Unit 42 раскрыла атаки SysGoRAT на государственные Linux-серверы
Palo Alto Networks Unit 42 описала кластер кибершпионажа CL-UNK-1211, который с октября 2025 года по апрель 2026 года атаковал Linux-инфраструктуру государственных и аффилированных с государством организаций. Операторы использовали кроссплатформенный троян SysGoRAT на Go, PHP-веб-шеллы и вредоносные shell-скрипты с признаками генерации большими языковыми моделями.
Целью активности были разведка, сохранение доступа к сети и сбор данных. Исследователи зафиксировали попытки выгрузить чувствительные базы данных и получить доступ к государственным почтовым ящикам, чтобы искать сведения, связанные с аккаунтами в социальных сетях.
Как закреплялись в Linux-среде
Для долговременного доступа атакующие сочетали открытые инструменты, собственные бэкдоры и PHP-веб-шеллы. Они пытались отключать защиту конечных точек, очищать системные журналы и оставлять ложные признаки red team-проверки, маскируя действия под легитимную оценку безопасности.
Учетные данные собирались тремя способами: заменой файла .bashrc на вредоносный вариант с командой кражи паролей, внедрением кода в PHP-страницы входа и поиском незашифрованных паролей к почте, SMTP и базам данных в конфигурационных файлах и истории команд.
Unit 42 также увидела обратные оболочки, работающие в памяти и не оставляющие файловых артефактов на диске. На серверах с qmail злоумышленники перечисляли каталоги /var/qmail/mailnames/, подсчитывали письма и запускали PHP-скрипт search_social.php для поиска ключевых слов в заголовках сообщений. Скрипт выводил путь к письму, отправителя, получателя и тему.
Возможности SysGoRAT и следы ИИ
SysGoRAT устанавливает управляющее соединение по WebSocket с жестко заданным адресом 104.194.158[.]65:443. Троян поддерживает выполнение команд через /bin/sh -c в Linux и cmd /C в Windows, интерактивную оболочку, создание снимков экрана, выгрузку файлов, закрепление, просмотр каталогов и TCP-прокси.
Вредоносные PHP- и shell-скрипты содержали разговорные пошаговые пояснения логики кода вместо обычной документации разработчика. По оценке Unit 42, это может означать прямое копирование результата ИИ-запроса либо работу автоматизированного ИИ-агента. Скрипт zip_mails.sh должен был архивировать интересующие письма в ZIP для вывода данных, но не выполнился из-за синтаксических ошибок.
Контекст дополняет Linux-руткиты, ИИ-атаки и утечки данных, где также рассматривались Linux-руткиты, ИИ-атаки и утечки данных. Unit 42 отмечает, что ИИ ускоряет создание и адаптацию операционных скриптов, но не отменяет традиционные техники постэксплуатации.
Что проверить защитникам
Для бизнеса практическая задача — контролировать изменения .bashrc и PHP-страниц аутентификации, ограничивать хранение паролей в открытом виде в конфигурациях и истории команд, а также проверять серверные WebSocket-соединения и признаки веб-шеллов. Отдельного внимания требуют почтовые каталоги и журналы: в этой кампании они были важны и для поиска данных, и для сокрытия действий.