Yeni SysGoRAT zararlısı, büyük olasılıkla AI üretimi betiklerle devlet Linux sunucularını hedefliyor

Palo Alto Networks'ün Unit 42 ekibi, devlet bağlantılı Linux altyapısına karşı yürütülen ve SysGoRAT adlı özel bir uzaktan erişim truva atı ile yapay zekâ ile üretilmiş göründüğü değerlendirilen zararlı betikler kullanan bir kampanyayı izlediğini açıkladı. Araştırmacılar Roey Porat ve Tom Fakterman'ın raporunu The Hacker News aktardı.

Neler oldu?

The Hacker News'e göre Unit 42 faaliyeti CL-UNK-1211 olarak izliyor; burada "CL" bir kümeyi, "UNK" ise motivasyonun bilinmediğini belirtiyor. Firma, faaliyeti Ekim 2025 ile Nisan 2026 arasında gözlemledi ve devlet kurumları ile devlet bağlantılı kuruluşlara ait Linux altyapısını hedef aldığını söyledi. Rapor belirli devletleri veya kuruluşları adlandırmıyor. Unit 42, saldırganların hassas veritabanlarını sızdırmayı ve sosyal medya hesaplarına ulaşmak amacıyla devlet posta kutularına erişmeyi hedeflediğini belirtti.

Teknik detaylar

Unit 42'ye göre SysGoRAT, Go ile yazılmış, hem Windows'ta hem Linux'ta çalışan ve birkaç kalıcılık yöntemini destekleyen çok platformlu özel bir uzaktan erişim truva atı olarak tanımlanıyor. WebSocket üzerinden sabit kodlanmış bir IP adresine (104.194.158[.]65, 443 numaralı bağlantı noktası) bağlanıyor ve yedi komut türünü kabul ediyor: komut çalıştırma; shell, ekran görüntüsü, dosya indirme ve kalıcılık gibi kontrol işlevleri; dizin listeleme; shell girişi; ve TCP bağlantılarını açmak, aktarmak ve kapatmak için üç proxy komutu.

Unit 42 ayrıca büyük olasılıkla AI ile üretildiğini düşündüğü zararlı PHP ve shell betikleri buldu. Çoğu, kodu operatöre açıklayan sohbet tarzında adım adım akıl yürütme notları içeriyordu; araştırmacılar bunun kodun AI çıktısından kopyalandığını veya otomatik bir ajan tarafından dağıtıldığını düşündürdüğünü söyledi. zip_mails.sh adlı bir betik, sözdizimi hataları nedeniyle çalıştırıldığında başarısız oldu. Bildirilen yöntemler arasında açık kaynaklı araçlar, PHP web shell'leri, .bashrc'yi parola çalan bir sürümle değiştirip PHP oturum açma sayfalarına kod enjekte ederek kimlik bilgisi toplama, uç nokta korumalarını devre dışı bırakma, sistem günlüklerini silme ve faaliyeti meşru bir değerlendirme gibi göstermek için sahte red-team işaretleri bırakma yer alıyordu. Saldırganlar ayrıca diske dosya bırakmamak için bellek içi ters shell'ler kullandı ve e-posta başlıklarında sosyal medyayla ilgili mesajları arayan bir betik (search_social.php) dâhil keşif betikleri çalıştırdı.

Kimler etkileniyor?

Unit 42 kampanyayı adı konmuş bir gruba atfetmedi ve motivasyonunu bilinmeyen olarak listeledi. Devlet ve devlet bağlantılı Linux sistemlerinin hedef alınması, posta kutusu ve veritabanı erişim hedefleriyle birleştiğinde casusluk odaklı bir operasyona işaret ediyor. The Hacker News, Google Threat Intelligence Group, Mandiant ve Microsoft'un ARTEX, PentAGI, Hexstrike ve CAIRN gibi açık kaynaklı agentic sızma testi çerçevelerini kötüye kullanan tehdit aktörlerini ayrı ayrı belgelediğini; GTIG ve Mandiant'ın bu çerçevelerin saldırıları hızlandırdığını ancak tespit riskini artıran adli izler bıraktığını gözlemlediğini not ediyor.

Ne yapmalı?

İnternete bakan Linux hizmetleri çalıştıran kuruluşlar, bildirilen davranışları izlemeli: .bashrc'de beklenmeyen değişiklikler, PHP oturum açma sayfalarına enjekte edilmiş kod, silinmiş sistem günlükleri ve tanınmayan sabit kodlanmış IP adreslerine giden WebSocket bağlantıları. Savunmacılar, karşılığında yetkilendirilmiş bir çalışma bulunmayan "red-team" işaretlerinin varlığını bir uyarı işareti sayabilir; posta dizinlerini sayan PHP web shell'lerini ve keşif betiklerini incelemeli. Bellek içi ters shell'lerin izlenmesi ve sunucu altyapısından giden bağlantıların kısıtlanması maruziyeti daha da azaltır.