[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.com/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/pt-br/) Menu * [ATOMs](https://unit42.paloaltonetworks.com/atoms/) * [Security Consulting](https://www.paloaltonetworks.com/unit42) * [**Under Attack?**](https://start.paloaltonetworks.com/contact-unit42.html) Portuguese * [English](https://unit42.paloaltonetworks.com/ai-tool-use-targeting-latam-orgs/) * [Spanish (LATAM)](https://unit42.paloaltonetworks.com/es-la/ai-tool-use-targeting-latam-orgs/) * [Portuguese](https://unit42.paloaltonetworks.com/pt-br/ai-tool-use-targeting-latam-orgs/) * [Threat Research Center](https://unit42.paloaltonetworks.com/pt-br/ "Threat Research") * [Pesquisa de ameaças](https://unit42.paloaltonetworks.com/pt-br/category/threat-research-pt-br/ "Pesquisa de ameaças") * [Malware](https://unit42.paloaltonetworks.com/pt-br/category/malware-pt-br/ "Malware") [Malware](https://unit42.paloaltonetworks.com/pt-br/category/malware-pt-br/) # Atacantes expõem uso contínuo de ferramentas de IA em ataques contra organizações na América Latina ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 9 minutos de leitura Related Products [![Advanced DNS Security icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/05/strata_RGB_logo_Icon_Color.png)Advanced DNS Security](https://unit42.paloaltonetworks.com/pt-br/product-category/advanced-dns-security-pt-br/ "Advanced DNS Security")[Advanced URL Filtering](https://unit42.paloaltonetworks.com/pt-br/product-category/advanced-url-filtering-pt-br/ "Advanced URL Filtering")[Advanced WildFire](https://unit42.paloaltonetworks.com/pt-br/product-category/advanced-wildfire-pt-br/ "Advanced WildFire")[![Cloud-Delivered Security Services icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/05/strata_RGB_logo_Icon_Color.png)Cloud-Delivered Security Services](https://unit42.paloaltonetworks.com/pt-br/product-category/cloud-delivered-security-services-pt-br/ "Cloud-Delivered Security Services")[Cortex](https://unit42.paloaltonetworks.com/pt-br/product-category/cortex-pt-br/ "Cortex")[Cortex XDR](https://unit42.paloaltonetworks.com/pt-br/product-category/cortex-xdr-pt-br/ "Cortex XDR")[Cortex XSIAM](https://unit42.paloaltonetworks.com/pt-br/product-category/cortex-xsiam-pt-br/ "Cortex XSIAM")[![Unit 42 Incident Response icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/05/unit42_RGB_logo_Icon_Color.png)Unit 42 Incident Response](https://unit42.paloaltonetworks.com/pt-br/product-category/unit-42-incident-response-pt-br/ "Unit 42 Incident Response") * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) De: * [Reese Lewis](https://unit42.paloaltonetworks.com/pt-br/author/reese-lewis/) * [Sara McBroom](https://unit42.paloaltonetworks.com/pt-br/author/sara-mcbroom/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) Publicado:3 de setembro de 2026 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) Categorias * [Malware](https://unit42.paloaltonetworks.com/pt-br/category/malware-pt-br/) * [Pesquisa de ameaças](https://unit42.paloaltonetworks.com/pt-br/category/threat-research-pt-br/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) Etiquetas: * [Agentic AI](https://unit42.paloaltonetworks.com/pt-br/tag/agentic-ai/) * [ChatGPT](https://unit42.paloaltonetworks.com/pt-br/tag/chatgpt/) * [CL-CRI-1131](https://unit42.paloaltonetworks.com/pt-br/tag/cl-cri-1131/) * [CL-CRI-1163](https://unit42.paloaltonetworks.com/pt-br/tag/cl-cri-1163/) * [Claude code](https://unit42.paloaltonetworks.com/pt-br/tag/claude-code/) * [NextChat](https://unit42.paloaltonetworks.com/pt-br/tag/nextchat/) * [SOCKS5](https://unit42.paloaltonetworks.com/pt-br/tag/socks5/) * [SockTz](https://unit42.paloaltonetworks.com/pt-br/tag/socktz/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/pt-br/ai-tool-use-targeting-latam-orgs/?pdf=download&lg=pt-br&_wpnonce=6182b2c38c "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/pt-br/ai-tool-use-targeting-latam-orgs/?pdf=print&lg=pt-br&_wpnonce=6182b2c38c "Click here to print") Compartilhar![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=Atacantes%20expõem%20uso%20contínuo%20de%20ferramentas%20de%20IA%20em%20ataques%20contra%20organizações%20na%20América%20Latina&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fpt-br%2Fai-tool-use-targeting-latam-orgs%2F "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fpt-br%2Fai-tool-use-targeting-latam-orgs%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fpt-br%2Fai-tool-use-targeting-latam-orgs%2F&title=Atacantes%20expõem%20uso%20contínuo%20de%20ferramentas%20de%20IA%20em%20ataques%20contra%20organizações%20na%20América%20Latina "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fpt-br%2Fai-tool-use-targeting-latam-orgs%2F&text=Atacantes%20expõem%20uso%20contínuo%20de%20ferramentas%20de%20IA%20em%20ataques%20contra%20organizações%20na%20América%20Latina "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fpt-br%2Fai-tool-use-targeting-latam-orgs%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=Atacantes%20expõem%20uso%20contínuo%20de%20ferramentas%20de%20IA%20em%20ataques%20contra%20organizações%20na%20América%20Latina%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fpt-br%2Fai-tool-use-targeting-latam-orgs%2F "Share in Mastodon") ## Resumo executivo Analisamos duas campanhas de intrusão de rede e exfiltração de dados, ainda em andamento, que têm como alvo organizações na América Latina e envolvem várias etapas. Em linha com descobertas recentes da comunidade mais ampla de inteligência de ameaças, observamos invasores usando inteligência artificial (IA) para aprimorar suas capacidades. Nossa investigação classifica essa atividade da seguinte forma: * Campanha contra o setor de transportes no México: esta campanha afetou uma organização do setor de transportes, além de ministérios do governo federal e empresas municipais de serviços de água no México e no Equador. Os operadores utilizaram técnicas do tipo living-off-the-land (LotL). Eles executaram scripts em lote de forma iterativa para manipular e exfiltrar dados confidenciais e hospedaram instâncias do NextChat em sua própria infraestrutura operacional. Identificamos essa atividade no cluster como CL-CRI-1131. * Campanha contra o setor de serviços financeiros no Brasil: os invasores tiveram como alvo o setor de serviços financeiros no Brasil. Observamos uma expansão de ataques anteriormente relatados contra servidores web vulneráveis em uma campanha de phishing com temática de vagas de emprego. Os invasores utilizaram Cavalos de Troia de acesso remoto (RATs) personalizados e ferramentas de tunelamento, incluindo um proxy SOCKS5 baseado em Go com nomes de arquivos iterativos que sugerem o uso de IA. Identificamos essa atividade no cluster como CL-CRI-1163. Identificamos esses dois conjuntos de atividades como clusters separados, com focos geográficos distintos. No entanto, as sobreposições técnicas e comportamentais entre CL-CRI-1131 e CL-CRI-1163 destacam mudanças nas tendências de ataques na América Latina e nas ferramentas utilizadas pelos agentes de ameaças. Ambos os clusters compartilham infraestrutura de retransmissão SOCKS5 e utilizam IA para orquestrar operações por meio de grandes modelos de linguagem (LLMs) comerciais. Isso indica uma evolução mais ampla no cenário regional de ameaças. Em vez de incidentes isolados, esses clusters demonstram como diferentes grupos de ameaças na América Latina estão adotando, de forma independente, redes de proxy avançadas e integração com IA para simplificar e agilizar suas execuções. Os clientes da Palo Alto Networks estão mais protegidos contra as ameaças discutidas neste artigo por meio dos seguintes produtos e serviços: * [Advanced WildFire](https://docs.paloaltonetworks.com/wildfire) * [Advanced URL Filtering](https://docs.paloaltonetworks.com/advanced-url-filtering) e [Advanced DNS Security](https://docs.paloaltonetworks.com/dns-security) * [Cortex XDR](https://www.paloaltonetworks.com/cortex/cortex-xdr?_gl=1*13pmp8e*_ga*NzQyNjM2NzkuMTY2NjY3OTczNw..*_ga_KS2MELEEFC*MTY2OTczNjA2MS4zMS4wLjE2Njk3MzYwNjEuNjAuMC4w) e [XSIAM](https://www.paloaltonetworks.com/resources/datasheets/cortex-xsiam-aag) Se você acha que pode ter sido comprometido ou tem um problema urgente, entre em contato com a [Equipe de resposta a incidentes da Unit 42](https://start.paloaltonetworks.com/contact-unit42.html). |----------------------------|--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | **Related Unit 42 Topics** | **[IA](https://unit42.paloaltonetworks.com/tag/ai/), [LLM](https://unit42.paloaltonetworks.com/tag/llm/), [Phishing](https://unit42.paloaltonetworks.com/pt-br/tag/phishing/), [RATs](https://unit42.paloaltonetworks.com/tag/remote-access-trojan/)** | ## CL-CRI-1131: Campanha contra o setor de transportes no México Durante um comprometimento ocorrido em abril de 2026, as operações realizadas pelo invasor no host refletiram o processo de tentativa e erro associado ao uso de LLMs. A infraestrutura associada à campanha permaneceu ativa até junho de 2026 e revelou informações sobre os perfis dos alvos escolhidos pelo invasor. ### **V**estígios iniciais no host: Desafios de execução Durante uma intrusão como parte da atividade do CL-CRI-1131 em abril de 2026, observamos o invasor tendo dificuldades para coletar dados confidenciais. Após várias tentativas de extrair o hive de registro do Security Account Manager (SAM) e o arquivo NTDS.dit do controlador de domínio, o invasor criou cópias sombra em várias unidades antes de copiar os arquivos, conforme mostrado na Figura 1. ![Uma captura de tela de uma interface de linha de comando que mostra comandos para criar cópias sombra nas unidades C: e F: do Windows usando "vssadmin create shadow" e executar um script localizado na pasta Temp do Windows.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/09/word-image-563785-186544-1.jpeg) Figura 1. Manipulação de cópias sombra de volume. Isso ocorreu enquanto o invasor utilizava uma série de scripts em lote numerados para coletar dados confidenciais do host comprometido, conforme mostrado na Figura 2. ![Uma captura de tela de uma janela de prompt de comando do Windows que mostra uma série de linhas de comando. Os comandos incluem a execução de scripts PowerShell e o manuseio de arquivos de texto.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/09/word-image-566233-186544-2.jpeg) Figura 2. Comandos utilizados em uma série de scripts em lote para coletar dados confidenciais. Os invasores inseriram uma verificação de permissões para garantir que os arquivos pudessem ser gravados com sucesso no diretório de coleta. Essas ações de tentativa e erro e os ajustes sucessivos nos scripts são consistentes com o uso de LLMs. Depois de enfrentar dificuldades para coletar esses arquivos, observamos os invasores tentando solucionar problemas de conectividade com a infraestrutura em 62.171.185\[.\]97. ### Análise da infraestrutura: Rastreando comandos de exfiltração até certificados expostos Ao investigar o 62.171.185\[.\]97, o endereço IP usado na atividade do CL-CRI-1131 para exfiltração de dados, descobrimos um certificado TLS ativo da Let's Encrypt que utilizava o domínio m-doxa-apodo.duckdns\[.\]org e seguia um padrão exclusivo de nomenclatura de DNS dinâmico. #### Infraestrutura compartilhada: o que os certificados SSL revelaram Uma pesquisa pelo prefixo m-doxa revelou que os invasores estabeleceram a infraestrutura da campanha em fevereiro de 2026 usando um único certificado consolidado com vários Subject Alternative Names (Nomes alternativos do assunto, SAN). Esse único certificado revela cinco subdomínios ativos. Os nomes desses subdomínios indicam suas funções operacionais e os alvos pretendidos no governo federal mexicano, conforme mostra a Tabela 1. |--------------------------------|------------------------------------------------| | **Subdomínio** | **Interpretação** | | m-doxa-apodo.duckdns\[.\]org | apodo = apelido/nome alternativo (em espanhol) | | m-doxa-geo.duckdns\[.\]org | geo para geolocalização | | m-doxa-intel.duckdns\[.\]org | intel para inteligência | | m-doxa-vacunas.duckdns\[.\]org | vacunas = vacinas (em espanhol) | Tabela 1. Subdomínios e suas prováveis capacidades operacionais e alvos. Em fevereiro de 2026, após o período inicial de atividade [relatado pela CloudSEK](https://unit42.paloaltonetworks.com/tag/ai/) , os invasores implantaram um certificado SAN único durante essa campanha. O certificado foi configurado para proteger apenas um domínio específico: m-doxa-apodo. No entanto, à medida que a operação evoluiu, a infraestrutura também mudou. Em abril de 2026 e novamente em junho de 2026, os invasores renovaram sua infraestrutura e geraram novos certificados com vários SANs. A Tabela 2 mostra, por data, os certificados e hosts utilizados na atividade do CL-CRI-1131, demonstrando a linha do tempo da infraestrutura associada. |-------------------------|------------------------------------------------------------------|----------|--------------------| | **Data** | **Hash SHA-256 do certificado** | **SANs** | **Host** | | 27 de fevereiro de 2026 | 7d766942ef34542cee39c852286599958c4c2e23187010c4d38dbf88fcb40bf8 | 1 | 165.22.184\[.\]26 | | 20 de abril de 2026 | 4e218e70afdbb116209ec0ebe8fc556e296e69648aa4e0425b83c0e863a8fee5 | 5 | 178.128.87\[.\]160 | | 19 de junho de 2026 | 46ac289ce0c13666de616446f5d5a68da8bd150f4f065c3bec02f63776d3899c | 5 | 178.128.87\[.\]160 | Tabela 2. Linha do tempo da obtenção dos certificados. #### Integração de IA: descobrindo a interface de solução de problemas do backend Em um relatório anterior da Gambit, [The AI-Assisted Breach of Mexico's Government Infrastructure \[PDF\]](https://unit42.paloaltonetworks.com/tag/ai/), a atividade de fevereiro de 2026 se destacou pelo uso de vários LLMs. [O relatório da CloudSEK, cujo link foi fornecido anteriormente,](https://unit42.paloaltonetworks.com/tag/ai/) que detalha a atividade de junho de 2026, identifica a atividade que chamamos de CL-CRI-1131 como Operação Escaneo. Esses relatórios descrevem os invasores utilizando vários LLMs, incluindo Claude e GPT-4.1, para solucionar problemas enfrentados durante suas campanhas. Analisamos o uso do NextChat pelos invasores como parte de seu processo mais amplo envolvendo LLMs. O endereço IP 178.128.87\[.\]160 foi usado na atividade do CL-CRI-1131 durante os comprometimentos associados de abril e junho de 2026. Esse endereço hospedava uma instância da ferramenta de código aberto NextChat na porta TCP 3000. A Figura 3 mostra um exemplo da interface de usuário do NextChat, como ela apareceria em uma janela de navegador. ![Uma captura de tela de uma interface do NextChat com uma barra lateral azul clara que exibe "New Conversation" e a data e hora. A área principal mostra uma caixa de texto branca com a mensagem "Hello! How can I assist you today?" Uma linha de ícones para enviar e formatar mensagens é mostrada abaixo da caixa de texto.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/09/word-image-568718-186544-3.png) Figura 3. Exemplo de uma janela do NextChat hospedada localmente. O NextChat é uma interface da web de código aberto na qual os usuários podem carregar e interagir com vários modelos. O NextChat permite que os operadores comparem diferentes modelos e garantam que os prompts sejam hospedados em uma infraestrutura controlada pelos próprios invasores. Além de revelar novos alvos, o monitoramento dessa infraestrutura proporcionou uma visão importante das operações de backend desse cluster de atividades. Considerando as falhas iniciais na extração de dados do host, combinadas com a presença da interface do NextChat nesse backend, avaliamos que os invasores recorreram a LLMs para gerar os scripts necessários para contornar esses problemas. A integração de IA à infraestrutura operacional não é exclusiva deste incidente. Observamos uma configuração técnica idêntica ao investigar uma segunda campanha, direcionada ao setor de serviços financeiros no Brasil. ## CL-CRI-1163: Campanha contra o setor de serviços financeiros no Brasil Diferentemente da campanha contra o setor de transportes no México, a campanha contra o setor de serviços financeiros no Brasil que identificamos como CL-CRI-1163 envolveu malware desenvolvido pelos próprios invasores. Observamos que os invasores por trás do CL-CRI-1163 provavelmente obtiveram acesso inicial por meio de uma campanha de phishing com temática de vagas de emprego. Apesar de terem substituído utilitários nativos do Windows por implantes personalizados, a mudança operacional subjacente permanece consistente nas duas campanhas. A infraestrutura de preparação exposta revelou scripts operacionais com nomes de arquivos que sugerem que eles foram gerados dinamicamente por um LLM, e não por um desenvolvedor humano. A aparente presença dessa estrutura de IA, implantada em conjunto com redes proxy avançadas, reforça a conclusão de que existe uma tendência regional mais ampla. Mesmo invasores capazes de desenvolver e implantar malware personalizado podem usar um backend baseado em IA como um multiplicador de força para preencher diretórios com scripts de exploração, agilizar a execução e reduzir a barreira de entrada para o gerenciamento de fluxos de trabalho complexos de pós-exploração. ### Acesso inicial e execução: Phishing e ações automatizadas sobre os objetivos Em fevereiro de 2026, observamos que os invasores associados ao CL-CRI-1163 obtiveram acesso inicial por meio de um anexo de e-mail de phishing com temática de currículo. Depois que os invasores instalaram vários RATs, observamos uma estrutura semelhante de nomenclatura iterativa, provavelmente devido às dificuldades dos invasores para instalar seu conjunto de ferramentas. Observamos tentativas de instalar as versões 1 a 8 de uma ferramenta de tunelamento SOCKS5 reverso baseada em Go, chamada [SockTz](https://unit42.paloaltonetworks.com/tag/ai/), a partir de um site WordPress comprometido. A Figura 4 mostra a tentativa de executar a versão 8, chamada socktz\_v8.exe. ![Uma captura de tela de um prompt de comando que mostra um comando usando "certutil" para baixar e executar um arquivo a partir de um URL, seguido pela execução do arquivo a partir do diretório do usuário e pela exibição da mensagem "DONE".](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/09/word-image-571586-186544-4.png) Figura 4. Tentativa de recuperar a versão 8 do SockTz de um site WordPress comprometido. Provavelmente devido à falha na instalação do malware SockTz e na abertura de uma conexão proxy bem-sucedida, os invasores por trás do CL-CRI-1163 recorreram a uma infraestrutura controlada por eles para obter a versão 9, chamada socktz\_v9, conforme mostra a Figura 5. ![Uma captura de tela de uma interface de linha de comando que exibe um comando executando "cartutil" com parâmetros para dividir um arquivo e baixar a versão do SockTz de um endereço IP específico para o diretório de um usuário.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/09/word-image-573639-186544-5.png) Figura 5. Mudança para a infraestrutura controlada pelo invasor para recuperar a versão 9 do SockTz. ### Inspeção da infraestrutura: Analisando padrões de nomenclatura gerados por IA no diretório aberto Pesquisadores já haviam identificado essa ferramenta de proxy SockTz e 167.148.195\[.\]53 como associados a ataques persistentes contra servidores JBoss vulneráveis. Enquanto relatórios anteriores identificaram diferentes versões dessa ferramenta em várias campanhas, observamos tentativas de instalação das versões 1 a 9 em um intervalo de duas horas. Os instaladores do SockTz estavam hospedados junto com centenas de scripts de campanha em um diretório aberto em 167.148.195\[.\]53. Assim como os números de versão do SockTz e as operações do CL-CRI-1131, o diretório aberto associado a essa atividade do CL-CRI-1163 expôs scripts iterativos com o identificador \_output anexado aos nomes, indicando que os atacantes utilizaram LLMs durante toda a campanha. Uma lista parcial dos arquivos é mostrada na Figura 6. ![Uma captura de tela de uma lista de nomes de arquivos exibidos em texto azul, cada um precedido por um marcador. Os arquivos incluem scripts com extensões ".sh" como tal. Há também arquivos de texto com extensões ".txt", nomeados em sequência.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/09/word-image-575889-186544-6-281x440.jpeg) Figura 6. Lista parcial dos scripts da campanha hospedados em um diretório aberto em 167.148.195\[.\]53. Além de expor scripts de várias fases da cadeia de ataque, os invasores anexaram adjetivos descritivos aos nomes dos arquivos de exploração. Isso sugere que os invasores utilizaram um processo de desenvolvimento iterativo orientado por modelos de linguagem: exploit\_creative.py, exploit\_careful.py e rce\_focused.py. Os atores de ameaça por trás das campanhas CL-CRI-1131 e CL-CRI-1163 aprimoraram suas capacidades técnicas incorporando LLMs comerciais aos seus fluxos de trabalho. Essa integração permite que eles criem configurações avançadas de proxy e solucionem dinamicamente falhas complexas de execução. No entanto, a infraestrutura que implantaram para aproveitar essa IA acabou se tornando seu calcanhar de Aquiles. Expor um diretório aberto do NextChat à internet pública revela uma falta fundamental de maturidade operacional. A IA forneceu a solução tática necessária para extrair o banco de dados do Active Directory, mas os operadores humanos não conseguiram proteger o servidor de preparação. Isso deixou todo o manual, o histórico de prompts e os scripts de preparação visíveis para pesquisadores de ameaças. Isso evidencia uma vulnerabilidade crítica que pode ser explorada pelas equipes de defesa. À medida que agentes menos qualificados e experientes adotam a IA para acelerar seus ataques, suas falhas básicas de segurança operacional (OpSec) continuam sendo a maneira mais confiável de identificar e desmantelar suas operações. ## Conclusão As operações do CL-CRI-1131 e do CL-CRI-1163, realizadas nas campanhas contra o setor de transportes no México e contra o setor de serviços financeiros no Brasil, respectivamente, destacam uma evolução significativa no cenário regional de ameaças. Por meio dessas campanhas, observamos os invasores utilizarem IA para aprimorar suas capacidades. Seja manipulando utilitários nativos do Windows ou implantando redes proxy personalizadas, esses operadores dependem de LLMs comerciais para superar obstáculos táticos e agilizar suas execuções. No entanto, essa rápida evolução técnica é compensada por falhas básicas de segurança operacional. Diretórios de preparação expostos, interfaces do NextChat sem proteção e certificados estruturados com vários SANs fornecem às equipes de defesa um roteiro claro da infraestrutura dos invasores. Ao explorar essas falhas de OpSec, as equipes de defesa podem monitorar proativamente a atividade e interromper as campanhas dos invasores. Os clientes da Palo Alto Networks estão mais protegidos contra as ameaças descritas acima por meio dos seguintes produtos: * Os modelos de machine learning e as técnicas de análise do [Advanced WildFire](https://docs.paloaltonetworks.com/wildfire) foram revisados e atualizados à luz dos indicadores compartilhados nesta pesquisa. * O [Advanced URL Filtering](https://docs.paloaltonetworks.com/advanced-url-filtering) e [Advanced DNS Security](https://docs.paloaltonetworks.com/dns-security) identificam como maliciosos os domínios e URLs conhecidos associados a essa atividade. * O [Cortex XDR](https://www.paloaltonetworks.com/cortex/cortex-xdr?_gl=1*13pmp8e*_ga*NzQyNjM2NzkuMTY2NjY3OTczNw..*_ga_KS2MELEEFC*MTY2OTczNjA2MS4zMS4wLjE2Njk3MzYwNjEuNjAuMC4w) e o [XSIAM](https://www.paloaltonetworks.com/cortex/cortex-xdr?_gl=1*13pmp8e*_ga*NzQyNjM2NzkuMTY2NjY3OTczNw..*_ga_KS2MELEEFC*MTY2OTczNjA2MS4zMS4wLjE2Njk3MzYwNjEuNjAuMC4w) foram projetados para ajudar a impedir as ameaças descritas neste artigo por meio do [Mecanismo de prevenção de malware](https://www.paloaltonetworks.com/cortex/cortex-xdr?_gl=1*13pmp8e*_ga*NzQyNjM2NzkuMTY2NjY3OTczNw..*_ga_KS2MELEEFC*MTY2OTczNjA2MS4zMS4wLjE2Njk3MzYwNjEuNjAuMC4w). Essa abordagem combina várias camadas de proteção, incluindo [Advanced WildFire](https://docs.paloaltonetworks.com/wildfire), Proteção contra ameaça comportamental e o módulo de Análise local, com o objetivo de impedir que malwares conhecidos e desconhecidos causem danos aos endpoints. Se você acha que seu sistema pode ter sido comprometido ou tem um assunto urgente, entre em contato com a [equipe de resposta a incidentes da Unit 42](https://www.paloaltonetworks.com/cortex/cortex-xdr?_gl=1*13pmp8e*_ga*NzQyNjM2NzkuMTY2NjY3OTczNw..*_ga_KS2MELEEFC*MTY2OTczNjA2MS4zMS4wLjE2Njk3MzYwNjEuNjAuMC4w) ou ligue para: * América do Norte: Ligação gratuita: +1 (866) 486-4842 (866.4.UNIT42) * Reino Unido: +44.20.3743.3660 * Europa e Oriente Médio: +31.20.299.3130 * Ásia: +65.6983.8730 * Japão: +81.50.1790.0200 * Austrália: +61.2.4062.7950 * Índia: 000 800 050 45107 * Coreia do Sul: +82.080.467.8774 A Palo Alto Networks compartilhou essas descobertas com nossos colegas membros da Cyber Threat Alliance (CTA). Os membros da CTA usam essas informações para implantar rapidamente proteções para seus clientes e para conter sistematicamente os agentes cibernéticos mal-intencionados. Saiba mais sobre a [Cyber Threat Alliance](https://www.paloaltonetworks.com/cortex/cortex-xdr?_gl=1*13pmp8e*_ga*NzQyNjM2NzkuMTY2NjY3OTczNw..*_ga_KS2MELEEFC*MTY2OTczNjA2MS4zMS4wLjE2Njk3MzYwNjEuNjAuMC4w). ## Indicadores de comprometimento ### Campanha contra o setor de transportes no México Domínios: * m-doxa-apodo.duckdns\[.\]org * m-doxa-geo.duckdns\[.\]org * m-doxa-intel.duckdns\[.\]org * m-doxa-repuve.duckdns\[.\]org * m-doxa-sre.duckdns\[.\]org * m-doxa-vacunas.duckdns\[.\]org Hashes SHA-256 dos certificados e respectivos hosts: * 46ac289ce0c13666de616446f5d5a68da8bd150f4f065c3bec02f63776d3899c * 178\.128.87\[.\]160 * 4e218e70afdbb116209ec0ebe8fc556e296e69648aa4e0425b83c0e863a8fee5 * 178\.128.87\[.\]160 * 7d766942ef34542cee39c852286599958c4c2e23187010c4d38dbf88fcb40bf8 * 165\.22.184\[.\]26 ### Campanha contra o setor de serviços financeiros no Brasil Hashes SHA-256: * a38b2cf8beff32a276eed8783723ecf8cc53d7dc88669e1b998dddc4db6fe996 * 87bf8bc8b4a2cf34f0af1afe161f123a3d200e77f6c6f41b81bf6ae66ee172ec URL: * hxxp\[:\]//167.148.195\[.\]53:8888/socktz\_v9.exe ## Recursos adicionais * [Operation Escaneo](https://www.paloaltonetworks.com/cortex/cortex-xdr?_gl=1*13pmp8e*_ga*NzQyNjM2NzkuMTY2NjY3OTczNw..*_ga_KS2MELEEFC*MTY2OTczNjA2MS4zMS4wLjE2Njk3MzYwNjEuNjAuMC4w) --- CloudSEK * [Vibe Hacking: Two AI-Augmented Campaigns Target Government and Financial Sectors in Latin America](https://www.paloaltonetworks.com/cortex/cortex-xdr?_gl=1*13pmp8e*_ga*NzQyNjM2NzkuMTY2NjY3OTczNw..*_ga_KS2MELEEFC*MTY2OTczNjA2MS4zMS4wLjE2Njk3MzYwNjEuNjAuMC4w) --- Trend Micro Voltar ao topo ### Tags * [Agentic AI](https://unit42.paloaltonetworks.com/pt-br/tag/agentic-ai/ "Agentic AI") * [ChatGPT](https://unit42.paloaltonetworks.com/pt-br/tag/chatgpt/ "ChatGPT") * [CL-CRI-1131](https://unit42.paloaltonetworks.com/pt-br/tag/cl-cri-1131/ "CL-CRI-1131") * [CL-CRI-1163](https://unit42.paloaltonetworks.com/pt-br/tag/cl-cri-1163/ "CL-CRI-1163") * [Claude code](https://unit42.paloaltonetworks.com/pt-br/tag/claude-code/ "Claude code") * [NextChat](https://unit42.paloaltonetworks.com/pt-br/tag/nextchat/ "NextChat") * [SOCKS5](https://unit42.paloaltonetworks.com/pt-br/tag/socks5/ "SOCKS5") * [SockTz](https://unit42.paloaltonetworks.com/pt-br/tag/socktz/ "SockTz") [Threat Research Center](https://unit42.paloaltonetworks.com/pt-br/ "Threat Research") [Seguinte:Vulnerabilidades Críticas no Ivanti EPMM Exploradas em Atividade](https://unit42.paloaltonetworks.com/pt-br/ivanti-cve-2026-1281-cve-2026-1340/ "Vulnerabilidades Críticas no Ivanti EPMM Exploradas em Atividade") ### ÍNDICE * ### Artigos relacionados ## Relacionado Malware Recursos ![Pictorial representation of Notepad++ supply chain compromise. A digital rendering of Earth from space, focusing on North and South America. The continents are illuminated in blue, with red lines and dots indicating data connections across various locations. Dark background highlights the vibrant network representation.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/11_Security-Technology_Category_1920x900-786x368.jpg) [Ameaças de alto perfil](https://unit42.paloaltonetworks.com/pt-br/category/top-cyberthreats-pt-br/) 11 de fevereiro de 2026 [#### Atores de Estado-Nação Exploram a Cadeia de Suprimentos do Notepad++](https://unit42.paloaltonetworks.com/pt-br/notepad-infrastructure-compromise/) * [Backdoor](https://unit42.paloaltonetworks.com/pt-br/tag/backdoor/ "backdoor") * [Cobalt Strike](https://unit42.paloaltonetworks.com/pt-br/tag/cobalt-strike/ "Cobalt Strike") * [DLL Sideloading](https://unit42.paloaltonetworks.com/pt-br/tag/dll-sideloading/ "DLL Sideloading") [Leia agora ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/pt-br/notepad-infrastructure-compromise/ "Atores de Estado-Nação Exploram a Cadeia de Suprimentos do Notepad++") ![Pictorial representation of Iranian-backed threat groups and hacktivists. Digital illustration of a global network featuring interconnected lines and dots, suggesting a data-driven representation of worldwide connectivity, with a focus on technology and innovation. The image uses blue tones with red and light blue highlights.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/06/08_Nation-State-cyberattacks_1920x900-786x368.jpg) [Ameaças de alto perfil](https://unit42.paloaltonetworks.com/pt-br/category/top-cyberthreats-pt-br/) 30 de junho de 2025 [#### Resumo sobre ameaças: Aumento do risco cibernético relacionado ao Irã (Atualizado em 30 de junho)](https://unit42.paloaltonetworks.com/pt-br/iranian-cyberattacks-2025/) * [Agent Serpens](https://unit42.paloaltonetworks.com/pt-br/tag/agent-serpens-pt-br/ "Agent Serpens") * [Agonizing Serpens](https://unit42.paloaltonetworks.com/pt-br/tag/agonizing-serpens-pt-br/ "Agonizing Serpens") * [Boggy Serpens](https://unit42.paloaltonetworks.com/pt-br/tag/boggy-serpens-pt-br/ "Boggy Serpens") [Leia agora ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/pt-br/iranian-cyberattacks-2025/ "Resumo sobre ameaças: Aumento do risco cibernético relacionado ao Irã (Atualizado em 30 de junho)") ![Pictorial representation of APT Slow Pisces. The silhouette of two fish and the Pisces constellation inside an orange abstract planet. Background of stars and swirling purple and blue colors.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/03/Pisces-NK-A-1920x900-1-786x368.png) [Grupos de hackers](https://unit42.paloaltonetworks.com/pt-br/category/threat-actor-groups-pt-br/) 14 de abril de 2025 [#### Slow Pisces mira desenvolvedores com desafios de programação e introduz um novo malware em linguagem Python personalizado](https://unit42.paloaltonetworks.com/pt-br/slow-pisces-new-custom-malware/) * [Cryptocurrency](https://unit42.paloaltonetworks.com/pt-br/tag/cryptocurrency-pt-br/ "Cryptocurrency") * [DPRK](https://unit42.paloaltonetworks.com/pt-br/tag/dprk-pt-br/ "DPRK") * [GitHub](https://unit42.paloaltonetworks.com/pt-br/tag/github-pt-br/ "GitHub") [Leia agora ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/pt-br/slow-pisces-new-custom-malware/ "Slow Pisces mira desenvolvedores com desafios de programação e introduz um novo malware em linguagem Python personalizado") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/unit42-footer-subscribe-desktop.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Receba atualizações da Unit 42 ## Para ter paz de espírito, fique um passo à frente das ameaças. Entre em contato conosco ainda hoje. Your Email Inscreva-se para receber atualizações por e-mail sobre todas as pesquisas de ameaças da Unit 42. Ao enviar esse formulário, você concorda com nossos [Termos de Uso](https://www.paloaltonetworks.com/legal-notices/terms-of-use) e confirma que conhece nossa [Política de Privacidade.](https://www.paloaltonetworks.com/legal-notices/privacy) Este site é protegido pelo reCAPTCHA e são aplicáveis a [Política de Privacidade](https://policies.google.com/privacy) e os [Termos de Serviço](https://policies.google.com/terms) do Google. Invalid captcha! Inscrever ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} Produtos e serviços * [Plataforma de segurança de rede com tecnologia de IA](https://www.paloaltonetworks.com.br/network-security) * [IA protegida desde a concepção](https://www.paloaltonetworks.com.br/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.com.br/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.com.br/sase/ai-access-security) * [Serviços de segurança entregues na nuvem](https://www.paloaltonetworks.com.br/network-security/security-subscriptions) * [Prevenção contra ameaças avançada](https://www.paloaltonetworks.com.br/network-security/advanced-threat-prevention) * [URL Filtering avançado](https://www.paloaltonetworks.com.br/network-security/advanced-url-filtering) * [WildFire avançado](https://www.paloaltonetworks.com.br/network-security/advanced-wildfire) * [Segurança de DNS avançada](https://www.paloaltonetworks.com.br/network-security/advanced-dns-security) * [Prevenção de perda de dados empresariais](https://www.paloaltonetworks.com.br/sase/enterprise-data-loss-prevention) * [Segurança de IoT empresarial](https://www.paloaltonetworks.com.br/content/pan/pt_BR/network-security/enterprise-iot-security) * [Segurança de IoT médica](https://www.paloaltonetworks.com.br/network-security/medical-device-security) * [Segurança de TO industrial](https://www.paloaltonetworks.com.br/content/pan/pt_BR/network-security/industrial-ot-security) * [Segurança de SaaS](https://www.paloaltonetworks.com.br/sase/saas-security) * [Firewalls de próxima geração](https://www.paloaltonetworks.com.br/network-security/next-generation-firewall) * [Firewalls de hardware](https://www.paloaltonetworks.com.br/network-security/hardware-firewall-innovations) * [Firewalls de software](https://www.paloaltonetworks.com.br/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.com.br/network-security/strata-cloud-manager) * [SD-WAN para NGFW](https://www.paloaltonetworks.com.br/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.com.br/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.com.br/network-security/panorama) * [Borda de serviço de acesso seguro](https://www.paloaltonetworks.com.br/sase) * [Prisma SASE](https://www.paloaltonetworks.com.br/sase) * [Aceleração de aplicativos](https://www.paloaltonetworks.com.br/sase/app-acceleration) * [Gerenciamento autônomo de experiência digital](https://www.paloaltonetworks.com.br/sase/adem) * [DLP empresarial](https://www.paloaltonetworks.com.br/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.com.br/sase/access) * [Prisma Browser](https://www.paloaltonetworks.com.br/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.com.br/sase/sd-wan) * [Isolamento remoto do navegador](https://www.paloaltonetworks.com.br/sase/remote-browser-isolation) * [Segurança de SaaS](https://www.paloaltonetworks.com.br/sase/saas-security) * [Plataforma de operações de segurança orientadas por IA](https://www.paloaltonetworks.com.br/cortex) * [Segurança da nuvem](https://www.paloaltonetworks.com.br/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.com.br/cortex/cloud) * [Segurança de aplicativos](https://www.paloaltonetworks.com.br/cortex/cloud/application-security) * [Segurança da postura na nuvem](https://www.paloaltonetworks.com.br/cortex/cloud/cloud-posture-security) * [Segurança de tempo de execução na nuvem](https://www.paloaltonetworks.com.br/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.com.br/prisma/cloud) * [SOC orientado por IA](https://www.paloaltonetworks.com.br/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.com.br/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.com.br/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.com.br/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.com.br/cortex/cortex-xpanse) * [Detecção e resposta gerenciadas da Unit 42](https://www.paloaltonetworks.com.br/cortex/managed-detection-and-response) * [XSIAM gerenciado](https://www.paloaltonetworks.com.br/cortex/managed-xsiam) * [Serviços de inteligência de ameaças e resposta a incidentes](https://www.paloaltonetworks.com.br/unit42) * [Avaliações proativas](https://www.paloaltonetworks.com.br/unit42/assess) * [Resposta a incidentes](https://www.paloaltonetworks.com.br/unit42/respond) * [Transforme sua estratégia de segurança](https://www.paloaltonetworks.com.br/unit42/transform) * [Descubra a inteligência contra ameaças](https://www.paloaltonetworks.com.br/unit42/threat-intelligence-partners) Empresa * [Sobre nós](https://www.paloaltonetworks.com.br/about-us) * [Carreiras](https://jobs.paloaltonetworks.com/en/) * [Entre em contato conosco](https://www.paloaltonetworks.com.br/company/contact) * [Responsabilidade corporativa](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [Clientes](https://www.paloaltonetworks.com.br/customers) * [Relações com investidores](https://investors.paloaltonetworks.com/) * [Local](https://www.paloaltonetworks.com/about-us/locations) * [Notícias](https://www.paloaltonetworks.com.br/company/newsroom) Links populares * [Blog](https://www.paloaltonetworks.com/blog/?lang=pt-br) * [Comunidades](https://www.paloaltonetworks.com/communities) * [Biblioteca de conteúdo](https://www.paloaltonetworks.com.br/resources) * [Cyberpedia](https://www.paloaltonetworks.com.br/cyberpedia) * [Centro de eventos](https://events.paloaltonetworks.com/) * [Gerenciar preferências de e-mail](https://start.paloaltonetworks.com/preference-center) * [Produtos de A a Z](https://www.paloaltonetworks.com/products/products-a-z) * [Certificações de produtos](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [Relatar uma vulnerabilidade](https://www.paloaltonetworks.com/security-disclosure) * [Mapa do site](https://www.paloaltonetworks.com.br/sitemap) * [Documentos técnicos](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.com/) * [Não venda nem compartilhe minhas informações pessoais](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.com.br/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [Privacidade](https://www.paloaltonetworks.com/legal-notices/privacy) * [Centro de confiança](https://www.paloaltonetworks.com/legal-notices/trust-center) * [Termos de uso](https://www.paloaltonetworks.com/legal-notices/terms-of-use) * [Documentos](https://www.paloaltonetworks.com/legal) Copyright © 2026 Palo Alto Networks. Todos os direitos reservados * [![](https://www.paloaltonetworks.com.br/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.com.br/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.com.br/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.com.br/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.com.br/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * BR Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)