Dans une analyse publiée le 15 octobre 2026, Unit 42 rapporte avoir suivi entre octobre 2025 et avril 2026 une activité visant des entités gouvernementales et des infrastructures liées à des États. Son équipe de renseignement sur les menaces, rattachée à Palo Alto Networks, a baptisé le cluster CL-UNK-1211. Elle attribue à certains scripts des indices d’une possible aide de l’IA et décrit des tentatives de collecte de données, des techniques de persistance sous Linux et des actions déjouées par Cortex XDR. Le rapport d’Unit 42 indique que l’affiliation du cluster reste indéterminée.

Pourquoi Unit 42 évoque une possible aide de l’IA

Des scripts comportaient des commentaires conversationnels, parfois formulés comme un raisonnement étape par étape. Unit 42 y voit, avec d’autres motifs de code, des indices compatibles avec une assistance de l’IA. Cette interprétation ne précise pas si le code a été copié depuis la réponse d’un grand modèle de langage ou déployé par un agent automatisé.

Persistance Linux et SysGoRAT

Les techniques décrites par Unit 42 visaient notamment à maintenir l’accès et à récupérer des identifiants. Elles comprenaient la modification du réglage PHP auto_prepend_file, des web shells déguisés, la modification de clés SSH dans authorized_keys et un mécanisme lié à l’alias sudo dans .bashrc. Un enregistreur PHP figurait aussi parmi les outils décrits.

Le rapport attribue à la campagne SysGoRAT, un cheval de Troie d’accès à distance écrit en Go et conçu pour Linux comme pour Windows. Il communiquait avec son serveur de commande et de contrôle par WebSocket. Unit 42 lui attribue sept types de commandes — command, control, list_dir, shell_input, proxy_connect, proxy_data et proxy_close — ainsi que quatre sous-actions de contrôle : shell_start, screenshot, download et persist. Le malware disposait de six méthodes de persistance au total ; l’une des méthodes Linux consistait à lancer une tâche cron toutes les cinq minutes.

Unit 42 rapporte également au moins sept serveurs distincts utilisés pour des shells inversés, qui donnent à un opérateur un accès à distance à une machine. La technique combinant un tube nommé et Netcat apparaissait sur trois de ces serveurs ; d’autres méthodes reposaient sur des redirections TCP de Bash ou des processus Python.

Courriels et bases de données ciblés

Un script PHP recherchait dans des répertoires de messagerie des courriels liés aux réseaux sociaux et lisait les premiers 4 Ko des fichiers concernés. Dans le cas observé par Unit 42, un autre script, prévu pour compresser des boîtes mail, comportait des erreurs de syntaxe et aurait échoué à l’exécution.

Pour les bases de données, le rapport décrit un script qui copiait jusqu’à 100 lignes de chacune de quatre tables vers une base SQLite locale, puis des tentatives de récupération de tables entières et d’exfiltration. Ces opérations sont décrites comme des tentatives ; Unit 42 ne rapporte pas que l’ensemble des données visées ait été dérobé.

Tentatives d’évasion et détections

Les actions rapportées comprenaient la suppression de journaux, la modification d’horodatages de fichiers et l’effacement de scripts après usage. Les attaquants ont aussi tenté de terminer des processus liés à Cortex XDR. Selon Unit 42, le produit a détecté et neutralisé ces tentatives, et la télémétrie indiquait que les protections des terminaux n’avaient pas été supprimées.

Un fichier nommé Solarwinds.StatusLog.txt servait de camouflage. Unit 42 indique n’avoir trouvé aucun indice de compromission des systèmes ou de l’infrastructure de SolarWinds dans cette opération.