Operação Ofensiva Impulsionada por Agentes de IA: Diretório Aberto de Adversário Revela Campanha Autônoma de Roubo de Criptomoedas que Resulta em Comprometimento em Massa de Carteiras e Credenciais

Resumo Executivo

A equipe de Inteligência de Ameaças Globais da CloudSEK identificou um diretório aberto pertencente a um operador ofensivo de língua chinesa, motivado financeiramente, que industrializou a intrusão ao executar uma frota de agentes de codificação de IA comerciais e de código aberto como uma equipe de hackers autônoma. O diretório disponibilizou a pasta de trabalho completa do operador na internet pública, expondo as ferramentas, metodologia, credenciais e dados roubados por trás de duas campanhas paralelas: exploração oportunista em toda a internet e roubo direcionado contra organizações de cripto e DeFi.

• Frota de ataque de IA autônoma: O operador controla vários agentes de codificação de IA (Claude Code, Codex e os agentes de código aberto Hermes e pi) em modo totalmente automático, com todas as aprovações de segurança desativadas, atribuindo tarefas e monitorando-os inteiramente via Telegram. Prompts digitados por humanos, recuperados das transcrições das sessões dos próprios agentes, mostram um modelo chinês reutilizável de "pentest autorizado" usado puramente como um invólucro de jailbreak, sem qualquer autorização real.
• Comprometimento em massa confirmado: Os arquivos de trabalho contêm mais de 12.000 registros reais de backdoors em WordPress (cada um sendo uma conta de administrador única criada pelo invasor), um conjunto separado de 66 credenciais de administrador de banco de dados genuinamente coletadas (sem backdoor) e um corpus de reconhecimento de 3,4 milhões de hosts, produzido por um pipeline automatizado de exploração de WordPress para webshell.
• Armazenamento direto de chaves de carteira e frases-semente: O operador detém chaves privadas, frases-semente e saldos ativos de centenas de carteiras de criptomoedas de usuários finais. A maior parte desse material foi extraída sem autenticação de um banco de dados em nuvem mal configurado de uma rede de clones de phishing (os usuários são vítimas dessa operação de phishing), enquanto um conjunto menor de chaves foi recuperado diretamente de seus próprios alvos. Ele detém separadamente inúmeras chaves de API e tokens de administrador validados e ativos para exchanges de cripto, protocolos DeFi e provedores de infraestrutura blockchain.
• C2 em blockchain e cryptojacking: O operador estava desenvolvendo um sistema de comando e controle resistente a derrubadas, no estilo EtherHiding, que oculta comandos em uma blockchain pública e, separadamente, implanta um minerador de Monero disfarçado em hosts comprometidos para gerar receita ilícita contínua.

Análise

Reconstruída a partir de horários de modificação de arquivos, histórico de shell e transcrições de sessões de agentes, a janela de atividade observada vai de 10 de julho de 2026 a 28 de julho de 2026, atingindo o pico por volta de 12 a 13 de julho.

Cronograma da operação 

Uma visão condensada da janela ativa de aproximadamente três semanas, desde varreduras em massa de cripto e DeFi até a consolidação de chaves de carteira e o desenvolvimento de C2 em blockchain.

• 10 a 13 de julho, direcionamento em massa: Fase mais intensa de geração automatizada de relatórios, dezenas de varreduras direcionadas de cripto e DeFi por dia e as primeiras tarefas de agentes recuperadas contra alvos específicos.
• Por volta de 13 de julho, configuração de mineração: Compilação e teste do minerador de Monero, seguidos pelo envio dos binários para os hosts de trabalho.
• 16 a 20 de julho, a campanha em massa amadurece: O pipeline de exploração em massa do WordPress ganha escala, juntamente com as evidências mais contundentes de roubo de carteiras em ecossistemas de bots de negociação e bancos de dados em nuvem abertos.
• 20 a 23 de julho, consolidação do espólio: Chaves privadas de carteiras e frases semente são consolidadas em conjuntos de dados combinados, com a geração de relatórios de varredura de dados sensíveis.
• 25 a 28 de julho, desenvolvimento de C2: O artigo de pesquisa e o projeto de comando e controle (C2) em blockchain são redigidos, o minerador é implantado e o monitoramento do WordPress continua. O último registro no histórico do shell é de 28 de julho.

Descoberta: Um host de preparação do operador exposto

A investigação começou com um diretório aberto hospedado em uma porta não padrão de um único host de preparação. A listagem de diretórios estava ativada e a raiz da pasta pessoal do operador podia ser navegada sem autenticação. O mapeamento da listagem recuperou um ambiente de trabalho com dezenas de milhares de diretórios e mais de cem mil arquivos, incluindo transcrições de sessões de agentes de IA, arquivos de configuração, corpora de reconhecimento, pastas de engajamento por alvo e evidências por descoberta com credenciais coletadas e dados roubados.

A natureza do host era inequívoca a partir de seu conteúdo: um projeto de desenvolvimento de C2 em blockchain, uma pilha de orquestração de agentes autônomos, um kit de ferramentas de exploração em massa do WordPress, um kit de RCE por desserialização, um minerador de criptomoedas e credenciais coletadas de um grande número de vítimas. O direcionamento era fortemente voltado para organizações de cripto e DeFi.

‍

Nota: Todas as descobertas neste relatório baseiam-se em artefatos que o operador deixou em seu próprio diretório de trabalho: respostas de API salvas, bancos de dados exportados, transcrições de sessões de agentes e histórico de shell. Nenhum código do atacante foi executado e nenhuma conexão de saída foi feita para a infraestrutura do atacante ou da vítima durante a análise. Tudo o que é substancial foi extraído da captura local estática.

‍

Cadeia de ataque da operação de ponta a ponta 

O operador comanda uma frota de agentes de IA via Telegram, que executa todo o ciclo de vida da intrusão sem supervisão contra vítimas oportunistas e alvos específicos, enviando credenciais roubadas, chaves de carteiras e receitas de mineração de volta para o operador.

Infraestrutura do Agente de Ameaças

Host de Preparação Principal

‍