Payload Generati dall’AI Alimentano gli Attacchi CL-UNK-1211 Contro le Organizzazioni Governative

Sommario

Un sofisticato gruppo di minacce monitorato come CL-UNK-1211 sta prendendo di mira enti governativi con payload e script generati da AI. Gli attaccanti si concentrano principalmente su ambienti Linux per eseguire ricognizioni, estrarre database ed esfiltrare informazioni sensibili, inclusi dati delle caselle di posta. La campagna presenta RAT personalizzati basati su Go, web shell e avanzate tecniche anti-forensi progettate per ridurre la visibilità.

Indagine

Unit 42 ha analizzato la catena di attacco dall’accesso iniziale tramite web shell fino al movimento laterale ed esfiltrazione dei dati. L’indagine ha scoperto commenti conversazionali generati da AI incorporati in script dannosi, indicando la creazione automatizzata o assistita da LLM di codice. Gli analisti hanno anche identificato malware personalizzati noti come SysGoRAT insieme a diverse tecniche di reverse shell in memoria.

Mitigazione

Le organizzazioni dovrebbero applicare policy strette per il firewall in uscita per prevenire reverse shell non autorizzate ed esfiltrazione dei dati. Rendere gli ambienti Linux più sicuri con patch tempestive delle vulnerabilità come PwnKit e assicurare configurazioni PHP, includendo auto_prepend_file, è fondamentale. Si consiglia vivamente di implementare una protezione avanzata degli endpoint capace di identificare comportamenti anomali dei processi e manomissioni nei log.

Risposta

Quando viene rilevata un’attività malevola, i rispondenti agli incidenti dovrebbero isolare gli host Linux compromessi e rivedere tutte le configurazioni PHP e shell per modifiche non autorizzate. Effettuare un esame approfondito dei log di sistema tenendo conto dei possibili tentativi di cancellazione o manipolazione da parte dell’attaccante. Eseguire un ripristino completo delle credenziali per tutti gli account amministrativi e di servizio identificati nell’ambiente compromesso.

Esecuzione della Simulazione

• Narrativa dell’Attacco & Comandi: L’avversario ha ottenuto l’accesso iniziale a un server di produzione basato su Linux. Per assicurarsi la persistenza e prevenire che le loro attività vengano segnalate dall’EDR, intendono disabilitare l’agente Cortex XDR. L’attaccante utilizza prima pgrep per identificare i processi in esecuzione associati a “cortex”. Una volta confermati i nomi, utilizza pkill per inviare un segnale di terminazione a tutti i processi che corrispondono a tale pattern. Questo è un classico approccio “Living off the Land” utilizzando binari di sistema standard per evitare di attivare avvisi malware basati sulle firme.

• Script di Test di Regressione:

  #!/bin/bash
  # Script di simulazione per attivare la regola "Evasione della Difesa terminando i processi Cortex XDR".
  
  echo "[+] Inizio Simulazione: Identificazione dei processi Cortex..."
  # Questo genera la telemetria 'pgrep cortex'
  pgrep cortex || echo "[-] Nessun processo cortex trovato, ma telemetria generata."
  
  echo "[+] Simulazione Attacco: Tentativo di terminare i processi Cortex..."
  # Questo genera la telemetria 'pkill cortex'
  pkill cortex || echo "[-] pkill eseguito (obiettivo probabilmente non in esecuzione)."
  
  echo "[+] Simulazione completata."

• Comandi di Pulizia:

  # Nessuna modifica persistente viene apportata da questo script di simulazione.
  # Se un processo è stato effettivamente interrotto (in un ambiente di test reale),
  # il servizio avrebbe bisogno di essere riavviato:
  # sudo systemctl start cortex-agent
  echo "[+] Pulizia: Nessun artefatto da rimuovere."