En un informe publicado el 15 de octubre, Unit 42 describió actividad de CL-UNK-1211 contra entidades gubernamentales e infraestructura vinculada al Estado entre octubre de 2025 y abril de 2026. El equipo de inteligencia de amenazas de Palo Alto Networks considera que ciertos comentarios en los scripts apuntan a una posible asistencia de IA; la afiliación del grupo sigue sin determinarse. El informe de Unit 42 detalla las técnicas observadas en sistemas Linux y los intentos de recopilar datos.
Qué actividad atribuye Unit 42 a CL-UNK-1211
La investigación describe reconocimiento en Linux, mecanismos para mantener el acceso, búsqueda de credenciales y ataques dirigidos a buzones y bases de datos. Unit 42 no atribuye el clúster —la etiqueta que emplea para agrupar esta actividad— a un Estado ni a un grupo de ciberdelincuentes.
Para establecer persistencia, los atacantes modificaron la configuración PHP auto_prepend_file, utilizaron web shells disfrazadas y alteraron claves SSH autorizadas. También recurrieron a cambios en .bashrc y a registradores PHP para capturar credenciales. Una de las seis formas de persistencia que Unit 42 describió para SysGoRAT en Linux consistía en una tarea cron que se ejecutaba cada cinco minutos.
Qué papel tenía SysGoRAT y qué indican los scripts
Unit 42 identificó SysGoRAT, un troyano de acceso remoto escrito en Go y compatible con Linux y Windows. El malware usaba WebSocket para comunicarse con sus servidores de mando y control. Según el análisis, incluía siete tipos de órdenes, cuatro subacciones de control —shell_start, screenshot, download y persist— y seis métodos de persistencia entre ambos sistemas operativos.
Los comentarios conversacionales, con explicaciones paso a paso, y otros patrones de código llevaron a Unit 42 a plantear una posible asistencia de IA. El equipo dejó abierta la posibilidad de que el código procediera de la salida de un modelo de lenguaje o de un agente automatizado. Es una inferencia sobre cómo pudieron desarrollarse algunos scripts, no una prueba de autoría por IA ni de que esa asistencia mejorara los resultados de la operación.
Para comparar este caso con otra investigación, NeoTeo también publicó una campaña distinta descrita por Anthropic.
Búsquedas en buzones y bases de datos
Los atacantes buscaron correos relacionados con redes sociales en directorios de correo gubernamentales. Sin embargo, un script observado que pretendía comprimir buzones contenía errores de sintaxis y fallaría al ejecutarse tal como estaba escrito, según Unit 42.
En las bases de datos, el equipo describió un script que copiaba hasta 100 filas de cada una de cuatro tablas a una base de datos SQLite local. Después hubo intentos de volcar tablas completas y extraer esos datos. La investigación también menciona la búsqueda de credenciales de bases de datos de WordPress y un intento de subir archivos.
Intentos de ocultar la actividad y respuesta de Cortex XDR
La actividad incluyó intentos de terminar procesos de protección de endpoints, borrar registros y alterar las marcas de tiempo de archivos. Unit 42 afirmó que Cortex XDR detectó y mitigó los intentos de terminar sus procesos, y que la telemetría indicó que las protecciones no quedaron suprimidas.
Un archivo llamado Solarwinds.StatusLog.txt servía de disfraz. Unit 42 dijo que no encontró indicios de que los sistemas o la infraestructura de SolarWinds fueran comprometidos en esta operación.
