Relatório APT 2026 H1: Como os APTs estão armando a confiança na era da IA
Atores de ameaças alinhados a estados estão incorporando IA em cada estágio da cadeia de ataque, enquanto escondem sua infraestrutura dentro dos serviços que os defensores já confiam. Este relatório desvenda a geopolítica que impulsiona a atividade e o que os defensores devem priorizar a seguir.
Ameaças persistentes avançadas (APTs) aprimoraram suas técnicas durante a primeira metade de 2026. A IA agora aparece em mais etapas do ciclo de vida da intrusão, desde o aprimoramento do código de exploração até a execução de reconhecimento autônomo e movimento lateral. Este relatório compila seis meses de pesquisa e observações do mundo real sobre atividades alinhadas à China, Rússia, República Popular Democrática da Coreia (RPDC) e Irã para mostrar aos líderes de segurança como esses atores operam hoje. Ele também mostra como o cenário político em cada região continua a moldar seus alvos e técnicas.
Falhas conhecidas e de dia zero foram rapidamente armadas, e a cadeia de suprimentos de software permaneceu um caminho preferido. Os atores de ameaça cada vez mais mantiveram o comando e controle (C&C) em serviços que as empresas já confiam, como grandes plataformas de nuvem, túneis de desenvolvedores, blockchains públicos e sites de pastas, permitindo que o tráfego malicioso se misture à atividade normal de negócios e resista à remoção. Infraestruturas críticas e alvos no mundo físico também voltaram ao foco, desde a manipulação direta de medidores de tanques de combustível expostos à internet até uma nova dimensão de rastreamento sem malware por meio de inteligência de publicidade (ADINT).
Ambições e restrições de IA nos principais ecossistemas de ameaças
China
“Escalonador alinhado ao Estado”
Grupos alinhados à China recorreram à IA em quase todas as etapas neste semestre. Earth Krahang usou IA generativa para transformar um exploit público em um scanner em larga escala, Earth Naga "codificou a vibração" de um carregador de backdoor, e um ator separado implantou um agente de IA que escaneou autonomamente, coletou credenciais e se moveu lateralmente dentro da rede da organização alvo. Outros esconderam C&C dentro de rascunhos do Microsoft 365 e transações de blockchain, enquanto SHADOW-EARTH-067 combinou essa furtividade com um rootkit Bring Your Own Vulnerable Driver (BYOVD) para cegar a detecção e resposta de Endpoint (EDR) no nível do kernel.
Coreia do Norte
“Ascendente financiado por roubo”
Células alinhadas à DPRK permaneceram focadas em financiar o estado. BlueNoroff comprometeu a conta do mantenedor do Axios para implantar um trojan de acesso remoto (RAT) através de um pacote com mais de 100 milhões de downloads semanais, enquanto Void Dokkaebi espalhou malware por meio de repositórios falsos de entrevistas de emprego. Um provável ator de ameaça alinhado à DPRK roubou US$285 milhões do Drift Protocol e outro ator extraiu US$292 milhões do KelpDAO, somando-se à receita constante da infiltração de trabalhadores de TI. Sanções e uma rede elétrica sobrecarregada mantêm a IA de ponta fora de alcance domesticamente, empurrando esses grupos para servidores no exterior e modelos de IA emprestados para apoiar ambições como testes de mísseis guiados por IA.
Rússia
“Militarizador limitado por hardware”
Grupos alinhados à Rússia agiram rapidamente e permaneceram ocultos. Pawn Storm armou um novo exploit de zero-day do Office em poucas semanas e atingiu uma ampla gama de alvos relacionados à guerra, desde ministérios da defesa até a polícia de fronteira, enquanto Earth Dahu continuou explorando uma falha conhecida do WinRAR que nem todos os alvos corrigiram. Turla se apoiou em uma infraestrutura especialmente difícil de eliminar, reformulando seu conjunto de ferramentas Kazuar em um botnet onde apenas um nó por rede se comunica, enquanto Laundry Bear seguiu uma rota diferente, posando como instituições de caridade em tempos de guerra e operando seu C&C em sites de paste descartáveis.
Irã e outras regiões
“Escalador pronto para uso”
Atividade alinhada ao Irã confundiu espionagem e crime. CyberAv3ngers foi vinculado ao IOCONTROL, uma plataforma de malware reutilizável criada para atacar tecnologia operacional, como sistemas de combustível. Separadamente, medidores de tanques de combustível expostos à internet em locais nos EUA foram atingidos em uma onda suspeita de ligação com o Irã, enquanto Earth Vetala (MuddyWater) misturou suas próprias ferramentas com uma porta dos fundos alugada comprada de uma plataforma criminosa, resolvendo C&C através de consultas públicas em blockchain. Atividade de outras regiões revelou o uso de ADINT para rastrear indivíduos em larga escala sem implantar qualquer malware.
O que este relatório abrange
- Cinco principais conclusões resumindo como a IA, o abuso de infraestrutura confiável e o alinhamento geopolítico estão remodelando o cenário de ameaças
- Análise política por região abrangendo China, Coreia do Norte e Rússia, e como as prioridades nacionais influenciam a atividade cibernética
- Perfis detalhados de campanhas abrangendo desenvolvimento assistido por IA, abuso de serviços legítimos como canais de C&C, phishing em múltiplas etapas, BYOVD, envenenamento da cadeia de suprimentos, roubo de criptomoedas, ataques à tecnologia operacional e vigilância ADINT
- Um detalhamento dedicado das táticas, técnicas e procedimentos (TTPs) mais notáveis do semestre
- Orientação de mitigação priorizada mapeada para proprietários de Operações de Segurança, Governança e Gestão de Risco
TTPs Notáveis
Desenvolvimento assistido por IA e movimento lateral agente
A primeira metade de 2026 marcou a primeira vez que as equipes de pesquisa da TrendAI™ documentaram atores de ameaça alinhados à China, Earth Krahang, Earth Naga (associado ao Flax Typhoon) e um ator não identificado integrando ativamente a inteligência artificial generativa (GenAI) em várias etapas do ciclo de vida do ataque. Seus usos variaram desde o aprimoramento de scripts de exploração e desenvolvimento de malware por meio de "vibe coding" até a implantação de agentes de IA que conduziam autonomamente reconhecimento interno, coleta de credenciais e movimentação lateral. Embora esses atores ainda estejam em uma fase exploratória, a tendência sinaliza uma redução significativa da barreira de entrada para capacidades de ataque sofisticadas.
Abuso de serviços legítimos como canais de C&C
No primeiro semestre de 2026, múltiplos agentes de ameaça alinhados à China, como Earth Baxia e SHADOW-EARTH-067, substituíram a infraestrutura tradicional de C&C por plataformas de nuvem legítimas. Isso incluiu Microsoft Graph API (OneDrive, OneNote e rascunhos de e-mails), Microsoft DevTunnel, SoftEther DNS dinâmico (DDNS) e até mesmo a blockchain Stellar, todos usados para emitir comandos e receber resultados de hosts comprometidos. Ao direcionar o tráfego malicioso por meio de serviços confiáveis e amplamente utilizados, os atacantes tornam extremamente difícil para os defensores distinguir a atividade maliciosa do tráfego normal de negócios.
Phishing em múltiplas etapas com documentos de isca e armadilhas de engenharia social
O spear phishing continuou sendo um vetor de acesso inicial líder na primeira metade de 2026, mantendo a tendência da segunda metade de 2025. Os agentes de ameaça elevaram consideravelmente a qualidade de suas iscas. As campanhas apresentaram conversas de e-mail em várias etapas para construir confiança, documentos de isca geopoliticamente relevantes, utilitários de atualização de software falsos e ataques de watering-hole com páginas de erro de certificado de navegador falsas, todos projetados para reduzir a suspeita das vítimas e aumentar as taxas de cliques.
BYOVD para evasão de EDR e antimalware
Na primeira metade de 2026, o BYOVD foi observado sendo implantado como um componente rootkit dedicado, representando uma escalada significativa na sofisticação das capacidades de evasão usadas por atores alinhados à China, notavelmente SHADOW-EARTH-067.
Como a IA e as mudanças políticas estão redefinindo as campanhas APT no primeiro semestre de 2026
“Em um caso, um agente de IA realizou seu próprio reconhecimento e movimento lateral, desbloqueado por um ator que falsamente alegou que a operação era um teste de penetração legítimo.”
A IA não é mais uma capacidade experimental para grupos APT; é um componente operacional incorporado diretamente nas campanhas. Atores alinhados à China usaram GenAI para aprimorar um exploit de prova de conceito público em uma ferramenta de varredura em larga escala. Eles também “codificaram vibrações” iterativamente em um carregador de backdoor malicioso em PowerShell e C#. Em um caso ligado a uma possível operação Earth Lamia, eles desbloquearam um agente de IA autônomo que então conduziu sua própria varredura de rede, exploração, coleta de credenciais e pulverização de senhas contra um alvo no Sudeste Asiático. Atores alinhados à Rússia e à DPRK também foram observados usando IA comercial, embora geralmente de forma mais limitada e em papel de apoio.
Ao mesmo tempo, o pano de fundo político por trás dessas campanhas é duradouro em vez de transitório. A guerra na Ucrânia se estabilizou em uma longa luta de atrito enquanto a Rússia aperta o controle da informação antes das eleições legislativas de setembro. A DPRK está se entrincheirando como um estado permanentemente armado nuclearmente financiado por roubo cibernético. A China está gerenciando sua rivalidade com os EUA enquanto promove a autossuficiência em chips e IA. Operações alinhadas ao Irã escalaram junto com a tensão regional. Nenhuma dessas tendências deve se reverter até o final do ano. Isso significa que as campanhas construídas em torno delas—como exploração aprimorada por IA, abuso de infraestrutura confiável e ferramentas alugadas ou compartilhadas—provavelmente persistirão e amadurecerão.
Quem deve ler isto
Este relatório é destinado a qualquer pessoa com interesse na segurança organizacional, embora diferentes equipes possam extrair diferentes valores dele.
Lideranças de segurança, como diretores de segurança da informação (CISOs) e diretores de segurança, podem usá-lo para entender como a adoção de IA, o abuso de infraestrutura confiável e o alinhamento geopolítico estão mudando o panorama de risco a longo prazo. Essa visão ajuda na priorização do orçamento e no briefing de executivos.
Equipes de centro de operações de segurança (SOC) e analistas de inteligência de ameaças podem ver como atores alinhados à China, Rússia, DPRK e Irã operam no dia a dia, desde o desenvolvimento de exploits assistidos por IA até C&C oculto dentro de serviços de nuvem confiáveis e blockchains.
Engenheiros, por sua vez, podem usar esta análise para aprimorar a lógica de detecção para rootkits BYOVD, abuso de nuvem e identidade, e comprometimento da cadeia de suprimentos.
Equipes de risco, política e governança obtêm o embasamento geopolítico necessário para explicar por que regiões, setores e tecnologias operacionais específicas estão sendo alvo, o que apoia avaliações de risco e planejamento entre equipes.
Ações prioritárias para defensores
- Desloque a detecção para o comportamento de identidade, nuvem e Endpoint, já que o C&C se esconde cada vez mais em plataformas de nuvem confiáveis, túneis de desenvolvedores e blockchains. Responsável: equipes de Operações de Segurança e Identidade.
- Trate a cadeia de suprimentos de software e o desenvolvedor como parte da superfície de ataque; fixe e verifique dependências e monitore scripts de instalação. Proprietário: Governança e Operações de Segurança.
- Reduza a janela de correção e exposição em software de borda e não gerenciado, especialmente ferramentas que não atualizam automaticamente. Responsável: Gerenciamento de Risco.
- Retire dispositivos de tecnologia operacional e infraestrutura crítica da internet pública, e segmente e monitore redes de controle. Proprietário: Gestão de Riscos e Operações de Segurança.
- Planeje para adversários acelerados por IA, incluindo ferramentas de IA já presentes no ambiente, como assistentes de codificação e frameworks de agentes. Responsável: Operações de Segurança e Governança.
Obtenha a visão completa
As seções anteriores apenas arranham a superfície. O Relatório Completo de APT de 2026 H1 inclui descrições completas de campanhas, indicadores técnicos e análise região por região na China, Coreia do Norte, Rússia e Irã. Baixe-o para ver o panorama completo das ameaças e o que isso significa para sua organização ao entrar na segunda metade do ano.
Este relatório baseia-se em um corpo de pesquisa mais profundo: o Relatório de Pesquisa de APT bimestral, que está disponível no Hub de Inteligência de Ameaças TrendAI Vision One™. Tudo o que é referenciado aqui, desde campanhas específicas até indicadores individuais, é documentado de forma mais detalhada lá para equipes que precisam de uma visão completa.
