O grupo BlackHatSect0r e DXQRTXX foi vinculado a uma operação de cibercrime automatizada que usou um agente de IA conectado a um modelo DeepSeek para procurar segredos expostos, testar acesso roubado e alimentar resultados em uma plataforma de controle personalizada. A atividade mostra como lacunas de segurança comuns podem ser abusadas em velocidade de máquina.
Automação de ataques com IA e exposição de dados
Um servidor de operação exposto continha 4,9 GB de material em 9.299 arquivos, incluindo a plataforma DXSCAN, ferramentas de phishing, material de extorsão e um cofre com 16.834 credenciais. A tripulação enviou 2.759.860 domínios, alcançou 726.989 hosts e gerou 1.374.300 endereços IP durante sua campanha.
Os pesquisadores do SOCRadar identificaram a infraestrutura e encontraram evidências de que a equipe de língua francesa removeu salvaguardas de seu agente antes de usá-lo em múltiplas campanhas. A operação dependeu de armazenamento em nuvem exposto, arquivos de configuração legíveis e segredos fracos, em vez de novas vulnerabilidades.
O grupo executou um agente Nous Research Hermes contra um modelo DeepSeek, controlado por um arquivo de identidade de 14 KB chamado SOUL.md. O operador removeu a memória de recusa do agente, desativou configurações de segurança e definiu sete trabalhadores de fundo para continuar escaneando, coletando e relatando sem entrada humana constante.
Impacto e alcance da campanha de credenciais
O impacto vai além do roubo de credenciais. O material vincula o grupo a alegados roubo de dados do setor público, reivindicações de extorsão, exposição de dados de uma exchange de criptomoedas e chamadas de imitação bancária destinadas a pessoas idosas. O caso adiciona urgência à automação de ataques de agentes de IA, pois a automação pode tornar as configurações incorretas rotineiras muito mais danosas.
O DXSCAN gerou aproximadamente 1.200 endereços aleatórios a cada dez segundos, verificou as portas 80, 443 e 8080, identificou software da web e procurou por mais de 200 padrões de credenciais. Quando encontrou arquivos .env expostos, chaves de nuvem ou detalhes de banco de dados, armazenou os dados e enviou relatórios de vítimas em língua francesa através do Telegram.
O cofre de credenciais cresceu de 16.415 registros em 11 de agosto para 16.834 em 18 de agosto. Incluía segredos genéricos, credenciais de banco de dados e SMTP, chaves de API, chaves AWS, tokens do GitHub e chaves Stripe. De 230 configurações SMTP, 82 foram verificadas e preparadas para possível reutilização como relés de phishing.
Medidas de mitigação e auditoria de segurança
Organizações devem auditar o armazenamento em nuvem para acesso de leitura ou escrita público, remover arquivos .env, .git, debug e endpoints de atuador da internet, e girar todo segredo que possa ter sido exposto. Chaves de assinatura e material de geração de token devem permanecer no servidor, enquanto valores padrão ou fáceis de adivinhar devem ser substituídos imediatamente.
Defensores também devem caçar a infraestrutura listada, strings GHOST incomuns, arquivos SOUL.md, diretórios .hermes e atividade não autorizada do ngrok. Equipes da web podem sinalizar curtos bursts de solicitações para caminhos de configuração de uma única fonte, particularmente quando seguem escaneamentos de portas da web comuns.
Equipes de segurança devem investigar indicadores correspondentes, isolar sistemas, preservar logs e revisar atividade de autenticação prontamente. A auditoria deve focar em buckets de nuvem públicos, arquivos de ambiente expostos e chaves de assinatura padrão.