Zespół Unit 42 opisał w raporcie opublikowanym 15 października 2026 r. aktywność klastra CL-UNK-1211 przeciwko instytucjom rządowym i infrastrukturze powiązanej z państwem. Działania obserwowano od października 2025 r. do kwietnia 2026 r. Unit 42 uznał, że część skryptów mogła powstać przy wsparciu AI, ale afiliację klastra określił jako nierozstrzygniętą. Raport Unit 42 opisuje techniki utrzymywania dostępu w Linux, złośliwe oprogramowanie SysGoRAT oraz próby pozyskiwania danych.
Co opisuje Unit 42
CL-UNK-1211 to etykieta nadana przez Unit 42 klastrowi aktywności. Raport dotyczy celów rządowych i infrastruktury powiązanej z państwem; zespół nie przypisał klastrowi konkretnego sprawcy ani afiliacji państwowej lub przestępczej.
Wątek AI wynika z komentarzy w skryptach, które przypominały rozmowę i krok po kroku wyjaśniały działanie kodu, oraz z innych wzorców programistycznych. Unit 42 uznał te ślady za zgodne z możliwym wsparciem AI. Jako możliwe scenariusze wskazał skopiowanie kodu wygenerowanego przez duży model językowy albo użycie zautomatyzowanego agenta; raport nie rozstrzyga, który z nich miał miejsce.
To odrębna sprawa od kampanii przeciw Ukrainie i Europie przypisywanej przez Anthropic grupie powiązanej z Rosją, którą opisaliśmy osobno.
Utrzymywanie dostępu w Linux i SysGoRAT
Wśród opisanych przez Unit 42 metod utrzymywania dostępu znalazły się zmiany konfiguracji PHP auto_prepend_file, ukrywanie web shelli pod wiarygodnymi nazwami oraz modyfikowanie pliku SSH authorized_keys. Raport opisuje też przechwytywanie danych uwierzytelniających przez zmiany w .bashrc i skrypty PHP. Web shell to skrypt umieszczony na serwerze, który może dać atakującym zdalny dostęp do poleceń lub funkcji systemu.
W kampanii wykorzystano również SysGoRAT — autorski trojan zdalnego dostępu napisany w Go i obsługujący Linux oraz Windows. Według Unit 42 komunikował się z serwerem sterującym przez WebSocket i miał siedem typów poleceń, cztery poddziałania sterujące oraz sześć metod utrwalania dostępu. Jedna z metod dla Linux wykorzystywała zadanie cron uruchamiane co pięć minut.
Unit 42 opisał także powłoki zwrotne, czyli połączenia pozwalające zdalnie wydawać polecenia na zaatakowanym systemie. Zespół wskazał co najmniej siedem serwerów sterujących używanych w tych działaniach. Metodę opartą na nazwanym potoku i Netcat odnotował na trzech z nich; wykryte warianty korzystały też z przekierowań TCP w Bash i podprocesów Pythona.
Próby dostępu do poczty i baz danych
Skrypt PHP search_social.php przeszukiwał katalogi pocztowe pod kątem wiadomości związanych z mediami społecznościowymi. Unit 42 opisał też skrypt przeznaczony do kompresowania skrzynek, który zawierał błędy składni i nie zadziałałby w tej postaci.
W przypadku baz danych raport opisuje skrypt próbkujący, który zapisywał lokalnie w SQLite do 100 wierszy z każdej z czterech tabel. Później podejmowano próby zrzucenia pełnej zawartości tabel i jej wyprowadzenia. To rozróżnienie ma znaczenie: opisane działania obejmowały próby zbierania danych, a nie potwierdzenie, że wszystkie zamierzone wiadomości lub rekordy opuściły systemy.
Próby ukrywania aktywności i alerty ochrony
Zespół opisał usuwanie logów, zmianę znaczników czasu plików oraz kasowanie skryptów po ich użyciu. Atakujący próbowali też zakończyć procesy związane z Cortex XDR. Według telemetrii opisanej przez Unit 42 system wykrył i zablokował te próby, a ochrona punktów końcowych nie została wyłączona.
W jednym z działań wykorzystano nazwę pliku Solarwinds.StatusLog.txt jako kamuflaż. Unit 42 podał, że w tej operacji nie znalazł dowodów na naruszenie systemów ani infrastruktury SolarWinds.
