Kiberbiztonsági kutatók részletesen bemutattak egy kémkedési kampányt, amely kifejezetten kormányzati szervezetekhez és állami infrastruktúrához kapcsolódó Linux rendszereket támad.

A Palo Alto Networks Unit 42 2025 októbere és 2026 áprilisa között figyelte meg a tevékenységet, amelyet CL-UNK-1211 néven azonosítottak, ahol a „CL” egy klaszterre, az „UNK” pedig az ismeretlen motivációra utal.

A kampány egyik figyelemre méltó sajátossága, hogy nagy nyelvi modelleket (LLM-eket) és/vagy automatizált mesterségesintelligencia-ügynököket használnak a payloadok előállítására és a kártékony kód futtatására.

„A támadók ebben a klaszterben Linux környezetekre összpontosítottak, hogy kiterjedt felderítést végezzenek, és tartós hálózati hozzáférést tartsanak fenn a hírszerzési műveletek támogatására” – írták a kutatók, Roey Porat és Tom Fakterman közleményükben. „Megpróbálták kiüríteni az érzékeny adatbázisokat, és kormányzati postafiókokat loptak el, hogy hozzáférjenek közösségimédia-fiókokhoz.”

A kampány egy „sokoldalú műveleti forgatókönyvet” követ, amely nyílt forráskódú eszközök, egyedi, többplatformos backdoorok és web shell-ek kombinációjára támaszkodik a hozzáférés fenntartásához. Jellegzetes elem az is, hogy megpróbálják letiltani a végpontvédelmi megoldásokat, törlik a rendszerlogokat, és félrevezető red-team jelöléseket helyeznek el, hogy a tevékenység egy legitim biztonsági vizsgálatnak tűnjön.

Megfigyelték azt is, hogy a fenyegető szereplő rosszindulatú PHP- és shell-szkripteket használ, amelyeket feltehetően AI-generált, hogy tartós jelenlétet biztosítson, felderítést végezzen és adatokat szivárogtasson ki.

„A szokásos fejlesztői dokumentáció helyett több szkriptben beszélgetésszerű, lépésről lépésre haladó magyarázó jegyzetek voltak. Ezek a jegyzetek a kód logikáját írták le annak a kezelőnek, aki az eredeti utasításokat adta” – közölte a kiberbiztonsági cég. „Jelenlétük arra utal, hogy a kódot vagy közvetlenül egy AI prompt kimenetéből másolták át, vagy egy automatizált AI-ügynök telepítette.”

A támadók nyílt forráskódú és egyedi PHP web shell-ek keverékét használják, hogy tartós backdoort tartsanak fenn a célzott hálózatokban. A hozzáférést ezután a célkörnyezetben található hitelesítési adatok összegyűjtésére használják háromféle módszerrel –

• A .bashrc fájl lecserélése egy rosszindulatú változatra, amely jelszólopó parancsot tartalmaz.
• Kód injektálása PHP alapú bejelentkezési oldalakba az adminisztrátori hitelesítési adatok begyűjtésére.
• Tiszta szövegű e-mail-, SMTP- és adatbázis-jelszavak keresése konfigurációs fájlokban és a parancselőzményekben.

A támadások részeként egy egyedi, többplatformos, Go nyelven írt remote access trójait is bevetnek, amely többféle perzisztencia-módszert támogat, hogy hosszú távú hozzáférést tartson fenn Windows és Linux rendszereken. A SysGoRAT névre keresztelt kártevő WebSocketen keresztül épít ki command-and-control (C2) kapcsolatot egy beégetett IP-címhez („104.194.158[.]65:443”), és hétféle parancsot képes fogadni –

• command – tetszőleges parancsok futtatása /bin/sh -c (Linux) vagy cmd /C (Windows) segítségével
• control – interaktív shell indítása (shell_start), képernyőképek készítése (screenshot), fájlok kiszivárogtatása a C2 szerverre (download), valamint perzisztencia telepítése (persist) külön alparancsokkal
• list_dir – könyvtár tartalmának listázása
• shell_input – interaktív shell munkamenet létrehozása
• proxy_connect – TCP kapcsolat létrehozása tetszőleges célhoz
• proxy_data – adat kétirányú továbbítása egy már létrehozott proxy kapcsolaton
• proxy_close – proxy munkamenet lezárása és eltávolítása

A támadók emellett memóriaalapú reverse shell-eket is használnak, hogy ne maradjanak nyomok a lemezen, továbbá végigpásztázzák a „/var/qmail/mailnames/” könyvtárakat, hogy megszámolják az egyes mappákban tárolt e-maileket.

„Ezután a támadók közösségi médiával kapcsolatos e-maileket kerestek” – magyarázta a Unit 42. „Egy search_social.php nevű PHP szkriptet telepítettek, amely konkrét kulcsszavakra keresett az e-mail fejlécekben, és a találatokat áttekinthető formában jelenítette meg.”

„A szkript ezután feldolgozta a választ, és megjelenítette a pontos fájlútvonalat, a közösségimédia-fiókhoz tartozó e-mail feladóját, címzettjét és a tárgyat.”

A kutatók azt is megfigyelték, hogy a támadók megpróbáltak létrehozni egy bash szkriptet zip_mails.sh néven, hogy a számukra érdekes e-maileket ZIP archívumba tömörítsék, majd kiszivárogtassák az adatokat. A szkriptben lévő szintaktikai hibák miatt a program futás közben hibára futott.

„Ez a kampány jól mutatja, hogyan ötvözik a támadók a hagyományos utótámadási technikákat AI-val felgyorsított munkafolyamatokkal, amikor kormányzati Linux szerverinfrastruktúrát céloznak” – fogalmazott a Unit 42. „Az AI segítségével gyorsan generálják, módosítják és telepítik a műveleti szkripteket, így a CL-UNK-1211 mögött álló szereplők nagy tempót tudtak diktálni, miközben minimálisra csökkentették a manuális fejlesztői munkát.”

A fejleményekkel párhuzamosan a Google Threat Intelligence Group (GTIG) és a Mandiant, valamint a Microsoft is dokumentálta, hogy fenyegető szereplők hogyan élnek vissza nyílt forráskódú, agentic jellegű penetration testing frameworkökkel, mint az ARTEX, a PentAGI, a Hexstrike és a CAIRN, hogy „a támadási életciklus különböző szakaszaiban széles körű műveleteket” hajtsanak végre példátlan sebességgel és léptékben.

Bár az ARTEX-et a szerzője eltávolította, miután kiderült, hogy széles körben visszaélnek vele, több változat is megjelent belőle, köztük az ARTEX PRO nevű kereskedelmi kiadás és a ScopeWeaver nevű lokalizált változat.

Néhány eset a következő:

• Az ARTEX használata a Storm-0940 (más néven UNC7228) részéről adatlopási kampányok összehangolására, amelyek az Egyesült Államokban és Európában működő szervezeteket célozzák a vállalati szoftverek, az ipari automatizálás, a félvezetőgyártás és -tervezés, valamint a távközlés területén.
• Az ARTEX használata anyagi haszonszerzésre törekvő fenyegető szereplők által adatlopáson alapuló zsarolási kampányokhoz, beleértve a pénzügyi szektor elleni támadásokat Ázsiában.
• Az ARTEX használata észak-koreai államilag támogatott hackercsoportok, például az Onyx Sleet (más néven Andariel) és a Pearl Sleet (más néven Lawrencium) műveleteiben.
• A PentAGI használata WHOIS-alapú eszköztérképezésre, valamint szervezetek elleni módszeres felderítésre és sebezhetőség-vizsgálatra Ázsiában.

„Az ARTEX és a hasonló, agentic jellegű támadó intrusion frameworkök megjelenése egy szélesebb trendet jelez: a fenyegető szereplők egyre inkább átállnak a nyílt forráskódú, több agentet használó támadó frameworkök, illetve akár egyedi agentic keretrendszerek alkalmazására” – fogalmazott a GTIG és a Mandiant közös elemzése.

„Az ARTEX-hez hasonló frameworkök gépi sebességre rövidítik a támadások idővonalát, cserébe azonban jelenleg a rejtőzködést feláldozzák a tempóért. A korlátozás nélküli autonóm végrehajtás sok igazságügyi nyomot termel, felismerhető azonosítókra támaszkodik, és jellegzetes kódszintű nyomokat hagy maga után, ami növeli a felderítés és az elhárítás esélyét.”