CL-UNK-1211 атаковал государственные Linux-серверы и базы данных
Unit 42 связала активность с октября 2025 года по апрель 2026 года с неидентифицированным кластером CL-UNK-1211. Он атаковал государственные организации и связанную с государством инфраструктуру, прежде всего серверы Linux и среды баз данных. Злоумышленники добивались постоянного доступа, проводили разведку в сетях и почтовых ящиках, извлекали конфиденциальные базы данных и пытались похитить содержимое государственных почтовых ящиков. В сообщениях они искали учётные данные и ссылки, связанные с внешними учётными записями в социальных сетях.
Веб-шеллы и средства удалённого доступа
Для первоначального доступа и закрепления злоумышленники в основном использовали PHP-веб-шеллы, в том числе собственные и общедоступные. В конфигурационных файлах PHP в каталогах /etc/php/ и /opt/plesk/php/ они меняли параметр auto_prepend_file. Это приводило к запуску вредоносного кода до выполнения легитимных PHP-скриптов. Веб-шелл plesk_sys_driver.php разместили в каталоге /usr/lib/php/, чтобы он выглядел как легитимный файл.
Также злоумышленники развернули SysGoRAT, собственную кроссплатформенную троянскую программу для удалённого доступа, написанную на Go и предназначенную для Windows и Linux. Она взаимодействовала с операторами через WebSocket, используя IP-адрес, зашитый в коде, и поддерживала несколько функций управления и закрепления. Для создания обратных шеллов в оперативной памяти применялись именованные каналы Netcat и дочерние процессы Python. Такой способ сокращал объём криминалистических следов на диске.
Кража учётных данных, закрепление и разведка
Для кражи учётных данных злоумышленники заменяли файл .bashrc вредоносной версией, которая перехватывала пароли, вводимые через sudo. Они также добавляли код для записи учётных данных на страницы входа PHP и сканировали сети в поисках паролей, передаваемых в открытом виде.
Для закрепления и перемещения внутри сети злоумышленники добавляли SSH-ключи в файл authorized_keys, использовали зашитые в коде учётные данные администратора вместе с утилитой sshpass, а также туннельные инструменты revsocks, pysoxy и GSocket/gs-netcat. Для повышения привилегий и разведки применялись LinPEAS, эксплойт PwnKit для CVE-2021-4034, переименованные исполняемые файлы с установленным битом SUID и скрипты для сканирования SQL-серверов, баз данных, пользователей, компьютеров и открытых сетевых ресурсов.
Отдельный сторонний сканер на Go проверял системы, уязвимые к CVE-2025-55182, также известной как React2Shell. Злоумышленники включали в MSSQL функцию XP_CMDSHELL, чтобы выполнять команды операционной системы и создавать двойные переходы (double-hop) между сегментами сети.
Сбор данных и сокрытие активности
Злоумышленники перечисляли почтовые ящики Qmail и искали в сообщениях термины, связанные с социальными сетями. Таблицы баз данных они выгружали в файлы CSV, архивы сжимали локально, а для попыток эксфильтрации использовали Netcat и легитимные сервисы хостинга файлов.
Для обхода средств защиты злоумышленники пытались завершать процессы средств защиты конечных точек, подменяли временные метки и очищали журналы и историю командной строки. Они удаляли остаточные файлы, использовали вводящие в заблуждение имена, например Solarwinds.StatusLog.txt, и размещали индикаторы с тематикой красной команды (red team), включая RedTeamOps2025 и pentest123.
Скрипты на PHP, Bash, Python и JavaScript широко использовали кодирование Base64 и содержали признаки генерации с помощью ИИ.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
