На взломанных Linux-серверах государственных организаций специалисты нашли вредоносные PHP-скрипты с комментариями, похожими на ответы нейросети. Вероятно, хакеры пытались использовать искусственный интеллект при написании кода, который перехватывал пароли администраторов и мог похищать данные.
Что произошло
15 октября 2026 года американская группа исследователей в сфере кибербезопасности сообщила о необычной находке. Изучая вредоносные скрипты, обнаруженные на взломанных серверах государственных организаций и связанных с ними структур, специалисты заметили комментарии, похожие на ответы нейросети.
Эту серию кибератак обозначили CL-UNK-1211. Активность хакеров наблюдали с октября 2025-го по апрель 2026 года преимущественно на серверах Linux. Кто стоял за атаками, неизвестно. Названия пострадавших организаций и количество взломанных серверов исследователи тоже не раскрыли.
Защитите корпоративные устройства от кибератак
Злоумышленники могут использовать вредоносные программы, чтобы получить доступ к корпоративным системам. С Kaspersky для бизнеса вы сможете централизованно управлять защитой рабочих устройств.
Запросить демоПосле проникновения в систему злоумышленники разместили на серверах веб-шеллы — вредоносные скрипты, которые позволяли удаленно выполнять команды. Хакеры изменили настройки PHP, чтобы их код запускался автоматически при работе сайтов.
Помимо веб-шеллов, злоумышленники использовали собственный троян SysGoRAT. Он связывался с управляющим сервером хакеров, позволял скачивать файлы с зараженных устройств и подключаться через них к другим системам.
Кроме того, злоумышленники изучали служебные почтовые ящики и искали письма от социальных сетей. Так они пытались выяснить, какие учетные записи привязаны к рабочим адресам, чтобы впоследствии получить к ним доступ. Также хакеры копировали таблицы баз данных и пытались отправить информацию за пределы взломанной сети.
На одном из серверов хакеры разместили ловушку для сбора паролей администраторов. Злоумышленники подменили команду sudo, с помощью которой запускают программы с расширенными правами. Когда администратор вводил эту команду, на экране появлялся обычный на вид запрос пароля. Однако введенные данные записывались в файл злоумышленников, после чего запускалась настоящая команда sudo. Поэтому администратор мог не заметить подмену.
Какие детали вредоносного кода указали на использование ИИ
Главной зацепкой для исследователей стали комментарии во вредоносных скриптах. Они содержали подробные пошаговые рассуждения, словно автор объяснял человеку, поставившему задачу, как работает программа. Исследователи предположили, что злоумышленники могли попросить нейросеть написать скрипт, а затем скопировать ее ответ вместе с пояснениями.
По другой версии, для создания и размещения программ использовали ИИ-агента. На это указывают заголовки и разделители внутри скриптов и команд. Исследователи предположили, что такая структура помогала агенту анализировать результаты выполнения команд.
Как обнаруживать подозрительную активность на серверах
Для выявления сложных кибератак специалистам по кибербезопасности важно отслеживать необычные действия в системе. В описанной кампании такими признаками могли стать изменения конфигурации серверов, запуск необычных команд, попытки перехвата паролей и вывода данных. Эти действия требуют внимания независимо от того, использовали ли злоумышленники искусственный интеллект при создании вредоносного кода.
Системным администраторам стоит проверять неожиданные изменения настроек PHP и Bash, контролировать появление неизвестных файлов. Журналы событий лучше хранить в отдельной защищенной системе, чтобы злоумышленники не могли уничтожить все записи, получив доступ к серверу.
Для мониторинга и расследования подобных атак организации могут использовать Kaspersky EDR Expert. Решение отслеживает подозрительную активность, помогает восстановить последовательность действий злоумышленников по собранным данным и оперативно реагировать на угрозы.
Статьи и ссылки по теме:
Рекомендуемые продукты:
