Hackers visam bancos de dados de projetos de criptomoedas e blockchain usando IA
- Os hackers estão usando a botnet GoBruteforcer para comprometer bancos de dados de projetos de criptomoedas e blockchain, explorando credenciais fracas e serviços expostos.
- Pesquisadores de segurança vinculam o aumento dos ataques a configurações de servidor geradas por IA, pilhas web legadas e à reutilização generalizada de nomes de usuário e senhas padrão.
- As campanhas incluem direcionamento focado em criptomoedas e reconhecimento de blockchain, além de varreduras mais amplas em infraestrutura de IA e nuvem mal configurada.
Bancos de dados de projetos de criptomoedas e blockchain com credenciais fracas e geradas por IA estão sendo hackeados por meio de padrões de implantação capturados por botnets, de acordo com novas pesquisas da Check Point.
Uma botnet de malware chamada GoBruteforcer é capaz de comprometer servidores Linux e transformá-los em nós de quebra de senhas automatizados, disse a empresa de cibersegurança. O programa de hacking afetou a infraestrutura usada por projetos de criptomoedas, incluindo servidores de banco de dados, serviços de transferência de arquivos e painéis de administração web.
O GoBrut pode escanear a internet em busca de serviços mal protegidos e tentar fazer login em serviços usando nomes de usuário populares e senhas fracas. Uma vez que um sistema é comprometido, ele é adicionado a uma rede distribuída que pode ser acessada remotamente por uma rede de hackers.
A botnet GoBruteforcer pode hackear senhas mal pensadas
De acordo com o relatório da Check Point publicou na última quarta-feira, a botnet conseguiu contornar proteções em serviços como FTP, MySQL, PostgreSQL e phpMyAdmin. Esses programas são usados por startups de blockchain e desenvolvedores de aplicativos descentralizados para gerenciar dados de usuários, lógica de aplicativos e painéis internos.
Os sistemas hackeados pelo GoBrute podem aceitar comandos de um servidor de comando e controle, ditando qual serviço atacar enquanto fornecem credenciais para tentativas de força bruta. Os detalhes de login revelados são reutilizados para acessar outros sistemas, roubar dados privados, criar contas ocultas e aumentar o alcance da botnet.
A Check Point também mencionou que hosts infectados podem ser reutilizados para hospedar payloads maliciosos, distribuir malware para novas vítimas ou se tornar servidores de controle de backup se o sistema principal estiver experimentando tempos de inatividade.
Muitas equipes de desenvolvimento agora, incluindo as de grandes empresas de tecnologia como Microsoft e Amazon, usam trechos de código e guias de configuração gerados por modelos de linguagem grandes (LLMs) ou copiados de fóruns online.
A Check Point explicou que, como os modelos de IA não podem criar novas senhas e geralmente imitam o que foram ensinados, eles tornam os nomes de usuário e as senhas padrão muito previsíveis, sem alterá-las rapidamente o suficiente antes que os sistemas sejam expostos à internet.
O problema se torna ainda mais grave quando são usadas pilhas web legadas como o XAMPP, que podem expor serviços administrativos por padrão e fornecer um ponto de entrada fácil para hackers.
As campanhas do GoBruteforcer começaram em 2023, encontrou a pesquisa da Unit 42
O GoBruteforcer foi documentado pela primeira vez em março de 2023 pela Unit 42 da Palo Alto Networks, que detalhou sua capacidade de comprometer sistemas semelhantes ao Unix nas arquiteturas x86, x64 e ARM. O malware implanta um bot de Internet Relay Chat e um shell web, que os atacantes usam para manter seu acesso remoto.
Em setembro de 2025, pesquisadores do Black Lotus Labs da Lumen Technologies descobriram que uma parte das máquinas infectadas vinculadas a outra família de malware, SystemBC, também eram nós do GoBruteforcer. Analistas da Check Point compararam as listas de senhas usadas nos ataques com um banco de dados de aproximadamente 10 milhões de credenciais vazadas e encontraram uma sobreposição de cerca de 2,44%.
Com base nessa sobreposição, eles estimaram que dezenas de milhares de servidores de banco de dados poderiam aceitar uma das senhas usadas pela botnet. O relatório de 2024 da Google Cloud Threat Horizons descobriu que credenciais fracas ou ausentes foram responsáveis por 47,2% dos vetores de acesso inicial em ambientes de nuvem violados.
Reconhecimento de blockchain e IA expõe dados privados, encontra pesquisa
Em casos em que o GoBrute foi rastreado em ambientes de criptomoedas, hackers de rede usaram nomes de usuário e variantes de senhas com tema cripto que correspondiam às convenções de nomenclatura de projetos de blockchain. Outras campanhas visavam painéis phpMyAdmin vinculados a sites WordPress, um serviço para sites de projetos e painéis.
"Algumas tarefas são claramente focadas no setor. Por exemplo, observamos um ataque que usou nomes de usuário com tema cripto, como cryptouser, appcrypto, crypto_app e crypto. Nessas execuções, as senhas usadas combinavam a lista padrão fraca com palpites específicos de cripto, como cryptouser1 ou crypto_user1234", disse a Check Point, mencionando exemplos de senhas.
A Check Point identificou um servidor comprometido sendo usado para hospedar um módulo que escaneava endereços da blockchain TRON e consultava saldos por meio de uma API de blockchain pública para identificar carteiras que detinham fundos.
"A combinação de infraestrutura exposta, credenciais fracas e ferramentas cada vez mais automatizadas. Embora a botnet em si seja tecnicamente simples, seus operadores se beneficiam do número de serviços mal configurados online", escreveu a empresa de segurança.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Florence Muchai
Florence cobre notícias sobre criptoativos, jogos, tecnologia e IA há 6 anos. Sua graduação em Estudos de Computação na Meru University of Science and Technology e em Gestão de Desastres e Diplomacia Internacional no MMUST equipam-na plenamente com habilidades linguísticas, de observação e técnicas. Florence trabalhou no VAP Group e como editora em várias casas de mídia de criptoativos.
