Хакеры атаковали Linux-серверы госструктур скриптами с признаками генерации ИИ
Изображение: OpenAI
Злоумышленники атаковали Linux-серверы госструктур и связанной с государством инфраструктуры для сбора разведданных, используя скрипты с признаками генерации ИИ. Кампанию выявили исследователи Unit 42 компании Palo Alto Networks и обозначили её как CL-UNK-1211: связь атакующих с государством или киберпреступниками пока не установлена.
Исследователи наблюдали атаки с октября 2025 года по апрель 2026 года. В скриптах нашли комментарии с пошаговыми рассуждениями, похожими на ответы языковой модели. По оценке исследователей, код могли скопировать из ответов ИИ либо развернуть с помощью автоматизированного ИИ-агента.
Злоумышленники выгружали содержимое баз данных и пытались передать его наружу, а в государственной почте искали письма для доступа к аккаунтам в соцсетях. Один из скриптов должен был упаковать целые почтовые ящики в ZIP-архивы, но содержал синтаксические ошибки и не смог бы выполниться.
Для постоянного доступа атакующие размещали веб-шеллы и меняли параметр auto_prepend_file в конфигурациях PHP, чтобы вредоносный файл запускался перед другими PHP-скриптами.
Кроме открытых инструментов, атакующие применяли собственный кроссплатформенный троян удалённого доступа на языке Go, которого исследователи назвали SysGoRAT. Против подобных атак Unit 42 советует жёстко ограничить исходящие соединения на межсетевом экране и отслеживать, когда системные утилиты запускают командную оболочку.
В одном случае они подменили команду sudo через файл .bashrc: пароль пользователя попадал в их журнал, а затем передавался настоящей команде. Благодаря этому пользователь не замечал перехвата.
Злоумышленники пытались выдать вторжение за проверку безопасности, оставляя признаки учений «красной команды»: ключ RedTeamOps2025 в одном из скриптов и пароль pentest123 у созданного ими пользователя. Они также меняли временные метки вредоносных файлов и пытались удалять системные журналы, чтобы затруднить расследование.
Попытки отключить Cortex XDR, собственное средство защиты конечных точек Palo Alto Networks, по данным исследователей, не удались: защита обнаружила и заблокировала завершение своих процессов.
