Des serveurs Linux gouvernementaux ont été visés par une campagne d'espionnage qui a dérobé des identifiants et tenté d'extraire des bases de données sensibles et des boîtes aux lettres de l'administration, selon The Hacker News, qui cite Palo Alto Networks Unit 42. Les chercheurs ont relevé des indices suggérant que les attaquants avaient utilisé des scripts générés par IA pour établir un accès persistant, et que les recherches dans les messageries visaient à accéder à des comptes de réseaux sociaux.
Unit 42 a observé cette activité entre octobre 2025 et avril 2026 et l'a suivie sous le nom de CL-UNK-1211. Le rapport de novembre de The Hacker News décrit des attaques contre des entités gouvernementales et des infrastructures liées à des États, ce qui rend ces conclusions particulièrement pertinentes pour les équipes responsables des serveurs web Linux, des identifiants d'applications et des systèmes de messagerie gouvernementaux.
Accès persistant et vol d'identifiants
Le rapport de The Hacker News décrit une combinaison d'outils open source, de portes dérobées personnalisées et de web shells, c'est-à-dire de scripts permettant à un attaquant de contrôler un serveur au moyen de requêtes web. Les chercheurs d'Unit 42 Roey Porat et Tom Fakterman ont indiqué que les opérateurs avaient mené une reconnaissance approfondie et maintenu leur accès au réseau pour soutenir la collecte de renseignements.
Les attaquants ont aussi tenté de désactiver les protections des terminaux, d'effacer les journaux système et de placer des marqueurs laissant croire à une évaluation de sécurité légitime de type red team. Ces manœuvres accompagnaient des scripts PHP et shell malveillants, utilisés pour la persistance, la reconnaissance et le vol de données.
La collecte d'identifiants a pris trois formes. Les attaquants ont remplacé .bashrc, un fichier de démarrage du shell, par une version malveillante contenant une commande de vol de mots de passe ; ils ont inséré du code de capture d'identifiants dans les pages de connexion administrateur PHP ; et ils ont fouillé les fichiers de configuration et l'historique des commandes à la recherche de mots de passe en clair pour la messagerie, les serveurs de messagerie SMTP et les bases de données.
Unit 42 a également identifié SysGoRAT, un cheval de Troie d'accès à distance personnalisé, écrit en Go, qui permet un accès durable sous Linux comme sous Windows. Il se connecte via WebSocket, un protocole de communication bidirectionnelle, à l'adresse de commande et de contrôle codée en dur 104.194.158[.]65:443.
Le logiciel malveillant accepte sept types de commandes. command exécute des instructions via /bin/sh -c sous Linux ou cmd /C sous Windows. control permet une session shell interactive via shell_start, des captures d'écran via screenshot, l'exfiltration de fichiers via download et la persistance via persist. Les types restants sont list_dir, pour les listings de répertoires, shell_input, pour les sessions shell interactives, et proxy_connect, proxy_data et proxy_close, pour établir, relayer et fermer des connexions vers d'autres cibles.
Les opérateurs ont également utilisé des reverse shells s'exécutant en mémoire, ce qui permet l'exécution de commandes à distance tout en évitant les traces forensiques sur le disque. Ils ont énuméré les répertoires /var/qmail/mailnames/ pour compter les messages présents dans certains dossiers.
Un script PHP nommé search_social.php recherchait dans les en-têtes des e-mails des mots-clés liés aux réseaux sociaux. Il affichait les messages correspondants avec leurs chemins de fichiers exacts, leurs expéditeurs, leurs destinataires et leurs objets, ce qui permettait aux opérateurs de localiser des e-mails liés à certains comptes.
Une étape suivante, tentée, a échoué : un script Bash nommé zip_mails.sh, destiné à regrouper les e-mails sélectionnés dans des archives ZIP en vue de leur exfiltration, contenait des erreurs de syntaxe et ne s'est pas exécuté correctement.
Signes d'une assistance par IA
Unit 42 a estimé que plusieurs scripts PHP et shell malveillants ont probablement été générés à l'aide de grands modèles de langage ou d'agents IA automatisés. Les indices comprenaient des notes conversationnelles, étape par étape, expliquant la logique du code à l'opérateur qui avait fourni les instructions, plutôt qu'une documentation de développeur classique.
Ces notes suggéraient que le code avait été copié directement depuis une sortie d'IA ou déployé par un agent automatisé. Unit 42 a décrit l'opération comme combinant des techniques établies de post-compromission et une génération et adaptation de scripts assistées par IA, ce qui réduit le travail de développement manuel.
L'utilisation plus large de frameworks offensifs fondés sur l'IA apporte du contexte, sans attribuer CL-UNK-1211 à un autre acteur. The Hacker News a également relayé des constats de Google Threat Intelligence Group, Mandiant et Microsoft concernant l'utilisation abusive d'ARTEX, PentAGI, Hexstrike et CAIRN, des frameworks qui recourent à des agents IA pour coordonner des tâches de test d'intrusion.
Les cas signalés incluent Storm-0940, aussi appelé UNC7228, qui a utilisé ARTEX pour voler des données auprès d'organisations des secteurs des logiciels d'entreprise, de l'automatisation industrielle, de la fabrication et de la conception de semi-conducteurs, et des télécommunications, aux États-Unis et en Europe. Des acteurs motivés par le gain financier ont aussi utilisé ARTEX pour mener des extorsions de données, notamment contre le secteur financier asiatique. PentAGI a servi à cartographier les données d'enregistrement WHOIS et à réaliser de la reconnaissance et des analyses de vulnérabilités contre des organisations en Asie.
L'auteur d'ARTEX l'a retiré après des signalements d'utilisations abusives généralisées, mais des variantes sont apparues, dont la version commerciale ARTEX PRO et une version localisée appelée ScopeWeaver. GTIG et Mandiant ont indiqué que ces frameworks accélèrent les attaques au détriment de la discrétion : l'exécution autonome génère du trafic forensique, des identifiants reconnaissables et des traces de code qui peuvent faciliter la détection.
Microsoft décrit une adoption plus large par des groupes nord-coréens
Dans son évaluation distincte du 29 octobre, Microsoft a indiqué que les groupes nord-coréens Onyx Sleet, également connu sous le nom d'Andariel, et Pearl Sleet, également connu sous le nom de Lawrencium, utilisaient ARTEX de manière opérationnelle. Microsoft a estimé que les opérations nord-coréennes assistées par IA restaient dirigées par des humains, et non totalement autonomes.
L'entreprise décrit l'IA comme un accélérateur d'objectifs existants : génération de revenus, collecte de renseignements stratégiques et, dans certains cas, perturbation ou destruction à motivation politique. Les cibles courantes comprennent les organisations de cryptomonnaies et de finance, les entreprises technologiques, les chaînes d'approvisionnement logicielles, les administrations publiques et l'éducation.
Microsoft a classé les acteurs selon quatre stades d'adoption, émergent, en expansion, en accélération et opérationnel, et a jugé l'adoption globale élevée. Jade Sleet, Coral Sleet et Jasper Sleet avaient déjà intégré l'IA dans leurs flux de travail opérationnels. Parmi les exemples cités : Jade Sleet a lancé des campagnes via trois sociétés écrans en une seule semaine ; Onyx Sleet a produit des dizaines de leurres personnalisés en quelques minutes ; Coral Sleet a rapidement développé une capacité à trojaniser des dépôts de code source privés ; et Diamond Sleet a utilisé l'IA pour le ciblage, la création de personas et la mise en place de sociétés écrans.
Mesures de protection pour les administrateurs
Les recommandations de Microsoft visent cette activité nord-coréenne plus large. Elles préconisent d'identifier les actifs exposés et les vulnérabilités, de corriger les mauvaises configurations de sécurité et d'automatiser l'application des correctifs lorsque c'est possible. Les administrateurs doivent placer les systèmes exposés sur le web derrière une frontière sécurisée et recourir à un accès VPN. Les serveurs qui doivent rester accessibles publiquement peuvent, dans certains cas, s'appuyer sur un pare-feu d'application web, un reverse proxy ou un réseau périmétrique pour réduire le risque d'exploitation. Microsoft cite Defender Vulnerability Management, External Attack Surface Management et Azure Update Manager comme outils de soutien.
Pour la messagerie et la protection des identités, Microsoft recommande la formation des utilisateurs, des simulations d'hameçonnage, l'utilisation de Safe Links et Safe Attachments, la revue des paramètres d'Exchange Online Protection, ainsi que l'analyse et la suppression des messages malveillants. La purge automatique à l'heure zéro peut placer en quarantaine des messages après l'arrivée de nouvelles informations sur les menaces. Les équipes de réponse peuvent aussi rechercher des URL malveillantes et des objets de message similaires. Microsoft recommande de bloquer l'authentification par code d'appareil chaque fois que c'est possible, et de contrôler l'usage nécessaire au moyen de stratégies d'accès conditionnel Entra.
Ses recommandations en matière de recrutement appellent à un examen plus attentif des employés des entreprises de recrutement, des profils et numéros de téléphone en double, des CV incohérents, des références et des emplois simultanés exercés sous une même identité. Elle conseille également plusieurs entretiens vidéo et la vérification d'une empreinte numérique vérifiable, notamment une adresse résidentielle et un numéro de téléphone réel, non VoIP.
Pour les terminaux, Microsoft recommande des définitions antivirus à jour, une protection en temps réel et fournie par le cloud, une détection et une réponse sur les terminaux en mode blocage, une investigation et une remédiation automatisées, la protection réseau et la perturbation automatique des attaques. Elle indique que, dans les attaques observées, les clients Microsoft ayant activé les règles spécifiées pourraient atténuer les attaques dès les premières étapes et empêcher l'activité de type hands-on-keyboard. Ces règles bloquent les contenus exécutables dans les e-mails, les exécutables non fiables et les scripts potentiellement obfusqués, et offrent une protection avancée contre les rançongiciels.
Microsoft répertorie des alertes Defender propres à certains acteurs, des alertes liées aux outils d'IA et à la reconnaissance de secrets, des détections de connexions et d'e-mails suspects, ainsi que des détections antivirus ProcmacSteal sous Linux, PowerShell, macOS et Cargo. L'entreprise décrit aussi Security Dashboard for AI comme regroupant les risques de sécurité, d'identité et de données à travers Defender, Entra et Purview, et Agent 365 comme fournissant des contrôles de gestion et de sécurité pour les agents IA d'entreprise. Les administrateurs qui suivent ces recommandations peuvent utiliser les détections listées en complément des contrôles recommandés pour la messagerie, l'identité et les terminaux.
