חוקרי Palo Alto Networks Unit 42 פרסמו ממצאים על אשכול פעילות בשם CL-UNK-1211, שתקף בין אוקטובר 2025 לאפריל 2026 תשתית לינוקס של גופים ממשלתיים וארגונים הקשורים למדינה. הקבוצה אינה משויכת למדינה או לארגון מוכר, ומניעיה לא ברורים.
הפרטים
לפי הדיווח, התוקפים התקינו web shells (חלקם קוד פתוח וחלקם מותאמים) כדי להחזיק גישה קבועה. לגניבת פרטי גישה הם החליפו את .bashrc בגרסה שגונבת סיסמאות, הזריקו קוד לדפי כניסה של PHP, וחיפשו סיסמאות גלויות בקובצי הגדרות והיסטוריית פקודות. הם גם ניגשו לתיבות דואר ממשלתיות, כנראה כדי להגיע לחשבונות ברשתות חברתיות.
SysGoRAT הוא כלי שליטה מרחוק שנכתב ב-Go, רץ ב-Windows ובלינוקס, מתחבר באמצעות WebSocket לכתובת קבועה ותומך בהרצת פקודות, צילומי מסך, העברת קבצים, התמדה ופרוקסי TCP. חלק מהסקריפטים הכילו הערות הנמקה שלב-אחר-שלב, ולכן החוקרים מעריכים שנוצרו בידי מודל שפה או סוכן אוטומטי. בין השאר נראה ניסיון כושל לדחוס ולהוציא דואר בסקריפט עם שגיאות תחביר, וניסיון להטעות באמצעות סימוני red team מזויפים.
נקודות לשים לב
- בדוק שינויים לא מוסברים ב-
.bashrcובדפי כניסה של PHP, וחפש web shells בתיקיות נגישות מהרשת. - חפש את הקבצים
search_social.phpו-zip_mails.sh, וגישה חריגה לנתיב/var/qmail/mailnames/. - חסום וחפש בלוגי רשת תקשורת יוצאת ל-104.194.158[.]65:443, כתובת ה-C2 שפורסמה.
- אם הלוגים נמחקו או שהגנת נקודת הקצה כובתה, התייחס לכך כאינדיקציה לפריצה ולא כתקלה.
- הדיווח לא מפרט איך התוקפים נכנסו בתחילה, ולכן אל תניח שתיקון פגיעות אחת סוגר את הסיכון; החלף סיסמאות שנחשפו בקובצי הגדרות.
מקורות: Unit 42 · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
