O relatório de inteligência de ameaças do terceiro trimestre da Rapid7 revelou uma aceleração sem precedentes no ritmo de exploração de vulnerabilidades de segurança; os invasores agora lançam ataques contra vulnerabilidades de alto risco em uma média de três dias a partir da data de anúncio, enquanto 71% delas foram exploradas apenas na primeira semana após a divulgação pública.
Corrida por vulnerabilidades críticas e o domínio do ransomware
Os dados mostraram que cerca de 79% dessas vulnerabilidades se enquadram na categoria de extrema gravidade ou o que é conhecido nos círculos de segurança como o "Santo Graal" (Holy Grail); por permitirem a execução remota sem a necessidade de credenciais prévias ou exigirem interação do usuário local. Essa aceleração coloca as equipes de proteção e defesa cibernética sob intensa pressão de tempo para aplicar atualizações e corrigir falhas antes que elas se transformem em invasões em grande escala.
Ao mesmo tempo, o ransomware manteve sua posição como a ameaça mais agressiva e impactante globalmente, liderando os setores de serviços empresariais, manufatura e saúde na lista dos alvos mais vulneráveis a ataques. Os Estados Unidos lideraram a lista de países visados com 60% dos ataques registrados, seguidos pela Alemanha com 7%, e Itália e Canadá com 5% cada. Os ataques direcionados ao setor governamental registraram um aumento notável de 15% em comparação com o trimestre anterior.
Principais gangues de ransomware e distribuição de alvos
No front dos atores do cibercrime, dois grupos principais lideraram a lista de ataques bem-sucedidos: a gangue "The Gentlemen" assumiu a responsabilidade por 342 incidentes, seguida de perto pela gangue "Qilin" com 339 incidentes. O restante da lista ativa incluiu grupos como "INC Ransom" com cerca de 99 ataques, "DeadLock" com 98 ataques, além da "Krybit" com 95 ataques anunciados.
A realidade da inteligência artificial nas operações cibernéticas
Ao contrário do alarmismo predominante nos círculos técnicos sobre o controle total por invasores apoiados por IA, os resultados do relatório mostraram que ferramentas de inteligência artificial apareceram como um elemento operacional em apenas 8% do total de incidentes rastreados. As análises indicaram que os ataques ainda são geridos por decisões humanas diretas; o elemento humano determina o alvo e o mecanismo de execução em todos os casos registrados, enquanto o papel da inteligência artificial se limita a automatizar a "fase tática intermediária" da cadeia de ataque, como a seleção de técnicas adequadas, triagem de alvos e recuperação automática quando uma etapa específica falha.
A Rapid7 apontou a necessidade de distinguir entre o ritmo de uso da inteligência artificial para descoberta de vulnerabilidades e auditoria de código, que está se acelerando genuinamente, e seu uso direto na execução de explorações complexas, que ainda não emergiu como um fenômeno generalizado nos dados de campo. Nesse contexto, os invasores recorrem a truques como a fragmentação de comandos e prompts em várias sessões interativas (Multi-session Prompting) para burlar os mecanismos de proteção e os sistemas de detecção embutidos nos modelos de IA como serviço.
Atividade de ameaças avançadas e o mercado de acesso inicial
O relatório monitorou a atividade de 15 diferentes grupos de Ameaças Persistentes Avançadas (APT) e gangues de espionagem cibernética, com foco principal em agências governamentais, além dos setores de defesa, transporte, mídia e energia. Isso incluiu grupos ligados à Rússia, como Sandworm e Void Blizzard, o grupo chinês APT31 e o grupo Lazarus da Coreia do Norte, cuja utilização de um pacote de software malicioso inédito voltado para ambientes Linux e direcionado a infraestruturas na Coreia do Sul foi documentada.
No nível das plataformas da dark web, a atividade dos corretores de acesso inicial (Initial Access Brokers) continuou a dominar, com anúncios fornecendo caminhos de invasão que variam de credenciais bancárias completas a uma base permanente dentro de redes corporativas; mais de 65% das postagens monitoradas focaram na venda de acesso ao protocolo de área de trabalho remota (RDP) ou acesso a redes internas, representando um indicador vital e precoce que os defensores devem aproveitar para monitorar vetores de ataque futuros.
O que isso significa para as equipes de defesa cibernética?
Essa transição impõe uma reorganização imediata das prioridades defensivas dentro das organizações técnicas, e os requisitos para lidar com esse cenário podem ser resumidos da seguinte forma:
- Redução do tempo de correção de vulnerabilidades: O modelo de patch mensal não é mais suficiente para vulnerabilidades voltadas para a internet; a nova média (3 dias) exige a automação da aplicação de atualizações e procedimentos de bloqueio imediato para serviços expostos.
- Monitoramento do consumo de APIs de IA: Rastrear solicitações de API emitidas por dispositivos ou processos não familiares dentro da rede para detectar precocemente qualquer uso não autorizado de ferramentas inteligentes.
- Fortalecimento dos pontos de acesso remoto: Aprimorar o monitoramento de portas RDP e aplicar autenticação multifator para privar os corretores de acesso inicial de explorar redes e vendê-las para gangues de ransomware.