Ataki na rządowe serwery Linux z użyciem SysGoRAT i skryptów generowanych przez AI

Wprowadzenie do problemu / definicja

Badacze bezpieczeństwa ujawnili kampanię cybernetyczną wymierzoną w infrastrukturę linuksową wykorzystywaną przez podmioty rządowe i organizacje o charakterze państwowym. Operacja łączy klasyczne techniki post-exploitation z narzędziami i skryptami, które noszą ślady wykorzystania sztucznej inteligencji, co przyspiesza działania napastników i ułatwia utrzymanie dostępu do przejętych systemów.

To istotny sygnał dla zespołów bezpieczeństwa, ponieważ atakujący nie ograniczają się już do pojedynczego malware. Zamiast tego budują elastyczny łańcuch ataku oparty na web shellach, kradzieży poświadczeń, zdalnym dostępie i technikach antyforensycznych.

W skrócie

Kampania była obserwowana od października 2025 r. do kwietnia 2026 r. i została powiązana z aktywnością klastra CL-UNK-1211. Głównym celem były serwery Linux, na których wdrażano web shelle, pozyskiwano poświadczenia, analizowano skrzynki pocztowe i przygotowywano eksfiltrację danych.

• atakujący koncentrowali się na środowiskach linuksowych hostujących krytyczne usługi,
• w kampanii wykorzystano wieloplatformowego trojana SysGoRAT napisanego w Go,
• zaobserwowano reverse shelle działające niemal wyłącznie w pamięci,
• kod i komentarze w skryptach sugerowały użycie modeli językowych lub agentów AI.

Kontekst / historia

Środowiska Linux od lat pozostają podstawą działania wielu usług publicznych, w tym poczty, aplikacji webowych, systemów administracyjnych i baz danych. To sprawia, że są bardzo atrakcyjnym celem dla operacji szpiegowskich i długotrwałych kampanii ukierunkowanych.

W opisywanej operacji napastnicy wykorzystywali mieszany zestaw narzędzi: otwartoźródłowe web shelle, własne implanty, skrypty PHP i Bash oraz techniki utrudniające wykrycie. Szczególnie interesujące są ślady sugerujące, że część kodu mogła zostać wygenerowana lub przynajmniej przyspieszona przez systemy AI. Nie oznacza to pełnej autonomii ataków, ale pokazuje, że sztuczna inteligencja staje się praktycznym akceleratorem pracy operatorów.

Analiza techniczna

Łańcuch ataku obejmował kilka warstw trwałości i kontroli nad przejętym hostem. Jednym z pierwszych kroków było wdrażanie wielu web shelli na serwerach Linux oraz modyfikowanie konfiguracji PHP. Szczególną rolę odgrywał parametr auto_prepend_file, który pozwalał automatycznie ładować złośliwy kod przed uruchomieniem legalnych skryptów. Taka technika zwiększa trwałość infekcji i utrudnia jej usunięcie.

Kolejnym etapem była kradzież poświadczeń. Napastnicy wykorzystywali kilka metod jednocześnie, aby zwiększyć skuteczność i zbudować szerszy obraz środowiska ofiary.

• podmiana pliku .bashrc w celu przechwytywania haseł wpisywanych przy użyciu sudo,
• wstrzykiwanie kodu do stron logowania PHP, aby przechwycić dane administratorów,
• przeszukiwanie plików konfiguracyjnych i historii poleceń pod kątem haseł zapisanych jawnym tekstem.

Kluczowym komponentem kampanii był SysGoRAT, niestandardowy RAT napisany w języku Go, działający zarówno w środowiskach Linux, jak i Windows. Malware zestawiał połączenie command-and-control przez WebSocket i udostępniał funkcje zdalnego wykonywania poleceń, uruchamiania interaktywnej powłoki, listowania katalogów, transferu plików, instalowania mechanizmów trwałości oraz tworzenia połączeń proxy do innych systemów w sieci.

Taki zestaw możliwości pozwalał nie tylko na zdalną administrację przejętym serwerem, ale również na ruch boczny i pivoting do kolejnych zasobów. To znacząco zwiększało wartość operacyjną kompromitacji, zwłaszcza w środowiskach rządowych, gdzie pojedynczy serwer może być punktem wejścia do większej infrastruktury.

Napastnicy używali także reverse shelli działających niemal wyłącznie w pamięci. Do ich uruchamiania wykorzystywano legalne narzędzia systemowe, takie jak bash, nc i python3. Dzięki temu ograniczano liczbę artefaktów pozostawianych na dysku, co utrudniało wykrycie przez rozwiązania koncentrujące się głównie na analizie plików.

W części operacji skoncentrowanej na poczcie elektronicznej atakujący przeszukiwali katalogi serwerów pocztowych, analizowali nagłówki wiadomości i identyfikowali e-maile powiązane z kontami w mediach społecznościowych. Celem mogło być przejęcie dostępu do zewnętrznych kont instytucjonalnych, reset haseł lub przygotowanie dalszej eksfiltracji korespondencji.

Zaobserwowano także działania antyforensyczne, w tym próby wyłączania ochrony endpointów, manipulację logami, ukrywanie aktywności pod nazwami przypominającymi legalne narzędzia administracyjne oraz usuwanie śladów po wykonanych operacjach. To pokazuje, że kampania była prowadzona metodycznie i z myślą o długoterminowej obecności w środowisku ofiary.

Konsekwencje / ryzyko

Ryzyko związane z tą kampanią jest wysokie, ponieważ celem były systemy Linux hostujące krytyczne usługi organizacyjne. Połączenie web shelli, technik in-memory, kradzieży poświadczeń i wieloplatformowego RAT-a oznacza, że atakujący mogli jednocześnie zdobywać dane, utrzymywać trwały dostęp i przygotowywać dalsze etapy operacji.

Dla instytucji publicznych oznacza to możliwość ujawnienia korespondencji urzędowej, danych obywateli, informacji operacyjnych oraz przejęcia kanałów komunikacji zewnętrznej. Dodatkowo funkcje proxy i ruchu bocznego zwiększają ryzyko rozprzestrzenienia incydentu na kolejne systemy, także poza pierwotnym serwerem wejściowym.

Niepokojącym aspektem jest również wykorzystanie AI do przyspieszenia tworzenia skryptów i adaptacji narzędzi. Nawet jeśli taki kod nie jest idealny, skraca czas potrzebny na przygotowanie kolejnych wariantów ataku i może zwiększać skalę podobnych kampanii w przyszłości.

Rekomendacje

Organizacje utrzymujące serwery Linux powinny wdrożyć wielowarstwowe środki ochrony, obejmujące zarówno utwardzanie systemów, jak i monitoring zachowań. W pierwszej kolejności warto przeprowadzić przegląd konfiguracji PHP oraz zweryfikować integralność plików w lokalizacjach systemowych i hostingowych.

• monitorować zmiany w plikach .bashrc, .profile i innych skryptach startowych użytkowników,
• sprawdzać konfiguracje PHP pod kątem nieautoryzowanych zmian, zwłaszcza parametru auto_prepend_file,
• wdrożyć detekcję nietypowych uruchomień bash, nc i python3 w kontekście usług webowych,
• regularnie skanować środowisko pod kątem web shelli i podejrzanych plików PHP,
• egzekwować zasadę minimalnych uprawnień dla kont administracyjnych i usługowych,
• ograniczyć ruch wychodzący z serwerów do niezbędnych adresów i portów,
• wdrożyć centralne logowanie i zabezpieczenia przed manipulacją logami,
• eliminować hasła zapisane jawnym tekstem w plikach konfiguracyjnych i repozytoriach sekretów,
• stosować MFA dla paneli administracyjnych, poczty i kont komunikacji publicznej,
• przygotować reguły wykrywania anomalii związanych z masową archiwizacją i przeszukiwaniem skrzynek pocztowych.

W procesach reagowania na incydenty warto uwzględnić scenariusze, w których złośliwy kod może zawierać elementy wygenerowane przez AI. Oznacza to potrzebę analizy nie tylko znanych sygnatur, ale również nietypowych wzorców zachowań, komentarzy i struktur skryptów.

Podsumowanie

Kampania wymierzona w rządowe serwery Linux pokazuje, że środowiska uniksowe pozostają jednym z najważniejszych celów nowoczesnych operacji szpiegowskich. Połączenie web shelli, kradzieży poświadczeń, SysGoRAT, reverse shelli działających w pamięci oraz technik antyforensycznych tworzy dojrzały zestaw TTP, który może być trudny do wykrycia bez odpowiedniej telemetrii i kontroli.

Najważniejszy wniosek jest jednak szerszy: sztuczna inteligencja coraz wyraźniej wspiera działania ofensywne. Zespoły bezpieczeństwa muszą więc przygotować się na szybsze, bardziej adaptacyjne i trudniejsze do analizy kampanie wymierzone w krytyczną infrastrukturę.

Źródła

1. The Hacker News — https://thehackernews.com/2026/11/government-linux-servers-targeted-with.html
2. Unit 42: AI-Powered Espionage Campaign Targets Government Linux Infrastructure — https://unit42.paloaltonetworks.com/ai-campaign-targets-linux-infrastructure/