CL-UNK-1211
4 节点1 篇3 来源
网络安全公司 Palo Alto Networks 旗下的威胁情报部门 Unit 42 披露，黑客组织 CL-UNK-1211 在2025年10月至2026年4月期间，疑似利用大语言模型（LLM）或自动化 AI 代理生成恶意代码，针对政府 Linux 服务器发起网络间谍活动。该组织部署了名为 SysGoRAT 的跨平台后门程序，并通过篡改 PHP 配置、劫持 sudo 指令等手段窃取管理员密码、数据库内容及政府邮件，试图挖掘关联的社交媒体账号。Unit 42 指出，攻击脚本中出现的“对话式注释”和逐步解释逻辑的特征是判定其使用 AI 辅助开发的关键证据。目前该组织的归属国及动机（国家级或犯罪团伙）尚未确定，但这一案例标志着 AI 加速攻击工具开发已从理论走向实战，显著缩短了防御者的响应窗口。
事情怎么走到这一步
CL-UNK-1211 开始针对政府实体及国家相关基础设施进行持续的网络间谍活动，主要目标为 Linux 环境。
unit42.paloaltonetworks.com ↗上述攻击活动观察期结束，期间攻击者利用 AI 生成的 PHP 和 Shell 脚本维持持久化访问并窃取数据。
thehackernews.com ↗Palo Alto Networks Unit 42 发布详细分析报告，正式追踪该活动集群为 CL-UNK-1211，并指出其疑似使用 LLM 生成载荷。
unit42.paloaltonetworks.com ↗The Hacker News 等媒体跟进报道，披露攻击细节包括使用 SysGoRAT 后门、篡改 .bashrc 文件以拦截 sudo 密码以及搜索社交媒体相关邮件。
thehackernews.com ↗
还没定论的部分
- CL-UNK-1211 的具体归属国家或背后的资助方是谁？
- 除了已发现的 SysGoRAT，是否还有其他未公开的 AI 生成恶意软件家族被用于此活动？