Campanha de espionagem contra servidores Linux governamentais usa RAT em Go e scripts com marcas de geração por IA
A Unit 42 da Palo Alto Networks documentou uma campanha de espionagem, batizada CL-UNK-1211, que comprometeu servidores Linux de órgãos governamentais entre outubro de 2025 e abril de 2026 usando um trojan multiplataforma em Go chamado SysGoRAT. O que chama atenção é a evidência de que parte dos scripts de pós-exploração foi gerada por IA: eles trazem comentários em estilo conversacional, passo a passo, típicos de saída de LLM, e um deles continha erro de sintaxe que quebrou a execução. O objetivo final era localizar e exfiltrar e-mails governamentais ligados a contas de redes sociais.
A campanha rastreada como CL-UNK-1211 — nomenclatura da Unit 42 em que "CL" indica cluster de atividade e "UNK" motivação ainda não atribuída — teve como alvo servidores Linux associados a infraestrutura governamental e estatal. Os pesquisadores Roey Porat e Tom Fakterman observaram o grupo combinando técnicas pós-exploração bem conhecidas (substituição do .bashrc para capturar senhas digitadas, injeção de código em páginas de login PHP, varredura de arquivos de configuração e histórico de shell) com ferramentas sob medida, entre elas web shells PHP customizados e o backdoor SysGoRAT.
Tecnicamente, o SysGoRAT é um trojan de acesso remoto escrito em Go, o que facilita compilação cruzada para Windows e Linux a partir da mesma base de código. Ele se comunica com um servidor de comando e controle via WebSocket para um IP fixo embutido no binário, e suporta sete tipos de comando: execução de shell (/bin/sh -c ou cmd /C), controle interativo com captura de tela e download de arquivos, listagem de diretórios, sessão de shell interativa, e um conjunto de três comandos dedicados a montar um proxy TCP arbitrário através do host comprometido — essencialmente transformando a máquina infectada num pivô de rede para o atacante alcançar outros sistemas internos. Após o acesso inicial, os operadores enumeravam diretórios de correio (/var/qmail/mailnames/) e usavam um script PHP batizado search_social.php para localizar e empacotar em ZIP e-mails relacionados a contas de redes sociais, antes de tentar apagar logs e desativar proteções de endpoint para dificultar a resposta a incidente.
O elemento mais relevante do relatório, do ponto de vista de segurança de IA, não é o malware em si, mas a forma como ele foi produzido. Os analistas encontraram nos scripts maliciosos comentários em estilo de raciocínio passo a passo, explicando ao "operador" a lógica de cada bloco de código — um padrão característico de saída de assistentes de IA generativa, e não de como desenvolvedores humanos normalmente comentam ferramentas ofensivas. Um dos scripts, zip_mails.sh, continha um erro de sintaxe que impedia sua execução correta, sugerindo que o código foi copiado de uma saída de LLM ou gerado por um agente autônomo sem revisão humana adequada antes do deploy.
Isso importa na prática porque mostra IA sendo usada como ferramenta de aceleração ofensiva em uma campanha real contra infraestrutura crítica, não em um cenário hipotético de pesquisa: operadores com motivação de espionagem reduzem o esforço de desenvolvimento de malware e scripts de pós-exploração usando LLMs, aceitando o custo de qualidade inconsistente (como o script quebrado) em troca de velocidade operacional. Para defensores, isso desloca parte da detecção de "identificar malware sofisticado" para "identificar padrões de geração assistida por IA e inconsistências de qualidade" como indicador de comprometimento, além de reforçar a importância de monitorar atividade anômala em arquivos de configuração de shell, páginas de login e diretórios de correio em servidores Linux expostos.