Grupo russo ligado à Midnight Blizzard usa Claude para reconstruir malware automaticamente após detecção
A Anthropic revelou a disrupção do GTG-20006, um grupo patrocinado pelo estado russo associado à Midnight Blizzard (APT29/Cozy Bear), que usou agentes de IA para monitorar continuamente se seu malware era detectado por produtos de segurança e reescrevê-lo automaticamente sempre que uma assinatura o pegava. O grupo mirou autoridades de inteligência militar da Ucrânia e de governos europeus, distribuindo famílias de malware como PowerChrome e Shadow C2 via phishing, esquemas ClickFix e sequestro de DNS.
A Anthropic atribuiu a um grupo de ameaça patrocinado pelo estado russo, catalogado como GTG-20006, uma operação que integra o Claude a um ciclo de evasão de detecção quase totalmente automatizado. Segundo o relatório, o grupo já estava alinhado com reportagens anteriores sobre a Midnight Blizzard (também conhecida como APT29 ou Cozy Bear), um dos clusters de espionagem cibernética mais associados a operações de inteligência russas nos últimos anos.
O diferencial técnico dessa campanha é o loop de feedback automatizado: agentes de IA monitoravam continuamente como cada artefato de malware se saía contra defesas de segurança conhecidas e, ao identificar que uma variante havia sido sinalizada, o próprio agente assumia a tarefa de modificar e reconstruir o código para escapar daquela detecção específica, sem que um operador humano precisasse reescrever manualmente o malware a cada iteração. Uma vez que uma versão conseguia passar despercebida, ela era hospedada em servidores descartáveis e distribuída por múltiplos canais: phishing tradicional, esquemas ClickFix (que induzem a vítima a executar comandos maliciosos copiados da área de transferência) e sequestro de DNS. O arsenal documentado inclui implantes Windows, kits de exploração móvel, ladrões de credenciais e consoles administrativos, com famílias nomeadas como PowerChrome, WUEngine, Shadow C2, GiftDrop e DarkSword.
Os alvos reportados — autoridades de inteligência militar em governos da Ucrânia e da Europa, organizações diplomáticas e contatos ligados à política externa dos EUA — são consistentes com o perfil histórico de coleta de inteligência da APT29, mas a novidade real aqui é operacional: usar um modelo de linguagem para automatizar o próprio ciclo de desenvolvimento e teste de evasão de antivírus/EDR, tarefa que tradicionalmente consome tempo de engenheiros de malware especializados e limita a velocidade com que novas variantes podem ser produzidas.
Na prática, isso reduz drasticamente o tempo entre ‘malware detectado’ e ‘nova variante operacional em campo’, o que corrói a eficácia de defesas baseadas primariamente em assinaturas e reforça a necessidade de detecção comportamental e de rede menos dependente de hashes ou padrões estáticos. Para a comunidade de defesa, o episódio também é um lembrete de que provedores de LLM se tornaram, na prática, parte da cadeia de suprimentos ofensiva de grupos de estado-nação, o que justifica o investimento da Anthropic em monitoramento e disrupção ativa dessas contas.