Servidor exposto revela toolkit de phishing assistido por IA por trás de campanha WebDAV contra usuários no México
A Rapid7 encontrou um servidor de operador de malware totalmente aberto, com 1.048 arquivos incluindo templates de isca, testes, droppers e anotações de construção geradas com apoio de um agente de codificação de IA. A campanha ativa abusa da CVE-2025-33053 para forçar o Windows a carregar uma DLL maliciosa a partir de um compartilhamento WebDAV controlado pelo atacante, entregando um infostealer disfarçado de PDF. Entre 20 e 26 de junho de 2026 a operação registrou mais de 77 mil requisições, 82,5% delas originadas do México.
O achado da Rapid7 não veio de engenharia reversa de malware, mas de um erro operacional banal: o atacante deixou o servidor de distribuição completamente exposto, permitindo o acesso a 1.048 arquivos que documentam o processo de criação da campanha do início ao fim — templates de lure, testes de spoofing de nome de arquivo, experimentos de execução, droppers e anotações de construção ("builder notes"). É raro ter esse nível de visibilidade sobre o workflow interno de um operador de phishing.
O uso de IA aparece justamente nesse material de bastidor: os pesquisadores identificaram referências a Coderrr, um agente de codificação open-source inspirado em ferramentas como Claude e GitHub Copilot, e notaram que os READMEs e guias de geração de iscas tinham a formatação padronizada, verbosidade e uso pesado de emojis típicos de saída gerada por LLM. Ou seja, o atacante usou um assistente de IA para produzir e iterar sobre material de engenharia social em escala, não apenas para escrever código.
A cadeia técnica de entrega explora a CVE-2025-33053 (CVSS 8.8): um atalho .url malicioso invoca um binário legítimo do Windows apontando seu diretório de trabalho para um compartilhamento WebDAV do atacante, fazendo o sistema operacional carregar uma DLL maliciosa remota como se fosse local. O payload final é um arquivo .scr disfarçado de PDF, usando um truque de override de direção de texto (right-to-left override) para esconder a extensão real, que instala um infostealer .NET diretamente em memória.
O alvo era claramente definido: usuários mexicanos, atraídos por um domínio typosquat (gobf[.]mx) que imita o serviço oficial de consulta da CURP, o documento nacional de identificação do México. A telemetria mostrou 77.098 requisições vindas de 3.892 IPs únicos em uma janela de seis dias, com 82,5% do tráfego originado do país. Isso reforça que campanhas de phishing hoje combinam abuso de vulnerabilidades conhecidas do Windows com produção de conteúdo assistida por IA para operar com volume e velocidade que antes exigiriam equipes muito maiores.