Palo Alto Networks Unit 42 披露了一组针对 Linux 基础设施的网络间谍活动，追踪编号 CL-UNK-1211——”CL”指集群，”UNK”表示动机未知。活动时间跨度为 2025 年 10 月至 2026 年 4 月，目标是与政府及政府附属机构相关的 Linux 服务器。研究中最值得注意的一点不是后门本身，而是攻击者投放的脚本里带着对话式的逐步推理注释，这通常意味着代码直接来自大模型的输出，或者由自动化 AI 代理部署。
事件概述
据研究员 Roey Porat 与 Tom Fakterman 的描述，该集群的操作重心是 Linux 环境：做大量侦察、维持长期网络访问，为情报收集服务。攻击者尝试导出敏感数据库，并外泄政府邮箱，目的是接管这些邮箱关联的社交媒体账号。
手法是”开源工具 + 自研跨平台后门 + WebShell”的组合。除此之外，攻击者还尝试关闭终端防护、清空系统日志，并故意留下一些红队测试标记，把入侵伪装成一次合法的安全评估。
技术细节
凭据收集三条路径同时进行：
- 替换
.bashrc，在其中写入窃取口令的命令，用户下次登录即触发； - 向 PHP 登录页面注入代码，收割管理员凭据；
- 扫描配置文件和命令历史，寻找明文的邮件、SMTP、数据库口令。
持久访问依靠开源与定制的 PHP WebShell。拿到权限后，攻击者枚举 /var/qmail/mailnames/ 目录，统计各文件夹中的邮件数量，再投放名为 search_social.php 的脚本，按关键词筛选邮件头，把命中的文件路径、社交媒体账号、发件人、收件人和主题以易读格式列出。另有一个 zip_mails.sh，意图把目标邮件打包成 ZIP 外传，但因脚本存在语法错误而执行失败。
核心载荷 SysGoRAT 是用 Go 编写的多平台远程访问木马，同时支持 Windows 与 Linux，通过 WebSocket 连接硬编码的 C2 地址 104.194.158[.]65:443。它接受七类指令：command 通过 /bin/sh -c（Linux）或 cmd /C（Windows）执行任意命令；control 派生子命令实现交互式 shell、截屏、文件外传和持久化安装；list_dir 列目录；shell_input 建立交互式 shell 会话；proxy_connect、proxy_data、proxy_close 负责建立、双向转发与关闭 TCP 代理通道，等于把受害主机当成内网跳板。
攻击过程中还使用了内存态反弹 shell，避免在磁盘留下取证痕迹。Unit 42 特别指出，多个脚本里出现的不是标准开发文档，而是”解释这段代码逻辑给下达指令的操作员看”的对话式说明——这种文本形态是 AI 生成代码的典型副产品。
影响评估
该活动与近期多起 AI 辅助入侵形成同一条趋势线。Google Threat Intelligence Group、Mandiant 与微软都记录了攻击者对 ARTEX、PentAGI、Hexstrike、CAIRN 等开源智能体渗透框架的滥用。ARTEX 在被曝大规模滥用后由作者下架，但已衍生出商业化版本 ARTEX PRO 和本地化变种 ScopeWeaver。
GTIG 与 Mandiant 的判断值得参考：这类框架把攻击时间线压缩到机器速度，但目前是”用隐蔽性换速度”——不受限的自主执行会产生取证流量、依赖可识别的标识符、留下明显的代码级痕迹，反而提高被发现的概率。对防守方而言，这意味着检测窗口变短但线索变多。
修复建议
- 对 Web 目录做完整性基线，重点查非业务时间新增的 PHP 文件，尤其是名字带
search_、mail等业务语义的脚本。 - 监控
.bashrc、.profile、.bash_history的变更；这类文件被改动，基本等同于主机已失守。 - 在边界封堵
104.194.158.65，并对内网主机向外部 443 端口发起的长连接 WebSocket 流量做审计——正常业务服务器很少有这类行为。 - 邮件服务器重点核查
/var/qmail/mailnames/的异常读取，以及 SMTP、数据库配置文件的访问记录。 - 启用日志集中采集与异地留存。攻击者会清日志，本地日志被清后唯一可用的证据在远端。
- 数据库账号实施最小权限与来源 IP 限制，阻断”从 Web 服务器直接 dump 全库”的路径。