Linux governativi colpiti da malware scritto anche dall’AI
Unit 42 ha collegato a CL-UNK-1211 una campagna durata da ottobre 2025 ad aprile 2026 contro infrastrutture governative e state-affiliated Linux. La parte nuova non è solo l’intrusione: negli artefatti osservati compaiono annotazioni conversazionali e ragionamenti da sviluppatore che fanno pensare a payload e note operative generati con un LLM o da un agente AI.
Questo abbassa la soglia per costruire tooling d’epionaggio ripetibile. Lo stesso cluster ha usato web shell, backdoor cross-platform e caricamenti via curl verso file host pubblici per mantenere accesso, raccogliere intelligence e portare via database e caselle di posta; i marker da red team servivano a mascherare l’attività come una verifica legittima.
Per chi difende Linux governativi o monitora esfiltrazione verso host pubblici, il punto non è solo la pulizia della web shell. Se il codice, le note dell’operatore e i canali di uscita sono stati automatizzati, la campagna diventa più facile da variare e da ripetere anche fuori da questo cluster.
AI-Powered Espionage Campaign Targets Government Linux Infrastructure
Our analysis an AI-powered espionage campaign targeting government Linux infrastructure with custom malware, web shells, and advanced credential theft.