Malware que se reescreve sozinho até fugir do antivírus: hackers já usam IA para atacar sem time

Introdução

A equipe de Threat Intelligence da Anthropic (empresa de IA responsável pelos modelos Claude) divulgou nesta sexta-feira (11/09) seu relatório mais detalhado até hoje sobre o uso real de IA em ataques cibernéticos. O documento cobre atividades interrompidas entre dezembro de 2025 e agosto de 2026 e segue os relatórios anteriores de março, agosto e novembro de 2025.

O caso mais chamativo envolve o GTG-20006, um grupo de espionagem alinhado ao Estado russo que usou agentes de IA para monitorar a própria taxa de detecção do malware e recompilar o código automaticamente até que ele escapasse das assinaturas dos antivírus — um ciclo de evasão que inverte a economia da defesa: o atacante fecha o loop mais rápido do que o defensor publica uma nova assinatura. O relatório documenta ainda uma fábrica de credenciais em nuvem operada por afiliados do coletivo de extorsão ShinyHunters e uma "exploit foundry" suspeita de ligação com a China que achou mais de uma dúzia de candidatos a zero-day em um único mês.

Nota de honestidade: este é um relatório do próprio fornecedor sobre abuso dos seus modelos. As atribuições de grupos — Midnight Blizzard, ShinyHunters, suspeitos chineses — são avaliações da equipe de threat intelligence da Anthropic com base em tradecraft e infraestrutura, não confirmações jurídicas. O impacto mensurável (contas banidas, IoCs, vítimas) é o que foi reportado pela própria empresa. Nenhuma vítima brasileira é citada.

Sofisticação sem time: a democratização do ataque

A tese central do relatório é direta: sofisticação não exige mais atacante sofisticado. Indivíduos isolados e pequenos grupos sustentaram campanhas multi-vítima que, um ano antes, exigiriam times de especialistas e ferramentas customizadas. Frameworks públicos de agentes ofensivos, como o PentAGI (framework open source que automatiza etapas de pentest, da reconhecimento à exploração, reproduzindo o "andaime" que antes era exclusivo de serviços de inteligência), colocaram essa automação à disposição de qualquer pessoa que faça o download.

A Anthropic classifica esses atores sob a designação interna GTG (Generative Threat Group — grupo de ameaça generativa, usado para rastrear atores que abusam de IA) e mede o "uplift": quanto mais rápido, amplo e profundo um ataque fica quando a IA entra na cadeia. A conclusão dos investigadores é que o impacto da IA está menos em gerar exploits do zero e mais em comprimir todas as fases da intrusão — varredura, movimento lateral, roubo de dados — numa fração do tempo e do headcount anteriores.

Para o leitor brasileiro, o tema não é distante: ataques assistidos por IA já chegaram ao país, como no caso do grupo BREEZE COMET, que usou malware assistido por IA contra bancos brasileiros, e no avanço de kits de phishing como o BigBear 2.0, especializado em roubar sessões mesmo com MFA ativo. O relatório da Anthropic não cita vítimas no Brasil, mas mostra que o mesmo manual de automação é compartilhado por serviços de inteligência, criminosos financeiros e hacktivistas solitários.

GTG-20006: o malware que se reescreve até escapar do antivírus

O caso mais forte do relatório é o GTG-20006, um ator cujo tradecraft se alinha ao grupo Midnight Blizzard, ligado ao Estado russo, operando sob o codinome "JackPoterz". O alvo: organizações de governo, militares e diplomáticas da Ucrânia e da Europa, além de fabricantes de drones militares e suas cadeias de suprimento. Foram mais de 20 organizações distintas atingidas, incluindo ministérios, órgãos de defesa e inteligência, embaixadas e think tanks.

O grupo usou fluxos de trabalho customizados com IA para automatizar praticamente toda a operação: aquisição de infraestrutura, montagem de campanhas de phishing, persistência via C2 (command and control — servidor usado pelo atacante para controlar máquinas comprometidas) e exfiltração de dados. O toolkit era composto por duas famílias de implantes Windows — PowerChrome, WUEngine, Shadow C2, MiniPlasma e CloudSyncSvc —, um kit de exploração móvel, um roubador de credenciais focado em cofres de senha do navegador, uma plataforma de phishing que imitava sites de governo e um console administrativo para gerenciar contas comprometidas. No Android, o RAT (trojan de acesso remoto) era o GiftDrop, um rebatizado do GiftsExpress; no iOS, uma cadeia de exploração chamada DarkSword.

O loop de evasão: detectado, recompilado, redeployado

O detalhe que mais chama atenção é o ciclo de evasão contínua. Agentes de IA monitoravam se os implantes eram sinalizados por produtos de segurança; quando a detecção acontecia, os agentes modificavam e recompilavam o código autonomamente, iterando até que a nova variante não batesse mais com as assinaturas conhecidas — e então a ferramenta era encenada para operação a partir de servidores descartáveis. O humano entrava no loop principalmente para refinar as skills do Claude Code que dirigiam os fluxos de trabalho.

O efeito prático, descrevem a Anthropic e pesquisadores independentes, é inverter o custo para o defensor: antes, uma assinatura nova forçava o atacante a um ciclo lento e caro de re-desenvolvimento; agora, adversários capazes conseguem "fechar o loop" e contornar detecções tradicionais mais rápido do que os defensores conseguem publicá-las. Como agravante, payloads de roubo de credenciais eram entregues com lures de falsa atualização que congelavam as atualizações de segurança da máquina vítima, impedindo que novas assinaturas fossem baixadas.

Wi-Fi de hotel, WhatsApp e 300 mil identidades

Além das intrusões diretas, o GTG-20006 atacou de forma indireta. O grupo comprometeu pelo menos três fornecedores de Wi-Fi de hotel e usou credenciais administrativas roubadas para adulterar registros DNS (DNS hijacking — redirecionamento de domínio para servidores do atacante), fazendo com que hóspedes conectados à rede tivessem tráfego e identificadores de dispositivo enviados para servidores próprios. Ali, lures no estilo ClickFix (técnica de engenharia social que induz a vítima a colar um comando malicioso no terminal, disfarçado de verificação ou erro) entregavam malware Windows, Android e iOS — método que a Microsoft (gigante de tecnologia que mantém o Azure e publica threat intelligence própria) documentou em julho de 2026 sob o nome CaptiveCrunch.

O grupo também assumiu contas de WhatsApp de vítimas usando uma plataforma de navegadores headless (browsers sem interface gráfica, controlados por código), apoiada na biblioteca open source WPPConnect, com os recibos de leitura suprimidos para que as vítimas não notassem enquanto conversas em russo e ucraniano eram exportadas em massa — ao menos dois ex-funcionários de alto escalão do governo ucraniano foram atingidos. Em outra frente, uma intrusão em uma autoridade de tecnologia de governo no norte da África rendeu o roubo de mais de 300 mil registros de identidade nacional e os dados cadastrais de mais de meio milhão de empresas do país.

Os indicadores de comprometimento divulgados para essa operação (defanged):

Indicadores de comprometimento (GTG-20006): ms365-live.com · m365-owa.com · owa-ms365.com · ms365-device.com · my-invite.org · chamber-ua.org · ukrinform-share.net · ad-g.org · docs-viewer.org · wa-connect.eu · cdncounter.net

GTG-50014: a fábrica de credenciais e o "vibe hacking"

O segundo grande caso reúne operadores suspeitos de afiliação ao coletivo de extorsão ShinyHunters, conhecido por roubos massivos de dados seguidos de extorsão do tipo "pague ou vaze". Diferente da espionagem direcionada, aqui o padrão é oportunista: varredura ampla, coleta de credenciais em escala industrial e monetização rápida.

Um operador francófono, usando os pseudônimos MeowSHA, frkoo e blazespider, rodava um pipeline distribuído de colheita de credenciais em uma frota de 10 workers na nuvem AWS. O pipeline baixou cerca de 1,8 milhão de APKs (pacotes de aplicativos Android), decompilou cada um e varreu os binários em busca de segredos hardcoded (chaves e tokens gravados diretamente no código-fonte) com a ferramenta TruffleHog. Os achados verificados eram roteados em tempo real para grupos do Telegram organizados por mais de 100 tipos de fonte. As credenciais alimentaram a maior parte das invasões confirmadas do operador, que também mantinha uma loja de cartões de crédito roubados — com direito a fachada de site da polícia francesa (policenationale.cc) —, enriquecidos com dados completos do titular e um mapa interativo de geolocalização das vítimas.

O relatório batiza de "vibe hacking" o padrão de uso da IA nesses ataques: o operador dá à IA um objetivo amplo — usar uma credencial, acessar um sistema, extrair um conjunto de dados — e deixa que o modelo avalie o ambiente, escreva e execute scripts e itere sozinho até completar a tarefa. Muitas vezes, o humano não entende os detalhes técnicos do alvo, delegando as especificidades à IA. É o equivalente ofensivo do "living off the land": em vez de abusar de ferramentas do ambiente da vítima, o atacante abusa do próprio ecossistema de IA, inclusive roubando chaves de API de IA de fornecedores de software violados e reutilizando esse compute roubado para ataques secundários contra outras organizações — uma rede de varejo francesa e uma plataforma de identidade Web3, por exemplo. A Anthropic ressalta que os sistemas dela não foram comprometidos: as chaves roubadas pertenciam a ambientes de clientes.

O exemplo mais eloquente de escala foi um ataque de supply chain (cadeia de suprimentos — aqui, invadir um fornecedor para alcançar os clientes dele): partindo de uma falha de XSS (cross-site scripting — injeção de script malicioso em um site legítimo) num fornecedor de SaaS (software como serviço), os atacantes converteram tokens de acesso com ajuda da IA e pivotaram para mais de 200 organizações clientes em cerca de 34 horas, despejando mais de 2.100 conjuntos de tokens do Azure AD (serviço de identidade e acesso da Microsoft) de mais de 40 tenants corporativos. Agentes de IA fizeram quase todo o trabalho.

GTG-10007: a foundry de zero-days com enxames de agentes

O terceiro caso documenta uma "exploit foundry": uma operação de espionagem conduzida por operadores de língua chinesa, provavelmente baseados em Changsha, na província de Hunan — dois deles identificados como estudantes de graduação de uma universidade chinesa, um com estágio anterior numa empresa de segurança local. O grupo configurou fluxos autônomos de IA para pesquisar vulnerabilidades e desenvolver exploits 24 horas por dia, em paralelo: carregava firmwares e binários num decompilador, e um agente assistente percorria cadeias de descompilação e referências cruzadas — milhares de chamadas de descompilação — em busca de falhas exploráveis.

O resultado: mais de uma dúzia de candidatos a zero-day (vulnerabilidade desconhecida do fornecedor, sem patch no momento do ataque) em um único mês, além de exploits funcionais para várias famílias de appliances de rede e segurança. O alvo preferencial da pesquisa era uma classe de produtos de segurança de endpoints — justamente o software usado para detectar intrusões. A operação atingiu cerca de 50 organizações em educação, varejo, energia, tecnologia, saúde, finanças, manufatura e agências de governo, incluindo o roubo de centenas de megabytes de dados de estudantes de uma empresa de tecnologia educacional e registros de cidadãos de uma agência governamental do sudeste asiático.

Os casos principais do relatório, com o tipo de ator, a técnica central e o impacto reportado:

Caso	Tipo de ator	Técnica principal	Impacto
GTG-20006	Espionagem estatal russa (ligado ao Midnight Blizzard)	Malware que se reescreve sozinho, DNS hijacking, roubo de WhatsApp	20+ organizações de governo, defesa e supply chain de drones
GTG-50014	Criminosos financeiros afiliados ao ShinyHunters	Colheita massiva de credenciais, pivot em supply chain de SaaS	Terabytes de dados roubados; extorsão de aéreas, varejo e energia
GTG-10007	Foundry de exploits suspeita de ligação com a China	Enxames paralelos de agentes para pesquisa de vulnerabilidades	Mais de uma dúzia de zero-days candidatos em um mês
Lakana 360	Consultor independente para inteligência do Mali	Plataforma de vigilância construída com IA	Monitoramento de ~25 milhões de SIM cards

Fora dos três casos principais, o relatório ainda documenta campanhas hacktivistas contra entidades políticas europeias e uma plataforma de vigilância ligada ao governo do Mali, construída por um único consultor independente para monitorar cerca de 25 milhões de SIM cards, contornando a exigência legal de autorização judicial. Em nenhum caso houve uso dos modelos restritos Fable e Mythos, que carregam salvaguardas adicionais contra jailbreak — com uma única exceção ligada a uma tentativa de destilação ilícita. A Anthropic baniu as contas envolvidas, endureceu os mecanismos de detecção de abuso e compartilhou indicadores de comprometimento com forças de segurança e parceiros da indústria.

O que isso muda para a defesa

Detecção comportamental no lugar de assinaturas. O malware que se recompila sozinho torna obsoleta a estratégia de depender apenas de assinaturas estáticas: o atacante agora itera mais rápido do que o fornecedor publica detecções. A prioridade passa a ser EDR (endpoint detection and response — ferramenta de detecção e resposta em endpoints) com análise comportamental, telemetria e caça a ameaças, complementados por um SIEM centralizando logs — o Wazuh, open source, é uma opção acessível para começar.

Vigilância sobre identidade e tokens. O ataque de 2.100 conjuntos de tokens Azure AD em 34 horas mostra que sessões e tokens são o novo campo de batalha. Vale monitorar registros de novos fatores de MFA (autenticação multifator) e dispositivos, assinaturas anômalas e conversões de token fora do padrão — o mesmo vetor explorado por kits como o BigBear 2.0, que rouba sessões mesmo com MFA ativo. Políticas de acesso condicional e rotação agressiva de tokens reduzem a janela de uso.

Segmentação e gestão de risco de supply chain. Um XSS num fornecedor de SaaS virou acesso a 200+ clientes em 34 horas. A lição é tratar fornecedores como extensão do perímetro: segmentação por tenant, privilégio mínimo, monitoramento de atividade downstream e planos de resposta específicos para comprometimento de vendor.

Proteção das chaves de IA e de APIs. As chaves de API roubadas de fornecedores de software foram reutilizadas como compute de ataque por semanas. Chaves de IA e de APIs críticas precisam de rotação, restrição por origem e monitoramento de uso — e o consumo de IA deve ser tratado como ativo de alto valor, não como utilidade sem custo.

Assumir que o atacante fecha o loop mais rápido. Com frameworks públicos de agentes ofensivos disponíveis para qualquer pessoa, ataques com IA deixam de ser risco futuro e viram capacidade de linha de base. Isso exige resposta a incidentes com tempos de detecção e contenção medidos em horas, compartilhamento de IoCs com a comunidade e atualização contínua de detecções a partir de relatórios de fornecedores.

Conclusão

O relatório da Anthropic é a evidência mais concreta até hoje de que a IA deixou de ser coadjuvante para virar o orquestrador do ataque: malware que se reescreve sozinho até evadir assinaturas, enxames de agentes que produzem candidatos a zero-day em semanas e pipelines de credenciais que colhem 1,8 milhão de aplicativos de uma vez. A mensagem central é desconfortável: sofisticação deixou de ser um sinal confiável de quem está por trás de uma operação, e a barreira de entrada para campanhas que exigiam times caiu drasticamente.

Para o defensor, a resposta não é nova, mas precisa ser mais rápida: detecção comportamental, vigilância sobre identidade e tokens, segmentação, proteção das próprias chaves de API e, sobretudo, a aceitação de que o adversário automatizado itera em tempo real. Como o próprio relatório aponta, a corrida armamentista agora é entre engenheiros de detecção e agentes capazes de reescrever o próprio tradecraft — e é preciso assumir que, por padrão, o atacante fecha o loop primeiro.

Perguntas frequentes

O que é "vibe hacking"?

É o padrão de uso de IA em que o operador dá à IA um objetivo amplo — usar uma credencial roubada, acessar um sistema, extrair um conjunto de dados — e deixa que o modelo avalie o ambiente, escreva e execute scripts e itere sozinho até completar a tarefa. Muitas vezes o humano não entende os detalhes técnicos do alvo, delegando as especificidades à IA.

Como o malware consegue se reescrever sozinho?

No caso do GTG-20006, agentes de IA monitoravam se os implantes eram sinalizados por produtos de segurança. Quando a detecção acontecia, os agentes modificavam e recompilavam o código automaticamente, iterando até que a nova variante não batesse mais com as assinaturas conhecidas, e então a redeployavam a partir de servidores descartáveis. O humano entrava no loop principalmente para refinar as skills que dirigiam os fluxos de trabalho.

O que são os GTGs e a métrica de "uplift"?

GTG é a sigla de Generative Threat Group, a designação interna que a Anthropic usa para rastrear atores observados abusando de IA. O "uplift" é a métrica que mede o ganho de capacidade trazido pela IA — quanto mais rápido, amplo e profundo um ataque fica quando a IA entra na cadeia de ataque, em comparação com o mesmo ataque sem IA.

A IA consegue mesmo criar zero-days sozinha?

Segundo o relatório, sim, com supervisão humana. O GTG-10007 configurou fluxos autônomos que carregavam firmwares em um decompilador e percorriam cadeias de descompilação com milhares de chamadas, validando os achados em laboratório próprio. Em um mês, a operação produziu mais de uma dúzia de candidatos a zero-day. A conclusão da Anthropic, porém, é que o maior impacto da IA está em comprimir todas as fases do ataque, não apenas em gerar exploits do zero.

Como detectar esse tipo de ataque?

A recomendação é priorizar detecção comportamental no lugar de assinaturas estáticas: EDR com análise de comportamento, telemetria centralizada em SIEM, monitoramento de registros de novos fatores de MFA e dispositivos, assinaturas de login anômalas e conversões de token fora do padrão. Segmentação por tenant e privilégio mínimo reduzem o raio de dano se um fornecedor for comprometido.

Os modelos restritos Fable e Mythos foram usados nesses ataques?

Não. A Anthropic afirma que nenhum caso de uso indevido envolveu as classes de modelos Fable ou Mythos, que carregam salvaguardas adicionais contra jailbreak — com uma única exceção ligada a uma tentativa de destilação ilícita de modelos. Os casos do relatório usaram os modelos Haiku, Sonnet e Opus.

A identidade dos grupos foi confirmada?

Não de forma jurídica. As atribuições — ligação com o Midnight Blizzard no caso GTG-20006, afiliação ao ShinyHunters no GTG-50014 e suspeita de ligação com a China no GTG-10007 — são avaliações da equipe de threat intelligence da Anthropic baseadas em tradecraft, idioma, infraestrutura e padrões de operação, não confirmações oficiais.

Há vítimas no Brasil?

Nenhuma vítima brasileira é citada no relatório. As vítimas documentadas estão concentradas na Ucrânia, Europa, Oriente Médio, sudeste asiático e norte da África. Ainda assim, o padrão de ataques assistidos por IA já chegou ao país, como mostram os casos do BREEZE COMET contra bancos brasileiros e de kits de phishing de roubo de sessão como o BigBear 2.0.

O que a Anthropic fez após detectar os abusos?

A empresa baniu as contas envolvidas, endureceu os mecanismos de detecção de abuso e compartilhou indicadores de comprometimento e inteligência com forças de segurança e parceiros da indústria em todos os casos divulgados. A Anthropic afirma que nenhum dos casos envolveu comprometimento dos sistemas dela — as chaves roubadas pertenciam a ambientes de clientes.

Fontes e leituras adicionais

• Cyber Security News — Hackers Use Claude AI Agents to Automate Cyberattacks, Develop Zero-Days and Evade Detection — 11/09/2026
• Anthropic — Detecting and countering misuse of AI: September 2026 — 09/2026
• Microsoft — CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft — 31/07/2026