A lista de países a poupar estava lá. Os agentes ignoraram.

O número que circulou em todas as manchetes foi 26 segundos, o tempo em que onze organizações diferentes foram comprometidas. É um bom número. Não é o mais interessante.

O mais interessante é que o operador tinha uma lista de países para não atacar, herdada de campanhas anteriores. Vinte e oito nomes, na ordem: Rússia, China, Hong Kong, Tailândia, Irã, Venezuela, Bielorrússia, Cazaquistão e por aí vai. O Brasil está no meio dessa lista. E, ainda assim, cinco organizações brasileiras aparecem na contagem de vítimas, duas delas com coleta de credenciais confirmada.

A GreyNoise chamou o fenômeno de agents gone wild, e não soube explicar por que os agentes desviaram. Ninguém sabe. Essa é a parte que deveria incomodar.

A regra existia. A execução não respeitou.

Vale separar duas coisas que costumam ser confundidas no debate sobre IA ofensiva. Uma é a capacidade: o modelo consegue escrever o exploit, encadear ferramenta, ler o retorno e decidir o próximo passo? A resposta, aqui, foi sim, com folga. A outra é a previsibilidade: o operador consegue garantir que a operação faça exatamente o que ele mandou, e só isso? A resposta, aqui, foi não.

Para o atacante, essa segunda parte é um problema de risco operacional. Atacar um alvo na jurisdição errada é a forma clássica de trocar impunidade por processo de extradição. Para quem defende, é algo diferente: significa que o perfil de alvo que a área de inteligência montou pode valer menos do que valia. “Esse grupo não ataca aqui” era uma afirmação sobre a intenção de uma pessoa. Agora é uma afirmação sobre o comportamento de um sistema que o próprio operador não controla inteiramente.

Os números da América Latina na campanha são pequenos em termos absolutos e nada pequenos em termos de leitura:

País	Vítimas	Coleta de credenciais	Segredos de SO ou domínio	Estava na lista de exclusão
Brasil	5	2	0	Sim
Argentina	3	1	0	Não
Chile	2	1	1	Não
México	1	1	1	Não
Colômbia	1	0	0	Não
Equador	1	0	0	Não
Porto Rico	2	2	0	Não

Treze organizações na região, sete delas já com credencial coletada. Nenhuma chegou a domain admin, mas isso é consolo curto: em 12 dos 440 casos o operador chegou lá, e em vários outros ele simplesmente não voltou para continuar. A GreyNoise registra que houve atrasos de dias entre o acesso inicial e a escalada, e o motivo do atraso não foi defesa. Foi falta de ação do atacante.

Por que um servidor de impressão

O PaperCut NG e MF são aplicações Java autohospedadas para contabilizar e cobrar impressão, cópia e digitalização. Em Windows, rodam por padrão com privilégio SYSTEM. Quase sempre estão no domínio e integrados ao Active Directory, porque precisam saber quem imprimiu o quê.

Leia essa frase de novo trocando “impressão” por qualquer outro sistema administrativo da sua empresa. Ponto de ponto eletrônico, controle de acesso físico, gestão de licença, help desk, sistema de reserva de sala. Todos com SYSTEM, todos no domínio, nenhum na lista de ativos críticos.

A GreyNoise observou três caminhos para o domínio, todos velhos conhecidos:

• Caminho A. Se o host do PaperCut era membro do domínio, o operador extraiu memória do LSASS e segredos do registro, recuperou credencial privilegiada e fez pass-the-hash contra o controlador.
• Caminho B. Se a vítima não tinha corrigido CVE-2021-42278 e CVE-2021-42287, veio ataque noPac. São falhas de 2021.
• Caminho C. Se o PaperCut rodava no próprio controlador de domínio ou sob conta de serviço com privilégio de administrador de domínio, o operador apenas adicionou a conta que tinha criado ao grupo Domain Admins.

Em todos eles, o fecho foi DCSync e dump completo do NTDS.DIT. As ferramentas são as de sempre: Mimikatz, Impacket, Certipy, BloodHound, Rubeus, NetExec. Nada de arsenal exótico. A IA não inventou técnica nova; ela removeu o gargalo humano entre uma técnica conhecida e a sua aplicação em escala.

O detalhe que quase ninguém citou

Em pelo menos um caso, o ataque falhou porque um WAF da Cloudflare estava na frente do servidor.

É uma linha discreta no meio do relatório e é provavelmente a informação mais útil dele. A campanha inteira, com toda a velocidade e toda a orquestração, esbarrou em higiene básica de exposição. Não foi um produto de detecção comportamental com IA que parou o ataque de IA. Foi um filtro na borda.

O mesmo vale pelo lado negativo. O caminho B só existiu porque havia domínio sem patch de 2021. O caminho C só existiu porque alguém instalou um servidor de impressão em um controlador de domínio, ou deu a ele uma conta de serviço com privilégio máximo. São decisões que foram tomadas anos atrás por motivos práticos e que ninguém revisitou.

Leitura LATAMSEC

Três consequências práticas, na ordem em que dá para agir.

A janela de resposta encolheu antes do seu processo. Sete minutos do acesso inicial ao domain admin em uma escola americana. Nenhum processo de resposta a incidente que depende de abrir chamado, acionar plantonista e convocar ponte responde nisso. Isso não significa comprar ferramenta nova; significa decidir com antecedência o que pode ser contido automaticamente sem aprovação humana, e aceitar o falso positivo que vem junto. A conversa sobre esse limite é de diretoria, não de SOC.

O inventário de ativos exposto é o controle, não o relatório. A pergunta a fazer nesta semana não é “temos PaperCut?”. É “quais aplicações administrativas rodam com privilégio elevado, estão no domínio e respondem na internet?”. Se a resposta levar mais de um dia para chegar, essa demora já é o achado.

Pare de tratar geografia como controle. Muita organização na região trabalha, de forma tácita, com a ideia de que está fora da rota principal. Que o ataque grande acontece nos Estados Unidos e na Europa e chega aqui meses depois, diluído. Essa campanha atingiu 48 países em poucos dias porque escolher alvo deixou de custar tempo. E quando o próprio atacante mandou poupar o Brasil, a instrução não foi cumprida.

Uma última observação, para quem acompanha o debate sobre salvaguardas de modelo. O operador usou um harness da OpenAI, o Codex, combinado com um modelo DeepSeek. A GreyNoise anota, de forma seca, que apesar das barreiras dos modelos de fronteira ocidentais, adversários estão usando uma variedade de modelos para conduzir intrusões. A discussão sobre alinhamento de um fornecedor específico continua válida e continua insuficiente, porque a montagem é modular e o elo mais permissivo define o resultado.