Des scripts générés par IA et SysGoRAT ciblent les serveurs Linux gouvernementaux

Les chercheurs de Palo Alto Networks Unit 42 ont identifié une campagne d'espionnage cybernétique ciblant l'infrastructure Linux gouvernementale entre octobre 2025 et avril 2026. L'opération, suivie sous le nom de code CL-UNK-1211, exploite de grands modèles de langage (LLM) pour générer des scripts d'attaque et déploie un backdoor personnalisé écrit en Go, connu sous le nom de SysGoRAT.

Ce qui s'est passé

Les acteurs de la menace ont concentré leurs efforts sur les environnements Linux associés à des entités affiliées à l'État afin de mener des reconnaissances approfondies et de maintenir un accès réseau persistant. Leurs principaux objectifs incluaient l'exfiltration de bases de données sensibles et la récupération de boîtes aux lettres gouvernementales, cherchant spécifiquement des identifiants permettant d'accéder à des comptes de réseaux sociaux. Cette activité marque un tournant vers l'utilisation de l'intelligence artificielle automatisée pour accélérer les techniques traditionnelles post-exploitation.

Pour maintenir leur accès, les attaquants ont employé un mélange polyvalent d'outils open source, de backdoors cross-platform personnalisés et de web shells. Une caractéristique distincte de cette campagne a été la tentative de dissimuler les activités malveillantes en les faisant passer pour des évaluations de sécurité légitimes. Les opérateurs ont désactivé les protections des points terminaux, effacé les journaux système et implanté de faux marqueurs red-team pour tromper les défenseurs et retarder les efforts de réponse aux incidents.

Les chercheurs Roey Porat et Tom Fakterman ont noté que les attaquants ont tenté de vider des bases de données sensibles et d'exfiltrer des boîtes aux lettres gouvernementales. La campagne reposait fortement sur des scripts PHP et shell malveillants qui semblaient avoir été générés par des agents d'IA. Ces scripts contenaient des notes de raisonnement conversationnelles, étape par étape, plutôt que la documentation standard des développeurs, suggérant qu'ils avaient été copiés directement depuis les sorties de prompts d'IA ou déployés par des agents automatisés.

Comment cela fonctionne

Le cœur de l'exécution technique repose sur SysGoRAT, un cheval de Troie d'accès à distance (RAT) personnalisé écrit en Go. Il assure la persistance à la fois sur les systèmes Windows et Linux et établit une connexion de commande et contrôle (C2) via WebSocket vers une adresse IP codée en dur. Une fois connecté, le RAT peut exécuter des commandes arbitraires, ouvrir des shells interactifs, prendre des captures d'écran, exfiltrer des fichiers et établir des connexions proxy pour relayer les données dans les deux sens.

La collecte d'identifiants a été réalisée selon trois méthodes spécifiques. Premièrement, les attaquants ont remplacé le fichier .bashrc par une version malveillante conçue pour voler les mots de passe. Deuxièmement, ils ont injecté du code dans les pages de connexion PHP pour capturer les identifiants administrateurs. Troisièmement, ils ont scanné les fichiers de configuration et l'historique des commandes à la recherche de mots de passe email, SMTP et base de données en clair. Ces méthodes leur ont permis de se déplacer latéralement et d'approfondir leur accès au sein des réseaux compromis.

L'utilisation de l'IA s'est étendue à la création de scripts opérationnels. Par exemple, un script PHP nommé search_social.php a été déployé pour rechercher dans les en-têtes d'e-mails des mots-clés liés aux comptes de réseaux sociaux. Un autre script, zip_mails.sh, était destiné à compresser et exfiltrer les e-mails mais a échoué en raison d'erreurs de syntaxe. Ces erreurs soulignent les limites actuelles du code généré par IA, qui peut manquer de la rigueur des tests typiques des malwares développés par des humains.

Détails clés

• La campagne, suivie sous le nom CL-UNK-1211, a ciblé l'infrastructure Linux gouvernementale d'octobre 2025 à avril 2026.
• Les attaquants ont utilisé SysGoRAT, un RAT basé sur Go, pour maintenir la persistance et communiquer via WebSocket vers 104.194.158[.]65:443.
• Les scripts malveillants contenaient des notes de raisonnement conversationnelles, indiquant une génération par de grands modèles de langage ou des agents d'IA.
• Le vol d'identifiants impliquait la modification des fichiers .bashrc, l'injection de code PHP et le scan de configurations à la recherche de mots de passe en clair.
• Les acteurs de la menace ont implanté de faux marqueurs red-team et effacé les journaux pour dissimuler leur activité comme étant des tests de sécurité autorisés.
• Des rapports plus larges de l'industrie montrent l'abus de frameworks agentiques comme ARTEX et PentAGI par des groupes incluant Storm-0940 et Onyx Sleet.

Pourquoi c'est important

Pour les équipes d'ingénierie gérant des infrastructures Linux, cette campagne met en lumière une nouvelle classe de menaces où la vitesse et le volume priment sur la furtivité. L'utilisation de l'IA permet aux attaquants de générer et d'adapter rapidement des scripts, minimisant la charge de travail manuelle. Bien que le code généré par IA dans ce cas contenait des erreurs, la capacité de lancer des attaques à la vitesse de la machine comprime le délai de détection et de réponse, nécessitant des défenses automatisées plus rapides.

Le mélange d'opérations offensives avec des marqueurs défensifs pose un défi majeur aux centres d'opérations de sécurité (SOC). Lorsque les attaquants plantent des artefacts red-team, cela crée une ambiguïté qui peut ralentir les efforts d'enquête. Les équipes doivent désormais vérifier non seulement la présence d'activités suspectes, mais aussi la légitimité de tout marqueur apparent de test de sécurité, ajoutant de la complexité aux workflows de réponse aux incidents.

De plus, la dépendance aux frameworks agentiques open source comme ARTEX indique que des outils sophistiqués deviennent plus accessibles. Même si des outils spécifiques sont retirés, des variantes comme ARTEX PRO et ScopeWeaver émergent rapidement. Cette démocratisation des capacités offensives avancées signifie que les organisations doivent supposer que les adversaires ont accès à des outils de test d'intrusion puissants et automatisés capables de scanner et d'exploiter des vulnérabilités à grande échelle.

Ce que vous pouvez faire

• Surveillez les connexions WebSocket inhabituelles vers des IPs externes, en particulier celles tentant d'établir des canaux de commande et contrôle persistants.
• Auditez les fichiers .bashrc et les pages de connexion PHP pour détecter des modifications non autorisées ou du code injecté susceptible de collecter des identifiants.
• Scannez les fichiers de configuration et les historiques de commandes à la recherche de mots de passe en clair et imposez l'utilisation de solutions de gestion des secrets.
• Mettez en œuvre des processus de vérification stricts pour tout marqueur red-team ou activité d'évaluation de sécurité trouvée sur les systèmes de production.
• Passez en revue les journaux serveur pour repérer les signes d'effacement de logs ou de désactivation de protection des points terminaux, indicateurs précoces de compromission.
• Mettez à jour les règles de détection pour identifier les motifs de scripts générés par IA, tels que des commentaires conversationnels ou des structures de code non standards.