Server Linux governativi presi di mira da SysGoRAT e da presunti script generati da Intelligenza Artificiale

Server Linux governativi presi di mira da SysGoRAT e da presunti script generati da Intelligenza Artificiale — Rassegna informativa e sintesi tecnica curata da PCNext sulla base del report documentato da The Hacker News.

Sintesi della Notizia & Quadro dell’Evento

L'attività, osservata dall'Unità 42 di Palo Alto Networks tra ottobre 2025 e aprile 2026, è stata tracciata con il soprannome CL-UNK-1211, dove "CL" si riferisce al cluster e "UNK" sta per motivazione sconosciuta.

Un aspetto degno di nota della campagna riguarda l'uso di modelli linguistici di grandi dimensioni (LLM) e/o agenti automatizzati di intelligenza artificiale (AI) per generare payload ed eseguire codice dannoso.

Dettagli Tecnici & Approfondimento

"Gli aggressori dietro questo gruppo di attività si sono concentrati sugli ambienti Linux per condurre ricognizioni approfondite e mantenere un accesso persistente alla rete per supportare la raccolta di informazioni", hanno detto i ricercatori Roey Porat e Tom Fakterman. "Gli aggressori hanno tentato di scaricare database sensibili ed esfiltrare caselle di posta governative per accedere agli account dei social media."

La campagna utilizza un "playbook operativo versatile", sfruttando una combinazione di strumenti open source, backdoor multipiattaforma personalizzate e shell web per mantenere l'accesso. Un altro segno distintivo riguarda i tentativi di disabilitare le protezioni degli endpoint, cancellare i registri di sistema e inserire ingannevoli indicatori di squadra rossa in modo da mascherare l'attività come una legittima valutazione della sicurezza.

È stato anche osservato che l'autore della minaccia utilizza PHP e script shell dannosi, probabilmente generati utilizzando l'intelligenza artificiale, per mantenere la persistenza, eseguire ricognizioni ed esfiltrare dati.