KI-generierte Skripte und SysGoRAT zielen auf Linux-Server von Regierungsbehörden

Forscher von Palo Alto Networks Unit 42 haben eine Spionagekampagne identifiziert, die zwischen Oktober 2025 und April 2026 auf die Linux-Infrastruktur von Regierungsbehörden abzielte. Die Operation, unter dem Namen CL-UNK-1211 verfolgt, nutzt große Sprachmodelle zur Generierung von Angriffsskripten und setzt einen benutzerdefinierten Go-basierten Backdoor-Trojaner namens SysGoRAT ein.

Was geschah

Die Bedrohungsakteure konzentrierten ihre Bemühungen auf Linux-Umgebungen im Zusammenhang mit staatsnahen Einrichtungen, um umfangreiche Reconnaissance durchzuführen und persistenten Netzwerkzugriff aufrechtzuerhalten. Ihre primären Ziele umfassten das Dumping sensibler Datenbanken und die Exfiltration von Regierungspostfächern, wobei sie speziell nach Anmeldedaten suchten, die Zugriff auf Social-Media-Konten gewähren könnten. Diese Aktivität stellt eine Verschiebung hin zum Einsatz automatisierter Intelligenz dar, um traditionelle Post-Exploitation-Techniken zu beschleunigen.

Um den Zugriff aufrechtzuerhalten, setzten die Angreifer eine vielseitige Mischung aus Open-Source-Tools, benutzerdefinierten plattformübergreifenden Backdoors und Web-Shells ein. Ein charakteristisches Merkmal dieser Kampagne war der Versuch, bösartige Aktivitäten als legitime Sicherheitsbewertungen zu tarnen. Die Operatoren deaktivierten Endpunktschutzmaßnahmen, löschten Systemprotokolle und hinterließen täuschende Red-Team-Marker, um Verteidiger zu verwirren und die Incident-Response-Bemühungen zu verzögern.

Die Forscher Roey Porat und Tom Fakterman stellten fest, dass die Angreifer versuchten, sensible Datenbanken zu dumpen und Regierungspostfächer zu exfiltrieren. Die Kampagne verließ sich stark auf bösartige PHP- und Shell-Skripte, die offenbar von KI-Agenten generiert wurden. Diese Skripte enthielten gesprächsartige, schrittweise Begründungsnotizen anstelle standardmäßiger Entwicklerdokumentation, was darauf hindeutet, dass sie direkt aus KI-Prompt-Ausgaben kopiert oder von automatisierten Agenten bereitgestellt wurden.

Wie es funktioniert

Der Kern der technischen Ausführung umfasst SysGoRAT, einen benutzerdefinierten Remote Access Trojan (RAT), geschrieben in Go. Er unterstützt Persistenz auf sowohl Windows- als auch Linux-Systemen und stellt eine Command-and-Control-Verbindung über WebSocket zu einer hartcodierten IP-Adresse her. Nach der Verbindung kann der Trojaner beliebige Befehle ausführen, interaktive Shells starten, Screenshots aufnehmen, Dateien exfiltrieren und Proxy-Verbindungen einrichten, um Daten bidirektional weiterzuleiten.

Die Erfassung von Anmeldedaten wurde durch drei spezifische Methoden erreicht. Erstens ersetzten die Angreifer die .bashrc-Datei durch eine bösartige Version, die zum Stehlen von Passwörtern entwickelt wurde. Zweitens injizierten sie Code in PHP-Anmeldeseiten, um Admin-Anmeldedaten zu erfassen. Drittens durchsuchten sie Konfigurationsdateien und Befehlshistorien nach Klartext-E-Mail-, SMTP- und Datenbankpasswörtern. Diese Methoden ermöglichten es ihnen, lateral zu bewegen und ihren Zugriff innerhalb der kompromittierten Netzwerke zu vertiefen.

Die Nutzung von KI erstreckte sich auch auf die Erstellung operativer Skripte. Beispielsweise wurde ein PHP-Skript namens search_social.php eingesetzt, um E-Mail-Header nach Schlüsselwörtern im Zusammenhang mit Social-Media-Konten zu durchsuchen. Ein weiteres Skript, zip_mails.sh, sollte E-Mails komprimieren und exfiltrieren, scheiterte jedoch aufgrund von Syntaxfehlern. Diese Fehler verdeutlichen die aktuellen Grenzen von KI-generiertem Code, dem oft die strenge Testphase fehlt, die für menschlich entwickelte Malware typisch ist.

Wichtige Details

• Die Kampagne, verfolgt als CL-UNK-1211, zielte von Oktober 2025 bis April 2026 auf die Linux-Infrastruktur von Regierungsbehörden ab.
• Angreifer nutzten SysGoRAT, einen Go-basierten Trojaner, um Persistenz aufrechtzuerhalten und über WebSocket mit 104.194.158[.]65:443 zu kommunizieren.
• Bösartige Skripte enthielten gesprächsartige Begründungsnotizen, was auf eine Generierung durch große Sprachmodelle oder KI-Agenten hindeutet.
• Der Diebstahl von Anmeldedaten umfasste die Modifikation von .bashrc-Dateien, die Injektion von PHP-Code und das Scannen nach Klartextpasswörtern in Konfigurationen.
• Bedrohungsakteure platzierten gefälschte Red-Team-Marker und löschten Protokolle, um ihre Aktivitäten als autorisierte Sicherheitstests zu tarnen.
• Breitere Branchenberichte zeigen den Missbrauch agentischer Frameworks wie ARTEX und PentAGI durch Gruppen einschließlich Storm-0940 und Onyx Sleet.

Warum es wichtig ist

Für Engineering-Teams, die Linux-Infrastrukturen verwalten, hebt diese Kampagne eine neue Klasse von Bedrohungen hervor, bei denen Geschwindigkeit und Volumen Vorrang vor Tarnung haben. Der Einsatz von KI ermöglicht es Angreifern, Skripte schnell zu generieren und anzupassen, wodurch der manuelle Aufwand minimiert wird. Obwohl der KI-generierte Code in diesem Fall Fehler enthielt, komprimiert die Fähigkeit, Angriffe mit Maschinengeschwindigkeit zu starten, den Zeitrahmen für Erkennung und Reaktion und erfordert schnellere automatisierte Abwehrmaßnahmen.

Die Vermischung von Offensivoperationen mit defensiven Markern stellt eine erhebliche Herausforderung für Security Operations Centers dar. Wenn Angreifer Red-Team-Artefakte platzieren, entsteht eine Mehrdeutigkeit, die Ermittlungsbemühungen ins Stocken bringen kann. Teams müssen nun nicht nur das Vorhandensein verdächtiger Aktivitäten überprüfen, sondern auch die Legitimität jeglicher scheinbarer Sicherheitsprüfungsmarker, was die Komplexität der Incident-Response-Workflows erhöht.

Darüber hinaus zeigt die Abhängigkeit von Open-Source-agentischen Frameworks wie ARTEX, dass hochentwickelte Tools zunehmend zugänglicher werden. Selbst wenn spezifische Tools entfernt werden, entstehen Varianten wie ARTEX PRO und ScopeWeaver schnell. Diese Demokratisierung fortgeschrittener Offensivfähigkeiten bedeutet, dass Organisationen davon ausgehen müssen, dass Gegner Zugang zu leistungsstarken, automatisierten Penetrationstest-Tools haben, die Schwachstellen im großen Maßstab scannen und ausnutzen können.

Was Sie tun können

• Überwachen Sie ungewöhnliche WebSocket-Verbindungen zu externen IPs, insbesondere solche, die versuchen, persistente Command-and-Control-Kanäle einzurichten.
• Prüfen Sie .bashrc-Dateien und PHP-Anmeldeseiten auf unbefugte Änderungen oder injizierten Code, der Anmeldedaten erfassen könnte.
• Durchsuchen Sie Konfigurationsdateien und Befehlshistorien nach Klartextpasswörtern und erzwingen Sie die Verwendung von Secret-Management-Lösungen.
• Implementieren Sie strenge Verifizierungsprozesse für alle Red-Team-Marker oder Sicherheitsbewertungsaktivitäten, die auf Produktionssystemen gefunden werden.
• Überprüfen Sie Serverprotokolle auf Anzeichen von Protokolllöschung oder Deaktivierung des Endpunktschutzes, die frühe Indikatoren für Kompromittierung sind.
• Aktualisieren Sie Erkennungsregeln, um Muster von KI-generierten Skripten zu identifizieren, wie z. B. gesprächsartige Kommentare oder nicht-standardmäßige Codestrukturen.