O esquema veio à tona após uma falha operacional na infraestrutura central dos criminosos, que mantinha um servidor com listagem de diretórios aberta e sem proteção na internet. O material coletado pelos analistas reuniu mais de 7 mil arquivos, incluindo transcrições de sessões de IA, ferramentas de comando e dados exfiltrados.

O servidor comprometido era um nó Hetzner (empresa germânica de hospedagem de servidores e computação em nuvem) em Nuremberg, na Alemanha, e operava um serviço Python esquecido no diretório raiz sem autenticação ou criptografia TLS.

O diferencial da operação foi o uso intensivo de agentes de inteligência artificial para conduzir o planejamento e a execução de tarefas técnicas de forma automatizada. De acordo com o documento técnico da ZenoX, o grupo manteve centenas de sessões transcritas e milhares de eventos automatizados rodando 24 horas por dia.

“O RedScanner não usa IA como auxílio pontual: um agente de código comercial opera como força de trabalho primária da organização, com contabilidade própria no orçamento, rodízio automatizado de contas, LLM alternativa self-hosted para elasticidade, automação ofensiva 24 horas por dia e memória institucional mantida pela própria IA”, aponta o relatório da ZenoX.

Para burlar restrições de segurança dos modelos de linguagem, os operadores utilizaram instruções sistemáticas para anular travas de recusa . Essa ação permitiu que a IA gerasse códigos maliciosos e gerenciasse rotinas de varredura sem intervenção humana constante.

A estrutura contava com uma divisão de papéis entre cinco membros humanos encabeçados por um administrador central , enquanto os agentes de IA realizavam o trabalho pesado de varredura, triagem de vulnerabilidades e testes de credenciais.

As ações do grupo abrangeram do roubo de dados de cartões de crédito a tentativas de manipulação de sistemas de produção em fintechs e escrituradoras de fundos. Entre os alvos documentados pelo relatório estão dezenas de organizações de grande porte, divididas em setores estratégicos.