Unit 42 détecte l’empreinte de l’IA dans des malwares Linux

Unit 42 a identifié une campagne visant des entités gouvernementales et des infrastructures affiliées à des États. L’activité observée s’étend d’octobre 2025 à avril 2026. Les chercheurs suivent ce groupe sous le nom CL-UNK-1211. Les opérations ciblaient principalement des environnements Linux pour mener des reconnaissances et conserver un accès réseau persistant. Les attaquants ont déployé des charges malveillantes contenant des annotations conversationnelles et des commentaires de raisonnement destinés au développeur. Ces indices suggèrent une génération par grands modèles de langage ou l’intervention d’un agent automatisé. Unit 42 n’a pas attribué ce cluster à un État ou à la cybercriminalité. Lire l’analyse complète de Unit 42.

Le mode opératoire combinait outils ouverts, portes dérobées personnalisées et nombreux web shells. Les attaquants ont recherché des bases de données sensibles avant de tenter leur extraction. Ils ont également visé des boîtes aux lettres gouvernementales pour repérer des messages liés aux réseaux sociaux. Leurs techniques comprenaient la collecte d’identifiants, la désactivation de protections de terminaux et la modification des journaux système. Des marqueurs trompeurs de tests de sécurité ont aussi servi à dissimuler l’activité. Les scripts malveillants alternaient PHP, JavaScript, Bash et Python. Ils utilisaient également des commandes encodées en Base64 et des sections structurées pour faciliter leur analyse.

CL-UNK-1211 déploie des web shells

La persistance reposait notamment sur la modification de la valeur auto_prepend_file dans les configurations PHP situées sous /etc/php/ et /opt/plesk/php/. Cette valeur charge automatiquement un fichier avant l’exécution des autres scripts PHP. Dans un cas observé, un web shell malveillant portait le nom /usr/lib/php/plesk_sys_driver.php. Les attaquants ont aussi remplacé le fichier .bashrc par une copie contenant une commande d’interception. Un alias de sudo affichait une fausse invite, enregistrait le mot de passe, puis lançait la commande légitime. Le fichier de collecte s’appelait Solarwinds.StatusLog.txt. Unit 42 n’a observé aucune compromission de SolarWinds.

Les identifiants ciblés provenaient de plusieurs sources. Les attaquants ont inséré du code dans des pages de connexion PHP, probablement liées à l’authentification de bases de données. Ce code transférait les noms d’utilisateur et les mots de passe vers un fichier contrôlé. Ils ont aussi recherché des mots de passe en clair dans des fichiers de configuration, des historiques de commandes et des données liées aux courriels, aux serveurs SMTP et aux bases de données. Leur logiciel SysGoRAT, écrit en Go, fonctionnait sur Linux et Windows. Il établissait une connexion de commande et contrôle par WebSocket et proposait sept types de commandes, dont l’exécution de commandes et le relais réseau.

SysGoRAT maintient sept fonctions distantes

Les shells inversés utilisaient au moins sept serveurs de commande et contrôle. Certains passaient par une canalisation nommée avec Netcat. D’autres redirigeaient Bash vers une adresse externe grâce aux fonctionnalités TCP du système. Une troisième méthode lançait un shell interactif avec Python. Ces techniques opéraient presque entièrement en mémoire pour réduire les traces sur disque. SysGoRAT pouvait aussi ouvrir des connexions TCP arbitraires et relayer les données. Les attaquants ont renommé son binaire avec des noms apparemment légitimes, comme sys-control-client, pip2.7, ea_install et ./semanage. Cortex XDR a détecté et bloqué un shell inversé basé sur Python.

Les boîtes aux lettres constituaient une autre cible opérationnelle. Les attaquants ont parcouru les répertoires /var/qmail/mailnames/ de plusieurs domaines. Ils comptaient ensuite les messages stockés dans les dossiers Maildir/cur/ de certains utilisateurs. Cette étape permettait d’identifier des comptes présentant un intérêt. Un script PHP nommé search_social.php recherchait ensuite des mots-clés liés aux réseaux sociaux dans les en-têtes des messages. Le script affichait le chemin exact du fichier, l’expéditeur, le destinataire et l’objet du courriel. Les attaquants cherchaient ainsi des éléments susceptibles de faciliter l’accès à des comptes sociaux associés à des adresses gouvernementales.

La défense recommandée par Unit 42 inclut des règles strictes sur les connexions sortantes et la détection des utilitaires système lançant des shells interactifs. L’analyse met aussi en évidence l’intérêt d’une surveillance des modifications PHP, des fichiers .bashrc, des journaux et des configurations de persistance. Palo Alto Networks cite notamment Advanced WildFire, Advanced URL Filtering et Advanced DNS Security parmi ses services de protection. Unit 42 propose également une évaluation de sécurité IA et un service de défense dédié aux risques liés à l’IA. La campagne est suivie sous l’identifiant CL-UNK-1211.