In un’analisi pubblicata il 15 ottobre, Unit 42 ha riferito di aver osservato tra ottobre 2025 e aprile 2026 l’attività di CL-UNK-1211 contro enti governativi e infrastrutture legate allo Stato. La squadra di threat intelligence di Palo Alto Networks descrive una campagna focalizzata su Linux e interpreta alcuni indizi nel codice come possibili segnali di assistenza dell’IA; l’affiliazione del cluster è rimasta indeterminata. Leggi l’analisi di Unit 42 su CL-UNK-1211.
Ambito della campagna e indizi sull’IA
Unit 42 non ha attribuito CL-UNK-1211 a uno Stato o a un gruppo criminale. L’indicazione di un possibile uso dell’IA deriva da commenti conversazionali e annotazioni passo per passo presenti in alcuni script, oltre che da altri schemi di programmazione. Per Unit 42 questi elementi sono compatibili con l’assistenza dell’IA: il codice potrebbe essere stato copiato da un modello linguistico oppure impiegato da un agente automatizzato. Non identificano, da soli, quale processo abbia prodotto o usato gli script.
La vicenda è distinta da un altro caso di cyberspionaggio legato all’IA riferito da Anthropic.
Persistenza su Linux e SysGoRAT
Per mantenere l’accesso, le tecniche descritte da Unit 42 comprendevano modifiche alle impostazioni PHP auto_prepend_file, web shell PHP camuffate e modifiche alle chiavi SSH authorized_keys. Il rapporto descrive anche tentativi di intercettare credenziali attraverso un alias sudo inserito in .bashrc e un registratore di credenziali PHP.
Nel toolkit compariva SysGoRAT, un trojan ad accesso remoto scritto in Go e progettato per Linux e Windows. Unit 42 gli attribuisce sette tipi di comando, quattro sottoazioni di controllo — avvio di una shell, acquisizione di schermate, download e persistenza — e sei metodi di persistenza complessivi tra i due sistemi operativi. Su Linux, uno dei metodi basati su cron era configurato per ripetersi ogni cinque minuti. Il malware usava WebSocket per comunicare con il server di comando e controllo.
La squadra ha inoltre riferito di almeno sette server usati per le shell inverse, connessioni che consentono di impartire comandi a un sistema compromesso. La tecnica basata su named pipe e Netcat compariva su tre di quei server; altri script usavano reindirizzamenti TCP di Bash o processi Python.
Tentativi di raccolta di email e database
Uno script PHP cercava nelle directory di posta messaggi legati ai social media. Nell’istanza osservata, lo script destinato a comprimere le caselle email conteneva errori di sintassi e sarebbe fallito se eseguito. Per i database, Unit 42 descrive uno script che campionava fino a 100 righe da ciascuna di quattro tabelle, seguito da tentativi di scaricare le tabelle complete e trasferirne i contenuti.
Unit 42 riferisce anche di uno scanner personalizzato rivolto a CVE-2025-55182. Per CVE-2021-4034, gli attaccanti avrebbero usato PwnKit nel tentativo di ottenere privilegi di root.
Tentativi di eludere le difese
La campagna comprendeva tentativi di terminare processi legati a Cortex XDR, cancellare log e modificare i timestamp dei file. Unit 42 ha riferito che Cortex XDR ha rilevato e mitigato i tentativi di terminare i processi di protezione e che la telemetria indicava che le difese endpoint erano rimaste attive.
Il nome Solarwinds.StatusLog.txt veniva usato come camuffamento. Unit 42 ha dichiarato di non aver trovato prove che, in questa operazione, fossero stati compromessi sistemi o infrastrutture di SolarWinds.
