政府機關Linux主機被鎖定，駭客借助AI力量生成惡意程式，意圖竊取郵件與社群平臺帳號

駭客借助AI的力量從事網路攻擊，已變得相當氾濫，最近資安公司Palo Alto Networks發現一起攻擊活動，駭客疑似利用大型語言模型（LLM）或自動化AI代理程式協助撰寫攻擊工具，引起研究人員的注意。駭客組織CL-UNK-1211自2025年10月至2026年4月，鎖定政府機關與相關基礎設施從事網路間諜活動，意圖竊取帳密、蒐集政府郵件及資料庫內容，並嘗試以此挖掘政府機關的社群平臺帳號。

這些駭客的攻擊工具疑似借助AI的力量打造，因為Palo Alto Networks在多個PHP及Shell惡意程式看到類似AI生成的對話式註解，內容包含逐步解釋程式邏輯及開發推理過程，與一般開發人員撰寫的程式註解不同。再者，攻擊程式也呈現大量Base64編碼指令，以及PHP、JavaScript、Bash和Python等語言交替使用的特徵。

在入侵階段，CL-UNK-1211透過部署自行開發及取自GitHub的開源網頁Shell，取得Linux伺服器存取權限，並修改PHP設定中的auto_prepend_file參數，讓惡意程式在其他PHP程式執行前自動載入，以維持長期存取。其中一個惡意PHP檔案被命名為plesk_sys_driver.php，企圖偽裝成合法系統檔案。

CL-UNK-1211竄改.bashrc檔案，劫持系統管理員執行的sudo指令，顯示仿冒的密碼輸入提示，竊取使用者密碼後再轉交給原本的sudo指令執行，使受害者難以察覺帳密遭攔截。這些駭客也在PHP登入頁面植入竊資軟體，並搜尋系統設定檔及指令歷史紀錄中的電子郵件、SMTP與資料庫明文密碼。

在後門程式方面，研究人員看到以Go語言開發的跨平臺遠端存取木馬SysGoRAT，可在Linux及Windows環境執行，並透過WebSocket與C2伺服器通訊。其功能包括執行遠端命令、建立互動式Shell、列出目錄、建立TCP代理連線及下載檔案，還能利用systemd、cron及Windows登錄機碼等方式建立持續性。

值得注意的是，CL-UNK-1211也將政府郵件伺服器列為情報蒐集目標，透過搜尋郵件目錄及郵件標頭，篩選臉書、Instagram、X、抖音，以及LinkedIn等社群平臺相關郵件，藉此找出政府人員使用的社群帳號。研究人員也發現，攻擊者企圖打包並外傳整個郵件信箱，以及竊取資料庫內容。

為了降低遭到偵測的風險，攻擊者嘗試停用端點防護系統、竄改系統時間戳記、刪除身分驗證及命令執行的事件記錄，甚至植入RedTeamOps2025等字串，將惡意活動偽裝成合法紅隊測試。