Les Charges Utilisant l’IA Alimentent les Attaques CL-UNK-1211 sur les Organisations Gouvernementales

Résumé

Un groupe de menaces sophistiqué suivi sous le nom de CL-UNK-1211 cible des entités gouvernementales avec des charges utiles et scripts générés par IA. Les attaquants se concentrent principalement sur les environnements Linux pour effectuer des reconnaissances, vider des bases de données et exfiltrer des informations sensibles, y compris les données de boîtes aux lettres. La campagne comprend des RATs personnalisés basés sur Go, web shells, et des techniques anti-forensiques avancées conçues pour réduire la visibilité.

Enquête

Unit 42 a analysé la chaîne d’attaque depuis l’accès initial via les web shells jusqu’au mouvement latéral et l’exfiltration de données. L’enquête a révélé des commentaires conversationnels générés par IA intégrés dans des scripts malveillants, indiquant une création de code automatisée ou assistée par LLM. Les analystes ont également identifié un malware personnalisé connu sous le nom de SysGoRAT ainsi que plusieurs techniques de reverse shell en mémoire.

Atténuation

Les organisations doivent appliquer des politiques de pare-feu sortant strictes pour empêcher les reverse shells non autorisés et l’exfiltration de données. Le renforcement des environnements Linux par des mises à jour opportunes des vulnérabilités telles que PwnKit et la sécurisation des configurations PHP, y compris auto_prepend_file, est crucial. Le déploiement d’une protection avancée des endpoints capable d’identifier le comportement anormal des processus et la falsification des journaux est fortement recommandé.

Réponse

Lorsqu’une activité malveillante est détectée, les intervenants en cas d’incident doivent isoler les hôtes Linux compromis et examiner toutes les configurations PHP et shell à la recherche de modifications non autorisées. Mener un examen approfondi des journaux système tout en tenant compte des tentatives possibles d’attaquants de les effacer ou de les manipuler. Effectuer une réinitialisation complète des identifiants pour tous les comptes administratifs et de service identifiés dans l’environnement affecté.

Exécution de la simulation

• Narratif de l’attaque & Commandes : L’adversaire a obtenu un accès initial à un serveur de production basé sur Linux. Pour assurer la persistance et empêcher que leurs activités soient signalées par l’EDR, ils ont l’intention de désactiver l’agent Cortex XDR. L’attaquant utilise d’abord pgrep pour identifier les processus en cours d’exécution associés à « cortex ». Une fois les noms confirmés, ils utilisent pkill pour envoyer un signal de terminaison à tous les processus correspondant à ce modèle. C’est une approche classique de « Living off the Land » en utilisant les binaires système standards pour éviter de déclencher des alertes de logiciels malveillants basées sur la signature.

• Script de test de régression :

  #!/bin/bash
  # Script de simulation pour déclencher la règle "Évasion de défense par terminaison des processus Cortex XDR".
  
  echo "[+] Démarrage de la simulation : Identification des processus Cortex..."
  # Cela génère la télémétrie 'pgrep cortex'
  pgrep cortex || echo "[-] Aucun processus cortex trouvé, mais télémétrie générée."
  
  echo "[+] Simulation de l'attaque : Tentative de tuer les processus Cortex..."
  # Cela génère la télémétrie 'pkill cortex'
  pkill cortex || echo "[-] pkill exécuté (cible probablement non exécutée)."
  
  echo "[+] Simulation terminée."

• Commandes de nettoyage :

  # Aucune modification permanente n'est effectuée par ce script de simulation.
  # Si un processus a réellement été arrêté (dans un environnement de test réel), 
  # le service devrait être redémarré :
  # sudo systemctl start cortex-agent
  echo "[+] Nettoyage : Aucun artefact à retirer."