Cibercriminosos de língua russa utilizaram o assistente de inteligência artificial (IA) Cursor para planejar e executar invasões contra dezenas de empresas em pelo menos nove países. Associado ao ransomware Aurora, o grupo conseguiu contornar as travas de segurança do sistema ao alegar falsamente que as invasões faziam parte de testes autorizados.
A Cursor e a controladora, a SpaceX, não responderam aos pedidos de posicionamento sobre o caso. A Anthropic, dona do modelo de linguagem utilizado pela ferramenta, também não se manifestou.
A dinâmica dos ataques foi detalhada em relatórios independentes das empresas de cibersegurança Gambit Security e CloudSEK, além de uma apuração da agência de notícias Reuters. Os pesquisadores tiveram acesso direto aos registros de bate-papo e às ferramentas dos criminosos devido a uma falha de configuração em um servidor mantido pelo próprio grupo, que ficou exposto na internet sem exigir senha.
Logística dos ataques
Segundo a investigação, o operador humano usava comandos curtos e pedia ao agente de IA que encontrasse senhas ativas e descobrisse permissões de usuários nos sistemas invadidos. A inteligência artificial respondia com sugestões de comandos e estratégias de exploração de vulnerabilidades. Embora os pedidos tenham sido recusados algumas vezes pelas regras internas do software, o hacker reiniciava o diálogo e afirmava que atuava em um ambiente de simulação para liberar as respostas.
De acordo com Eyal Sela, diretor de inteligência contra ameaças da Gambit Security, a assistência automatizada reduziu o tempo gasto nas operações criminosas. “O agente provavelmente os ajuda a agir de 30% a 50% mais rápido, porque permite pular todas as etapas que teriam de fazer manualmente”, afirmou.
A lista de organizações atingidas inclui a fabricante de produtos de limpeza belga Christeyns, a fabricante de portas alemã Teckentrup, a agência escocesa Helideck Certification Agency e a seguradora norte-americana Bayou Title, além de uma distribuidora farmacêutica na Argentina e uma indústria na Itália. Nenhuma das empresas respondeu às solicitações de contato.
As análises da CloudSEK mostraram que o operador evitou atacar qualquer endereço digital ou rede localizada em países da Comunidade dos Estados Independentes, bloco formado por nações que integravam a União Soviética.
A empresa também identificou que o programa usado para bloquear os arquivos foi escrito na linguagem Zig e possui versões capazes de paralisar tanto computadores comuns quanto servidores corporativos.
Malware Gryxa
Paralelamente ao caso do Aurora, a empresa de segurança ReliaQuest divulgou a descoberta do kit de malware “Gryxa”. O código infectou mais de 300 máquinas e também foi desenvolvido quase inteiramente com o auxílio de IA, sob a mesma justificativa de testes internos para driblar salvaguardas. O sistema foi programado para coletar dados, monitorar as tentativas de remoção feitas pelas equipes de TI e tentar desinstalar programas antivírus caso perca a conexão com o invasor.
O diretor de estratégia da Gambit Security, Curtis Simpson, avaliou que o uso de ferramentas comerciais de inteligência artificial para viabilizar ataques cibernéticos tende a se tornar frequente. “Veremos isso cada vez mais daqui para frente”, afirmou o executivo. “Isso vai ser um jogo de gato e rato”.
Por falar em segurança no universo digital, um golpe da falsa entrevista de emprego mira celulares para roubar dados. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.