2026-11-04 00:08:30 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

政府Linux服务器遭定向攻击，涉SysGoRAT及疑似AI生成脚本

FreeBuf

2026年11月3日 18:00
上海

去阅读

网络安全研究人员披露了一起专门针对政府实体及国家关联机构Linux基础设施的网络间谍活动细节。

派拓网络（Palo Alto Networks）Unit 42团队在2025年10月至2026年4月间观测到这一活动，将其追踪编号定为CL-UNK-1211，其中\"CL\"代表活动集群，\"UNK\"代表动机未知。这起活动的一个显著特征是，攻击者使用大语言模型（LLM）和/或自动化AI Agent生成攻击载荷、执行恶意代码。

Roey Porat和Tom Fakterman表示：\"该活动集群背后的攻击者聚焦Linux环境，开展大规模侦察并维持持久网络访问，为情报收集活动提供支持。攻击者还尝试转储敏感数据库、窃取政府邮箱数据，以获取社交媒体账号访问权限。\"

此次攻击活动战术灵活多样，组合使用开源工具、定制跨平台后门和Webshell维持访问权限。攻击者的另一个典型特征是，会尝试禁用端点防护、清除系统日志，还会植入具有欺骗性的红队标记，将攻击活动伪装成合法的安全评估行为。

研究人员还观测到，威胁攻击者使用疑似AI生成的恶意PHP脚本和Shell脚本，实现持久化驻留、开展侦察、窃取数据。

派拓网络指出：\"这些脚本中没有标准的开发者文档，反而包含对话式的分步推理注释，向提供初始指令的操作者解释代码逻辑。这类注释的存在说明，代码要么是直接复制自AI提示词的输出结果，要么是由自动化AI Agent部署的。\"

Part01

攻击者组合使用多类工具

攻击者组合使用开源和定制化PHP Webshell，在目标网络中植入持久化后门。获得访问权限后，攻击者会通过三种方式从目标环境中窃取凭证：

将.bashrc文件替换为包含密码窃取命令的恶意版本；
向PHP登录页面注入代码，收集管理员凭证；
扫描配置文件和命令历史文件，查找明文存储的邮箱、SMTP及数据库密码。

此次攻击中还投放了一款用Go语言编写的定制化跨平台远程访问木马SysGoRAT，支持多种持久化机制，可在Windows和Linux系统上维持长期访问。该木马会通过WebSocket向硬编码IP地址（104.194.158[.]65:443）建立C2连接，支持接收并执行七类命令：

command类：在Linux系统通过/bin/sh -c、Windows系统通过cmd /C执行任意命令；
control类：通过子命令启动交互式Shell（shell\_start）、截取屏幕（screenshot）、向C2服务器外传文件（download）、安装持久化机制（persist）；
list\_dir类：列出目录内容；
shell\_input类：创建交互式Shell会话；
proxy\_connect类：向任意目标建立TCP连接；
proxy\_data类：在已建立的代理连接上双向转发数据；
proxy\_close类：终止并清除代理会话。