Unit 42 связала активность с октября 2025 года по апрель 2026 года с неидентифицированным кластером CL-UNK-1211. Он атаковал государственные организации и связанную с государством инфраструктуру, прежде всего серверы Linux и среды баз данных. Злоумышленники добивались постоянного доступа, проводили разведку в сетях и почтовых ящиках, извлекали конфиденциальные базы данных и пытались похитить содержимое государственных почтовых ящиков. В сообщениях они искали учётные данные и ссылки, связанные с внешними учётными записями в социальных сетях. Для первоначального доступа и закрепления злоумышленники в основном использовали PHP-веб-шеллы, в том числе собственные и общедоступные...