l'uso di uno script PHP (search_social.php) per individuare messaggi legati ai social media. I dati dei database venivano estratti in archivi locali prima di tentare l'esfiltrazione tramite l'infrastruttura degli attaccanti o servizi legittimi di hosting di file. Tuttavia, il report distingue questi tentativi da trasferimenti di dati effettivamente confermati. Le fasi finali dell'attacco prevedevano attività di pulizia mirate ai log di autenticazione, posta, sistema operativo e web server. Gli aggressori eliminavano script temporanei, manipolavano i timestamp di accesso e modifica dei file per farli sembrare attività di test autorizzate (tecnica Timestomp secondo MITRE ATT&CK T1070.006), e inserivano marcatori come RedTeamOps2025 e pentest123.
Per contrastare efficacemente minacce simili, Unit 42 raccomanda ai difensori di monitorare attentamente le modifiche alle configurazioni PHP, gli alias sospetti del comando sudo, la creazione di servizi inattesi e le connessioni shell in uscita. L'adozione di rigorosi controlli sui firewall in uscita e di soluzioni di endpoint detection and response (EDR) comportamentali, specialmente quando utility Linux standard avviano shell interattive, è fondamentale. Le informazioni tecniche e gli indicatori di compromissione (IOC) forniti da Unit 42 sono essenziali per le attività di threat hunting e indagine in ambienti potenzialmente colpiti.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
