Ładunki generowane przez AI napędzają ataki CL-UNK-1211 na organizacje rządowe

Podsumowanie

Zaawansowana grupa zagrożeń śledzona jako CL-UNK-1211 atakuje instytucje rządowe za pomocą ładunków i skryptów generowanych przez AI. Atakujący koncentrują się głównie na środowiskach Linux w celu przeprowadzenia rozpoznania, zrzucania baz danych i eksfiltracji poufnych informacji, w tym danych skrzynek pocztowych. Kampania ta obejmuje indywidualnie tworzone trojany zdalnego dostępu oparte na Go, web shelle oraz zaawansowane techniki antyforensyczne zaprojektowane do redukcji widoczności.

Śledztwo

Jednostka 42 przeanalizowała łańcuch ataku od początkowego dostępu przez web shelle do poruszania się bocznego i eksfiltracji danych. Śledztwo odkryło charakterystyczne komentarze konwersacyjne generowane przez AI, osadzone w złośliwych skryptach, wskazujące na zautomatyzowane lub wspierane przez LLM tworzenie kodu. Analitycy zidentyfikowali również niestandardowe złośliwe oprogramowanie znane jako SysGoRAT oraz wiele technik odwrotnych powłok w pamięci.

Środki łagodzące

Organizacje powinny egzekwować surowe zasady zapory wychodzącej, aby zapobiec nieautoryzowanym odwrotnym powłokom i eksfiltracji danych. Wzmocnienie środowisk Linux poprzez terminowe łatanie luk, takich jak PwnKit, oraz zabezpieczenie konfiguracji PHP, w tym auto_prepend_file, jest krytyczne. Zaleca się także wdrożenie zaawansowanej ochrony punktów końcowych zdolnej do identyfikowania anormalnego zachowania procesów i manipulacji logami.

Reakcja

Gdy zostanie wykryta złośliwa aktywność, odpowiedzialni za incydenty powinni izolować skompromitowane hosty Linux i przeglądać wszystkie konfiguracje PHP i powłoki w poszukiwaniu nieautoryzowanych zmian. Przeprowadzić dokładne badanie logów systemowych, biorąc pod uwagę możliwe próby ich wyczyszczenia lub manipulacji przez atakujących. Przeprowadzić kompleksowy reset poświadczeń dla wszystkich zidentyfikowanych kont administracyjnych i serwisowych w zainfekowanym środowisku.

Wykonanie Symulacji

• Narracja i Komendy Ataku: Przeciwnik uzyskał początkowy dostęp do serwera produkcyjnego opartego na Linuxie. Aby zapewnić sobie trwałość i zapobiec wykryciu swoich działań przez EDR, zamierza wyłączyć agenta Cortex XDR. Atakujący najpierw używa pgrep aby zidentyfikować działające procesy powiązane z „cortex”. Gdy nazwy są potwierdzone, używa pkill aby wysłać sygnał zakończenia do wszystkich procesów pasujących do tego wzorca. To klasyczne podejście „Living off the Land” z wykorzystaniem standardowych binariów systemowych, aby uniknąć wyzwalania alertów opartego na sygnaturach złośliwego oprogramowania.

• Skrypt Testu Regresji:

  #!/bin/bash
  # Skrypt symulacji do wyzwalania reguły "Unikanie obrony poprzez zakończenie procesów Cortex XDR".
  
  echo "[+] Rozpoczęcie symulacji: Identyfikacja procesów Cortex..."
  # To generuje telemetrię 'pgrep cortex'
  pgrep cortex || echo "[-] Nie znaleziono procesu cortex, ale telemetria została wygenerowana."
  
  echo "[+] Symulacja Ataku: Próba zabicia procesów Cortex..."
  # To generuje telemetrię 'pkill cortex'
  pkill cortex || echo "[-] pkill wykonane (cel prawdopodobnie nie działa)."
  
  echo "[+] Symulacja zakończona."

• Polecenia czyszczenia:

  # Ten skrypt symulacyjny nie wprowadza trwałych zmian.
  # Jeśli proces został rzeczywiście zatrzymany (w prawdziwym środowisku testowym), 
  # usługa będzie musiała być ponownie uruchomiona:
  # sudo systemctl start cortex-agent
  echo "[+] Czyszczenie: Brak artefaktów do usunięcia."