A utilização de inteligência artificial por criminosos cibernéticos atingiu um novo patamar após pesquisadores da Rapid7 descobrirem um servidor de distribuição completamente exposto contendo um sofisticado kit de ferramentas de phishing com IA. O ambiente armazenava mais de 1.000 arquivos utilizados para criar, testar e distribuir campanhas de malware contra usuários do Windows, revelando como agentes maliciosos estão incorporando modelos de linguagem (LLMs) ao desenvolvimento de ataques.
A descoberta permitiu que os pesquisadores observassem praticamente todo o ciclo de desenvolvimento da operação, incluindo documentos internos, notas de testes, códigos-fonte, modelos de engenharia social, experimentos de exploração de vulnerabilidades e registros de campanhas reais em execução.
Além de evidenciar a evolução das ameaças digitais, o caso reforça a importância da segurança da informação, especialmente diante da rápida adoção da inteligência artificial para automatizar ataques cada vez mais sofisticados.
Como o servidor exposto revelou toda a operação criminosa
O servidor analisado pela Rapid7 continha exatamente 1.048 arquivos, permitindo visualizar praticamente toda a infraestrutura utilizada pelo operador.
Entre os materiais encontrados estavam:
- Templates para páginas falsas;
- Modelos de phishing;
- Droppers;
- Scripts JavaScript;
- Documentação técnica;
- Arquivos README;
- Testes de bypass;
- Ferramentas administrativas;
- Painel de controle da campanha;
- Registros completos de distribuição.
O mais impressionante foi que o ambiente ainda estava sendo utilizado ativamente, permitindo aos pesquisadores acompanhar uma campanha real em andamento.
Dificilmente equipes de resposta a incidentes conseguem visualizar uma operação criminosa em pleno desenvolvimento.
Inteligência Artificial acelerando ataques de phishing
Um dos aspectos mais preocupantes da investigação foi a forte evidência de que o operador utilizava um kit de ferramentas de phishing com IA para acelerar todo o processo de criação dos ataques.
Os pesquisadores identificaram diversos indícios:
Documentação padronizada
Os arquivos README possuíam:
- Estrutura extremamente organizada;
- Escrita uniforme;
- Uso frequente de emojis;
- Explicações detalhadas;
- Padronização típica de respostas produzidas por LLMs.
Desenvolvimento automatizado
Segundo a Rapid7, o operador provavelmente utilizava uma ferramenta de programação baseada em IA semelhante ao CodeRRR, projeto open source inspirado em soluções como:
- Claude Code;
- GitHub Copilot CLI;
- Cursor.
Embora essas ferramentas tenham sido criadas para desenvolvimento legítimo, elas passaram a ser empregadas na automação de ataques cibernéticos.
Exploração da vulnerabilidade CVE-2025-33053
O foco principal do laboratório criminoso era a vulnerabilidade CVE-2025-33053, considerada crítica e posteriormente adicionada ao catálogo KEV da CISA.
Essa falha permitia explorar o protocolo WebDAV utilizando atalhos “.url” especialmente preparados.
Como funciona o ataque
O processo era relativamente sofisticado:
- A vítima recebia um arquivo de atalho.
- O Windows executava um binário legítimo assinado.
- O diretório de trabalho era alterado para um compartilhamento WebDAV controlado pelo atacante.
- O sistema carregava um executável malicioso remoto em vez do binário original.
O resultado era a execução do malware sem diversos mecanismos tradicionais de proteção.
Segundo os próprios arquivos encontrados, o operador comemorava que o método funcionava com:
“Zero alertas de segurança.”
A Microsoft corrigiu essa vulnerabilidade em junho de 2025, mas os criminosos continuavam pesquisando alternativas.
Laboratório continha dezenas de novos testes
Os pesquisadores descobriram que o criminoso já preparava novas formas de ataque.
Foram encontrados 59 arquivos “.url” destinados a testar diversos binários assinados do Windows.
Entre eles:
- InstallUtil;
- RegAsm;
- Ferramentas LOLBAS;
- Utilitários .NET;
- Possíveis bypasses de UAC.
Cada arquivo possuía documentação explicando:
- hipótese do teste;
- comportamento esperado;
- ordem de execução;
- resultado pretendido.
Isso demonstra uma metodologia semelhante ao desenvolvimento de software profissional.
Comparativo entre a vulnerabilidade explorada e as novas tentativas
| Característica | CVE-2025-33053 | Novos testes encontrados |
|---|---|---|
| Método principal | WebDAV Hijacking | Diversos binários assinados |
| Status | Corrigida pela Microsoft | Em fase de pesquisa |
| Windows 11 24H2 | Não funciona | Objetivo era encontrar substitutos |
| Quantidade de testes | Técnica única | 59 variações documentadas |
| Documentação | Completa | Completa e automatizada |
Campanha ativa contra usuários mexicanos
A infraestrutura também continha uma campanha em plena operação direcionada ao México.
O domínio utilizado imitava o sistema oficial de consulta da CURP, documento de identificação nacional mexicano.
Ao acessar o site falso, a vítima encontrava uma página praticamente idêntica à oficial.
Quando clicava em “Download”, o navegador executava uma consulta search-ms, abrindo um compartilhamento WebDAV remoto.
Ali era exibido um suposto documento PDF.
Na realidade, tratava-se de um arquivo “.scr” executável disfarçado.
O malware distribuído
Após a execução, o instalador realizava várias etapas automaticamente.
Entre elas:
- descompactava o loader;
- executava um infostealer .NET;
- carregava o código inteiramente na memória;
- mascarava o processo como software legítimo.
O objetivo era roubar:
- carteiras de criptomoedas;
- senhas armazenadas;
- cookies;
- credenciais de navegadores;
- sessões do Telegram.
Em outra campanha, chamada DlrtyGames, o operador utilizava DLL Hijacking juntamente com um executável assinado da Ubisoft para instalar um RAT modular.
Volume impressionante da campanha
Durante aproximadamente cinco dias e meio, a infraestrutura registrou números expressivos.
| Indicador | Valor |
|---|---|
| Período monitorado | 20 a 26 de junho de 2026 |
| Solicitações registradas | 77.098 |
| IPs únicos | 3.892 |
| Países atingidos | 101 |
| Tráfego vindo do México | 82,5% |
| Eventos de lançamento no México | 96,9% |
Apesar dos números elevados, a Rapid7 ressalta que esses registros representam tentativas de execução e não necessariamente infecções confirmadas.
IA está mudando completamente o cenário do phishing
O aspecto mais importante dessa investigação não foi apenas o malware.
O grande destaque foi observar como um criminoso conseguiu estruturar uma operação semelhante a uma equipe profissional de desenvolvimento.
A utilização de um kit de ferramentas de phishing com IA permitiu:
Desenvolvimento mais rápido
- criação automática de documentação;
- geração de códigos;
- organização dos experimentos.
Escalabilidade
Novas campanhas podem ser produzidas em poucas horas.
Padronização
Toda a operação segue processos consistentes, reduzindo erros humanos.
Esse cenário representa um enorme desafio para a segurança da informação, já que ataques passam a ser desenvolvidos em ritmo muito superior ao observado anteriormente.
Como as empresas podem se proteger
Embora a Microsoft tenha corrigido a CVE-2025-33053, os atacantes continuam procurando novos vetores.
Especialistas recomendam:
Atualizar sistemas
Mantenha Windows e softwares sempre atualizados.
Monitorar WebDAV
Observe conexões inesperadas utilizando:
- WebClient;
- davclnt.dll;
- compartilhamentos UNC;
- compartilhamentos WebDAV.
Detectar arquivos suspeitos
Fique atento a:
- extensão dupla;
- arquivos “.scr”;
- caracteres RTLO (U+202E);
- nomes invertidos.
Bloquear IOCs
Utilize imediatamente:
- hashes publicados;
- servidores C2 conhecidos;
- indicadores disponibilizados pela Rapid7.
O futuro dos ataques assistidos por IA
A descoberta evidencia uma transformação importante no cenário da segurança da informação. Ferramentas de inteligência artificial originalmente desenvolvidas para aumentar a produtividade de programadores estão sendo adaptadas por criminosos para automatizar ataques de phishing, testar vulnerabilidades e documentar campanhas inteiras com eficiência semelhante à de equipes profissionais de desenvolvimento.
O caso demonstra que o uso de um kit de ferramentas de phishing com IA não representa apenas uma evolução tecnológica, mas uma mudança estrutural na forma como ameaças digitais são criadas. Organizações precisarão investir cada vez mais em monitoramento comportamental, atualização contínua de sistemas e inteligência contra ameaças para acompanhar essa nova geração de ataques impulsionados por IA.
