Unit 42 identifica clústeres CL-CRI-1131

Resumo executivo

A Palo Alto Networks Unit 42 documentou dois clústeres de intrusão ativos na América Latina, CL-CRI-1131 e CL-CRI-1163, que combinam phishing, RATs personalizados, living-off-the-land e o proxy SOCKS5 em Go SockTz. O impacto confirmado atinge organizações de transporte, ministérios federais e serviços de água no México e no Equador, além de instituições financeiras brasileiras, com atividade observada pelo menos desde fevereiro de 2026 e divulgação pública em 3 de setembro de 2026.

A campanha CL-CRI-1131 começou com a invasão de uma empresa de transporte no México e avançou para ministérios federais mexicanos, além de afetar serviços municipais de água no México e no Equador. Já o CL-CRI-1163 mirou entidades financeiras do Brasil por meio de phishing com tema de vagas de emprego, especialmente ofertas e currículos. O acesso inicial continuou dependente de anexos de e-mail, phishing e servidores sem patch, não de uma exploração autônoma guiada por IA.

A novidade operacional não está na intrusão inicial, mas no uso de modelos de linguagem comerciais na fase de pós-exploração. O material consolidado aponta consultas a Claude, GPT-4.1 e ferramentas como o ChatGPT, feitas por meio de uma instância auto-hospedada de NextChat implantada pelos operadores em infraestrutura própria. Essas consultas serviram para troubleshooting, depuração de exploits, geração de scripts e construção de ferramentas de exfiltração.

O segundo eixo técnico é o SockTz, um proxy SOCKS5 reverso escrito em Go. A Unit 42 observou ao menos nove versões sucessivas no CL-CRI-1163, com os artefatos socktz_v1 a socktz_v9 implantados em um intervalo inferior a duas horas dentro da mesma intrusão. Essa cadência de iteração, somada à nomenclatura sequencial e à rapidez das mudanças, foi interpretada por várias fontes como compatível com desenvolvimento assistido por IA, embora não como prova conclusiva de automação total.

No plano da atribuição, o material disponível é cauteloso. A Cloud Security Alliance afirma que CL-CRI-1131 e CL-CRI-1163 são atividades distintas, com sobreposições táticas, mas sem declarar que pertençam ao mesmo ator. A entidade também observa que a reutilização de infraestrutura, como o IP 167.148.195[.]53 associado ao SockTz e a padrões anteriores contra JBoss vulneráveis, sugere continuidade operacional e infraestrutura compartilhada, não necessariamente identidade de operador.

Contexto e antecedentes

O caso aparece em uma etapa em que vários resumos do setor passaram a convergir sobre o mesmo padrão: intrusões clássicas, com phishing e abuso de infraestrutura exposta, aceleradas por modelos de linguagem comerciais para produzir scripts e ferramentas. A Unit 42 foi a principal fonte da análise técnica original, enquanto Cloud Security Alliance, Machine Speed, SOCDefenders, Feedly e outros resumos reforçaram detalhes sobre alcance geográfico, táticas e artefatos.

O componente mais chamativo do contexto é que o acesso inicial não foi novo. A Cloud Security Alliance deixa claro que o comprometimento dependeu de servidores sem patch e phishing, e que a IA não substituiu as velhas rotas de entrada. A parte nova veio depois, quando os operadores usaram ferramentas como NextChat para interagir com Claude e GPT-4.1 em sua própria infraestrutura. Em paralelo, o uso de RATs personalizados e de um proxy SOCKS5 em Go completou uma cadeia de ataque que, na base técnica, segue reconhecível para defensores e caçadores de ameaças.

O relatório consolidado também permite ler essas campanhas como continuidade de operações contra superfícies já exploradas na região. A Unit 42 e as fontes de apoio mencionam infraestrutura associada a ataques anteriores contra servidores JBoss vulneráveis, além de padrões de reutilização de IPs e binários. Isso importa porque desloca a discussão de uma suposta nova capacidade do atacante para a reutilização de ferramentas e infraestrutura, só que com mais velocidade de iteração graças ao apoio de IA comercial.

Tabla de hechos clave

Cronologia da operação

Cadeia de ataque e TTPs

As duas campanhas compartilham uma arquitetura operacional reconhecível. A porta de entrada foi tradicional, com phishing e exposição de serviços sem patch. Depois do acesso inicial, os operadores aplicaram scripts iterativos, living-off-the-land e RATs personalizados para se mover, coletar credenciais e preparar a exfiltração. O traço diferencial é a incorporação de modelos de linguagem comerciais como assistente de trabalho para acelerar a depuração e a geração de automações.

No CL-CRI-1131, os operadores hospedaram uma instância de NextChat em sua própria infraestrutura. Segundo a Cloud Security Alliance, essa interface foi usada para consultar Claude e GPT-4.1 com fins de troubleshooting e geração de scripts de exploração e automação. Na mesma campanha, a Unit 42 observou atividade de tentativa e erro em um host comprometido, compatível com um ciclo iterativo de refinamento das ferramentas.

No CL-CRI-1163, o peso da operação recaiu sobre phishing com iscas de vagas de trabalho e currículos. Após o acesso, os atacantes instalaram várias versões do SockTz a partir de um site WordPress comprometido, passando pelas versões 1 a 8 antes de pivotar para a infraestrutura controlada pelo atacante. Quando esse despliegue falhou, eles baixaram socktz_v9.exe de 167.148.195[.]53:8888, um nó que a Unit 42 já havia associado a campanhas contra JBoss vulneráveis.

O SockTz funciona como um proxy SOCKS5 reverso em Go. A SecurityLab o descreve como uma ferramenta capaz de estabelecer rotas ocultas para a rede interna da vítima e tunelizar tráfego pela infraestrutura comprometida. Essa funcionalidade se encaixa no padrão de pós-exploração descrito pela SOCDefenders e pela Cloud Security Alliance: acesso, persistência, túnel, abuso de credenciais e exfiltração.

Impacto regional

As campanhas cobrem três países com um padrão setorial bem definido, governo e infraestrutura crítica no México e no Equador, e serviços financeiros no Brasil. O fio condutor é o uso de IA comercial como acelerador de pós-exploração, não como vetor de acesso inicial. Essa distinção importa porque deixa claro onde está o risco real para a defesa: na fase posterior ao comprometimento, na persistência e na exfiltração.

Panorama regional

A Unit 42 descreve campanhas em várias etapas na América Latina que combinam ferramentas de IA, RATs personalizados e SockTz. A Cloud Security Alliance acrescenta que ambas as atividades estão ativas pelo menos desde fevereiro de 2026 e que não há base, no material revisado, para uni-las de forma conclusiva sob um único ator. Há sobreposições técnicas, sim, mas a atribuição segue separada.

A combinação de phishing temático, infraestrutura reutilizada e ferramentas generativas cria um ciclo operacional mais rápido. Ela não introduz uma nova técnica de entrada, mas reduz a fricção no troubleshooting e no desenvolvimento de scripts. Machine Speed e Cloud Security Alliance concordam nesse ponto, e a SOCDefenders fornece IoCs que permitem amarrar a observação a domínios, hashes e ao IP usado para distribuir socktz_v9.exe.

México

No México, o CL-CRI-1131 atingiu primeiro uma organização de transporte e depois ministérios federais, além de empresas municipais de água. O padrão sugere interesse por infraestrutura crítica e administração pública, com expansão lateral dentro do mesmo ambiente geográfico e setorial. A Unit 42 também registra um comprometimento em abril de 2026 que refletia tentativa e erro associada ao uso de LLMs.

A parte mais útil para a defesa é que os operadores dessa campanha usaram living-off-the-land e scripts por lotes iterativos para manipular e exfiltrar informações confidenciais. Isso os torna menos dependentes de payloads ruidosos e mais inclinados a usar ferramentas legítimas do ambiente. Nesse cenário, a telemetria de endpoints e a rastreabilidade de scripts passam a valer mais do que a simples detecção de malware.

Equador

O Equador aparece no mesmo clúster que o México, dentro do CL-CRI-1131, com uma empresa municipal de água como vítima confirmada. O material o coloca dentro de uma mesma progressão operacional que começa em transporte no México, passa por ministérios federais e alcança serviços de água equatorianos. Não há no research evidência de uma campanha separada, e sim de expansão de um mesmo clúster.

O valor analítico desse dado está na seleção dos alvos. Água e administração pública não são vítimas colaterais aqui, mas parte de um padrão contínuo contra infraestrutura crítica e governo. As fontes revisadas não detalham se houve impacto operacional direto nos serviços, mas confirmam comprometimento e foco setorial.

Brasil

O Brasil concentra o CL-CRI-1163, que se dirigiu a instituições financeiras por meio de phishing com temática laboral. A Unit 42 descreve anexos de e-mail com iscas de currículo ou resume como vetor inicial, enquanto a Cloud Security Alliance e a Feedly reforçam a mesma linha sobre ofertas de emprego e currículos. O setor financeiro foi o alvo principal confirmado.

Depois do acesso, os atacantes instalaram RATs personalizados e SockTz, que foi iterado em ao menos nove versões. A Machine Speed acrescenta que socktz_v1 a socktz_v9 foram implantados em menos de duas horas, uma cadência compatível com desenvolvimento acelerado. A Risky Biz também resume a campanha brasileira como uma ampliação de ataques anteriores contra servidores web vulneráveis, o que reforça a ideia de continuidade operacional e não de uma ação isolada.

Países sem fatos verificáveis adicionais no material principal, para esta investigação, Argentina, Chile, Paraguai, Bolívia, Peru, Colômbia, Estados Unidos e Uruguai.

Indicadores técnicos

Os IoCs publicados e consolidados no material são concretos, mas não exaustivos. A SOCDefenders traz domínios DuckDNS, a URL de download do SockTz e hashes SHA-256; a Unit 42 e a Cloud Security Alliance informam o IP associado ao download de socktz_v9.exe e a existência de NextChat auto-hospedado. Não foram publicadas aqui listas completas de todos os hashes ou de todos os domínios observados pela Unit 42.

Análise para equipes de segurança

A prioridade imediata é separar dois problemas que neste caso aparecem misturados na narrativa pública, acesso inicial e aceleração pós-comprometimento. O acesso inicial segue o de sempre, phishing, anexos e sistemas sem patch. A aceleração aparece depois, quando o operador usa modelos comerciais para ajustar scripts, depurar falhas e produzir ferramentas de exfiltração. Se a defesa tentar barrar apenas o malware final, vai chegar tarde.

A detecção deve se concentrar em várias camadas. No e-mail, revisar campanhas com tema de emprego, currículos e anexos de spearphishing. Em endpoints, buscar living-off-the-land, sequências de scripts por lotes, uso anômalo de RDP e sinais de dumping de LSASS. Na rede, monitorar DNS e tráfego para domínios DuckDNS associados, o IP 167.148.195[.]53 e padrões de proxy SOCKS5 reverso ou túneis persistentes.

A telemetria de aplicações e de serviços web também importa. O material indica reutilização de infraestrutura comprometida, incluindo sites WordPress usados para distribuir versões do SockTz. Isso obriga a vigiar servidores expostos, integridade de conteúdo web, tarefas agendadas e binários baixados de nós externos. Se uma equipe observar iteração muito rápida de binários com nomes sequenciais, vale tratar isso como sinal de desenvolvimento ativo, não como simples ruído de testes.

Em setores de governo, transporte, água e bancos, a revisão de IoCs deve ser cruzada com trilhas históricas desde fevereiro de 2026. A Cloud Security Alliance recomenda justamente comparar domínios, IPs e hashes com telemetria de rede e endpoints. A prioridade operacional é alta para México, Equador e Brasil, com foco em indicadores de túnel SOCKS5, artefatos SockTz e uso de modelos de linguagem comerciais na infraestrutura do próprio atacante, porque isso reduz fricção e acelera campanhas que já estavam em andamento.

¿Qué diferencia técnica hubo entre CL-CRI-1131 y CL-CRI-1163?

O CL-CRI-1131 se concentrou em transporte, governo e água no México e no Equador, enquanto o CL-CRI-1163 mirou o setor financeiro brasileiro com phishing laboral. Ambos compartilham o uso de IA comercial e ferramentas de túnel, mas não são apresentados como um único ator confirmado. Isso é desenvolvido na seção Impacto regional e na cadeia de ataque.

¿La IA se usó para entrar o para operar después?

O material indica que a entrada continuou dependendo de phishing e servidores sem patch, e não de exploração direta guiada por IA. A IA apareceu depois, em troubleshooting, geração de scripts e desenvolvimento de ferramentas de exfiltração. Essa distinção aparece em Contexto e antecedentes e em Cadeia de ataque e TTPs.

¿Qué importancia tiene SockTz en estas campañas?

O SockTz foi o proxy SOCKS5 reverso usado para tunelizar tráfego e ocultar rotas para a rede interna da vítima. A Unit 42 e a Cloud Security Alliance o observaram em várias versões, até pelo menos nove, e a Machine Speed registrou um despliegue muito rápido de socktz_v1 a socktz_v9. Os detalhes estão em Cadeia de ataque e em Indicadores técnicos.

¿Qué países y sectores requieren prioridad inmediata?

México e Equador devem priorizar governo, transporte e água; o Brasil deve priorizar instituições financeiras. A razão é que o material confirma vítimas nesses setores e mostra atividade ativa desde fevereiro de 2026. A leitura país por país está em Impacto regional, e os IoCs relevantes em Indicadores técnicos.

¿Qué IoCs publicadas valen más para hunting?

Os domínios DuckDNS, a URL de socktz_v9.exe, o IP 167.148.195[.]53 e os hashes SHA-256 trazidos pela SOCDefenders são os indicadores mais acionáveis. Se a organização tem histórico desde fevereiro de 2026, vale cruzá-los com DNS, downloads web e telemetria de endpoints. A lista completa está em Indicadores técnicos.