Хакери използват генерирани от изкуствен интелект скриптове, за да прехващат Linux sudo команди и да крадат пароли

Според ново проучване кампания срещу правителствени организации и свързана с държавата инфраструктура е използвала скриптове, подпомогнати от изкуствен интелект (AI), за кражба на идентификационни данни, поддържане на достъп до Linux сървъри и търсене на чувствителни данни.

Атакуващите са променили файловете за стартиране на командната обвивка (shell) на потребителите, за да прихващат командата sudo, след което са копирали въведените пароли във файл, докато едновременно с това са ги предавали на реалната команда.

Това е позволявало заявката на потребителя да изглежда така, сякаш работи нормално, докато паролата бива открадната. Разследването на Unit 42 показва, че дейността е включвала също уеб шелове (web shells), персонализиран зловреден софтуер, търсене в пощенски кутии и опити за заличаване на доказателства.

Операцията показва как познати инструменти в Linux могат да бъдат обърнати срещу техните потребители. Вместо да експлоатират уязвимост в самия sudo, атакуващите са внедрили зловреден псевдоним (alias) в .bashrc — файл, който изпълнява команди, когато потребителят стартира Bash обвивка.

Разликата е от съществено значение: самото инсталиране на корекция за сигурност на софтуера не би премахнало подобен тип манипулация. Администраторите могат да намерят полезна допълнителна информация в по-ранна уязвимост в Linux sudo, но от Unit 42 описват прихващане на идентификационни данни чрез променена конфигурация на командната обвивка, а не въпросната уязвимост.

Изследователи от Unit 42 са идентифицирали активността и следят групата от свързани операции под обозначението CL-UNK-1211. Те са наблюдавали активност от октомври 2025 г. до април 2026 г., насочена срещу държавни структури и свързана с държавата инфраструктура.

Unit 42 използва обозначението „UNK“ за клъстери, чиито връзки с подкрепяна от държава дейност или киберпрестъпност все още не са установени, така че констатациите не посочват конкретно правителство или криминална група като отговорни.

Няколко скрипта са съдържали коментари в разговорен стил и бележки с поетапни разсъждения, за които изследователите споделят, че съответстват на генериран от AI код или автоматизиран AI агент.

Доказателствата сочат, че изкуственият интелект е помогнал за създаването или адаптирането на части от инструментариума; те не доказват, че AI самостоятелно е планирал или провел кампанията.

Unit 42 отбелязва също така Base64-кодирани команди и скриптове, преминаващи между PHP, JavaScript, Bash и Python. Тези улики могат да помогнат на защитниците да забележат подозрителен код, но сами по себе си не са доказателство за използване на AI.

Хакери използват скриптове, генерирани от AI

Атакуващите са заменили потребителския .bashrc с модифицирано копие, съдържащо псевдоним (alias) за sudo. Когато потребителят е изпълнявал командата, псевдонимът е показвал подкана, наподобяваща стандартната заявка за въвеждане на парола, прихващал е паролата и я записвал в контролиран от атакуващите лог файл.

След това е подавал паролата към легитимната команда sudo, правейки прихващането по-малко забележимо. Атакуващите са наименували файла Solarwinds.StatusLog.txt, очевидно за да изглежда като рутинен системен артефакт. От Unit 42 заявяват, че не са открили доказателства за компрометиране на системи или инфраструктура на SolarWinds.

Кражбата на идентификационни данни не е спряла до командната обвивка. Атакуващите са вмъкнали код и в PHP страница за вход, за да събират потребителски имена и пароли на администратори, и са претърсвали конфигурационни файлове и хронологията на командите за идентификационни данни за имейл, SMTP и бази данни.

Използването на уеб шелове и скрит достъп в кампанията има сходства с друг зловреден софтуер за кражба на идентификационни данни под Linux, въпреки че онази статия описва отделна заплаха и не бива да се бърка с CL-UNK-1211.

Зловреден софтуер, устойчивост и кражба на данни

Unit 42 откри персонализиран троянски кон за отдалечен достъп, базиран на Go, който нарече SysGoRAT. Зловредният софтуер може да работи под Linux и Windows, да комуникира със сървър за управление и контрол (C2) чрез WebSocket и да поддържа отдалечени команди, достъп до командна обвивка, работа с файлове и персистентност (устойчивост).

Атакуващите са използвали имена като sys-control-client, pip2.7 и ea_install, за да прикрият изпълнимия файл. Неговият C2 адрес по подразбиране е бил 104.194.158[.]65:443, въпреки че докладът посочва, че операторите са можели да го променят при стартиране.

Атакуващите са внедрили също уеб шелове и са променили конфигурацията на PHP, така че зловреден файл да се зарежда преди останалите PHP скриптове. Те са претърсвали правителствени пощенски кутии за съобщения, свързани с акаунти в социалните мрежи, опитвали са се да архивират съдържанието на пощенските кутии и са търсили данни от бази данни.

Unit 42 съобщава, че един от скриптовете за архивиране на пощенски кутии е съдържал синтактична грешка и не би могъл да се изпълни в този си вид. Тази констатация е напомняне, че наблюдаваният зловреден код невинаги функционира според очакванията.

За да прикрият присъствието си, операторите са се опитвали да спират процеси за сигурност на крайните точки, да изтриват логове и хронологията на командната обвивка, да премахват временните скриптове след използване и да променят времевите отпечатъци на файловете.

Те също така са поставяли маркери, наподобяващи дейност на „червен екип“ (red team), включително RedTeamOps2025 и pentest123, за да накарат активността да изглежда като оторизирана. От Unit 42 посочват, че защитите на крайните точки са засякли и спрели опитите за прекратяване на процесите на Cortex XDR; този резултат се отнася до наблюдаваните системи и не означава, че всяко опитано действие е било блокирано.

Кампанията се вписва в по-широкия модел на атакуващи, използващи AI за ускоряване разработването на скриптове, както се вижда и в други проучвания за генериран от AI зловреден софтуер.

За защитниците практическата мярка е да преглеждат неочаквани промени в .bashrc, настройките на PHP и страниците за вход; да проверяват за непознати псевдоними или лог файлове с идентификационни данни; да следят за необичайни изходящи връзки и активност в командната обвивка; и да съхраняват логовете и системните доказателства по време на разследване.

Индикаторите по-долу са от доклада на Unit 42 и трябва да бъдат проверени спрямо локалната телеметрия, преди да се третират като доказателство за компрометиране.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (defanged, напр. [.]), за да се предотврати случайно разрешаване на имена или хипервръзки. Възстановявайте функционалността им (re-fang) само в рамките на контролирани платформи за разузнаване на заплахи (threat intelligence), като MISP, VirusTotal или вашата SIEM система.