Tussen oktober 2025 en april 2026 werd een gerichte campagne waargenomen die zich richtte op overheidsinstanties en door de staat geassocieerde infrastructuur. De aanvallers maakten gebruik van AI-ondersteunde scripts om inloggegevens te stelen en toegang te behouden tot Linux-servers, met als doel het vergaren van gevoelige gegevens. Hoewel AI hielp bij het creëren of aanpassen van onderdelen van de toolkit, was het niet verantwoordelijk voor het plannen of zelfstandig uitvoeren van de campagne.

Om toegang te verkrijgen, manipuleerden de aanvallers de opstartbestanden van de shell van gebruikers door een kwaadaardige alias in .bashrc te plaatsen. Dit bestand activeert commando's bij het starten van een Bash-shell. In plaats van bekende kwetsbaarheden in sudo te misbruiken, onderschepten ze het sudo-commando zelf. De alias presenteerde een wachtwoordprompt die identiek leek aan het legitieme verzoek, onderschepte het ingevoerde wachtwoord en schreef dit weg naar een logbestand genaamd Solarwinds.StatusLog.txt, waarschijnlijk om dit te laten lijken op een standaard systeemactiviteit. Dit proces zorgde ervoor dat het wachtwoord van de gebruiker werd gestolen, terwijl de interactie normaal verliep.

Naast het onderscheppen van wachtwoorden via sudo, injecteerden de aanvallers ook code in een PHP-inlogpagina om beheerdersnamen en wachtwoorden te verzamelen. Verder maakten de aanvallers gebruik van web shells en speciaal ontwikkelde malware. De activiteiten omvatten het doorzoeken van postbussen en pogingen om sporen uit te wissen. Er werd gezocht naar configuratiebestanden en opdrachtgeschiedenissen voor inloggegevens van e-mail-, SMTP- en databasesystemen. Specifiek werden overheids-postbussen doorzocht op berichten gerelateerd aan socialemedia-accounts, waarbij de inhoud van postbussen werd verpakt en er gezocht werd naar databasegegevens. Een script voor het archiveren van postbussen vertoonde een syntaxisfout.

De onderzoekers van Unit 42, die deze operaties volgen, hebben de bijbehorende groep geïdentificeerd als CL-UNK-1211. De aanduiding "UNK" wordt gebruikt voor clusters waarvan de verbinding met staatsgesteunde activiteiten of cybercriminaliteit nog niet is vastgesteld. Onderzoekers identificeerden eveneens een op maat gemaakte, Go-gebaseerde remote access Trojan (RAT) genaamd SysGoRAT, die zowel op Linux als Windows kan opereren.

SysGoRAT is in staat om te communiceren met een command-and-control server via WebSocket en ondersteunt het uitvoeren van externe commando's, shell-toegang, bestandsbeheer en het creëren van persistentie. Het standaard C2-adres van SysGoRAT was 104.194.158[.]65:443. Om de binaire bestanden te verbergen, maakten de aanvallers gebruik van namen zoals sys-control-client, pip2.7 en ea_install. De campagne vertoont overeenkomsten met andere malware gericht op het stelen van Linux-credentials door het gebruik van web shells en verborgen toegang. Verschillende scripts bevatten opmerkingen en redeneringen die consistent waren met AI-gegenereerde code.

De aanvallers gebruikten Base64-gecodeerde commando's en scripts die geschreven waren in PHP, JavaScript, Bash en Python. Om hun activiteiten te camoufleren, plaatsten de aanvallers markers zoals RedTeamOps2025 en pentest123 om de acties te laten lijken op geautoriseerd penetratietestwerk. Operators probeerden bovendien de aanwezigheid van endpoint security processen te stoppen, logs en shell history te wissen, tijdelijke scripts na gebruik te verwijderen en bestandstijdstempels aan te passen. Beveiligingsoplossingen hebben pogingen om Cortex XDR-processen te beëindigen gedetecteerd en geblokkeerd. Verdedigers wordt geadviseerd om alert te zijn op onverwachte wijzigingen in .bashrc, PHP-configuraties en inlogpagina's. Het is raadzaam te zoeken naar onbekende aliassen of logbestanden voor credentials, ongebruikelijke uitgaande verbindingen en shell-activiteit te monitoren, en logs en systeembewijs te bewaren.