Pesquisadores de segurança cibernética divulgaram detalhes de uma campanha de espionagem digital que tem como alvo infraestruturas Linux ligadas a órgãos governamentais e a entidades associadas a Estados.
A Palo Alto Networks Unit 42 observou a atividade entre outubro de 2025 e abril de 2026 e a identificou pelo codinome CL-UNK-1211. “CL” se refere a cluster, enquanto “UNK” indica motivação desconhecida.
Um aspecto notável da campanha é o uso de modelos de linguagem de grande porte e/ou agentes automatizados de inteligência artificial para gerar payloads e executar código malicioso.
“Os invasores por trás dessa atividade se concentraram em ambientes Linux para realizar um reconhecimento abrangente e manter acesso persistente à rede, com o objetivo de coletar informações”, afirmaram os pesquisadores Roey Porat e Tom Fakterman. “Eles tentaram extrair bancos de dados sensíveis e exfiltrar caixas de correio governamentais para acessar contas de redes sociais.”
A campanha segue um “roteiro operacional versátil”, que combina ferramentas open source, backdoors multiplataforma personalizados e web shells para manter o acesso. Outra característica é a tentativa de desativar proteções de endpoint, apagar logs do sistema e deixar artefatos falsos de red team para disfarçar as ações como uma avaliação legítima de segurança.
Também foram identificados scripts maliciosos em PHP e de linha de comando, provavelmente gerados com inteligência artificial, para manter a persistência, fazer reconhecimento e exfiltrar dados.
“Em vez da documentação técnica normalmente produzida por desenvolvedores, vários scripts continham anotações conversacionais com explicações passo a passo. Elas explicavam a lógica do código ao operador que forneceu as instruções iniciais”, informou a Unit 42. “A presença dessas anotações sugere que o código foi copiado diretamente da resposta a uma solicitação feita à inteligência artificial ou implantado por um agente automatizado de IA.”
A campanha usa uma combinação de web shells em PHP, tanto open source quanto personalizados, para manter uma backdoor persistente nas redes das vítimas. Em seguida, os invasores tentam coletar credenciais do ambiente comprometido de três maneiras:
- Substituem o arquivo `.bashrc` por uma versão maliciosa que contém um comando para roubar senhas.
- Injetam código nas páginas de acesso em PHP para coletar credenciais de administradores.
- Procuram senhas de e-mail, SMTP e bancos de dados armazenadas sem criptografia em arquivos de configuração e no histórico de comandos.
Os ataques também implantam um trojan de acesso remoto multiplataforma personalizado, escrito em Go, que oferece diferentes métodos de persistência para manter acesso prolongado a sistemas Windows e Linux. Batizado de SysGoRAT, ele estabelece uma conexão de comando e controle (C2) por WebSocket com um endereço IP definido diretamente no código, `104.194.158[.]65:443`, e aceita sete tipos de comandos:
- `command`: executa comandos arbitrários por meio de `/bin/sh -c` no Linux ou `cmd /C` no Windows.
- `control`: inicia funções por meio de subcomandos, incluindo abrir um terminal interativo (`shell_start`), capturar a tela (`screenshot`), exfiltrar arquivos para o servidor C2 (`download`) e instalar mecanismos de persistência (`persist`).
- `list_dir`: lista o conteúdo de um diretório.
- `shell_input`: cria uma sessão de terminal interativa.
- `proxy_connect`: estabelece uma conexão TCP com um destino arbitrário.
- `proxy_data`: retransmite dados nos dois sentidos por uma conexão de proxy já estabelecida.
- `proxy_close`: encerra e remove uma sessão de proxy.
Os ataques também recorrem a shells reversos executados na memória para evitar deixar vestígios forenses em disco. Além disso, os invasores percorrem diretórios em `/var/qmail/mailnames/` para contar os e-mails armazenados em pastas específicas.
“Em seguida, os invasores procuraram e-mails relacionados a redes sociais”, explicou a Unit 42. “Eles implantaram um script em PHP chamado `search_social.php`, que buscava palavras-chave específicas nos cabeçalhos das mensagens e exibia os resultados em um formato fácil de consultar.”
“O script então analisava a resposta e mostrava o caminho exato do arquivo, o remetente do e-mail associado à conta de rede social, o destinatário e o assunto.”
Os invasores também tentaram criar um script de linha de comando chamado `zip_mails.sh` para compactar e-mails de interesse em arquivos ZIP e exfiltrar as informações. No entanto, erros de sintaxe fizeram o programa falhar durante a execução.
“Esta campanha mostra como os invasores combinam técnicas tradicionais de pós-exploração com fluxos de trabalho acelerados por inteligência artificial para atingir servidores Linux governamentais”, afirmou a Unit 42. “Ao usar inteligência artificial para gerar, adaptar e implantar scripts operacionais rapidamente, os responsáveis pela CL-UNK-1211 mantiveram um ritmo acelerado e reduziram a necessidade de trabalho manual de desenvolvimento.”
O caso ocorre enquanto o Google Threat Intelligence Group (GTIG), a Mandiant e a Microsoft documentam o uso indevido, por agentes de ameaça, de frameworks open source de teste de invasão baseados em agentes, como ARTEX, PentAGI, Hexstrike e CAIRN. Essas ferramentas permitem realizar uma “ampla variedade de ações” em diferentes etapas do ciclo de vida de um ataque, com velocidade e escala sem precedentes.
Embora o autor do ARTEX tenha retirado a ferramenta do ar após relatos de uso indevido generalizado, ela deu origem a diversas versões, incluindo uma oferta comercial chamada ARTEX PRO e uma adaptação localizada denominada ScopeWeaver.
Entre os casos identificados estão:
- O uso do ARTEX pelo grupo Storm-0940, também conhecido como UNC7228, para coordenar campanhas de roubo de dados contra organizações nos Estados Unidos e na Europa. Os alvos atuavam nos setores de programas empresariais, automação industrial, fabricação e projeto de semicondutores e telecomunicações.
- O uso do ARTEX por agentes de ameaça motivados financeiramente para facilitar extorsões após o roubo de dados, incluindo ataques contra o setor financeiro na Ásia.
- O uso do ARTEX por grupos de hackers norte-coreanos patrocinados pelo Estado, como Onyx Sleet, também conhecido como Andariel, e Pearl Sleet, também conhecido como Lawrencium.
- O uso do PentAGI para mapear ativos por meio de consultas WHOIS, realizar reconhecimento sistemático e procurar vulnerabilidades em organizações asiáticas.
“O surgimento do ARTEX e de frameworks semelhantes para invasões ofensivas baseadas em agentes evidencia uma mudança mais ampla: agentes de ameaça estão adotando frameworks ofensivos open source com múltiplos agentes e, potencialmente, estruturas personalizadas para coordenar agentes”, afirmaram o GTIG e a Mandiant.
“Frameworks como o ARTEX reduzem a duração dos ataques à velocidade das máquinas, mas, por enquanto, trocam discrição por rapidez. A execução autônoma sem restrições gera tráfego que pode ser analisado em investigações forenses, usa identificadores reconhecíveis e deixa rastros específicos no código, o que aumenta a probabilidade de detecção e contenção.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...