🔍 Contexte

Publié le 15 octobre 2026 par Unit 42 (Palo Alto Networks), ce rapport documente une campagne d’intrusion baptisée CL-UNK-1211, active d’octobre 2025 à avril 2026. L’affiliation de ce cluster à un État-nation ou à la cybercriminalité n’a pas encore été déterminée.

🎯 Cibles et objectifs

Les attaquants ont ciblé des entités gouvernementales et des infrastructures affiliées à des États, avec pour objectifs :

  • L’exfiltration de boîtes mail gouvernementales pour accéder à des comptes de réseaux sociaux (Facebook, Instagram, Twitter, TikTok, LinkedIn)
  • Le dump complet de bases de données sensibles
  • Le maintien d’un accès persistant à long terme

🤖 Utilisation de l’IA pour la génération de payloads

Les scripts malveillants contenaient des annotations conversationnelles et des commentaires de raisonnement étape par étape, caractéristiques d’une génération par LLM ou d’un agent IA automatisé. Les indicateurs incluent : en-têtes de section dans les scripts, usage intensif de commandes encodées en Base64, et transitions fluides entre PHP, JavaScript, Bash et Python.

🛠️ Arsenal technique

Accès initial et persistance :

  • Déploiement massif de web shells (custom et open-source depuis GitHub)
  • Modification de auto_prepend_file dans /etc/php/ et /opt/plesk/php/ pour charger un web shell PHP à chaque exécution
  • Web shell déguisé en /usr/lib/php/plesk_sys_driver.php

Collecte de credentials :

  • Hijacking du fichier .bashrc avec alias sudo malveillant loggant les mots de passe dans Solarwinds.StatusLog.txt
  • Injection d’un logger PHP dans les pages de login
  • Scan de fichiers de configuration pour mots de passe en clair (SMTP, WordPress, historique de commandes)

RAT custom – SysGoRAT :

  • Écrit en Go, multiplateforme (Linux/Windows)
  • C2 via WebSocket (wss://<addr>/ws), IP hardcodée : 104.194.158[.]65:443
  • 7 types de commandes : exécution arbitraire, shell interactif, proxy TCP, listing de répertoires, screenshot, download, persistance
  • 6 méthodes de persistance : systemd, cron, registre Windows, tâche planifiée, sélection automatique
  • Renommé en sys-control-client, pip2.7, ea_install, ./semanage

Reverse shells en mémoire :

  • Named pipe via Netcat, redirections TCP Bash, subprocesses Python
  • Déployés sur au moins 7 serveurs C2 distincts

Escalade de privilèges :

  • LinPEAS pour énumération locale
  • Exploit CVE-2021-4034 (PwnKit)
  • Interpréteur Python3 renommé .libpython-helper avec os.setuid(0)
  • Backdoor SUID .libsystemd-helper
  • Binaire bash renommé .tourch avec chmod u+s

Propagation latérale :

  • XP_CMDSHELL sur MSSQL pour double-hop entre segments réseau
  • sshpass avec credentials hardcodés pour mouvement latéral SSH
  • Injection de clé SSH publique dans authorized_keys

Outils proxy/tunneling :

  • revsocks (SOCKS5 reverse tunnel)
  • pysoxy (proxy Python SOCKS)
  • GSocket / gs-netcat (traversée NAT/firewall), stocké dans /dev/shm/.gs-10085/, déguisé en [kcached] et gs-dbus

Scanner de vulnérabilités :

  • Scanner custom Go ciblant CVE-2025-55182 (React2Shell)

🧹 Évasion et anti-forensics

  • Tentative de désactivation de Cortex XDR via pgrep/pkill
  • Timestomping avec touch -t
  • Suppression des scripts après exécution (write → exec → rm)
  • Nettoyage massif des logs (auth, historique, email, OS, web server, sessions PHP)
  • Script de vérification post-nettoyage
  • Déguisement en opération red team : clé RedTeamOps2025, mot de passe pentest123
  • Exfiltration via plateformes légitimes : transfer.sh, bashupload.com, filebin.net, catbox.moe

📄 Type d’article

Il s’agit d’une analyse technique approfondie publiée par Unit 42, visant à documenter les TTPs, outils et IoCs d’un cluster d’activité malveillante inédit pour permettre la détection et la réponse à incident.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • CL-UNK-1211 (unknown) —

TTP

  • T1505.003 — Server Software Component: Web Shell (Persistence)
  • T1546.004 — Event Triggered Execution: Unix Shell Configuration Modification (Persistence)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1059.006 — Command and Scripting Interpreter: Python (Execution)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1095 — Non-Application Layer Protocol (Command and Control)
  • T1090.001 — Proxy: Internal Proxy (Command and Control)
  • T1572 — Protocol Tunneling (Command and Control)
  • T1056.001 — Input Capture: Keylogging (Credential Access)
  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1548.001 — Abuse Elevation Control Mechanism: Setuid and Setgid (Privilege Escalation)
  • T1021.004 — Remote Services: SSH (Lateral Movement)
  • T1098.004 — Account Manipulation: SSH Authorized Keys (Persistence)
  • T1070.003 — Indicator Removal: Clear Command History (Defense Evasion)
  • T1070.001 — Indicator Removal: Clear Windows Event Logs (Defense Evasion)
  • T1070.006 — Indicator Removal: Timestomp (Defense Evasion)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
  • T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
  • T1036.004 — Masquerading: Masquerade Task or Service (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1567 — Exfiltration Over Web Service (Exfiltration)
  • T1005 — Data from Local System (Collection)
  • T1114.001 — Email Collection: Local Email Collection (Collection)
  • T1046 — Network Service Discovery (Discovery)
  • T1082 — System Information Discovery (Discovery)
  • T1083 — File and Directory Discovery (Discovery)
  • T1190 — Exploit Public-Facing Application (Initial Access)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 7 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • SysGoRAT (rat)
  • LinPEAS (tool)
  • PwnKit (tool)
  • revsocks (tool)
  • pysoxy (tool)
  • GSocket (tool)
  • gs-netcat (tool)
  • CVE-2025-55182 scanner (tool)

🟢 Indice de vérification factuelle : 100/100 (haute)

  • ✅ unit42.paloaltonetworks.com — source reconnue (liste interne) (20pts)
  • ✅ 39407 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 56 IOCs dont des hashes (15pts)
  • ✅ 6/9 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 31 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : CL-UNK-1211 (5pts)
  • ✅ 2/2 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 45.88.188.140 (ip) → VT (8/92 détections)
  • 198.23.185.234 (ip) → VT (16/92 détections)
  • 138.68.244.146 (ip) → VT (10/92 détections)
  • magento.ink (domain) → VT (18/92 détections)
  • solidmonpe.com (domain) → VT (17/92 détections)

🔗 Source originale : https://unit42.paloaltonetworks.com/ai-campaign-targets-linux-infrastructure/