Pesquisadores de segurança da Symantec alertaram que hackers de ransomware, conhecidos como DragonForce, estão utilizando servidores de retransmissão do Microsoft Teams para ocultar tráfego malicioso. Essa técnica, chamada de ‘Ghost Calls’, permite que os atacantes disfarcem suas comunicações de comando e controle (C2) como se fossem tráfego legítimo do Teams, dificultando a detecção por parte das equipes de segurança. O ataque ocorreu em dezembro de 2025, quando os hackers exploraram uma vulnerabilidade desconhecida em servidores SQL para obter acesso à rede de uma grande empresa de serviços nos EUA. Eles implantaram um malware personalizado chamado ‘Backdoor.Turn’, que utiliza o protocolo TURN do Teams para mascarar suas atividades. Essa abordagem representa um avanço significativo nas táticas de cibercrime, mostrando um nível de sofisticação elevado. A DragonForce, que opera sob um modelo de cartel de drogas, permite que afiliados utilizem sua infraestrutura e malware, aumentando a complexidade do cenário de ameaças. A situação exige atenção redobrada das empresas que utilizam o Microsoft Teams, uma vez que a técnica pode ser replicada em outros ambientes corporativos.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu uma ordem para que agências federais corrijam uma falha de alta severidade no plugin Widget Factory Joomla Content Editor (JCE), que está sendo ativamente explorada. A vulnerabilidade, identificada como CVE-2026-48907, permite que atacantes executem código malicioso sem privilégios, utilizando ataques de baixa complexidade em implementações do Joomla que utilizam o editor WYSIWYG JCE. A CISA alertou que a falha permite o upload e a execução de código PHP por meio da criação de novos perfis de editor para usuários não autenticados. O time de segurança do JCE lançou uma atualização em junho, recomendando que os usuários apliquem o patch imediatamente, pois a exploração da vulnerabilidade é automatizada e o código de exploração está disponível publicamente. Além de atualizar, os usuários devem realizar uma série de ações para limpar sites comprometidos, incluindo a exclusão de perfis maliciosos e a execução de uma varredura completa em busca de malware. A CISA incluiu a vulnerabilidade em sua lista de falhas ativamente exploradas e ordenou que as agências federais garantam a segurança de seus sistemas até sexta-feira, conforme a Diretriz Operacional Vinculativa (BOD) 26-04.

A Microsoft está investigando um problema que impede aplicativos de terceiros de abrir o Microsoft Office em sistemas Windows atualizados. Este problema afeta aplicações como Word, Excel e PowerPoint quando iniciadas a partir de softwares de terceiros que utilizam automação OLE. Usuários relataram que aplicativos como CCH Engagement, Zotero e softwares odontológicos, como Dentrix e Softdent, estão entre os afetados. A falha ocorre após a instalação de atualizações do Windows lançadas a partir de 9 de junho de 2026, e, em muitos casos, os aplicativos ou documentos do Office não abrem sem exibir mensagens de erro. A Microsoft ainda não possui uma solução definitiva, mas recomenda que os usuários abram os aplicativos do Office diretamente como uma alternativa temporária. Clientes empresariais podem contatar o suporte da Microsoft para obter uma solução que possa ser aplicada em toda a organização. A empresa informou que uma resolução está em andamento e será incluída em uma futura atualização do Windows. Este incidente se soma a uma série de problemas recentes enfrentados por usuários do Office, incluindo falhas em abrir arquivos na versão web e problemas com atualizações do Windows.

O governo indiano impôs uma proibição temporária ao aplicativo Telegram até 22 de junho, após o uso da plataforma para a venda de acesso a materiais de exames vazados, especificamente o NEET, um dos maiores exames de admissão médica do país. A decisão foi tomada pelo Ministério da Eletrônica e Tecnologia da Informação, com base na Seção 69A da Lei de TI, após recomendações da Agência Nacional de Testes (NTA). Além da proibição, o Telegram foi obrigado a desativar sua função de edição de mensagens até 30 de junho. O CEO do Telegram, Pavel Durov, acusou a operadora de telecomunicações Reliance de realizar um ‘sequestro de BGP’ para aplicar a proibição, afetando usuários fora da Índia, como nos Emirados Árabes Unidos. Especialistas em tecnologia contestaram a alegação de Durov, sugerindo que a interrupção foi resultado de uma configuração incorreta, e não de sabotagem intencional. A proibição gerou críticas de grupos de direitos digitais, que a consideram desproporcional e prejudicial a milhões de usuários legítimos que dependem do Telegram para estudos e materiais de preparação. A situação destaca a complexidade da regulação de plataformas digitais e os desafios de lidar com fraudes sem impactar usuários inocentes.

Pesquisadores de cibersegurança identificaram uma campanha coordenada de malware no JetBrains Marketplace, onde 15 plugins maliciosos foram publicados, capazes de exfiltrar chaves de API de provedores de inteligência artificial (IA). Os plugins, que se apresentam como assistentes de codificação baseados em modelos de linguagem, funcionam conforme anunciado, mas capturam a chave de API inserida pelo usuário e a enviam para um servidor controlado pelos atacantes. A atividade, que começou em outubro de 2025, continua com novos plugins sendo lançados até junho de 2026. Entre os plugins mais populares estão o CodeGPT AI Assistant e o DeepSeek AI Assist, ambos com mais de 25.000 downloads, embora a autenticidade desses números seja questionável. Os plugins compartilham um código-base semelhante e exigem que os usuários insiram suas chaves de API para funcionar. Além disso, após o pagamento de uma taxa, o plugin fornece uma chave de API ao usuário, que é utilizada em vez da chave original, levantando suspeitas de que os operadores estão monetizando as chaves roubadas. Essa campanha evidencia a crescente vulnerabilidade dos ambientes de desenvolvimento, que se tornaram alvos lucrativos para cibercriminosos.

Um estudo recente da equipe da Intruder revelou que 60% das organizações possuem pelo menos um painel HTTP exposto, como consoles administrativos e páginas de login, que não deveriam ser acessíveis publicamente. Além disso, 49% das empresas têm serviços ou portas arriscadas expostas, e 42% têm bancos de dados acessíveis diretamente pela internet. As exposições mais comuns incluem bancos de dados MySQL e Postgres, além de documentação de APIs. A análise destaca que, com o tempo de exploração de vulnerabilidades reduzido a um dia, a prioridade não deve ser apenas a correção, mas também a razão pela qual esses serviços estão expostos. A pesquisa sugere que a redução da superfície de ataque deve receber mais atenção do que a gestão de vulnerabilidades, uma vez que muitos serviços listados nunca deveriam estar acessíveis pela internet. O relatório completo está disponível no Índice de Gestão da Superfície de Ataque de 2026.

A Kodak confirmou que está colaborando com especialistas externos em cibersegurança para investigar uma violação de segurança que resultou no acesso não autorizado a uma quantidade limitada de dados da empresa. A companhia, fundada em 1880 e com sede em Rochester, Nova York, possui 79.000 patentes e oferece produtos de impressão comercial, materiais avançados e químicos. Um porta-voz da Kodak informou que os atacantes acessaram apenas uma ‘quantidade limitada’ de dados, mas não esclareceu se houve comprometimento da rede interna da empresa. O grupo de extorsão ShinyHunters reivindicou a responsabilidade pelo ataque, alegando ter roubado mais de 2,2 milhões de registros contendo informações pessoais identificáveis (PII) de clientes e dados corporativos internos. O grupo ameaçou vazar os dados exfiltrados, dando um prazo até 18 de junho de 2026 para que a Kodak entre em contato. Embora a Kodak não tenha divulgado como os atacantes conseguiram acesso, o ShinyHunters já foi associado a ataques a centenas de clientes da Salesforce e a outras empresas. A Kodak está trabalhando com as autoridades e acredita que não há ameaça contínua aos seus sistemas ou operações.

A Microsoft confirmou que está desenvolvendo um patch para uma vulnerabilidade zero-day no Microsoft Defender, conhecida como ‘RoguePlanet’, que foi divulgada recentemente. O pesquisador de segurança que revelou a falha, identificado como Nightmare Eclipse, afirmou que a vulnerabilidade afeta dispositivos com Windows 10 e Windows 11 totalmente atualizados, permitindo que atacantes executem comandos com privilégios de SYSTEM por meio de uma condição de corrida. O exploit, que pode ser encontrado em um repositório Git auto-hospedado, funciona independentemente da proteção em tempo real estar ativada ou não. A Microsoft designou a falha com o ID CVE-2026-50656 e está investigando a situação. A empresa já havia enfrentado um conflito com Nightmare Eclipse sobre suas práticas de divulgação de vulnerabilidades e recompensas por bugs. Recentemente, a Microsoft também corrigiu outras falhas críticas em seu sistema. A situação destaca a importância de monitorar e atualizar constantemente as soluções de segurança para proteger os usuários contra ameaças emergentes.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma vulnerabilidade de alta severidade no Joomla Content Editor (JCE) em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). A falha, identificada como CVE-2026-48907, possui uma pontuação CVSS de 10.0 e permite a execução arbitrária de código devido a um controle de acesso inadequado. Essa vulnerabilidade afeta as versões do JCE de 1.0.0 a 2.9.99.4 e foi corrigida na versão 2.9.99.5, lançada em 3 de junho de 2026. A CISA alertou que a falha pode permitir que usuários não autenticados criem perfis de editor e façam upload de código PHP malicioso.

Um ataque à cadeia de suprimentos de software, denominado easy-day-js, comprometeu 144 pacotes npm associados ao namespace Mastra, um framework popular de JavaScript e TypeScript para aplicações de inteligência artificial. O ataque foi identificado por empresas de segurança como JFrog, SafeDep, Socket e StepSecurity. Um único usuário npm, identificado como ’ehindero’, publicou mais de 140 pacotes maliciosos em um curto espaço de tempo. Embora os pacotes infectados não contenham código malicioso, eles dependem de uma biblioteca de terceiros chamada ’easy-day-js’, que foi alterada para incluir um payload ofuscado. Esse payload é ativado durante um hook de pós-instalação e se conecta a um servidor controlado pelos atacantes para baixar um trojan que rouba informações, incluindo dados de carteiras de criptomoedas. O ataque afetou pacotes amplamente utilizados, como o @mastra/core, que possui mais de 918 mil downloads semanais. A Npm já removeu as versões maliciosas, mas qualquer ambiente que tenha instalado essas versões deve ser considerado potencialmente comprometido.

Um novo trojan bancário para Android, denominado Rokarolla, está atacando 217 aplicativos de bancos e criptomoedas, utilizando um conjunto extenso de 137 comandos. O malware é distribuído por meio de sites maliciosos que se passam por provedores do Google Chrome ou TikTok, permitindo que os invasores assumam o controle administrativo total de dispositivos comprometidos. Entre suas capacidades, estão o roubo de credenciais de tela de bloqueio, listas de contatos e dados de SMS, além de registrar continuamente as entradas do usuário através de keyloggers.

Uma campanha de malware foi descoberta no JetBrains Marketplace, onde pelo menos 15 plugins maliciosos foram projetados para roubar chaves de API de IA de desenvolvedores. Os plugins, que atuam como assistentes de codificação e ferramentas de revisão de código, foram baixados cerca de 70.000 vezes. Aikido Security, a empresa que identificou a ameaça, revelou que os plugins exfiltram as chaves de API assim que o usuário clica em ‘Aplicar’ após inseri-las nas configurações. Os dados são enviados para um servidor específico, comprometendo a segurança dos desenvolvedores. Embora os plugins funcionem como prometido, eles secretamente transmitem as credenciais para os atacantes. Além disso, a pesquisa sugere que os operadores dos plugins podem estar coletando credenciais de usuários gratuitos para fornecer chaves a usuários pagos. A análise de um dos plugins, o DeepSeek AI Assist, confirmou a presença do código de roubo de credenciais. Até o momento, o plugin ainda está disponível para download no Marketplace, o que levanta preocupações sobre a segurança da plataforma.

As equipes de segurança enfrentam um desafio crescente na análise de dados de IP, especialmente com o aumento do uso de infraestrutura de anonimização, como VPNs e proxies residenciais. Um estudo recente da Spur Intelligence revelou que quase metade dos profissionais de segurança entrevistados relatou impactos operacionais significativos devido a tentativas de roubo de contas e abuso de credenciais através dessas tecnologias. Embora as organizações reconheçam a importância da inteligência de IP, muitas ainda a utilizam de forma reativa, principalmente após a geração de alertas. A falta de contexto em dados de IP, como classificação de infraestrutura e padrões comportamentais, dificulta a tomada de decisões eficazes. Além disso, a preocupação com riscos internos, como o uso de dispositivos pessoais e aplicativos de consumo, é frequentemente subestimada. Para enfrentar esses desafios, as equipes de segurança devem integrar a inteligência de IP em seus fluxos de trabalho de forma proativa, buscando não apenas identificar endereços IP suspeitos, mas também entender a infraestrutura e o comportamento por trás deles. O futuro da inteligência de IP está em fornecer contexto rico, automação e uma base sólida para controles de segurança baseados em risco.

Uma vulnerabilidade no SDK do Google Cloud Vertex AI para Python permitiu que um atacante, sem acesso ao projeto da vítima, sequestrasse modelos de aprendizado de máquina e executasse código na infraestrutura de serviços do Google. A técnica, chamada de “Pickle in the Middle” pela Palo Alto Networks Unit 42, foi descoberta e relatada através do programa de recompensas por vulnerabilidades do Google. O problema estava na forma como o SDK gerava nomes de buckets temporários para uploads de modelos. Se o usuário não especificasse um bucket, o SDK criava um nome previsível a partir do ID do projeto e da região, permitindo que um atacante criasse o bucket esperado em seu próprio projeto. Assim, o modelo da vítima era enviado para o bucket do atacante, que poderia substituí-lo por um modelo malicioso. Esse modelo, ao ser carregado pelo Vertex AI, executava código malicioso, permitindo o roubo de tokens OAuth e acesso a outros artefatos do projeto. A falha foi corrigida nas versões 1.148.0 e posteriores do SDK, e recomenda-se que os usuários atualizem e especifiquem um bucket de armazenamento controlado ao fazer uploads de modelos.

Mais de um milhão de sites WordPress estão em risco de serem comprometidos devido a uma vulnerabilidade no plugin UpdraftPlus, que foi explorada em um ataque de cadeia de suprimentos. O ataque, identificado pela empresa de segurança Sansec, afetou o servidor de marketing da Awesome Motive, responsável por produtos populares como OptinMonster. Os hackers conseguiram acessar credenciais do servidor e injetar scripts JavaScript maliciosos que só eram ativados quando administradores logados visitavam os sites afetados. Isso permitiu que os atacantes coletassem tokens de autenticação e criassem contas de administrador falsas, possibilitando o controle total dos sites. Os proprietários de sites são aconselhados a verificar a presença de contas de administrador não autorizadas e a realizar varreduras de malware. Além disso, é recomendado que senhas e chaves de API sejam rotacionadas para mitigar o risco de comprometimento contínuo.

O estado do Maine, nos EUA, desativou temporariamente seu portal de notificação de vazamentos de dados após receber uma série de alegações fraudulentas. O portal, que permite que organizações relatem incidentes de segurança que afetam residentes do Maine, foi alvo de notificações falsas que se passavam por empresas conhecidas como Discord e VRChat. Após a confirmação de que essas alegações eram hoaxes, a Procuradoria Geral do Maine decidiu suspender o acesso público ao portal para investigar o caso. Embora as empresas ainda possam enviar notificações, o público não terá mais acesso às informações até que a situação seja resolvida. A Procuradoria Geral ressaltou que não há conhecimento de vazamentos legítimos por parte das empresas mencionadas, e que as notificações falsas foram removidas do sistema. A investigação visa prevenir abusos futuros do sistema de notificação, que é uma ferramenta importante para a transparência em questões de segurança de dados.

O artigo explora como junctions e links simbólicos do sistema de arquivos NTFS podem ser utilizados por atacantes para criar estruturas de diretórios recursivas, conhecidas como GhostTree e GhostBranch. Essas técnicas permitem que um usuário, sem privilégios administrativos, crie loops que geram caminhos de arquivos praticamente infinitos. Isso pode dificultar a detecção de arquivos maliciosos, pois ferramentas de segurança, como produtos EDR, podem ficar presas nesses loops, deixando os arquivos maliciosos sem exame. O GhostBranch é uma técnica mais simples que cria um loop lógico ao apontar um diretório filho de volta para o diretório pai, enquanto o GhostTree expande essa ideia, permitindo múltiplos diretórios filhos que também se conectam ao pai, aumentando exponencialmente o número de caminhos válidos. O artigo destaca a importância de monitorar a atividade do sistema de arquivos para detectar essas anomalias e sugere que a visibilidade e o controle de acesso são cruciais para a proteção de dados sensíveis. A técnica foi testada contra o Windows Defender, confirmando sua eficácia em evitar a detecção de malware. A Varonis, autora do artigo, oferece soluções para monitoramento e proteção de dados em ambientes corporativos.

Pesquisadores da Kaspersky alertam sobre uma nova onda de ataques cibernéticos que exploram o Steam Workshop, plataforma da Valve para compartilhamento de conteúdo de jogos. Os atacantes estão utilizando pacotes de papéis de parede infectados para disseminar malware, que pode resultar no sequestro de contas Steam, instalação de backdoors e execução de processos de criptomineria. O Wallpaper Engine, um aplicativo popular para personalização de papéis de parede, é o vetor principal dessa ameaça. Os wallpapers maliciosos podem conter arquivos executáveis que, ao serem instalados, ativam automaticamente o malware. Os pesquisadores identificaram diversas variantes de malware, incluindo infostealers e mineradores de criptomoedas, que já foram baixados milhares de vezes. Embora a Valve tenha removido os wallpapers maliciosos identificados, a Kaspersky alerta que novos arquivos prejudiciais podem ser enviados a qualquer momento. Para se proteger, os usuários devem baixar conteúdos apenas de fontes confiáveis e utilizar antivírus atualizados para escanear os downloads do Steam Workshop.

Pesquisadores de cibersegurança identificaram várias campanhas de malware conhecidas como ClickFix, que distribuem três carregadores de malware: BabaDeda Loader, Lorem Ipsum Loader e Potemkin. O BabaDeda Loader, observado em abril de 2026, tem como alvo organizações educacionais e financeiras, utilizando técnicas de engenharia social para induzir usuários a executar comandos PowerShell maliciosos. Este carregador é projetado para evitar sistemas na Rússia e Belarus e realiza verificações de segurança antes de injetar cargas úteis em processos confiáveis do Windows. Entre as cargas úteis estão backdoors .NET que coletam dados sensíveis e estabelecem canais criptografados com servidores de comando e controle (C2).

O conceito de zero-trust, que se tornou fundamental nas estratégias de cibersegurança, enfrenta novos desafios com o aumento das ameaças baseadas em inteligência artificial (IA). Embora 50% das organizações planejem adotar a governança de dados zero-trust até 2028, a evolução das ameaças exige uma abordagem mais abrangente. Especialistas alertam que a arquitetura de zero-trust (ZTA) não é uma solução única e que suas limitações precisam ser reconhecidas. Com o aumento de fraudes como deepfakes e ataques autônomos, a ZTA deve evoluir para monitorar continuamente interações entre agentes autônomos e não apenas focar em controles de identidade e acesso. Além disso, a linguagem natural se torna uma nova superfície de ataque, exigindo controles humanos para evitar manipulações. A velocidade e a escala dos ataques aumentaram, tornando essencial que as equipes de cibersegurança adotem uma abordagem baseada em dados e avaliação contínua para garantir a eficácia das medidas de segurança. A ZTA deve, portanto, se adaptar para governar ecossistemas de máquina a máquina, respondendo dinamicamente a atividades anômalas em tempo real.

O ransomware DragonForce, ativo desde 2023, utiliza um malware personalizado chamado ‘Backdoor.Turn’ para esconder o tráfego de comando e controle dentro da infraestrutura de relé do Microsoft Teams. Esse backdoor explora o protocolo TURN (Traversal Using Relays around NAT) do Teams, que é usado para distribuir mensagens quando uma conexão direta não está disponível. Pesquisadores da Symantec relataram que os hackers usaram esse malware baseado em Go em um ataque contra uma grande empresa de serviços nos EUA. O ataque começou com a exploração de uma falha desconhecida em um servidor SQL, seguido pelo download de um arquivo ZIP contendo um executável legítimo e um DLL malicioso. Os atacantes conseguiram obter privilégios de nível de kernel e desativar ferramentas de segurança, utilizando técnicas de BYOVD (Bring Your Own Vulnerable Driver). O Backdoor.Turn permite execução de comandos, criação de processos, e roubo de credenciais, culminando na exfiltração de dados e na implantação do ransomware DragonForce. A Sophos destaca que essa campanha demonstra um nível excepcionalmente sofisticado de técnicas cibernéticas. A publicação inclui uma lista de indicadores de comprometimento (IoCs) para auxiliar na detecção e bloqueio de tais ataques.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta urgente para que agências governamentais protejam seus servidores contra uma vulnerabilidade crítica (CVE-2026-48172) no plugin de cPanel da LiteSpeed. Essa falha, que permite a escalada de privilégios a root em servidores de hospedagem compartilhada, foi identificada como sendo ativamente explorada desde junho. A vulnerabilidade afeta todas as versões do plugin anteriores à 2.4.8 e é resultado de uma fraqueza no ‘seguimento de symlink do UNIX’. A CISA ordenou que as agências federais realizem a correção em um prazo de três dias, conforme a Diretriz Operacional Vinculativa (BOD) 26-04, que prioriza o patching baseado no risco de exploração. Os usuários são aconselhados a verificar se seus servidores estão vulneráveis utilizando um comando específico e, caso haja qualquer saída, investigar os logs do sistema para identificar possíveis danos. A CISA também destacou que essa vulnerabilidade é um vetor de ataque frequente para agentes cibernéticos maliciosos, representando riscos significativos para a segurança federal.

A Comissão Federal de Comércio dos EUA (FTC) alertou que os americanos perderam US$ 3,5 bilhões devido a fraudes por impostores em 2025, com as perdas quase triplicando desde 2020. Essas fraudes foram a categoria de fraude mais relatada, representando quase um em cada três relatos feitos à FTC. Os golpistas utilizam mensagens de texto, chamadas telefônicas, e-mails e redes sociais para atingir suas vítimas. Os esquemas mais onerosos geralmente envolvem alertas falsos de segurança bancária, levando as vítimas a transferir fundos para ‘proteger’ suas contas. Os dados da FTC indicam que quase US$ 1 bilhão foi perdido para impostores de negócios, enquanto aproximadamente US$ 920 milhões foram perdidos para impostores governamentais. As redes sociais se destacaram como o vetor de ataque mais eficaz, com perdas superiores a US$ 2,1 bilhões, um aumento de oito vezes desde 2020. A FTC implementou a Regra de Impersonação em abril de 2024, resultando em ações de aplicação da lei contra várias empresas por fraudes relacionadas. O FBI também relatou que as vítimas nos EUA perderam quase US$ 21 bilhões para crimes cibernéticos em 2025, destacando a gravidade da situação.

O governo do Reino Unido anunciou a proibição do uso de redes sociais para menores de 16 anos, com regulamentações previstas para serem implementadas até a primavera de 2027. Para garantir a aplicação da nova regra, as plataformas deverão realizar verificações de idade, o que significa que novos usuários precisarão comprovar sua idade por meio de documentos de identidade ou reconhecimento facial. Embora contas antigas estejam isentas, a criação de novas contas exigirá essa verificação, eliminando a possibilidade de perfis anônimos. Especialistas em segurança e privacidade alertam que esses métodos de verificação são facilmente contornáveis e podem expor dados pessoais a riscos de vazamentos. O primeiro-ministro Keir Starmer justificou a medida com base em uma consulta nacional que revelou que 90% dos pais apoiam a proibição. A nova legislação se inspira em um modelo australiano e incluirá restrições em recursos de alto risco, como transmissões ao vivo e contato com estranhos, que também se aplicarão a jovens de 16 e 17 anos. No entanto, a eficácia da verificação de idade é questionada, com especialistas afirmando que as medidas podem ser mais prejudiciais do que benéficas, aumentando o risco de roubo de identidade e vazamentos de dados. Além disso, a utilização de VPNs pode contornar essas restrições, permitindo que menores acessem as plataformas de forma não regulamentada.

Pesquisadores de cibersegurança identificaram duas variantes do malware SprySOCKS, anteriormente conhecido como um backdoor exclusivo para Linux, agora adaptadas para Windows. As variantes, denominadas WIN_DRV e WIN_PLUS, possuem configurações de comando e controle (C&C) embutidas e suportam comunicação via TCP, UDP e WebSocket. Ambas as versões permitem a execução de mais de 30 comandos, incluindo coleta de informações do sistema e gerenciamento de processos. A variante WIN_DRV utiliza drivers de kernel para ocultar conexões de rede e processos, enquanto a WIN_PLUS se aproveita do serviço de spooler de impressão do Windows para iniciar o backdoor. As evidências sugerem que essas variantes foram implantadas em ataques direcionados a organizações governamentais em países como Honduras, Taiwan e Paquistão entre 2023 e 2024. A descoberta dessas versões para Windows representa uma expansão significativa das capacidades do grupo de espionagem cibernética conhecido como FishMonger, que está associado a um ator de ameaças patrocinado pelo estado chinês. A análise revela que a arquitetura central do SprySOCKS foi preservada, mas com melhorias na furtividade e na adaptação a mecanismos nativos do Windows.

Recentemente, a empresa de inteligência em ameaças Defused Cyber alertou sobre a exploração ativa de múltiplas vulnerabilidades no Fortinet FortiSandbox. Nos últimos dias, três falhas críticas foram identificadas: CVE-2026-39813, CVE-2026-39808 e CVE-2026-25089, todas com uma pontuação CVSS de 9.1, indicando seu alto risco. A CVE-2026-39813 é uma vulnerabilidade de travessia de caminho na API JRPC do FortiSandbox, permitindo que atacantes não autenticados contornem a autenticação através de requisições HTTP manipuladas. A CVE-2026-39808, por sua vez, é uma injeção de comando do sistema operacional, que também pode ser explorada por atacantes não autenticados para executar comandos não autorizados. A CVE-2026-25089, corrigida recentemente, afeta o FortiSandbox e suas interfaces na nuvem, permitindo a execução de comandos não autorizados. Apesar de a Defused Cyber ter notado que o exploit para a CVE-2026-25089 parece ter sido desenvolvido com um modelo de inteligência artificial, ele apresenta falhas e ainda não foi divulgado publicamente. As vulnerabilidades em dispositivos Fortinet têm atraído a atenção de atacantes nos últimos anos, com a empresa já tendo lançado patches para outras falhas críticas em abril de 2026.

Pesquisadores de segurança da Zimperium documentaram um novo trojan bancário para Android, chamado Rokarolla, que ataca 217 aplicativos de bancos e criptomoedas. O malware, que possui 137 comandos remotos, permite que um operador tenha controle quase total do dispositivo infectado. Entre suas funcionalidades, estão a captura de PINs de bloqueio, leitura e envio de SMS, redirecionamento de pagamentos em criptomoedas e desativação do Google Play Protect. O Rokarolla se espalha por sites maliciosos que se disfarçam de aplicativos conhecidos, como TikTok e Chrome. Ao ser instalado, ele se apresenta como Google Play Protect para obter acesso de acessibilidade e, em seguida, desativa a proteção. O roubo de informações ocorre através de sobreposições, onde páginas de login falsas são exibidas sobre os aplicativos legítimos, capturando dados sensíveis dos usuários. Além disso, o malware pode ler mensagens SMS, interceptar códigos de autenticação e modificar a área de transferência para redirecionar pagamentos. A Zimperium alerta que não há um patch a ser aplicado, pois se trata de um malware, e recomenda que os usuários instalem aplicativos apenas da Google Play e mantenham o Play Protect ativado.

Nos últimos anos, o setor financeiro global enfrentou a ameaça da criptografia quântica, que poderia tornar vulneráveis as informações digitais, desde e-mails até dados bancários. Especialistas em cibersegurança se mobilizaram para desenvolver novas formas de criptografia, garantindo que, mesmo sem a tecnologia quântica plenamente desenvolvida, as defesas estivessem preparadas. Recentemente, o modelo Claude Mythos da Anthropic trouxe à tona novas preocupações, identificando milhares de falhas de software em sistemas operacionais e navegadores. Essa situação exige atenção especial de empresas que operam no ecossistema financeiro, pois a velocidade com que essas vulnerabilidades podem ser exploradas aumentou significativamente devido ao uso de inteligência artificial. A diretora do FMI, Kristalina Georgieva, alertou que o mundo ainda não possui ferramentas adequadas para proteger o sistema monetário internacional contra esses riscos cibernéticos em expansão. O artigo destaca a importância de uma preparação proativa, como demonstrado pelo Projeto Leap, que testou algoritmos de criptografia pós-quântica antes da ameaça se concretizar. Essa abordagem colaborativa entre bancos centrais e provedores de infraestrutura é um modelo a ser seguido para enfrentar novas ameaças emergentes.

A empresa de saúde digital iRhythm Holdings anunciou uma violação de dados após hackers terem roubado informações pessoais e de saúde de pacientes armazenadas em aplicações de negócios hospedadas por terceiros. A iRhythm, que fornece serviços de monitoramento cardíaco, analisou mais de 2 bilhões de horas de dados de batimentos cardíacos de mais de 12 milhões de pacientes. Em um comunicado à Comissão de Valores Mobiliários dos EUA (SEC), a empresa informou que descobriu o incidente em 8 de junho de 2026 e iniciou uma investigação com especialistas em cibersegurança. Os atacantes, que se comunicaram com a empresa em 9 de junho, exigiram um resgate para não divulgar as informações roubadas. A iRhythm confirmou que dados foram exfiltrados, mas não encontrou evidências de que a violação afetou seus produtos ou a segurança dos pacientes. A empresa também destacou que não armazena informações financeiras de pacientes e que o acesso foi realizado através de engenharia social. O incidente ressalta a vulnerabilidade de dados sensíveis em aplicações de terceiros e a necessidade de medidas de segurança robustas.

Pesquisadores da ESET identificaram variantes do malware SprySOCKS, originalmente desenvolvido para Linux, sendo utilizadas em ataques direcionados a organizações governamentais em Taiwan, Tailândia, Paquistão e Honduras entre 2023 e 2024. O malware está associado ao grupo de ameaças chinês conhecido como Earth Lusca, que também é rastreado como FishMonger. As novas variantes para Windows, denominadas WIN_DRV e WIN_PLUS, apresentam capacidades avançadas de furtividade em nível de kernel, permitindo que os operadores ocultem artefatos de malware e se comuniquem com o backdoor através de tráfego redirecionado de portas TCP arbitrárias. O WIN_DRV inclui drivers de kernel para funcionalidades semelhantes a rootkits, enquanto o WIN_PLUS é uma versão mais simples. Ambas as variantes podem executar uma ampla gama de comandos, coletar informações do sistema e gerenciar arquivos. Além disso, a ESET observou indícios de um componente de bootkit UEFI que pode explorar uma vulnerabilidade conhecida como CVE-2023-24932. A descoberta dessas variantes indica que o Earth Lusca está ampliando seu arsenal para atingir uma variedade mais diversificada de sistemas, representando uma ameaça significativa para a segurança cibernética global.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma falha de segurança no plugin LiteSpeed cPanel em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). A vulnerabilidade, identificada como CVE-2026-54420, possui uma pontuação CVSS de 8.5 e permite que usuários com acesso FTP ou web shell escalem privilégios para root em servidores de hospedagem compartilhada que utilizam CloudLinux ou CageFS. A falha ocorre devido ao manuseio inadequado de symlinks por parte do plugin LiteSpeed cPanel antes da versão 2.4.8. Embora ainda não se saiba como a vulnerabilidade está sendo explorada ativamente, a LiteSpeed recomenda que os usuários executem um comando específico para verificar se seus servidores foram afetados. Caso o comando retorne resultados, a empresa sugere a atualização para a versão 5.3.2.1 do LiteSpeed WHM Plugin para corrigir a falha. A descoberta da vulnerabilidade foi creditada à Namecheap, que alertou sobre o problema em 31 de maio de 2026.

A Cisco divulgou atualizações de segurança para uma vulnerabilidade de média gravidade no Catalyst SD-WAN Manager, identificada como CVE-2026-20262, que está sendo ativamente explorada. Com uma pontuação CVSS de 6.5, a falha permite que um atacante remoto autenticado crie ou sobrescreva arquivos no sistema afetado devido à validação inadequada de entradas durante o processo de upload de arquivos. Para explorar essa vulnerabilidade, o invasor precisa ter credenciais válidas com acesso de gravação. A falha afeta diversas versões do Cisco Catalyst SD-WAN Manager, tanto em ambientes on-premises quanto na nuvem. A Cisco lançou patches para corrigir a vulnerabilidade em várias versões, e a CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) incluiu a falha em seu catálogo de Vulnerabilidades Conhecidas e Explotadas, exigindo que agências federais apliquem as correções até 29 de junho de 2026. A empresa também forneceu indicadores de comprometimento para ajudar os clientes a auditar possíveis atividades maliciosas relacionadas a essa falha.

O grupo de hackers patrocinado pelo Estado norte-coreano, conhecido como ScarCruft (ou APT37), foi identificado utilizando mensagens de spear-phishing que se disfarçam como notificações de segurança de contas da Microsoft para disseminar um malware chamado NarwhalRAT. Segundo o Genians Security Center (GSC), o e-mail malicioso simula um alerta de segurança, criando uma falsa preocupação sobre possíveis compromissos de conta e abuso de senhas de uso único (OTP), levando a vítima a abrir um anexo. Este anexo, na verdade, é um arquivo ZIP que contém um arquivo LNK malicioso. Ao ser executado, o arquivo LNK inicia uma cadeia de infecção em múltiplas etapas, baixando e instalando o NarwhalRAT, que é capaz de registrar teclas, capturar telas, gravar áudio ambiente e executar comandos de um servidor de comando e controle (C2). O malware se destaca por sua capacidade de se esconder em um diretório disfarçado, evitando a detecção. A infraestrutura de C2 utiliza sites coreanos e a API de armazenamento em nuvem pCloud, o que indica um nível avançado de sofisticação. Essa nova abordagem do ScarCruft representa uma evolução em suas táticas, marcando uma mudança significativa em relação ao RokRAT, um malware anteriormente associado ao grupo.

Uma vulnerabilidade no software de gerenciamento remoto SimpleHelp, identificada como CVE-2026-48558, permite que atacantes não autenticados criem contas de técnicos privilegiados em servidores que utilizam o protocolo de autenticação OpenID Connect (OIDC). Essa falha, classificada como de severidade crítica, afeta as versões 5.5.15 e anteriores do SimpleHelp, além de versões pré-lançamento 6.0. A exploração da vulnerabilidade ocorre devido à validação inadequada das afirmações de identidade recebidas de um provedor de identidade OIDC. Quando a autenticação OIDC está habilitada, um atacante pode criar e acessar uma nova conta de Técnico sem passar pelo processo de autenticação multifatorial (MFA). Isso permite que o Técnico execute atividades de gerenciamento privilegiadas, como acessar endpoints gerenciados e executar scripts. A SimpleHelp lançou correções para a vulnerabilidade em 9 de junho, disponibilizando as versões 5.5.16 e 6.0RC2. A vulnerabilidade não afeta todos os servidores SimpleHelp, mas sim aqueles que dependem do protocolo OIDC, sendo que aproximadamente 14.000 servidores estão expostos na internet, com cerca de 7,2% configurados para usar a autenticação OIDC. Organizações são aconselhadas a atualizar para as versões mais recentes ou, se não for possível, restringir as fontes de login dos técnicos por meio de listas de permissões baseadas em IP.

O Departamento de Justiça dos EUA anunciou a apreensão dos sites CFAKE.com e SOCFAKE.com, que supostamente hospedavam imagens e vídeos gerados por inteligência artificial (IA) de nudez não consensual de mulheres. Esta ação marca a primeira apreensão pública sob a Lei TAKE IT DOWN, que proíbe a publicação de imagens íntimas alteradas sem consentimento. Os sites compartilhavam deepfakes de figuras públicas, incluindo celebridades e políticas de diversos países. A investigação começou após denúncias da polícia italiana, levando a uma colaboração internacional que resultou na apreensão dos domínios e na prisão de um suspeito na França. A Lei TAKE IT DOWN, sancionada em 2025, visa combater a disseminação de pornografia gerada por IA e exige que plataformas online removam conteúdo denunciado em até 48 horas. O ato foi elogiado como uma vitória significativa na luta contra a pornografia de deepfake, destacando a necessidade de proteger mulheres e crianças da exploração digital.

Pesquisadores de cibersegurança identificaram duas campanhas cibernéticas maliciosas associadas a um grupo de ameaças persistente da Coreia do Norte, conhecido como Contagious Interview. Segundo um relatório da Proofpoint, o grupo tem realizado campanhas de phishing direcionadas a quase 100 organizações em setores como finanças, criptomoedas, educação e tecnologia, utilizando temas de recrutamento de desenvolvedores. Os ataques, codificados como UNK_DeadDrop, começam com e-mails que contêm links para repositórios do GitHub controlados pelos atacantes, que hospedam scripts maliciosos. Esses scripts são projetados para executar malware em múltiplas plataformas, incluindo macOS, Linux e Windows, utilizando uma técnica que permite a execução automática de código malicioso ao abrir o Visual Studio Code. O objetivo principal das campanhas é roubar credenciais e dados de extensões de carteiras digitais. Além disso, foram descobertas extensões maliciosas no marketplace do VS Code que funcionam como backdoors sofisticados. As atividades do grupo indicam uma evolução nas operações de cibercrime da Coreia do Norte, com uma mudança de engenharia social ativa para campanhas de phishing em larga escala.

Um grupo de espionagem vinculado à China infiltrou-se em redes de pesquisa médica, acadêmica e militar na América do Norte por mais de um ano, roubando informações sensíveis. A entrada ocorreu através de uma porta dos fundos em servidores REDCap, utilizados para gerenciar bancos de dados de estudos. Os atacantes implementaram um malware chamado INFINITERED, que permitiu o roubo de credenciais e o controle do sistema. O método de exfiltração foi inovador: os atacantes manipularam regras de conformidade de conteúdo do Google Workspace para copiar e-mails que correspondiam a palavras-chave específicas para uma conta de e-mail controlada por eles. O Google identificou a campanha e notificou as organizações afetadas, interrompendo a infraestrutura do grupo. A vulnerabilidade inicial não foi especificada, mas o Google observou que o grupo estava explorando versões antigas e vulneráveis do REDCap. A exfiltração de e-mails foi realizada sem a necessidade de malware adicional no servidor de e-mail, utilizando apenas uma funcionalidade legítima do Google Workspace. Este incidente destaca a importância de revisar e proteger as regras de conformidade de conteúdo em ambientes de nuvem.

O Conselho da Europa, a mais antiga entidade intergovernamental do continente, está investigando alegações de um vazamento de dados feito pelo grupo de extorsão ShinyHunters. O grupo afirma ter roubado mais de 429.000 documentos que contêm informações de recursos humanos e folha de pagamento de diversos departamentos do Conselho. Entre os dados supostamente roubados estão mais de 409.000 contracheques de mais de 10.000 funcionários, além de arquivos pessoais, currículos e informações financeiras sensíveis. O ShinyHunters ameaçou divulgar esses dados na próxima terça-feira, caso o Conselho não entre em contato até o dia 16 de junho de 2026. O grupo também é conhecido por ataques a clientes da Salesforce e por explorar vulnerabilidades em softwares empresariais, como o Oracle PeopleSoft. A situação destaca a crescente ameaça de grupos de cibercrime e a necessidade de medidas de segurança robustas para proteger dados sensíveis em organizações governamentais e privadas.

A Cisco lançou atualizações de segurança para corrigir uma vulnerabilidade crítica no Catalyst SD-WAN Manager, identificada como CVE-2026-20262, que permitia a escalada de privilégios para root. Este software de gerenciamento de rede, anteriormente conhecido como SD-WAN vManage, possibilita que administradores gerenciem até 6.000 dispositivos SD-WAN a partir de um único painel. A falha, que afeta todos os tipos de implantação, foi causada por uma validação insuficiente de entradas fornecidas pelo usuário durante o upload de arquivos. Isso permitia que atacantes remotos de baixo privilégio executassem comandos arbitrários como root ao enviar requisições HTTP manipuladas para um endpoint de API vulnerável. A Cisco alertou que a exploração dessa vulnerabilidade poderia resultar na criação ou sobrescrita de arquivos no sistema afetado, potencialmente permitindo a elevação de privilégios. A empresa recomendou fortemente que os clientes aplicassem os patches disponíveis. Além disso, a Cisco identificou que a exploração dessa falha estava em andamento, e os administradores devem verificar logs específicos para detectar tentativas de upload de arquivos maliciosos. Este incidente se junta a uma série de vulnerabilidades críticas que afetaram o Catalyst SD-WAN Manager nos últimos meses.

Recentemente, os plugins OptinMonster, TrustPulse e PushEngage do WordPress foram alvo de um ataque à cadeia de suprimentos que afetou a rede de distribuição de conteúdo (CDN) da Awesome Motive. O ataque, descoberto pela empresa de segurança Sansec, ocorreu entre 22:17 e 22:42 UTC na sexta-feira, resultando na injeção de scripts maliciosos em sites que utilizam os plugins. O OptinMonster, que possui mais de 1,2 milhão de usuários, foi o mais impactado. Os atacantes exploraram uma vulnerabilidade conhecida no plugin UpdraftPlus para acessar um servidor que continha credenciais da CDN, permitindo a modificação de arquivos JavaScript e a distribuição de código malicioso. O malware coletava tokens de autenticação, criando contas de administrador não autorizadas e instalando um plugin backdoor que permitia controle remoto total dos sites comprometidos. A Awesome Motive já tomou medidas para remediar a situação, migrando o site afetado para um novo servidor e rotacionando todas as credenciais. Os proprietários de sites afetados são aconselhados a verificar e remover contas de administrador não autorizadas e a realizar varreduras de malware em seus servidores.

Pesquisadores da Varonis Threat Labs descobriram uma vulnerabilidade crítica no Microsoft 365 Copilot que permite a exfiltração de dados com um único clique. Batizada de SearchLeak, a falha resulta da combinação de três bugs, sendo um deles uma injeção de comandos que pode expor informações sensíveis, como e-mails e detalhes de calendário. O ataque é facilitado por um link aparentemente confiável que, ao ser clicado, permite que o Copilot busque dados do usuário sem que ele precise inserir qualquer informação ou senha. O processo envolve a injeção de um código em um parâmetro da URL, que é interpretado pelo Copilot, e a utilização de um endpoint do Bing para contornar as políticas de segurança de conteúdo. A Microsoft já mitigou a falha em seu backend, mas a vulnerabilidade destaca a necessidade de monitoramento e governança de dados mais rigorosos. A CVE-2026-42824 foi atribuída a essa vulnerabilidade, que, embora não tenha sido explorada ativamente, representa um risco significativo para a segurança das informações corporativas.

Pesquisadores da Obsidian Security identificaram uma cadeia de três vulnerabilidades críticas no LiteLLM, um gateway de IA de código aberto amplamente utilizado. A primeira falha, CVE-2026-47101, permite que contas de baixo privilégio contornem restrições de autorização, possibilitando que usuários não administradores gerem chaves de API com acesso irrestrito. A segunda vulnerabilidade, CVE-2026-47102, permite a escalonamento de privilégios, onde um usuário pode se promover a administrador completo. Por fim, a CVE-2026-40217 permite a execução de código remoto através de um escape de sandbox, possibilitando que atacantes executem comandos no servidor. A exploração bem-sucedida dessas falhas pode expor chaves de acesso, credenciais e dados sensíveis que transitam pelo gateway. A Obsidian avaliou a gravidade da cadeia de vulnerabilidades com um CVSS de 9.9, classificando-a como crítica. O mantenedor do LiteLLM, BerriAI, lançou uma atualização (v1.83.14-stable) em 2 de maio para corrigir as falhas. É essencial que as organizações atualizem suas implementações e realizem auditorias de segurança para mitigar riscos associados a essas vulnerabilidades.

A Novo Nordisk, uma das maiores empresas farmacêuticas do mundo, confirmou ter sido alvo de um ataque cibernético que resultou na exposição de dados sensíveis de pacientes envolvidos em ensaios clínicos. A empresa informou que os dados comprometidos são pseudonimizados, o que significa que não incluem informações pessoais identificáveis, como nomes ou endereços, reduzindo o risco imediato de fraudes ou phishing. Os dados acessados incluem identificadores de pacientes, informações sobre participação em ensaios, dados biométricos e fatores de estilo de vida, como consumo de álcool e tabaco. Embora a empresa tenha tomado medidas para conter o ataque, incluindo a desativação de sistemas internos e a contratação de especialistas em cibersegurança para investigar o incidente, ela não revelou a identidade dos atacantes ou o número total de registros expostos. A Novo Nordisk assegurou que suas operações principais não foram afetadas e pediu aos pacientes que permaneçam vigilantes quanto a atividades suspeitas nas próximas semanas.

O Samsung MAX VPN, um aplicativo popular entre usuários de dispositivos Galaxy, encerrou suas atividades em 15 de junho de 2026, deixando mais de 50 milhões de usuários em busca de alternativas para proteger sua privacidade online. O aplicativo, que oferecia recursos de mascaramento de IP e compressão de dados, não será mais funcional, e os usuários que tentarem acessá-lo encontrarão uma mensagem de despedida. A Samsung ainda não anunciou um substituto nativo, o que aumenta a urgência para que os usuários encontrem uma solução de VPN confiável. A falta de proteção em redes Wi-Fi públicas pode expor informações sensíveis, como senhas e dados bancários, a hackers. O Google Play Store oferece diversas opções de VPNs de terceiros com protocolos de segurança robustos. É aconselhável que os usuários verifiquem as políticas de registro e as localizações dos servidores ao escolher um novo provedor de VPN, garantindo que seus dados de navegação permaneçam privados.

A gangue de extorsão ShinyHunters realizou um ataque de roubo de dados que comprometeu informações pessoais de mais de 137 mil contas de funcionários escolares, utilizando uma vulnerabilidade no sistema de informações estudantis Infinite Campus, amplamente utilizado nos Estados Unidos. O ataque ocorreu em março e, embora a Infinite Campus não tenha atribuído o incidente a um grupo específico, descreveu o atacante como parte de uma organização conhecida por atacar contas do Salesforce. Os dados expostos incluem nomes, endereços de e-mail, números de telefone e endereços físicos, mas a empresa afirmou não ter evidências de que bancos de dados de clientes tenham sido comprometidos. A ShinyHunters reivindicou a responsabilidade pelo ataque e publicou um arquivo de 1,2 GB contendo registros do Salesforce com informações identificáveis. Este incidente é comparável ao ataque ao PowerSchool em dezembro de 2024, que afetou 62 milhões de estudantes, mas com um impacto menor. A ShinyHunters tem um histórico de ataques a clientes do Salesforce, alegando ter roubado mais de 1,5 bilhão de registros nos últimos anos. A situação destaca a importância da segurança cibernética em instituições educacionais e a necessidade de vigilância constante contra ameaças emergentes.

Uma nova vulnerabilidade crítica, denominada SearchLeak, foi identificada no Microsoft 365 Copilot Enterprise, permitindo que atacantes roubem dados sensíveis de contas de e-mail, OneDrive ou SharePoint através de URLs manipuladas. A informação exfiltrada pode incluir conteúdos de e-mails, eventos de calendário, detalhes de reuniões e documentos acessíveis via Copilot. A vulnerabilidade foi corrigida pela Microsoft e recebeu o identificador CVE-2026-42824, com classificação de severidade máxima.

A cadeia de ataque desenvolvida pela empresa de segurança Varonis consiste em três etapas: a primeira envolve uma injeção de parâmetro que permite ao atacante criar um link que instrui o Copilot a buscar dados do usuário. Na segunda etapa, uma condição de corrida na renderização de HTML permite que o código malicioso execute antes da sanitização. Por fim, um problema de SSRF no Bing permite que a solicitação para buscar uma imagem seja feita, contornando as políticas de segurança.

Uma campanha de espionagem atribuída ao grupo UNC6508, vinculado à China, comprometeu servidores expostos da plataforma REDCap, utilizada em pesquisas médicas e científicas. Os pesquisadores do Google Threat Intelligence Group (GTIG) identificaram que a invasão ocorreu em setembro de 2023 e se estendeu por mais de um ano, com a implementação do malware InfiniteRed, que foi projetado especificamente para sistemas REDCap. Este malware possui três componentes principais: um módulo de persistência, um coletor de credenciais e uma porta dos fundos. O coletor captura nomes de usuário e senhas, armazenando-os em tabelas de banco de dados locais. Além disso, os atacantes utilizaram uma técnica inovadora para exfiltrar dados, criando uma regra de conformidade de conteúdo que enviava informações sensíveis por e-mail. O GTIG recomenda que administradores do REDCap atualizem suas versões e implementem autenticação multifator (MFA) para proteger contas de alto privilégio. O incidente destaca a necessidade de vigilância constante e atualização de sistemas para evitar compromissos semelhantes.

Líderes de segurança de empresas como Datadog, Jamf e ASOS discutem a crescente crise de visibilidade que surge com a democratização da programação por meio da inteligência artificial (IA). Durante um evento virtual, eles abordaram como a capacidade de escrever código se espalhou entre os funcionários, criando um cenário de ‘código selvagem’ que pode comprometer a segurança das organizações. Um relatório da RedAccess revelou que existem 380 mil ativos acessíveis publicamente, com 5 mil contendo informações corporativas sensíveis, muitos dos quais foram criados sem revisão de segurança. A situação é exacerbada pela falta de governança adequada, já que muitos funcionários, motivados por boas intenções, criam automações sem supervisão. Os líderes de segurança enfatizam a importância de classificar dados corretamente e de adotar uma abordagem de habilitação, em vez de restrição, para evitar a proliferação de código não governado. Eles também destacam a necessidade de um registro de casos de uso para rastrear a responsabilidade e a importância de controles técnicos para prevenir comportamentos inesperados de agentes de IA. A discussão revela que, em vez de tentar impedir a criação de código, as organizações devem focar em monitorar e gerenciar o que já está sendo produzido.

O FBI dos EUA emitiu um alerta sobre criminosos que utilizam correios para coletar dinheiro de vítimas de fraudes relacionadas a investimentos em criptomoedas, conhecidas como ‘pig butchering’ ou ‘romance baiting’. Essas fraudes geralmente começam com os golpistas contatando suas vítimas por meio de redes sociais, sites de namoro e aplicativos de mensagens, criando um clima de confiança antes de atraí-las para esquemas de investimento falsos. Ao invés de investir, os golpistas desviam o dinheiro para contas sob seu controle. O alerta destaca que, após instituições financeiras legítimas bloquearem transferências suspeitas, os golpistas orientam as vítimas a realizar retiradas em dinheiro pessoalmente, utilizando correios que se identificam por senhas ou números de série de notas. Após a coleta, as vítimas veem um aumento simulado em seus saldos virtuais e são pressionadas a pagar taxas fraudulentas. O FBI recomenda que as pessoas pesquisem plataformas de criptomoedas antes de investir, evitem compartilhar endereços residenciais e denunciem imediatamente qualquer atividade suspeita. Em 2022, os crimes cibernéticos resultaram em perdas de quase 21 bilhões de dólares nos EUA, com fraudes de investimento representando 49% dos incidentes.

Um ataque cibernético recente comprometeu arquivos JavaScript de plugins populares do WordPress, incluindo PushEngage, OptinMonster e TrustPulse, permitindo que um invasor criasse uma conta de administrador sob seu controle. O ataque ocorreu quando um administrador do site estava logado e carregou o código malicioso, que não afetou visitantes comuns. A empresa Awesome Motive, responsável pelos plugins, ainda não se manifestou sobre a situação. A empresa de segurança Sansec revelou que o código malicioso foi detectado em todos os três plugins, com PushEngage sendo o mais afetado, com uma janela de exposição que durou várias horas. O invasor utilizou uma chave de API do CDN para modificar os arquivos entregues aos sites, o que levanta preocupações sobre a segurança de sistemas de terceiros. Os sites afetados devem ser considerados comprometidos, e recomenda-se uma verificação completa do servidor para detectar possíveis backdoors. A situação é crítica, pois o ataque pode ter consequências sérias para a segurança e a privacidade dos dados dos usuários.