Una campagna di spionaggio informatico ha preso di mira server Linux appartenenti a enti governativi e organizzazioni collegate allo Stato, combinando web shell, strumenti open source e una nuova backdoor multipiattaforma scritta in Go. L'attività, osservata da Unit 42 tra ottobre 2025 e aprile 2026, viene tracciata con la sigla CL-UNK-1211 e non è stata attribuita a un gruppo statale o criminale specifico.

Una catena di attacco centrata sui server Linux

Secondo l'analisi di Unit 42, gli operatori hanno cercato di mantenere un accesso persistente ai sistemi compromessi e di raccogliere informazioni sensibili. Le attività includevano la ricognizione degli ambienti, il tentativo di estrarre interi database e la ricerca nelle caselle di posta governative, anche per individuare account social associati agli indirizzi email.

Per la persistenza sono state impiegate web shell PHP e modifiche alla configurazione dei server, comprese alterazioni del parametro auto_prepend_file in installazioni gestite tramite Plesk. Gli attaccanti hanno inoltre utilizzato strumenti per l'escalation dei privilegi, raccolto credenziali e provato a cancellare i log o disattivare le protezioni endpoint.

SysGoRAT e il controllo remoto

Tra gli strumenti individuati figura SysGoRAT, un trojan di accesso remoto sviluppato in Go e progettato per funzionare su Linux e Windows. Il malware comunica con l'infrastruttura di comando e controllo tramite WebSocket e supporta l'esecuzione di comandi, sessioni di shell interattive, trasferimento di file, acquisizione dello schermo e funzioni proxy.

La backdoor dispone anche di diversi meccanismi di persistenza. Su Linux può installarsi come servizio systemd o tramite cron, mentre su Windows può usare chiavi di avvio automatico e attività pianificate. I nomi dei file vengono modificati per confondersi con componenti legittimi presenti sui sistemi.

Le tracce di assistenza tramite intelligenza artificiale

Unit 42 ritiene che parte dei payload sia stata generata con l'assistenza di modelli linguistici o eseguita attraverso agenti automatizzati. La valutazione si basa su commenti conversazionali, annotazioni di ragionamento e strutture presenti nel codice. Questi indizi non dimostrano che l'intera operazione fosse autonoma né identificano uno specifico modello AI, ma suggeriscono l'uso di strumenti generativi per accelerare la produzione e l'adattamento degli script.

La campagna mostra come tecniche consolidate possano essere affiancate da flussi di sviluppo assistiti dall'AI. Nel caso osservato, l'efficacia operativa derivava soprattutto dalla combinazione tra persistenza a livello di configurazione, strumenti personalizzati, raccolta delle credenziali e cancellazione delle tracce.

Indicazioni per la difesa

Gli amministratori di sistemi Linux dovrebbero controllare modifiche inattese alle configurazioni PHP, ai file di avvio della shell, alle chiavi SSH e ai servizi systemd. È inoltre opportuno verificare connessioni WebSocket anomale in uscita, esecuzioni sospette sui database e tentativi di disabilitare gli strumenti di sicurezza.

Unit 42 ha pubblicato indicatori di compromissione e dettagli tecnici utili alle attività di ricerca delle minacce. L'adozione di monitoraggio centralizzato, segmentazione, autenticazione forte e protezioni contro le modifiche non autorizzate può ridurre sia la probabilità di accesso persistente sia il tempo necessario per rilevare un'intrusione.