Em relatório publicado em 15 de outubro de 2026, a Unit 42 descreveu a atividade do cluster CL-UNK-1211 contra entidades governamentais e infraestrutura ligada ao Estado entre outubro de 2025 e abril de 2026. A equipe de inteligência de ameaças da Palo Alto Networks relata técnicas voltadas a sistemas Linux e interpreta alguns indícios de código como compatíveis com possível assistência de IA. A afiliação do cluster permanece indeterminada, segundo a análise da Unit 42.

O que a Unit 42 relata sobre CL-UNK-1211

A Unit 42 descreve reconhecimento de sistemas Linux, mecanismos de persistência, coleta de credenciais e tentativas de acessar caixas de e-mail e bancos de dados. O conjunto de ferramentas reunia web shells — scripts usados para executar comandos em um servidor —, utilitários de código aberto, scripts próprios e o SysGoRAT.

A equipe não atribuiu a atividade a um grupo ou país. CL-UNK-1211 é o identificador dado ao cluster; a Unit 42 afirma que sua ligação com um Estado ou com o cibercrime não foi determinada.

Por que a Unit 42 considera possível o uso de IA

A Unit 42 aponta comentários conversacionais, com instruções passo a passo, encontrados em alguns scripts, além de outros padrões de programação. Para a equipe, esses elementos são compatíveis com possível assistência de IA no desenvolvimento do código.

Persistência no Linux e recursos do SysGoRAT

Entre as técnicas descritas estão alterações na configuração PHP auto_prepend_file, web shells disfarçados e mudanças no arquivo authorized_keys do SSH. A Unit 42 também relata captura de credenciais por meio de alterações em .bashrc e de um registrador de credenciais em PHP, além de buscas por senhas em arquivos e históricos de comandos.

O SysGoRAT é um trojan de acesso remoto escrito em Go que, segundo a Unit 42, funciona em Linux e Windows e se comunica por WebSocket. O malware tinha sete tipos de comando, quatro ações de controle e seis métodos de persistência. Entre as ações de controle estavam iniciar um shell, fazer uma captura de tela, baixar arquivos e configurar persistência.

A Unit 42 também relata pelo menos sete servidores de comando e controle usados em shells reversos. A técnica que combinava named pipes e Netcat apareceu em três desses servidores; outros métodos recorriam a redirecionamentos TCP do Bash e a subprocessos em Python.

Tentativas de acesso a e-mails e bancos de dados

Um script PHP procurava mensagens relacionadas a redes sociais em diretórios de e-mail do governo. No caso observado pela Unit 42, o script que deveria compactar as caixas de e-mail tinha erros de sintaxe e falharia se fosse executado como estava.

Em bancos de dados, um script coletava amostras de até 100 linhas de cada uma de quatro tabelas e as gravava em um banco SQLite local. A Unit 42 descreve, em seguida, tentativas de extrair o conteúdo completo das tabelas e de transferir dados.

Tentativas de evasão e detecções relatadas

A atividade também incluiu tentativas de apagar registros, alterar datas de arquivos e encerrar processos ligados à proteção de endpoints. Segundo a Unit 42, o Cortex XDR detectou e conteve as tentativas de encerramento de seus processos; a telemetria indicou que as proteções não foram suprimidas.

Um dos disfarces usava o nome de arquivo Solarwinds.StatusLog.txt. A Unit 42 afirma que não encontrou evidências de comprometimento de sistemas ou infraestrutura da SolarWinds nessa operação.