Server Linux governativi sono stati presi di mira da una campagna di spionaggio che ha rubato credenziali e ha tentato di estrarre database sensibili e caselle di posta governative, secondo quanto riportato da The Hacker News, che cita Palo Alto Networks Unit 42. I ricercatori hanno trovato segnali che gli attaccanti hanno usato script generati con l'intelligenza artificiale per costruire un accesso persistente, con ricerche nelle caselle di posta mirate ad accedere agli account dei social media.
Unit 42 ha osservato l'attività tra ottobre 2025 e aprile 2026 e l'ha monitorata con la sigla CL-UNK-1211. Il rapporto di novembre di The Hacker News descrive attacchi contro enti governativi e infrastrutture riconducibili a stati, rendendo i risultati particolarmente rilevanti per i team responsabili dei server web Linux, delle credenziali delle applicazioni e dei sistemi di posta elettronica governativi.
Accesso persistente e furto di credenziali
Il rapporto di The Hacker News descrive una combinazione di strumenti open source, backdoor personalizzate e web shell, cioè script che permettono agli attaccanti di controllare un server tramite richieste web. I ricercatori di Unit 42 Roey Porat e Tom Fakterman hanno dichiarato che gli operatori hanno condotto un'ampia attività di ricognizione e hanno mantenuto l'accesso alla rete per supportare la raccolta di informazioni di intelligence.
Gli attaccanti hanno inoltre tentato di disattivare le protezioni degli endpoint, cancellare i log di sistema e inserire marcatori che facessero sembrare il tutto una legittima valutazione di sicurezza di tipo red team. Questi tentativi accompagnavano script PHP e shell malevoli usati per la persistenza, la ricognizione e il furto di dati.
La raccolta di credenziali è avvenuta in tre modi. Gli attaccanti hanno sostituito .bashrc, un file di avvio della shell, con una versione malevola contenente un comando che ruba le password; hanno inserito codice per la raccolta di credenziali nelle pagine di login degli amministratori PHP; e hanno cercato nei file di configurazione e nella cronologia dei comandi le password in chiaro di posta elettronica, server SMTP e database.
Unit 42 ha inoltre individuato SysGoRAT, un remote access trojan personalizzato scritto in Go che consente un accesso di lungo periodo sia su Linux sia su Windows. Il malware si connette tramite WebSocket, un protocollo di comunicazione bidirezionale, all'indirizzo di command-and-control codificato nel programma, 104.194.158[.]65:443.
Il malware accetta sette tipi di comando. command esegue istruzioni tramite /bin/sh -c su Linux o cmd /C su Windows. control supporta una shell interattiva tramite shell_start, screenshot tramite screenshot, l'esfiltrazione di file tramite download e la persistenza tramite persist. I tipi rimanenti sono list_dir, per elencare le directory, shell_input, per le sessioni di shell interattive, e proxy_connect, proxy_data e proxy_close, per stabilire, inoltrare e chiudere connessioni verso altri bersagli.
Gli operatori hanno anche usato reverse shell eseguite in memoria, che consentono l'esecuzione remota di comandi evitando artefatti forensi su disco. Hanno inoltre enumerato le directory /var/qmail/mailnames/ per contare i messaggi presenti in alcune cartelle selezionate.
Uno script PHP chiamato search_social.php cercava nelle intestazioni delle email parole chiave legate ai social media. Mostrava i messaggi corrispondenti con i percorsi esatti dei file, i mittenti, i destinatari e gli oggetti, offrendo agli operatori un modo per individuare specifiche email legate agli account.
Un passaggio successivo ha avuto esito negativo: uno script Bash chiamato zip_mails.sh, pensato per raggruppare le email selezionate in archivi ZIP da esfiltrare, conteneva errori di sintassi e non è stato eseguito correttamente.
Segnali di assistenza da parte dell'IA
Unit 42 ritiene che diversi script PHP e shell malevoli siano stati probabilmente generati con large language model o agenti IA automatizzati. Tra gli indizi figurano note discorsive, passo dopo passo, che spiegano la logica del codice all'operatore che aveva fornito le istruzioni, invece della documentazione tipica di uno sviluppatore.
Queste note suggeriscono che il codice sia stato copiato direttamente dall'output di un'IA oppure distribuito da un agente automatizzato. Unit 42 descrive l'operazione come una combinazione di tecniche consolidate di post-compromissione e di generazione e adattamento di script assistiti dall'IA, che riduce il lavoro di sviluppo manuale.
L'uso più ampio di framework offensivi basati sull'IA fornisce un contesto, senza attribuire CL-UNK-1211 a un altro attore. The Hacker News ha riportato anche i risultati di Google Threat Intelligence Group, Mandiant e Microsoft sull'abuso di ARTEX, PentAGI, Hexstrike e CAIRN, framework che usano agenti IA per coordinare attività di penetration testing.
Tra i casi segnalati figura Storm-0940, noto anche come UNC7228, che ha usato ARTEX per rubare dati a organizzazioni di software aziendale, automazione industriale, produzione e progettazione di semiconduttori e telecomunicazioni negli Stati Uniti e in Europa. Attori motivati da interessi economici hanno usato ARTEX anche per estorsioni basate sul furto di dati, compreso il settore finanziario asiatico. PentAGI è stato impiegato per mappare i dati di registrazione WHOIS, per la ricognizione e per la scansione delle vulnerabilità contro organizzazioni in Asia.
L'autore di ARTEX lo ha ritirato dopo le segnalazioni di un uso improprio diffuso, ma sono comparse varianti, tra cui la versione commerciale ARTEX PRO e una versione localizzata chiamata ScopeWeaver. GTIG e Mandiant hanno affermato che questi framework accelerano gli attacchi a scapito della discrezione: l'esecuzione autonoma produce traffico forense, identificatori riconoscibili e tracce nel codice che possono facilitare il rilevamento.
Microsoft descrive un'adozione più ampia da parte dei gruppi nordcoreani
Nella sua valutazione del 29 ottobre, separata, Microsoft ha dichiarato che i gruppi nordcoreani Onyx Sleet, noto anche come Andariel, e Pearl Sleet, noto anche come Lawrencium, usavano ARTEX in modo operativo. Microsoft ha valutato che le operazioni nordcoreane abilitate dall'IA restano guidate da persone e non completamente autonome.
L'azienda descrive l'IA come un acceleratore di obiettivi già esistenti: generazione di entrate, raccolta di intelligence strategica e, in alcuni casi, disgregazione o distruzione per motivi politici. Gli obiettivi più comuni includono organizzazioni di criptovalute e finanza, aziende tecnologiche, catene di fornitura del software, enti governativi e istituti di istruzione.
Microsoft ha collocato gli attori in quattro fasi di adozione (emergente, in espansione, in accelerazione e operativa) e ha valutato l'adozione complessiva come elevata. Jade Sleet, Coral Sleet e Jasper Sleet avevano già integrato l'IA nei flussi di lavoro operativi. Tra gli esempi: Jade Sleet ha avviato campagne attraverso tre società di facciata in una sola settimana, Onyx Sleet ha prodotto decine di esche personalizzate in pochi minuti, Coral Sleet ha sviluppato rapidamente una capacità per trojanizzare repository di codice sorgente privati, e Diamond Sleet ha usato l'IA per il targeting, le identità fittizie e la creazione di società di facciata.
Misure di protezione per gli amministratori
Le indicazioni di Microsoft riguardano quest'attività più ampia dei gruppi nordcoreani. Raccomandano di individuare asset ed eventuali vulnerabilità esposti, correggere le configurazioni di sicurezza errate e automatizzare le patch dove possibile. Gli amministratori dovrebbero collocare i sistemi esposti sul web dietro un perimetro sicuro e usare l'accesso VPN; i server che devono restare accessibili pubblicamente possono usare un web application firewall, un reverse proxy o una rete perimetrale per ridurre, in alcuni casi, il rischio di sfruttamento. Microsoft indica come strumenti di supporto Defender Vulnerability Management, External Attack Surface Management e Azure Update Manager.
Per le difese su email e identità, Microsoft raccomanda la formazione degli utenti, simulazioni di phishing, Safe Links e Safe Attachments, la revisione delle impostazioni di Exchange Online Protection, e l'analisi e la rimozione dei messaggi malevoli. Lo zero-hour auto purge può mettere in quarantena i messaggi dopo l'arrivo di nuove informazioni sulle minacce. Chi risponde agli incidenti può anche cercare URL malevoli simili e oggetti di messaggi analoghi. Microsoft raccomanda di bloccare l'autenticazione con codice del dispositivo ove possibile e di controllarne l'uso necessario tramite le policy di Accesso condizionale di Entra.
Le indicazioni sulle assunzioni chiedono un controllo più attento dei dipendenti di società di somministrazione, dei profili e dei numeri di telefono duplicati, dei curriculum incoerenti, delle referenze e degli impieghi contemporanei sotto un'unica identità. Raccomandano inoltre più colloqui video e la verifica di un'impronta digitale verificabile, inclusi un indirizzo di residenza e un numero di telefono reale, non VoIP.
Per gli endpoint, Microsoft raccomanda definizioni antivirus aggiornate, protezione in tempo reale e basata sul cloud, endpoint detection and response in modalità blocco, indagine e rimedio automatizzati, network protection e disattivazione automatica degli attacchi. Secondo Microsoft, negli attacchi osservati i clienti che avevano abilitato le regole indicate potevano mitigare gli attacchi nelle fasi iniziali e impedire l'attività manuale dell'attaccante (hands-on-keyboard). Queste regole bloccano i contenuti eseguibili nelle email, gli eseguibili non attendibili e gli script potenzialmente offuscati, e offrono una protezione avanzata contro il ransomware.
Microsoft elenca alert di Defender specifici per attore, alert relativi a strumenti IA e alla ricognizione dei segreti, rilevamenti di accessi sospetti e di email, e rilevamenti antivirus ProcmacSteal su Linux, PowerShell, macOS e Cargo. Descrive inoltre la sua Security Dashboard for AI, che aggrega i rischi di sicurezza, identità e dati su Defender, Entra e Purview, e Agent 365, che fornisce controlli di gestione e sicurezza per gli agenti IA aziendali. Gli amministratori che seguono queste indicazioni possono usare i rilevamenti elencati insieme ai controlli raccomandati su email, identità ed endpoint.
