Imagem editorial original do Plugged Ninja.
A Unit 42, da Palo Alto Networks, publicou em 15 de outubro de 2026 a análise de um conjunto de intrusões contra entidades governamentais e infraestrutura ligada ao Estado, com foco em servidores Linux e bancos de dados. O relatório é assinado por Roey Porat e Tom Fakterman.
A atividade é rastreada como CL-UNK-1211. O prefixo importa: na taxonomia da Unit 42, “UNK” significa que ainda não foi determinado se o grupo é patrocinado por Estado ou criminoso comum. Não há, portanto, atribuição a país ou organização — e o relatório não faz essa afirmação.
O que chama atenção não é o arsenal, bastante convencional, mas a assinatura deixada no código. Os scripts recuperados trazem comentários conversacionais, em linguagem natural, explicando passo a passo o que cada trecho faz — como se alguém estivesse sendo instruído enquanto opera. Para a Unit 42, isso indica que o código foi gerado por um modelo de linguagem ou executado por um agente automatizado.
A atividade foi observada entre outubro de 2025 e abril de 2026. Os objetivos identificados são coleta de inteligência, manutenção de acesso persistente, extração de bancos de dados e acesso a caixas de correio governamentais — estas últimas com uma finalidade específica: alcançar contas de redes sociais vinculadas, por meio de mensagens de redefinição de senha.
Esse último detalhe define bem o perfil da operação. Não se trata de ransomware nem de fraude financeira direta, e sim de controle sobre canais oficiais de comunicação.
Os sinais levantados pela Unit 42 são quatro: comentários conversacionais explicando o código a um operador; cabeçalhos de seção que organizam a saída para leitura rápida; uso intenso de codificação Base64; e alternância veloz entre PHP, JavaScript, Bash e Python.
Convém tratar isso com a precisão que o próprio relatório adota. São indícios de que houve geração assistida, não prova de um agente autônomo conduzindo a intrusão. Comentários didáticos também aparecem em código copiado de tutoriais, e a troca rápida de linguagens pode refletir uma equipe com membros de perfis distintos.
Há, no entanto, um detalhe que reforça a hipótese e merece destaque porque raramente aparece em relatórios: o script zip_mails.sh, escrito para compactar caixas de correio inteiras, continha erros de sintaxe e não teria funcionado. É o tipo de falha característica de código gerado e aplicado sem revisão — produzido em volume, sem teste. A IA acelera a produção, mas não garante que o resultado execute.
Vale registrar que este não é o primeiro caso do gênero acompanhado por aqui. Em agosto, a Cisco Talos documentou o UAT-10147, que usou IA agêntica em ataques a servidores web. São grupos distintos, campanhas distintas e fornecedores distintos — e é justamente por isso que a convergência de padrão interessa.
O acesso se dá por web shells, algumas customizadas e outras de código aberto, com atividade interativa sob o processo php-fpm. A persistência usa dois caminhos:
auto_prepend_file alterada em configurações de PHP sob /etc/php/ e /opt/plesk/php/. Essa diretiva faz o PHP carregar um arquivo automaticamente antes de qualquer script — ou seja, o código do atacante passa a rodar em toda requisição, sem precisar de arquivo malicioso no diretório web. Uma das web shells foi disfarçada como /usr/lib/php/plesk_sys_driver.php.authorized_keys, garantindo retorno mesmo se a web shell for removida.A técnica mais interessante é a adulteração do .bashrc: um alias falso de sudo captura a senha digitada pelo administrador e a grava em arquivo. O nome escolhido para esse arquivo foi Solarwinds.StatusLog.txt — imitação deliberada de software legítimo. A Unit 42 é explícita ao afirmar que não há evidência de comprometimento da SolarWinds; trata-se apenas de camuflagem pelo nome.
Há ainda um registrador de credenciais em PHP inserido na página de login da aplicação, e varreduras por senhas em texto claro em arquivos de configuração e históricos de shell.
O implante principal é o SysGoRAT, um RAT multiplataforma escrito em Go, visto inicialmente como sys-control-client. Ele usa WebSocket para comando e controle, com endereço fixo no binário, suporta sete tipos de comando e oferece persistência por systemd, cron, registro do Windows e tarefas agendadas — sempre com nomes que imitam software legítimo.
O mesmo princípio de camuflagem aparece nos binários renomeados: pip2.7, ea_install, .libpython-helper, .libsystemd-helper e .tourch, este último um bash renomeado. Para túnel e proxy, o grupo usou ferramentas públicas — revsocks, pysoxy e GSocket — disfarçadas como kcached e gs-dbus.
A escalada de privilégios combinou o LinPEAS, para enumeração, com o PwnKit (CVE-2021-4034) — falha do polkit divulgada em janeiro de 2022 e corrigida há mais de quatro anos. Um servidor atualizado não seria afetado. O grupo também mantinha um scanner próprio, em Go, para a CVE-2025-55182 (React2Shell).
A movimentação lateral passou por xp_cmdshell no MSSQL, encadeamento por um segundo servidor SQL e uso de sshpass com credenciais administrativas fixas. A exfiltração usou despejos em SQLite e CSV, arquivos compactados enviados por netcat e uploads para serviços públicos de hospedagem de arquivos — transfer.sh, bashupload.com, filebin.net e catbox.moe —, escolha que faz o tráfego se confundir com uso corporativo comum.
Entre os artefatos recuperados estavam uma chave identificada como “RedTeamOps2025” e a senha “pentest123”. A leitura mais direta seria supor um exercício autorizado. A leitura mais prudente é tratá-los como o que são: marcadores plantados, que tanto podem ser resquício de ferramenta reaproveitada quanto tentativa deliberada de fazer a intrusão passar por teste contratado. O relatório não conclui a questão, e nós também não.
Para organizações públicas, o impacto prático é duplo. O óbvio é a perda de dados. O menos óbvio é a cadeia que o acesso a caixas de correio abre: controle de e-mail institucional permite redefinir senhas de contas oficiais em redes sociais, com potencial de uso para desinformação a partir de um canal legítimo.
Do lado das limitações: não há atribuição, não há contagem de vítimas e não há identificação dos países afetados. A janela observada terminou em abril de 2026 — o relatório não afirma que a campanha continua ativa, e seis meses separam o fim da observação da publicação.
Um ponto favorável merece nota: as tentativas de encerrar processos do agente de endpoint foram detectadas e bloqueadas, segundo o relatório. É uma amostra de fornecedor, e deve ser lida como tal, mas indica que a operação não dispunha de capacidade sofisticada de evasão — coerente com o perfil de um grupo apoiado em ferramentas públicas e código gerado sem revisão.
auto_prepend_file em todas as configurações de PHP do parque, inclusive as do Plesk. É um ponto de persistência silencioso que não aparece em varredura de diretório web..bashrc, .bash_profile e arquivos equivalentes de contas administrativas. Alias de sudo redefinido é sinal forte.authorized_keys de todas as contas, especialmente root e contas de serviço.O CL-UNK-1211 não é uma operação sofisticada. Usa falha corrigida em 2022, ferramentas públicas de túnel, camuflagem por nome de arquivo e scripts que, em pelo menos um caso, nem chegariam a rodar. O que a torna digna de nota é o que ela sugere sobre o custo da ofensiva: código gerado sob demanda permite cobrir mais alvos, em mais linguagens, com menos gente qualificada.
Isso não eleva o teto técnico do atacante — eleva o piso, e aumenta o volume. Para quem defende, a consequência prática é que higiene básica em servidores Linux volta a ser o fator decisivo: patch de falha antiga, controle de persistência em PHP e SSH, restrição de saída e alerta sobre o agente de endpoint. O que vale observar é se a Unit 42 ou outros fornecedores conseguirão, nos próximos relatórios, distinguir com mais firmeza código apenas gerado por IA de operação efetivamente conduzida por agente autônomo. Hoje, essa fronteira permanece indefinida.
O checkpoint de 17 de outubro é chamado de atualização menor, mas os números divulgados…
Relatório de oficina do Google Research argumenta que restringir o acesso de um agente elimina…
Três kits vendidos por assinatura e um mercado que revende ambientes Microsoft 365 legítimos sustentaram…
O balanço trimestral da Cisco Talos mostra CVEs crescendo 105% ao ano enquanto o catálogo…
Seis engenheiros da Apple descrevem no arXiv um sistema que reúne GPUs paradas de Macs…
Dois terços dos incidentes investigados pela Sophos em 2026 começaram na identidade, e o diretório…