政府 Linux 服务器遭 SysGoRAT 及疑似 AI 生成脚本攻击

网络安全研究人员披露了一场专门针对与政府实体及国家关联基础设施相关的 Linux 基础设施的网络间谍活动的细节。

该活动由 Palo Alto Networks Unit 42 于 2025 年 10 月至 2026 年 4 月间观察到，被追踪为 CL-UNK-1211，其中 "CL" 指集群，"UNK" 代表动机不明。

该活动的一个显著特点是使用大语言模型（LLM）和/或自动化人工智能（AI）智能体来生成载荷并执行恶意代码。

"该活动集群背后的攻击者专注于 Linux 环境，进行广泛侦察并维持持久网络访问以支持情报收集，" 研究人员 Roey Porat 和 Tom Fakterman 表示。"攻击者试图转储敏感数据库并窃取政府邮箱，以访问社交媒体账户。"

该活动采用 "多变的操作剧本"，利用开源工具、自定义跨平台后门和 web shell 的组合来维持访问。另一个特征是试图禁用端点防护、擦除系统日志，并植入欺骗性的红队标记，以将该活动伪装成合法的安全评估。

该威胁行为者还被观察到使用可能由 AI 生成的恶意 PHP 和 shell 脚本来维持持久性、执行侦察并窃取数据。

"这些脚本包含的并非标准开发者文档，而是对话式的、逐步推理的注释。这些注释向提供初始指令的操作者解释代码逻辑，" 该网络安全公司表示。"它们的存在表明，这些代码要么直接从 AI 提示输出中复制，要么由自动化 AI 智能体部署。"

开源与定制的 PHP web shell 混合使用，作为维持进入主机网络持久后门的方式。随后滥用该访问权限，通过三种不同方法从目标环境收集凭据：

• 用包含窃取密码命令的恶意版本替换 .bashrc 文件。
• 向 PHP 登录页面注入代码以收集管理员凭据。
• 扫描配置文件和命令历史文件中的明文邮箱、SMTP 和数据库密码。

攻击中还部署了一个用 Go 编写的自定义多平台远程访问木马，支持多种持久化方法以在 Windows 和 Linux 系统上维持长期访问。它被称为 SysGoRAT，通过 WebSocket 与硬编码 IP 地址（"104.194.158[.]65:443"）建立命令与控制（C2）连接，并获取七种类型的命令。

此外，攻击利用内存中的反向 shell 以避免在磁盘上留下取证痕迹，并枚举 "/ var / qmail / mailnames /" 目录以统计特定文件夹中存储的邮件数量。

"接下来，攻击者搜索与社交媒体相关的邮件，" Unit 42 解释道。"他们部署了一个名为 search_social.php 的 PHP 脚本，在邮件头中搜索特定关键词并以用户友好的格式显示结果。"

"该脚本随后解析响应并显示确切的文件路径、社交媒体账户邮件的发件人、收件人和主题。"

攻击者还被发现试图生成一个名为 "zip_mails.sh" 的 bash 脚本，试图将感兴趣的邮件压缩为 ZIP 压缩包并窃取信息。然而，脚本中存在的语法错误导致程序在执行时失败。

"该活动展示了攻击者如何将传统的后渗透技术与 AI 加速的工作流相结合，以针对政府 Linux 服务器基础设施，" Unit 42 表示。"通过利用 AI 快速生成、调整和部署操作脚本，CL-UNK-1211 背后的攻击者保持了快速的运营节奏，同时将人工开发开销降至最低。"

这一进展之际，Google Threat Intelligence Group（GTIG）和 Mandiant 与 Microsoft 一起记录了威胁行为者滥用 ARTEX、PentAGI、Hexstrike 和 CAIRN 等开源智能体渗透测试框架，以前所未有的速度和规模在攻击生命周期的各个阶段执行 "广泛行动"。

尽管 ARTEX 在广泛滥用的报告出现后被其作者下架，但它已衍生出多个版本，包括一个名为 ARTEX PRO 的商业版本和一个名为 ScopeWeaver 的本地化变体。

部分案例如下：

• Storm-0940（又称 UNC7228）使用 ARTEX 协调针对美国和欧洲实体的数据窃取活动，涉及企业软件、工业自动化、半导体制造与设计以及电信行业。
• 以经济利益为动机的威胁行为者使用 ARTEX 实施数据窃取勒索，包括针对亚洲金融行业。
• 朝鲜国家支持的黑客组织如 Onyx Sleet（又称 Andariel）和 Pearl Sleet（又称 Lawrencium）在行动中使用 ARTEX。
• 使用 PentAGI 进行 WHOIS 资产测绘，以及针对亚洲组织的系统性侦察和漏洞扫描。

"ARTEX 及类似智能体攻击性入侵框架的出现，凸显了威胁行为者向采用开源多智能体攻击框架以及潜在定制智能体工具的更广泛转变，" GTIG 和 Mandiant 表示。

"诸如 ARTEX 之类的框架将攻击时间线压缩至机器速度；然而，它们目前以隐蔽性换取速度。不受限制的自主执行会产生取证流量、依赖可识别的标识符，并留下独特的代码级痕迹，从而增加被检测和缓解的可能性。"