Chatbots de IA como arma: Hackers transformam Gemini e funções de navegação em canais C2 furtivos

O cenário da cibersegurança está testemunhando o nascimento de um novo e insidioso vetor de ameaça: a transformação em arma de serviços legítimos de Inteligência Artificial baseados em nuvem. Agentes de ameaças agora estão reutilizando ativamente chatbots de IA—especificamente aqueles com funcionalidades integradas de navegação na web—para funcionarem como relés furtivos de comando e controle (C2) para malware. Essa técnica marca uma evolução significativa nas táticas de evasão, afastando-se dos servidores C2 tradicionais e facilmente listados em blacklists, para abusar da infraestrutura confiável dos gigantes da tecnologia.

Anatomia de um canal C2 potencializado por IA

O cerne dessa metodologia de ataque está em explorar a natureza dual dos assistentes de IA modernos. Serviços como Google Gemini, Microsoft Copilot e outros oferecem não apenas IA conversacional, mas também a capacidade de buscar informações em tempo real da web. De uma perspectiva de segurança, isso cria um canal de saída sancionado. Operadores de malware cooptaram esse canal de forma engenhosa. Em vez de fazer dispositivos infectados chamarem para um domínio suspeito, o malware instrui o chatbot de IA local—por meio de scripts automatizados ou prompts ocultos—a visitar uma página web específica controlada pelo atacante. Essa página, que pode parecer inócua, contém o próximo conjunto de comandos codificados em seu conteúdo.

O serviço de IA, atuando como um proxy involuntário, busca esses dados. O malware então raspa a resposta ou interface do chatbot para recuperar as instruções ocultas. Esse processo efetivamente torna a requisição web da IA a comunicação C2, misturando tráfego malicioso perfeitamente com tráfego legítimo de alto volume para domínios como google.com ou bing.com, que raramente são bloqueados por firewalls corporativos ou examinados com a mesma suspeita que IPs desconhecidos.

Caso de estudo: PromptSpy e a automação da persistência

Um exemplo concreto dessa tendência é a família de malware 'PromptSpy' direcionada a dispositivos Android. Conforme documentado por pesquisadores em cibersegurança, o PromptSpy demonstra um abuso multifacetado da IA. Sua função principal é espionagem, projetada para roubar dados sensíveis do usuário. No entanto, seu uso inovador do aplicativo Gemini do Google para persistência é o que o diferencia.

Após a infecção, o PromptSpy emprega os serviços de acessibilidade do Android—um recurso destinado a auxiliar usuários com deficiências—para obter controle profundo do dispositivo. Em seguida, automatiza interações com o aplicativo Gemini. Uma de suas rotinas automatizadas principais envolve abrir repetidamente o menu 'Apps recentes'. Esse comportamento aparentemente estranho é um mecanismo de persistência calculado. Em muitos sistemas Android, aplicativos usados com frequência têm menor probabilidade de serem encerrados pelo gerenciamento de memória do sistema operacional. Ao garantir que o aplicativo Gemini (e por associação potencial, seus próprios processos) permaneça 'ativo', o malware aumenta sua longevidade no dispositivo infectado.

Essa sinergia entre malware e um aplicativo de IA legítimo cria uma poderosa combinação furtiva. O malware usa o serviço de IA tanto como uma ferramenta para manter sua posição quanto, potencialmente, como o canal para exfiltração de dados ou recuperação de comandos via recurso de navegação, tudo enquanto opera sob a aparência de atividade normal do usuário.

Implicações para a segurança corporativa e detecção

Essa evolução apresenta desafios profundos para os centros de operações de segurança (SOC) e defensores de rede:

1. Camuflagem de tráfego: O tráfego C2 não é mais uma chamada para um servidor 'à prova de balas' em um país estrangeiro. É uma requisição HTTPS para um grande provedor de nuvem confiável, muitas vezes indistinguível de consultas legítimas de usuários ao serviço de IA.
2. Cegueira de reputação de domínio: Ferramentas de segurança que dependem de listas de reputação de domínio e IP tornam-se ineficazes. Bloquear o acesso aos serviços de IA do Google ou da Microsoft não é uma opção viável para a maioria das empresas.
3. Barreiras na análise comportamental: Detectar tráfego de rede anômalo torna-se extremamente difícil. O foco deve mudar para a detecção em endpoint: identificar processos maliciosos que estão automatizando interações com aplicativos de IA, monitorar o uso incomum de serviços de acessibilidade (como com o PromptSpy) e analisar o comportamento de scripts locais.
4. O problema da confiança na cadeia de suprimentos: Explora a confiança inerente depositada em aplicativos e serviços de primeira parte dos principais fornecedores, que normalmente estão na whitelist e são minimamente monitorados.

Seguindo em frente: Uma nova postura de defesa

Combater essa ameaça requer uma estratégia de defesa em camadas que vá além dos controles perimetrais de rede:

• Aprimoramento da Detecção e Resposta em Endpoint (EDR): As ferramentas EDR devem ser ajustadas para sinalizar processos que controlam ou interagem programaticamente com aplicativos de chatbots de IA, especialmente aqueles que aproveitam as APIs de acessibilidade para fins diferentes da assistência ao usuário.

• Análise de Comportamento de Usuários e Entidades (UEBA): Estabelecer linhas de base para o uso normal de serviços de IA por usuário pode ajudar a identificar contas fazendo consultas automatizadas, de alta frequência ou logicamente anômalas aos chatbots.

Inspeção de conteúdo: Embora o canal de rede seja confiável, uma inspeção mais profunda do conteúdo* sendo buscado pelos recursos de navegação da IA—procurando por padrões de dados codificados ou criptografados nas requisições web iniciadas por esses serviços—poderia fornecer pistas.

• Controle e fortalecimento de aplicativos: Restringir a instalação de aplicativos de chatbots de IA em dispositivos gerenciados corporativamente, ou controlar estritamente suas permissões (especialmente serviços de acessibilidade e direitos de navegação na web), pode reduzir a superfície de ataque.

Conclusão

O surgimento de chatbots de IA como relés de malware não é uma vulnerabilidade teórica, mas uma ameaça ativa, conforme evidenciado por famílias como o PromptSpy. Representa uma convergência inteligente de engenharia social (confiança em aplicativos de marcas consolidadas) e evasão técnica. Para profissionais de cibersegurança, a mensagem é clara: a superfície de ataque se expandiu para o reino da produtividade assistida por IA. Estratégias defensivas agora devem considerar a possibilidade de que alguns dos serviços mais confiáveis do ecossistema digital possam ser transformados em armas potentes no arsenal de um atacante. O monitoramento contínuo do comportamento do endpoint, em vez de apenas os fluxos de rede, será primordial para identificar e neutralizar esses centros de comando encobertos potencializados por IA.