Um criminoso de língua chinesa usou agentes autônomos de IA para atacar sites de empresas com pouca intervenção humana. Um pesquisador de segurança acompanhou a operação porque os responsáveis deixaram os painéis de controle expostos na internet.
Os agentes tentaram atacar mais de 1.200 sites e chegaram a páginas de mais de 100 empresas, entre elas a fabricante de máquinas agrícolas Deere, a empresa de eletrodomésticos SharkNinja e a fabricante de motores Cummins. Segundo a Reuters, que identificou as vítimas ao analisar registros do próprio atacante, não se sabe se algum dado foi roubado nem qual seria o volume.
Snorre Fagerland, pesquisador da empresa de segurança NorForge, encontrou as operações ao buscar na internet cópias expostas do Cairn, uma ferramenta open source de IA popular entre hackers.
A partir de 2 de outubro, ele identificou cerca de duas dezenas de instâncias do Cairn usadas para fins maliciosos. Como os painéis estavam expostos, Fagerland conseguiu acompanhar o trabalho dos atacantes em tempo real. Ele divulgou as conclusões na segunda-feira. A Reuters, que teve acesso ao relatório antes da publicação, identificou as empresas afetadas ao analisar a atividade dos atacantes.
O Cairn fornece aos agentes de IA um ponto de partida e um objetivo, permitindo que avancem passo a passo. Os agentes publicam suas descobertas em um quadro compartilhado, no qual o operador humano pode acrescentar orientações ao longo do processo. A ferramenta foi criada para testes de invasão autorizados, mas também pode ser usada em outras tarefas. Neste caso, porém, foi direcionada a lojas virtuais sem permissão.
Segundo a Reuters, o criador do Cairn, que publica sob o nome “le1xia0”, afirmou que a ferramenta não foi projetada para ataques e que seu uso malicioso não era intencional.
O que os agentes fizeram e quem foi afetado
A NorForge agrupou os painéis expostos em três conjuntos e avaliou que mais de 20 deles provavelmente eram usados para atividades maliciosas. O conjunto mais ativo, chamado pela empresa de AIA0001, opera em chinês e reúne 14 painéis associados a mais de 1.100 projetos de ataque.
Segundo a NorForge, o objetivo parece ser manter acesso a sistemas de lojas e de pagamentos para uso posterior. Os alvos estavam nos Estados Unidos, no Japão e na Austrália.
Uma tarefa típica orientava os agentes a encontrar uma forma de executar código em uma loja virtual e instalar um mecanismo de upload de arquivos semelhante a uma web shell. Esse recurso salva arquivos enviados ao servidor, mas não executa comandos. Os atacantes podem substituí-lo por algo mais perigoso a qualquer momento.
A NorForge verificou uma invasão alegada a um grande fornecedor de componentes para ferragens e confirmou que a web shell estava ativa. A empresa também confirmou, de forma independente, a invasão de uma grande varejista dos Estados Unidos. Nesse caso, os agentes identificaram a configuração específica de um cookie que selecionava um servidor de retaguarda vulnerável.
Segundo a Reuters, as três empresas citadas afirmaram que os danos foram limitados. A Deere informou que tomou medidas para corrigir o problema e não encontrou indícios de acesso a informações confidenciais. A SharkNinja afirmou que o ataque atingiu um site independente de suporte a produtos e que a ameaça foi contida.
A Cummins informou que investigava um relato de possível ataque a um site operado por um de seus fornecedores. Segundo a Reuters, duas empresas menores também afirmaram ter sido invadidas.
Em uma das invasões documentadas, segundo o relato do próprio agente, o acesso foi obtido por meio de permissões de gravação não autorizadas em um armazenamento de sessões do Memcached, do tratamento inseguro de objetos PHP salvos e de uma falha em código antigo do Zend Framework. Os caminhos variaram de uma vítima para outra. Essa é, portanto, uma cadeia de ataque específica, não um método único.
Ataques baratos, rápidos e com pouca supervisão
As instruções eram curtas. Segundo a Reuters, o operador de língua chinesa descreveu suas táticas preferidas em menos de 100 caracteres chineses, e os agentes continuaram a partir dali.
A NorForge constatou que as invasões bem-sucedidas levaram, em média, pouco menos de 23 horas. A taxa geral de sucesso entre as ferramentas analisadas ficou em torno de 10%. A empresa ressalvou, porém, que os conjuntos perseguiam objetivos diferentes e não podem ser comparados diretamente.
O custo foi baixo, embora os valores sejam aproximados. A NorForge estimou uma média de cerca de US$ 5 por tarefa, incluindo tentativas malsucedidas ou interrompidas antes da conclusão, e destacou que há grande margem de incerteza. Separadamente, segundo a Reuters, Fagerland afirmou que a campanha consumiu cerca de US$ 5.000 em tokens, ou aproximadamente US$ 50 por invasão bem-sucedida.
Todas as tarefas do conjunto AIA0001 foram executadas por um processo chamado claudecode_deepseek-v4.1-flash. O nome pode indicar o uso de um modelo DeepSeek V4.1 Flash operado pelo Claude Code, da Anthropic. Nem o pesquisador nem a Reuters confirmaram quais modelos foram usados. A Reuters afirmou apenas que a campanha parecia recorrer ao DeepSeek e ao Claude Code.
Painéis expostos também revelam segredos das vítimas
Deixar um painel do Cairn exposto é um problema à parte das invasões. Os painéis mostram quais empresas estão sendo atacadas, quais falhas foram encontradas e quais credenciais e chaves foram obtidas. Assim, o fato de um site ser examinado por uma instância exposta pode revelar segredos, independentemente do resultado do teste.
A NorForge analisou os dados dos painéis com a ferramenta de busca por segredos Trufflehog e encontrou centenas de credenciais e outros segredos. A empresa confirmou que 11% ainda eram válidos.
Os painéis também parecem expor todos os controles da ferramenta, incluindo a possibilidade de iniciar e interromper projetos, inserir novos dados e direcionar os agentes a outros alvos.
A NorForge não verificou se esses controles podem ser usados sem autenticação. Um segundo conjunto, operado em inglês, chegou a expor os próprios acessos SSH dos operadores a servidores de homologação. A NorForge afirmou que não tentou acessar esses servidores.
A exposição não é um problema exclusivo de criminosos. A NorForge também encontrou empresas aparentemente legítimas de testes de invasão que deixaram projetos reais de clientes em painéis sem proteção, colocando os dados desses clientes em risco.
O que verificar e como a investigação começou
Equipes de defesa podem tomar algumas medidas:
- **Painéis expostos:** painéis de controle de agentes desse tipo costumam responder na porta 8000. Vale procurar por instâncias expostas sem autenticação.
- **Formulários de envio de arquivos esquecidos:** um formulário inesperado em um diretório oculto pode servir de ponto de entrada para os agentes.
- **Aplicação de patches no Magento:** um diretório de trabalho acessado pela NorForge continha uma prova de conceito para uma falha crítica no Magento, chamada StyleSmuggler (
CVE-2026-75650
), além de um ambiente de testes. Não há evidências de que a falha tenha sido usada nessas invasões. Ainda assim, lojas que utilizem versões afetadas devem instalar o patch emergencial da Adobe. A falha afeta o Adobe Commerce das versões 2.4.4 a 2.4.9 e o Magento Open Source das versões 2.4.6 a 2.4.9.
A busca da NorForge foi motivada por um relatório de setembro da Gambit Security, que descreveu uma campanha separada. Nela, um criminoso usou o Cairn e outras duas ferramentas de IA para roubar dados de cartões de crédito. O relatório foi o primeiro a identificar o Cairn em um servidor de um atacante. Nenhuma fonte relaciona as duas operações.
Segundo a NorForge, a empresa trabalha com a Reuters para alertar as vítimas e pediu a empresas de hospedagem que retirem os painéis do ar. A NorForge afirmou que o resultado depende da resposta dos provedores.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...