Unit 42 expõe clusters CL-CRI-1131

Resumo executivo

A Palo Alto Networks Unit 42 documentou dois clusters de intrusão na América Latina, CL-CRI-1131 e CL-CRI-1163, que combinaram modelos comerciais de linguagem com infraestrutura própria dos atacantes, phishing tradicional, scripts iterativos, RATs personalizados e tunelamento SOCKS5. O primeiro cluster atingiu uma empresa de transporte mexicana, ministérios federais do México e entidades de água no Equador. O segundo mirou o setor financeiro brasileiro com phishing temático de emprego e anexos de currículos.

A novidade não foi um vetor autônomo de IA, e sim a integração operacional de LLMs comerciais dentro de campanhas clássicas. Unit 42, e os resumos que citam a análise, descrevem uma instância de NextChat auto-hospedada em 178.128.87[.]160, exposta na porta TCP 3000, usada para consultar serviços como Claude e GPT-4.1. Essa interface teria servido para troubleshooting, geração de scripts e apoio em tarefas de exfiltração e exploração. O material também aponta que o acesso inicial continuou dependente de phishing e servidores sem correção.

Em CL-CRI-1163, o componente mais distintivo foi o SockTz, um proxy SOCKS5 reverso escrito em Go. A Unit 42 observou ao menos nove versões sucessivas, com nomes de arquivo como socktz_v1 a socktz_v9, implantadas com mudanças incrementais em uma janela aproximada de duas horas. Várias fontes secundárias, entre elas Machine Speed, SecurityLab, daily.dev e CISOclub, interpretam essa cadência como sinal de iteração assistida por IA, embora essa conclusão seja inferida e não uma atribuição formal do relatório original.

A campanha CL-CRI-1131 se apoia em uma mistura de living-off-the-land e scripts em lote iterativos para manipular e exfiltrar dados confidenciais. CL-CRI-1163, por sua vez, recorreu a phishing de emprego, RATs personalizados e túneis SOCKS5 para pivoteamento interno. SocDefenders mapeia várias técnicas MITRE ATT&CK observadas nos dois clusters, entre elas T1566.001, T1078, T1003.001, T1021.001, T1059 e T1219. MITRE ATT&CK também faz sentido funcionalmente para o uso de proxies multi-hop e intérpretes de comando para sustentar a operação, embora o relatório da Unit 42 não use essa taxonomia de forma explícita.

O alcance regional é claro e delimitado. O México concentra a maior parte da atividade de CL-CRI-1131, com vítimas em transporte, governo e água. O Equador aparece como extensão da mesma campanha. O Brasil concentra CL-CRI-1163, com vítimas do setor financeiro, incluindo bancos, e uma cadeia de intrusão que inclui staging repetido a partir de infraestrutura comprometida e controlada pelos atacantes. O material disponível não atribui esses clusters a um país, Estado-nação ou região específica.

Contexto e antecedentes

O material consolidado permite reconstruir uma sequência técnica relativamente precisa, embora não uma atribuição de autoria. A Unit 42 publicou em 3 de setembro de 2026 um relatório em português sobre o uso contínuo de ferramentas de IA em ataques contra organizações latino-americanas, e várias fontes secundárias reaproveitaram essa análise em briefings, notas técnicas e resumos em diferentes idiomas. O ponto de convergência é o mesmo, dois clusters, duas geografias principais de ataque e um padrão operacional compartilhado que mistura automação, LLMs e tooling personalizado.

O cluster CL-CRI-1131 se associa a compromissos no México e no Equador. Os resumos disponíveis citam uma empresa de transporte mexicana, vários ministérios federais e ao menos uma empresa municipal de água no Equador. Em uma ampliação posterior, um veículo russo mencionou também empresas municipais de água no México, o que amplia o inventário de vítimas de infraestrutura hídrica, embora sem alterar o quadro geral. A campanha apresenta uma espinha dorsal de living-off-the-land, scripts em lote iterativos e uso de NextChat auto-hospedado para consultar modelos comerciais.

O cluster CL-CRI-1163 se concentra no Brasil e no setor financeiro. Nesse caso, o acesso inicial teria vindo por phishing com temática de emprego e currículos, seguido da implantação de RATs personalizados e do SockTz. A ferramenta SockTz aparece repetidamente nos relatórios porque permite conexões SOCKS5 reversas e pivoteamento para a rede interna da vítima. O detalhe mais relevante é a velocidade de iteração, v1 a v9, que vários resumos situam em menos de duas horas.

A literatura secundária acrescenta peças úteis. Machine Speed destaca que os operadores consultaram ChatGPT e Claude como ferramentas de trabalho durante as intrusões. A SecurityLab relata arquivos de trabalho como exploit_creative.py, exploit_careful.py e rce_focused.py, o que sugere um processo rápido de geração e ajuste de código. CISOclub e daily.dev descrevem a progressão do SockTz de um site WordPress comprometido para uma infraestrutura controlada pelos atacantes. SocDefenders acrescenta domínios e um binário concreto associado ao SockTz v9.

Esse conjunto de fontes não altera uma conclusão central. Os atacantes não parecem ter precisado de um exploit de IA para entrar. Eles usaram phishing, artefatos anexados, servidores sem correção e técnicas convencionais de pós-exploração. A IA aparece depois, como multiplicador operacional, e não como porta de entrada.

Tabela de fatos principais

Linha do tempo da operação

Cadeia de ataque e TTPs

A cadeia de ataque observada nos dois clusters compartilha uma sequência básica, acesso inicial por phishing ou exploração de sistemas sem correção, execução de artefatos anexados ou scripts, uso de LLMs comerciais para acelerar troubleshooting e criação de tooling, e depois persistência ou pivoteamento por meio de RATs e SOCKS5. Não há evidência no material de um exploit de IA na fase inicial. A IA aparece como suporte para exploração, geração de código e ajuste rápido de ferramentas.

CL-CRI-1131 depende mais de técnicas de sistema e scripts. O material diz que os operadores usaram living-off-the-land, executaram scripts em lote de forma iterativa e manipularam e exfiltraram dados confidenciais a partir dos sistemas comprometidos. Isso se encaixa bem na família T1059 do MITRE ATT&CK, e em técnicas de evasão associadas ao uso de ferramentas nativas, embora o relatório original não rotule cada passo dessa forma. A camada de infraestrutura crítica foi o NextChat auto-hospedado, na IP 178.128.87[.]160.

CL-CRI-1163 tem um componente mais nítido de pós-exploração e pivotamento. O phishing com temática de emprego e anexos de currículos levou à implantação de RATs personalizados e do SockTz. SocDefenders, MITRE e outras fontes secundárias permitem mapear T1566.001 para o acesso inicial, T1219 para o uso de RATs, T1090.003 para o uso de proxies multi-hop e T1059 para scripts e comandos. O fato de o SockTz ser um proxy SOCKS5 reverso em Go torna sua leitura técnica bastante direta.

A parte mais atípica é a iteração do tooling. A Unit 42 observou ao menos nove versões sucessivas do SockTz, e várias fontes apontam que os arquivos socktz_v1 a socktz_v9 foram implantados em um intervalo de duas horas. Essa cadência não prova, sozinha, assistência de IA, mas sugere um ciclo rápido de tentativa e erro, com mudanças pequenas e redeploy repetido. SecurityLab e daily.dev chegam a descrever nomes de scripts de exploit com adjetivos variáveis, como exploit_creative.py e exploit_careful.py, o que reforça a ideia de geração assistida.

A operação, nos dois clusters, não depende de uma técnica exótica, e sim da combinação de várias peças conhecidas, phishing, LotL, scripts, RATs, proxies e LLMs. O valor da pesquisa está em mostrar que essa combinação já está ativa na região e que vem sendo usada com disciplina suficiente para cobrir cadeias completas de intrusão.

Impacto regional

Panorama regional

O impacto regional confirmado se concentra em três países, México, Equador e Brasil, com diferenças claras entre a campanha de transporte e governo de CL-CRI-1131 e a campanha financeira de CL-CRI-1163. O México concentra a maior parte das vítimas públicas citadas. O Equador aparece como extensão da mesma operação, e o Brasil como o foco do segundo cluster, em uma campanha voltada a bancos e instituições financeiras.

O tipo de vítima também muda conforme o cluster. CL-CRI-1131 atinge infraestrutura pública e serviços críticos, transporte, governo federal e água. CL-CRI-1163 mira uma vertical financeira mais restrita, mas tecnicamente mais elaborada na pós-exploração, com RATs personalizados, tunelamento e uma cadeia de versões do SockTz que sugere um ciclo de refinamento acelerado. Isso importa porque mostra que o uso de IA não se limitou a gerar texto, mas sustentou uma operação de intrusão em múltiplas etapas.

No plano operacional, os dois clusters compartilham infraestrutura de interação com LLMs comerciais, especialmente o NextChat auto-hospedado. Isso eleva o valor desse host como ativo crítico na cadeia de ataque. Se esse nó cair, o acesso dos operadores a Claude, GPT-4.1 e outros serviços usados para scripting e troubleshooting é interrompido, embora o material não afirme que esse seja o único ponto de falha possível.

México

O México concentra a maior parte do dano atribuído a CL-CRI-1131. O relatório da Unit 42, e os resumos que o citam, mencionam uma empresa de transporte mexicana, ministérios federais e empresas municipais de água. Essa última camada é relevante porque o material em russo amplia a exposição de água para entidades mexicanas além das equatorianas. A campanha se apoiou em living-off-the-land, scripts em lote iterativos e uma instância de NextChat hospedada pelos atacantes em 178.128.87[.]160.

O sinal técnico mais importante para o México é que a infraestrutura de chat servia para consultar modelos comerciais de linguagem durante a intrusão. Unit 42 e Machine Speed situam ChatGPT, Claude e GPT-4.1 como ferramentas de trabalho dentro da operação. Isso transforma o NextChat em um nó de coordenação, e não em um acessório menor. O uso de scripts em lote para manipular e exfiltrar dados confidenciais indica, além disso, que o objetivo não era apenas acesso, mas também extração sistemática.

Equador

O Equador aparece como extensão de CL-CRI-1131 e, segundo o material consolidado, ao menos uma empresa municipal de água foi comprometida ali. Os resumos de fontes secundárias também falam de ministérios, água e transporte em um mesmo cluster regional, o que sugere uma campanha mais ampla que um único alvo isolado. O padrão técnico não muda, living-off-the-land, scripts iterativos, NextChat auto-hospedado e exploração apoiada por LLMs.

A documentação disponível não traz um inventário exaustivo de vítimas equatorianas. Ela fixa, porém, uma superfície crítica, água municipal, suficiente para entender o tipo de interesse operacional. Em termos de defesa, isso obriga a tratar a campanha como uma intrusão com potencial de impacto em serviços essenciais, e não como um simples incidente de phishing corporativo.

Brasil

O Brasil é o centro de CL-CRI-1163 e a parte mais clara do estudo para análise de pós-exploração. O acesso inicial veio por phishing com currículo ou temática de emprego, com um anexo que serviu de artefato malicioso. Depois vieram RATs personalizados e SockTz, o proxy SOCKS5 reverso em Go. Unit 42 e as fontes secundárias concordam que o cluster atingiu entidades do setor financeiro, incluindo bancos.

A peça crítica aqui é o SockTz. CISOclub, daily.dev e Deniz.in descrevem a tentativa de implantar socktz_v1 a socktz_v8 a partir de um site WordPress comprometido, usando certutil, antes de passar para socktz_v9 a partir de infraestrutura controlada pelos atacantes quando as versões anteriores falharam. Esse tipo de retroalimentação operacional mostra uma campanha bastante iterativa. Também evidencia que a rede de hospedagem não era estável, mas adaptativa.

Estados Unidos

Os Estados Unidos não aparecem como país vítima no conjunto consolidado de pesquisas, mas surgem como ponto de publicação, suporte e contato. A Unit 42, com base na Palo Alto Networks, publicou o material principal, e o relatório em português inclui um número gratuito de contato para a América do Norte. A Palo Alto Networks também publicou entradas corporativas sobre o uso de modelos da OpenAI e da Anthropic por defensores, úteis como contraponto ao abuso ofensivo de LLMs observado nesses clusters.

Esse dado não acrescenta uma vítima norte-americana, mas ajuda a situar a capacidade de resposta e o ecossistema de fornecedores. No material, os Estados Unidos funcionam como centro editorial e de suporte comercial, não como alvo de CL-CRI-1131 ou CL-CRI-1163.

Países sem fatos verificáveis adicionais na pesquisa para este bloco: Argentina, Chile, Paraguai, Bolívia, Peru, Colômbia e Uruguai.

Indicadores técnicos