Government Linux Servers Targeted With SysGoRAT and Suspected AI-Generated Scripts

Entre octubre de 2025 y abril de 2026, se registró una campaña de ciberespionaje (identificada como CL-UNK-1211) dirigida específicamente a servidores Linux de entidades gubernamentales. Los atacantes utilizaron modelos de lenguaje de gran tamaño (LLM) y agentes de inteligencia artificial para generar código de ataque, lo que les permitió operar con mayor rapidez y menor esfuerzo manual.

Un hallazgo clave es que los scripts maliciosos contenían notas de razonamiento paso a paso, similares a una conversación, lo que sugiere que el código fue copiado directamente de una instrucción dada a una IA o desplegado por un agente automatizado. Estos scripts se usaron para realizar reconocimiento, mantener el acceso a las redes y extraer información sensible.

La campaña empleó un troyano de acceso remoto (RAT) llamado SysGoRAT, escrito en el lenguaje Go, capaz de funcionar tanto en Windows como en Linux. Además, los atacantes utilizaron 'web shells' (pequeños programas para controlar un servidor desde la web) y técnicas para robar contraseñas mediante la modificación de archivos de configuración y la inyección de código en páginas de inicio de sesión de PHP.

El objetivo principal de los atacantes era el robo de bases de datos y el acceso a buzones de correo gubernamentales para intentar comprometer cuentas de redes sociales. Para ocultar sus huellas, intentaron borrar registros del sistema (logs) y desactivar las protecciones de los equipos, tratando de que su actividad pareciera una auditoría de seguridad legítima.

Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza servidores Linux o servicios en la nube para gestionar bases de datos o correos corporativos, debe revisar que sus sistemas de protección (antivirus o EDR) estén activos y actualizados. Los atacantes están usando IA para crear ataques más rápidos y difíciles de detectar; por ello, no basta con confiar en contraseñas simples, es vital asegurar que los archivos de configuración de sus aplicaciones web (como PHP) no sean modificables por usuarios no autorizados.