資安業者揭露駭客疑用AI生成惡意程式 鎖定政府Linux伺服器竊資

資安公司 Palo Alto Networks 調查指出，駭客組織 CL-UNK-1211 於 2025 年 10 月至 2026 年 4 月期間，鎖定政府機關與相關基礎設施展開網路間諜活動。研究人員在分析多個 PHP 及 Shell 惡意程式時，發現程式碼內帶有類似 AI 生成的對話式註解，內容包含逐步推理開發過程與邏輯解釋，並混用多種程式語言與編碼，研判駭客疑似利用大型語言模型或自動化 AI 代理協助開發工具。 在入侵手法上，該組織利用開源及自製 Web Shell 取得 Linux 伺服器存取權限，並修改 PHP 配置以維持常駐。攻擊者竄改 .bashrc 檔案劫持管理員的 sudo 指令，藉由偽造提示攔截帳密，同時在系統與登入頁面搜集明文密碼。此外，駭客部署了 Go 語言撰寫的跨平臺木馬 SysGoRAT，透過 WebSocket 執行遠端指令。研究人員亦發現攻擊者鎖定政府郵件伺服器，特別過濾主流社群平臺相關信件，試圖打包外傳信箱並鎖定政府人員社群帳號。

值得帶走的重點

• Palo Alto Networks 發現惡意程式碼含有 AI 對話式註解與逐步邏輯推理，疑似利用 LLM 輔助撰寫。
• 駭客組織 CL-UNK-1211 鎖定政府 Linux 伺服器，透過 Web Shell 與修改 PHP 配置建立長期存取權限。
• 攻擊手法包含竄改 .bashrc 劫持 sudo 指令竊取密碼，並部署跨平臺木馬 SysGoRAT 控制系統。
• 駭客針對政府郵件伺服器過濾社群平臺信件以挖掘人員帳號，並企圖外傳信箱與資料庫內容。