México e Brasil sob intrusões com IA

Atualização 13 de setembro de 2026: The Hacker News acrescentou um novo alias para CL-CRI-1163, Breeze Comet, também chamado de Plump Spider e SHADOW-AETHER-064. A cobertura reforça que a campanha no Brasil mira o setor financeiro e tenta abusar da infraestrutura de pagamentos para fazer transações ilegais com fins de lucro.

A Palo Alto Networks Unit 42 informou duas campanhas ativas contra organizações na América Latina. Uma delas mirou o setor de transporte no México e também atingiu ministérios do governo federal mexicano e serviços municipais de água no México e no Equador. A outra se concentrou no setor financeiro do Brasil. Em paralelo, outros relatórios de inteligência descreveram atividade de ransomware na região, com o México entre os países mais afetados.

O que a Unit 42 detectou no México e no Brasil?

A Unit 42 observou servidores web vulneráveis já reportados, phishing temático de emprego, ferramentas personalizadas de acesso remoto e um proxy SOCKS5 em Go com nomes de arquivo iterativos. Também documentou acesso inicial por meio de um anexo de phishing com tema de currículo, em fevereiro de 2026. A atividade foi atribuída ao cluster CL-CRI-1163, sem que o resumo disponível a apresentasse como atribuição definitiva a uma família específica de ransomware.

A atualização oficial de 3 de setembro de 2026 esclareceu que CL-CRI-1131, no México e no Equador, é uma intrusão com exfiltração de dados e uso de IA como apoio operacional, não um ataque de ransomware. Nessa campanha, os operadores tentaram repetidamente extrair SAM e NTDS.dit e acabaram recorrendo a cópias de volume sombra e scripts em lote reescritos de forma iterativa durante a intrusão.

A Cloud Security Alliance ampliou essa leitura e apontou dois clusters separados, mas taticamente sobrepostos, CL-CRI-1131 e CL-CRI-1163. Segundo a nota técnica, o primeiro afetou transporte no México, ministérios federais mexicanos e uma empresa municipal de água no Equador, enquanto o segundo se concentrou no setor financeiro do Brasil com iscas de currículo. A CSA Labs acrescentou que ambos os clusters usavam grandes modelos de linguagem comerciais como apoio operacional durante as intrusões.

A Machine Speed concordou que CL-CRI-1131 e CL-CRI-1163 empregavam modelos de linguagem comerciais dentro da cadeia de ataque. A iniciativa também situou as campanhas contra organizações de transporte, ministérios federais e serviços de água no México e no Equador, além de entidades financeiras no Brasil. A CSA recomendou que organizações de governo, transporte, água e serviços financeiros nesses países revisem indicadores de comprometimento, como domínios de C2, endereços IP e hashes de arquivos publicados pela Unit 42, em sua própria telemetria.

Coberturas técnicas posteriores acrescentaram que os operadores usaram uma instância autohospedada de NextChat conectada ao Claude e ao GPT-4.1, e que scripts gerados por IA ficaram expostos na própria infraestrutura adversária. Também foi descrito um padrão de tentativa e erro, com reescrita sucessiva de comandos até chegar a um método funcional de cópia via snapshots.

A Grid the Grey acrescentou que ambas as campanhas compartilhavam relés SOCKS5 e que os atacantes usaram LLMs comerciais junto com implantações próprias do NextChat para planejar e orquestrar fases do ataque. Essa leitura situou CL-CRI-1131 no México e no Equador, com foco em transporte e governo, e CL-CRI-1163 no Brasil, com foco no setor financeiro.

The Hacker News informou agora que CL-CRI-1163 também circula na comunidade sob os nomes Breeze Comet, Plump Spider e SHADOW-AETHER-064. A publicação o descreve como um grupo de cibercrime que infiltra sistemas financeiros brasileiros para abusar da infraestrutura de pagamentos e realizar transações ilegais com fins de lucro.

O que mostram os outros relatórios sobre ransomware na região?

O restante dos relatórios desenha um mercado regional mais amplo e com vários atores em atividade. A Insomnia informou uma campanha atribuída com alta confiança ao BlackCat/ALPHV, com vítimas em 22 países e técnicas como spearphishing, exploração de infraestrutura exposta, uso de contas válidas, exfiltração para armazenamento em nuvem, criptografia de dados e desfiguração externa.

Essa análise também indicou que as campanhas observadas contra BlackCat/ALPHV atingiram saúde, energia, manufatura, jurídico e SaaS. O acesso inicial variou entre spearphishing, exploração de appliances de borda sem correção e credenciais válidas compradas ou roubadas.

No plano regional, o El Economista citou um relatório da SCILabs que registrou 290 ataques de ransomware entre janeiro e junho de 2026 na América Latina, ligados a 50 variantes diferentes. O mesmo relatório apontou alta de 25,5% em relação ao período anterior e disse que o México concentrou 17,93% da atividade regional, o equivalente a cerca de 52 casos, atrás do Brasil.

A SCILabs também detalhou que o setor de serviços concentrou 19,66% dos incidentes, cerca de 57 casos, seguido por governo, com 11,72%, e manufatura, com 8,28%. Entre as variantes, The Gentlemen foi a mais ativa na América Latina, com pelo menos 49 ataques, à frente de Qilin, com 46, e LockBit 5.0, com 43.

A BlackFog acrescentou um caso pontual de impacto em governo local, com um incidente de ransomware contra o município de San Luis Potosí, no México, onde foi confirmada a exfiltração de informações de funcionários antes de uma tentativa de extorsão. Em outro frente, a Acronis apontou The Gentlemen como o grupo mais ativo em julho de 2026, com 162 vítimas conhecidas, seguido por Qilin, com 128, um salto em relação a junho.

Também apareceu um ator emergente. A Darkfield documentou o Vexy Ransomware e registrou a Engefitas, uma empresa brasileira ligada a setores industriais, como vítima no vertical de energia e utilities. O perfil indicou que o Vexy havia somado oito vítimas públicas entre 3 e 6 de setembro de 2026, e que seu foco em energia e utilities no Brasil merece monitoramento pelos impactos sobre infraestrutura crítica.