Чужой код выдал следы нейросети прямо посреди шпионской операции против государственных серверов. Команда Unit 42 компании Palo Alto Networks раскрыла кампанию CL-UNK-1211 против госучреждений и связанной с государством инфраструктуры на Linux. Зафиксированная активность охватывает период с октября 2025 по апрель 2026 года. Названия пострадавших ведомств не раскрыты.
Вредоносные скрипты содержали необычные комментарии с пошаговыми пояснениями, похожими на ответы языковой модели. Операторы переключались между PHP, Bash, Python и JavaScript, а команды часто кодировали в Base64. Unit 42 предполагает, что злоумышленники копировали готовый код из ИИ или поручали запуск агенту. Доказательств полностью автономной атаки нет.
Для проникновения и закрепления на Linux-серверах применяли веб-шеллы, программы для удалённого выполнения команд через сайт. Атакующие меняли параметр auto_prepend_file в конфигурациях PHP, заставляя сервер автоматически загружать вредоносный файл перед запуском обычных скриптов при каждом обращении. Один из бэкдоров маскировался под системный компонент панели Plesk.
Пароли перехватывали без сложных эксплойтов. Злоумышленники изменяли файл .bashrc так, чтобы команда sudo сначала показывала поддельный запрос пароля, записывала введённое значение в журнал и только затем запускала настоящую sudo. Похожий код вставляли в страницу входа администратора, не вызывая видимых ошибок. Полученные учётные данные открывали путь к другим системам.
Отдельным инструментом стал SysGoRAT, написанный на Go троян удалённого доступа для Linux и Windows. Через WebSocket программа принимала команды, передавала файлы, снимала скриншоты, открывала интерактивную оболочку и работала как прокси во внутренней сети. Для закрепления вредонос мог создавать службу systemd, задание cron или запись автозапуска Windows.
Основной интерес представляли базы данных и служебная почта. Скрипт search_social.php искал в заголовках писем упоминания Facebook, Instagram, TikTok и других платформ, помогая находить аккаунты, связанные с государственными адресами. Попытка собрать целые почтовые ящики в ZIP-архивы оказалась неудачной: подготовленный для выгрузки скрипт содержал синтаксическую ошибку.
Для продвижения внутри сети атакующие использовали SSH, прокси и доступ к SQL-серверам. На отдельных взломанных серверах удавалось получить права root и оставить ключи SSH для повторного входа. Подобное применение ИИ уже встречалось в других кампаниях, однако здесь особенно заметно сочетание автоматически подготовленных скриптов и ручных способов закрепления.
Перед уходом злоумышленники стирали журналы, меняли временные метки файлов и оставляли обозначения, похожие на следы легального пентеста. Скрипты также пытались остановить Cortex XDR, но защита заблокировала такие действия. Unit 42 не установила принадлежность группы и не назвала общий объём похищенных данных. Наличие ИИ не избавило операторов от ошибок и обнаружения.
