Grupo de ransomware usa inteligência artificial para atacar Active Directory e servidores VMware ESXi
Um afiliado do ransomware Aurora incorporou inteligência artificial a diferentes etapas de uma campanha contra redes corporativas. Entre abril e julho de 2026, mais de 20 organizações foram atingidas em operações que tiveram como foco ambientes Windows, o Active Directory e servidores de virtualização VMware ESXi.
A investigação aponta que o criminoso utilizou o Cursor, um assistente de programação baseado em IA, para criar comandos, adaptar ferramentas e organizar sequências de ataque. A tecnologia não funcionou como um mecanismo autônomo capaz de invadir sistemas sozinha, mas ajudou o operador a acelerar tarefas técnicas e ajustar procedimentos conforme as características de cada vítima.
Active Directory foi um dos principais alvos
Um dos pontos mais importantes da campanha foi o Active Directory Certificate Services, conhecido pela sigla ADCS. Esse componente é utilizado por muitas empresas para administrar certificados digitais e autenticar usuários e dispositivos. Quando configurado de forma inadequada, porém, pode abrir caminhos para elevação de privilégios e tomada de controle da rede.
O operador recorreu à IA para analisar possibilidades de exploração, aperfeiçoar comandos e identificar rotas que levassem a contas privilegiadas. O objetivo final era obter acesso administrativo amplo, especialmente credenciais com capacidade de controlar o domínio corporativo.
A atuação também envolveu técnicas conhecidas de abuso do Active Directory. Entre elas estavam o noPac e ataques de retransmissão NTLM realizados com ferramentas e métodos associados ao PetitPotam, PrinterBug e DFSCoerce. Dependendo da configuração do ambiente, essas abordagens podem permitir que um invasor avance de uma posição inicial limitada para privilégios de administrador de domínio.
IA acelera adaptação durante a invasão
O uso de um assistente de programação tornou mais rápida a preparação de scripts e comandos. Em vez de depender apenas de ferramentas prontas, o atacante podia solicitar ajustes para diferentes versões do Windows, modificar parâmetros e corrigir erros durante a execução.
Essa flexibilidade é especialmente perigosa em ambientes corporativos heterogêneos, nos quais controladores de domínio, estações de trabalho e servidores apresentam configurações distintas. A IA pode ajudar a adaptar uma mesma técnica a sistemas específicos, reduzindo o tempo necessário para testar alternativas.
Ainda assim, a tecnologia não elimina a necessidade de conhecimento humano. A escolha dos alvos, a interpretação dos resultados e a decisão sobre quando avançar ou interromper uma etapa continuam dependendo do operador. O principal ganho para o criminoso está na velocidade e na capacidade de experimentar diferentes caminhos.
Exfiltração antes da criptografia
Depois de ampliar o controle sobre a infraestrutura, os invasores coletavam grandes quantidades de informações. Os arquivos eram reunidos e compactados antes da transferência para fora da rede, procedimento que facilita a exfiltração e pode reduzir o volume de tráfego necessário.
Essa etapa indica que o ataque não tinha como único objetivo bloquear os sistemas. A cópia de documentos, bases de dados e informações internas pode ser usada posteriormente para extorsão. Mesmo que a empresa consiga restaurar os arquivos criptografados, ainda poderá sofrer pressão caso os dados roubados sejam divulgados ou vendidos.
A preparação para a exfiltração também pode dificultar a detecção. O criminoso pode dividir a coleta em etapas, utilizar horários de menor movimento e armazenar temporariamente os dados em locais intermediários dentro da própria rede.
Aurora atinge Windows, Linux e VMware ESXi
Após consolidar o acesso, o grupo implantava o ransomware Aurora em diferentes plataformas. A ameaça era capaz de atingir sistemas Windows e Linux, além de servidores VMware ESXi, amplamente utilizados para hospedar máquinas virtuais em data centers e ambientes corporativos.
Nos servidores ESXi, a variante do malware interrompe as máquinas virtuais antes de iniciar a criptografia. Essa ação aumenta o impacto do ataque porque impede que aplicações, bancos de dados e serviços continuem funcionando. Ao afetar o host de virtualização, os criminosos conseguem paralisar vários sistemas de uma só vez.
Em computadores Windows, o ransomware também tenta remover cópias de sombra e desativar recursos de recuperação. Essas medidas reduzem as chances de restauração rápida e obrigam a organização a recorrer a backups externos ou a procedimentos de recuperação mais complexos.
Por que servidores ESXi são tão visados
A virtualização concentra diversos serviços em uma quantidade menor de servidores físicos. Por isso, o comprometimento de um host ESXi pode causar efeitos muito mais amplos do que a infecção de uma única estação de trabalho.
Além da criptografia, os criminosos podem desligar máquinas virtuais, apagar snapshots e alterar configurações de armazenamento. Se os backups estiverem conectados ao mesmo ambiente ou acessíveis com as mesmas credenciais, também poderão ser comprometidos.
Para reduzir esse risco, as empresas devem separar a administração do ambiente virtualizado da rede comum de usuários. O acesso ao console de gerenciamento precisa ser limitado, protegido por autenticação multifator e monitorado continuamente.
Medidas para proteger o Active Directory
A defesa contra esse tipo de campanha começa pela revisão do Active Directory e do ADCS. Certificados, modelos de emissão e permissões administrativas devem ser avaliados para identificar configurações que permitam abuso ou emissão indevida de credenciais.
Também é importante eliminar privilégios excessivos, utilizar contas administrativas separadas e impedir que administradores usem credenciais elevadas em estações comuns. A aplicação regular de atualizações de segurança é essencial para reduzir a exposição a falhas exploradas por técnicas como noPac.
Organizações devem ainda acompanhar eventos relacionados a autenticação NTLM, alterações de grupos privilegiados, criação de contas, emissão de certificados e uso anormal de ferramentas administrativas. Mudanças inesperadas nesses registros podem indicar que o invasor está avançando pela rede.
Backups não podem permanecer acessíveis
Cópias de segurança precisam estar isoladas do ambiente de produção e protegidas por credenciais diferentes. Sempre que possível, uma parte dos backups deve permanecer offline ou em armazenamento imutável, impedindo que o ransomware os apague ou modifique.
Testes periódicos de restauração são igualmente importantes. Um backup que nunca foi validado pode estar incompleto, corrompido ou indisponível no momento de uma crise. A recuperação deve ser praticada para sistemas Windows, Linux e plataformas de virtualização.
A campanha mostra que a inteligência artificial já pode ser usada por grupos criminosos para acelerar invasões complexas. Por isso, a proteção precisa combinar correções técnicas, segmentação de rede, controle de privilégios, monitoramento de identidades e planos de resposta capazes de conter rapidamente o comprometimento de servidores críticos.