Пейлоади, створені штучним інтелектом, підтримують атаки CL-UNK-1211 на урядові організації

Резюме

Складний кластер загроз, відслідковуваний як CL-UNK-1211, націлений на урядові організації з використанням штучного інтелекту для створення корисних навантажень і скриптів. Нападники в основному зосереджуються на середовищах Linux для проведення розвідки, зливу баз даних та ексфільтрації конфіденційної інформації, включаючи дані поштових скриньок. Кампанія включає індивідуальні RAT, розроблені на Go, веб-шелли і розвинені анти-форенсичні техніки, призначені для зменшення видимості.

Розслідування

Unit 42 проаналізував ланцюг атаки від початкового доступу через веб-шелли до латерального руху та ексфільтрації даних. Розслідування виявило виразні коментарі, створені штучним інтелектом, вбудовані в шкідливі скрипти, що вказує на автоматизоване або підтримуване системами LLM створення коду. Аналітики також виявили індивідуальне шкідливе програмне забезпечення, відоме як SysGoRAT, разом із декількома техніками реверс-шелла у пам’яті.

Пом’якшення

Організації повинні запровадити суворі політики міжмережевих екранів на вихід для запобігання несанкціонованим реверс-шеллам та ексфільтрації даних. Захист середовищ Linux шляхом вчасного патчування вразливостей, таких як PwnKit, та забезпечення налаштувань PHP, включаючи auto_prepend_file, є критично важливим. Також настійно рекомендується впровадження передової захисту кінцевих точок, здатної виявляти аномальну поведінку процесів і маніпуляцію журналами.

Відповідь

При виявленні шкідливої активності особи, що реагують на інциденти, повинні ізолювати скомпрометовані хости Linux і переглянути всі налаштування PHP та оболонки на предмет несанкціонованих змін. Проведіть ретельний аналіз системних журналів, враховуючи можливі спроби атакуючих очистити або маніпулювати ними. Виконайте комплексне скидання облікових даних для всіх адміністративних і службових облікових записів, ідентифікованих у постраждалому середовищі.

Імітація Виконання

• Оповідь про атаку та команди: Зловмисник отримав початковий доступ до виробничого сервера на базі Linux. Щоб забезпечити стійкість і запобігти виявленню їх діяльності EDR, вони мають намір вимкнути агент Cortex XDR. Нападник спочатку використовує pgrep щоб ідентифікувати запущені процеси, пов’язані з “cortex”. Після підтвердження імен вони використовують pkill щоб надіслати сигнал завершення всім процесам, що відповідають цьому шаблону. Це класичний підхід “Жити за рахунок системних утиліт”, що використовує стандартні системні утиліти, щоб уникнути тривоги сигнатурного виявлення шкідливого програмного забезпечення.

• Скрипт регресивного тестування:

  #!/bin/bash
  # Скрипт імітації для запуску правила "Обхід захисту шляхом завершення процесів Cortex XDR".
  
  echo "[+] Початок імітації: Ідентифікація процесів Cortex..."
  # Це генерує телеметрію 'pgrep cortex'
  pgrep cortex || echo "[-] Процес cortex не знайдено, але телеметрія згенерована."
  
  echo "[+] Імітація атаки: Спроба завершити процеси Cortex..."
  # Це генерує телеметрію 'pkill cortex'
  pkill cortex || echo "[-] pkill виконано (ціль, ймовірно, не запущено)."
  
  echo "[+] Імітація завершена."

• Команди очищення:

  # Цей скрипт імітації не виконує жодних постійних змін.
  # Якщо процес насправді зупинено (у реальному тестовому середовищі), 
  # сервіс потрібно перезапустити:
  # sudo systemctl start cortex-agent
  echo "[+] Очищення: Немає артефактів для видалення."