Hackers usaram scripts aparentemente gerados por inteligência artificial (IA) para comprometer a infraestrutura Linux de governos, coletar credenciais e buscar bancos de dados sensíveis e caixas de e-mail oficiais em uma campanha rastreada como CL-UNK-1211.
A investigação, publicada em 15 de outubro, relacionou a operação a entidades governamentais e a infraestrutura ligada a Estados.
A atribuição permanece indefinida: pela estrutura de atribuição da Unit 42, a designação UNK significa que os pesquisadores ainda não estabeleceram se a atividade pertence a uma operação patrocinada por Estados ou motivada por ganhos financeiros.
Scripts maliciosos em PHP (linguagem de programação) e shell continham anotações conversacionais e raciocínio passo a passo explicando sua lógica a um operador.
As evidências sugerem assistência de IA, mas não comprovam execução autônoma.
Os atacantes também usaram scripts divididos em seções, comandos codificados em Base64 e várias linguagens de programação, alternando entre PHP, JavaScript, Bash e Python ao longo da invasão.
Essas características, junto com os comentários conversacionais, mais distintivos, embasaram a avaliação dos pesquisadores.
A Unit 42, da Palo Alto Networks, observou atividades entre outubro de 2025 e abril de 2026, documentando acesso persistente, malware personalizado e tentativas extensas de ocultar as invasões.
Scripts gerados por IA
A Unit 42 avaliou esses artefatos como consistentes com código copiado da saída de modelos de linguagem de grande porte (LLM, na sigla em inglês) ou implantado por um agente de IA automatizado.
Para garantir persistência, os operadores implantaram web shells personalizadas e disponíveis publicamente e, em seguida, modificaram arquivos de configuração do PHP nos diretórios /etc/php/ e /opt/plesk/php/.
Eles alteraram a diretiva auto_prepend_file para que o código malicioso fosse executado antes de outros scripts PHP. Um dos implantes, /usr/lib/php/plesk_sys_driver.php, adotou um nome de arquivo semelhante ao de sistema para parecer legítimo.
O roubo de credenciais incluiu a substituição do .bashrc por uma versão modificada que interceptava a autenticação do sudo.
Um alias malicioso capturava senhas antes de encaminhá-las ao comando legítimo, preservando a execução normal.
As credenciais roubadas eram registradas em Solarwinds.StatusLog.txt. Os investigadores não encontraram evidências de que a infraestrutura da SolarWinds tenha sido comprometida.
Cargas adicionais injetaram registro de credenciais em uma página de autenticação PHP e vasculharam arquivos de configuração e históricos de comandos em busca de senhas de bancos de dados, SMTP (protocolo de envio de e-mails) e contas de e-mail.
O kit de ferramentas incluía o SysGoRAT, um trojan de acesso remoto (RAT, na sigla em inglês) personalizado, escrito em Go, com suporte a Linux e Windows.
Sua conexão de comando e controle via WebSocket usava, por padrão, 104.194.158[.]65:443, embora os operadores pudessem substituir o endereço. Os recursos incluíam execução de comandos, shells interativos, enumeração de diretórios, roubo de arquivos e proxy TCP (Protocolo de Controle de Transmissão).
O SysGoRAT dava suporte à persistência no Linux por meio de serviços systemd e cron, além de mecanismos de registro e de tarefas agendadas do Windows.
Os operadores renomearam binários para se parecerem com utilitários legítimos, incluindo pip2.7 e semanage. Shells reversas que usavam Netcat, Bash e Python se conectaram a pelo menos sete servidores distintos de comando e controle.
Nos servidores de e-mail do governo, os atacantes enumeraram /var/qmail/mailnames/ e implantaram search_social.php para localizar mensagens associadas a contas de redes sociais.
Em seguida, tentaram arquivar caixas de e-mail com zip_mails.sh, mas um dos scripts observados continha erros de sintaxe que impediriam sua execução. Por isso, o roubo bem-sucedido de caixas de e-mail não deve ser presumido a partir desse artefato.
A coleta de bancos de dados evoluiu de amostras limitadas para dumps completos, armazenados localmente e compactados para uma tentativa de exfiltração. Os atacantes também abusaram de serviços legítimos de hospedagem de arquivos para disfarçar transferências de saída como tráfego web comum.
Scripts de limpeza tinham como alvo registros (logs) de autenticação, e-mail, sistema operacional e servidor web.
Os operadores alteraram datas de acesso e modificação de arquivos, técnica documentada pela MITRE ATT&CK (base de conhecimento de táticas e técnicas de ataque) como timestomping, e plantaram rótulos de red team para apresentar a atividade maliciosa como testes autorizados.
Defensores devem restringir conexões de saída e monitorar utilitários que iniciam shells interativos, além de investigar alterações não autorizadas na configuração do PHP e atividades suspeitas de limpeza de histórico em servidores Linux e bancos de dados.
Indicadores de Comprometimento (IoCs, na sigla em inglês)
Nota: endereços IP e domínios são intencionalmente desfigurados (ex.: [.]) para evitar resolução ou hiperlink acidental. Restaure o formato original somente em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (gerenciamento de eventos e informações de segurança).
