GitHub e PyPI (Python Package Index) introduziram um mecanismo baseado em tempo no Dependabot, ferramenta de gerenciamento de dependências, para proteger contra ataques à cadeia de suprimentos. O Dependabot agora possui um período de espera padrão de três dias, enquanto o PyPI rejeitará novos arquivos enviados para lançamentos com mais de 14 dias. Essas medidas foram implementadas após uma série de ataques de alto perfil, como os ataques ‘chalk’ e ‘debug’, e visam mitigar o risco de adoção automática de pacotes maliciosos recém-publicados. O Dependabot, que notifica os mantenedores sobre atualizações de pacotes, agora aguarda 72 horas antes de processar atualizações, permitindo que mantenedores e ferramentas de segurança identifiquem pacotes maliciosos antes que sejam incorporados. O PyPI, por sua vez, bloqueia a adição de novos arquivos a lançamentos antigos, prevenindo a contaminação de versões confiáveis. Embora não haja registros de ataques anteriores utilizando essa técnica de contaminação, a plataforma age de forma preventiva para evitar possíveis riscos futuros.

A Ucrânia lançou o drone interceptor Tsyklop, inspirado no falcão-peregrino, que realiza ataques suicidas em drones inimigos através de um mergulho assistido pela gravidade. Este veículo aéreo não tripulado (VANT) é projetado para combater drones de reconhecimento e ataques, como os drones Shahed, e possui duas variantes operacionais. O Tsyklop pode operar acima do teto de voo de muitos UAVs russos, com uma envergadura de pouco mais de um metro e autonomia de voo de até 1,5 horas. A versão V2 do Tsyklop já destruiu mais de 100 alvos aéreos, incluindo drones russos, e se destaca por sua capacidade de interceptação em alta velocidade. A introdução do Tsyklop faz parte de um esforço mais amplo da Ucrânia para expandir a produção de drones e desenvolver novas tecnologias para enfrentar as ameaças aéreas russas, com planos de fabricar entre 10 e 30 milhões de drones anualmente. O Ministério da Defesa da Ucrânia formalizou o uso do Tsyklop após anos de testes em combate, destacando sua eficácia em missões de defesa.

Recentemente, fóruns de discussão da Steam têm sido utilizados em ataques conhecidos como ClickFix, que se disfarçam de soluções para problemas de jogos e computadores, mas na verdade infectam dispositivos com mineradores de criptomoedas. Os atacantes criam contas aleatórias na Steam para responder a postagens de usuários que enfrentam problemas técnicos, sugerindo comandos do PowerShell que, ao serem executados, baixam silenciosamente um executável do minerador XMRig.

O script malicioso se apresenta como uma ferramenta de otimização do Windows chamada ‘msf utility \ PC Opt’, prometendo realizar várias tarefas de manutenção. No entanto, a maioria dessas funções é enganosa e visa ocultar a verdadeira atividade maliciosa. O script desativa a validação de certificados TLS e cria uma pasta no diretório do Windows para evitar a detecção pelo Microsoft Defender. Além disso, ele estabelece regras de firewall para permitir conexões com um servidor remoto, onde o minerador é baixado e executado com privilégios de sistema.

Uma nova operação de malvertising, chamada SourTrade, está utilizando uma técnica inovadora para comprometer navegadores de usuários, fazendo com que eles construam um executável malicioso do Windows em vez de baixar um arquivo completo de uma URL fixa. A campanha, que começou no final de 2024, foca em investidores de criptomoedas e se disfarça como serviços legítimos como TradingView e Solana, atingindo usuários em 12 países e 25 idiomas. A análise da Confiant, divulgada em 23 de julho de 2026, revela que a página de destino coleta informações dos visitantes, apresentando uma página vazia para pesquisadores e bots, enquanto os alvos selecionados veem uma cópia convincente do serviço falsificado. A técnica não depende de vulnerabilidades do navegador, mas sim de um processo complexo que envolve a construção do executável diretamente no navegador, utilizando um runtime legítimo chamado Bun. Essa abordagem dificulta a detecção, pois não há um malware completo na rede, apenas partes que são montadas em tempo real. A Confiant recomenda que os usuários instalem softwares de negociação e carteiras apenas a partir dos sites oficiais dos fornecedores, evitando anúncios. Embora não haja um patch disponível, a análise sugere que a defesa deve ser focada em examinar toda a cadeia de entrega do ataque.

Recentemente, o grupo de extorsão ShinyHunters tem sido associado a uma nova campanha de sextorsão, onde endereços de e-mail expostos em vazamentos de dados são utilizados para enviar mensagens ameaçadoras. Os e-mails, que alegam ser enviados pelo grupo, exigem um pagamento de $2.000 em Bitcoin, sob a ameaça de divulgar vídeos íntimos das vítimas. No entanto, investigações indicam que os remetentes não têm acesso real aos dispositivos das vítimas, mas utilizam informações de vazamentos anteriores para tornar as ameaças mais convincentes. Dados de empresas como Amtrak, Hallmark e Betterment foram mencionados como fontes de informações utilizadas na campanha. Apesar da aparência de legitimidade, não há evidências de que os remetentes tenham comprometido os dispositivos das vítimas ou coletado informações pessoais. Especialistas em segurança recomendam que as vítimas não respondam ou paguem o resgate, pois essas mensagens são parte de um golpe comum de extorsão. A campanha começou em abril e já gerou preocupações entre as empresas afetadas, que alertam seus clientes sobre a natureza fraudulenta dessas comunicações.

Uma campanha massiva de malvertising está utilizando páginas falsas de Solana, Luno e TradingView, que contêm JavaScript malicioso capaz de montar malware diretamente na memória dos navegadores. Desde o final de 2024, a operação tem se concentrado em 25 idiomas em 12 países, principalmente na Ásia-Pacífico e na América Latina. Um sistema de filtragem garante que apenas alvos reais, como traders e investidores de criptomoedas, acessem as páginas maliciosas, enquanto pesquisadores e bots de segurança são redirecionados para páginas em branco. A plataforma de segurança Confiant destaca que o design da campanha se diferencia pelo uso do navegador como um “pipeline de montagem local” para o malware. As páginas falsas apresentam um botão de download, mas utilizam uma biblioteca ReactJS para preparar o navegador para um fluxo de download gerenciado. O processo envolve a configuração de um worker compartilhado que monta o arquivo malicioso a partir de componentes recebidos, garantindo que o arquivo final tenha um hash único para evitar detecções. Embora a natureza do payload não tenha sido revelada, evidências sugerem que ele pode interceptar tráfego de rede, coletar dados de cookies e senhas, registrar teclas e roubar dados de carteiras de criptomoedas. Os usuários são aconselhados a evitar downloads de aplicativos financeiros ou de criptomoedas a partir de anúncios em redes sociais e a sempre obter arquivos executáveis dos sites oficiais das empresas.

O esquema de ransomware como serviço (RaaS) DevMan, monitorado pela empresa suíça de cibersegurança PRODAFT, opera uma plataforma que permite que afiliados construam payloads, gerenciem ganhos e interajam com vítimas. Desde sua aparição em abril de 2025, o DevMan evoluiu de um afiliado para uma operação própria, integrando funções como geração de builds, finanças e suporte. O grupo já reivindicou 184 vítimas, com um foco significativo em setores como tecnologia e saúde nos EUA. A plataforma, que passou por atualizações, agora permite uma gestão mais formalizada das operações dos afiliados, com um modelo de governança que limita a autonomia e garante a supervisão dos administradores. Além disso, o DevMan tem um histórico de colaboração com outros grupos de cibercrime e desenvolveu um ’locker’ especializado para atacar sistemas de controle industrial. A operação também enfrenta desafios, como a exposição de identidades de operadores, que resultou na perda de alguns afiliados. As recomendações de segurança incluem a proibição de logins interativos de contas de serviço e a implementação de autenticação multifatorial resistente a phishing.

O grupo de cibercriminosos Cl0p está explorando falhas em implementações do PTC Windmill e FlexPLM para realizar uma nova campanha de extorsão de dados. Os atacantes utilizam uma vulnerabilidade crítica (CVE-2026-12569) no PTC Windmill, que permite a execução remota de código sem autenticação, combinada com uma falha de divulgação de informações no endpoint WSDL do FlexPLM. Isso possibilita a instalação de shells web JSP em sistemas vulneráveis. Os alvos incluem setores como manufatura, automotivo, aeroespacial e varejo. A PTC alertou seus clientes sobre um aumento na atividade de ameaças, e o Ransom-ISAC divulgou endereços IP associados a essas atividades maliciosas. Os e-mails de extorsão são enviados a centenas de usuários de organizações afetadas, com instruções para contatar o grupo Cl0p. A natureza da campanha e as táticas utilizadas indicam uma continuidade das operações do Cl0p, que historicamente visa falhas em produtos empresariais amplamente utilizados para roubo de dados e extorsão.

As campanhas de phishing têm evoluído significativamente, especialmente em relação a instituições financeiras e seguradoras. Recentemente, investigações revelaram que os atacantes estão utilizando uma abordagem em tempo real, onde sincronizam suas atividades com as vítimas enquanto elas fazem login em portais legítimos de seguros. Isso transforma o phishing de uma simples coleta de dados em um sequestro ativo de contas, permitindo que os criminosos acessem informações sensíveis imediatamente.

As seguradoras, que expandiram rapidamente seus serviços online, se tornaram alvos atraentes devido à quantidade de dados pessoais e financeiros que armazenam. Em vez de usar e-mails de phishing tradicionais, os atacantes estão investindo em anúncios patrocinados no Google, que redirecionam as vítimas para sites falsos que imitam as plataformas legítimas. Essa nova técnica, chamada de “InsureOTP Kit”, permite que os operadores gerenciem sessões de vítimas em tempo real, coletando dados enquanto as vítimas interagem com o site falso.

As empresas de segurança ThreatBook e Imperva alertaram sobre um ataque direcionado a uma vulnerabilidade crítica na biblioteca Fastjson, da Alibaba, utilizada em aplicações Java. A falha, identificada como CVE-2026-16723, permite que um pedido JSON malicioso execute código sem autenticação, utilizando os privilégios do processo Java. Com um CVSS de 9.0, a vulnerabilidade afeta versões do Fastjson entre 1.2.68 e 1.2.83, especialmente em aplicações Spring Boot que não têm o SafeMode ativado. A Alibaba ainda não lançou uma versão corrigida, mas recomenda que as organizações que não podem migrar imediatamente ativem o SafeMode ou utilizem uma versão restrita do Fastjson. A exploração da falha já foi observada em ambientes reais, afetando setores como serviços financeiros e saúde, principalmente nos Estados Unidos. Embora a CISA tenha classificado a exploração como inexistente, a falta de um patch e a possibilidade de exploração ativa tornam a situação preocupante. As organizações devem auditar suas dependências do Fastjson e monitorar sinais de exploração, como valores @type suspeitos e conexões inesperadas.

O ChatGPT está passando por uma interrupção significativa, afetando usuários em todo o mundo, incluindo os Estados Unidos e a Europa. O problema começou por volta das 5h ET e impede que os usuários carreguem conversas anteriores, resultando em animações de carregamento travadas e erros de ‘muitas solicitações simultâneas’ ao tentar enviar mensagens. Além do ChatGPT, a plataforma de codificação Codex da OpenAI também está enfrentando dificuldades. A OpenAI reconheceu a situação em sua página de status e informou que está investigando o problema. Embora a empresa tenha aplicado uma correção e esteja monitorando a situação, os testes ainda mostram que os problemas persistem. A interrupção também afeta a API da OpenAI, com até 12 endpoints listados como problemáticos. A situação continua em desenvolvimento, e a empresa está trabalhando para resolver as falhas o mais rápido possível.

Pesquisadores de segurança da depthfirst divulgaram um código de exploração para uma falha no GitLab, que foi corrigida em 10 de junho, mas que ainda afeta servidores que não foram atualizados. A vulnerabilidade permite que qualquer usuário autenticado que possa enviar alterações para um projeto execute comandos como o usuário ‘git’ em servidores auto-gerenciados na versão 18.11.3 do GitLab. O ataque é realizado através do envio de um notebook Jupyter manipulado, que vaza um ponteiro de heap, permitindo que um invasor localize bibliotecas na memória e execute um payload. O GitLab não classificou a correção como uma falha de segurança, o que pode ter levado operadores a não priorizarem a atualização. A falha é resultado de dois bugs de corrupção de memória no parser JSON Oj, que permitem que bytes controlados pelo atacante sejam manipulados dentro do processo da aplicação. A exploração não requer direitos de administrador, acesso a CI/CD ou interação do usuário, o que a torna especialmente perigosa. Para mitigar o risco, é recomendado que os operadores atualizem para as versões corrigidas do GitLab. A falta de uma classificação de CVE e a ausência de uma pontuação CVSS tornam a situação ainda mais preocupante, pois pode levar a uma subestimação do risco por parte dos administradores.

Um novo relatório do Insikt Group da Recorded Future revela que um grupo de ameaças vinculado ao Irã, identificado como TAG-182, está utilizando aplicativos falsos de VPN e reprodutores de mídia para disseminar um software de vigilância chamado MarkiRAT. Esses aplicativos, como o Pis2ray VPN e o YESHICA YEPlayer, não estão disponíveis nas lojas oficiais, como Google Play ou App Store, e têm como alvo principal usuários iranianos, tanto dentro quanto fora do país. O MarkiRAT é um Trojan de acesso remoto que permite que atacantes capturem telas e controlem dispositivos de forma discreta, utilizando técnicas que disfarçam suas atividades como processos normais do sistema. A campanha de distribuição se intensificou após protestos nas ruas do Irã e durante períodos de interrupção da internet, quando os usuários mais necessitam de soluções de privacidade. O relatório destaca a importância de baixar aplicativos apenas de fontes confiáveis e alerta para os riscos de aplicativos promovidos em redes sociais. Essa situação serve como um lembrete da vulnerabilidade de usuários em ambientes censurados e da necessidade de uma vigilância constante em relação a ferramentas de segurança.

Uma nova campanha de cibersegurança está em andamento, onde hackers alteram as configurações de DNS em dispositivos Wi-Fi de hotéis e centros de conferências para redirecionar usuários a páginas falsas de login do Microsoft 365. Identificada pela empresa de cibersegurança ReliaQuest, essa atividade afeta organizações de diversos setores, como serviços financeiros, saúde e varejo, e já foi observada em várias cidades dos EUA, além de regiões como Índia e Arábia Saudita. Os atacantes podem obter acesso a informações sensíveis ao comprometer contas do Microsoft 365, especialmente em eventos corporativos. A técnica utilizada envolve a exploração de interfaces de gerenciamento mal protegidas, permitindo que os hackers modifiquem as configurações de DNS dos gateways Wi-Fi. Os usuários que tentam acessar os portais legítimos do Microsoft são redirecionados para páginas de phishing, onde suas credenciais podem ser capturadas. Além disso, os pesquisadores notaram tentativas de abuso do Web Proxy Auto-Discovery (WPAD) para redirecionar o tráfego através de proxies controlados pelos atacantes. Para mitigar esses riscos, a ReliaQuest recomenda o uso de VPNs e DNS criptografado, além de desativar o WPAD e revisar logs de atividades suspeitas.

Um agente de IA de código aberto chamado Hermes foi utilizado por um ator de ameaças em modo ‘YOLO’ para automatizar atividades pós-exploração durante uma suposta violação no Ministério da Fazenda da Tailândia. A empresa de inteligência de ameaças Hunt.io e o pesquisador de segurança Bob Diachenko descobriram diretórios web expostos contendo centenas de arquivos relacionados à operação. Embora o ministério não tenha confirmado a violação, os arquivos recuperados indicam que múltiplos sistemas foram alvo dos atacantes. Entre os arquivos, estavam códigos de exploração, shells web e credenciais roubadas. O Hermes, que opera como um serviço persistente, foi configurado para executar comandos sem a necessidade de aprovação humana, permitindo que o agente realizasse tarefas como elevação de privilégios e varredura de vulnerabilidades. A descoberta destaca o uso crescente de agentes de IA autônomos em ciberataques, levantando preocupações sobre a segurança de sistemas governamentais e a necessidade de vigilância contínua.

A empresa de entrega de pacotes OnTrac anunciou que hackers invadiram sua rede corporativa, possivelmente acessando dados pessoais de seus clientes. O incidente foi detectado em 23 de março, e uma investigação interna revelou que os atacantes acessaram arquivos entre 20 e 22 de março. Embora a empresa tenha confirmado que nomes foram expostos, não está claro quais outros tipos de informações foram comprometidos, pois os detalhes foram redigidos na notificação enviada às autoridades. Para mitigar os riscos, a OnTrac está oferecendo um ano de monitoramento de crédito e proteção de identidade gratuitamente aos clientes afetados. A empresa também recomenda que os destinatários da notificação revisem seus relatórios de crédito e considerem a colocação de alertas de fraude. Até o momento, não houve confirmação de que informações roubadas tenham sido publicadas ou utilizadas de forma fraudulenta. A OnTrac contratou especialistas externos para avaliar a extensão da violação e tomou medidas para garantir que os dados não fossem divulgados. A situação destaca a crescente preocupação com a segurança de dados em empresas de entrega, especialmente em um cenário onde a proteção de informações pessoais é crucial.

A Europol identificou e sinalizou 4.340 URLs para remoção em uma operação que visou desmantelar o conteúdo online associado a ‘The Com’, uma rede descentralizada de grupos extremistas violentos. A operação, realizada entre junho e julho de 2026, envolveu investigadores de nove países europeus e teve como objetivo interromper a disseminação de conteúdos de extremismo nihilista, que incluem vídeos de violência, autoagressão e exploração sexual de menores. O conteúdo analisado é caracterizado por uma linguagem codificada e emojis, dificultando a compreensão por adultos. A ação faz parte da agenda de contrarresposta ao terrorismo da Comissão Europeia e se conecta ao Projeto Compass, que já resultou em 30 prisões e a identificação de 179 suspeitos. ‘The Com’ é descrito como uma rede sem ideologia unificada, com subgrupos que promovem desde ataques cibernéticos até a exploração sexual de crianças. A operação destaca a crescente preocupação com a radicalização online, especialmente entre jovens, e a necessidade de ações coordenadas para combater esses grupos.

Um novo estudo revela que agentes de codificação baseados em IA estão vulneráveis a ataques que exploram identificadores ‘alucinatórios’, ou seja, nomes de pacotes ou URLs que parecem corretos, mas não existem. Pesquisadores de universidades e empresas de tecnologia demonstraram que esses nomes podem ser previstos, permitindo que atacantes criem armadilhas para capturar sistemas que confiam nesses identificadores não verificados. O fenômeno, denominado ‘HalluSquatting’, permite que atacantes escalem suas operações, pois não é necessário comprometer máquinas individualmente. Em vez disso, qualquer sistema que execute um agente exposto pode ser alvo. O estudo destaca que a segurança tradicional falha em detectar esses ataques, pois as ferramentas de verificação não inspecionam adequadamente as dependências transitivas. Para mitigar esses riscos, é essencial que as equipes de engenharia implementem soluções de governança que verifiquem pacotes antes de serem baixados, como o catálogo de componentes verificados da ActiveState. Isso garante que apenas códigos confiáveis sejam executados, fechando a brecha entre a geração de texto e a execução de código.

A rede americana de fast food Chick-fil-A confirmou que mais de 13 mil clientes tiveram seus dados pessoais roubados em uma recente onda de ataques de credential stuffing. Os ataques ocorreram entre 17 e 19 de junho, quando a empresa detectou atividades suspeitas de login em contas do Chick-fil-A One. Os atacantes utilizaram ferramentas automatizadas e credenciais obtidas de fontes de terceiros para acessar as contas e roubar informações dos clientes. Os dados comprometidos incluem nomes, endereços de e-mail, números de membros do programa de fidelidade, valores de crédito, números de pagamento móvel e os últimos quatro dígitos de cartões de crédito ou débito. Além disso, informações como datas de nascimento, números de telefone e endereços também podem ter sido acessadas. Em resposta ao incidente, a Chick-fil-A desconectou todas as contas afetadas, removeu métodos de pagamento e restaurou os saldos das contas. A empresa também aconselhou os clientes a alterarem suas senhas. Este não é o primeiro incidente de segurança da empresa, que já havia relatado um ataque semelhante em março de 2023, afetando mais de 71 mil clientes.

A Microsoft confirmou que uma falha em seu sistema de manutenção automatizada de rede provocou uma interrupção massiva em seus serviços, incluindo Azure e Microsoft 365, na quinta-feira, 23 de julho. O problema começou às 10h44 ET e afetou principalmente clientes que acessavam os serviços da Microsoft através da infraestrutura conectada à região Azure Oeste dos EUA. A Downdetector registrou 2.403 relatos de interrupção, com o SharePoint sendo o mais afetado, representando 78% das queixas. Os serviços impactados incluíram OneDrive, SharePoint Online, Microsoft Teams e Power Automate, entre outros. A Microsoft identificou que uma mudança recente na rede, que deveria isolar caminhos específicos, resultou na remoção indevida de rotas IP de mais dispositivos do que o planejado. Embora a empresa tenha tentado mitigar a situação redirecionando o tráfego, a recuperação total dos serviços só foi alcançada por volta das 15h41 ET. A Microsoft está agora realizando uma revisão interna para melhorar seus processos de manutenção e segurança.

A segurança de agentes de inteligência artificial (IA) está passando por uma curva de maturidade que envolve adoção, visibilidade e controle. Um dos principais desafios identificados é a aplicação do princípio do menor privilégio, que se mostra mais complexo do que se imaginava. A descoberta de agentes de IA em diversas plataformas, como SaaS e ferramentas de produtividade, é apenas o primeiro passo. No entanto, a visibilidade sozinha não é suficiente, pois esses agentes operam de forma autônoma, tomando decisões e acessando dados sem supervisão humana. Isso gera riscos significativos, especialmente quando não há um controle consistente sobre identidade, intenção e propriedade dos agentes.

Um ataque recente revelou vulnerabilidades críticas no Bing, onde um SVG manipulado foi capaz de executar comandos como NT AUTHORITY\SYSTEM em servidores Windows e como root em máquinas Linux. As falhas, identificadas pela startup XBOW, resultaram em duas CVEs (CVE-2026-32194 e CVE-2026-32191), ambas avaliadas com 9.8 na escala CVSS. O problema reside na forma como o Bing processa imagens, permitindo que um arquivo SVG, que é XML e pode referenciar outros arquivos, fosse interpretado como um comando. A exploração não requer autenticação, cookies ou interação do usuário, tornando-a particularmente perigosa. A Microsoft já corrigiu as falhas antes da divulgação pública, mas não há ações necessárias para os usuários do Bing. A recomendação para desenvolvedores e administradores é desativar delegados no ImageMagick e restringir os formatos aceitos para mitigar riscos semelhantes. Este incidente destaca a importância de tratar componentes de processamento de imagem como parte da superfície de ataque.

Pesquisadores de cibersegurança revelaram uma vulnerabilidade crítica no ChatGPT Workspace Agents da OpenAI, que poderia permitir que um único link de phishing criasse e autorizasse um agente de inteligência artificial (IA) autônomo dentro de uma organização. Codificada como AgentForger pela Zenity Labs, a falha foi corrigida pela OpenAI em 8 de junho de 2026. O ataque ocorre quando um funcionário desavisado clica em um link aparentemente benigno, que ativa o ChatGPT Agent Builder em sua sessão autenticada, permitindo que um agente controlado pelo atacante seja criado e operado sem necessidade de aprovação adicional. Essa vulnerabilidade é um caso de falsificação de solicitação entre sites (CSRF), onde um prompt malicioso é inserido diretamente na URL. O agente forjado pode realizar ações como acessar e-mails, roubar documentos e enviar links de phishing em nome da vítima, tornando-se um operador persistente dentro da organização. A Zenity destacou que a falha representa uma falha de confiança na plataforma, que assume que o usuário intencionalmente criou e autorizou o agente. A situação é alarmante, pois pode levar a compromissos mais amplos e a cenários de comprometimento de e-mail empresarial (BEC).

Pesquisadores H0j3n e Aniq Fakhrul divulgaram um exploit funcional que permite a um usuário de baixo privilégio do Active Directory obter um certificado para um Controlador de Domínio e se autenticar como essa máquina. Nomeada de Certighost, a falha foi classificada pela Microsoft como CVE-2026-54121 e recebeu um CVSS de 8.8, indicando uma autorização inadequada. A exploração requer acesso à rede e uma conta de domínio, mas não necessita de direitos administrativos ou interação do usuário. O exploit automatiza o processo, criando uma conta de computador ou reutilizando uma existente, e utiliza criptografia de chave pública para autenticar como o Controlador de Domínio alvo. A Microsoft lançou um patch em 14 de julho, mas a ausência de relatos de exploração ativa até 24 de julho não garante que não tenha ocorrido. Para organizações que não puderem aplicar o patch imediatamente, os pesquisadores sugerem desabilitar uma configuração de fallback, embora isso possa quebrar fluxos de inscrição legítimos. A vulnerabilidade afeta versões do Windows Server e do Windows 10, e a mitigação deve ser tratada com cautela, considerando a atualização de julho como a solução definitiva.

A empresa de cibersegurança JUMPSEC revelou que grupos de ameaças da Coreia do Norte, conhecidos como BlueNoroff, estão utilizando uma nova campanha de phishing que se disfarça como plataformas de videoconferência, como Zoom e Microsoft Teams. Esses atacantes têm explorado contatos comprometidos e engenharia social para criar uma cadeia de aquisição de vítimas, visando principalmente indivíduos com carteiras de criptomoedas. A campanha envolve o uso de contas legítimas do Telegram para enganar alvos, levando-os a clicar em links que parecem ser reuniões do Zoom, mas que na verdade são domínios falsificados. Uma vez que a vítima acessa o link, é solicitado que forneça permissões para a câmera, permitindo que os operadores capturem o fluxo de vídeo. O ataque é sofisticado, utilizando vídeos pré-editados com rostos gerados por IA, criando uma experiência convincente para a vítima. A análise também revelou que a campanha está em constante desenvolvimento, com várias versões do kit de phishing sendo identificadas. A natureza auto-sustentável do ataque, onde uma conta comprometida pode levar a outras, representa um risco significativo para empresas, especialmente aquelas no setor de criptomoedas e tecnologia.

A NordVPN lançou o HangUp, um aplicativo gratuito para Android que visa identificar e bloquear chamadas indesejadas, como as de telemarketing e fraudes. O HangUp utiliza a tecnologia de proteção de chamadas da NordVPN e requer apenas uma conta gratuita da empresa para funcionar. O aplicativo categoriza as chamadas recebidas, exibe informações sobre o chamador e permite que os usuários bloqueiem categorias inteiras de chamadas, como as de golpes. Segundo pesquisas da NordVPN, 40% dos americanos se sentem inseguros devido a essas chamadas, e muitos enfrentam esse problema diariamente. O HangUp é uma resposta a essa preocupação, oferecendo uma solução acessível sem custos, ao contrário de outras funcionalidades que exigem uma assinatura paga. O aplicativo já está disponível na Google Play Store e a NordVPN planeja lançar uma versão para iOS em breve. O HangUp também fornece estatísticas sobre as chamadas bloqueadas, permitindo que os usuários acompanhem a eficácia do aplicativo na proteção contra fraudes.

O grupo de ransomware Clop, também conhecido como Cl0p, está atacando instâncias do PTC Windchill e FlexPLM expostas à internet em uma nova campanha de extorsão por roubo de dados. Os atacantes estão explorando uma vulnerabilidade crítica de validação inadequada de entrada, identificada como CVE-2026-12569, que permite a execução remota de código em sistemas vulneráveis. A empresa de cibersegurança ReliaQuest relatou que os operadores do Clop estão utilizando webshells JSP para exfiltrar dados sensíveis das plataformas PLM comprometidas. A vulnerabilidade, que possui uma pontuação CVSS de 9.3, foi adicionada ao catálogo de Vulnerabilidades Conhecidas Exploradas da CISA, que ordenou que agências federais dos EUA protegessem suas instâncias do Windchill e FlexPLM em três dias. A PTC começou a lançar patches de segurança em 17 de junho e alertou seus clientes sobre uma atividade de ameaça elevada. O grupo Clop tem um histórico de campanhas de roubo de dados, tendo atacado anteriormente plataformas como Accellion e SolarWinds. As empresas afetadas estão recebendo e-mails de extorsão de novos endereços, como support@cryptohox.com, e devem tomar medidas imediatas para proteger seus sistemas.

Um homem de Illinois foi condenado a 76 meses de prisão por hackear contas do Snapchat de mais de 750 mulheres, roubando fotos íntimas que ele posteriormente vendeu online. Kyle Svara, de 26 anos, usou táticas de engenharia social para obter códigos de acesso, se passando por representante da Snap Inc. Entre maio de 2020 e fevereiro de 2021, ele atacou mais de 4.500 vítimas, acessando ilegalmente cerca de 517 contas. Além disso, Svara foi encontrado com material de abuso sexual infantil em sua conta Mega, contradizendo suas declarações de inocência durante a investigação. Ele também ofereceu seus serviços de hacking online, visando especificamente estudantes universitárias. Outro cliente, Steve Waithe, foi condenado por contratar Svara para hackear contas de alunas de sua universidade. Este caso destaca a crescente preocupação com a segurança digital e a proteção de dados pessoais, especialmente em plataformas populares entre jovens. A condenação de Svara serve como um alerta sobre os riscos de segurança associados ao uso de redes sociais e a necessidade de medidas de proteção mais robustas.

O Computer Emergency Response Team da Ucrânia (CERT-UA) alertou sobre uma nova campanha de ciberespionagem que utiliza um programa malicioso disfarçado como um plugin do Notepad++ para comprometer sistemas Windows. A atividade foi atribuída ao grupo UAC-0099, alinhado à Rússia, que já explorou falhas de segurança em softwares como WinRAR para disseminar o malware LONEPAGE. A nova tática envolve e-mails de phishing com anexos de imagem que redirecionam para um serviço de compartilhamento de arquivos, onde um arquivo ZIP contém um script Visual Basic disfarçado de PDF. Este script baixa e executa um DLL malicioso, que estabelece persistência no sistema e permite a execução de cargas secundárias. O CERT-UA recomenda que organizações atualizem seus softwares para evitar a exploração de vulnerabilidades conhecidas. A campanha se insere em um contexto mais amplo de ataques cibernéticos russos, que têm como alvo instituições governamentais e comerciais ocidentais, destacando a crescente sofisticação e persistência das ameaças cibernéticas na região.

No dia 23 de julho de 2026, a Redis anunciou o lançamento de sete atualizações de segurança após a divulgação de provas de conceito (PoCs) que demonstram a possibilidade de execução remota de código (RCE) em versões específicas do Redis, incluindo 6.2.22, 7.4.9, 8.6.4 e 8.8.0. As vulnerabilidades estão relacionadas a falhas de memória que podem ser exploradas através do comando RESTORE, além de requererem o uso de EVAL e XGROUP em alguns casos. As versões afetadas foram corrigidas, mas a Redis alertou que, até que as atualizações sejam aplicadas, é recomendável revogar o acesso ao comando RESTORE para contas que não necessitam dele e bloquear acessos não confiáveis à rede. Embora as notas de lançamento não tenham indicado exploração ativa das vulnerabilidades até a data de publicação, a situação requer atenção, especialmente considerando que versões anteriores já haviam sido recomendadas para atualização. A Redis também não listou novas entradas de CVE para essas falhas, o que levanta preocupações sobre a visibilidade e a resposta a incidentes relacionados a essas vulnerabilidades.

No dia 24 de julho de 2026, foram divulgadas oito vulnerabilidades de alta severidade no software de fórum NodeBB, afetando todas as versões anteriores à 4.14.0. Aikido Security, responsável pela descoberta, utilizou agentes de pentest baseados em IA para identificar as falhas em uma revisão de seis horas do código-fonte. As vulnerabilidades permitem que usuários comuns acessem o painel administrativo sem necessidade de senha, além de possibilitar que atacantes não registrados leiam mensagens privadas e acessem conteúdos restritos. A falha mais crítica está relacionada à forma como o NodeBB constrói suas páginas, permitindo que códigos maliciosos sejam inseridos em links dentro de postagens. Embora a maioria das falhas tenha sido corrigida em versões anteriores, a atualização para a versão 4.14.2 é recomendada para todos os administradores. Até o momento, não há registros de ataques explorando essas vulnerabilidades, mas a situação exige atenção, especialmente considerando a falta de números CVE associados. Administradores devem estar cientes das implicações de segurança e da necessidade de atualizar seus sistemas para evitar possíveis explorações.

O grupo de cibercriminosos conhecido como TAG-195, responsável pelo ecossistema de malware-as-a-service (MaaS) Golden Chickens, voltou a atuar com o lançamento de quatro novas famílias de malware: TinyEgg, ChonkyChicken, uma variante modular de ChonkyChicken e um utilitário de roubo de credenciais chamado ChromEggscalator. Apesar de divulgações públicas sobre suas operações, os criminosos continuam a desenvolver suas ferramentas. O TinyEgg é um backdoor leve que permite acesso inicial e gerenciamento de persistência, enquanto o ChonkyChicken é um implante mais robusto que inclui roubo de credenciais e controle de sessões de navegador. A versão modular do ChonkyChicken permite que os operadores carreguem funcionalidades sob demanda, aumentando a eficácia e a evasão de detecções. O ChromEggscalator é uma versão modificada de uma ferramenta pública que contorna a criptografia do Chrome. A evolução para uma arquitetura modular sugere que o grupo está aprimorando suas capacidades para evitar detecções e atender a uma gama mais ampla de requisitos operacionais. A utilização de campanhas de engenharia social para disseminar o TinyEgg destaca a necessidade de vigilância constante por parte das organizações.

Um assistente de IA popular foi instalado em um servidor alugado e utilizado para atacar o Ministério da Fazenda da Tailândia, que gerencia a tesouraria e a arrecadação de impostos do país. O operador desativou a configuração que exige permissão antes de executar comandos arriscados, permitindo que o assistente, chamado Hermes, navegasse pela rede do ministério em busca de acesso root e explorasse registros de pessoal. A investigação revelou que o operador já estava dentro da rede antes do uso do assistente, tendo recuperado um shell web oculto e scripts maliciosos. O ataque explorou vulnerabilidades em um serviço de banco de dados Hadoop, que aceita qualquer senha por padrão. Embora não tenha havido evidências de dados sendo extraídos da rede, a situação destaca a importância de monitorar e proteger sistemas críticos contra o uso indevido de ferramentas de automação. A análise sugere que o operador pode ser fluente em chinês, dada a origem do servidor e os detalhes dos scripts utilizados.

Um novo relatório da Proofpoint, intitulado ‘2026 AI-Era Ransomware Report’, revela que 54% das organizações afetadas por ransomware pagaram os atacantes para recuperar o acesso a arquivos bloqueados. Apesar dos avisos das autoridades e especialistas em cibersegurança para não ceder às demandas, a pressão enfrentada pelas empresas em situações de crise muitas vezes leva à decisão de pagar. O estudo, que entrevistou quase 1.000 profissionais de segurança em 12 mercados, também aponta que 37% dos que pagaram enfrentaram novas tentativas de extorsão logo após o pagamento. Além disso, 2% dos entrevistados pagaram e nunca conseguiram recuperar o acesso aos seus dados. Os especialistas recomendam que as empresas adotem medidas preventivas, como a conscientização sobre phishing, a manutenção de backups offline e a implementação de serviços de proteção de endpoint, preferencialmente com suporte de inteligência artificial. O relatório destaca que pagar o resgate não garante a segurança e pode, na verdade, incentivar futuros ataques, uma vez que os criminosos percebem que podem obter lucro com suas ações.

Um novo alerta no setor de tecnologia sugere que a dívida dos data centers de IA pode se assemelhar à crise das hipotecas subprime de 2008. Com mais de 500 bilhões de dólares em dívidas, a estrutura financeira utilizada para financiar esses data centers, através de veículos de propósito específico (SPVs), permite que as empresas ocultem parte de sua exposição real. Empresas como Meta, Google e Amazon têm acumulado dívidas significativas, muitas vezes reportando apenas uma fração de seus riscos reais. A comparação com a crise de 2008 é pertinente, pois ambos os cenários se baseiam na suposição de que a demanda por serviços continuará a crescer indefinidamente. A falta de transparência nas dívidas e a dependência de retornos de data centers por fundos de pensão e seguradoras aumentam o risco sistêmico. A capacidade planejada para data centers de IA pode exceder a demanda real em até 15 vezes, levantando preocupações sobre a viabilidade financeira a longo prazo. A forma como essa dívida será gerida pode determinar se o colapso ocorrerá de forma gradual ou abrupta.

Uma campanha de malvertising no serviço de busca Bing está promovendo um instalador falso do aplicativo de desktop Claude, hospedado em um domínio legítimo da Claude.ai, com o objetivo de entregar o malware SectopRAT. Entre 21 e 22 de julho, pelo menos 29 organizações foram comprometidas durante essa operação maliciosa, identificada pelos pesquisadores como FakeAgent. O ataque utiliza um artefato malicioso do Claude, que foi baixado mais de 7.100 vezes antes de ser removido pela Anthropic. O arquivo, que aparenta ser um componente legítimo do JetBrains Chromium, na verdade carrega uma DLL maliciosa (libcef.dll) que instala o trojan de acesso remoto SectopRAT, capaz de roubar informações. O malware, ativo desde 2019, visa senhas de usuários, dados de cartões de crédito, arquivos e credenciais de FTP, além de informações de clientes de mensagens como Discord e Telegram. Os pesquisadores da Huntress identificaram que a campanha utilizou técnicas de anti-análise e que o SectopRAT se comunica com servidores de comando e controle via transações na Ethereum BNB Smart Chain. A análise revelou que os atacantes registraram 10 domínios associados a um mesmo e-mail, um dos quais já havia sido vinculado a atividades maliciosas anteriores. Os usuários são aconselhados a confiar em sites oficiais para downloads, evitando resultados de busca patrocinados.

A Origin Energy, maior fornecedora de energia da Austrália, confirmou um vazamento de dados que expôs informações pessoais identificáveis de seus clientes, afetando cerca de 4,8 milhões de usuários. A empresa está investigando a extensão do impacto e notificando os clientes afetados. Os dados expostos incluem endereços físicos, datas de nascimento, números de telefone, informações de conta, além de partes dos dados financeiros, como os últimos quatro dígitos do cartão de crédito e os últimos três dígitos da conta bancária. A empresa assegurou que as informações financeiras expostas são incompletas e não podem ser usadas para fraudes. O CEO da Origin, Frank Calabria, pediu desculpas aos clientes e afirmou que medidas estão sendo tomadas para evitar novos acessos não autorizados. Além disso, a empresa notificou as autoridades competentes, incluindo a Polícia Federal Australiana e o Centro de Cibersegurança da Austrália. Um hacker, autodenominado ‘John Doe’, reivindicou a responsabilidade pelo ataque e ameaçou divulgar os dados de 2 milhões de clientes se não houver negociação. Este incidente destaca a vulnerabilidade das empresas em proteger dados sensíveis e a necessidade de medidas de segurança robustas.

Um grupo de espionagem apoiado pelo Estado russo explorou uma vulnerabilidade desconhecida no cliente de webmail Zimbra, permitindo que eles acessassem e-mails de organizações ocidentais por meses. A falha, identificada como CVE-2025-66376, é uma vulnerabilidade de cross-site scripting armazenada na interface Classic do Zimbra. Ao abrir um e-mail malicioso, o payload é executado automaticamente, permitindo o roubo de dados sensíveis, como senhas e códigos de autenticação de dois fatores. As agências de segurança dos EUA, incluindo a NSA e a CISA, emitiram um aviso conjunto sobre a campanha, que começou em julho de 2025. A vulnerabilidade foi corrigida em novembro de 2025, mas as credenciais já comprometidas não foram revogadas. O grupo, identificado como TA488, utilizou contas de e-mail controladas por adversários para enviar mensagens maliciosas, muitas vezes disfarçadas como resumos de notícias. A exploração da falha permitiu que o grupo acessasse informações críticas de várias organizações, incluindo governos e setores financeiros. A recomendação é que as organizações atualizem suas versões do Zimbra e verifiquem contas potencialmente comprometidas.

A Duda, plataforma de criação de sites voltada para agências, lançou novas ferramentas de inteligência artificial (IA) que visam integrar a rapidez da geração de websites com a segurança de nível empresarial. Entre as inovações estão o ‘vibe coding’, um editor de widgets personalizado e a construção de sites baseada em briefs. Essas funcionalidades permitem que agências criem sites complexos de forma mais eficiente, utilizando comandos em linguagem natural. O ‘vibe coding’ facilita a criação de aplicações web dinâmicas, enquanto o editor de widgets permite a geração de elementos arrastáveis diretamente no editor de sites. A Duda também aprimorou a construção de sites a partir de briefs, permitindo o upload de arquivos de mídia e transcrições de chamadas, que são processados pela IA para criar sites multi-páginas. Com essas atualizações, a Duda se posiciona como uma solução robusta para agências, diferenciando-se de plataformas como Wix e Squarespace, que atendem mais ao público DIY. O CEO da Duda, Itai Sadan, enfatizou que, apesar da facilidade proporcionada pela IA, as empresas ainda precisarão de agências para garantir sites seguros e de alto desempenho, que sejam facilmente encontrados por mecanismos de busca.

A Microsoft anunciou que, a partir de 1º de setembro de 2026, as chaves de acesso (passkeys) se tornarão o método padrão de autenticação para o Entra ID, substituindo os códigos de autenticação via SMS e chamadas telefônicas, que serão descontinuados em 1º de fevereiro de 2027. Essa mudança visa aumentar a segurança contra ataques cibernéticos, especialmente em um cenário onde campanhas de phishing assistidas por inteligência artificial têm uma taxa de cliques de 54%, em comparação com apenas 12% para campanhas tradicionais. As chaves de acesso são consideradas mais seguras, pois dificultam o acesso de atacantes que precisariam ter acesso ao hardware da vítima. Além das chaves de acesso, métodos como Windows Hello for Business e chaves de segurança FIDO2 continuarão disponíveis. A Microsoft enfatiza que a evolução do ambiente de ameaças exige métodos de autenticação mais robustos e resistentes a phishing, especialmente com a crescente adoção de IA. A empresa recomenda que as organizações identifiquem usuários que ainda utilizam SMS e planejem a transição para as chaves de acesso.

No primeiro semestre de 2026, os ataques cibernéticos ao setor educacional apresentaram uma queda de 13%, totalizando 104 incidentes, em comparação com 120 no segundo semestre de 2025. No entanto, essa redução não foi uniforme: os ataques a instituições de ensino K-12 (educação primária e secundária) diminuíram em 26%, enquanto as instituições de ensino superior sofreram um aumento de mais de 8%. Um fator significativo para esse aumento foi a atuação do grupo de ransomware conhecido como The Gentlemen, que registrou um crescimento de 275% em suas ações contra o setor educacional, com 80% de suas reivindicações direcionadas a instituições de ensino superior. No total, 36 dos 104 ataques foram confirmados, resultando em quase 693 mil registros de dados comprometidos. A demanda média de resgate subiu 53%, alcançando US$ 420.620. Um exemplo notável foi o ataque à Mount Royal University, no Canadá, que resultou na confirmação de um vazamento de dados de 10 TB. Esses ataques continuam a causar interrupções significativas, tanto na criptografia de sistemas quanto no roubo de dados, destacando a vulnerabilidade do setor educacional frente a ameaças cibernéticas.

A Comissão Europeia impôs uma multa de €890 milhões (cerca de US$ 1 bilhão) ao Google por violar a Lei de Mercados Digitais (DMA), que visa garantir a concorrência justa online. A empresa foi classificada como ‘gatekeeper’ para o Google Search em setembro de 2023, e investigações sobre não conformidade foram iniciadas em março de 2024. A Comissão constatou que o Google favoreceu seus próprios serviços, como compras e resultados de esportes, em detrimento de terceiros nas buscas. Além disso, a empresa restringiu como desenvolvedores de aplicativos poderiam direcionar clientes a opções de compra mais baratas na Google Play Store. A multa foi dividida em €460 milhões por manipulação de resultados de busca e €430 milhões por práticas de direcionamento na loja de aplicativos. O Google deve corrigir essas violações em até 60 dias ou enfrentar penalidades adicionais de até 5% de seu faturamento global. Apesar de ter iniciado testes para ajustar a apresentação de seus serviços, a Comissão destacou que a conformidade efetiva ainda não foi alcançada.

O artigo de Maril Vernon discute a transição do FedRAMP Rev5 para o FedRAMP 20X, destacando a mudança de um modelo de avaliação pontual para um sistema de validação contínua de segurança. Enquanto o Rev5 focava em descrever controles de segurança e apresentar evidências documentais, o 20X exige que as organizações provem continuamente a eficácia de suas medidas de segurança através de Indicadores de Segurança Chave (KSIs), que são resultados mensuráveis suportados por evidências legíveis por máquinas. Essa mudança é crucial, pois ambientes em nuvem são dinâmicos e as ameaças são constantes. O novo modelo requer que as evidências sejam coletadas de forma contínua, com um mínimo de 70% dos KSIs automatizados, permitindo uma validação mais precisa e confiável. A implementação dessa nova abordagem não é apenas uma atualização de documentação, mas sim uma reengenharia dos sistemas de segurança das organizações, exigindo um esforço significativo em automação e design de sistemas para garantir a sustentabilidade da conformidade.

No dia 23 de julho, a Microsoft confirmou que seus serviços, incluindo Microsoft Teams e Microsoft 365, estão enfrentando uma interrupção significativa, afetando principalmente usuários na América do Norte. Às 11h11 ET, o Downdetector registrou 2.403 relatos de problemas, um aumento considerável em relação à média normal de 29. A maioria das queixas (78%) estava relacionada ao SharePoint, seguida pelo Excel (11%) e pelo Microsoft 365 Admin Center (6%). A empresa informou que a funcionalidade de chat do Microsoft Teams também está degradada, com usuários relatando que imagens não estão carregando. Além disso, o acesso ao OneDrive e ao SharePoint Online pode resultar em erros. A interrupção começou às 10h44 ET e afeta usuários que acessam o Microsoft 365 por determinados caminhos de rede na América do Norte. A Microsoft está redirecionando o tráfego para algumas das infraestruturas afetadas e observou uma recuperação parcial para alguns usuários. Um novo comunicado está previsto para ser emitido até às 14h ET. Este incidente destaca a importância de testar cada camada de segurança antes que atacantes o façam, já que 54% dos ataques bem-sucedidos não são detectados.

O CERT da Ucrânia revelou uma nova campanha de ciberataques atribuída ao grupo UAC-0099, que visa organizações ucranianas. Os atacantes estão distribuindo um arquivo ZIP que contém a aplicação legítima Notepad++ e um utilitário malicioso chamado LunchPoke, disfarçado como um plugin. Essa campanha não explora vulnerabilidades conhecidas, mas utiliza um script VBS disfarçado de PDF para instalar o malware. O LunchPoke cria tarefas agendadas no Windows e extrai arquivos maliciosos, incluindo um loader para o malware MatchBoil V2. Embora a versão do Notepad++ utilizada (8.8.3) tenha uma falha de DLL hijacking (CVE-2025-56383), a equipe do Notepad++ contesta essa vulnerabilidade, afirmando que o carregamento de plugins é uma funcionalidade padrão. O CERT-UA recomenda que administradores atualizem suas versões do Notepad++, 7-Zip e WinRAR para evitar possíveis explorações. A campanha destaca a necessidade de vigilância contínua e atualização de software para mitigar riscos de segurança.

A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) alertou sobre o grupo de hackers russo Laundry Bear, também conhecido como Void Blizzard, que está atacando organizações que utilizam servidores de e-mail Zimbra Collaboration. Os ataques combinam phishing com a exploração de uma vulnerabilidade crítica, identificada como CVE-2025-66376, que permite a execução de JavaScript malicioso em e-mails HTML. Essa falha, que foi corrigida em novembro de 2025, permite que os atacantes acessem dados de contas de e-mail sem que a vítima precise clicar em links. O grupo tem como alvo entidades do setor de defesa, governo, educação, energia, e tecnologia, coletando informações sensíveis como e-mails, senhas e tokens de autenticação de dois fatores. Além disso, Laundry Bear utiliza kits de phishing que imitam portais de login legítimos do Zimbra, facilitando o roubo de credenciais. A CISA recomenda que as organizações atualizem seus sistemas, monitorem atividades suspeitas e implementem autenticação multifatorial resistente a phishing. Este incidente destaca a necessidade urgente de proteção cibernética, especialmente para setores críticos que podem ser alvos de espionagem e ataques cibernéticos.

Um servidor exposto da Alibaba Cloud revelou uma operação de ciberataque, identificada como JadeProx, que tem como alvo organizações governamentais, de saúde e educação na Ásia e na América Latina. O grupo utilizou um carregador de Windows inédito, chamado TriBack Loader, para realizar intrusões ativas, incluindo ataques a um hospital público no Vietnã e ao Ministério das Relações Exteriores da Malásia. O TriBack Loader opera por meio de uma técnica de DLL sideloading, combinando executáveis legítimos com DLLs maliciosas. Os operadores também realizaram campanhas de phishing, utilizando sites falsos para distribuir malware, como o Beagle, um backdoor documentado pela Sophos. As investigações revelaram que os atacantes exploraram vulnerabilidades críticas, como CVE-2021-32305, que afetam sistemas amplamente utilizados. A Sophos e a Group-IB destacam a importância de monitorar e bloquear domínios associados a esses ataques, além de reforçar a segurança de aplicações Java expostas e sistemas com falhas conhecidas. O relatório sugere que a detecção deve se concentrar na cadeia de sideloading e em arquivos suspeitos em diretórios de inicialização do Windows.

O grupo de ransomware Chaos implementou uma nova técnica de ataque utilizando um implante chamado msaRAT, escrito em Rust, que opera através do navegador da própria vítima, como Chrome ou Edge. O malware não estabelece conexões de saída diretas, mas se comunica localmente com o endereço 127.0.0.1, utilizando o protocolo de depuração do navegador para enviar comandos. Essa abordagem permite que as mensagens de comando e controle (C2) pareçam originar-se de um tráfego legítimo, dificultando a detecção por parte de ferramentas de segurança. O msaRAT é instalado através de um comando curl que baixa um arquivo MSI disfarçado de atualização do Windows, que carrega um DLL malicioso diretamente na memória. A análise da Cisco Talos destaca que o malware não depende de vulnerabilidades conhecidas dos navegadores, mas sim do comportamento do processo, o que torna a detecção mais desafiadora. A técnica de comunicação via WebRTC, utilizando serviços legítimos como Twilio, também contribui para a furtividade do ataque. A detecção do msaRAT é limitada, com poucos indicadores disponíveis, o que exige atenção redobrada dos profissionais de segurança. Este incidente ressalta a importância de monitorar atividades suspeitas em navegadores e a necessidade de uma abordagem proativa na segurança de redes.

Pesquisadores de cibersegurança descobriram uma vulnerabilidade crítica no Claude Cowork da Anthropic, que permite a fuga do ambiente de sandbox de uma máquina virtual Linux, possibilitando o acesso irrestrito ao sistema operacional macOS do usuário. A falha, identificada como SharedRoot, afetou cerca de 500 mil usuários do macOS que utilizavam sessões locais do Cowork antes da correção. O problema reside na forma como o sistema compartilha o sistema de arquivos do host com a VM, permitindo que o agente acesse dados sensíveis, como chaves SSH e credenciais de nuvem, sem qualquer aviso de permissão. Embora a Anthropic tenha implementado uma solução que prioriza a execução em nuvem, os usuários que optam por executar o agente localmente ainda estão vulneráveis. A vulnerabilidade é exacerbada por uma falha no kernel Linux, CVE-2026-46331, que permite a escalada de privilégios. Para mitigar os riscos, recomenda-se desabilitar namespaces de usuário não privilegiados e restringir o compartilhamento do sistema de arquivos do host. Essa situação destaca a necessidade de vigilância contínua em relação a vulnerabilidades de escalonamento de privilégios, que podem surgir a qualquer momento.

O cenário de cibersegurança apresenta uma série de novas ameaças, muitas delas disfarçadas como ferramentas úteis. Um pacote npm chamado @copilot-mcp/apex foi identificado como um dropper que instala um infostealer no macOS, coletando dados sensíveis como senhas e chaves de acesso. Além disso, uma extensão falsa do Visual Studio Code, ‘Markdown All Pro’, imita uma ferramenta legítima e permite que atacantes acessem informações do sistema. O Python Package Index (PyPI) implementou uma nova política que rejeita uploads de arquivos em versões antigas, visando prevenir contaminações. Uma campanha de phishing está direcionada a usuários portugueses, distribuindo o malware Lampion, que utiliza técnicas de ofuscação para evitar detecções. Por fim, um novo método de ataque, chamado GhostCommit, utiliza imagens para injetar comandos maliciosos em repositórios de código, explorando a vulnerabilidade de revisores automatizados. Essas ameaças destacam a necessidade de vigilância constante e atualização de sistemas para mitigar riscos.