CSIRT alerta sobre CL-UNK-1211 em Linux

O CSIRT Financeiro da Asobancaria informou que a campanha CL-UNK-1211 compromete servidores Linux de organizações governamentais e de infraestrutura ligada ao Estado por meio de SysGoRAT, web shells e reverse shells. O alerta descreve capacidades de acesso remoto, execução de comandos e coleta de informações, e esclarece que não há atribuição confirmada a um grupo APT ou a um ator estatal específico.

O que a Asobancaria informou sobre a CL-UNK-1211?

A Asobancaria disse que a campanha se apoia em SysGoRAT, além de web shells e reverse shells, para assumir o controle de servidores Linux vinculados a entidades estatais ou à infraestrutura associada. O relatório concentra-se nas capacidades do malware e no alcance do acesso obtido, não em uma atribuição conclusiva.

Quais capacidades o SysGoRAT tem segundo as coberturas técnicas?

As coberturas técnicas citadas descrevem o SysGoRAT como uma ferramenta compatível com Linux e Windows, com comunicação via WebSocket e funções para executar comandos, enumerar diretórios, transferir arquivos, capturar tela, abrir uma shell interativa e operar como proxy TCP. A GBHackers também apontou que o malware tinha uma estrutura de comandos com sete tipos de instruções e subações como shell_start, screenshot, download e persist.

Qual foi o alcance da campanha?

Segundo coberturas que citam a Unit 42, a atividade ligada à CL-UNK-1211 foi observada durante meses, entre outubro de 2025 e abril de 2026. A SecurityLab informou que os nomes das entidades afetadas não foram divulgados, portanto o alcance conhecido segue parcial.

A cobertura técnica acrescenta que a campanha teria incluído reconhecimento, extração de bases de dados e tentativas de obter e-mails governamentais vinculados a contas de redes sociais, além da implantação do RAT e de reverse shells. A GBHackers também informou que o SysGoRAT usava por padrão o destino 104.194.158[.]65:443 para suas comunicações via WebSocket, embora esse destino pudesse ser sobrescrito.

A NeoTeo, por sua vez, relatou que a análise descreveu vários mecanismos de persistência em Windows e Linux. No conjunto, as coberturas posicionam a CL-UNK-1211 como uma operação de espionagem e acesso remoto com foco em servidores Linux, mas o alerta do CSIRT Financeiro da Asobancaria não confirmou quem está por trás da campanha.