Unit 42 publiceerde op 15 oktober 2026 een analyse van activiteit die het tussen oktober 2025 en april 2026 waarnam tegen overheidsinstanties en staatsgelieerde infrastructuur. Het threat-intelligence-team van Palo Alto Networks volgt de activiteit onder de naam CL-UNK-1211. Het vermoeden van AI-assistentie is gebaseerd op aanwijzingen in scripts; de affiliatie van het cluster bleef onbepaald. Lees het technische rapport van Unit 42.
Wat Unit 42 meldt over CL-UNK-1211
De gemelde activiteit richtte zich op Linux-omgevingen en omvatte verkenning, pogingen om blijvende toegang te krijgen, het zoeken naar inloggegevens en pogingen om e-mail- en databasegegevens te verzamelen. Unit 42 noemde geen slachtoffers of verantwoordelijke actor. De aanduiding CL-UNK-1211 is de naam die het team aan het cluster gaf.
Waarom Unit 42 mogelijke AI-assistentie vermoedt
In verschillende scripts zag Unit 42 conversatieachtige, stapsgewijze commentaren en andere codepatronen die volgens het team passen bij mogelijke AI-ondersteuning bij het schrijven van code. De scripts kunnen volgens die analyse zijn overgenomen uit uitvoer van een taalmodel of door een geautomatiseerde AI-agent zijn ingezet. Dat blijft een aanwijzing voor mogelijke assistentie, geen vastgestelde verklaring voor het ontstaan of het effect van de campagne.
Linux-persistentie, inloggegevens en SysGoRAT
De beschreven technieken waren gericht op toegang behouden en accounts buitmaken. Unit 42 meldde onder meer wijzigingen aan PHP-instellingen voor auto_prepend_file, vermomde PHP-webshells en aanpassingen aan SSH-bestanden met authorized_keys. Ook beschreven scripts die inloggegevens zochten in bestanden en opdrachtgeschiedenis, en methoden die op .bashrc- en PHP-bestanden waren gericht.
Een ander onderdeel was SysGoRAT, een op maat gemaakte remote-access-trojan in Go die volgens Unit 42 zowel Linux als Windows ondersteunt. De malware gebruikte WebSocket-verbindingen voor command-and-control: communicatie waarmee een aanvaller opdrachten naar een besmet systeem kan sturen. Unit 42 beschreef zeven commandotypen, vier besturingsacties en zes methoden om toegang te behouden. Voor reverse shells — verbindingen die een opdrachtregel op afstand openen — rapporteerde het team minstens zeven verschillende command-and-controlservers. De techniek met named pipes en Netcat kwam voor bij drie daarvan.
Unit 42 meldde ook een aangepaste Go-scanner die CVE-2025-55182 opspoorde. Daarnaast beschreef het team het gebruik van PwnKit in een poging rootrechten te verkrijgen.
Mailboxen en databases: pogingen, geen vastgestelde totaalroof
Een PHP-script doorzocht e-mailmappen op berichten met termen die verband houden met sociale media. Het geanalyseerde script om mailboxen te comprimeren bevatte syntaxfouten en zou daardoor bij uitvoering mislukken. Unit 42 beschreef daarnaast een database-script dat maximaal 100 rijen uit elk van vier tabellen naar een lokale SQLite-database kopieerde, gevolgd door pogingen om volledige tabellen te dumpen en gegevens weg te sturen.
Evasiepogingen en detecties
De activiteit omvatte pogingen om logs te wissen, bestandstijden te veranderen en processen van endpointbeveiliging te beëindigen. Volgens Unit 42 detecteerde en blokkeerde Cortex XDR de beschreven pogingen om processen van die bescherming te stoppen; de telemetrie van het team liet zien dat de beveiliging actief bleef.
De bestandsnaam Solarwinds.StatusLog.txt werd als vermomming gebruikt. Unit 42 zei geen aanwijzingen te hebben gevonden dat systemen of infrastructuur van SolarWinds bij deze operatie waren gecompromitteerd.
