CL-UNK-1211: alerta del CSIRT en servidores Linux

El CSIRT Financiero de Asobancaria informó que la campaña CL-UNK-1211 compromete servidores Linux de organizaciones gubernamentales e infraestructura afiliada al Estado mediante SysGoRAT, web shells y reverse shells. El aviso describe capacidades de acceso remoto, ejecución de comandos y recopilación de información, y aclara que no hay atribución confirmada a un grupo APT o actor estatal específico.

¿Qué informó Asobancaria sobre CL-UNK-1211?

Asobancaria dijo que la campaña se apoya en SysGoRAT, además de web shells y reverse shells, para ganar control sobre servidores Linux vinculados con entidades estatales o su infraestructura asociada. El reporte se centra en las capacidades del malware y en el alcance del acceso obtenido, no en una atribución concluyente.

¿Qué capacidades tiene SysGoRAT según las coberturas técnicas?

Las coberturas técnicas citadas describen a SysGoRAT como una herramienta compatible con Linux y Windows, con comunicación por WebSocket y funciones para ejecutar comandos, enumerar directorios, transferir archivos, capturar pantalla, abrir una shell interactiva y operar como proxy TCP. GBHackers también señaló que el malware tenía una estructura de comandos con siete tipos de instrucciones y subacciones como shell_start, screenshot, download y persist.

¿Qué alcance tuvo la campaña?

Según coberturas que citan a Unit 42, la actividad vinculada con CL-UNK-1211 se observó durante meses, entre octubre de 2025 y abril de 2026. SecurityLab indicó que los nombres de las entidades afectadas no fueron divulgados, por lo que el alcance conocido sigue siendo parcial.

La cobertura técnica agrega que la campaña habría incluido reconocimiento, extracción de bases de datos e intentos de obtener correos gubernamentales vinculados con cuentas de redes sociales, además del despliegue del RAT y reverse shells. GBHackers señaló también que SysGoRAT usaba por defecto el destino 104.194.158[.]65:443 para sus comunicaciones WebSocket, aunque ese destino podía sobrescribirse.

NeoTeo, por su parte, reportó que el análisis describió varios mecanismos de persistencia en Windows y Linux. En conjunto, las coberturas sitúan a CL-UNK-1211 como una operación de espionaje y acceso remoto con foco en servidores Linux, pero el aviso del CSIRT Financiero de Asobancaria no confirmó quién está detrás de la campaña.