Spionaggio AI su server Linux: CL UNK 1211 ruba email e database con web shell e SysGoRAT

Una recente campagna di cyber spionaggio sta prendendo di mira server Linux collegati a enti governativi e infrastrutture affiliate allo stato, con un approccio che combina strumenti open source, backdoor personalizzate e web shell per ottenere accesso persistente e raccogliere informazioni. L’attività, attribuita al cluster CL UNK 1211, si è sviluppata tra ottobre 2025 e aprile 2026 e mostra un elemento distintivo sempre più rilevante nella sicurezza informatica: l’uso di intelligenza artificiale e modelli linguistici per generare script e payload malevoli.

Gli aggressori puntano su ambienti Linux per eseguire ricognizione approfondita, mantenere la persistenza e supportare operazioni di intelligence. Tra gli obiettivi rientrano il tentativo di estrarre database sensibili e la sottrazione di caselle email, anche per arrivare a credenziali utili ad accedere ad account online. La catena operativa include anche azioni di evasione e copertura, come il tentativo di disabilitare protezioni endpoint, cancellare log di sistema e inserire indicatori ingannevoli che simulano una valutazione di sicurezza lecita.

Web shell e tecniche di furto credenziali

Un punto chiave della campagna è l’uso di web shell PHP, sia personalizzate sia derivate da codice disponibile pubblicamente, per mantenere un canale di accesso ai sistemi compromessi. Da lì vengono implementate tecniche di furto credenziali mirate.

• Sostituzione del file bashrc con una versione malevola per catturare password.
• Iniezione di codice in pagine di login PHP per intercettare credenziali amministrative.
• Ricerca di password in chiaro relative a email, SMTP e database all’interno di file di configurazione e nella cronologia dei comandi.

Controllo remoto con SysGoRAT e copertura delle tracce

La fase di controllo remoto viene potenziata con SysGoRAT, un trojan di accesso remoto multipiattaforma scritto in Go, progettato per Windows e Linux. Il malware stabilisce una connessione di comando e controllo tramite WebSocket e supporta comandi per esecuzione remota, shell interattiva, gestione file, proxy TCP e meccanismi di persistenza.

Per ridurre le tracce forensi, in alcuni casi vengono usate reverse shell in memoria e vengono enumerate directory specifiche per contare e selezionare email di interesse. È stata anche rilevata l’attività di ricerca di messaggi legati ai social media tramite uno script PHP dedicato, oltre a un tentativo di creare uno script bash per comprimere email in archivi ZIP, fallito per errori di sintassi: un dettaglio coerente con codice generato o assistito da AI.