Uso de IA no planejamento de ataques
O ransomware Aurora foi vinculado a um afiliado de língua russa que utilizou um assistente de codificação de IA, especificamente o Cursor, enquanto visava mais de 20 organizações. Um servidor incorretamente exposto forneceu aos investigadores uma visão detalhada da atividade do operador, desde a intrusão até o pagamento. A atividade ocorreu de abril a julho de 2026 em nove países.
O operador obteve acesso de nível de domínio ou interativo em 17 alvos, enquanto quatro vítimas apareceram no site público de vazamento do Aurora. Os setores afetados incluem manufatura, alimentos, agricultura e serviços profissionais. A evidência aponta para um afiliado conduzindo intrusões, em vez de um corretor vendendo acesso.
Técnicas e ferramentas utilizadas
O operador usou proxies SOCKS alugados para alcançar ambientes de vítimas e confiava em ferramentas para descoberta, ataques de senha, roubo de credenciais, roubo de dados e entrega de ferramentas de criptografia. Em suas últimas semanas de atividade registrada, o afiliado usou o Cursor para rascunhar e refinar sequências de ataque em russo.
Uma sessão estendida focou na exploração de fraquezas nos Serviços de Certificado de Active Directory (AD CS) contra um ambiente de vítima. Os chats mostram planejamento de ida e volta, em vez de um comando gerado. Isso importa porque um assistente pode ajudar um intruso a traduzir resultados de reconhecimento no próximo passo rapidamente.
Para acesso mais profundo, o operador usou uma rota noPac personalizada, abuso de serviço de certificado e ataques de retransmissão NTLM acionados com PetitPotam, PrinterBug e DFSCoerce. O ransomware Aurora usa lockers Windows e Linux/ESXi construídos a partir de uma base de código Zig, uma escolha incomum para ransomware.
Impacto e implicações regulatórias
O uso de IA por criminosos cibernéticos acelera o ritmo de planejamento de ataques, permitindo que operadores menos experientes executem táticas sofisticadas. Isso representa um aumento na velocidade e eficiência das operações de ransomware, exigindo que as equipes de segurança adaptem suas defesas para detectar padrões de ataque assistidos por IA.
As organizações devem revisar avisos de roubo de credenciais do Active Directory de perto, pois o controle do domínio pode expor contas, sistemas e opções de recuperação em toda a rede. A proteção de credenciais armazenadas no navegador, o uso de credenciais e segmentos de rede separados para backups e o isolamento ou aposentadoria de sistemas mais antigos são medidas críticas.
Medidas de mitigação recomendadas
- Desabilitar LLMNR e NBT-NS, usar assinatura SMB e Proteção Estendida para Autenticação.
- Restringir WinRM a hosts administrativos aprovados e remover SMBv1 onde permanecer.
- Examinar modelos de certificado para configurações de risco e registrar solicitações e emissões de certificado.
- Rotacionar a senha krbtgt duas vezes, com replicação completa entre resetes, após uma suposta violação de domínio.
- Proteger interfaces de gerenciamento de virtualização para limitar o impacto de eventos de criptografia.
Perguntas frequentes
Qual é o risco principal deste ataque?
O risco principal é o uso de IA para acelerar o planejamento de ataques de ransomware, permitindo que operadores executem táticas sofisticadas com maior eficiência.
Como as organizações podem se proteger?
Implementar controles de segurança robustos para Active Directory, monitorar atividades de IA e revisar políticas de segurança para ferramentas de codificação.