政府Linux服务器遭SysGoRAT及疑似AI生成脚本攻击
Government Linux Servers Targeted With SysGoRAT and Suspected AI-Generated Scripts
AI 摘要网络安全媒体 The Hacker News 报道，派拓网络旗下 Unit 42 团队披露了一起代号为 CL-UNK-1211 的网络间谍行动。该行动在 2025 年 10 月至 2026 年 4 月期间活跃，专门针对政府实体及附属机构的 Linux 基础设施。攻击者部署了名为 SysGoRAT 的恶意程序，并疑似结合了人工智能（AI）生成的脚本。
解读
发生了什么
2026 年 11 月 2 日，网络安全媒体 The Hacker News 报道了一起针对公共部门的网络间谍事件。派拓网络旗下 Unit 42 团队在 2025 年 10 月至 2026 年 4 月期间监测到了该活动。攻击目标明确指向政府实体及相关附属机构的 Linux 服务器基础设施。该未知动机的活动集群被命名为 CL-UNK-1211，攻击者在行动中使用了 SysGoRAT 恶意软件及疑似人工智能生成的脚本。
为什么重要
不同于常见的桌面攻击，本次事件直接瞄准承载核心政务与数据库的 Linux 服务器。攻击方引入疑似由大语言模型生成的自动化脚本，降低了载荷编写门槛并加快了定制节奏。此类工具结合新型恶意软件，能够规避基于静态规则的传统防病毒检测，增加防御难度。关键服务器一旦被渗透控制，将直接导致敏感政务数据外流，并为攻击者在内部网络长期潜伏提供跳板。
影响谁
- 政府及公共事业单位 IT 运维团队需要全面排查 Linux 服务器的异常进程与定时任务，收缩管理端口并强化权限管控。
- 主机安全与终端检测响应（EDR）厂商传统静态特征匹配面临失效风险，促使其加快向基于内核层行为审计的防护架构演进。
- 云计算与数据中心服务商面临租户主机沦为攻击跳板的风险，需强化多租户环境的网络流量审计与异常通信隔离。
背景
Linux 凭借高稳定性与开源特性，长期作为全球数据中心、政务网络与云平台的主流底层操作系统。随着桌面终端安全防护日趋完善，高等级攻击者逐步转向防御相对薄弱的服务器环境。同时，生成式人工智能技术的普及降低了代码编写门槛，正被攻防两端加速引入日常对抗之中。
和中国的关系
中国政务云与关键信息基础设施广泛基于 Linux 架构搭建，且正在规模化推进国产服务器操作系统的落地应用。此类针对 Linux 底座并结合 AI 脚本的攻击形态，对国内政务系统的主机加固、内核安全以及自动化响应机制提出了直接要求。
接下来关注
- 派拓网络 Unit 42 是否会公开该行动的技术分析报告、恶意代码样本特征及受害范围。
- 是否有涉及的政府机构出面确认遭遇渗透并公布具体的处置说明。
- 主流 Linux 操作系统发行版及安全厂商是否会发布针对此类新型威胁的专项防护策略。
摘要和解读由 AI 根据公开报道整理，以原文为准。