Un campagna di intrusione, identificata come CL‑UNK‑1211, ha sfruttato script generati da intelligenza artificiale per compromettere server Linux governativi, rubare credenziali e tentare l’estrazione di database e caselle di posta.
Nel periodo compreso tra ottobre 2025 e aprile 2026, Palo Alto Networks Unit 42 ha documentato una serie di attività di intrusione su infrastrutture Linux governative. L’operazione, codificata come CL‑UNK‑1211, è stata tracciata a gruppi di attori con legami statali. La peculiarità di questo caso risiede nell’uso di script generati da intelligenza artificiale (IA) che, sebbene non autonomi, hanno guidato l’attacco con commenti conversazionali e logica passo‑passo.
Gli aggressori hanno impiegato una combinazione di linguaggi di programmazione – PHP, JavaScript, Bash e Python – e hanno codificato i comandi in Base64 per mascherare la loro presenza. I file PHP contenenti annotazioni di tipo “chat‑bot” indicano che il codice è stato probabilmente copiato da un modello di linguaggio di grandi dimensioni o eseguito tramite un agente AI automatizzato. Questa tecnica ha permesso di creare script altamente modulabili, capaci di adattarsi rapidamente a diverse configurazioni di server.
Per mantenere l’accesso, gli aggressori hanno installato web shells sia custom che pubblici, modificando i file di configurazione PHP situati in /etc/php/ e /opt/plesk/php/. Cambiando la direttiva auto_prepend_file, hanno fatto in modo che il codice maligno si eseguisse prima di qualsiasi script PHP legittimo. Un file di nome plesk_sys_driver.php è stato rinominato con un’estensione che suggeriva un componente di sistema, aumentando la probabilità di non essere rilevato.
La raccolta di credenziali è stata realizzata tramite:
.bashrc con una versione modificata che intercettava le autenticazioni sudo;Solarwinds.StatusLog.txt (senza compromissione del software SolarWinds).Inoltre, gli aggressori hanno inserito logger di credenziali nelle pagine di autenticazione PHP e hanno eseguito ricerche nei file di configurazione e nella cronologia dei comandi per recuperare password di database, SMTP e e‑mail.
Il toolkit principale era SysGoRAT, un trojan remoto scritto in Go che supporta sia Linux che Windows. Il suo canale di comando‑e‑controllo (C2) di default puntava a 104.194.158.65:443, ma gli operatori potevano sovrascrivere l’indirizzo. Le funzionalità includevano:
Per la persistenza, SysGoRAT creava servizi systemd e cron su Linux, e registrava chiavi di registro e task pianificati su Windows. Gli aggressori rinominarono i binari con nomi di utilità legittime (es. pip2.7, semanage) per confondere gli analisti.
L’attacco ha proseguito con tentativi di esfiltrazione di database: inizialmente piccoli campioni, poi dump completi compressi per l’estrazione. Per mascherare il traffico, sono stati usati servizi di hosting file legittimi, facendo sembrare le trasferimenti di dati come traffico web normale.
Parallelamente, gli aggressori hanno eseguito script di pulizia che cancellavano i log di autenticazione, e-mail, sistema operativo e web‑server. Hanno impiegato timestomping per alterare le date di accesso e modifica dei file, e hanno inserito etichette “red‑team” per far credere che l’attività fosse autorizzata.
Per mitigare minacce simili, gli operatori dovrebbero:
.bashrc;Il caso CL‑UNK‑1211 evidenzia come l’IA possa essere sfruttata per generare script di attacco altamente personalizzati, riducendo il tempo necessario per la fase di sviluppo e aumentando la capacità di adattamento. Sebbene l’automazione non sia stata autonoma, la combinazione di tecniche di persistenza, raccolta di credenziali, RAT e pulizia dei log rappresenta una minaccia di alto livello per le infrastrutture governative Linux. La vigilanza continua e l’adozione di misure di sicurezza proattive rimangono fondamentali per contrastare questo nuovo paradigma di attacco.
Nota: le informazioni contenute in questo articolo sono state estratte e rielaborate da fonti pubbliche. Per ulteriori dettagli, si consiglia di consultare la reportistica ufficiale di Palo Alto Networks Unit 42.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.