Palo Alto Networks 旗下 Unit 42 於二零二六年十月十五日發布威脅研究，揭露被追蹤為 CL-UNK-1211 的間諜活動叢集：攻擊者鎖定政府機構與相關 Linux 基建，活動觀察期約由二零二五年十月至二零二六年四月。報告指多個惡意腳本帶有大型語言模型常見的對話式註解與逐步推理痕跡，顯示負載可能由 AI 生成，或由自動化 AI 代理執行。來源真實性已驗證：本文以 Unit 42 官方報告為唯一事實來源，數字與技術細節均對照原文，並未另行推算。

攻擊鏈涵蓋 webshell 初入、憑證竊取、自研跨平台遠端存取木馬 SysGoRAT、記憶體內反向 Shell，以及針對政府郵件與資料庫的外洩意圖；同時出現停用端點防護、刪除日誌、時間戳偽造，以及植入「紅隊」偽裝標記等反鑑識手法。對香港企業與公營機構而言，Linux 網頁主機、Plesk／PHP 環境與郵件伺服器仍是常見攻擊面，值得立即對照自身監控與出站控管。

Unit 42／官方：揭露 CL-UNK-1211——AI 生成負載鎖定政府 Linux 基建；自研 SysGoRAT、webshell 與信箱外洩意圖

Unit 42 將此活動歸類為 CL-UNK-1211，並按其歸因框架標示為 UNK——即尚未判定屬民族國家或網絡犯罪。報告強調攻擊者優先在 Linux 環境建立持久存取，進行大規模偵察，並嘗試轉儲敏感資料庫、外洩政府信箱，以便進一步控制與官方電郵綁定的社交媒體帳號。工具組混合開源工具、自訂跨平台後門，以及大量 webshell；防禦逃避手段包括嘗試終止端點防護程序、清除系統日誌，以及用看似合法紅隊的標記混淆事後分析。

一、核心事件與攻擊鏈

技術細節

活動範圍與目標。 Unit 42 觀察到的活動橫跨約二零二五年十月至二零二六年四月，目標為政府實體及與國家相關的基礎設施。攻擊焦點放在企業級 Linux 與資料庫環境：以 webshell 與憑證收割取得立足點，再以自訂 RAT 與記憶體內 Shell 維持指揮控制，並對郵件與資料庫發動外洩。

AI 加速負載製作。 報告指出，入侵過程中部署的多個 PHP 與 Shell 腳本，呈現與 AI 輔助程式碼生成一致的結構特徵：註解並非傳統開發文件，而是對話式、逐步說明邏輯給「下指令者」的推理筆記，暗示內容可能直接來自 AI 提示輸出，或由自動化 AI 代理部署。其他常見特徵包括腳本／指令中的分段標題（方便 AI 更快解析輸出）、大量 Base64 編碼指令，以及在 PHP、JavaScript、Bash、Python 之間流暢切換。

Webshell 與 PHP 持久化。 攻擊者在 Linux 伺服器部署自訂與 GitHub 開源 webshell 組合。為求持久，他們修改 /etc/php/ 與 /opt/plesk/php/ 下 PHP 設定的 auto_prepend_file，使惡意檔案在任何 PHP 腳本執行前自動載入。其中一例將 webshell 命名為 /usr/lib/php/plesk_sys_driver.php，偽裝成合法 Plesk 相關元件。

憑證收割。 手法包括：改寫 .bashrc，為 sudo 建立別名以偽提示騙取密碼並寫入名為 Solarwinds.StatusLog.txt 的日誌（報告強調並無證據顯示 SolarWinds 本身遭入侵，只是名稱冒用）；在 PHP 登入頁插入憑證記錄程式碼；以及掃描設定檔與指令歷史中的明文電郵、SMTP、資料庫密碼。

SysGoRAT。 攻擊者部署以 Go 撰寫的自訂多平台遠端存取木馬，初見檔名為看似無害的 sys-control-client，Unit 42 命名為 SysGoRAT。該惡意程式支援 Windows 與 Linux，經 WebSocket 連線至 C2（預設硬編碼位址經報告披露為 104.194.158[.]65:443，可由命令列參數覆寫）。指令類型包括任意命令執行、目錄列舉、互動 Shell、代理連線，以及持久化等控制子動作；磁碟上曾改名為 pip2.7、ea_install、./semanage 等。

記憶體內反向 Shell。 攻擊者至少使用七組不同 C2，以幾乎不落盤的方式運作，包括 named pipe＋Netcat、Bash TCP 轉向，以及 Python subprocess 綁定 /bin/bash。Unit 42 指 Cortex XDR 曾偵測並阻止相關程序。

郵件與社交媒體路徑。 攻擊者枚舉 /var/qmail/mailnames/ 等路徑，統計 Maildir，並以名為 search_social.php 的腳本搜尋社交媒體相關郵件標頭；其後嘗試以 zip_mails.sh 壓縮整箱郵件外洩。報告亦發現該 bash 腳本存在語法錯誤（例如損壞的變數賦值），在該實例中會執行失敗。同時有跡象顯示攻擊者意圖外洩多個資料庫與高度敏感的政府資料。

反鑑識與偽裝。 攻擊者嘗試以 pgrep／pkill 終止 Cortex XDR 相關程序（報告稱端點防護未被成功壓制）；採「寫入—執行—刪除」單行指令清理一次性腳本；以 touch -t 做時間戳偽造；在腳本中植入如 RedTeamOps2025 金鑰與 pentest123 密碼等紅隊偽裝標記；並大量刪除認證、指令歷史、郵件、作業系統、網頁伺服器與 PHP session 等日誌，再以腳本核對攻擊 IP 是否已自日誌消失。

橫向與權限提升（附錄要點）。 附錄描述使用 LinPEAS、CVE-2021-4034（PwnKit）等開源提權路徑；自訂 Go 掃描器探測 CVE-2025-55182（React2Shell）；經 MSSQL xp_cmdshell 雙跳、sshpass 橫向移動，以及向 authorized_keys 注入 SSH 公鑰持久化；代理工具包括 revsocks、pysoxy、GSocket／gs-netcat（程序名偽裝如 [kcached]）。外洩方面，曾將資料抽樣寫入 /tmp/dump.sqlite，再對整庫做 CSV／tar.gz，並以 netcat 或經 transfer[.]sh、bashupload[.]com、filebin[.]net、catbox[.]moe 等合法檔案託管平台偽裝 HTTPS 流量。

二、技術原理深度解析

此戰役的技術核心，不在單一零日「一擊必殺」，而在把傳統 Linux 後滲透手法，與 AI 加速的腳本生產節奏綁在一起。AI 降低了為不同主機快速改寫 PHP／Bash／Python 負載的人力成本；分段標題與對話式註解，則像是給自動化代理或操作員的「可讀執行紀錄」。PHP auto_prepend_file 全域劫持，把 webshell 從「單一落點」提升成「每次請求都會跑」的持久層，特別適合 Plesk 等多租戶虛擬主機。SysGoRAT 以 Go 跨平台＋WebSocket C2，方便在 Windows／Linux 混部環境維持同一操作介面；記憶體內 Shell 則壓縮磁碟取證窗口。郵件路徑顯示情報目標不只是伺服器本身，而是以官方信箱為跳板，擴展到對外敘事與社交帳號。反鑑識與紅隊偽裝，則試圖延長平均偵測時間，並污染事件應變判斷。

三、日常應用場景

1. 開發者與技術團隊

應把 PHP 全域設定、Plesk 目錄、webshell 常見路徑與異常 auto_prepend_file 納入基線稽核；監控 /tmp 短生命週期腳本、Base64 長指令，以及 nc／python -c／named pipe 反向 Shell 模式。對自研與第三方 Linux 映像，啟用出站防火牆預設拒絕，僅允許必要套件源與遙測端點。

2. 企業與隱私敏感行業

政府、金融、醫療與法律產業若以 Linux 承載對外網站或郵件，應假設憑證收割與信箱枚舉是高優先風險。端點防護遭 pkill 類嘗試時，需有獨立遙測與無法被本機輕易終止的代理架構。資料庫與郵件外洩路徑，應搭配 DLP、異常大量壓縮／上傳，以及對合法檔案託管域名的政策控管。

3. 一般用戶

一般個人用戶較少直接暴露於此類政府級 Linux 戰役，但仍應留意：官方機構電郵被盜，可能導致冒充通知或社交帳號接管。收到「政府／銀行」異常重設連結時，應改以官方 App 或已知網址核實，而非依賴郵件內嵌連結。

4. 香港與亞洲市場視角

香港大量中小企與機構仍以 Linux＋PHP／Plesk 或類似控制面板託管公開服務，並常見郵箱與網站同機或同網段部署。金管局與本地監管近年持續強調網絡韌性與負責任科技應用；此類 AI 加速的後滲透劇本，正好對應「可見性不足的 Linux 伺服器」風險。亞洲區公部門與關鍵基建供應鏈，亦應把 webshell、SSH 金鑰注入與合法檔案託管外洩，列入演練情境。

四、專業評價與潛在考量

優勢（對防禦方的情報價值）

Unit 42 提供可操作的 TTP、惡意雜湊、IP 與域名指標，並與 Cortex／WildFire 等產品檢測敘述對照，方便安全團隊直接調校規則。
明確把「AI 生成註解／代理式執行痕跡」寫進戰役特徵，有助 SOC 在腳本審查時增加啟發式條件，而不只依賴已知簽名。
揭露紅隊偽裝與日誌清洗流程，提醒事件應變勿單憑「看起來像演練」而降級處理。

需要留意的地方

歸因仍為 UNK，不應在未有更多共用情報前，逕自指稱為特定國家行為者。
部分外洩腳本在觀測實例中含語法錯誤而未成功，並不代表其他受害者環境同樣「幸運」。
報告含供應商產品防護敘述；讀者應以 IOC／TTP 為主，獨立驗證自身堆疊的覆蓋範圍。
AI「參與寫碼」的證據屬風格與結構推論，並非逐一還原所用模型或供應商；新聞與風控表述宜保持此一界限。

結語

CL-UNK-1211 說明攻擊者正把 AI 當作後滲透產線的加速器：更快產出 webshell 與 Shell 腳本、更靈活切換語言與工具，同時保留對 Linux、郵件與資料庫的傳統深功。對香港與亞洲的企業資安團隊，當務之急是補齊 Linux 伺服器可視性、出站控管、郵件與資料庫外洩偵測，以及端點防護被本機停用時的獨立告警。

若貴機構需要強化雲端遷移、零信任與主機／網絡安全架構，可參考 YSK Limited 的雲端遷移與網絡安全服務（官網刊 99.99% SLA）：https://ysk.hk/services/cloud-security 。涉及敏感資料、須境內可控推論的場景，亦可一併評估企業私有 LLM 全託管（年費 HK$88,000 起，數據不出境）：https://ysk.hk/services/ai-automation 。

參考來源

Unit 42（Palo Alto Networks），《AI-Powered Espionage Campaign Targets Government Linux Infrastructure》，2026-10-15：https://unit42.paloaltonetworks.com/ai-campaign-targets-linux-infrastructure/