🔥 Fique por dentro das novidades mais quentes do momento! 🔥
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Um ator solo de ameaça que fala russo, conhecido como “bandcampro”, terceirizou uma parte de suas operações para a inteligência artificial (IA) Gemini CLI de código aberto do Google e comandou uma botnet ativa.
As descobertas vêm de uma análise de 200 registros de sessões Gemini CLI entre 19 de março e 21 de abril de 2026, que descobriu que o agente da ameaça usava IA, entre outras coisas, para quebrar senhas, configurar um proxy residencial, comprometer comerciantes WordPress e planejar um esquema de fraude de criptomoeda baseado em telefone voltado para idosos nos EUA e no Canadá.
“Os registros documentaram como o agente da ameaça usou um agente de IA para migrar um servidor de comando e controle (C&C) e para controlar uma botnet de pequena escala, entre outras atividades de hacking”, disseram os pesquisadores da Trend Micro Joseph C Chen, Philippe Lin, Lucas Silva, Vladimir Kropotov e Fyodor Yarochkin.
"Toda a operação C&C cabe em três arquivos de texto simples, totalizando aproximadamente 5 KB, tornando-a altamente replicável e efetivamente descartável. Observou-se também que a IA propôs melhorias proativamente (não solicitadas) 59 vezes sem ser solicitada."
Especificamente, diz-se que o ator da ameaça abusou do Google Gemini CLI para implantar e operar uma infraestrutura C&C para controlar oito computadores em uma clínica odontológica e acessar seu banco de dados OpenDental. Além de escrever trechos de código, a IA serviu como “principal agente, consultor e interface de hacking” para toda a operação.
Isso incluiu configurar o servidor, implantá-lo em um novo servidor virtual privado (VPS), configurar a infraestrutura, configurar túneis Cloudflare, gerenciar bots e depurar problemas de conectividade.
Os detalhes do "bandcampro" surgiram pela primeira vez no final de maio de 2026 em conexão com uma campanha chamada Patriot Bait, que usava técnicas de operação de informação (IO) assistida por IA para administrar um canal Telegram, visando o público americano politicamente engajado em fraudes com criptomoedas e roubo de credenciais assistido por IA.
A Trend Micro descreveu o ator da ameaça como um falante de russo que usou o Google Gemini para “se passar por um patriota veterano americano e evitar frases em russo”, enquanto enganava o agente de IA para que contornasse suas barreiras, assumindo o papel de um “pentster autorizado”.
Diz-se que o ator da ameaça executou instruções para estudar a antiga infraestrutura C&C onde as máquinas vítimas se conectavam usando túneis Cloudflare e migrá-la para uma nova arquitetura em seis minutos. A arquitetura envolve vítimas que emitem solicitações de saída para um servidor C&C por HTTPS para extrair e executar comandos do PowerShell preparados pelo agente da ameaça no servidor.
“A migração encontrou erros imediatamente, mas o agente de IA os resolveu: quando o servidor de distribuição de carga retornou um erro ‘502 Bad Gateway’, a IA diagnosticou o problema e adicionou automaticamente o cabeçalho necessário para resolvê-lo”, disse a Trend Micro.
"Como o Cloudflare ainda bloqueava as solicitações, a IA identificou que o cabeçalho User-Agent era necessário para ignorar o WAF e, portanto, o adicionou ao cabeçalho da solicitação. O ator não fez nenhuma depuração e a migração foi feita em apenas seis minutos."
Assim que a migração foi concluída, o agente de IA realizou depuração adicional para corrigir com êxito os erros que deixaram todas as máquinas vítimas desconectadas da infraestrutura C&C. Além disso, descobriu-se que o agente da ameaça aproveita o agente de IA para executar tarefas de gerenciamento de botnet, enviando instruções em linguagem natural em russo, o que permite que a ferramenta de IA execute as seguintes tarefas:
Informar quais máquinas estão ativas
Envie um comando de enumeração de arquivo para o bot
Envie comandos de reconhecimento para a máquina da recepção
Gere um comando PowerShell de uma linha para infectar uma máquina
O que é particularmente preocupante nessa configuração assistida por IA é que toda a operação de C&C pode ser facilmente transferida para um novo servidor por meio de três arquivos markdown que instruem o agente a desabilitar suas proteções de segurança, contêm a descrição da arquitetura e incluem etapas para construí-la do zero, tornando as remoções muito menos eficazes do que antes.
“Facilitada pela IA, a infraestrutura torna-se descartável e os operadores substituíveis”, disse a Trend Micro. “Mesmo que as remoções ainda sejam eficientes, elas se tornam muito menos impactantes. Se um servidor for queimado, o ator pode simplesmente descompactar o pacote em um novo VPS, e a IA configura e restaura tudo em alguns minutos.”
As descobertas mostram que a tecnologia pode não só cortar os recursos necessários para executar operações em grande escala, mas também permitir que agentes mal-intencionados com pouco ou nenhum conhecimento técnico estabeleçam tais esquemas com o mínimo esforço ou os distribuam em fóruns clandestinos sob a forma de ficheiros de habilidades maliciosas, abrindo efetivamente o caminho para novos serviços de malware alimentados por IA que vão além dos modelos convencionais "como serviço".
Este manual também tem o efeito colateral de complicar a atribuição e
As descobertas vêm de uma análise de 200 registros de sessões Gemini CLI entre 19 de março e 21 de abril de 2026, que descobriu que o agente da ameaça usava IA, entre outras coisas, para quebrar senhas, configurar um proxy residencial, comprometer comerciantes WordPress e planejar um esquema de fraude de criptomoeda baseado em telefone voltado para idosos nos EUA e no Canadá.
“Os registros documentaram como o agente da ameaça usou um agente de IA para migrar um servidor de comando e controle (C&C) e para controlar uma botnet de pequena escala, entre outras atividades de hacking”, disseram os pesquisadores da Trend Micro Joseph C Chen, Philippe Lin, Lucas Silva, Vladimir Kropotov e Fyodor Yarochkin.
"Toda a operação C&C cabe em três arquivos de texto simples, totalizando aproximadamente 5 KB, tornando-a altamente replicável e efetivamente descartável. Observou-se também que a IA propôs melhorias proativamente (não solicitadas) 59 vezes sem ser solicitada."
Especificamente, diz-se que o ator da ameaça abusou do Google Gemini CLI para implantar e operar uma infraestrutura C&C para controlar oito computadores em uma clínica odontológica e acessar seu banco de dados OpenDental. Além de escrever trechos de código, a IA serviu como “principal agente, consultor e interface de hacking” para toda a operação.
Isso incluiu configurar o servidor, implantá-lo em um novo servidor virtual privado (VPS), configurar a infraestrutura, configurar túneis Cloudflare, gerenciar bots e depurar problemas de conectividade.
Os detalhes do "bandcampro" surgiram pela primeira vez no final de maio de 2026 em conexão com uma campanha chamada Patriot Bait, que usava técnicas de operação de informação (IO) assistida por IA para administrar um canal Telegram, visando o público americano politicamente engajado em fraudes com criptomoedas e roubo de credenciais assistido por IA.
A Trend Micro descreveu o ator da ameaça como um falante de russo que usou o Google Gemini para “se passar por um patriota veterano americano e evitar frases em russo”, enquanto enganava o agente de IA para que contornasse suas barreiras, assumindo o papel de um “pentster autorizado”.
Diz-se que o ator da ameaça executou instruções para estudar a antiga infraestrutura C&C onde as máquinas vítimas se conectavam usando túneis Cloudflare e migrá-la para uma nova arquitetura em seis minutos. A arquitetura envolve vítimas que emitem solicitações de saída para um servidor C&C por HTTPS para extrair e executar comandos do PowerShell preparados pelo agente da ameaça no servidor.
“A migração encontrou erros imediatamente, mas o agente de IA os resolveu: quando o servidor de distribuição de carga retornou um erro ‘502 Bad Gateway’, a IA diagnosticou o problema e adicionou automaticamente o cabeçalho necessário para resolvê-lo”, disse a Trend Micro.
"Como o Cloudflare ainda bloqueava as solicitações, a IA identificou que o cabeçalho User-Agent era necessário para ignorar o WAF e, portanto, o adicionou ao cabeçalho da solicitação. O ator não fez nenhuma depuração e a migração foi feita em apenas seis minutos."
Assim que a migração foi concluída, o agente de IA realizou depuração adicional para corrigir com êxito os erros que deixaram todas as máquinas vítimas desconectadas da infraestrutura C&C. Além disso, descobriu-se que o agente da ameaça aproveita o agente de IA para executar tarefas de gerenciamento de botnet, enviando instruções em linguagem natural em russo, o que permite que a ferramenta de IA execute as seguintes tarefas:
Informar quais máquinas estão ativas
Envie um comando de enumeração de arquivo para o bot
Envie comandos de reconhecimento para a máquina da recepção
Gere um comando PowerShell de uma linha para infectar uma máquina
O que é particularmente preocupante nessa configuração assistida por IA é que toda a operação de C&C pode ser facilmente transferida para um novo servidor por meio de três arquivos markdown que instruem o agente a desabilitar suas proteções de segurança, contêm a descrição da arquitetura e incluem etapas para construí-la do zero, tornando as remoções muito menos eficazes do que antes.
“Facilitada pela IA, a infraestrutura torna-se descartável e os operadores substituíveis”, disse a Trend Micro. “Mesmo que as remoções ainda sejam eficientes, elas se tornam muito menos impactantes. Se um servidor for queimado, o ator pode simplesmente descompactar o pacote em um novo VPS, e a IA configura e restaura tudo em alguns minutos.”
As descobertas mostram que a tecnologia pode não só cortar os recursos necessários para executar operações em grande escala, mas também permitir que agentes mal-intencionados com pouco ou nenhum conhecimento técnico estabeleçam tais esquemas com o mínimo esforço ou os distribuam em fóruns clandestinos sob a forma de ficheiros de habilidades maliciosas, abrindo efetivamente o caminho para novos serviços de malware alimentados por IA que vão além dos modelos convencionais "como serviço".
Este manual também tem o efeito colateral de complicar a atribuição e
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #hacker #que #fala #russo #usa #google #gemini #cli #para #controlar #botnet #de #oito #pcs #de #clínicas #odontológicas
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário