2026-10-22 13:56:19 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

AI 间谍战役瞄准政府 Linux：黑客用大模型写攻击脚本，专偷邮箱和数据库

原创

承影
承影

兰花豆说网络安全

2026年10月18日 09:04
湖北

去阅读

你以为 AI 只会写诗、做 PPT？有一伙人，已经用大语言模型（LLM）批量\"写\"出了攻击脚本，专门瞄着政府机构的 Linux 服务器、数据库和邮箱下手。Palo Alto 的 Unit 42 把这场战役编号为 CL-UNK-1211——名字里的\"UNK\"，是\"还没查清楚是谁\"的意思。

一、开场：当攻击者也开始\"用 AI 提效\"

先给外行补一个背景：政府、能源、央国企这些单位，核心业务系统大量跑在 Linux 服务器上——数据库、邮件系统、内部平台，几乎都在这上面。它是数字政府的\"地基\"。

10 月 15 日，Palo Alto Unit 42 发布报告，披露了一场专门针对政府实体和国家附属基础设施的间谍战役，活跃期从 2025 年 10 月一直持续到 2026 年 4 月。最让人警惕的不是它偷了什么，而是它怎么干的：攻击者把 AI 用进了攻击链里。

研究人员在分析缴获的恶意 PHP 和 shell 脚本时发现，这些代码里带着对话式的、一步步推理的注释——就像有人在旁边边想边写。脚本之间还有 AI 为了\"快速看懂输出\"而自动生成的分段标题，大量使用 Base64 编码命令，并能在 PHP、JavaScript、Bash、Python 之间无缝切换技术栈。这些特征，典型到一眼就能看出：这代码，是 LLM 生成、或者由 AI 智能体自动部署的。

换句话说，攻击者也在用 AI 给自己的作战脚本\"降本增效\"。

二、事件还原：一条从 Web 后门到邮箱窃密的完整链路

CL-UNK-1211 的攻击链，Unit 42 还原得非常完整，我给你捋一遍：

1.初始进入

通过部署各种 Web 后门（有自研的，也有从 GitHub 抄来的开源 webshell），配合凭据窃取拿到入口；并篡改 /etc/php/、/opt/plesk/php/ 下的 auto_prepend_file 实现持久化——这样每次 PHP 执行都会先加载它的恶意代码。

2.凭据窃取

劫持 .bashrc、插入 PHP 凭据记录器、扫描明文密码。

3.提权

用 LinPEAS 侦察、PwnKit（CVE-2021-4034）提权，再上自定义 SUID 后门。

4.自定义远控

投放 SysGoRAT——一个用 Go 写的跨平台远程控制木马，伪装成 sys-control-client、pip2.7、ea_install 等正常进程名，通过 WebSocket（wss）与 C2 通信。

5.内网横向

利用 MSSQL 的 XP_CMDSHELL 双跳执行、SSH 横向移动（sshpass）、部署反向代理工具。

6.定向邮箱

枚举政府邮箱，搜索与社交媒体相关的邮件，试图打包窃取。

7.数据渗出

拖库、压缩，通过 nc 或 transfer.sh 之类的公开文件托管平台外传。

8.反取证

禁用终端防护、删日志、伪造时间戳（timestomping）、伪装成红队、清理残存脚本。

报告里还点出，攻击者用到了 CVE-2025-55182（React2Shell） 漏洞扫描器，以及 GSocket 反向 shell（伪装成 [kcached] 进程）。IOC 规模包括 17 个 IP、4 个域名（如 magento[.]ink、solidmonpe[.]com）。

有意思的是，Unit 42 的终端防护（Cortex XDR）成功阻断了其中部分行为——比如攻击者想终止防护进程，没成功。这说明：看得见、能干预的行为检测，真的能救命。

值得一提的是，Unit 42 始终用\"UNK\"来标注归因——它还没法确认这到底是某个国家支持的 APT，还是单纯的犯罪团伙。但这种\"说不清是谁\"恰恰最危险：它意味着，任何把核心业务放在 Linux 上的机构，无论立场如何，都可能成为下一个目标。真正的安全，不能建立在\"谁会打我\"的猜测上，而要建立在不给任何人可乘之机的基线上。

三、深度拆解：为什么\"政府 Linux\"是块肥肉

前面说了，Linux 是政府与关键行业的核心业务承载。而这类环境有几个老毛病，正好被 CL-UNK-1211 精准利用：

PHP 配置被篡改不留痕

auto_prepend_file 这种持久化手法，很多运维根本不会去查。

SSH 凭据被注入

authorized_keys 被加一把攻击者的公钥，就能长期免密登录。

明文密码满天飞

数据库、配置文件里的明文口令，是凭据窃取的\"自助餐\"。

出站管控松懈

用 nc、公开文件托管传数据，说明很多服务器的出网流量根本没管好。

下面这张表，把这类攻击的\"软柿子\"和\"硬骨头\"对照一下：


薄弱环节	攻击者怎么用	该怎么堵
PHP auto\_prepend\_file 被改	每次执行自动加载恶意代码	定期审计 PHP 配置与预加载项
.bashrc / authorized\_keys 被改	持久化、免密登录	SSH 密钥与启动文件完整性监控
明文密码	凭据窃取自助餐	消除明文、上密钥管理
出站流量无管控	nc/公开托管外传数据	严格出站防火墙、阻断异常外联

对国内的政府、央国企读者，这点尤其值得警醒：我们的核心业务系统，恰恰是这类\"未查先被改\"的薄弱环节最多、也最难被发现的地方。CL-UNK-1212 虽未归因，但它瞄准的\"政府 Linux\"靶心，对谁都一样。

把攻击者的\"武器库\"再摊开一点，你会更明白它的针对性。SysGoRAT 用 Go 语言写成，最大的特点是\"跨平台\"——同一份代码能编译跑在 Linux、Windows、macOS 上，攻击者不用为不同目标重写工具；它还会伪装成 pip2.7、ea_install、semanage 这类看起来人畜无害的系统进程名，混在进程列表里极难一眼识别。配合 CVE-2025-55182（React2Shell） 这类漏洞扫描器，攻击者能快速定位暴露在公网的 .NET/Java 应用弱点，再顺着 Web 后门一路打进去。还有一点值得玩味：攻击者用 GSocket 反向 shell 伪装成 [kcached] 这类内核缓存进程，连进程名都在模仿系统组件——这种\"伪装成自己人\"的功夫，考的是防守方对基线的熟悉度。而它专挑政府 Linux，道理也朴素：政府和关键行业的核心业务、公民数据、内部邮件，大多沉淀在这些服务器上——拿到它们，等于拿到了一个国家机枢的抽屉。

四、影响与启示：给 Linux 运维与防守方的硬核清单

结合 Unit 42 的建议，给你一份能直接落地的防守清单：

1.全量可见性

对 Linux 服务器、数据库做全面行为监控，别只靠\"没报警就是安全\"。

2.盯死持久化点

定期审查 auto_prepend_file、.bashrc、authorized_keys、cron、systemd 服务是否被篡改。

3.严管出站

用防火墙阻断 bash、nc 等生成交互式 shell 的外联；对已知恶意域名/IP 做 URL、DNS、IP 层封堵。

4.身份与权限

收敛 SSH 私钥、强制密钥管理审计；数据库与 MSSQL 的 XP_CMDSHELL 之类高危功能默认关闭。

5.行为检测优先

部署具备行为威胁防护的 EDR（如 Cortex XDR/XSIAM 类），对\"清 shell 历史、删日志、提权\"等异常能识别并阻断未知恶意软件。

6.AI 风险自评

用 AI 安全评估服务识别自身是否已被 AI 驱动的攻击盯上，别等出事才补课。

落到国内的政府、央国企，这份报告几乎是一份\"自查清单的范本\"。我们反复讲，最深的行业壁垒在政府事业单位和央国企的核心业务系统——而这些系统，恰恰是 CL-UNK-1211 最爱钻的\"配置被改无人查\"的薄弱环节。结合等保、关保的要求，真正要补的，不是再多买几台设备，而是把 Linux 主机的配置基线、SSH 授权、PHP 预加载、出站流量管控，做成常态化审计。AI 让攻击者的\"写脚本\"变快了，我们的\"查配置\"也必须变快——这是一场关于\"速度\"的防守赛跑。

五、收尾：金句与互动

一句话总结：当攻击者用大模型批量写攻击脚本，防守方最该做的，不是比谁用 AI 更猛，而是先把自家 Linux 的\"后门配置\"查个底朝天。

CL-UNK-1211 给所有政府、关键行业敲了钟：你的核心业务系统，可能正跑在一堆\"没人复查过的配置\"之上。AI 只是让攻击者更快，而真正的伤口，是你早就忽略的那行配置。

互动时间：你负责的环境里，上一次全面审计 PHP 配置和 SSH 授权文件是什么时候？欢迎在评论区聊聊政府/央国企 Linux 安全那些\"没人管、最易被改\"的死角。也欢迎转发给负责核心业务系统的同事——这一篇，值得他们花十分钟。

资料来源：Palo Alto Networks Unit 42 报告《AI-Powered Espionage Campaign Targets Government Linux Infrastructure》（2026 年 10 月 15 日）。攻击链、IOC 与归因状态以 Unit 42 官方报告为准。