A plataforma de testes de segurança de código aberto e nativa para IA, CyberStrikeAI, está sendo utilizada por agentes de ameaças em uma campanha ativa que visa appliances Fortinet FortiGate em 55 países. A descoberta, da empresa de inteligência de ameaças Team Cymru, segue a divulgação inicial de uma campanha assistida por IA contra os mesmos dispositivos, revelando a adoção de ferramentas automatizadas por atacantes.
Descoberta e escopo da campanha
Os pesquisadores da Team Cymru rastrearam o uso do CyberStrikeAI após analisar o endereço IP (212.11.64[.]250) associado ao ataque previamente reportado. A ferramenta, disponível publicamente no GitHub, foi projetada para automação de testes de penetração e simulação de adversários, aproveitando modelos de linguagem grande (LLMs) para gerar e executar exploits. Seu uso malicioso em campanhas de larga escala demonstra como ferramentas de segurança legítimas podem ser facilmente desvirtuadas.
O que é o CyberStrikeAI?
O CyberStrikeAI se apresenta como um framework que integra IA generativa ao ciclo de vida de testes de segurança, podendo ser usado para tarefas como reconhecimento, varredura de vulnerabilidades, exploração e pós-exploração. Sua natureza de código aberto e a capacidade de automatizar ataques complexos a reduz a barreira de entrada para atacantes menos qualificados, permitindo que conduzam operações sofisticadas em escala.
Impacto e alcance
A campanha que emprega esta ferramenta tem como alvo firewalls FortiGate, componentes críticos de segurança de rede em milhares de organizações globais. O comprometimento bem-sucedido de tais dispositivos pode fornecer aos atacantes um ponto de apoio privilegiado dentro da rede, permitindo tráfego lateral, roubo de dados e implantação de malware adicional. O alcance em 55 países indica uma operação coordenada e de grande ambição.
Implicações para o futuro da segurança ofensiva
Este caso ilustra um dilema crescente no ecossistema de segurança: a democratização de ferramentas poderosas através do código aberto e da IA. Enquanto essas ferramentas capacitam defensores a automatizar testes e melhorar suas defesas, elas também armam adversários com capacidades equivalentes. A linha entre ferramentas de "red team" e malware está se tornando cada vez mais tênue, exigindo que fornecedores de segurança e equipes de operações estejam atentos não apenas a assinaturas de malware tradicionais, mas também ao uso malicioso de ferramentas legítimas.
Recomendações para organizações
Organizações que utilizam dispositivos FortiGate devem garantir que estejam executando as versões mais recentes do firmware, com todas as patches de segurança aplicadas, especialmente para vulnerabilidades conhecidas exploradas em campanhas recentes. Monitorar o tráfego de saída de seus dispositivos de borda em busca de conexões anômalas para endereços IP associados a ferramentas como o CyberStrikeAI também é crucial. Por fim, este incidente reforça a necessidade de uma estratégia de segurança em camadas, onde o comprometimento de um único dispositivo não conceda acesso irrestrito à rede.