网络安全公司Palo Alto Networks发现黑客组织CL-UNK-1211疑似利用AI生成代码攻击政府基础设施
Palo Alto Networks报告称，黑客组织CL-UNK-1211在2025年10月至2026年4月间，疑似使用大语言模型生成恶意代码，针对政府Linux服务器进行网络间谍活动。
据iThome报道，网络安全公司Palo Alto Networks发现一个名为CL-UNK-1211的黑客组织，疑似利用大型语言模型（LLM）或自动化AI代理协助撰写攻击工具。该组织自2025年10月至2026年4月期间，锁定政府机关及相关基础设施从事网络间谍活动，意图窃取账号密码、收集政府邮件及数据库内容，并挖掘政府人员的社交媒体平台账号。
根据分析，多个PHP及Shell恶意程序中出现了类似AI生成的对话式注释，逐步解释程序逻辑及开发推理过程，这与一般开发人员编写的注释不同。此外，攻击程序还呈现大量Base64编码指令，以及PHP、JavaScript、Bash和Python等语言交替使用的特征。
在入侵阶段，CL-UNK-1211通过部署自行开发及取自GitHub的开源Web Shell获取Linux服务器权限，并修改PHP设置中的auto_prepend_file参数以维持长期访问。其中一个恶意PHP文件被命名为plesk_sys_driver.php，企图伪装成合法系统文件。后续该组织篡改.bashrc文件，劫持sudo命令以窃取用户密码。
研究人员还发现了以Go语言开发的跨平台远程访问木马SysGoRAT，可在Linux及Windows环境执行，并通过WebSocket与C2服务器通讯。其功能包括执行远程命令、建立交互式Shell、列出目录、建立TCP代理连接及下载文件，还能利用systemd、cron及Windows注册表项等方式建立持久性。
为了降低被检测的风险，攻击者尝试停用终端防护系统、篡改系统时间戳记、删除身份验证及命令执行的事件记录，甚至植入RedTeamOps2025等字符串，将恶意活动伪装成合法的红队测试。