Advanced DNS Security
Unit 42 Incident Response
Resumo executivo
Analisamos duas campanhas de intrusão de rede e exfiltração de dados, ainda em andamento, que têm como alvo organizações na América Latina e envolvem várias etapas. Em linha com descobertas recentes da comunidade mais ampla de inteligência de ameaças, observamos invasores usando inteligência artificial (IA) para aprimorar suas capacidades.
Nossa investigação classifica essa atividade da seguinte forma:
- Campanha contra o setor de transportes no México: esta campanha afetou uma organização do setor de transportes, além de ministérios do governo federal e empresas municipais de serviços de água no México e no Equador. Os operadores utilizaram técnicas do tipo living-off-the-land (LotL). Eles executaram scripts em lote de forma iterativa para manipular e exfiltrar dados confidenciais e hospedaram instâncias do NextChat em sua própria infraestrutura operacional. Identificamos essa atividade no cluster como CL-CRI-1131.
- Campanha contra o setor de serviços financeiros no Brasil: os invasores tiveram como alvo o setor de serviços financeiros no Brasil. Observamos uma expansão de ataques anteriormente relatados contra servidores web vulneráveis em uma campanha de phishing com temática de vagas de emprego. Os invasores utilizaram Cavalos de Troia de acesso remoto (RATs) personalizados e ferramentas de tunelamento, incluindo um proxy SOCKS5 baseado em Go com nomes de arquivos iterativos que sugerem o uso de IA. Identificamos essa atividade no cluster como CL-CRI-1163.
Identificamos esses dois conjuntos de atividades como clusters separados, com focos geográficos distintos. No entanto, as sobreposições técnicas e comportamentais entre CL-CRI-1131 e CL-CRI-1163 destacam mudanças nas tendências de ataques na América Latina e nas ferramentas utilizadas pelos agentes de ameaças.
Ambos os clusters compartilham infraestrutura de retransmissão SOCKS5 e utilizam IA para orquestrar operações por meio de grandes modelos de linguagem (LLMs) comerciais. Isso indica uma evolução mais ampla no cenário regional de ameaças. Em vez de incidentes isolados, esses clusters demonstram como diferentes grupos de ameaças na América Latina estão adotando, de forma independente, redes de proxy avançadas e integração com IA para simplificar e agilizar suas execuções.
Os clientes da Palo Alto Networks estão mais protegidos contra as ameaças discutidas neste artigo por meio dos seguintes produtos e serviços:
Se você acha que pode ter sido comprometido ou tem um problema urgente, entre em contato com a Equipe de resposta a incidentes da Unit 42.
| Related Unit 42 Topics | IA, LLM, Phishing, RATs |
CL-CRI-1131: Campanha contra o setor de transportes no México
Durante um comprometimento ocorrido em abril de 2026, as operações realizadas pelo invasor no host refletiram o processo de tentativa e erro associado ao uso de LLMs. A infraestrutura associada à campanha permaneceu ativa até junho de 2026 e revelou informações sobre os perfis dos alvos escolhidos pelo invasor.
Vestígios iniciais no host: Desafios de execução
Durante uma intrusão como parte da atividade do CL-CRI-1131 em abril de 2026, observamos o invasor tendo dificuldades para coletar dados confidenciais. Após várias tentativas de extrair o hive de registro do Security Account Manager (SAM) e o arquivo NTDS.dit do controlador de domínio, o invasor criou cópias sombra em várias unidades antes de copiar os arquivos, conforme mostrado na Figura 1.
Isso ocorreu enquanto o invasor utilizava uma série de scripts em lote numerados para coletar dados confidenciais do host comprometido, conforme mostrado na Figura 2.
Os invasores inseriram uma verificação de permissões para garantir que os arquivos pudessem ser gravados com sucesso no diretório de coleta. Essas ações de tentativa e erro e os ajustes sucessivos nos scripts são consistentes com o uso de LLMs.
Depois de enfrentar dificuldades para coletar esses arquivos, observamos os invasores tentando solucionar problemas de conectividade com a infraestrutura em 62.171.185[.]97.
Análise da infraestrutura: Rastreando comandos de exfiltração até certificados expostos
Ao investigar o 62.171.185[.]97, o endereço IP usado na atividade do CL-CRI-1131 para exfiltração de dados, descobrimos um certificado TLS ativo da Let's Encrypt que utilizava o domínio m-doxa-apodo.duckdns[.]org e seguia um padrão exclusivo de nomenclatura de DNS dinâmico.
Infraestrutura compartilhada: o que os certificados SSL revelaram
Uma pesquisa pelo prefixo m-doxa revelou que os invasores estabeleceram a infraestrutura da campanha em fevereiro de 2026 usando um único certificado consolidado com vários Subject Alternative Names (Nomes alternativos do assunto, SAN). Esse único certificado revela cinco subdomínios ativos. Os nomes desses subdomínios indicam suas funções operacionais e os alvos pretendidos no governo federal mexicano, conforme mostra a Tabela 1.
| Subdomínio | Interpretação |
| m-doxa-apodo.duckdns[.]org | apodo = apelido/nome alternativo (em espanhol) |
| m-doxa-geo.duckdns[.]org | geo para geolocalização |
| m-doxa-intel.duckdns[.]org | intel para inteligência |
| m-doxa-vacunas.duckdns[.]org | vacunas = vacinas (em espanhol) |
Tabela 1. Subdomínios e suas prováveis capacidades operacionais e alvos.
Em fevereiro de 2026, após o período inicial de atividade relatado pela CloudSEK , os invasores implantaram um certificado SAN único durante essa campanha. O certificado foi configurado para proteger apenas um domínio específico: m-doxa-apodo. No entanto, à medida que a operação evoluiu, a infraestrutura também mudou.
Em abril de 2026 e novamente em junho de 2026, os invasores renovaram sua infraestrutura e geraram novos certificados com vários SANs.
A Tabela 2 mostra, por data, os certificados e hosts utilizados na atividade do CL-CRI-1131, demonstrando a linha do tempo da infraestrutura associada.
| Data | Hash SHA-256 do certificado | SANs | Host |
| 27 de fevereiro de 2026 | 7d766942ef34542cee39c852286599958c4c2e23187010c4d38dbf88fcb40bf8 | 1 | 165.22.184[.]26 |
| 20 de abril de 2026 | 4e218e70afdbb116209ec0ebe8fc556e296e69648aa4e0425b83c0e863a8fee5 | 5 | 178.128.87[.]160 |
| 19 de junho de 2026 | 46ac289ce0c13666de616446f5d5a68da8bd150f4f065c3bec02f63776d3899c | 5 | 178.128.87[.]160 |
Tabela 2. Linha do tempo da obtenção dos certificados.
Integração de IA: descobrindo a interface de solução de problemas do backend
Em um relatório anterior da Gambit, The AI-Assisted Breach of Mexico’s Government Infrastructure [PDF], a atividade de fevereiro de 2026 se destacou pelo uso de vários LLMs. O relatório da CloudSEK, cujo link foi fornecido anteriormente, que detalha a atividade de junho de 2026, identifica a atividade que chamamos de CL-CRI-1131 como Operação Escaneo.
Esses relatórios descrevem os invasores utilizando vários LLMs, incluindo Claude e GPT-4.1, para solucionar problemas enfrentados durante suas campanhas. Analisamos o uso do NextChat pelos invasores como parte de seu processo mais amplo envolvendo LLMs.
O endereço IP 178.128.87[.]160 foi usado na atividade do CL-CRI-1131 durante os comprometimentos associados de abril e junho de 2026. Esse endereço hospedava uma instância da ferramenta de código aberto NextChat na porta TCP 3000. A Figura 3 mostra um exemplo da interface de usuário do NextChat, como ela apareceria em uma janela de navegador.
O NextChat é uma interface da web de código aberto na qual os usuários podem carregar e interagir com vários modelos. O NextChat permite que os operadores comparem diferentes modelos e garantam que os prompts sejam hospedados em uma infraestrutura controlada pelos próprios invasores.
Além de revelar novos alvos, o monitoramento dessa infraestrutura proporcionou uma visão importante das operações de backend desse cluster de atividades. Considerando as falhas iniciais na extração de dados do host, combinadas com a presença da interface do NextChat nesse backend, avaliamos que os invasores recorreram a LLMs para gerar os scripts necessários para contornar esses problemas.
A integração de IA à infraestrutura operacional não é exclusiva deste incidente. Observamos uma configuração técnica idêntica ao investigar uma segunda campanha, direcionada ao setor de serviços financeiros no Brasil.
CL-CRI-1163: Campanha contra o setor de serviços financeiros no Brasil
Diferentemente da campanha contra o setor de transportes no México, a campanha contra o setor de serviços financeiros no Brasil que identificamos como CL-CRI-1163 envolveu malware desenvolvido pelos próprios invasores. Observamos que os invasores por trás do CL-CRI-1163 provavelmente obtiveram acesso inicial por meio de uma campanha de phishing com temática de vagas de emprego.
Apesar de terem substituído utilitários nativos do Windows por implantes personalizados, a mudança operacional subjacente permanece consistente nas duas campanhas. A infraestrutura de preparação exposta revelou scripts operacionais com nomes de arquivos que sugerem que eles foram gerados dinamicamente por um LLM, e não por um desenvolvedor humano.
A aparente presença dessa estrutura de IA, implantada em conjunto com redes proxy avançadas, reforça a conclusão de que existe uma tendência regional mais ampla. Mesmo invasores capazes de desenvolver e implantar malware personalizado podem usar um backend baseado em IA como um multiplicador de força para preencher diretórios com scripts de exploração, agilizar a execução e reduzir a barreira de entrada para o gerenciamento de fluxos de trabalho complexos de pós-exploração.
Acesso inicial e execução: Phishing e ações automatizadas sobre os objetivos
Em fevereiro de 2026, observamos que os invasores associados ao CL-CRI-1163 obtiveram acesso inicial por meio de um anexo de e-mail de phishing com temática de currículo.
Depois que os invasores instalaram vários RATs, observamos uma estrutura semelhante de nomenclatura iterativa, provavelmente devido às dificuldades dos invasores para instalar seu conjunto de ferramentas. Observamos tentativas de instalar as versões 1 a 8 de uma ferramenta de tunelamento SOCKS5 reverso baseada em Go, chamada SockTz, a partir de um site WordPress comprometido.
A Figura 4 mostra a tentativa de executar a versão 8, chamada socktz_v8.exe.
Provavelmente devido à falha na instalação do malware SockTz e na abertura de uma conexão proxy bem-sucedida, os invasores por trás do CL-CRI-1163 recorreram a uma infraestrutura controlada por eles para obter a versão 9, chamada socktz_v9, conforme mostra a Figura 5.
Inspeção da infraestrutura: Analisando padrões de nomenclatura gerados por IA no diretório aberto
Pesquisadores já haviam identificado essa ferramenta de proxy SockTz e 167.148.195[.]53 como associados a ataques persistentes contra servidores JBoss vulneráveis. Enquanto relatórios anteriores identificaram diferentes versões dessa ferramenta em várias campanhas, observamos tentativas de instalação das versões 1 a 9 em um intervalo de duas horas.
Os instaladores do SockTz estavam hospedados junto com centenas de scripts de campanha em um diretório aberto em 167.148.195[.]53. Assim como os números de versão do SockTz e as operações do CL-CRI-1131, o diretório aberto associado a essa atividade do CL-CRI-1163 expôs scripts iterativos com o identificador _output anexado aos nomes, indicando que os atacantes utilizaram LLMs durante toda a campanha. Uma lista parcial dos arquivos é mostrada na Figura 6.
Os atores de ameaça por trás das campanhas CL-CRI-1131 e CL-CRI-1163 aprimoraram suas capacidades técnicas incorporando LLMs comerciais aos seus fluxos de trabalho. Essa integração permite que eles criem configurações avançadas de proxy e solucionem dinamicamente falhas complexas de execução. No entanto, a infraestrutura que implantaram para aproveitar essa IA acabou se tornando seu calcanhar de Aquiles.
Expor um diretório aberto do NextChat à internet pública revela uma falta fundamental de maturidade operacional. A IA forneceu a solução tática necessária para extrair o banco de dados do Active Directory, mas os operadores humanos não conseguiram proteger o servidor de preparação. Isso deixou todo o manual, o histórico de prompts e os scripts de preparação visíveis para pesquisadores de ameaças.
Isso evidencia uma vulnerabilidade crítica que pode ser explorada pelas equipes de defesa. À medida que agentes menos qualificados e experientes adotam a IA para acelerar seus ataques, suas falhas básicas de segurança operacional (OpSec) continuam sendo a maneira mais confiável de identificar e desmantelar suas operações.
Conclusão
As operações do CL-CRI-1131 e do CL-CRI-1163, realizadas nas campanhas contra o setor de transportes no México e contra o setor de serviços financeiros no Brasil, respectivamente, destacam uma evolução significativa no cenário regional de ameaças. Por meio dessas campanhas, observamos os invasores utilizarem IA para aprimorar suas capacidades.
Seja manipulando utilitários nativos do Windows ou implantando redes proxy personalizadas, esses operadores dependem de LLMs comerciais para superar obstáculos táticos e agilizar suas execuções. No entanto, essa rápida evolução técnica é compensada por falhas básicas de segurança operacional. Diretórios de preparação expostos, interfaces do NextChat sem proteção e certificados estruturados com vários SANs fornecem às equipes de defesa um roteiro claro da infraestrutura dos invasores.
Ao explorar essas falhas de OpSec, as equipes de defesa podem monitorar proativamente a atividade e interromper as campanhas dos invasores.
Os clientes da Palo Alto Networks estão mais protegidos contra as ameaças descritas acima por meio dos seguintes produtos:
- Os modelos de machine learning e as técnicas de análise do Advanced WildFire foram revisados e atualizados à luz dos indicadores compartilhados nesta pesquisa.
- O Advanced URL Filtering e Advanced DNS Security identificam como maliciosos os domínios e URLs conhecidos associados a essa atividade.
- O Cortex XDR e o XSIAM foram projetados para ajudar a impedir as ameaças descritas neste artigo por meio do Mecanismo de prevenção de malware. Essa abordagem combina várias camadas de proteção, incluindo Advanced WildFire, Proteção contra ameaça comportamental e o módulo de Análise local, com o objetivo de impedir que malwares conhecidos e desconhecidos causem danos aos endpoints.
Se você acha que seu sistema pode ter sido comprometido ou tem um assunto urgente, entre em contato com a equipe de resposta a incidentes da Unit 42 ou ligue para:
- América do Norte: Ligação gratuita: +1 (866) 486-4842 (866.4.UNIT42)
- Reino Unido: +44.20.3743.3660
- Europa e Oriente Médio: +31.20.299.3130
- Ásia: +65.6983.8730
- Japão: +81.50.1790.0200
- Austrália: +61.2.4062.7950
- Índia: 000 800 050 45107
- Coreia do Sul: +82.080.467.8774
A Palo Alto Networks compartilhou essas descobertas com nossos colegas membros da Cyber Threat Alliance (CTA). Os membros da CTA usam essas informações para implantar rapidamente proteções para seus clientes e para conter sistematicamente os agentes cibernéticos mal-intencionados. Saiba mais sobre a Cyber Threat Alliance.
Indicadores de comprometimento
Campanha contra o setor de transportes no México
Domínios:
- m-doxa-apodo.duckdns[.]org
- m-doxa-geo.duckdns[.]org
- m-doxa-intel.duckdns[.]org
- m-doxa-repuve.duckdns[.]org
- m-doxa-sre.duckdns[.]org
- m-doxa-vacunas.duckdns[.]org
Hashes SHA-256 dos certificados e respectivos hosts:
- 46ac289ce0c13666de616446f5d5a68da8bd150f4f065c3bec02f63776d3899c
- 178.128.87[.]160
- 4e218e70afdbb116209ec0ebe8fc556e296e69648aa4e0425b83c0e863a8fee5
- 178.128.87[.]160
- 7d766942ef34542cee39c852286599958c4c2e23187010c4d38dbf88fcb40bf8
- 165.22.184[.]26
Campanha contra o setor de serviços financeiros no Brasil
Hashes SHA-256:
- a38b2cf8beff32a276eed8783723ecf8cc53d7dc88669e1b998dddc4db6fe996
- 87bf8bc8b4a2cf34f0af1afe161f123a3d200e77f6c6f41b81bf6ae66ee172ec
URL:
- hxxp[:]//167.148.195[.]53:8888/socktz_v9.exe
Recursos adicionais
ÍNDICE
Relacionado Malware Recursos
Receba atualizações da Unit 42 