Nach Angaben der Forscher Roey Porat und Tom Fakterman konzentrierten sich die Angreifer auf Linux-Umgebungen, um umfangreiche Aufklärung zu betreiben und dauerhaften Netzwerkzugang für die Informationsbeschaffung aufrechtzuerhalten. Sie versuchten, sensible Datenbanken auszulesen und Behördenpostfächer abzuziehen, um an Social-Media-Konten zu gelangen.

Die Kampagne stützt sich auf ein „vielseitiges operatives Spielbuch" aus quelloffenen Werkzeugen, eigenentwickelten plattformübergreifenden Hintertüren und Webshells. Ein weiteres Merkmal sind Versuche, den Endpunktschutz abzuschalten, Systemprotokolle zu löschen und irreführende Red-Team-Markierungen zu hinterlassen, damit die Aktivität wie eine legitime Sicherheitsüberprüfung aussieht.

Zum Einsatz kamen bösartige PHP- und Shell-Skripte, die vermutlich mit KI erzeugt wurden und der Persistenz, der Aufklärung und dem Datenabfluss dienten. Statt üblicher Entwicklerdokumentation enthielten mehrere Skripte dialogartige, schrittweise Begründungen, die die Logik des Codes demjenigen erklärten, der die ursprünglichen Anweisungen gegeben hatte. Ihr Vorhandensein lege nahe, dass der Code entweder direkt aus der Ausgabe einer KI-Eingabeaufforderung kopiert oder von einem automatisierten KI-Agenten ausgerollt wurde, so das Sicherheitsunternehmen.

Eine Mischung aus quelloffenen und maßgeschneiderten PHP-Webshells hält die Hintertür in die Zielnetze offen. Über diesen Zugang sammelten die Angreifer Zugangsdaten auf drei Wegen:

  • Ersetzen der Datei .bashrc durch eine manipulierte Version mit einem Befehl zum Abgreifen von Passwörtern
  • Einschleusen von Code in PHP-Anmeldeseiten, um Administrator-Zugangsdaten abzufangen
  • Durchsuchen von Konfigurations- und Befehlsverlaufsdateien nach Klartextpasswörtern für E-Mail, SMTP und Datenbanken

Zusätzlich setzten die Angreifer einen eigenen, in Go geschriebenen Fernzugriffstrojaner ein, der auf Windows- und Linux-Systemen verschiedene Persistenzmethoden für langfristigen Zugriff unterstützt. SysGoRAT baut eine Command-and-Control-Verbindung über WebSocket zu einer fest einprogrammierten IP-Adresse auf (104.194.158[.]65:443) und kennt sieben Befehlstypen:

  • command: Ausführen beliebiger Befehle über /bin/sh -c (Linux) beziehungsweise cmd /C (Windows)
  • control: startet über Unterbefehle eine interaktive Shell (shell_start), erstellt Bildschirmfotos (screenshot), überträgt Dateien an den C2-Server (download) und richtet Persistenz ein (persist)
  • list_dir: Auflisten von Verzeichnisinhalten
  • shell_input: Anlegen einer interaktiven Shell-Sitzung
  • proxy_connect: Aufbau einer TCP-Verbindung zu einem beliebigen Ziel
  • proxy_data: bidirektionale Datenweiterleitung über eine bestehende Proxy-Verbindung
  • proxy_close: Beenden und Entfernen einer Proxy-Sitzung

Um forensische Spuren auf der Festplatte zu vermeiden, nutzten die Angreifer zudem Reverse Shells, die nur im Arbeitsspeicher laufen. Verzeichnisse unterhalb von „/var/qmail/mailnames/" wurden aufgezählt, um die Zahl der in bestimmten Ordnern gespeicherten E-Mails zu ermitteln.

Anschließend suchten die Angreifer laut Unit 42 nach E-Mails mit Bezug zu sozialen Netzwerken. Dafür kam ein PHP-Skript namens search_social.php zum Einsatz, das bestimmte Schlüsselwörter in E-Mail-Kopfzeilen suchte und die Treffer übersichtlich aufbereitete — mit genauem Dateipfad, der E-Mail-Adresse des Social-Media-Absenders sowie Empfänger und Betreff.

Ein weiteres Bash-Skript mit dem Namen „zip_mails.sh" sollte interessante E-Mails in ZIP-Archive packen und abtransportieren. Wegen Syntaxfehlern scheiterte das Programm jedoch bei der Ausführung.

Die Kampagne zeige, wie Angreifer klassische Post-Exploitation-Techniken mit KI-beschleunigten Arbeitsabläufen kombinieren, um Linux-Serverinfrastruktur von Behörden anzugreifen, erklärte Unit 42. Durch den Einsatz von KI zum schnellen Erzeugen, Anpassen und Ausbringen von Skripten habe die Gruppe hinter CL-UNK-1211 ein hohes Operationstempo gehalten und zugleich den manuellen Entwicklungsaufwand gering gehalten.

Parallel dazu haben die Google Threat Intelligence Group (GTIG) und Mandiant gemeinsam mit Microsoft dokumentiert, wie Angreifer quelloffene agentische Pentest-Rahmenwerke wie ARTEX, PentAGI, Hexstrike und CAIRN missbrauchen, um in bislang unerreichter Geschwindigkeit und Größenordnung ein „breites Spektrum an Handlungen" über verschiedene Phasen des Angriffszyklus hinweg auszuführen.

ARTEX wurde von seinem Autor zwar nach Berichten über weitverbreiteten Missbrauch vom Netz genommen, es entstanden daraus aber mehrere Varianten, darunter ein kommerzielles Angebot namens ARTEX PRO und eine lokalisierte Abwandlung mit dem Namen ScopeWeaver. Dokumentierte Fälle sind unter anderem:

  • Einsatz von ARTEX durch Storm-0940 (auch UNC7228) für Datendiebstahlkampagnen gegen Organisationen in den USA und Europa aus den Bereichen Unternehmenssoftware, Industrieautomation, Halbleiterfertigung und -entwurf sowie Telekommunikation
  • Einsatz von ARTEX durch finanziell motivierte Akteure für Erpressung mit gestohlenen Daten, unter anderem gegen den Finanzsektor in Asien
  • Einsatz von ARTEX durch nordkoreanische staatlich gesteuerte Gruppen wie Onyx Sleet (auch Andariel) und Pearl Sleet (auch Lawrencium)
  • Einsatz von PentAGI für WHOIS-basierte Erfassung von Angriffsflächen sowie systematische Aufklärung und Schwachstellenscans gegen Organisationen in Asien

Das Aufkommen von ARTEX und ähnlicher agentischer Angriffsrahmenwerke unterstreiche eine breitere Verschiebung hin zur Nutzung quelloffener Multi-Agenten-Offensivwerkzeuge und möglicherweise eigener agentischer Gerüste, erklärten GTIG und Mandiant. Solche Rahmenwerke verdichteten Angriffsabläufe auf Maschinengeschwindigkeit, tauschten derzeit aber Unauffälligkeit gegen Tempo: Unbeschränkte autonome Ausführung erzeuge forensisch auswertbaren Datenverkehr, stütze sich auf wiedererkennbare Kennungen und hinterlasse deutliche Spuren auf Code-Ebene — was die Wahrscheinlichkeit von Entdeckung und Gegenmaßnahmen erhöhe.