Guillem Alsina Gonzàlez
Ainda esta semana, ficámos a saber que as informações técnicas incluídas nos boletins que comunicam as falhas de segurança encontradas em sistemas operativos e aplicações podem ser aproveitadas por meio de inteligência artificial para gerar o código-fonte de um exploit viável em apenas alguns minutos. Agora, a Trend Micro (empresa dedicada à área da cibersegurança) questiona as próprias informações que são tornadas públicas sobre uma vulnerabilidade quando esta é encontrada.
As empresas de cibersegurança publicam regularmente estas análises aprofundadas dos incidentes, nas quais detalham as táticas, técnicas e procedimentos dos atacantes, bem como vulnerabilidades, mecanismos de entrega de malware e técnicas de evasão.
A Trend Micro indica que, embora essa transparência seja útil para compreender o panorama das ameaças e melhorar as defesas, ela também se tornou uma faca de dois gumes. O balanço apresentado pelo relatório é que os benefícios para os defensores superam os riscos, mas os atacantes consomem esses conteúdos e aprendem com eles para evoluir as suas técnicas e ataques.
Para verificar até onde vai esse risco, a equipa realizou uma experiência de vibe coding — geração assistida por IA a partir de descrições textuais — que replicou as capacidades do ator Earth Alux com um LLM e ferramentas de desenvolvimento, obtendo código que imitava padrões de comunicação e componentes como o backdoor VARGEIT e RAILLOAD.
O teste foi executado com Claude 4 Opus junto com Visual Studio Code e Cline; a primeira versão foi gerada em Python e posteriormente reescrita em C. De acordo com a análise, contornar as barreiras de criação de malware foi viável usando modelos sem censura disponíveis publicamente, embora o código resultante não fosse totalmente funcional sem um certo conhecimento técnico para finalizá-lo.
Atribuição sob pressão
O trabalho destaca que a documentação pública de campanhas — por exemplo, descrições de famílias de malware, fluxos de comando e controlo ou técnicas de persistência — pode se tornar uma “receita” para campanhas imitadoras e bandeiras falsas que confundem a atribuição quando esta se baseia apenas em TTP ou em indicadores de comprometimento.
A atribuição consiste em determinar qual grupo de cibercriminosos cometeu um ataque, com base nas evidências que eles deixam durante suas ações, algo como a investigação de um caso pela polícia.
A facilidade introduzida pelo vibe coding permite reduzir as barreiras de entrada e permite que perfis sem grande formação técnica construam peças de código funcional até certo ponto, a partir de instruções em linguagem natural.
O relatório lembra que a atribuição já era complexa devido a práticas como a reutilização de componentes ou infraestrutura, o mimetismo de TTP, o uso de artefatos enganosos e as técnicas de living off the land. A adoção precoce de IA e LLM por alguns grupos APT, juntamente com ferramentas de prototipagem rápida baseadas em texto, reforça essa tendência e exige métodos de análise mais estruturados.
De acordo com as conclusões, a resposta não passa por travar a publicação dos boletins que, de outra forma, constituem ferramentas úteis para as equipas de defesa. Por isso, a Trend Micro propõe adaptar a forma de publicar para considerar o potencial uso indevido por meio da IA e reforçar metodologias avançadas de atribuição, com estruturas como o Diamond Model e um maior peso da intenção, objetivos e seleção de vítimas na análise.
