Scripts generados por IA y SysGoRAT atacan servidores Linux gubernamentales

Investigadores de Palo Alto Networks Unit 42 han identificado una campaña de ciberespionaje dirigida a infraestructuras Linux gubernamentales entre octubre de 2025 y abril de 2026. La operación, rastreada como CL-UNK-1211, aprovecha modelos de lenguaje grandes para generar scripts de ataque y despliega un backdoor personalizado basado en Go conocido como SysGoRAT.

Qué ocurrió

Los actores de amenazas centraron sus esfuerzos en entornos Linux asociados con entidades estatales para llevar a cabo una extensa labor de reconocimiento y mantener el acceso persistente a la red. Sus objetivos principales incluían volcar bases de datos sensibles y exfiltrar buzones de correo gubernamentales, buscando específicamente credenciales que pudieran otorgar acceso a cuentas de redes sociales. Esta actividad representa un cambio hacia el uso de inteligencia automatizada para acelerar las técnicas tradicionales post-explotación.

Para mantener el acceso, los atacantes emplearon una mezcla versátil de herramientas de código abierto, backdoors personalizados multiplataforma y web shells. Una característica distintiva de esta campaña fue el intento de disfrazar la actividad maliciosa como evaluaciones de seguridad legítimas. Los operadores desactivaron las protecciones de endpoint, borraron los registros del sistema e implantaron marcadores falsos de equipos rojos (red-team) para confundir a los defensores y retrasar los esfuerzos de respuesta a incidentes.

Los investigadores Roey Porat y Tom Fakterman señalaron que los atacantes intentaron volcar bases de datos sensibles y exfiltrar buzones de correo gubernamentales. La campaña dependía en gran medida de scripts PHP y shell maliciosos que parecían haber sido generados por agentes de IA. Estos scripts contenían notas de razonamiento conversacionales y paso a paso, en lugar de documentación estándar para desarrolladores, lo que sugiere que fueron copiados directamente de las salidas de prompts de IA o desplegados por agentes automatizados.

Cómo funciona

El núcleo de la ejecución técnica involucra a SysGoRAT, un troyano de acceso remoto personalizado escrito en Go. Soporta persistencia tanto en sistemas Windows como Linux y establece una conexión de comando y control (C2) a través de WebSocket hacia una dirección IP codificada en el software. Una vez conectado, el troyano puede ejecutar comandos arbitrarios, generar shells interactivas, tomar capturas de pantalla, exfiltrar archivos y establecer conexiones proxy para retransmitir datos bidireccionalmente.

La recolección de credenciales se logró mediante tres métodos específicos. Primero, los atacantes reemplazaron el archivo .bashrc con una versión maliciosa diseñada para robar contraseñas. Segundo, inyectaron código en páginas de inicio de sesión PHP para capturar credenciales de administrador. Tercero, escanearon archivos de configuración e historiales de comandos en busca de contraseñas de correo electrónico, SMTP y bases de datos en texto plano. Estos métodos les permitieron moverse lateralmente y profundizar su acceso dentro de las redes comprometidas.

El uso de IA se extendió a la creación de scripts operativos. Por ejemplo, se desplegó un script PHP llamado search_social.php para buscar en las cabeceras de correos electrónicos palabras clave relacionadas con cuentas de redes sociales. Otro script, zip_mails.sh, tenía la intención de comprimir y exfiltrar correos electrónicos, pero falló debido a errores de sintaxis. Estos errores resaltan las limitaciones actuales del código generado por IA, que puede carecer de las pruebas rigurosas típicas del malware desarrollado por humanos.

Detalles clave

• La campaña, rastreada como CL-UNK-1211, tuvo como objetivo la infraestructura Linux gubernamental desde octubre de 2025 hasta abril de 2026.
• Los atacantes utilizaron SysGoRAT, un troyano basado en Go, para mantener la persistencia y comunicarse vía WebSocket con 104.194.158[.]65:443.
• Los scripts maliciosos contenían notas de razonamiento conversacionales, lo que indica generación por parte de modelos de lenguaje grandes o agentes de IA.
• El robo de credenciales implicó modificar archivos .bashrc, inyectar código PHP y escanear en busca de contraseñas en texto plano en configuraciones.
• Los actores de amenazas plantaron marcadores falsos de red-team y borraron registros para disfrazar su actividad como pruebas de seguridad autorizadas.
• Informes más amplios de la industria muestran el abuso de frameworks agénticos como ARTEX y PentAGI por grupos que incluyen Storm-0940 y Onyx Sleet.

Por qué importa

Para los equipos de ingeniería que gestionan infraestructuras Linux, esta campaña destaca una nueva clase de amenaza donde la velocidad y el volumen superan al sigilo. El uso de IA permite a los atacantes generar y adaptar scripts rápidamente, minimizando la carga manual. Aunque el código generado por IA en este caso contenía errores, la capacidad de lanzar ataques a la velocidad de una máquina comprime el tiempo para la detección y respuesta, requiriendo defensas automatizadas más rápidas.

La mezcla de operaciones ofensivas con marcadores defensivos plantea un desafío significativo para los centros de operaciones de seguridad. Cuando los atacantes plantan artefactos de red-team, crean una ambigüedad que puede estancar los esfuerzos de investigación. Los equipos deben verificar ahora no solo la presencia de actividad sospechosa, sino también la legitimidad de cualquier marcador aparente de prueba de seguridad, añadiendo complejidad a los flujos de trabajo de respuesta a incidentes.

Además, la dependencia de frameworks agénticos de código abierto como ARTEX indica que el instrumental sofisticado se está volviendo más accesible. Incluso si se eliminan herramientas específicas, variantes como ARTEX PRO y ScopeWeaver surgen rápidamente. Esta democratización de capacidades ofensivas avanzadas significa que las organizaciones deben asumir que los adversarios tienen acceso a potentes herramientas automatizadas de pruebas de penetración que pueden escanear y explotar vulnerabilidades a gran escala.

Qué puedes hacer

• Monitoriza conexiones WebSocket inusuales hacia IPs externas, especialmente aquellas que intenten establecer canales persistentes de comando y control.
• Audita los archivos .bashrc y las páginas de inicio de sesión PHP en busca de modificaciones no autorizadas o código inyectado que pueda cosechar credenciales.
• Escanea los archivos de configuración e historiales de comandos en busca de contraseñas en texto plano y aplica el uso de soluciones de gestión de secretos.
• Implementa procesos estrictos de verificación para cualquier marcador de red-team o actividad de evaluación de seguridad encontrada en sistemas de producción.
• Revisa los registros del servidor en busca de señales de borrado de logs o desactivación de protecciones de endpoint, que son indicadores tempranos de compromiso.
• Actualiza las reglas de detección para identificar patrones de scripts generados por IA, como comentarios conversacionales o estructuras de código no estándar.