Hackers Usam IA em Ataques a Infraestruturas Críticas na América Latina

A notícia atual detalha como dois grupos de intrusão, focados no setor de transporte mexicano (CL-CRI-1131) e no financeiro brasileiro (CL-CRI-1163), intensificam suas operações na América Latina com auxílio de inteligência artificial. A descoberta de uma instância NextChat auto-hospedada e mal configurada, acessível na porta TCP 3000, revelou um "playbook" de ataques. Esta ferramenta de IA, junto a modelos como Claude e GPT-4.1, tem sido usada para superar desafios técnicos, como falhas na extração de credenciais SAM e NTDS.dit via volume shadow copy, e para gerar rapidamente scripts de ataque.

A campanha CL-CRI-1131 focou em órgãos governamentais e de transporte no México e Equador, usando técnicas "living-off-the-land" e scripts batch. Já a CL-CRI-1163 mirou o setor financeiro brasileiro, iniciando por phishing e empregando RATs customizados e proxies SOCKS5 baseados em Go, como o SockTz. Ambos os grupos, apesar de distintos, compartilham infraestrutura de retransmissão SOCKS5 e a dependência de IAs para orquestrar e depurar suas ações. A falha de segurança operacional (OpSec), ao deixar o NextChat exposto, permitiu aos pesquisadores mapear as táticas e o uso de IA pelos atacantes, evidenciando uma evolução nas ameaças regionais.

Em março de 2026, o CEVIU News publicou a matéria "Hackers Usam Claude Code em Ciberataque Contra o Governo Mexicano", alertando para o uso de IA em exploits e automação de exfiltração de dados. A notícia atual valida e aprofunda essa observação. O que antes era um indício promissor do uso de Claude Code, agora se concretiza na revelação de uma infraestrutura NextChat onde atacantes usavam Claude, GPT-4.1 e outras IAs para depurar e aprimorar tentativas falhas de extração de credenciais, como SAM e NTDS.dit.

Além disso, a reportagem do CEVIU de julho de 2026, "Invasores sequestram endpoints de IA expostos para ataques cibernéticos", descrevia o risco de servidores de IA mal configurados. Este novo ataque serve como um exemplo prático dessa vulnerabilidade: a exposição da instância NextChat é exatamente o tipo de "endpoint de IA exposto" que facilita a análise das operações dos cibercriminosos. A ameaça se tornou uma realidade visível, detalhando como a falta de OpSec em ferramentas de IA pode expor todo o fluxo de trabalho dos atacantes.

Essa evolução na tática dos atacantes ressalta a importância da gestão de vulnerabilidades e da segurança de infraestruturas críticas. A IA, que tanto promete para a defesa, agora se consolida como uma ferramenta potente nas mãos dos cibercriminosos. A capacidade de IAs aprimorarem ataques em tempo real, gerando scripts e superando obstáculos técnicos, eleva o patamar das ameaças digitais.

Para empresas e governos, a falha de OpSec dos atacantes oferece uma oportunidade de defesa: a monitorização de subdomínios como "m-doxa" em duckdns[.]org e de certificados Let's Encrypt multi-SAN emitidos entre fevereiro e junho de 2026 torna-se crucial para identificar e neutralizar essas infraestruturas de ataque. A presença de IAs operacionais significa que os defensores precisam estar um passo à frente, não só na detecção de malware, mas na identificação de padrões de comportamento e na segurança de seus próprios ambientes, impedindo que falhas de OpSec se tornem um manual para o adversário.