Vladini Linux serveri na meti napada: Špijunska kampanja CL-UNK-1211 i upotreba veštačke inteligencije u sajber napadima

U savremenom pejzažu sajber bezbednosti, infrastrukturni sistemi državnih organa i institucija sve češće postaju meta sofisticiranih napadača. Prema najnovijim izveštajima vodećih bezbednosnih kompanija (uključujući analize tima Palo Alto Networks Unit 42), identifikovana je nova, visoko koordinisana kampanja sajber špijunaže označena kao CL-UNK-1211. Ova kampanja se direktno fokusira na Linux servere i infrastrukturu vlada, a poseban alarm u stručnoj javnosti izazvala je činjenica da napadači masovno koriste veštačku inteligenciju (AI) i velike jezičke modele (LLM) za ubrzavanje razvoja zlonamernog koda.

1. Pozadina kampanje CL-UNK-1211 i ciljevi napadača

Aktivnosti u okviru klastera CL-UNK-1211 beležene su u periodu od oktobra do aprila, sa kulminacijom i novim otkrićima krajem godine. Primarni cilj ove grupe nije klasična finansijska iznuda (ransomware) niti vandalsko uništavanje sistema, već dugoročna sajber špijunaža, prikupljanje obaveštajnih podataka i održavanje perzistentnog pristupa u kritičnim mrežama.

Glavne meta-aktivnosti napadača obuhvataju:

Ekfiltraciju osetljivih baza podataka: Neovlašćeno preuzimanje poverljivih vladinih evidencija.

Kompromitovanje vladinih sandučića (mailboxes): Pristup službenim mejlovima i pratećim servisima, sa posebnim akcentom na povezane naloge društvenih mreža.

Duboku mrežnu rekognosciranje: Mapiranje interne mrežne topologije radi pripreme za lateralno kretanje (lateral movement) ka drugim visokovrednim resursima.

2. Uloga veštačke inteligencije i AI agenata u napadu

Jedna od najznačajnijih karakteristika ove kampanje jeste sistematska upotreba alata veštačke inteligencije tokom faze post-eksploatacije i razvoja skripti. Istraživači su otkrili da su mnoge zlonamerne PHP i šel skripte (shell scripts) generisane ili prilagođavane uz pomoć autonomnih AI agenata i LLM platformi.

Ključni pokazatelji upotrebe AI tehnologija:

Konverzacijske napomene u kodu: Umesto standardne i suve developerske dokumentacije, analizirane skripte sadržale su detaljne, korak-po-korak konverzacijske beleške i obrazloženja logike koda. Ovi komentari su služili operateru koji je davao početne instrukcije AI modelu.

Brzina razvoja i adaptacije: Upotreba AI alata omogućila je napadačima da zaobilaze ručne procese pisanja koda, drastično skraćujući životni ciklus napada (attack lifecycle) i omogućavajući brzu prilagodljivost ciljanom okruženju.

Povezani incidenti sa AI okvirima: Istovremeni izveštaji Google Threat Intelligence Group (GTIG) i Mandiant-a ukazuju na sve češću zloupotrebu otvorenih ofanzivnih penetracionih okvira (poput modela ARTEX, PentAGI i prilagođenih skenera zasnovanih na LLM rešenjima kao što su DeepSeek ili Kimi) od strane državnih i finansijski motivisanih grupa.

3. Tehnička analiza malvera: SysGoRAT i veb-ljuske

Za održavanje dugoročnog pristupa i izvršavanje komandi na kompromitovanim Linux (ali i Windows) sistemima, napadači su primenili kombinaciju prilagođenih alata.

SysGoRAT – Prilagođeni višenamenski trojanac

Glavni element napada na serversku infrastrukturu jeste SysGoRAT, napredni daljinski pristupi trojanac (RAT) napisan u programskom jeziku Go. Ovaj alat ostvaruje vezu sa kontrolnim serverom (C2) preko WebSocket protokola na fiksnu IP adresu (104.194.158[.]65:443) i podržava izvršavanje širokog spektra komandi:

command: Izvršavanje proizvoljnih komandi sistema putem /bin/sh -c ili cmd /C.

control: Pokretanje interaktivnih šel sesija, pravljenje snimaka ekrana (screenshots) i preuzimanje fajlova.

proxy_connect / proxy_data: Uspostavljanje TCP konekcija i bidirecionalni prenos podataka kroz proksi tunele radi dubljeg prodiranja u mrežu.

Veb-ljuske (Web Shells) i skripte za pretragu

Pored SysGoRAT-a, napadači su koristili otvorene i prilagođene PHP veb-ljuske. Posebno je zabeležena upotreba skripte pod nazivom search_social.php, čija je svrha bila automatsko pretraživanje imejl zaglavlja prema specifičnim ključnim rečima vezanim za društvene mreže. Cilj je bio lociranje njenih putanja, pošiljalaca, primalaca i subjekata poruka radi dalje krađe identiteta i pristupa nalogu.

4. Metode krađe akreditiva i tehnike skrivanja traga

Da bi obezbedili kontinuitet napada i prikrili svoje prisustvo, napadači su primenili niz dobro osmišljenih post-eksploatacionih tehnika:

Kompromitovanje datoteke .bashrc: Zamena osnovnog .bashrc fajla zlonamernom verzijom koja u pozadini izvršava komande za presretanje i krađu lozinki prilikom prijave korisnika.

Injekcija u PHP stranice za prijavu: Ubacivanje zlonamernog koda u legitimne login forme radi krađe administratorskih akreditiva.

Analiza konfiguracionih fajlova: Skeniranje fajlova istorije komandi i konfiguracija u potrazi za tekstualnim (plaintext) lozinkama za email, SMTP i baze podataka.

Brisanje logova i “Red-Team” maskiranje: Brisanje sistemskih i veb server logova, kao i postavljanje veštačkih oznaka koje oponašaju testove bezbednosti (red-team markers), sa ciljem da se stvori konfuzija tokom incidentne reakcije i istrage.

5. Širi kontekst: Lančani propusti i preporuke za bezbednost

Ovaj napad se nadovezuje na seriju nedavnih ranjivosti (poput lančanih propusta tipa PHP2Shell koji su uticali na mrežne uređaje i firewalle u državnom sektoru). Kombinacija ranjivosti na perimetru i napredne automatizacije putem veštačke inteligencije pokazuje da tradicionalni metodi odbrane više nisu dovoljni.

Preporučene mere zaštite i mitigacije rizika:

Implementacija principa najmanjih privilegija (PoLP): Ograničavanje prava pristupa za sve servise i korisničke naloge na apsolutni minimum neophodan za rad.

Korišćenje obavezne kontrole pristupa (MAC): Primena bezbednosnih okvira kao što su SELinux ili AppArmor radi izolacije procesa čak i u slučaju kompromitovanja aplikacije.

Mrežna segmentacija i Zero Trust arhitektura: Izolacija kritičnih servera i stroga kontrola istočno-zapadnog (east-west) mrežnog saobraćaja kako bi se sprečilo lako lateralno kretanje napadača.

Forenzika memorije i mreže: S obzirom na to da napadači često koriste obrnute ljuske u memoriji (in-memory reverse shells) i brišu fajlove logova na disku, standardni alati za proveru integriteta mogu propustiti pretnju. Neophodno je uvesti napredan mrežni nadzor i analizu ponašanja (EDR/NDR rešenja).

Kampanja CL-UNK-1211 predstavlja prekretnicu u načinu na koji se moderna sajber špijunaža sprovodi, naglašavajući hitnu potrebu za automatizacijom odbrambenih mehanizama i podizanjem svesti o bezbednosti Linux okvira u javnom sektoru.