Regierungs-Linux-Server wurden im Rahmen einer Spionagekampagne ins Visier genommen, die Zugangsdaten stahl und versuchte, sensible Datenbanken und Regierungspostfächer abzugreifen. Das berichtete The Hacker News unter Berufung auf Palo Alto Networks Unit 42. Die Forscher fanden Hinweise darauf, dass die Angreifer beim Aufbau dauerhafter Zugänge KI-generierte Skripte einsetzten. Die Postfachsuchen zielten darauf ab, Zugriff auf Social-Media-Konten zu erlangen.
Unit 42 beobachtete die Aktivität zwischen Oktober 2025 und April 2026 und verfolgte sie unter der Bezeichnung CL-UNK-1211. Der Bericht von The Hacker News aus dem November beschreibt Angriffe auf staatliche Stellen und staatsnahe Infrastruktur. Die Erkenntnisse sind daher besonders relevant für Teams, die für Linux-Webserver, Anwendungs-Zugangsdaten und E-Mail-Systeme von Behörden verantwortlich sind.
Persistenter Zugriff und Diebstahl von Zugangsdaten
Der Bericht von The Hacker News beschreibt eine Kombination aus Open-Source-Werkzeugen, eigens entwickelten Backdoors und Web-Shells. Web-Shells sind Skripte, mit denen Angreifer über Webanfragen einen Server steuern können. Die Unit-42-Forscher Roey Porat und Tom Fakterman erklärten, die Betreiber hätten umfangreiche Aufklärung betrieben und den Netzwerkzugang aufrechterhalten, um Informationsbeschaffung zu unterstützen.
Die Angreifer versuchten außerdem, Endpunktschutz zu deaktivieren, Systemprotokolle zu löschen und Markierungen zu hinterlassen, die eine legitime Sicherheitsüberprüfung durch ein Red Team vortäuschen sollten. Diese Maßnahmen begleiteten schädliche PHP- und Shell-Skripte, die der Persistenz, der Aufklärung und dem Datendiebstahl dienten.
Das Sammeln von Zugangsdaten erfolgte auf drei Wegen. Die Angreifer ersetzten .bashrc, eine Startdatei der Shell, durch eine manipulierte Version mit einem Befehl zum Abgreifen von Passwörtern. Sie fügten Code zum Abgreifen von Zugangsdaten in die Anmeldeseiten der PHP-Administratoren ein. Außerdem durchsuchten sie Konfigurationsdateien und Befehlsverläufe nach Klartext-Passwörtern für E-Mail-Konten, SMTP-Mailserver und Datenbanken.
Unit 42 identifizierte zudem SysGoRAT, einen eigens entwickelten Remote-Access-Trojaner in Go, der langfristigen Zugriff sowohl unter Linux als auch unter Windows ermöglicht. Er verbindet sich über WebSocket, ein bidirektionales Kommunikationsprotokoll, mit der fest einprogrammierten Command-and-Control-Adresse 104.194.158[.]65:443.
Die Schadsoftware kennt sieben Befehlstypen. command führt Anweisungen unter Linux über /bin/sh -c oder unter Windows über cmd /C aus. control ermöglicht eine interaktive Shell über shell_start, Bildschirmfotos über screenshot, die Exfiltration von Dateien über download und Persistenz über persist. Die übrigen Typen sind list_dir für Verzeichnislisten, shell_input für interaktive Shell-Sitzungen sowie proxy_connect, proxy_data und proxy_close, mit denen Verbindungen zu anderen Zielen aufgebaut, weitergeleitet und beendet werden.
Die Betreiber nutzten außerdem Reverse Shells, die im Arbeitsspeicher laufen. Sie erlauben die Ausführung entfernter Befehle und vermeiden forensische Spuren auf der Festplatte. Zudem zählten sie Nachrichten in ausgewählten Ordnern, indem sie Verzeichnisse unter /var/qmail/mailnames/ durchsuchten.
Ein PHP-Skript namens search_social.php durchsuchte E-Mail-Header nach Schlüsselwörtern mit Bezug zu sozialen Medien. Es zeigte passende Nachrichten mit ihren genauen Dateipfaden, Absendern, Empfängern und Betreffzeilen an. So konnten die Betreiber gezielt E-Mails finden, die mit bestimmten Konten zusammenhängen.
Ein nachfolgender Schritt scheiterte: Ein Bash-Skript namens zip_mails.sh sollte ausgewählte E-Mails für die Exfiltration in ZIP-Archive packen. Es enthielt jedoch Syntaxfehler und wurde nicht erfolgreich ausgeführt.
Hinweise auf KI-Unterstützung
Unit 42 schätzte ein, dass mehrere schädliche PHP- und Shell-Skripte wahrscheinlich mithilfe großer Sprachmodelle oder automatisierter KI-Agenten erzeugt wurden. Als Beleg dienten gesprächsartige, schrittweise Notizen, die dem Betreiber, der die Anweisungen gegeben hatte, die Logik des Codes erklärten. Übliche Entwicklerdokumentation fehlte.
Diese Notizen deuteten darauf hin, dass der Code direkt aus KI-Ausgaben übernommen oder von einem automatisierten Agenten eingesetzt worden war. Unit 42 beschrieb die Operation als Kombination etablierter Techniken nach der Kompromittierung mit KI-gestützter Skripterstellung und -anpassung, wodurch der manuelle Entwicklungsaufwand sinkt.
Der breitere Einsatz offensiver KI-Frameworks liefert Kontext, ohne CL-UNK-1211 einem anderen Akteur zuzuordnen. The Hacker News berichtete außerdem über Erkenntnisse der Google Threat Intelligence Group, von Mandiant und von Microsoft zum Missbrauch von ARTEX, PentAGI, Hexstrike und CAIRN. Dabei handelt es sich um Frameworks, die KI-Agenten nutzen, um Penetrationstests zu koordinieren.
Gemeldete Fälle umfassen Storm-0940, auch UNC7228 genannt, das ARTEX für Datendiebstahl gegen Unternehmen aus den Bereichen Unternehmenssoftware, industrielle Automatisierung, Halbleiterfertigung und -design sowie Telekommunikation in den USA und Europa einsetzte. Finanziell motivierte Akteure nutzten ARTEX ebenfalls für datendiebstahlbasierte Erpressung, unter anderem gegen den asiatischen Finanzsektor. PentAGI wurde für die Zuordnung von WHOIS-Registrierungsdaten, Aufklärung und Schwachstellenscans gegen Organisationen in Asien eingesetzt.
Der Autor von ARTEX nahm das Framework nach Berichten über weitverbreiteten Missbrauch vom Netz. Es tauchten jedoch Varianten auf, darunter die kommerzielle Version ARTEX PRO und eine lokalisierte Version namens ScopeWeaver. GTIG und Mandiant erklärten, solche Frameworks beschleunigten Angriffe, gingen dabei aber auf Kosten der Unauffälligkeit: Die autonome Ausführung erzeugt forensisch auswertbaren Datenverkehr, erkennbare Kennungen und Code-Spuren, die die Erkennung erleichtern können.
Microsoft beschreibt breitere Nutzung durch Nordkorea
In seiner gesonderten Bewertung vom 29. Oktober erklärte Microsoft, die nordkoreanischen Gruppen Onyx Sleet, auch als Andariel bekannt, und Pearl Sleet, auch als Lawrencium bekannt, setzten ARTEX operativ ein. Microsoft kam zu dem Schluss, dass KI-gestützte Operationen Nordkoreas weiterhin von Menschen gesteuert werden und nicht vollständig autonom ablaufen.
Das Unternehmen beschrieb KI als Beschleuniger bestehender Ziele: Einnahmen generieren, strategische Informationen sammeln und in einigen Fällen politisch motivierte Störungen oder Zerstörung herbeiführen. Häufige Ziele sind Kryptowährungs- und Finanzorganisationen, Technologieunternehmen, Software-Lieferketten, Regierungen und Bildungseinrichtungen.
Microsoft ordnete die Akteure vier Einsatzstufen zu: aufkommend, expandierend, beschleunigend und operationalisiert. Die Gesamtnutzung bewertete das Unternehmen als hoch. Jade Sleet, Coral Sleet und Jasper Sleet hatten KI bereits fest in ihre operativen Abläufe integriert. Beispiele dafür sind: Jade Sleet startete binnen einer Woche Kampagnen über drei Tarnfirmen. Onyx Sleet erstellte innerhalb von Minuten Dutzende maßgeschneiderte Köder. Coral Sleet entwickelte rasch eine Fähigkeit, private Quellcode-Repositories mit Schadcode zu versehen. Diamond Sleet nutzte KI für die Zielauswahl, für Personas und für die Gründung von Tarnfirmen.
Schutzmaßnahmen für Administratoren
Microsofts Empfehlungen beziehen sich auf diese breitere nordkoreanische Aktivität. Das Unternehmen rät, exponierte Assets und Schwachstellen zu identifizieren, Fehlkonfigurationen zu beheben und das Patchen wo möglich zu automatisieren. Administratoren sollten webseitige Systeme hinter einer sicheren Grenze platzieren und VPN-Zugang nutzen. Server, die öffentlich erreichbar bleiben müssen, können in manchen Fällen mit einer Web Application Firewall, einem Reverse Proxy oder einem Perimeternetz das Risiko von Ausnutzung verringern. Als unterstützende Werkzeuge nennt Microsoft Defender Vulnerability Management, External Attack Surface Management und Azure Update Manager.
Für E-Mail- und Identitätsschutz empfiehlt Microsoft Schulungen für Nutzer, Phishing-Simulationen, Safe Links und Safe Attachments, die Überprüfung der Einstellungen in Exchange Online Protection sowie das Untersuchen und Entfernen schädlicher Nachrichten. Zero-Hour Auto Purge kann Nachrichten in Quarantäne verschieben, nachdem neue Threat Intelligence vorliegt. Einsatzkräfte können zudem nach ähnlichen schädlichen URLs und Betreffzeilen suchen. Microsoft rät, die Gerätecode-Authentifizierung wo immer möglich zu blockieren, und notwendige Nutzung über Entra-Conditional-Access-Richtlinien zu steuern.
Die Empfehlungen zur Personalauswahl sehen eine genauere Prüfung von Mitarbeitenden vor, die über Personaldienstleister kommen. Dazu gehören doppelte Profile und Telefonnummern, widersprüchliche Lebensläufe, Referenzen und parallele Beschäftigungen unter einer Persona. Außerdem rät Microsoft zu mehreren Videogesprächen und zur Prüfung eines überprüfbaren digitalen Fußabdrucks, etwa einer Wohnadresse und einer echten Telefonnummer, die kein VoIP-Anschluss ist.
Für Endpunkte empfiehlt Microsoft aktuelle Virenschutz-Definitionen, cloudbasierten Echtzeitschutz, Endpoint Detection and Response im Blockmodus, automatisierte Untersuchung und Behebung, Netzwerkschutz sowie automatische Angriffsunterbrechung. Microsoft erklärt, dass Kunden mit aktivierten Regeln in beobachteten Angriffen die Attacken in einem frühen Stadium abwehren und manuelle Eingriffe der Angreifer verhindern konnten. Diese Regeln blockieren ausführbare E-Mail-Inhalte, nicht vertrauenswürdige Programme und potenziell verschleierte Skripte und bieten erweiterten Ransomware-Schutz.
Microsoft nennt akteurspezifische Defender-Warnungen, Warnungen zu KI-Werkzeugen und zur Aufklärung von Geheimnissen sowie Erkennungen verdächtiger Anmeldungen und E-Mails. Hinzu kommen Antivirus-Erkennungen von ProcmacSteal unter Linux, PowerShell, macOS und Cargo. Das Unternehmen beschreibt außerdem sein Security Dashboard for AI, das Sicherheits-, Identitäts- und Datenrisiken aus Defender, Entra und Purview zusammenführt, sowie Agent 365, das Verwaltungs- und Sicherheitskontrollen für KI-Agenten in Unternehmen bereitstellt. Administratoren, die dieser Anleitung folgen, können die genannten Erkennungen zusammen mit den empfohlenen E-Mail-, Identitäts- und Endpunktkontrollen nutzen.
