Pesquisadores da SOCRadar revelaram um raro vislumbre de como os criminosos trabalham. Um servidor aberto ligado a afiliados das operações de ransomware INC e The Gentlemen continha 8.257 mensagens de IA com Claude e Kimi, 46 compilações de criptografadores e 62 vítimas nomeadas. A descoberta é um exemplo concreto de gangues de ransomware usando assistentes de IA como parte de sua rotina diária, e oferece lições úteis para indivíduos e pequenas empresas.
O relatório de origem é breve, então este artigo se atém ao que foi publicado e evita especular sobre detalhes que não foram tornados públicos.
O que a SOCRadar encontrou no servidor aberto
De acordo com o resumo das descobertas da SOCRadar, o servidor foi deixado acessível abertamente e estava ligado a afiliados de dois grupos de ransomware, INC e The Gentlemen. Três números definem a descoberta:
- 8.257 mensagens de IA trocadas com os assistentes Claude e Kimi
- 46 compilações de criptografadores, ou seja, versões compiladas do malware de bloqueio de arquivos prontas para implantação
- 62 vítimas nomeadas, organizações identificadas no servidor
Um servidor exposto desse tipo funciona como uma oficina com a porta deixada aberta. Em vez de ver apenas o ataque finalizado, os pesquisadores podem ver ferramentas, registros e as conversas de trabalho por trás deles. Erros operacionais dos criminosos, como deixar infraestrutura desprotegida, são uma das poucas formas de os defensores obterem esse tipo de visibilidade.
Como INC e The Gentlemen usaram Claude e Kimi
O detalhe de destaque é o volume de conversas com IA. Mais de oito mil mensagens sugerem que os assistentes não eram um experimento ocasional, mas parte regular do fluxo de trabalho desses afiliados. O material de origem confirma a presença dos chats ao lado das compilações de criptografadores e dos registros de vítimas. Nas informações disponíveis aqui, ele não detalha cada tarefa para a qual os assistentes foram usados, então não vamos especular sobre prompts ou resultados específicos.
O que a combinação mostra é que ferramentas de chat de IA ficam ao lado da maquinaria de uma campanha de ataque: compilações de malware de um lado, uma lista de vítimas do outro, e um longo registro de conversas com IA no meio. Para os defensores, a conclusão prática é que a IA pode acelerar o trabalho rotineiro dos criminosos, o que pode reduzir o esforço necessário para preparar e executar ataques.
Também importa que dois assistentes diferentes apareçam. Claude e Kimi vêm de desenvolvedores diferentes, o que sugere que os afiliados não estão presos a uma única ferramenta e podem alternar entre elas.
O que as 62 vítimas nomeadas sugerem sobre a segmentação
Sessenta e duas vítimas nomeadas ao lado de 46 compilações de criptografadores apontam para uma operação organizada e repetível, em vez de uma intrusão isolada. Ter muitas compilações prontas sugere que os atacantes preparam versões personalizadas ou variadas de seu malware com antecedência, o que pode tornar a detecção simples baseada em assinatura menos confiável.
A fonte não detalha a quais setores ou regiões as vítimas pertencem, então seria errado tirar conclusões firmes sobre segmentação por setor. Uma leitura razoável é mais restrita: afiliados de ransomware mantêm listas de alvos em andamento e preparam ferramentas com antecedência. Esse padrão é consistente com a tendência mais ampla de grupos atacando organizações mais fáceis de pressionar, tema explorado em nossa análise sobre como as gangues de ransomware Qilin e Akira estão escalando ataques à cadeia de suprimentos.
O que isso significa para você
Se você administra uma pequena empresa ou gerencia seus próprios dispositivos, a notícia pode parecer distante, mas a lição é prática. A assistência de IA não inventa novas formas de invadir tanto quanto torna os métodos existentes mais rápidos de preparar. Isso significa que o básico importa mais, não menos.
- Indivíduos: Os atacantes ainda dependem de senhas roubadas, software desatualizado e usuários enganados. Logins fortes e únicos e dispositivos atualizados continuam sendo barreiras eficazes.
- Pequenas empresas: Ser pequeno não é proteção. Os afiliados mantêm listas de vítimas, e a preparação é barata quando as ferramentas já estão construídas.
- Todos: Não presuma que você consegue identificar um ataque por redação descuidada ou técnica desajeitada. A IA pode ajudar a aprimorar ambos.
Como reduzir seu risco de ransomware com backups, patches e MFA
Três hábitos fazem a maior parte do trabalho contra ransomware, seja quem for ou o que for que ajude o atacante:
- Mantenha backups offline ou imutáveis. O ransomware é projetado para bloquear seus arquivos, e um backup que os atacantes não conseguem alcançar transforma uma crise em um inconveniente. Teste as restaurações regularmente, porque um backup não testado é um palpite.
- Aplique patches prontamente. Instale atualizações para sistemas operacionais, navegadores, appliances de VPN e ferramentas de acesso remoto o mais rápido possível. Priorize qualquer coisa exposta à internet.
- Ative a autenticação multifator (MFA). Habilite-a em e-mail, acesso remoto, contas de administrador e serviços de nuvem. Senhas roubadas sozinhas então se tornam muito menos úteis.
Adicione algumas etapas de apoio: limite direitos de administrador, segmente sistemas importantes dos cotidianos e anote quem chamar se você for atingido.
A conclusão
A descoberta da SOCRadar é um lembrete de que gangues de ransomware usando assistentes de IA já operam em uma escala medida em milhares de mensagens, dezenas de compilações de malware e dezenas de vítimas. Você não pode controlar o que os criminosos fazem com essas ferramentas, mas pode controlar o quão preparado você está. Configure backups offline, aplique patches rapidamente e ative o MFA esta semana. Para entender a pressão mais ampla sobre as organizações, leia nosso artigo sobre como gangues de ransomware como Qilin e Akira estão visando cadeias de suprimentos.
