Ataques cibernéticos recentes têm demonstrado um aumento significativo no uso de modelos de inteligência artificial comerciais por parte de criminosos para facilitar a invasão de redes governamentais, de transporte e financeiras na América Latina. A atividade revela como ferramentas baseadas em chat podem acelerar trabalhos de intrusão familiares, desde a correção de scripts defeituosos até a movimentação de informações roubadas fora de um sistema comprometido.
O que aconteceu e o escopo da campanha
Analistas da Unit 42, divisão de inteligência de ameaças da Palo Alto Networks, identificaram dois clusters de ataque, denominados CL-CRI-1131 e CL-CRI-1163. Esses grupos foram vinculados através de infraestrutura de relay SOCKS5 sobreposta e um padrão compartilhado de uso de grandes modelos de linguagem durante as operações. As vítimas incluíram uma organização de transporte mexicana, ministérios federais, utilities municipais de água no México e Equador, e organizações financeiras brasileiras.
O impacto é significativo porque a inteligência artificial parece ter reduzido o tempo necessário para solucionar um ataque após o acesso inicial ser estabelecido. Em vez de substituir o atacante, os modelos ajudaram os operadores a testar correções, refinar scripts e manter uma intrusão em múltiplos estágios em movimento quando comandos anteriores falhavam.
Análise técnica: como a ia é utilizada na intrusão
Na campanha mexicana, os operadores tentaram obter dados sensíveis do Windows, incluindo informações de conta e diretório. Quando essas tentativas falharam, eles criaram cópias de sombra de volume e usaram arquivos em lote numerados para copiar dados, alterando os scripts conforme trabalhavam através de problemas de permissão e coleta.
A equipe encontrou uma interface NextChat auto-hospedada e exposta na infraestrutura dos atacantes. O NextChat pode fornecer um local para trabalhar com múltiplos modelos, e a atividade circundante levou os pesquisadores a avaliar que os operadores usaram Claude e GPT-4.1 para gerar código de trabalho e solucionar falhas de execução.
Esta é uma ameaça mais prática do que a ideia de a IA realizar independentemente uma violação. A IA pode tornar o ciclo de tentativa e erro de um operador mais rápido, especialmente após um ponto de apoio inicial ser estabelecido. Equipes de segurança enfrentando phishing gerado por IA sem malware devem examinar o que acontece após uma mensagem suspeita ser aberta, não apenas se um arquivo foi entregue.
Campanha de phishing direcionada ao setor financeiro
O cluster brasileiro começou com um anexo de phishing baseado em currículos e, em seguida, implantou malwares de acesso remoto personalizados. Os operadores também tentaram instalar múltiplas versões do SockTz, uma ferramenta de tunelamento SOCKS5 reversa baseada em Go, usando um site WordPress comprometido antes de mudar para infraestrutura que controlavam.
Um túnel SOCKS5 pode retransmitir tráfego através de uma máquina comprometida, ajudando um atacante a alcançar sistemas internos enquanto mascara de onde os comandos se originam. Isso torna importante investigar conexões de saída incomuns e comportamento de proxy, como a atividade de malware de proxy GhostSocks mostrou como tais relays podem minar controles antifraude e baseados em localização.
Os pesquisadores observaram versões um a nove do SockTz em cerca de duas horas, além de scripts com nomes descritivos e um sufixo "_output". A nomeação rápida e repetitiva é consistente com desenvolvimento automatizado ou assistido por modelo, embora não prove que cada arquivo foi produzido por um sistema de IA.
Indicadores de comprometimento (IoCs)
As organizações devem usar os indicadores listados para pesquisar logs e bloquear conexões maliciosas confirmadas. Os indicadores incluem endereços IP, domínios, certificados SHA-256 e hashes de arquivos associados às campanhas CL-CRI-1131 e CL-CRI-1163.
Alguns dos domínios observados incluem m-doxa-apodo.duckdns.org, m-doxa-geo.duckdns.org, m-doxa-intel.duckdns.org, m-doxa-repuve.duckdns.org, m-doxa-sre.duckdns.org e m-doxa-vacunas.duckdns.org. Os endereços IP associados incluem 62.171.185[.]97, 165.22.184[.]26, 178.128.87[.]160 e 167.148.195[.]53.
Recomendações para CISOs e equipes de SOC
As organizações devem corrigir rapidamente servidores web expostos à internet, bloquear ou restringir diretórios administrativos e de staging expostos, e revisar anexos de e-mail que afirmam ser currículos ou documentos de trabalho. Elas também devem caçar shells web inesperados, ferramentas de acesso remoto e tráfego de proxy de saída, enquanto usam os indicadores listados para pesquisar logs e bloquear conexões maliciosas confirmadas.
Os casos sublinham que a IA não elimina a necessidade de defesa básica. Correção forte, filtragem de e-mail, monitoramento de rede e controles de acesso disciplinados permanecem essenciais, especialmente à medida que agentes de IA impulsionam ataques cibernéticos e atacantes os usam para organizar tarefas rotineiras em maior velocidade.
Para defensores, a lição prática é seguir a infraestrutura tão de perto quanto o malware. Servidores expostos, certificados reutilizáveis e diretórios abertos podem revelar os métodos de trabalho de uma operação, e equipes precisam de visibilidade em iscas convincentes e atividade de acompanhamento.