Hackers usam DeepSeek via Telegram para automatizar ataques contra mais de 460 alvos

Pesquisadores da Unit 42, divisão de inteligência da Palo Alto Networks, identificaram um agente de ameaças de língua chinesa utilizando o modelo de IA DeepSeek integrado ao framework de código aberto Hermes Agent para conduzir ataques cibernéticos de forma autônoma. Segundo a empresa, após receber uma única instrução via Telegram, o sistema foi capaz de localizar alvos expostos na internet, selecionar exploits públicos e executar tentativas de invasão sem novas intervenções do operador.

O invasor, rastreado pelos apelidos knaithe e KnYuan, realizou tentativas de exploração contra mais de 460 sistemas utilizando tanto fluxos totalmente autônomos quanto operações manuais. Durante a investigação, a Unit 42 encontrou evidências de sete cadeias de exploração envolvendo oito vulnerabilidades (CVEs).

Em uma sessão recuperada de maio de 2026, o DeepSeek baixou automaticamente um exploit público para a vulnerabilidade CVE-2026-33017, do Langflow, plataforma para criação de agentes e fluxos de trabalho de inteligência artificial. Em seguida, utilizou o mecanismo de busca FOFA para localizar 84 instâncias do serviço e identificou um alvo executando uma versão vulnerável. A exploração, porém, falhou porque o ambiente não atendia aos requisitos necessários para o ataque.

Posteriormente, o agente analisou dez famílias de produtos, pesquisou provas de conceito recentes no GitHub e escolheu atacar a plataforma de automação n8n. Para isso, utilizou uma cadeia que combinava as vulnerabilidades CVE-2026-21858 e CVE-2025-68613. Durante a operação, o FOFA identificou mais de 25 mil instâncias do n8n na China. O agente avaliou cerca de 100 delas, sondou aproximadamente 40 e encontrou três versões vulneráveis, mas nenhuma pôde ser comprometida porque os endpoints exigiam autenticação ou não possuíam formulários públicos acessíveis.

Além das ações automatizadas, a Unit 42 identificou operações manuais envolvendo a vulnerabilidade CVE-2026-3055, que afeta appliances Citrix NetScaler ADC e Gateway configurados como provedores de identidade SAML, e a CVE-2026-39987, no ambiente Marimo.

O relatório menciona extração de dados de três organizações e execução remota de comandos em 11 instâncias do Marimo, mas posteriormente informa que apenas três alvos tiveram exploração confirmada em toda a campanha. A Palo Alto afirmou que essa inconsistência ainda precisa ser esclarecida.

Durante as tentativas de ataque, o agente de IA demonstrou capacidade para verificar versões de software, baixar exploits públicos, abandonar estratégias sem sucesso e escolher automaticamente novas vulnerabilidades com base na gravidade, na quantidade de sistemas expostos e na probabilidade de exploração.

A investigação também revelou um erro operacional do invasor. O Hermes Agent iniciou inadvertidamente um servidor HTTP utilizando o comando python3 -m http.server 8888 no diretório /home/worker, tornando públicos arquivos contendo configurações do modelo de IA, chaves de API, scripts de exploração, listas de alvos, histórico de comandos e registros completos das sessões autônomas.

Segundo a Unit 42, o DeepSeek foi o principal modelo de raciocínio utilizado no Hermes Agent, responsável por executar comandos no terminal e automatizar toda a operação. Os pesquisadores também encontraram uso limitado do Claude Code e do Qwen Code, além de indícios da utilização do Codex em diretórios de desenvolvimento de exploits, embora não tenham conseguido confirmar seu uso efetivo por falta dos registros das conversas.

A documentação do Hermes Agent confirma que a ferramenta pode ser controlada pelo Telegram, executar comandos remotamente e agendar tarefas sem supervisão humana, características que facilitaram a automação da campanha.

Como medida de proteção, os pesquisadores recomendam atualizar imediatamente sistemas Langflow, n8n, Marimo e appliances Citrix NetScaler vulneráveis, além de remover o acesso público desnecessário a interfaces de automação, notebooks e outros componentes de tecnologia expostos à internet.

A Unit 42 avalia que o operador esteja baseado em Zhuhai, na China. Essa conclusão é sustentada por informações públicas encontradas em perfis do GitHub e em um blog antigo associado ao pseudônimo KnYuan, mas os pesquisadores ressaltam que esses dados não confirmam a identidade real do invasor nem qualquer vínculo com o governo chinês.