A Microsoft revelou um backdoor novo que transforma a API da OpenAI em canal secreto de comando para operações de espionagem. Batizado de SesameOp, o malware foi descoberto em julho de 2025 durante uma investigação de segurança – na qual os atacantes já estavam infiltrados no ambiente há vários meses e ninguém tinha percebido.
O malware funciona como um espião, quase uma mosca na parede do escritório. Os criminosos infiltram o SesameOp junto com um ofuscador, que permite que o agente malicioso se camufle ao usar a infraestrutura da OpenAI como “caixa postal” para comandos maliciosos.
O que é o SesameOp?
De acordo com a equipe de Resposta a Incidentes da Microsoft, os atacantes construíram uma arquitetura complexa envolvendo web shells internos e processos maliciosos estrategicamente posicionados. Tudo isso orquestrado por utilitários do Visual Studio que foram comprometidos com bibliotecas maliciosas – uma técnica conhecida como injeção de AppDomainManager.
O objetivo final do ataque foi identificado como espionagem de longo prazo. Não se trata de um ransomware que quer dinheiro rápido ou de um malware barulhento que destrói sistemas. É o tipo de operação silenciosa que se vê em campanhas de ameaças persistentes avançadas, geralmente associadas a grupos sofisticados ou patrocinados por estados.
Como funciona o golpe
A cadeia de infecção do SesameOp é dividida em dois componentes principais: um carregador chamado Netapi64.dll e o backdoor propriamente dito, chamado OpenAIAgent.Netapi64. Ambos são pesadamente ofuscados com uma ferramenta chamada Eazfuscator.NET para dificultar análises forenses.
Os atacantes primeiro comprometem o sistema e instalam o malware. O backdoor então se conecta à API de Assistentes da OpenAI usando uma chave de API que os criminosos controlam. Lá, eles deixam comandos armazenados em forma de mensagens criptografadas, como se fossem instruções para um assistente virtual legítimo.
Vale destacar que isso não é uma vulnerabilidade na OpenAI.
O malware consulta periodicamente a OpenAI procurando por novos comandos. Quando encontra algo, baixa a mensagem, que vem protegida com múltiplas camadas de criptografia e também comprimida com GZIP para reduzir o tamanho e chamar menos atenção. Depois de decriptar e descomprimir, executa o comando localmente na máquina comprometida.
Assim que termina de executar, o backdoor pega o resultado, criptografa tudo novamente e manda de volta para a OpenAI como uma nova mensagem. Para o atacante, é só acessar a conta dele na OpenAI e buscar os resultados. Todo o processo parece tráfego normal de API, impossível de distinguir de uso legítimo sem análise profunda.
O sistema usa três tipos de comandos identificados no campo de descrição dos Assistentes:
- SLEEP, que faz o malware hibernar por um período para evitar detecção;
- Payload, que contém as instruções maliciosas a serem executadas;
- Result, que sinaliza ao atacante que tem informação roubada disponível para coleta.
Vale destacar que isso não é uma vulnerabilidade na OpenAI. É simplesmente um abuso criativo de funcionalidades legítimas da plataforma. A própria API de Assistentes que está sendo explorada já tem data marcada para ser descontinuada em agosto de 2026, quando será substituída pela nova Responses API.
Como se proteger
A Microsoft compartilhou suas descobertas com a OpenAI, que rapidamente identificou e desabilitou a chave de API e a conta associada aos atacantes. A investigação conjunta confirmou que a conta comprometida não tinha interagido com modelos ou outros serviços da OpenAI além das chamadas básicas de API necessárias para o esquema funcionar.
Para organizações que querem se proteger contra esse tipo de ameaça, a Microsoft recomenda uma série de medidas defensivas.
- Audite seus sistemas regularmente. Revise com frequência logs de firewall e servidores web, prestando atenção especial a todos os sistemas expostos diretamente à internet.
- Monitore conexões incomuns mesmo para serviços legítimos como APIs de IA.
- Reforce as barreiras de rede. Use firewalls em endpoints, sistemas de prevenção de intrusão e firewalls de rede para bloquear comunicações suspeitas com servidores de comando e controle.
- Configure corretamente firewalls de perímetro e proxies para limitar acessos não autorizados, inclusive conexões através de portas não padronizadas.
- Proteja suas defesas. Habilite a proteção contra adulteração (tamper protection) no Microsoft Defender for Endpoint para impedir que atacantes desabilitem suas ferramentas de segurança.
- Configure o EDR para rodar em modo de bloqueio, permitindo barrar artefatos maliciosos mesmo quando antivírus de terceiros falham.
- Faça caça ativa a ameaças. A Microsoft disponibilizou queries de hunting para clientes do Defender XDR procurarem atividades suspeitas. Uma delas monitora especificamente dispositivos se conectando aos endpoints de API da OpenAI, correlacionando processos e frequência de conexões.
Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.