北京
打补丁没用。这不是sudo本身的漏洞，攻击者动的是另一个地方——用户每次打开Bash都会自动执行的那个文件。
Unit 42最新披露的一轮攻击活动，把目标对准了政府机构和国家级基础设施。攻击者没有去挖sudo的洞，而是替换了用户的.bashrc，在里面埋了一个sudo的别名。用户敲下sudo命令时，看到的是和平时几乎一样的密码提示，输入的密码被悄悄写进一个日志文件，然后再被转交给真正的sudo执行。请求照常完成，密码已经易主。
这个区别很关键：只靠打软件补丁，清不掉这类篡改。管理员需要去检查shell配置有没有被动过手脚。
从shell一路偷到邮箱
凭据窃取没有停在shell这一层。攻击者还在一个PHP登录页面里插了代码，用来收集管理员用户名和密码，并翻查配置文件和命令历史，找邮件、SMTP和数据库凭据。
那个记录密码的文件被命名为Solarwinds.StatusLog.txt，看起来像是系统自己生成的常规产物。Unit 42明确表示，没有发现SolarWinds的系统或基础设施遭到入侵的证据。
Unit 42把这组相关活动追踪为CL-UNK-1211，观察到的活动时间跨度是2025年10月到2026年4月。用“UNK”标记，是因为这个集群与国家级活动或网络犯罪的关联尚未确定，所以结论里没有点名任何已知的政府或犯罪团伙。
攻击者还部署了Web Shell，并修改PHP配置，让一个恶意文件在其他PHP脚本之前加载。他们在政府邮箱里搜索与社交媒体账号相关的邮件，尝试打包邮箱内容，并寻找数据库数据。Unit 42提到，其中一个邮箱归档脚本存在语法错误，按原样运行会失败——恶意代码并不总是如作者所愿地工作。
SysGoRAT与伪装痕迹
Unit 42发现了一个自研的Go语言远程访问木马，命名为SysGoRAT。它能在Linux和Windows上运行，通过WebSocket与命令控制服务器通信，支持远程命令、shell访问、文件操作和持久化。
攻击者用sys-control-client、pip2.7、ea_install这类名字来伪装二进制文件。默认C2地址是104.194.158[.]65:443，报告称操作者可以在启动时更换。
为了隐藏行踪，操作者尝试停掉终端安全进程、删除日志和shell历史、用完就删临时脚本、修改文件时间戳。他们还留下了RedTeamOps2025、pentest123这类红队风格的标记，让活动看起来像是获得授权的测试。Unit 42表示，终端防护检测并阻止了终止Cortex XDR进程的尝试；这一结果只针对被观察到的系统，不代表所有尝试都被拦下。
AI参与的证据边界
多个脚本里带有口语化的注释和分步推理笔记，研究人员认为这与AI生成的代码或自动化AI代理的表现一致。证据指向AI帮助创建或改编了工具包的一部分，但并不能证明AI独立策划或执行了这轮攻击。
Unit 42还注意到Base64编码的命令，以及脚本在PHP、JavaScript、Bash和Python之间来回切换。这些线索能帮防御方识别可疑代码，但单凭它们不足以证明使用了AI。
对防御方来说，可落地的动作是：检查.bashrc、PHP设置和登录页面的异常改动；排查不熟悉的别名或凭据日志文件；监控异常外连和shell活动；调查期间保留日志和系统证据。报告给出的失陷指标，应当先和本地遥测数据比对，再当作失陷证据处理。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
