Um ator de ameaças individual e falante de russo, conhecido como "bandcampro", terceirizou parte de suas operações para a inteligência artificial (IA) de código aberto Gemini CLI (interface de linha de comando) do Google e comandou uma botnet ativa.
As conclusões vêm de uma análise de 200 registros de sessões do Gemini CLI entre 19 de março e 21 de abril de 2026, que identificou o ator de ameaças usando IA, entre outras coisas, para quebrar senhas, configurar um proxy residencial, comprometer comerciantes do WordPress e planejar um esquema de fraude com criptomoedas por telefone voltado a idosos nos Estados Unidos e no Canadá.
"Os registros documentaram como o ator de ameaças usou um agente de IA para migrar um servidor de comando e controle (C2) e controlar uma botnet (rede de dispositivos infectados controlada remotamente) de pequena escala, entre outras atividades de hackers", disseram os pesquisadores da Trend Micro Joseph C Chen, Philippe Lin, Lucas Silva, Vladimir Kropotov e Fyodor Yarochkin em um relatório.
"Toda a operação de C2 cabe em três arquivos em texto simples que somam cerca de 5 KB, o que a torna altamente replicável e efetivamente descartável. A IA também foi observada propondo melhorias de forma proativa (sem ser solicitada) 59 vezes."
Especificamente, o ator de ameaças teria abusado do Google Gemini CLI para implantar e operar uma infraestrutura de C2 a fim de controlar oito computadores em uma clínica odontológica e acessar seu banco de dados do OpenDental. Além de escrever trechos de código, a IA atuou como o "agente de hacking, consultor e interface principal" de toda a operação.
Isso incluiu configurar o servidor, implantá-lo em um novo servidor virtual privado (VPS), montar túneis do Cloudflare, gerenciar os bots e depurar problemas de conectividade.
Os detalhes sobre o "bandcampro" surgiram pela primeira vez no final de maio de 2026, em conexão com uma campanha chamada Patriot Bait que utilizou técnicas de operação de informação (IO) assistidas por IA para administrar um canal no Telegram, mirando públicos americanos politicamente engajados em fraudes com criptomoedas e roubo de credenciais assistido por IA.
A Trend Micro descreveu o ator de ameaças como um falante de russo que usou o Google Gemini para "se passar por um patriota veterano americano e evitar construções frasais em russo", enquanto enganava o agente de IA para burlar suas barreiras de segurança assumindo o papel de um "pentester autorizado".
Diz-se que o ator de ameaças executou comandos para estudar a antiga infraestrutura de C2, na qual as máquinas vítimas se conectavam por meio de túneis do Cloudflare, e migrá-la para uma nova arquitetura em apenas seis minutos. A arquitetura envolve as vítimas emitindo requisições de saída para um servidor de C2 via HTTPS, a fim de baixar e executar comandos em PowerShell preparados pelo ator no servidor.
"A migração apresentou erros imediatamente, mas o agente de IA os resolveu: quando o servidor de distribuição de payloads retornou um erro '502 Bad Gateway', a IA diagnosticou o problema e adicionou automaticamente o cabeçalho necessário para corrigi-lo", afirmou a Trend Micro.
"Como o Cloudflare ainda bloqueava as requisições, a IA identificou que o cabeçalho User-Agent era necessário para contornar o WAF (firewall de aplicação web) e, assim, o adicionou ao cabeçalho da requisição. O ator não fez nenhuma depuração, e a migração foi concluída em apenas seis minutos."
Depois que a migração foi concluída, o agente de IA realizou depurações adicionais para corrigir erros que haviam deixado todas as máquinas vítimas desconectadas da infraestrutura de C2. Além disso, verificou-se que o ator de ameaças vem se valendo do agente de IA para executar tarefas de gerenciamento da botnet, enviando instruções em linguagem natural em russo, que permitiram à ferramenta realizar as seguintes tarefas:
- Informar quais máquinas estão ativas
- Enviar um comando de enumeração de arquivos ao bot
- Enviar comandos de reconhecimento à máquina da recepção
- Gerar um comando de uma linha em PowerShell para infectar uma máquina
O que é particularmente preocupante nessa configuração assistida por IA é que toda a operação de C2 pode ser facilmente portada para um novo servidor por meio de três arquivos markdown que instruem o agente a desativar suas proteções de segurança, contêm a descrição da arquitetura e incluem etapas para construí-la do zero, tornando as operações de derrubada (takedowns) muito menos eficazes do que antes.
"Facilitada pela IA, a infraestrutura se torna descartável e os operadores, substituíveis", afirmou a Trend Micro. "Embora as derrubadas (takedowns) continuem eficientes, elas se tornam muito menos impactantes. Se um servidor for queimado, o ator pode simplesmente descompactar o pacote em um novo VPS, e a IA configura e restaura tudo em poucos minutos."
As descobertas mostram que a tecnologia não apenas reduz os recursos necessários para conduzir operações em larga escala, como também permite que agentes mal-intencionados com pouco ou nenhum conhecimento técnico montem esquemas desse tipo com esforço mínimo ou os distribuam em fóruns clandestinos na forma de arquivos de habilidade maliciosos, abrindo caminho para novos serviços de malware impulsionados por IA que vão além dos modelos convencionais "como serviço".
Esse manual de operações também tem o efeito colateral de complicar os esforços de atribuição, já que não há um serviço centralizado para rastrear, e um agente de IA pode facilmente regenerar ou modificar qualquer componente à vontade, a fim de escapar de assinaturas específicas.
Em um dado momento, o "bandcampro" teria solicitado à IA a construção de uma "bomba-agente" autopropagável, que escanearia a rede e invadiria o maior número possível de máquinas — pedido que o agente recusou, afirmando que "cruza a linha". Ao mesmo tempo, ele ofereceu sugestões úteis para contornar manualmente as limitações.
Também foi constatado que o ator de ameaças tem se apoiado no agente de IA para outras tarefas, a saber:
- Quebra de senhas, que usou o agente como um motor de mutação de credenciais para prever senhas possíveis com base em uma lista de entrada obtida no AntiPublic, que mantém um banco de dados de credenciais vazadas, e utilizou esses palpites como ferramenta de força bruta em painéis administrativos do WordPress, obtendo acesso com sucesso em alguns casos.
- Exploração de credenciais, que analisou despejos de memória do 1Password em busca de caminhos de exploração. A tarefa, porém, terminou em fracasso, ainda que somente porque a janela de contexto ficou longa demais, e o sistema perdeu o controle do que deveria fazer.
- Planejamento de fraude com criptomoedas, que envolveu discutir a viabilidade de estabelecer um esquema fraudulento por telefone mirando idosos nos EUA e no Canadá.
"Ao longo do mês completo de registros, o ator contribuiu com 11% do texto produzido e a IA, com 89% — doze vezes a contagem de palavras do ator", concluiu a Trend Micro. "O ator forneceu direção estratégica e funcionou como gerente de produto, enquanto a IA era toda a sua equipe de engenharia, lidando com 80% do desenho da arquitetura, 100% da codificação e execução de comandos de sistema, e 90% do diagnóstico e depuração de problemas."
"O modelo portátil de arquivo de habilidade significa que essa metodologia provavelmente vai se espalhar. O arquivo de habilidade é texto simples, difícil de ser sinalizado por scanners tradicionais de malware isoladamente, compartilhável em fóruns e modificável em segundos. Ele transforma qualquer agente de codificação de IA capaz em um operador de C2, caso consiga persuadir com sucesso os mecanismos de segurança embutidos nos agentes de IA."
