Um grupo cibercriminoso chinês está usando agentes de inteligência artificial para automatizar ataques contra servidores Windows e Linux expostos à internet. Rastreada como UAT-10147, a operação atingiu organizações de governo, educação, mídia, tecnologia e jogos em vários países, incluindo o Brasil.
A campanha foi identificada pela Cisco Talos, que encontrou uma lista com aproximadamente 170 mil URLs na infraestrutura dos criminosos. Os operadores dividiram os alvos em grupos menores para acelerar varreduras e exploração de sistemas vulneráveis.
O acesso inicial depende principalmente de vulnerabilidades conhecidas em aplicações como Zimbra, AjaxPro, Nacos e Telerik. Entre as falhas exploradas estão brechas de execução remota de código que permitem assumir controle de servidores desatualizados.
A IA não é usada apenas para gerar scripts. Os pesquisadores observaram ferramentas criando guias de exploração, refinando ataques que falharam, verificando se payloads funcionaram e automatizando etapas de reconhecimento, persistência e pós-exploração.
Em um dos casos, agentes de IA produziram scripts capazes de validar permissões, explorar desserialização de ViewState, instalar implantes e implantar web shells em servidores IIS comprometidos.
A Cisco avalia que o caso representa uma evolução do simples uso de IA para criação de código para uma orquestração ofensiva semiautônoma.
