AI生成的有效负载助力CL-UNK-1211对政府组织的攻击

概要

被追踪为 CL-UNK-1211 的高级威胁群体正通过 AI 生成的有效载荷和脚本针对政府机构。攻击者主要关注 Linux 环境以进行侦察、转储数据库并外泄包括邮箱数据在内的敏感信息。该活动特点是定制的基于 Go 的远程访问木马、Web shell 和先进的反取证技术，旨在降低可见性。

调查

Unit 42 分析了从初始访问到通过 Web shell 的横向移动和数据外泄的攻击链。调查揭示了嵌入在恶意脚本中的独特 AI 生成的对话评论，表明代码创建是自动化或由语言模型辅助的。分析师还识别出名为 SysGoRAT 的自定义恶意软件以及多种内存中反向 shell 技术。

缓解措施

组织应实施严格的出站防火墙策略，以防止未经授权的反向 shell 和数据外泄。通过及时修补诸如 PwnKit 等漏洞来加强 Linux 环境安全，并保护 PHP 配置，包括 auto_prepend_file，至关重要。还强烈建议部署能够识别异常进程行为和日志篡改的高级端点保护。

响应

检测到恶意活动时，事件响应人员应隔离受感染的 Linux 主机，并检查所有 PHP 和 shell 配置是否有未经授权的更改。对系统日志进行彻底检查，同时考虑攻击者可能试图清除或操纵它们的可能性。对受影响环境中识别出的所有管理和服务账户进行全面的凭证重置。

模拟执行

• 攻击叙述及命令： 对手已获得对基于 Linux 的生产服务器的初始访问权。为了确保持久性并防止其活动被 EDR 标记，他们打算禁用 Cortex XDR 代理。攻击者首先使用 pgrep 来识别与“cortex”相关的正在运行的进程。一旦确认名称，他们使用 pkill 来向所有匹配该模式的进程发送终止信号。这是一种经典的“依赖系统常规功能”方法，使用标准系统二进制文件以避免触发基于签名的恶意软件警报。

• 回归测试脚本：

  #!/bin/bash
  # 模拟脚本以触发“通过终止 Cortex XDR 进程进行防御规避”规则。
  
  echo "[+] 开始模拟：识别 Cortex 进程..."
  # 生成 'pgrep cortex' 遥测
  pgrep cortex || echo "[-] 未找到 cortex 进程，但生成了遥测。"
  
  echo "[+] 模拟攻击：尝试终止 Cortex 进程..."
  # 生成 'pkill cortex' 遥测
  pkill cortex || echo "[-] 执行了 pkill (目标可能未运行)。"
  
  echo "[+] 模拟完成。"

• 清理命令：

  # 此模拟脚本不会进行持久性更改。
  # 如果某一进程实际上被停止 (在实际测试环境中)，
  # 则需重新启动服务：
  # sudo systemctl start cortex-agent
  echo "[+] 清理：无工件需移除。"