黑客用 AI 寫的程式潛伏政府 Linux 伺服器半年
Palo Alto Networks 旗下威脅研究團隊 Unit 42 在 2026 年 10 月 15 日發表報告，指一批黑客由 2025 年 10 月至 2026 年 4 月，入侵政府機構和國家相關機構的 Linux 伺服器及企業資料庫。Unit 42 把這批活動命名為 CL-UNK-1211，「UNK」代表仍未確定背後是國家級組織還是網絡犯罪集團，報告亦沒有點名受害國家。
報告指出，攻擊者大量依賴 AI 生成的惡意程式，程式碼可能由大型語言模型寫成，亦可能由自動化 AI 代理執行。
程式裡留下了 AI 的對話式筆記
令研究人員判斷程式出自 AI 的，是攻擊者沒有清走的痕跡。Unit 42 寫道，多個腳本裡面「不是一般的開發者說明，而是對話式、逐步推理的筆記」。其他跡象包括腳本加上分段標題、大量 Base64 編碼指令，以及在 PHP、JavaScript、Bash 和 Python 之間來回切換。
資安網站 Gridinsoft 的分析補充，這些線索只能顯示程式由 AI 協助編寫，無法分辨是有人把生成的程式碼貼上去，還是由自主系統主持整個入侵。
假 sudo 提示騙走管理員密碼
最狡猾的一招是偽造 sudo 指令。攻擊者修改 `.bashrc`，加入一個攔截 sudo 的別名：管理員輸入 sudo 時會見到一個假的密碼提示，密碼被記錄後再交給真正的 sudo 執行，指令照常完成，管理員不會察覺。
偷來的密碼經 Base64 編碼後，寫入記憶體目錄 `/dev/shm` 下一個名為 `Solarwinds.StatusLog.txt` 的檔案，扮成普通軟件紀錄。Unit 42 強調沒有證據顯示 SolarWinds 本身被入侵，名字只是用來掩人耳目。
手法 | 做法 |
|---|---|
植入網頁後門 | 修改 PHP 設定，令偽裝成 `plesk_sys_driver.php` 的後門自動載入 |
偷取密碼 | 假 sudo 提示、在 PHP 登入頁插入記錄器、搜尋設定檔和指令紀錄 |
遙距控制 | 自製 Go 語言木馬 SysGoRAT，可在 Linux 和 Windows 運行，有六種持久化方式 |
提升權限 | 用 LinPEAS 偵察，再以 PwnKit 漏洞（CVE-2021-4034）取得 root |
清除痕跡 | 刪除登入、指令和網頁紀錄，竄改檔案時間戳 |
翻查政府郵箱找社交帳戶
攻擊者列出伺服器上的郵件目錄，用一個名為 `search_social.php` 的腳本，讀取每封郵件的首 4KB，搜尋 Facebook、Instagram、Twitter、TikTok 和 LinkedIn 等關鍵字，目標是接管與政府電郵地址掛鈎的社交媒體帳戶。另一個用來壓縮整個郵箱的腳本 `zip_mails.sh` 卻有語法錯誤，按原樣根本無法執行。
攻擊者亦把資料庫內容匯出成 CSV，經 transfer.sh、bashupload.com 和 filebin.net 等檔案分享服務傳走，又刻意留下「RedTeamOps2025」等字眼，扮成滲透測試。
終止防護軟件的企圖被攔截
據 Unit 42，攻擊者曾嘗試終止 Cortex XDR 的程序，但被偵測並攔截，清除指令紀錄的動作亦觸發了警報。報告公布了 17 個 IP 地址、4 個域名和多個檔案雜湊值，供各機構排查。Unit 42 總結：「攻擊者繼續採用 AI 來簡化惡意程式開發，並擴大攻擊規模。」
No comments yet
提交留言即表示你已閱讀我們的私隱政策。