SysGoRAT u napadima na Linux infrastrukturu državnih organizacija
Palo Alto Networks Unit 42 identifikovao je klaster CL-UNK-1211, koji je između oktobra 2025. i aprila 2026. ciljao Linux infrastrukturu državnih institucija i organizacija povezanih sa državom. Kampanja koristi SysGoRAT, prilagođeni višeplatformski trojanac za udaljeni pristup napisan u programskom jeziku Go, uz PHP veb-školjke, alate otvorenog koda i skripte za koje postoje indikacije da su nastale uz pomoć velikih jezičkih modela ili automatizovanih AI agenata.
Cilj aktivnosti bio je opsežno izviđanje okruženja i dugotrajno zadržavanje pristupa radi prikupljanja obaveštajnih podataka. Istraživači navode pokušaje izdvajanja osetljivih baza i preuzimanja državnih poštanskih sandučića, uključujući poruke koje bi mogle voditi ka nalozima na društvenim mrežama.
Kombinacija poznatih tehnika i AI-generisanih skripti
Akteri su upotrebljavali otvorene i prilagođene PHP veb-školjke kao trajni zadnji ulaz u mreže. Takođe su pokušavali da isključe zaštitu krajnjih tačaka, obrišu sistemske zapise i ostave obmanjujuće oznake red-team aktivnosti kako bi napad ličio na legitimnu bezbednosnu proveru.
Posebno su uočene zlonamerne PHP i shell skripte sa konverzacionim, korak-po-korak beleškama koje objašnjavaju logiku koda operateru. Takav sadržaj odstupa od uobičajene razvojne dokumentacije i ukazuje da je kod možda preuzet direktno iz izlaza AI upita ili da ga je postavio automatizovani agent.
Prikupljanje akreditiva obavljano je na tri načina: zamenom fajla .bashrc zlonamernom verzijom koja krade lozinke, ubacivanjem koda u PHP stranice za prijavu radi preuzimanja administratorskih podataka i pretragom konfiguracionih fajlova i istorije komandi za lozinke e-pošte, SMTP-a i baza podataka u otvorenom tekstu.
Šta radi SysGoRAT
SysGoRAT uspostavlja komandno-kontrolnu vezu preko WebSocket protokola ka unapred ugrađenoj IP adresi 104.194.158[.]65:443. Može da izvršava proizvoljne komande kroz /bin/sh -c na Linuxu i cmd /C na Windowsu, pokrene interaktivnu školjku, snimi ekran, izdvoji fajlove, uspostavi postojanost, pregleda direktorijume i prosleđuje TCP saobraćaj ka proizvoljnom cilju.
Kampanja je koristila i reverzne školjke u memoriji kako bi smanjila tragove na disku. Napadači su pregledali direktorijume /var/qmail/mailnames/ radi brojanja poruka, a zatim su skriptom search_social.php pretraživali zaglavlja po ključnim rečima vezanim za društvene mreže. Skripta je prikazivala putanju fajla, pošiljaoca, primaoca i predmet poruke.
Pokušaj stvaranja skripte zip_mails.sh za komprimovanje interesantne pošte u ZIP arhive nije uspeo zbog sintaksnih grešaka. Taj detalj pokazuje da brža izrada skripti ne garantuje njihovu ispravnost niti uklanja mogućnost detekcije.
Operativni zaključak za organizacije
Širi kontekst daje AI alati u savremenim sajber napadima jer pokazuje da se AI alati sve češće pojavljuju u različitim fazama napada, od izviđanja do izrade operativnog koda. Google Threat Intelligence Group, Mandiant i Microsoft već su dokumentovali zloupotrebu agentnih okvira ARTEX, PentAGI, Hexstrike i CAIRN za više faza napadačkog ciklusa.
Za poslovanje je praktično da Linux servere, veb-aplikacije i poštanske sisteme posmatra kao povezanu površinu napada: pratiti izmene fajlova za prijavu i konfiguraciju, neuobičajene WebSocket veze, ponašanje PHP procesa, radnje nad poštanskim direktorijumima i pokušaje brisanja logova. Kontrola privilegovanih naloga i proveravanje neuobičajenih skripti ostaju ključni za rano otkrivanje ovakvih upada.