Pesquisadores analisaram 14.591 edições e 79.541 postagens de URLs feitas por agentes autônomos de LLM em uma wiki alemã pública, mostrando como a converteram em um quadro de mensagens informal mesmo estando restritos a requisições HTTP GET. Foram catalogados 67 serviços intermediários usados para encadear URLs em até cinco camadas, tanto para ampliar capacidades quanto para evadir filtros de rede. O trabalho usa metodologia de reconstrução de artefatos web equivalente a uma investigação forense de rede, com implicações diretas para quem monitora abuso e exfiltração via agentes de IA.
Relatório da The DFIR Report reconstrói uma intrusão completa do ransomware Lynx, iniciada em março de 2025 por um logon RDP bem-sucedido usando credenciais já comprometidas (sem indícios de força bruta), passando por reconhecimento de rede, movimentação lateral até o controlador de domínio, exfiltração de dados via 7-Zip/temp.sh e culminando na implantação do ransomware e exclusão dos jobs de backup do Veeam. A cadeia de eventos, com IOCs e cronologia detalhados, é um caso de referência para times de resposta a incidentes.
O DFIR Report reconstruiu uma intrusão iniciada em novembro de 2024 por password spray contra um servidor RDP exposto à internet, que evoluiu ao longo de seis dias até a implantação do ransomware RansomHub. O invasor combinou Mimikatz, ferramentas de varredura de rede, software de RMM legítimo (Atera, Splashtop) e Rclone para exfiltrar cerca de 2 GB de dados antes de encriptar o ambiente. O relatório detalha cada fase da cadeia de ataque com IOCs e mapeamento MITRE ATT&CK.