Ataques com IA miram setor financeiro brasileiro, diz Unit 42

A Unit 42, divisão de inteligência de ameaças da Palo Alto Networks, publicou em 3 de setembro de 2026 a análise de duas campanhas de intrusão e exfiltração de dados em andamento na América Latina. O elemento comum entre elas é o uso de modelos de linguagem comerciais pelos próprios atacantes — não como tema de marketing, mas como ferramenta operacional para resolver problemas técnicos durante as invasões.

Uma das campanhas, rastreada como CL-CRI-1163, teve como alvo o setor financeiro brasileiro. A outra, CL-CRI-1131, atingiu uma organização de transporte no México, além de ministérios do governo federal mexicano e concessionárias municipais de água no México e no Equador. Os autores do relatório são Reese Lewis e Sara McBroom.

A Unit 42 trata os dois conjuntos como agrupamentos distintos, com focos geográficos diferentes. Ainda assim, aponta sobreposições técnicas e comportamentais entre eles: infraestrutura de retransmissão SOCKS5 compartilhada e a mesma dependência de modelos de linguagem para orquestrar operações. A leitura dos pesquisadores é que não se trata de incidentes isolados, e sim de grupos diversos adotando de forma independente redes de proxy avançadas e integração com IA.

A campanha contra o setor financeiro brasileiro

Segundo o relatório, o acesso inicial em CL-CRI-1163 ocorreu em fevereiro de 2026, provavelmente por meio de um anexo de e-mail de phishing com tema de currículo — a isca do falso candidato a emprego, um vetor clássico contra equipes de recursos humanos e recrutamento. A Unit 42 usa a palavra “provavelmente”, e a ressalva importa: o vetor é a hipótese mais consistente com as evidências, não um fato confirmado.

Diferentemente da campanha mexicana, aqui os operadores usaram malware próprio. Após instalar múltiplos cavalos de troia de acesso remoto (RATs), tentaram implantar uma ferramenta de tunelamento SOCKS5 reverso escrita em Go, chamada SockTz. É nesse ponto que o comportamento fica revelador: os pesquisadores observaram tentativas de instalar as versões 1 a 8 do binário, baixadas de um site WordPress comprometido, e depois um desvio para infraestrutura própria do atacante para buscar a versão 9.

Todas as nove tentativas ocorreram em uma janela de duas horas. Relatórios anteriores já haviam identificado o SockTz e o endereço 167.148.195[.]53 associados a ataques persistentes contra servidores JBoss vulneráveis, mas em campanhas distintas — não em sequência acelerada como esta.

Como os pesquisadores concluíram que havia IA envolvida

A evidência não é uma confissão nem um artefato de modelo embutido no malware. É indireta e vem de dois lugares: o padrão de tentativa e erro e os nomes dos arquivos.

Os instaladores do SockTz estavam hospedados junto com centenas de scripts de campanha em um diretório aberto no endereço 167.148.195[.]53 — ou seja, exposto à internet sem autenticação. Esses scripts traziam numeração iterativa e o sufixo _output, e alguns arquivos de exploração recebiam adjetivos descritivos em vez de nomes técnicos:

• exploit_creative.py
• exploit_careful.py
• rce_focused.py

São nomes que um desenvolvedor humano dificilmente escolheria, mas que aparecem naturalmente quando alguém pede a um modelo variações de uma mesma abordagem — “mais criativa”, “mais cuidadosa”, “focada em execução remota”. A Unit 42 apresenta isso como indício de desenvolvimento iterativo conduzido por modelo de linguagem, não como prova documental.

No México, o painel de controle ficou exposto

Na campanha CL-CRI-1131, o rastro é mais direto. Durante um comprometimento em abril de 2026, os pesquisadores observaram o atacante tendo dificuldade para coletar dados sensíveis: houve tentativas repetidas de extrair a colmeia de registro SAM e o arquivo NTDS.dit do controlador de domínio — a base de dados de credenciais do Active Directory. Só depois de várias falhas o operador recorreu a cópias de sombra de volume (volume shadow copies) em múltiplos discos antes de copiar os arquivos.

Esse padrão de correção sucessiva, incluindo a inserção posterior de uma verificação de permissões para garantir a escrita no diretório de coleta, é o que a Unit 42 considera consistente com o uso de um modelo de linguagem para gerar as soluções alternativas.

O elo definitivo veio da infraestrutura. Ao pivotar a partir do endereço 62.171.185[.]97, usado para exfiltração, os pesquisadores encontraram um certificado TLS da Let’s Encrypt e, a partir dele, um conjunto de subdomínios em serviço de DNS dinâmico cujos nomes indicam função e alvo pretendido — incluindo termos em espanhol como apodo (apelido) e vacunas (vacinas), além de geo e intel.

Mais importante: o endereço 178.128.87[.]160, usado nos comprometimentos de abril e junho, hospedava uma instância do NextChat na porta TCP 3000. O NextChat é uma interface web de código aberto que permite carregar e comparar vários modelos de linguagem em servidor próprio. Ou seja, os operadores mantinham seu próprio painel de IA na mesma infraestrutura da operação — e o deixaram acessível pela internet.

Contexto: a campanha já era conhecida

A atividade de CL-CRI-1131 corresponde ao que a CloudSEK batizou de Operation Escaneo, campanha contra órgãos federais e instituições financeiras mexicanas documentada anteriormente. Relatórios prévios da CloudSEK e da Gambit descrevem o uso de múltiplos modelos, incluindo Claude e GPT-4.1, para resolver problemas enfrentados pelos atacantes ao longo das campanhas. O trabalho da Unit 42 acrescenta a esse quadro a descoberta do painel NextChat, a linha do tempo dos certificados e a ligação com o agrupamento brasileiro.

O paradoxo operacional

A conclusão mais útil do relatório não é sobre a capacidade ofensiva da IA, e sim sobre o que ela não resolve. Nas palavras dos pesquisadores, a infraestrutura montada para usar IA se tornou o calcanhar de aquiles dos operadores: o modelo forneceu a solução tática para extrair a base do Active Directory, mas os humanos falharam em proteger o servidor de preparação — deixando visíveis a terceiros o conjunto de scripts, o histórico de interações e o ferramental completo.

Há uma leitura defensiva concreta aí. Ferramentas de IA reduzem a barreira de entrada e funcionam como multiplicador de força para atores menos experientes, permitindo popular diretórios com variações de exploits e contornar falhas de execução sem conhecimento profundo. Mas a maturidade de segurança operacional desses grupos não acompanha o ganho técnico, e é exatamente essa defasagem que permite rastreá-los.

O que isso significa para organizações brasileiras

O ponto que merece atenção no Brasil é o alvo: instituições financeiras, com entrada por phishing de recrutamento. Algumas medidas se aplicam diretamente:

• Trate anexos de currículo como conteúdo executável em potencial. Equipes de RH e recrutamento recebem arquivos de desconhecidos por definição; isole essa superfície com sandbox de anexos e restrição de macros e executáveis.
• Monitore tráfego SOCKS5 de saída e conexões persistentes a endereços fora do perfil da rede. Túneis reversos são o ponto de estrangulamento dessa cadeia.
• Registre e alerte sobre criação de cópias de sombra de volume e sobre acessos ao NTDS.dit e à colmeia SAM em controladores de domínio. São ações legítimas em rotinas de backup, o que faz do contexto — usuário, horário, sequência — o elemento discriminante.
• Verifique seus próprios sites WordPress. Nesta campanha, um site comprometido serviu de repositório de malware para terceiros. Um site institucional negligenciado pode transformar a organização em infraestrutura de ataque sem que ela seja o alvo.
• Não use os endereços citados como bloqueio permanente sem validação própria: infraestrutura em nuvem e DNS dinâmico rotaciona, e a Unit 42 documentou pelo menos três rotações entre fevereiro e junho de 2026.

Limitações e o que não foi afirmado

Vale separar o que o relatório demonstra do que ele apenas sugere. A Unit 42 não atribui as campanhas a um grupo nomeado, país ou motivação específica. Não afirma que os modelos de linguagem geraram malware autônomo nem que houve agentes de IA operando sem supervisão — o quadro descrito é de operadores humanos consultando modelos para destravar obstáculos. Também não há indicação de que os fornecedores dos modelos tenham sido comprometidos; o uso descrito é o de contas comerciais comuns e de uma interface de código aberto auto-hospedada.

Não foram divulgados o nome das organizações afetadas, o volume de dados exfiltrados nem o impacto financeiro. A ausência desses números é uma limitação real da análise pública, e qualquer estimativa nesse sentido seria especulação.

Conclusão

O valor deste relatório está menos no ineditismo da ideia — o uso de modelos de linguagem por atacantes já é documentado há meses — e mais na materialidade das evidências. Um painel de IA exposto na porta 3000, nove versões de um túnel testadas em duas horas e arquivos chamados exploit_creative.py dizem mais sobre a operação real do que qualquer estimativa agregada.

Para quem defende redes na região, a implicação prática é dupla. A velocidade de iteração dos atacantes aumentou, o que encurta a janela entre a primeira tentativa e a que funciona. Ao mesmo tempo, a pressa e a inexperiência deixam rastros abundantes — diretórios abertos, certificados com nomes descritivos, padrões de nomenclatura reconhecíveis. Vale acompanhar se essa assimetria se mantém à medida que esses grupos amadurecem.

Fontes e referências

• Unit 42 (Palo Alto Networks), por Reese Lewis e Sara McBroom — Attackers Expose Ongoing AI Tool Use Targeting Organizations in Latin America
• CloudSEK — Operation Escaneo: Infrastructure Exposure, TTP Analysis, and Attribution Assessment
• Dark Reading — Operation Escaneo Signals Shift in LatAm Threat Landscape
• Infosecurity Magazine — LATAM Infrastructure Hit by Fortinet and Ivanti Exploits