Pesquisadores da Zimperium identificaram quatro campanhas de trojans bancários para Android, denominadas RecruitRat, SaferRat, Astrinox e Massiv, que visam mais de 800 aplicativos financeiros e de redes sociais. Esses malwares utilizam técnicas de engano e furtividade, como ocultar ícones de aplicativos e sobrepor telas falsas de login, para roubar credenciais financeiras dos usuários. Os atacantes direcionam as vítimas a sites falsos que imitam portais de emprego ou serviços de streaming, levando-as a instalar software malicioso. Uma vez instalado, o malware solicita permissões de acessibilidade, permitindo monitorar ações e capturar informações sem o conhecimento do usuário. Além disso, algumas variantes conseguem se esconder completamente, dificultando a remoção. Os ataques também incluem a transmissão ao vivo da tela do dispositivo para os servidores dos atacantes, permitindo a interceptação em tempo real das etapas de autenticação. A complexidade das técnicas de instalação e a evolução dos métodos de evasão tornam a detecção por ferramentas de segurança tradicionais cada vez mais difícil.

Um estudo realizado pela Infoblox e Confiant revelou a existência de aproximadamente 15.500 domínios maliciosos que utilizam técnicas de cloaking para promover fraudes de investimento relacionadas a inteligência artificial (IA) na internet. Essas fraudes se aproveitam de softwares de rastreamento comercial para escalar operações sem a necessidade de construir uma infraestrutura própria. O cloaking permite que o conteúdo prejudicial seja exibido apenas para vítimas específicas, enquanto páginas benignas são mostradas a scanners de segurança. Os golpistas frequentemente promovem plataformas de negociação automatizadas, utilizando termos como ‘Tecnologia de Negociação Inteligente’ e ‘Soluções de Negociação Inteligente’, e recorrem a imagens geradas por deepfake para aumentar a credibilidade das ofertas. Apesar dos esforços de pesquisadores para desativar esses domínios, as operações continuam ativas, com os golpistas rotacionando domínios e reutilizando a mesma infraestrutura. A dificuldade em detectar essas fraudes se deve ao fato de que o conteúdo malicioso só é revelado sob condições específicas, o que torna os sistemas de proteção tradicionais ineficazes.

Recentemente, foram reveladas doze vulnerabilidades críticas na biblioteca vm2 do Node.js, que podem ser exploradas por atacantes para escapar do sandbox e executar código arbitrário em sistemas vulneráveis. A biblioteca vm2 é amplamente utilizada para executar código JavaScript não confiável em um ambiente seguro, mas as falhas de segurança identificadas, como CVE-2026-24118 e CVE-2026-43997, apresentam riscos significativos. As vulnerabilidades têm pontuações de severidade elevadas, com várias delas atingindo 9.8 ou 10 no CVSS, indicando um risco crítico. As versões afetadas incluem até a 3.10.5, e os desenvolvedores são aconselhados a atualizar para a versão 3.11.2 para garantir a proteção adequada. A complexidade de isolar de forma segura o código não confiável em ambientes de sandbox JavaScript é um desafio reconhecido, e novas falhas podem ser descobertas no futuro. A atualização imediata é essencial para mitigar os riscos associados a essas vulnerabilidades.

Um grupo de hackers da Coreia do Norte, conhecido como APT37 ou ScarCruft, comprometeu uma plataforma de jogos voltada para a comunidade coreana em Yanbian, na China, utilizando um malware chamado BirdCall. Este ataque, que começou em 2024, afeta tanto sistemas Windows quanto Android. No Windows, o malware permite roubo de dados, execução de comandos e captura de telas, enquanto no Android, ele pode extrair contatos, mensagens, arquivos de mídia e até áudio ambiente. A plataforma SQgame, que oferece jogos temáticos da região, continua hospedando jogos maliciosos, especialmente para dispositivos Android. O foco do ataque parece ser a população coreana na China, incluindo refugiados e desertores, o que levanta preocupações sobre a segurança de dados pessoais e a privacidade desses indivíduos. A ESET, empresa de segurança cibernética que reportou o incidente, observa que o malware está sendo ativamente mantido, com atualizações frequentes, o que indica um esforço contínuo dos atacantes para explorar essa vulnerabilidade.

A Cisco lançou atualizações de segurança para corrigir uma vulnerabilidade de negação de serviço (DoS) nos sistemas Crosswork Network Controller (CNC) e Network Services Orchestrator (NSO). Essa falha, identificada como CVE-2026-20188, é considerada de alta severidade e resulta de uma limitação inadequada na taxa de conexões de rede recebidas. A vulnerabilidade pode ser explorada remotamente por agentes de ameaça não autenticados, levando à interrupção dos sistemas CNC e NSO não corrigidos. A exploração bem-sucedida pode esgotar os recursos de conexão disponíveis, tornando os sistemas inoperantes e exigindo um reinício manual para recuperação. A Cisco recomenda fortemente que os clientes atualizem para as versões corrigidas mencionadas em seu aviso. Embora a CVE-2026-20188 ainda não tenha sido explorada ativamente, a empresa já enfrentou outras vulnerabilidades de DoS que foram utilizadas em ataques. A situação destaca a importância de manter os sistemas atualizados para evitar possíveis interrupções nos serviços e garantir a continuidade das operações.

Uma vulnerabilidade crítica foi identificada na biblioteca de sandboxing vm2, amplamente utilizada no Node.js, permitindo que atacantes escapem do ambiente seguro e executem código arbitrário no sistema host. A falha, identificada como CVE-2026-26956, afeta a versão 3.10.4 do vm2, embora versões anteriores também possam estar vulneráveis. O problema ocorre em ambientes que utilizam Node.js 25 com suporte a tratamento de exceções do WebAssembly e JSTag. A biblioteca vm2 é projetada para executar código JavaScript não confiável em um ambiente restrito, mas a manipulação inadequada de exceções permite que objetos de erro do host sejam injetados de volta no sandbox, possibilitando o acesso a APIs sensíveis do Node.js, como o objeto process. O mantenedor da biblioteca recomenda que os usuários atualizem para a versão 3.10.5 ou superior para mitigar os riscos. Essa não é a primeira vez que o vm2 enfrenta problemas de segurança, refletindo os desafios de isolar código não confiável em ambientes JavaScript. Com mais de 1,3 milhão de downloads semanais, a vulnerabilidade representa um risco significativo para plataformas que dependem dessa biblioteca.

Uma nova campanha de phishing está direcionando usuários do ManageWP, plataforma da GoDaddy para gerenciamento de sites WordPress, através de resultados patrocinados no Google. Os atacantes utilizam uma abordagem de adversário no meio (AiTM), onde uma página de login falsa atua como um proxy em tempo real entre a vítima e o serviço legítimo do ManageWP. Essa técnica permite que os criminosos capturem credenciais e, em seguida, solicitem o código de autenticação de dois fatores (2FA) para acessar as contas. Pesquisadores da Guardio Labs alertam que o resultado malicioso aparece acima do legítimo na busca por ‘managewp’, enganando usuários que confiam no Google para acessar o serviço. A campanha já afetou 200 vítimas únicas, e os pesquisadores conseguiram infiltrar a infraestrutura de comando e controle dos atacantes, revelando um sistema interativo de phishing. A plataforma ManageWP é amplamente utilizada, com seu plugin ativo em mais de 1 milhão de sites, o que aumenta a gravidade da ameaça. Os pesquisadores também encontraram um acordo em russo no código, indicando que a operação pode ser parte de uma estrutura de phishing privada.

Pesquisadores de cibersegurança revelaram a existência de uma nova botnet chamada xlabs_v1, derivada do Mirai, que se especializa em atacar dispositivos expostos à Internet que utilizam o Android Debug Bridge (ADB). A descoberta foi feita pela Hunt.io, que identificou um diretório exposto em um servidor na Holanda. A botnet é capaz de realizar ataques de negação de serviço distribuído (DDoS) e oferece 21 variantes de ataque, utilizando protocolos TCP, UDP e outros. O foco principal são dispositivos Android, como caixas de TV e roteadores, que têm o ADB habilitado por padrão. Além disso, a botnet é projetada para coletar informações sobre a largura de banda dos dispositivos comprometidos, permitindo que o operador classifique os dispositivos em diferentes faixas de preço para serviços de DDoS. A operação é considerada de médio porte, mais sofisticada que versões anteriores do Mirai, mas ainda assim acessível a criminosos. A situação é alarmante, especialmente para o setor de jogos, que já foi alvo de ataques semelhantes. A Hunt.io recomenda que operadores de servidores de jogos implementem medidas de mitigação adequadas para se proteger contra esses ataques.

O grupo hacker norte-coreano ScarCruft comprometeu a plataforma de jogos sqgame.net, utilizando um ataque de cadeia de suprimentos para disseminar o malware BirdCall, que transforma jogos em trojans. Inicialmente, o malware afetava apenas usuários do Windows, mas agora também impacta dispositivos Android, conforme relatado pela empresa de cibersegurança ESET. O foco principal dos ataques são coreanos residentes na China, especialmente desertores da Coreia do Norte, que utilizam a plataforma como um meio de comunicação e entretenimento. A campanha foi descoberta em outubro de 2025, mas os jogos infectados ainda estão disponíveis para download. O malware BirdCall permite que os hackers capturem telas, registrem teclas digitadas e acessem arquivos do dispositivo. Embora a versão para desktop não esteja infectada, os APKs disponíveis no site da plataforma estão comprometidos. A evolução do malware, que começou com o RokRAT, destaca a adaptação dos ataques para diferentes sistemas operacionais, incluindo macOS e Android. A situação é preocupante, pois qualquer jogador que tenha baixado os jogos pode estar em risco.

Pesquisadores de segurança da Cisco Talos identificaram uma nova variante do trojan de acesso remoto (RAT) CloudZ, que utiliza um plugin chamado Pheno para explorar a ferramenta Microsoft Phone Link. Essa ferramenta permite que usuários conectem seus dispositivos Android e iOS aos computadores com Windows 10 e 11, facilitando a realização de chamadas e o envio de mensagens. No entanto, o plugin Pheno permite que atacantes interceptem mensagens SMS e senhas temporárias (OTPs) sem precisar comprometer o telefone. Ao monitorar sessões ativas do Phone Link, o malware acessa um banco de dados local que armazena essas informações, comprometendo assim a autenticação de dois fatores (2FA). Os pesquisadores alertam que, embora o Phone Link seja uma funcionalidade útil, sua exploração pode levar a sérias vulnerabilidades de segurança. Eles recomendam que os usuários evitem serviços de OTP baseados em SMS e optem por aplicativos de autenticação que não dependam de notificações interceptáveis. A Cisco Talos ainda não conseguiu determinar como os usuários foram infectados, mas enfatiza a necessidade de precauções adicionais para proteger informações sensíveis.

O webinar “Do alerta à contenção: Corrigindo as falhas na resposta a incidentes de rede”, promovido pela BleepingComputer, abordará as razões pelas quais a resposta a incidentes falha em ambientes reais e como as organizações podem fechar essas lacunas utilizando fluxos de trabalho inteligentes que combinam automação e inteligência artificial. Apesar de ferramentas de segurança e monitoramento gerarem um fluxo constante de alertas, muitas equipes ainda dependem de triagem e coordenação manuais sob pressão, o que pode atrasar a resposta e permitir que problemas isolados se transformem em interrupções de serviço mais amplas. O Tines, plataforma de fluxo de trabalho inteligente, ajuda as equipes de segurança e TI a orquestrar a resposta a incidentes, enriquecendo alertas com contexto relevante e automatizando ações-chave entre sistemas. Durante o webinar, os participantes aprenderão a transitar de processos de resposta fragmentados para fluxos de trabalho coordenados, reduzindo os tempos de resposta e prevenindo a escalada de incidentes. O evento abordará como os incidentes de rede evoluem, onde ocorrem as falhas na triagem e enriquecimento, e técnicas para priorizar e direcionar incidentes sem intervenção manual.

O grupo de hackers iranianos MuddyWater disfarçou suas operações como um ataque de ransomware Chaos, utilizando engenharia social via Microsoft Teams para obter acesso e estabelecer persistência em sistemas. O ataque envolveu roubo de credenciais, acesso remoto, exfiltração de dados e envio de e-mails de extorsão, mas a Rapid7 acredita que o componente de ransomware foi uma estratégia para ocultar a verdadeira operação de ciberespionagem e dificultar a atribuição do ataque. A análise sugere que o objetivo principal não era o ganho financeiro, mas sim a espionagem. A Rapid7 tem confiança moderada em atribuir o incidente ao MuddyWater, um grupo associado ao Ministério da Inteligência e Segurança do Irã, com base em sobreposição de infraestrutura e técnicas operacionais. O ataque começou com engenharia social no Microsoft Teams, onde os hackers iniciaram chats com funcionários, manipularam configurações de autenticação multifator e implantaram ferramentas de acesso remoto. Após comprometer contas, os atacantes utilizaram um loader de malware para implantar um backdoor disfarçado, que possui funcionalidades avançadas para execução de comandos e acesso persistente. Este incidente destaca a convergência entre atividades de intrusão patrocinadas por estados e técnicas criminosas.

A Disc Soft Limited, desenvolvedora do DAEMON Tools Lite, confirmou que o software foi comprometido em um ataque à cadeia de suprimentos, resultando na liberação de uma versão trojanizada. A empresa anunciou que já corrigiu a vulnerabilidade e lançou a versão 12.6, livre de malware, em 5 de maio. O ataque, que afetou usuários que baixaram a versão 12.5.1 desde 8 de abril, permitiu que hackers instalassem um backdoor em milhares de sistemas em mais de 100 países, incluindo Brasil, Rússia e Alemanha. O malware inicial coletava dados do sistema e, em alguns casos, um backdoor mais avançado foi implantado, permitindo execução de comandos e download de arquivos. A Disc Soft removeu a versão comprometida e recomenda que os usuários afetados desinstalem o software, realizem uma varredura completa com antivírus e instalem a nova versão. A Kaspersky, que investigou o incidente, destacou que o malware afetou organizações de diversos setores e que a nova versão do DAEMON Tools não apresenta mais comportamentos maliciosos.

Um novo relatório da Gartner destaca que a adoção de agentes de inteligência artificial (IA) nas empresas está avançando mais rapidamente do que as políticas de governança podem acompanhar. Esses agentes operam de maneira contínua, acessando múltiplas aplicações e gerando atividades em alta velocidade, o que resulta em uma camada invisível de atividade de identidade, chamada de ‘matéria escura de identidade’. Segundo a Orchid Security, cerca de 50% das atividades de identidade nas empresas ocorrem fora da visibilidade dos sistemas tradicionais de gerenciamento de identidade e acesso (IAM).

O artigo da The Hacker News anuncia o lançamento do Cybersecurity Stars Awards 2026, um programa global que visa reconhecer a excelência na indústria de cibersegurança. Com quase 20 anos de cobertura de incidentes de segurança, a publicação agora busca destacar o trabalho invisível de líderes e equipes que constroem defesas eficazes e mantêm a segurança cibernética. As inscrições estão abertas para empresas, produtos e profissionais que desejam ser reconhecidos por suas contribuições significativas. O prêmio abrange quatro categorias principais: Produto/Serviço de Cibersegurança, Solução da Indústria de Cibersegurança, Empresa de Cibersegurança e Profissional/Equipe de Cibersegurança. O processo de inscrição é simples e visa proporcionar visibilidade a quem atua na área, com um processo de avaliação imparcial. O reconhecimento é importante, pois gera credibilidade e valor a longo prazo para os fornecedores. As inscrições vão até 15 de maio de 2026, com os vencedores sendo anunciados em 26 de maio de 2026.

O grupo de hackers iraniano MuddyWater, também conhecido como Mango Sandstorm, foi responsabilizado por um ataque de ransomware que se caracteriza como uma operação de “falsa bandeira”. Observado pela Rapid7 no início de 2026, o ataque utilizou técnicas de engenharia social através do Microsoft Teams para iniciar a infecção. Embora inicialmente parecesse um ataque típico de ransomware-as-a-service (RaaS), as evidências sugerem que se tratou de um ataque direcionado, disfarçado de extorsão oportunista. Os atacantes utilizaram compartilhamento de tela interativo para coletar credenciais e manipular a autenticação multifatorial (MFA). Em vez de criptografar arquivos, o grupo optou pela exfiltração de dados e persistência a longo prazo usando ferramentas de gerenciamento remoto como DWAgent. O uso de ferramentas disponíveis no submundo do cibercrime, como CastleRAT e Tsundere, indica uma tentativa de dificultar a atribuição do ataque. O grupo Chaos, que opera sob um modelo de dupla extorsão, também foi mencionado, destacando a convergência entre atividades patrocinadas por estados e táticas de cibercrime. Este incidente ressalta a necessidade de atenção redobrada por parte das empresas, especialmente em setores críticos, devido ao potencial impacto na segurança e conformidade com a LGPD.

O estado de Utah, nos Estados Unidos, está implementando uma legislação que visa regular o uso de VPNs como parte de suas leis de verificação de idade, tornando-se o primeiro estado a adotar tal medida. Especialistas em direitos digitais expressam preocupação com o impacto dessa legislação na privacidade online dos cidadãos. O uso de VPNs é essencial para proteger dados pessoais contra provedores de internet, garantir segurança em conexões Wi-Fi públicas e facilitar o streaming de conteúdo. Para os residentes de Utah, é crucial escolher um VPN que ofereça servidores locais, desempenho robusto e segurança rigorosa. Entre as opções recomendadas estão o NordVPN, que se destaca pela velocidade e segurança, o ExpressVPN, conhecido por sua proteção e cobertura ampla, e o Private Internet Access (PIA), que é uma alternativa mais econômica. Cada um desses serviços oferece características específicas que atendem às necessidades dos usuários em Utah, especialmente em um cenário de crescente vigilância estatal.

Um estudo recente do LinkedIn destaca que os jovens em busca de emprego, especialmente da geração Z, estão cada vez mais vulneráveis a fraudes de emprego. Apesar de uma crescente conscientização sobre os sinais de golpes, cerca de 32% dos jovens admitiram ignorar esses alertas devido à escassez de oportunidades de trabalho. O estudo revela que 40% dos trabalhadores da geração Z já caíram em fraudes, em comparação com 27% da geração X. A pressão para conseguir um emprego faz com que muitos não questionem chamadas de recrutadores desconhecidos ou decisões apressadas. Os golpistas estão se afastando de plataformas confiáveis e direcionando os candidatos para aplicativos de mensagens pessoais, com 90% das tentativas de golpe seguindo essa tendência. O LinkedIn recomenda que os candidatos avaliem cuidadosamente qualquer processo que pareça apressado ou vago e que desconfiem de recrutadores que tentem mover a conversa para fora da plataforma. A empresa está comprometida em bloquear contas falsas e mensagens fraudulentas antes que cheguem aos usuários, além de promover ferramentas de verificação para aumentar a segurança na plataforma.

A Palo Alto Networks alertou seus clientes sobre uma vulnerabilidade crítica não corrigida no Portal de Autenticação User-ID do PAN-OS, que está sendo explorada em ataques. Conhecida como Captive Portal, essa funcionalidade do PAN-OS autentica usuários cujas identidades não podem ser mapeadas automaticamente pelo firewall. A falha, rastreada como CVE-2026-0300, é um bug de zero-day resultante de uma vulnerabilidade de estouro de buffer, permitindo que atacantes não autenticados executem código arbitrário com privilégios de root em firewalls PA-Series e VM-Series expostos à internet. A Palo Alto Networks observou uma exploração limitada direcionada a Portais de Autenticação User-ID expostos a endereços IP não confiáveis e à internet pública. A empresa recomenda que os clientes restrinjam o acesso ao portal a zonas confiáveis ou desativem a funcionalidade até que um patch esteja disponível. Atualmente, mais de 5.800 firewalls VM-Series estão expostos online, com a maioria localizada na Ásia e na América do Norte. A Palo Alto Networks, que atende mais de 70.000 clientes globalmente, está trabalhando para resolver essa vulnerabilidade crítica.

A Palo Alto Networks emitiu um alerta sobre uma vulnerabilidade crítica de buffer overflow em seu software PAN-OS, identificada como CVE-2026-0300. Essa falha permite a execução remota de código não autenticado, com um CVSS de 9.3, caso o portal de autenticação User-ID esteja acessível pela internet. A gravidade diminui para 8.7 se o acesso for restrito a endereços IP internos confiáveis. A vulnerabilidade afeta versões específicas do PAN-OS, incluindo 12.1, 11.2, 11.1 e 10.2, e está sendo explorada em ambientes onde o portal é publicamente acessível. A Palo Alto Networks planeja lançar correções a partir de 13 de maio de 2026, mas até lá, recomenda que os usuários restrinjam o acesso ao portal ou o desativem completamente, se não for necessário. A empresa enfatiza que seguir boas práticas de segurança pode reduzir significativamente o risco de exploração.

Pesquisadores de cibersegurança da Cisco Talos divulgaram detalhes sobre uma intrusão que utiliza a ferramenta de acesso remoto CloudZ RAT e um plugin não documentado chamado Pheno, com o objetivo de roubar credenciais de usuários. O ataque se destaca por explorar a aplicação Microsoft Phone Link, que permite a sincronização entre dispositivos, para interceptar dados sensíveis, como senhas e códigos de autenticação de dois fatores (OTPs), sem a necessidade de comprometer o dispositivo móvel.

O Google anunciou a expansão da Transparência Binária para o Android, uma iniciativa que visa proteger o ecossistema de ataques à cadeia de suprimentos. Essa nova abordagem, que se baseia na Transparência Binária do Pixel, introduz um registro público criptográfico que garante que os aplicativos do Google em dispositivos Android sejam exatamente o que a empresa pretende distribuir. A Transparência Binária é uma resposta a ataques que injetam código malicioso em canais de atualização de software, mantendo as assinaturas digitais intactas. Um exemplo recente é o comprometimento de instaladores do DAEMON Tools, que distribuíam um backdoor disfarçado. O Google enfatiza que confiar apenas na assinatura digital não é mais suficiente, pois ela não garante que o binário foi realmente o que o autor pretendia liberar. Com a nova medida, todos os aplicativos do Google lançados após 1º de maio de 2026 terão uma entrada criptográfica correspondente, permitindo que usuários e pesquisadores verifiquem a autenticidade do software. Essa iniciativa é um passo importante para aumentar a segurança e a privacidade dos usuários, especialmente em um cenário onde ataques à cadeia de suprimentos estão se tornando mais comuns.

Um estudante universitário de 23 anos em Taiwan foi preso por interferir no sistema de comunicação TETRA, utilizado pela rede ferroviária de alta velocidade do país (THSR). Em 5 de abril, ele paralisou quatro trens por 48 minutos ao transmitir um sinal de ‘Alarme Geral’ usando rádios manuais e equipamentos de rádio definidos por software (SDR). O THSR, que opera uma linha de 350 km com trens que alcançam até 300 km/h, transporta anualmente 81,8 milhões de passageiros, sendo um serviço vital e subsidiado pelo governo. O estudante, identificado pelo sobrenome Lin, interceptou e decodificou parâmetros do sistema TETRA, que não foram atualizados em 19 anos, permitindo que ele burlasse sete camadas de verificação. A polícia prendeu Lin após rastrear o sinal de rádio não autorizado até sua residência, onde foram encontrados 11 rádios manuais, um SDR e um laptop. Ele enfrenta acusações sob o Artigo 184 da Lei Penal, com pena de até 10 anos de prisão, e atualmente está sob fiança de NT$100.000. A defesa alega que a transmissão foi acidental, mas as autoridades consideram essa justificativa pouco convincente.

Desde 8 de abril, hackers têm distribuído instaladores trojanizados do software DAEMON Tools, resultando em uma infecção em milhares de sistemas em mais de 100 países. O ataque de supply chain, que ainda está em andamento, afetou principalmente organizações de varejo, científicas, governamentais e de manufatura na Rússia, Belarus e Tailândia. As versões comprometidas incluem DAEMON Tools de 12.5.0.2421 a 12.5.0.2434, com os arquivos DTHelper.exe, DiscSoftBusServiceLite.exe e DTShellHlp.exe sendo os principais alvos. Após a instalação, o malware coleta informações do sistema e pode baixar e executar cargas adicionais. Em alguns casos, um backdoor mais avançado, chamado QUIC RAT, foi implantado, permitindo a injeção de código malicioso em processos legítimos. A Kaspersky, que está monitorando o ataque, alerta que a complexidade do incidente exige que as organizações verifiquem máquinas que tiveram o DAEMON Tools instalado para atividades anômalas desde a data do ataque. Embora não tenha sido atribuído a um ator específico, acredita-se que os atacantes falem chinês. O ataque destaca a crescente preocupação com a segurança da cadeia de suprimentos, que tem sido uma tendência crescente em 2023.

Um ataque cibernético à Instructure, empresa de tecnologia educacional conhecida pelo sistema de gerenciamento de aprendizagem Canvas, resultou no roubo de 280 milhões de registros de estudantes e funcionários de 8.809 instituições de ensino. A gangue de extorsão ShinyHunters assumiu a responsabilidade pelo ataque, que expôs nomes, endereços de e-mail e mensagens privadas dos usuários. A Instructure confirmou a violação de dados e está investigando o incidente, mas não respondeu a solicitações de esclarecimento. As informações foram supostamente extraídas utilizando recursos de exportação de dados do Canvas, como consultas DAP e APIs de usuários, resultando em centenas de gigabytes de dados comprometidos. Universidades como a Universidade do Colorado Boulder e Rutgers já emitiram alertas sobre o impacto potencial, enquanto outras instituições estão em processo de verificação. A situação destaca a vulnerabilidade de plataformas amplamente utilizadas em ambientes educacionais e a necessidade de medidas de segurança robustas para proteger dados sensíveis.

Um novo malware, denominado Quasar Linux (QLNX), foi identificado como uma ameaça significativa aos sistemas de desenvolvedores, combinando funcionalidades de rootkit, backdoor e roubo de credenciais. O QLNX é implantado em ambientes de desenvolvimento e DevOps, como npm, PyPI, GitHub, AWS, Docker e Kubernetes, possibilitando ataques à cadeia de suprimentos ao publicar pacotes maliciosos em plataformas de distribuição de código. Pesquisadores da Trend Micro descobriram que o malware é capaz de compilar dinamicamente objetos compartilhados de rootkit e módulos de backdoor PAM diretamente no sistema alvo, utilizando o compilador GNU (gcc).

No dia 30 de abril de 2026, a OpenAI anunciou o lançamento da Segurança Avançada de Conta (AAS), uma nova camada de proteção opcional para usuários do ChatGPT. Desenvolvida em colaboração com a Yubico, a AAS introduz duas novas chaves de segurança, a YubiKey C NFC e a YubiKey C Nano, que visam proteger especialmente indivíduos em situações de risco, como dissidentes políticos, jornalistas e pesquisadores. Essas chaves de segurança funcionam como dispositivos de hardware que se conectam às contas digitais via USB, garantindo que apenas o usuário original possa acessar a conta. A OpenAI destaca que, embora essas medidas aumentem a segurança contra ataques de phishing, que têm se tornado cada vez mais sofisticados, a perda da chave pode resultar na perda permanente de acesso à conta e aos dados armazenados. O aumento da segurança é uma resposta à crescente ameaça de cibercriminosos que visam informações valiosas em plataformas de chatbot, tornando a implementação dessas medidas uma prioridade para usuários que lidam com dados sensíveis.

A Microsoft emitiu um alerta sobre uma campanha de phishing em larga escala que afetou mais de 35.000 usuários em 13.000 empresas, principalmente nos Estados Unidos. Entre 14 e 16 de abril de 2026, a campanha se espalhou por 26 países, com 92% dos e-mails direcionados a organizações americanas, especialmente nos setores de saúde (19%) e serviços financeiros (18%). Os e-mails, que utilizavam templates HTML refinados e mensagens de urgência, foram projetados para parecer comunicações internas legítimas, aumentando a probabilidade de que os destinatários caíssem na armadilha. Os atacantes usaram identidades falsas e alegações de conformidade para pressionar os usuários a agir rapidamente. Além disso, os e-mails continham links que redirecionavam os usuários para páginas maliciosas após a abertura de PDFs, passando por CAPTCHAs para criar uma falsa sensação de segurança. O objetivo final era coletar credenciais do Microsoft em tempo real, contornando a autenticação multifator (MFA). Essa campanha destaca a evolução das táticas de phishing, exigindo que as empresas adotem medidas de segurança mais robustas para proteger suas informações.

O Google anunciou mudanças significativas em seus programas de recompensas por vulnerabilidades no Android e no Chrome, aumentando os prêmios para exploits mais complexos e reduzindo os valores para falhas que a inteligência artificial (IA) facilitou na identificação. O maior prêmio, de até US$ 1,5 milhão, é destinado a exploits completos de segurança do chip Pixel Titan M2 com persistência, enquanto exploits sem persistência podem receber até US$ 750 mil. Para o Chrome, os exploits de processos do navegador em sistemas operacionais e hardware atualizados agora têm recompensas de até US$ 250 mil, além de um bônus adicional de US$ 250.128 para a exploração bem-sucedida de alocações de memória protegidas pelo MiraclePtr. O Google enfatiza a importância de relatórios concisos que contenham apenas provas de bugs e artefatos essenciais, em vez de análises longas que podem ser geradas automaticamente por IA. Essa reestruturação segue um ano recorde em recompensas, com pagamentos totalizando US$ 17,1 milhões a 747 pesquisadores em 2025, um aumento de mais de 40% em relação a 2024. O total acumulado desde o início do programa em 2010 ultrapassa US$ 81,6 milhões, e o Google prevê que os pagamentos totais em 2026 continuarão a crescer, apesar da redução em alguns valores individuais.

O grupo de cibercrime ShinyHunters comprometeu informações pessoais de mais de 119 mil usuários após invadir a plataforma de vídeos Vimeo em abril. A violação foi confirmada pelo serviço de notificação de vazamentos Have I Been Pwned, que analisou os dados expostos. A Vimeo, que possui mais de 300 milhões de usuários registrados, informou que os dados acessados incluíam principalmente informações técnicas, títulos de vídeos e, em alguns casos, endereços de e-mail dos clientes. A empresa garantiu que não houve acesso a credenciais de login ou informações financeiras dos usuários. Após a descoberta da violação, a Vimeo desativou as credenciais da Anodot, uma empresa de detecção de anomalias de dados, que estava integrada ao seu sistema. O grupo ShinyHunters, após não conseguir extorquir a Vimeo, vazou um arquivo de 106GB com documentos roubados em seu site na dark web. Além disso, o grupo tem um histórico de ataques a várias empresas, incluindo tentativas de roubo de dados de plataformas como Salesforce e campanhas de vishing direcionadas a contas de SSO. Este incidente destaca a vulnerabilidade das integrações de terceiros e a necessidade de vigilância constante em relação a acessos não autorizados.

O artigo de Isaac Wuest, da HeroDevs, destaca os perigos associados ao uso de software open source que atingiu o fim de sua vida útil (EOL). Embora a falta de patches seja uma preocupação evidente, existem problemas mais profundos que muitas equipes de segurança ignoram. O primeiro é que o ecossistema de CVEs não investiga versões EOL, resultando em uma falsa sensação de segurança. Em 2025, foram identificados mais de 167 mil componentes exploráveis que não foram sinalizados. O segundo problema é que a maioria das ferramentas de segurança se baseia em dados limitados, reconhecendo apenas uma fração das versões EOL. Estima-se que 5,4 milhões de versões de pacotes estejam EOL, mas apenas cerca de 7 mil são monitoradas ativamente. Isso significa que muitas organizações estão subestimando sua exposição a vulnerabilidades. O crescimento acelerado do ecossistema de software open source, combinado com a falta de capacidade de investigação, agrava a situação. A introdução de ferramentas de inteligência artificial pode identificar vulnerabilidades em versões não monitoradas, aumentando ainda mais o risco. O artigo conclui que as equipes de segurança devem ter visibilidade sobre suas dependências EOL e não devem confiar na ausência de alertas como um sinal de segurança.

A Comissão Federal de Comércio dos EUA (FTC) decidiu proibir a Kochava e sua subsidiária Collective Data Solutions (CDS) de vender dados de localização sem o consentimento explícito dos consumidores. A ação é resultado de uma denúncia feita em agosto de 2022, onde a FTC alegou que a Kochava coletava e comercializava dados de geolocalização precisos de centenas de milhões de dispositivos móveis. Esses dados permitiam que os clientes da empresa rastreassem os movimentos de usuários em locais sensíveis, como clínicas de saúde mental e abrigos para vítimas de violência doméstica. A Kochava oferecia acesso a esses dados por meio de uma plataforma amigável, cobrando uma taxa de assinatura de $25.000. A FTC destacou que muitos consumidores não estavam cientes da coleta e compartilhamento de seus dados, o que os deixava vulneráveis a riscos como assédio e discriminação. A proposta de ordem judicial exige que a Kochava obtenha consentimento explícito antes de compartilhar dados de localização e implemente um programa para gerenciar dados sensíveis. A decisão da FTC reflete um movimento crescente para regulamentar a vigilância comercial em massa e proteger a privacidade dos consumidores.

Uma grave vulnerabilidade de segurança foi identificada no sistema de gerenciamento de conteúdo (CMS) de código aberto MetInfo, afetando as versões 7.9, 8.0 e 8.1. Classificada como CVE-2026-29014, essa falha de injeção de código PHP permite que atacantes remotos não autenticados executem código arbitrário ao enviar requisições maliciosas. O problema reside no script ‘weixinreply.class.php’, que não sanitiza adequadamente a entrada do usuário durante as requisições à API do Weixin (WeChat). Para que a exploração seja bem-sucedida, é necessário que o diretório ‘/cache/weixin/’ exista, o que ocorre durante a instalação do plugin oficial do WeChat. Desde a liberação de patches em 7 de abril de 2026, a vulnerabilidade começou a ser explorada ativamente a partir de 25 de abril, com um aumento significativo de tentativas de ataque focadas em endereços IP na China e em Hong Kong. Estima-se que cerca de 2.000 instâncias do MetInfo CMS estejam acessíveis online, a maioria delas na China, o que eleva o risco de comprometimento de dados e controle de servidores.

Um novo estudo destaca a vulnerabilidade das organizações em relação aos tokens OAuth, que não expiram e não são monitorados adequadamente. Com a crescente adoção de ferramentas de IA e automação, muitos funcionários conectam aplicativos diretamente ao Google ou Microsoft, gerando tokens persistentes que podem ser explorados por atacantes. O incidente com a Drift, onde um ator malicioso acessou dados de mais de 700 organizações usando tokens OAuth legítimos, exemplifica a gravidade do problema. A pesquisa revela que 80% dos líderes de segurança consideram os tokens OAuth não gerenciados um risco significativo, mas 45% das organizações não monitoram esses acessos. Para mitigar esse risco, é essencial implementar um monitoramento contínuo do comportamento dos aplicativos conectados, avaliando não apenas as permissões concedidas, mas também as ações realizadas ao longo do tempo. Ferramentas como o OAuth Threat Remediation Agent da Material Security oferecem uma solução para essa lacuna, permitindo que as empresas identifiquem e revoguem rapidamente acessos de alto risco.

Um grupo avançado de ameaças persistentes (APT) com vínculos à China, identificado como UAT-8302, tem sido responsável por ataques direcionados a entidades governamentais na América do Sul desde o final de 2024 e em agências governamentais do sudeste europeu em 2025. A Cisco Talos está monitorando essa atividade, que envolve a utilização de malwares personalizados, como o backdoor NetDraft, uma variante em C# do FINALDRAFT. Este malware já foi associado a outros grupos de hackers alinhados à China, como Ink Dragon e Earth Alux. Além do NetDraft, o UAT-8302 utiliza ferramentas como CloudSorcerer e SNOWLIGHT, que têm sido observadas em ataques a entidades russas. Os métodos de acesso inicial do grupo ainda não são totalmente conhecidos, mas suspeita-se que envolvam a exploração de vulnerabilidades em aplicações web. Após obter acesso, os atacantes realizam uma extensa exploração da rede, utilizando ferramentas de código aberto para mapear o ambiente e se mover lateralmente. A colaboração entre grupos alinhados à China está em ascensão, com práticas como o “Premier Pass-as-a-Service”, onde o acesso inicial é compartilhado entre diferentes grupos para exploração subsequente, aumentando o risco de exposição. Essa situação destaca a necessidade de vigilância e proteção robusta para as entidades governamentais e outras organizações potencialmente afetadas.

Um ataque à cadeia de suprimentos recentemente identificado comprometeu o software DAEMON Tools, segundo a Kaspersky. Os instaladores do software, distribuídos pelo site oficial e assinados digitalmente, foram adulterados desde 8 de abril de 2026. As versões afetadas variam de 12.5.0.2421 a 12.5.0.2434. Três componentes principais foram comprometidos: DTHelper.exe, DiscSoftBusServiceLite.exe e DTShellHlp.exe. Quando um desses arquivos é executado, um implante é ativado, enviando requisições HTTP para um servidor externo para receber comandos que baixam e executam cargas maliciosas. A Kaspersky observou milhares de tentativas de infecção em mais de 100 países, incluindo o Brasil, mas a entrega do malware avançado foi restrita a um pequeno número de alvos, sugerindo uma abordagem direcionada. O malware inclui um trojan de acesso remoto, QUIC RAT, e suporta múltiplos protocolos de comando e controle. A falta de atribuição a um ator específico e a sofisticação do ataque indicam um risco elevado, especialmente para organizações que utilizam o DAEMON Tools. A Kaspersky recomenda que as empresas isolem máquinas afetadas e realizem varreduras de segurança para evitar a propagação do malware.

A Apache Software Foundation (ASF) lançou atualizações de segurança para corrigir várias vulnerabilidades no Apache HTTP Server, incluindo uma falha severa que pode levar à execução remota de código (RCE). A vulnerabilidade, identificada como CVE-2026-23918, possui uma pontuação CVSS de 8.8 e afeta a versão 2.4.66 do servidor. A falha, classificada como ‘double free e possível RCE’, ocorre no manuseio do protocolo HTTP/2. O problema foi descoberto por Bartlomiej Dmitruk, co-fundador da Striga.ai, e Stanislaw Strzalkowski, pesquisador da ISEC.pl.

A administração Trump impediu o desenvolvimento de 165 parques eólicos nos Estados Unidos, alegando riscos à segurança nacional. Esses parques, que poderiam fornecer energia para 15 milhões de residências, necessitam da aprovação do Departamento de Defesa (DoD) para garantir que não interfiram em sistemas de radar, rotas aéreas ou instalações militares. Desde agosto de 2025, os desenvolvedores têm enfrentado dificuldades para obter feedback e aprovações do DoD, que cancelou reuniões e interrompeu o processamento de aplicações. A administração Trump tem priorizado projetos de combustíveis fósseis e criticado a energia renovável, afirmando que a energia eólica é a “forma mais cara de energia”. Além disso, a administração está mirando parques eólicos offshore, alegando que eles afetam a vida marinha. Essa situação levanta preocupações sobre a política energética dos EUA e suas implicações para o futuro das energias renováveis.

Em abril de 2026, os ataques de ransomware caíram 22%, totalizando 628 incidentes, o menor número em seis meses. Os ataques a entidades governamentais diminuíram significativamente, com apenas 19 ocorrências, menos da metade das 41 registradas em março. No entanto, o setor de saúde viu um aumento de 10%, passando de 41 para 45 ataques. Exemplos notáveis incluem o ataque à Signature Healthcare, que resultou em interrupções significativas, e à ChipSoft, que afetou a plataforma de registros eletrônicos de saúde na Holanda. O grupo de ransomware Qilin, responsável por 105 ataques, viu uma queda de 28% em suas reivindicações. No total, 125 TB de dados foram roubados em abril, com os EUA liderando em número de ataques. O setor de saúde continua sendo um alvo prioritário para hackers, refletindo uma tendência preocupante que exige atenção contínua das organizações de segurança cibernética.

O grupo de hackers norte-coreano APT37, também conhecido como ScarCruft, desenvolveu uma versão para Android de um backdoor chamado BirdCall, que já era conhecido por suas operações em sistemas Windows. Essa nova variante, que atua como spyware, foi identificada em um ataque à cadeia de suprimentos através de uma plataforma de jogos, especificamente o site sqgame[.]net, que hospeda jogos para Android, iOS e Windows. A pesquisa da ESET revelou que a versão Android do BirdCall foi criada em outubro de 2024 e possui pelo menos sete versões diferentes.

Uma nova versão da ferramenta de acesso remoto CloudZ (RAT) está utilizando um plugin malicioso inédito chamado Pheno, que se aproveita da conexão do Microsoft Phone Link para roubar códigos sensíveis de dispositivos móveis. O malware foi identificado em uma intrusão ativa desde janeiro, com o objetivo de roubar credenciais e senhas temporárias. O Microsoft Phone Link, disponível em Windows 10 e 11, permite que os usuários façam chamadas e respondam a mensagens diretamente do computador, o que facilita a interceptação de mensagens sem comprometer o dispositivo móvel. O Pheno monitora sessões ativas do Phone Link e acessa seu banco de dados local SQLite, que pode conter SMS e senhas de uso único (OTPs). Além disso, o CloudZ RAT possui capacidades adicionais, como gerenciamento de arquivos e execução de comandos. A infecção ocorre quando a vítima executa uma atualização falsa do ScreenConnect, que instala um loader baseado em Rust, seguido pela instalação do CloudZ RAT. Para se proteger, recomenda-se evitar serviços de OTP via SMS e optar por aplicativos de autenticação que não dependam de notificações que podem ser interceptadas. A Cisco Talos publicou indicadores de comprometimento que podem ajudar na proteção contra essa ameaça.

Deniss Zolotarjovs, um cidadão letão extraditado para os Estados Unidos, foi condenado a 8,5 anos de prisão por seu papel como negociador em casos de extorsão do grupo de ransomware Karakurt. Com 35 anos e residente em Moscou, Zolotarjovs foi preso na Geórgia em dezembro de 2023 e se declarou culpado em julho de 2025 por conspiração para cometer fraude eletrônica e lavagem de dinheiro. O Departamento de Justiça dos EUA revelou que ele ajudou a gangue a lucrar com ataques a mais de 54 empresas, resultando em perdas superiores a 56 milhões de dólares, incluindo 2,8 milhões em pagamentos de resgate. Zolotarjovs era responsável por reativar negociações com vítimas que haviam interrompido a comunicação, utilizando informações pessoais e de saúde roubadas para aumentar a pressão psicológica. Ele é o primeiro membro do Karakurt a ser processado e condenado nos EUA, o que pode abrir caminho para ações contra outros membros do grupo. O FBI o vinculou a pelo menos seis casos de extorsão entre agosto de 2021 e novembro de 2023, destacando a gravidade e a complexidade das operações de ransomware que afetam organizações americanas e, potencialmente, brasileiras.

A Microsoft revelou uma campanha de roubo de credenciais em larga escala que utilizou iscas relacionadas a códigos de conduta e serviços de e-mail legítimos para direcionar usuários a domínios controlados por atacantes. Observada entre 14 e 16 de abril de 2026, a campanha afetou mais de 35 mil usuários em mais de 13 mil organizações em 26 países, com 92% dos alvos localizados nos EUA. Os e-mails de phishing, que visavam principalmente os setores de saúde (19%), serviços financeiros (18%) e tecnologia (11%), apresentavam templates HTML sofisticados que aumentavam sua credibilidade. As mensagens criavam um senso de urgência, solicitando ações imediatas sob a alegação de revisões de conduta interna. Os atacantes usaram serviços de entrega de e-mail legítimos e incluíram anexos PDF que levavam a um fluxo de coleta de credenciais. A campanha utilizou táticas de phishing adversário no meio (AiTM) para contornar autenticações multifatoriais (MFA). Além disso, a análise da Microsoft indicou um aumento significativo em ataques de phishing via QR code e uma evolução rápida em phishing com CAPTCHA. Com 8,3 bilhões de ameaças de phishing detectadas entre janeiro e março de 2026, a situação exige atenção redobrada das organizações.

Uma vulnerabilidade crítica foi identificada na plataforma Weaver (Fanwei) E-cology, que é amplamente utilizada para automação de escritório e colaboração. O problema, classificado como CVE-2026-22679, possui uma pontuação CVSS de 9.8, indicando seu alto risco. A falha permite a execução remota de código não autenticado em versões anteriores à 10.0, especificamente no endpoint ‘/papi/esearch/data/devops/dubboApi/debug/method’. Isso possibilita que atacantes enviem requisições POST manipuladas para executar comandos arbitrários no sistema. A exploração ativa dessa vulnerabilidade foi observada pela primeira vez em 31 de março de 2026, com evidências de abusos datando de 17 de março, apenas cinco dias após a disponibilização de patches. O ataque envolveu tentativas de execução de código malicioso e coleta de informações do sistema. Especialistas recomendam que os usuários atualizem suas versões do Weaver E-cology para evitar compromissos de segurança. Um script em Python para detectar instâncias vulneráveis também foi disponibilizado por pesquisadores de segurança.

O grupo de hackers ScarCruft, alinhado ao governo da Coreia do Norte, realizou um ataque de espionagem na cadeia de suprimentos, comprometendo uma plataforma de jogos voltada para coreanos étnicos na China. O ataque envolveu a inserção de um backdoor chamado BirdCall, que agora afeta tanto usuários de Windows quanto de Android, ampliando seu alcance. A plataforma sqgame[.]net, utilizada por coreanos na região de Yanbian, foi especificamente visada, dada a sua importância como ponto de trânsito para desertores norte-coreanos. O malware BirdCall é uma evolução do RokRAT e possui funcionalidades avançadas, como captura de tela, registro de teclas e roubo de dados pessoais. A distribuição do malware foi feita através de APKs maliciosos disponíveis para download na plataforma, enquanto o cliente para Windows e jogos iOS permaneceram intactos. A análise sugere que o ataque está em andamento desde o final de 2024 e que o backdoor foi desenvolvido para se comunicar com serviços de nuvem legítimos, como Dropbox e pCloud. Este incidente destaca a crescente ameaça de espionagem cibernética direcionada a grupos específicos, como desertores e ativistas de direitos humanos.

O rápido avanço da adoção de inteligência artificial (IA) está colocando em risco os progressos em segurança na indústria de software. Um estudo recente revelou que a infraestrutura de IA, especialmente após o fiasco do assistente virtual ClawdBot, apresenta vulnerabilidades alarmantes. A pesquisa identificou mais de 2 milhões de hosts, com 1 milhão de serviços expostos, muitos dos quais não possuem autenticação por padrão. Isso significa que dados reais de usuários e ferramentas empresariais estão acessíveis a qualquer um. Exemplos incluem chatbots que expõem conversas de usuários e plataformas de gerenciamento de agentes sem autenticação, permitindo que atacantes manipulem fluxos de trabalho e acessem informações sensíveis. Além disso, APIs da Ollama foram encontradas expostas, permitindo acesso sem autenticação a modelos de IA. A falta de práticas de segurança adequadas, como credenciais hardcoded e configurações inseguras, agrava a situação. A pressão para acelerar a entrega de soluções de IA está levando a um descuido com a segurança, o que pode resultar em danos significativos, incluindo compromissos de dados e danos à reputação das empresas.

O Amazon Simple Email Service (SES) está sendo cada vez mais utilizado para enviar e-mails de phishing que conseguem contornar filtros de segurança convencionais. Pesquisadores da Kaspersky identificaram um aumento significativo nesses ataques, que podem estar relacionados à exposição de chaves de acesso do AWS Identity and Access Management em repositórios públicos, como GitHub e arquivos .ENV. Os atacantes utilizam o Amazon SES, um recurso legítimo e confiável, para enviar e-mails maliciosos que passam por verificações de autenticação, como SPF, DKIM e DMARC. Os e-mails de phishing frequentemente imitam serviços reais, como notificações de assinatura de documentos, e podem incluir faturas falsas para enganar departamentos financeiros. A Kaspersky recomenda que as empresas restrinjam permissões de IAM, habilitem autenticação multifator e apliquem controles de acesso baseados em IP. A Amazon também se manifestou, sugerindo que qualquer atividade abusiva seja reportada ao AWS Trust & Safety. Este cenário representa um risco crescente, especialmente para organizações que utilizam serviços da AWS, exigindo atenção redobrada na gestão de credenciais e segurança de e-mail.

Desde meados de março, hackers têm explorado uma vulnerabilidade crítica (CVE-2026-22679) na plataforma de automação de escritório Weaver E-cology, utilizada principalmente por organizações chinesas. Essa falha permite a execução remota de código sem autenticação, devido a um endpoint de API de depuração exposto que não valida as entradas do usuário. Os ataques começaram cinco dias após a liberação de uma atualização de segurança pelo fornecedor e duas semanas antes de sua divulgação pública. A empresa de inteligência de ameaças Vega documentou a atividade maliciosa, que durou cerca de uma semana e incluiu várias fases distintas. Os atacantes tentaram inicialmente executar comandos de descoberta e baixar payloads baseados em PowerShell, mas foram bloqueados pelas defesas de endpoint. Embora tenham explorado a vulnerabilidade, não conseguiram estabelecer uma sessão persistente no host alvo. A recomendação é que os usuários da versão 10.0 do Weaver E-cology apliquem as atualizações de segurança disponíveis o mais rápido possível, uma vez que a correção remove completamente o endpoint vulnerável.

Uma campanha de phishing ativa, chamada VENOMOUS#HELPER, tem impactado mais de 80 organizações, principalmente nos EUA, desde abril de 2025. Os atacantes utilizam softwares legítimos de Monitoramento e Gerenciamento Remoto (RMM), como SimpleHelp e ScreenConnect, para estabelecer acesso remoto persistente a sistemas comprometidos. A campanha começa com um e-mail que se faz passar pela Administração da Seguridade Social dos EUA, solicitando que a vítima verifique seu endereço de e-mail e baixe um suposto extrato. O link contido no e-mail leva a um site legítimo, mas comprometido, que hospeda um executável malicioso. Ao abrir o arquivo, o malware se instala como um serviço do Windows, garantindo persistência e acesso elevado ao sistema. Essa abordagem permite que os atacantes realizem operações silenciosas, como injetar teclas e acessar recursos do usuário. Além disso, a instalação do ScreenConnect oferece um canal de comunicação alternativo, caso o SimpleHelp seja detectado. A utilização de ferramentas legítimas dificulta a detecção por antivírus, deixando as organizações vulneráveis a ataques futuros.

Uma nova campanha de phishing comprometeu cerca de 30 mil contas do Facebook, utilizando o Google AppSheet como fachada. O pesquisador de cibersegurança Shaked Chen, da Guard.io, revelou que os atacantes enviaram e-mails fraudulentos que se disfarçam como mensagens da Central de Ajuda da Meta. Esses e-mails alertam os usuários sobre a possível exclusão de suas contas, caso não verifiquem sua identidade através de um link malicioso. Ao clicar, as vítimas são direcionadas a uma página falsa que coleta suas credenciais. Os hackers, associados a um grupo do Vietnã, comercializam as contas roubadas em canais do Telegram, afetando principalmente usuários no Brasil, México, EUA, Itália, Canadá, Índia e Reino Unido. Para proteger suas contas, os especialistas recomendam a implementação de medidas de segurança adicionais, como a verificação em duas etapas.