Kaspersky liga CyberStrikeAI a escolas

Cadeia de ataque e TTPs

A cadeia observada pela Kaspersky combina acesso inicial manual, persistência rápida, reconhecimento automatizado assistido pelo modelo e uma fase clássica de escalonamento que termina em roubo de credenciais e extração de dados. O dado mais relevante não é o surgimento de um vetor novo, e sim o ritmo. Depois que o agente é implantado, a operação acelera. O reconhecimento local e a persistência são concluídos em minutos, o reconhecimento de domínio consome horas e a fase final de exploração se comprime em menos de uma hora.

O ponto de partida documentado foi um servidor Microsoft SQL Server versão 16.0.1000. A atividade inicial foi manual e partiu do sqlservr.exe. Esse detalhe importa porque localiza o ponto de entrada em um serviço exposto e depois controlado de forma interativa pelo operador. Em um incidente, o implante foi instalado no servidor SQL de uma organização educacional e coletou informações do banco de dados por meio de PowerShell, com exportação de bases e busca recursiva de arquivos.

A persistência foi obtida com uma tarefa agendada chamada SystemUpdate ou com a chave HKCU\Software\Microsoft\Windows\CurrentVersion\Run. No Linux, o mesmo agente podia usar crontab @reboot ou ~/.bashrc. Quando tinha privilégios administrativos, criava tarefas agendadas remotas para executar cargas com privilégios SYSTEM. Essa flexibilidade ajuda a explicar por que o implante podia sobreviver por meses enquanto o operador atualizava componentes do servidor de controle, embora a Kaspersky tenha observado uma única versão do agente em cada incidente analisado.

A execução de comandos se apoiou em PowerShell, com possibilidade de codificação de comandos em Base64. Para distribuir scripts e payloads, a Kaspersky observou compartilhamentos administrativos e WMI. Os payloads podiam ser divididos em vários arquivos e depois reconstruídos ou decodificados com certutil. Em paralelo, o canal principal do C2 permitia transferência direta via HTTP ou TCP, com dados codificados em Base64 e encapsulados em respostas JSON do agente.

O reconhecimento foi amplo e bastante sistemático. Incluiu consultas LDAP, busca por informações de domínio, identificação de sistemas acessíveis, checagem de agentes por WMI, busca por oportunidades de Kerberoasting e AS-REP Roasting, detecção de LAPS e do uso de Microsoft Azure. Também foram vistas buscas por caminhos relacionados ao comprometimento de SCCM, exploração de AlwaysInstallElevated, inventário de serviços executados com contas de domínio, tarefas rodando como SYSTEM, verificações periódicas do Microsoft Defender e busca pelo diretório .azcopy. Além disso, o implante podia gerar automaticamente consultas SQL e LDAP adaptadas ao objetivo da tarefa.

Para obter credenciais, o operador usou o despejo de colmeias do registro por meio de reg.exe e o dump de LSASS pela função MiniDump de comsvcs.dll. Depois de comprometer contas privilegiadas, também executou DCSync e Golden Ticket por meio de uma versão renomeada de mimikatz. A fonte oficial acompanha isso com regras de detecção específicas para LSASS, DCSync, Golden Ticket e Mimikatz, o que confirma que a fase de escalonamento foi central na intrusão.

O movimento lateral usou SMB e WMI. A Kaspersky cita WMIExec do kit Impacket, Invoke-CimMethod e a distribuição de um script reverse shell chamado p1.ps1. Esse script se conectava a 185.186.245[.]144:5501. Em um ambiente específico, a fonte registra que o agente passou de uma rede inicial para outra, usou o movimento lateral para alcançar sistemas com privilégios e depois se dedicou à coleta e exportação de informações. O fluxo não mostra etapas posteriores, apenas o encerramento com a coleta de dados.

O componente novo do CyberStrikeAI está no orquestrador, não no implante. A Kaspersky descreve ferramentas MCP expostas ao modelo para funções de C2, execução de utilitários de reconhecimento e exploração, gestão de conexões webshell, atribuição de tarefas a agentes e leitura de resultados. O humano define o objetivo e pode aprovar ou corrigir comandos antes de executá-los. Isso reduz a fricção operacional, mas não altera o repertório técnico das cargas usadas na vítima.

Impacto regional

Panorama regional

A fonte oficial situa a campanha em organizações educacionais de vários países da América Latina e da África, mas não publica países, vítimas nem nomes de instituições. Essa ausência limita a análise geográfica fina, embora não impeça enxergar o perfil dos alvos. O foco esteve em ambientes com infraestrutura Windows, SQL Server, Active Directory e, em alguns casos, Linux, onde a cadeia terminou na coleta e exportação de dados.

A Kaspersky reconstruiu um caso particularmente claro em um servidor SQL comprometido. A partir dali, o atacante avançou para reconhecimento de domínio, credenciais e movimento lateral, até alcançar administradores de domínio. Em outro cenário, o implante foi usado para extrair informações de bases de dados e fazer buscas recursivas por arquivos. A fonte afirma que a coleta em recursos de rede começava com uma varredura recursiva de diretórios para localizar arquivos de interesse e que a cadeia terminava na coleta de dados, sem atividade posterior observada.

Em termos regionais, o interesse do caso está no fato de que não houve exploração de zero-day nem uma família de malware completamente nova. O que mudou foi a combinação de ferramentas já conhecidas com uma camada de coordenação assistida por modelo de linguagem. A operação conseguiu consolidar persistência, reconhecimento, lateralidade e roubo de credenciais em janelas de tempo muito curtas depois que o agente foi implantado, algo relevante para qualquer equipe de defesa que proteja ambientes educacionais com SQL Server e Active Directory.

A Kaspersky também aponta que a operação podia permanecer ativa por meses enquanto componentes do servidor de controle eram atualizados. Isso significa que, mesmo com atividade observável limitada na vítima, o controle do lado do operador podia persistir e reativar tarefas quando necessário. O resultado é uma ameaça regional pouco visível em termos de atribuição pública, mas tecnicamente consistente e com capacidade de impacto sobre dados acadêmicos, credenciais e sistemas administrativos.

Argentina

Não há fatos verificáveis adicionais para a Argentina no material fornecido. O relatório oficial não desdobra países nem vítimas, então não é possível afirmar exposição, alcance ou impacto específico no país com base nessas fontes.

Chile

Não há fatos verificáveis adicionais para o Chile no material fornecido. A fonte apenas menciona organizações educacionais de vários países da América Latina e da África, sem identificar jurisdições específicas nem casos nacionais.

Paraguai

Não há fatos verificáveis adicionais para o Paraguai no material fornecido. O material não permite associar o conjunto de intrusões a instituições paraguaias nem definir uma superfície de impacto concreta.

Bolívia

Não há fatos verificáveis adicionais para a Bolívia no material fornecido. A Kaspersky não publica nomes de vítimas nem separa o alcance por país dentro da América Latina.

Peru

Não há fatos verificáveis adicionais para o Peru no material fornecido. A cobertura disponível não individualiza incidentes nem entidades peruanas dentro do conjunto analisado.

Colômbia

Não há fatos verificáveis adicionais para a Colômbia no material fornecido. O relatório da Kaspersky confirma apenas uma presença regional em educação, sem desdobramento nacional.

Brasil

Não há fatos verificáveis adicionais para o Brasil no material fornecido. Embora o conjunto inclua a América Latina, não há confirmação pública de vítimas brasileiras.

México

Não há fatos verificáveis adicionais para o México no material fornecido. O documento não atribui incidentes a um país específico nem lista organizações afetadas.

EUA

Não há fatos verificáveis adicionais para os Estados Unidos no material fornecido. A campanha descrita se limita a organizações educacionais da América Latina e da África, sem evidência de impacto no país.

Uruguai

Não há fatos verificáveis adicionais para o Uruguai no material fornecido. A fonte não traz um recorte geográfico que permita validar exposição local.

Indicadores técnicos

Análise para equipes de segurança

A leitura operacional deste caso é bastante clara. A prioridade não deveria ser procurar um artefato exótico, e sim cobrir a sequência inteira. A Kaspersky publicou regras para detectar shell iniciado por uma aplicação web, execução de PowerShell baixado, argumentos suspeitos de schtasks.exe, dump de memória via comsvcs.dll, acesso suspeito a LSASS, ataques DC Sync, Golden Ticket e movimento lateral com WMIExec e Impacket. Essa combinação sugere que a defesa mais eficaz é correlacionar eventos, e não depender de um único alerta.

No Windows, o monitoramento de 4688, 4104, 4624, 4768, 4769, 4662, 4663, 4656 e 5145 faz parte da cobertura sugerida pela própria fonte. No Linux, a Kaspersky recomenda observar execve e openat no auditd. Se o alvo tiver SQL Server, também vale prestar atenção a processos como sqlservr.exe atuando como ponto de partida, a chamadas a partir do PowerShell e a qualquer manipulação de arquivos ou bases que não se encaixe em tarefas administrativas esperadas.

Há três momentos em que o valor de detecção sobe muito. O primeiro é o acesso inicial e a criação de persistência, sobretudo se aparecerem tarefas agendadas com nomes pouco naturais como SystemUpdate ou mudanças em chaves Run. O segundo é o reconhecimento, quando o ator consulta LDAP, WMI, LAPS, Azure, SCCM, AlwaysInstallElevated e padrões de Kerberoasting ou AS-REP Roasting. O terceiro é o escalonamento, quando surgem LSASS, reg.exe, MiniDump, DCSync ou tickets dourados.

A desduplicação de indicadores também importa. A Kaspersky observou que os payloads podiam chegar fragmentados e ser reconstruídos com certutil, e que a distribuição podia passar por compartilhamentos administrativos e WMI. Isso torna o rastreamento por hash útil, mas insuficiente. Um controle de rede precisa combinar IOC de rede, telemetria de processos, eventos de autenticação e rastros de administração remota.

O lado tático do orquestrador merece atenção, mesmo sem aparecer diretamente na vítima. A plataforma expõe ferramentas MCP ao modelo e deixa ao operador humano a aprovação ou correção de comandos. Isso significa que a adaptação de comandos a um alvo pode ser rápida e contextual, com menos fricção do que em uma operação puramente manual. Para a defesa, o ponto não é detectar IA, e sim detectar que uma cadeia de ações conhecida está sendo executada com menos pausas e mais consistência do que o normal.

Perguntas frequentes

O que foi mais novo no CyberStrikeAI nessas intrusões?

O novo não foi uma técnica de intrusão inédita, e sim a aceleração operacional. Kaspersky e Help Net Security concordam que a IA rodava no servidor C2, enquanto os implantes nas vítimas continuavam usando técnicas conhecidas, como PowerShell, WMI, Kerberoasting, LSASS, DCSync e Golden Ticket. A diferença esteve na velocidade e na orquestração.

O que aconteceu dentro dos equipamentos comprometidos e o que ficou no servidor de controle?

Dentro dos equipamentos comprometidos ocorreram persistência, reconhecimento, execução de comandos, roubo de credenciais, movimento lateral e exfiltração. No servidor de controle rodava a camada de IA, que expunha ferramentas MCP para atribuir tarefas, ler resultados e ajudar com consultas SQL ou LDAP. Os implantes não tinham lógica autônoma nem chamadas a serviços de IA.

Por que a Kaspersky não atribui a campanha a um grupo específico?

Porque as amostras foram divididas em dois grupos independentes, com metadados de compilação Go diferentes, sem infraestrutura C2 compartilhada e com versões distintas do framework. Isso impede sustentar uma atribuição única. Help Net Security acrescenta sinais tentativos de um operador de fala chinesa, mas os apresenta como evidência indireta, não como atribuição operacional conclusiva.

Quais detecções publicadas cobrem melhor essa operação?

A Kaspersky publicou a detecção Backdoor.CyberStrikeAI.HTTP.C&C e regras para tarefas remotas, PowerShell, schtasks, dump de LSASS com comsvcs.dll, reconhecimento por LDAP, execução remota por WMI ou WinRM, DC Sync, Golden Ticket e movimento lateral com WMIExec e Impacket. A correlação dessas alertas com eventos do Windows 4688, 4104, 4624, 4768, 4769, 4662, 4663, 4656 e 5145 melhora a cobertura.

Qual é o alcance geográfico do relatório e quais países não podem ser confirmados?

O alcance confirmado é regional, com organizações educacionais de vários países da América Latina e da África, mas sem países ou vítimas nomeados. Por isso não é possível confirmar Argentina, Chile, Paraguai, Bolívia, Peru, Colômbia, Brasil, México, Estados Unidos ou Uruguai como alvos específicos. O material permite falar de região, não de um mapa nacional detalhado.

Limitações do material

O material disponível não publica datas exatas de cada incidente, número de vítimas, nomes de organizações nem países específicos dentro da América Latina ou da África. Também não permite afirmar atribuição a um grupo conhecido, e a hipótese de fala chinesa aparece apenas como indício tentativo em uma cobertura independente. A fonte oficial descreve dois grupos independentes de amostras, sem infraestrutura C2 compartilhada.

Não há informação verificável adicional para os blocos nacionais de Argentina, Chile, Paraguai, Bolívia, Peru, Colômbia, Brasil, México, Estados Unidos e Uruguai. O corpo do relatório se apoia, portanto, no panorama regional e na reconstrução técnica do incidente mais detalhado. Também é preciso cautela com qualquer inferência além do que a fonte oficial e a cobertura independente sustentam de forma explícita.