استفاده از هوش مصنوعی در کمپین جاسوسی هدفمند علیه زیرساخت‌های لینوکسی دولت‌ها

یک کمپین جاسوسی گسترده با شناسه CL-UNK-1211 شناسایی شده است که زیرساخت‌های دولتی و سازمان‌های وابسته را هدف قرار داده است. این عملیات که در بازه زمانی اکتبر ۲۰۲۵ تا آوریل ۲۰۲۶ مشاهده شده، ویژگی منحصر‌به‌فردی دارد: استفاده از هوش مصنوعی برای تولید بارهای مخرب (Payloads).

نقش هوش مصنوعی در توسعه بدافزار

تحلیل آثار به‌جامانده از این نفوذ نشان می‌دهد که عامل تهدید (Threat Actor) از مدل‌های زبانی بزرگ (LLMs) یا ایجنت‌های خودکار AI برای نوشتن کدها استفاده کرده است. در بسیاری از اسکریپت‌ها، یادداشت‌های توضیحی و استدلال‌های توسعه‌دهنده به صورت محاوره‌ای یافت شده که نشان می‌دهد کدها مستقیماً از خروجی‌های یک Prompt هوش مصنوعی کپی شده‌اند تا منطق عملیاتی برای اپراتور مهاجم شفاف شود.

روش‌های دسترسی و تداوم (Persistence)

مهاجمان برای دسترسی اولیه و حفظ حضور در شبکه، از ترکیبی از Web Shellهای سفارشی و ابزارهای متن‌باز (Open-source) استفاده کرده‌اند. یکی از تکنیک‌های جالب برای تداوم دسترسی، تغییر مقدار auto_prepend_file در تنظیمات PHP بود. با این روش، هر فایل مخرب تعریف شده در این تنظیمات، پیش از اجرای هر اسکریپت PHP دیگر، به‌طور خودکار اجرا می‌شود.

سرقت اعتبارنامه‌ها و دسترسی‌های مدیریتی

عامل تهدید از چندین روش برای جمع‌آوری پسوردها استفاده کرده است:

• دستکاری .bashrc: جایگزینی فایل .bashrc با نسخه‌ای که دستور sudo را هایجک (Hijack) کرده و پسوردهای کاربران را در فایلی با نام جعلی Solarwinds.StatusLog.txt ذخیره می‌کند تا تحلیل‌گران را گمراه کند.
• تزریق کد در صفحات لاگین: افزودن کدهای PHP به صفحات ورود برای ارسال نام کاربری و رمز عبور مدیران به سرور مهاجم.
• جستجوی فایل‌های پیکربندی: جستجوی متنی در تاریخچه دستورات و فایل‌های Config برای یافتن پسوردهای SMTP و دیتابیس.

بدافزار SysGoRAT و ارتباطات C2

مهاجمان یک تروجان دسترسی از راه دور (RAT) چندپلتفرمی به نام SysGoRAT را به زبان Go توسعه داده‌اند. این بدافزار از طریق پروتکل WebSocket با سرور فرماندهی و کنترل (C2) ارتباط برقرار می‌کند و قابلیت‌های متنوعی برای اجرای دستورات سیستم‌عامل و ایجاد تداوم در محیط‌های ویندوز و لینوکس دارد.

هدف قرار دادن صندوق‌های پستی برای نفوذ به شبکه‌های اجتماعی

یکی از اهداف استراتژیک این کمپین، دسترسی به حساب‌های شبکه‌های اجتماعی مقامات دولتی بود. مهاجمان با بررسی دایرکتوری‌های ایمیل در لینوکس، با استفاده از اسکریپت search_social.php، ایمیل‌های مرتبط با شبکه‌های اجتماعی را شناسایی و سپس سعی کردند کل صندوق پستی (Mailbox) را فشرده و استخراج (Exfiltrate) کنند.

تکنیک‌های ضد فارنزیک و فریب

برای پوشاندن ردپای خود، عامل تهدید از روش‌های پیشرفته‌ای استفاده کرده است:

• Timestomping: تغییر زمان دسترسی و اصلاح فایل‌های مخرب با دستور touch -t برای اینکه فایل‌ها قدیمی به نظر برسند.
• شبیه‌سازی عملیات Red Team: استفاده از کلمات کلیدی مانند RedTeamOps2025 و پسوردهایی مثل pentest123 برای اینکه تحلیل‌گران تصور کنند این فعالیت‌ها مربوط به یک تست نفوذ قانونی است.
• پاکسازی سیستماتیک: حذف لاگ‌های سیستم و تلاش برای متوقف کردن پردازش‌های مربوط به ابزارهای EDR.

جابجایی عرضی (Lateral Movement) و استخراج داده‌ها

مهاجمان برای عبور از فایروال‌های داخلی، از قابلیت‌های دیتابیس MSSQL (مانند xp_cmdshell) و تونل‌های SSH استفاده کردند. در نهایت، داده‌های حساس دیتابیس‌ها را در قالب فایل‌های CSV استخراج کرده و برای جلب اعتماد سیستم‌های مانیتورینگ، آن‌ها را به پلتفرم‌های میزبان فایل (File-hosting) معتبر ارسال کردند.