SesameOp Backdoor

Pesquisadores descobriram uma nova porta dos fundos, identificada como SesameOp, que utiliza a API do OpenAI Assistants como um canal de Comando e Controle (C2) não convencional. Em vez de usar a infraestrutura de rede típica ou servidores C2 dedicados, o malware abusa da API do Assistants como um mecanismo furtivo de retransmissão e armazenamento para recuperar instruções criptografadas e retornar resultados de execução, permitindo que os operadores misturem tráfego malicioso com solicitações legítimas da API.

Como foi encontrado

O implante foi identificado em julho de 2025 durante uma investigação de uma intrusão sofisticada, na qual atacantes desconhecidos mantiveram acesso ao sistema por vários meses. Os pesquisadores não divulgaram a identidade da organização afetada. Análises subsequentes revelaram uma intrusão em múltiplas camadas, com mecanismos de persistência e componentes no ambiente que, em conjunto, permitiam o acesso a longo prazo — comportamento consistente com objetivos de espionagem.

Arquitetura Técnica

A cadeia de infecção do SesameOp inclui uma DLL de carregamento chamada Netapi64.dll e um componente backdoor .NET rotulado como OpenAIAgent.Netapi64. Principais características técnicas:

• A DLL está fortemente ofuscada com o Eazfuscator.NET e foi projetada para ocultação e persistência.
• Em tempo de execução, o carregador é injetado no processo host por meio da manipulação do AppDomainManager do .NET, acionada por um arquivo .config especialmente criado, emparelhado com o executável legítimo do host.

Os atacantes também comprometeram os utilitários do Microsoft Visual Studio inserindo bibliotecas maliciosas, usando uma técnica de injeção de AppDomainManager para garantir a persistência e a execução de código a partir de cadeias de ferramentas aparentemente legítimas.

Ferramentas internas

Os investigadores descreveram um "arranjo complexo" de shells web internos ligados a processos maliciosos persistentes e estrategicamente posicionados. Esses processos atuam como orquestradores locais, executando comandos transmitidos pela API do Assistants e repassando tarefas para outros componentes implantados. O design combinado manteve a atividade do adversário entrelaçada com as ferramentas normais de desenvolvimento e administração, dificultando a detecção.

Como a API de Assistentes da OpenAI é usada indevidamente

O backdoor utiliza a API de Assistentes como um repositório/retransmissor de mensagens. Os comandos são obtidos da lista de Assistentes e interpretados através do campo de descrição; a implementação reconhece três tipos de instruções:

SLEEP — instrui o implante a pausar um fio por um intervalo especificado.

Payload — instrui o agente a extrair código ou instruções do campo de instruções e executá-los em uma thread separada.

Resultado — indica que a saída da execução deve ser enviada de volta para a API de Assistentes com a descrição definida como 'Resultado', para que o operador possa recuperar o resultado.

Fluxo operacional

Quando ativo, o backdoor consulta a API do Assistants para recuperar comandos criptografados. Ele decodifica e executa os payloads localmente e, em seguida, envia os resultados da execução de volta para a API como mensagens. Esse modelo de retransmissão transforma uma API legítima de IA na nuvem em um intermediário para emitir tarefas e receber resultados, camuflando efetivamente o tráfego do invasor nos padrões de uso esperados da API.

Atribuição, intenção e objetivos estratégicos

Atualmente, não há atribuição pública para a campanha. A ênfase do implante na persistência, no controle secreto e no longo tempo de permanência sugere fortemente que os atacantes visavam o acesso sustentado — consistente com coleta de informações ou atividades prolongadas de espionagem. O caso também demonstra uma tendência mais ampla: o uso indevido de serviços de nuvem legítimos e amplamente utilizados para evitar a detecção e complicar a resposta a incidentes.

Vale ressaltar que a API de Assistentes está programada para ser descontinuada em agosto de 2026 e será substituída pela API de Respostas, o que pode afetar o funcionamento de vetores de abuso semelhantes no futuro.

Principais conclusões

A Operação SesameOp se destaca por reaproveitar um endpoint de integração de IA convencional em um canal C2 secreto, combinando injeção de AppDomainManager do .NET, DLLs ofuscadas, ferramentas de desenvolvimento comprometidas e web shells internos para obter um controle duradouro e difícil de detectar. A campanha ressalta a necessidade de os profissionais de segurança monitorarem comportamentos incomuns de ferramentas de desenvolvimento, uso anômalo de APIs em nuvem a partir de hosts internos e sinais de injeção de DLL ou manipulação em tempo de execução em ambientes .NET.