A Microsoft iniciou testes da funcionalidade Cloud Rebuild, que permite a reinstalação completa do sistema operacional Windows 11 a partir da nuvem, visando dispositivos que enfrentam problemas persistentes ou que se tornaram inoperáveis. Apresentada na conferência Ignite em novembro de 2025, essa ferramenta é uma alternativa ao recurso ‘Reset this PC’, pois baixa a imagem do Windows e os drivers diretamente do Windows Update, garantindo que o dispositivo retorne a um estado funcional sem a necessidade de mídia USB ou de uma imagem personalizada. Para testar o Cloud Rebuild, os usuários devem instalar a versão Insider Preview Build 26300.8772 e seguir um processo de recuperação no Ambiente de Recuperação do Windows (WinRE). Além disso, a Microsoft também anunciou o recurso Point-in-Time Restore (PITR), que permite reverter o sistema para um estado anterior saudável em minutos. Essas funcionalidades fazem parte da iniciativa de resiliência do Windows, que visa facilitar a recuperação de dispositivos que não conseguem iniciar corretamente. Outras ferramentas, como o Quick Machine Recovery (QMR), também estão sendo testadas para ajudar administradores a resolver falhas de inicialização sem acesso físico ao dispositivo.

A BeyondTrust emitiu um alerta para que seus clientes apliquem patches em duas falhas de segurança críticas em seus softwares Remote Support (RS) e Privileged Remote Access (PRA). A primeira vulnerabilidade, identificada como CVE-2026-40138, afeta versões 25.3.2 ou anteriores do RS e do PRA, permitindo que atacantes contornem controles de acesso e acessem dispositivos alvo, incluindo contas com privilégios elevados. A segunda falha, CVE-2026-40139, permite que atacantes remotos não autenticados acessem instâncias vulneráveis devido a um processamento inadequado de solicitações de autenticação. Embora a BeyondTrust tenha destacado que a exploração dessas falhas requer uma configuração específica de autenticação, não foram fornecidos detalhes adicionais. Além disso, a empresa lançou atualizações de segurança para outras duas vulnerabilidades de alta severidade (CVE-2026-40140 e CVE-2026-40141), que podem causar negação de serviço ou acesso a recursos restritos. A BeyondTrust já aplicou patches para clientes em nuvem e recomenda que clientes auto-hospedados atualizem suas versões. O grupo de vigilância de segurança Shadowserver identificou quase 2.000 instâncias do RS e PRA expostas online, mas não há informações sobre quantas já foram corrigidas. Historicamente, falhas anteriores da BeyondTrust foram exploradas em ataques, incluindo um incidente que comprometeu agências do governo dos EUA, destacando a importância de uma resposta rápida a essas vulnerabilidades.

A Microsoft anunciou que a ferramenta de backup e restauração de configurações do Windows será ativada por padrão em sistemas empresariais que utilizam Microsoft Entra após a atualização para o Windows 11 versão 26H2. Anteriormente conhecida como Windows Backup for Organizations, essa ferramenta é projetada para ajudar os usuários a restaurar suas configurações do Windows após eventos como redefinições, substituições ou atualizações de dispositivos. A funcionalidade foi apresentada na conferência Microsoft Ignite em novembro de 2024 e passou por um período de pré-visualização pública em maio de 2025, com disponibilidade geral em agosto de 2025. Para que a ferramenta funcione, os administradores de TI devem habilitá-la configurando as políticas de backup e restauração. A mudança no comportamento padrão, que passa de desativado para ativado, se aplica apenas a dispositivos elegíveis fora da regulamentação do EU Digital Markets Act e que não estão em ambientes de nuvem restritos. Apesar da ativação padrão, os administradores ainda terão controle total sobre a configuração através de soluções de gerenciamento de dispositivos móveis, podendo desativar a política conforme necessário. A restauração de dispositivos, no entanto, não será ativada por padrão e requer configuração explícita do administrador.

Uma vulnerabilidade no kernel do Linux, identificada como Januscape, permite que atacantes escapem de máquinas virtuais e executem códigos arbitrários no host. Descoberta pelo pesquisador de segurança Hyunwoo Kim, essa falha de escape de convidado para host (CVE-2026-53359) é resultado de uma fraqueza de uso após a liberação na emulação MMU sombra do KVM/x86. Presente no kernel do Linux por cerca de 16 anos, a vulnerabilidade foi corrigida em junho de 2026 e foi utilizada como um exploit zero-day no programa de recompensas de vulnerabilidades do Google, kvmCTF. A exploração bem-sucedida permite que atacantes com acesso root em uma máquina virtual convidada executem códigos como root no host, comprometendo todos os convidados em execução ou até mesmo derrubando o kernel do host. Kim destacou que Januscape é o primeiro exploit desse tipo que pode ser acionado em arquiteturas de processadores Intel e AMD, representando um risco significativo para ambientes de nuvem pública multi-inquilinos. Administradores de hosts KVM/x86 devem garantir que o patch correspondente tenha sido aplicado para proteger seus sistemas contra essa vulnerabilidade.

As organizações continuam a investir em soluções de segurança como gateways de e-mail seguros e autenticação multifatorial, mas ataques de phishing, comprometimento de e-mail corporativo (BEC) e tomada de conta (ATO) permanecem como ameaças persistentes. Um webinar promovido pela BleepingComputer, intitulado ‘Stop chasing alerts: Automating email security with behavioral AI’, abordará como a inteligência artificial comportamental pode ajudar as empresas a identificar padrões de comunicação anormais, automatizar investigações e acelerar respostas a ataques de e-mail. Os ataques modernos têm se tornado mais sofisticados, utilizando identidades confiáveis e comunicações empresariais normais, o que dificulta a detecção por controles tradicionais de segurança. O evento contará com especialistas que compartilharão insights práticos sobre como reduzir a fadiga de alertas e melhorar a eficiência das investigações. O webinar também discutirá as estratégias para detectar esses ataques de forma mais eficaz, aliviando a carga operacional das equipes de segurança. Os participantes aprenderão sobre as táticas que os atacantes usam e como a IA pode ser uma aliada na defesa contra essas ameaças.

O CERT Coordination Center (CERT/CC) alertou sobre uma vulnerabilidade crítica em várias versões de firmware da fabricante chinesa Tenda, que permite a exploração de uma backdoor de autenticação não documentada. Essa falha, identificada como CVE-2026-11405, possibilita que atacantes contornem o processo de verificação de senha e obtenham controle administrativo total sobre os dispositivos, sem a necessidade de credenciais válidas. A vulnerabilidade afeta diversos modelos de firmware, incluindo US_FH1201V1.0BR_V1.2.0.14(408)_EN_TD e US_AC10V1.0re_V15.03.06.46_multi_TDE01. O problema reside na função “login()” do binário do servidor web, onde uma comparação direta de senhas pode ser realizada, permitindo acesso administrativo ao fornecer um nome de usuário qualquer junto com a senha da backdoor. Até o momento, a Tenda não lançou um patch para corrigir essa falha. Os usuários são aconselhados a desativar a gestão remota e alterar o endereço IP padrão da LAN para mitigar riscos de exploração.

Um novo grupo de ameaças, identificado como UNK_MassTraction, está explorando vulnerabilidades críticas no software de webmail Roundcube, utilizado por departamentos de física e engenharia em universidades dos EUA e Canadá. A atividade maliciosa, detectada pela primeira vez em maio de 2026, visa principalmente administradores e professores de áreas relacionadas à segurança nacional e estudos avançados em física. Os atacantes utilizam falhas de segurança, como a CVE-2024-42009, para roubar credenciais e implantar ferramentas de acesso remoto, como VShell e SquareShell. Os e-mails maliciosos são enviados a partir de remetentes comprometidos ou domínios vulneráveis, aproveitando políticas DMARC fracas. O ataque é facilitado por um exploit de cross-site scripting (XSS), que permite a execução de código JavaScript no navegador da vítima. Após a exploração, um payload chamado IceCube coleta informações sensíveis, como dados de autenticação de dois fatores (2FA) e cookies, e tenta obter acesso persistente ao servidor de e-mail. A campanha destaca a necessidade de uma defesa robusta para servidores de e-mail, que são frequentemente alvos de ataques cibernéticos, especialmente por grupos patrocinados por estados, como os da China.

A segurança da cadeia de suprimentos de software enfrenta novos desafios com a integração da inteligência artificial (IA) no processo de desenvolvimento. Nos últimos anos, incidentes como SolarWinds e Log4Shell destacaram que os riscos estão mais associados ao que compõe o código do que ao código em si. Com a introdução de ferramentas autônomas e assistentes de codificação baseados em IA, a necessidade de entender a origem e a confiabilidade dos modelos e ferramentas se torna crucial. A validação do código gerado por IA antes de sua implementação é essencial, mas o verdadeiro desafio reside na governança das ferramentas e agentes que produzem esse código. Para lidar com essa nova realidade, as equipes de segurança precisam estender a rastreabilidade para incluir modelos e agentes, além de priorizar vulnerabilidades com base na real possibilidade de exploração. O recente reconhecimento do Gartner sobre a segurança da cadeia de suprimentos de software ressalta a importância de abordar esses riscos de forma sistemática. Um webinar programado para julho de 2026 discutirá como a integração da IA alterou a superfície de ataque e o que um programa de segurança deve incluir para ser eficaz nesta nova era.

A BeyondTrust divulgou atualizações para corrigir duas falhas de segurança críticas em seus produtos de Suporte Remoto (RS) e Acesso Remoto Privilegiado (PRA). As vulnerabilidades, identificadas como CVE-2026-40138 e CVE-2026-40139, possuem uma pontuação CVSS de 9.2, permitindo que atacantes não autenticados contornem controles de acesso e obtenham acesso não autorizado a dispositivos vulneráveis, incluindo contas com privilégios elevados. Ambas as falhas estão relacionadas a problemas na validação de dados de autenticação. Além disso, outras vulnerabilidades, como CVE-2026-40140 e CVE-2026-40141, apresentam riscos adicionais, como negação de serviço e acesso não intencional a recursos. A BeyondTrust não relatou exploração ativa dessas falhas, mas enfatizou a importância de aplicar as correções rapidamente, especialmente considerando que falhas anteriores em seus produtos foram exploradas para implantar shells web e backdoors. As versões afetadas são RS 25.3.2 ou inferiores e PRA 25.3.2 ou inferiores, com correções disponíveis nas versões 25.3.3 e superiores.

As autoridades do Vietnã prenderam sete suspeitos envolvidos na operação do HiAnime, a maior plataforma de streaming de anime pirata, que foi encerrada em junho de 2023. O HiAnime oferecia uma vasta biblioteca de animes legendados e dublados em inglês sem taxas de assinatura, atraindo centenas de milhões de visitantes mensais e superando temporariamente serviços legais como Disney+ e Crunchyroll em tráfego na web entre 2024 e 2025. A plataforma foi lançada no domínio Zoro.to, rebatizada como Aniwatch e, posteriormente, como HiAnime/H!Anime. Após sua popularidade, o HiAnime foi incluído na lista de Pirataria e Contrafação da Comissão Europeia e na lista de Mercados Notórios do Representante de Comércio dos EUA. Os sete réus enfrentam acusações de violação de direitos autorais e lavagem de dinheiro, com quatro deles detidos e três sob prisão domiciliar. Eles são acusados de criar mais de 100 sites para hospedar mais de 26.000 filmes de anime piratas, gerando cerca de 12,85 milhões de dólares em receita publicitária ilegal entre 2020 e abril de 2026. A Aliança para Criatividade e Entretenimento (ACE) confirmou a ação das autoridades e expressou gratidão ao apoio dos EUA durante a investigação que levou às prisões.

A Palo Alto Networks, através da sua unidade Unit 42, revelou uma nova campanha de ciberataques que explora chamadas de voz do Microsoft Teams. Os atacantes se passam por funcionários de suporte técnico para induzir colaboradores a instalar o malware EtherRAT, que concede acesso remoto a redes corporativas. O ataque começa com um e-mail de phishing disfarçado de ‘Pesquisa de Funcionários’, contendo um PDF malicioso. Após abrir o documento, a vítima recebe uma chamada de voz do Teams de uma conta externa que se faz passar por um ‘Administrador de Sistema’. Os pesquisadores notaram que a sessão do Teams exibia o rótulo ‘Externo desconhecido’, indicando que o chamador pertencia a um locatário diferente do Microsoft 365. Após convencer a vítima a conceder controle remoto, o atacante orienta a instalação de ferramentas legítimas de acesso remoto, como HopToDesk e AnyDesk, antes de baixar e executar um instalador MSI malicioso que carrega o EtherRAT. Este trojan de acesso remoto, escrito em Node.js, permite que os atacantes executem comandos, manipulem arquivos e roubem dados. A campanha destaca a crescente preocupação com a segurança do Microsoft Teams, levando a empresa a implementar novas proteções contra ataques de phishing e vishing.

Uma nova campanha de phishing está se passando por mais de 30 marcas conhecidas, como Adobe, Netflix e Coca-Cola, visando profissionais de marketing para roubar credenciais de contas do Google. Os atacantes utilizam a plataforma legítima PeopleForce e um domínio associado ao Salesforce Marketing Cloud para redirecionar as vítimas a uma página de captura maliciosa. Para aumentar a credibilidade, os e-mails de phishing usam nomes e fotos de recrutadores reais das empresas impersonadas. A análise de Will Thomas, da Team Cymru, revelou que a campanha utiliza pelo menos 34 domínios, abrangendo setores como aviação, alimentos, vestuário e tecnologia. Os e-mails, que inicialmente usavam endereços do Outlook, solicitam que as vítimas agendem entrevistas, levando-as a uma página que imita o login do Google. Embora não esteja claro como os atacantes acessaram as plataformas legítimas, a possibilidade de criação de contas genuínas ou uso de logins comprometidos é considerada. A operação já está em andamento há pelo menos cinco meses, destacando a necessidade de vigilância constante contra esse tipo de ameaça.

Uma nova vulnerabilidade, identificada como ‘Januscape’ e registrada como CVE-2026-53359, foi descoberta no hipervisor KVM do Linux. Essa falha, que se trata de um bug do tipo use-after-free, pode ser explorada a partir de uma máquina virtual convidada para corromper o estado da página sombra do kernel do host. O problema reside no código da MMU sombra que o KVM compartilha entre processadores Intel e AMD e, segundo o pesquisador Hyunwoo Kim, pode levar a uma execução de código completo no host. A vulnerabilidade ficou sem ser detectada por cerca de 16 anos e requer que o atacante tenha acesso root na VM, uma condição comum em instâncias de nuvem alugadas. A falha foi utilizada como uma submissão de zero-day no programa de recompensas kvmCTF do Google, que oferece até $250.000 por escapes completos de convidado para host. A correção foi implementada em junho de 2026, mas os administradores de sistemas devem agir rapidamente para aplicar o patch, especialmente em ambientes x86 que hospedam convidados não confiáveis com virtualização aninhada habilitada.

Um grupo de hackers iranianos, vinculado ao Ministério da Inteligência e Segurança do Irã, tem utilizado um novo framework modular de comando e controle (C2) chamado Cavern, visando principalmente organizações israelenses, especialmente no setor de TI e governo. A pesquisa da Check Point identificou que o Cavern Manticore, como é conhecido o grupo, apresenta semelhanças táticas com outros grupos como MuddyWater e Lyceum. O framework é construído sobre uma base .NET e utiliza múltiplos formatos de compilação, dificultando a análise por parte de especialistas em segurança.

O artigo de Morey J. Haber discute a evolução do desenvolvimento de software, destacando a transição do modelo Waterfall para metodologias mais ágeis, como Agile e DevOps, e, mais recentemente, para o que é chamado de Vibe Coding, impulsionado pela inteligência artificial generativa. Essa nova abordagem permite que qualquer pessoa, independentemente de experiência técnica, crie aplicações rapidamente, simplesmente descrevendo suas intenções em linguagem natural. No entanto, essa velocidade de desenvolvimento traz novos desafios de segurança, pois o código gerado pode conter vulnerabilidades e falhas que não eram previstas nas metodologias anteriores. O autor enfatiza que, apesar das vantagens do Vibe Coding, as práticas tradicionais de engenharia de software seguro, como modelagem de ameaças e testes de vulnerabilidade, continuam essenciais. A democratização da criação de software não garante a democratização do julgamento de engenharia necessário para garantir a segurança e a confiabilidade das aplicações. Portanto, as organizações devem estar atentas ao aumento da superfície de risco que essa nova era de desenvolvimento pode trazer.

A avaliação de plataformas de Centro de Operações de Segurança (SOC) que utilizam Inteligência Artificial (IA) pode ser desafiadora, uma vez que diferentes fornecedores apresentam soluções com características semelhantes. Um SOC com IA é uma plataforma onde agentes de IA realizam tarefas essenciais, como detecção, triagem, investigação e resposta, sob supervisão humana. A eficácia de uma plataforma não está apenas em seu nome, mas em sua capacidade de melhorar resultados, como tempo de investigação e volume de falsos positivos. Para garantir a confiabilidade, é crucial que os agentes tenham acesso a um contexto abrangente, que inclui dados de identidade, configuração e comportamento normal. O artigo destaca seis capacidades essenciais a serem testadas durante uma prova de conceito, como a correlação de dados em tempo real e a cobertura de detecção além do SIEM. A plataforma Exaforce é mencionada como um exemplo que atende a essas capacidades, demonstrando resultados significativos, como a redução do tempo de investigação em 95%. A luta entre IA e IA continua, e a confiança nas decisões automatizadas depende da qualidade dos dados utilizados pelos agentes.

Pesquisadores de segurança alertaram sobre uma vulnerabilidade crítica (CVE-2026-20896) em imagens Docker do Gitea, uma plataforma de DevOps. Com uma pontuação CVSS de 9.8, a falha permite que um cliente da internet não autenticado obtenha acesso elevado ao confiar no cabeçalho ‘X-WEBAUTH-USER’ de qualquer endereço IP. A configuração padrão do arquivo ‘app.ini’ da imagem Docker define ‘REVERSE_PROXY_TRUSTED_PROXIES’ como ‘*’, permitindo que qualquer IP que consiga acessar a porta do Gitea se autentique como qualquer usuário, incluindo administradores. Essa vulnerabilidade afeta versões do Gitea até a 1.26.2, mas foi corrigida na versão 1.26.3, onde o wildcard foi removido e a autenticação por proxy reverso se tornou opcional. A Sysdig detectou tentativas de exploração 13 dias após a divulgação pública da falha, destacando a urgência de aplicar os patches disponíveis para proteger as instâncias do Gitea, que somam cerca de 6.200 expostas na internet.

Um incidente de segurança na plataforma de aluguel de motos Mottu resultou na exposição de dados pessoais de usuários, incluindo nomes, CPFs, endereços e informações de contato. O vazamento não comprometeu dados financeiros, como informações de pagamento ou senhas. A empresa identificou a falha em 29 de junho e tomou medidas corretivas, como revogação de acessos e reforço na autenticação. A Mottu notificou a Agência Nacional de Proteção de Dados (ANPD) sobre o incidente, conforme exigido pela Lei Geral de Proteção de Dados (LGPD). Apesar de não haver comprometimento de dados financeiros, a empresa alertou os usuários sobre possíveis tentativas de golpe e engenharia social, recomendando atenção redobrada. O número total de usuários afetados não foi divulgado, mas a situação destaca a importância da segurança de dados em plataformas digitais, especialmente em um cenário onde a proteção de informações pessoais é cada vez mais crítica.

A Alibaba anunciou a proibição do uso do Claude Code por seus funcionários, a partir de 10 de julho de 2026, classificando a ferramenta como de alto risco para a segurança organizacional. Essa decisão segue uma tendência observada entre gigantes da tecnologia dos EUA, que também têm banido ferramentas chinesas em suas operações internas. A proibição foi motivada por preocupações de segurança levantadas pela Anthropic, desenvolvedora do Claude Code, que identificou que a ferramenta continha códigos para rastrear usuários na China. Esses códigos incluíam verificações de fusos horários, servidores proxy e características de rede, o que levantou questões sobre privacidade e segurança. A Alibaba, por sua vez, incentivou seus funcionários a utilizarem seu assistente de IA interno, o Qoder, como alternativa. A situação é um reflexo das crescentes tensões geopolíticas entre os EUA e a China, onde empresas chinesas estão promovendo ferramentas de IA locais em resposta a essas preocupações. Embora a Alibaba e a Anthropic ainda não tenham comentado publicamente sobre a situação, o incidente destaca a complexidade da segurança cibernética em um ambiente de crescente rivalidade tecnológica.

O MacPaw Moonlock é um novo software antivírus que se destaca no mercado por sua interface amigável e um conjunto abrangente de funcionalidades. Lançado em outubro de 2025, o Moonlock não apenas oferece proteção contra malware, mas também inclui um VPN, um inspetor de rede e um conselheiro de segurança. O software foi testado e certificado pelo AV-Test, obtendo notas altas em proteção e usabilidade. Apesar de suas qualidades, o preço de $54 por ano para um único dispositivo pode ser um obstáculo para alguns usuários, especialmente quando comparado a concorrentes mais baratos. Além disso, a necessidade de um cartão de crédito para iniciar o teste gratuito e a falta de suporte ao vivo são pontos negativos. A pesquisa da MacPaw indica que 66% dos usuários de Mac enfrentaram pelo menos uma ameaça cibernética no último ano, reforçando a importância de soluções de segurança como o Moonlock. O software é ideal para quem busca uma proteção mais robusta e educativa, mas pode não ser a melhor escolha para todos devido ao custo e à concorrência.

O Centro Canadense de Cibersegurança (CCCS) alertou sobre a exploração ativa de uma vulnerabilidade crítica no Adobe ColdFusion, identificada como CVE-2026-48282. Essa falha afeta as versões 2025.9, 2023.20 e anteriores do ColdFusion, permitindo que atacantes não privilegiados executem código remotamente em sistemas não corrigidos. A Adobe lançou atualizações de segurança para mitigar essa vulnerabilidade, classificando-a como de alto risco e recomendando que administradores apliquem os patches em até 72 horas. O CCCS confirmou que os atacantes já começaram a explorar essa falha, incentivando a revisão das atualizações necessárias. Embora a Shadowserver tenha identificado quase 800 instâncias do ColdFusion expostas online, não há dados sobre quantas delas estão vulneráveis ou já foram protegidas. Além disso, a Adobe também corrigiu outras falhas críticas em suas plataformas, mas não confirmou a exploração ativa dessas. A situação exige atenção imediata das equipes de segurança, especialmente considerando o histórico de vulnerabilidades em produtos da Adobe que têm sido alvo de ataques cibernéticos.

Pesquisadores de cibersegurança identificaram um novo trojan de acesso remoto, denominado QuimaRAT, que opera em ambientes Windows, Linux e macOS. Este malware é oferecido sob um modelo de malware como serviço (MaaS), com preços que variam de $150 a $1.200, dependendo do período de assinatura. O QuimaRAT possui uma arquitetura modular, permitindo a expansão dinâmica de suas capacidades por meio de plugins criptografados. Os criadores do malware também disponibilizam um construtor que gera arquivos em diversos formatos, facilitando a personalização para diferentes ambientes. Embora o QuimaRAT prometa total furtividade em Windows e Linux, no macOS, algumas funcionalidades exigem permissões administrativas do usuário. O malware é projetado para executar uma variedade de ações maliciosas, incluindo execução remota de comandos, roubo de credenciais e vigilância por webcam. Além disso, ele utiliza técnicas avançadas para evitar detecções, como a execução de shellcode sem arquivos e um framework de comunicação resiliente. A análise sugere que o QuimaRAT é uma plataforma modular, o que representa um desafio significativo para a segurança cibernética, especialmente em um cenário onde a proteção de dados é crucial.

Pesquisadores da Universidade de Shandong desenvolveram uma nova técnica chamada TrojPix, que permite a extração de dados de computadores desconectados de redes. A técnica modifica pixels na tela de forma imperceptível, fazendo com que o cabo de vídeo emita um sinal de rádio que pode ser decodificado por um receptor próximo. Embora TrojPix exija que o malware já esteja presente na máquina alvo, sua capacidade de transferir dados a uma taxa de até 8,1 Mbps representa um avanço significativo em relação a métodos anteriores, que operavam em velocidades muito mais lentas. A técnica pode transmitir arquivos de 100 MB em menos de dois minutos, o que transforma a ameaça de vazamento de senhas em uma possibilidade de transferência de arquivos inteiros enquanto o monitor parece desligado. Os pesquisadores testaram a técnica em nove marcas de monitores e quinze tipos de cabos de vídeo, demonstrando sua versatilidade. Apesar de ser uma inovação promissora, a técnica ainda enfrenta desafios práticos, como a necessidade de superar barreiras físicas e interferências. As medidas de mitigação incluem o uso de cabos de fibra óptica e a proteção física de ambientes sensíveis, além da prevenção de infecções por malware.

Um novo grupo de ameaças cibernéticas, supostamente ligado à China, está atacando contribuintes, profissionais de contabilidade e equipes financeiras corporativas na Índia. A campanha, chamada de Operação DragonReturn, foi identificada pela Seqrite Labs e começou em 18 de maio de 2026, coincidindo com a temporada de declaração de impostos no país. Os ataques utilizam e-mails de phishing que se disfarçam como comunicações do Departamento de Impostos da Índia, induzindo os usuários a clicarem em links maliciosos. O objetivo final é implantar um trojan de acesso remoto para roubar dados sensíveis. A técnica envolve o uso de documentos falsos, citações legais reais e conteúdo bilíngue para aumentar a credibilidade. Após a infecção, o malware garante acesso persistente ao sistema, utilizando técnicas de ocultação e injeção de payloads. A análise da infraestrutura sugere que os atacantes estão utilizando endereços IP associados à China, levantando suspeitas sobre a origem da operação. Essa ameaça representa um risco significativo, especialmente considerando a possibilidade de roubo de dados financeiros e credenciais. A situação é um alerta para empresas e profissionais que lidam com informações fiscais e financeiras, destacando a necessidade de vigilância e proteção contra ataques cibernéticos.

O cenário de cibersegurança apresentou eventos significativos na última semana, destacando a vulnerabilidade de dispositivos comuns e a exploração de falhas em sistemas amplamente utilizados. A ação conjunta do Google e do FBI resultou na desativação da rede de proxies residenciais NetNut, que utilizava dispositivos domésticos, como TVs inteligentes, para mascarar atividades maliciosas. Estima-se que a rede envolva cerca de 2 milhões de dispositivos globalmente. Além disso, o WhatsApp introduziu um sistema de nomes de usuário, levantando preocupações sobre possíveis abusos para impersonificação. Outro incidente relevante foi a descoberta do trojan bancário Ousaban, que ataca usuários na Espanha e Portugal através de documentos PDF falsos. Por fim, um novo ransomware gerado por IA foi identificado, explorando a API de Acesso a Arquivos do Chromium, embora ainda não tenha sido observado em ataques reais. Esses eventos ressaltam a necessidade de uma abordagem proativa em cibersegurança, especialmente em um ambiente onde a confiança é frequentemente mal colocada.

Um estudo da Universidade de Ciência e Tecnologia de Hong Kong revelou que scanners projetados para detectar habilidades maliciosas em agentes de codificação de IA falham em mais de 90% dos casos. Os pesquisadores desenvolveram uma ferramenta chamada SKILLCLOAK, que reescreve habilidades maliciosas para parecerem inofensivas, utilizando técnicas como a troca de caracteres e o empacotamento autoextraível. Essas habilidades podem roubar credenciais, copiar códigos-fonte ou instalar backdoors, operando com o mesmo acesso que o agente. A pesquisa também introduziu o SKILLDETONATE, um verificador de comportamento que analisa o que uma habilidade faz em um ambiente controlado, conseguindo detectar 97% dos ataques. Embora essa abordagem seja mais lenta que os scanners tradicionais, ela é mais eficaz na identificação de ameaças ocultas. O estudo destaca a crescente preocupação com a segurança em marketplaces públicos, onde habilidades maliciosas são frequentemente encontradas. A situação é crítica, pois a confiança nas habilidades deve ser transferida do marketplace para o ambiente de execução, onde o comportamento malicioso se revela. Os pesquisadores alertam que a instalação deve ser feita apenas de fontes confiáveis e que o acesso dos agentes deve ser minimizado.

Pesquisadores descobriram uma falha crítica no Opera GX, a versão do navegador focada em jogos, que permitia que um site malicioso instalasse silenciosamente um complemento do navegador e extraísse dados específicos das páginas visitadas pela vítima. Em um teste de conceito, foi possível reconstruir o endereço completo do Gmail de um usuário logado a partir de uma única visita, sem necessidade de cliques. A Opera já corrigiu a vulnerabilidade na versão 130.0.5847.89 do navegador, afirmando que não encontrou evidências de que a falha foi explorada na prática. A vulnerabilidade foi classificada como P1 pela equipe de recompensas de bugs da Opera, que pagou o valor máximo de $5.000 pela descoberta. O problema reside na forma como os GX Mods são instalados automaticamente, sem qualquer solicitação de aprovação, permitindo que um site malicioso instale um mod silenciosamente. Embora a injeção de CSS em si não possa roubar dados, a técnica de ‘XS-Leak’ permite que informações sejam extraídas de forma gradual. A falha é preocupante, pois uma vez que o CSS de um mod é aplicado a todas as páginas visitadas, a possibilidade de roubo de dados se torna significativa. A Opera reconheceu a complexidade do ataque, mas os pesquisadores demonstraram que a exploração poderia ocorrer rapidamente, antes que a vítima pudesse reagir.

O artigo da TechRadar apresenta um guia sobre como assistir ao serviço de streaming Philo, que é restrito aos Estados Unidos, a partir de qualquer lugar do mundo utilizando uma VPN. Philo oferece uma vasta biblioteca de filmes, programas de TV e canais ao vivo, sendo uma das melhores plataformas freemium disponíveis nos EUA. Para acessar o conteúdo, os usuários fora dos EUA precisam de um endereço IP americano, o que pode ser conseguido através de serviços de VPN, como o NordVPN, que é recomendado no artigo. O serviço oferece uma versão gratuita e planos pagos que incluem mais de 70 canais de TV ao vivo e armazenamento ilimitado de DVR por até um ano. O artigo também destaca a variedade de conteúdos disponíveis, incluindo filmes clássicos, séries populares e programação de estilo de vida. Além disso, menciona que a plataforma é geograficamente restrita devido a acordos de licenciamento, o que torna o uso de VPN uma solução viável para desbloquear o acesso ao serviço. O guia é útil para quem deseja manter o acesso ao Philo enquanto viaja ou reside fora dos EUA.

O uso de VPNs com bloqueadores de anúncios pode causar problemas durante transmissões ao vivo, como as da Copa do Mundo de 2026. Esses bloqueadores, ao detectarem anúncios, podem interromper a transmissão inteira, pois muitos serviços de streaming utilizam inserções de anúncios do lado do servidor (SSAI), que são entregues a partir do mesmo servidor que o conteúdo. Isso significa que o bloqueador não consegue diferenciar entre o anúncio e o conteúdo da transmissão, resultando em travamentos ou telas pretas. Para evitar esses problemas, os usuários devem desativar o bloqueador de anúncios em suas VPNs ao acessar serviços de streaming que dependem de anúncios, como o ITVX. Alternativamente, é possível usar ferramentas como o R.O.B.E.R.T da Windscribe, que permite criar regras de whitelist para manter o bloqueador ativo enquanto assiste. O artigo também recomenda o Norton VPN, que oferece uma garantia de devolução de 60 dias e é eficaz para streaming, permitindo desativar o bloqueador com facilidade.

A Flipper Devices anunciou que o desenvolvimento do firmware do Flipper Zero continuará, mas com uma equipe interna reduzida e maior dependência de contribuições da comunidade. A decisão surge enquanto a empresa foca na criação de novos dispositivos, como a plataforma aberta Flipper One, que também contará com a colaboração da comunidade para seu desenvolvimento. Além disso, foi lançado o Busy Bar, um dispositivo voltado para ajudar pessoas com Transtorno do Déficit de Atenção com Hiperatividade (TDAH) a reduzir distrações, com vendas programadas para julho de 2023 nos EUA, Reino Unido, Europa e Canadá. Embora o firmware do Flipper Zero ainda seja mantido, o desenvolvimento de novas funcionalidades em tempo integral foi encerrado. A versão 1.0 do firmware, lançada em setembro de 2024, foi considerada madura, com um SDK e APIs estáveis. Após críticas da comunidade sobre a aparente paralisação do desenvolvimento, a Flipper Devices implementou um novo modelo de interação, onde solicitações serão avaliadas semanalmente e a comunicação ocorrerá exclusivamente pelo GitHub Discussions. Essa mudança visa dar aos usuários mais poder sobre as futuras atualizações do Flipper Zero, que conta com mais de um milhão de usuários. A empresa também desativou mensagens diretas em redes sociais devido ao volume de comunicação que sua equipe reduzida não consegue gerenciar.

O artigo aborda os sinais que indicam que um celular pode ter sido hackeado, destacando nove comportamentos suspeitos, como o envio de mensagens não autorizadas, consumo excessivo de dados e instalação de aplicativos desconhecidos. O texto também orienta sobre as ações imediatas a serem tomadas, como encerrar sessões desconhecidas em aplicativos e ativar a autenticação em duas etapas. Além disso, apresenta ferramentas gratuitas para verificar se o dispositivo foi comprometido e desmistifica alguns mitos comuns sobre segurança móvel. A importância de proteger contas de e-mail e redes sociais é enfatizada, pois são portas de entrada para acessos não autorizados. O artigo conclui com recomendações sobre como agir em caso de roubo ou uso indevido de dados pessoais.

Pesquisadores da equipe 0din da Mozilla demonstraram como o Claude Code, uma ferramenta de inteligência artificial, pode ser manipulado para abrir um shell reverso oculto em dispositivos de desenvolvedores. O ataque não exigiu código malicioso no repositório clonado, pois todos os arquivos visíveis passaram por uma revisão normal sem levantar suspeitas. A exploração começou com um arquivo Markdown aparentemente inofensivo que instruía o usuário a executar um comando de configuração. Ao seguir essa instrução, o Claude Code executou um script oculto que consultou um registro DNS controlado pelo atacante, resultando na execução silenciosa de um comando de shell reverso. Esse incidente destaca a falha dos scanners de segurança tradicionais, que não detectaram nada suspeito, já que cada etapa parecia rotineira. Os pesquisadores alertam que desenvolvedores devem ser cautelosos ao executar scripts de repositórios desconhecidos, pois um único link compartilhado pode comprometer a segurança de todos que o acessam. A situação sugere que ferramentas de IA precisam de salvaguardas mais robustas para evitar ataques indiretos semelhantes.

Pesquisadores identificaram o que acreditam ser o primeiro caso documentado de uma operação de ransomware, chamada JadePuffer, conduzida inteiramente por um agente de modelo de linguagem grande (LLM). Segundo a empresa de segurança em nuvem Sysdig, JadePuffer utilizou um agente de IA autônomo para realizar reconhecimento do alvo, roubar credenciais, mover-se lateralmente, estabelecer persistência, escalar privilégios e criptografar dados. O agente de IA demonstrou uma capacidade de adaptação a falhas durante a intrusão, semelhante ao que um operador humano faria. A operação começou com a exploração de uma vulnerabilidade (CVE-2025-3248) em Langflow, um framework open-source popular. Após obter acesso, o agente coletou informações sensíveis e estabeleceu persistência no servidor. A partir daí, ele se moveu para um servidor MySQL de produção, onde implantou o ransomware, criptografando 1.342 itens de configuração do serviço Nacos. A nota de resgate indicava que os dados foram criptografados usando o algoritmo AES-256, embora os pesquisadores acreditem que o AES-128-ECB foi o realmente utilizado. Este caso destaca a chegada de ‘agentes de ameaças autônomas’, que podem reduzir a habilidade necessária para realizar ataques cibernéticos prejudiciais.

A campanha de cibersegurança conhecida como Contagious Interview, ligada a atores de ameaça da Coreia do Norte, tem se intensificado com a publicação de 108 pacotes e extensões de navegador maliciosos em plataformas como npm, Packagist, Go e Google Chrome. Os atacantes utilizam táticas de recrutamento para enganar desenvolvedores de software e profissionais do setor de criptomoedas, persuadindo-os a executar códigos maliciosos disfarçados. Desde 2023, a atividade tem se mostrado ativa, comprometendo 1.951 repositórios públicos do GitHub. Os atacantes não utilizam credenciais roubadas, mas sim exploram extensões maliciosas do VS Code ou pacotes npm para comprometer as contas dos mantenedores. O malware, uma variante do BeaverTail, busca arquivos específicos no computador da vítima e insere código JavaScript malicioso, além de modificar o histórico do Git para ocultar suas ações. A última onda de ataques envolve um carregador de malware que se conecta a infraestruturas de blockchain para baixar um segundo estágio de payloads maliciosos. Especialistas recomendam que usuários que instalaram esses pacotes tratem seus ambientes como comprometidos e realizem auditorias em seus repositórios e estações de trabalho.

Um estudo de caso revelou que uma entidade governamental dos EUA pagou cerca de US$ 1 milhão para evitar o vazamento de arquivos roubados por um grupo que se autodenomina Kairos. O caso, analisado por Rakesh Krishnan para o Ransom-ISAC, destaca uma nova abordagem de extorsão cibernética que não envolve a criptografia de dados, mas sim a ameaça de divulgação de informações sensíveis. O grupo Kairos não apresentou sinais de que tenha criptografado sistemas, mas sim de que roubou dados, incluindo informações pessoais e financeiras de residentes de Union County, Ohio. A negociação entre o condado e os atacantes durou cerca de um mês, começando com uma demanda de US$ 3 milhões e culminando em um pagamento de US$ 1 milhão. O pagamento foi rastreado através de transações em criptomoedas, mas a prova de que os dados foram realmente deletados é questionável. O incidente ilustra uma tendência crescente em que as extorsões não dependem mais da criptografia, mas sim da ameaça de vazamento de dados. Especialistas recomendam que entidades governamentais adotem medidas de segurança, como autenticação multifatorial e monitoramento de transferências de dados, para se protegerem contra esse tipo de ataque.

Uma operação coordenada envolvendo o Google e outras entidades, como o FBI, resultou na desarticulação da NetNut, uma rede de proxies residenciais que controlava milhões de dispositivos Android comprometidos, incluindo TVs inteligentes e caixas de streaming. Conhecida também como Popa, a botnet NetNut permitia que cibercriminosos ocultassem suas atividades maliciosas utilizando endereços IP residenciais legítimos. Estima-se que a rede seja composta por pelo menos dois milhões de dispositivos infectados, que se tornaram parte da botnet após serem contaminados por malware, seja pré-instalado ou baixado por meio de aplicativos maliciosos. A operação resultou na apreensão de domínios utilizados pela NetNut e na desativação de contas e serviços que os operadores da botnet utilizavam para controle de malware. O Google também implementou medidas de proteção para alertar usuários e desativar aplicativos infectados. A desarticulação da NetNut pode ter um impacto significativo na indústria de proxies, uma vez que muitos serviços populares dependem dessa rede. O Google já havia realizado ações semelhantes anteriormente, visando desmantelar botnets de proxies residenciais.

Pesquisadores de cibersegurança identificaram um novo framework de malware modular, denominado Avalon, que utiliza uma cadeia de phishing em múltiplas etapas para contornar controles de segurança tradicionais. O ataque inicia com um e-mail que simula um documento legal, levando o destinatário a um arquivo protegido por senha no Proton Drive. Dentro desse arquivo, um atalho do Windows aciona uma sequência de malware que culmina na execução do Avalon, que combina funções de coleta de credenciais, movimentação lateral, acesso remoto e execução de ransomware, conhecido internamente como CrownX.

Uma nova vulnerabilidade no kernel Linux, identificada como Bad Epoll (CVE-2026-46242), foi revelada, permitindo que usuários comuns adquiram controle total de máquinas como root. Essa falha afeta não apenas desktops e servidores Linux, mas também dispositivos Android. O problema reside em um bug de ‘use-after-free’, onde duas partes do kernel tentam limpar o mesmo objeto interno simultaneamente, resultando em corrupção da memória do kernel. O pesquisador Jaeyoung Chung desenvolveu um ataque que amplia a janela de tempo para explorar essa vulnerabilidade, alcançando sucesso em 99% dos testes realizados. O ataque pode ser disparado a partir do sandbox do Chrome, o que o torna ainda mais perigoso, pois contorna muitas outras falhas de kernel. Embora a falha tenha sido reportada como um zero-day ao programa kernelCTF do Google, não há indícios de que tenha sido utilizada em ataques reais até o momento. A correção já está disponível, e é recomendável que os usuários apliquem o patch o mais rápido possível, especialmente em sistemas que utilizam o kernel 6.4 ou superior. Essa vulnerabilidade se junta a uma série de falhas conhecidas que afetam o Linux, destacando a necessidade de vigilância contínua em relação à segurança do kernel.

A empresa de segurança runZero revelou sete vulnerabilidades na biblioteca de sistema de arquivos FatFs, que é amplamente utilizada em dispositivos como câmeras de segurança, drones e carteiras de criptomoedas. As falhas permitem que um atacante, ao inserir um dispositivo USB ou cartão SD malicioso, possa corromper a memória do dispositivo e executar código não autorizado. A vulnerabilidade mais crítica, CVE-2026-6682, apresenta um estouro de inteiro que pode levar à execução de código malicioso. Outras falhas incluem estouros de buffer e problemas de manipulação de dados que podem causar corrupção de memória ou falhas no dispositivo. Embora a runZero tenha classificado essas vulnerabilidades como de médio a alto risco, não houve relatos de exploração ativa até o momento. O FatFs é mantido por um único desenvolvedor, e a falta de resposta a tentativas de contato para correções levanta preocupações sobre a segurança de muitos produtos que dependem dessa biblioteca. Para organizações que utilizam firmware que interage com mídias FAT ou exFAT, é essencial auditar o código e implementar correções. Além disso, recomenda-se limitar o acesso físico a dispositivos e monitorar atualizações de firmware.

O governo da Malásia anunciou uma ação rigorosa contra o uso indevido de VPNs, especialmente em casos que envolvem atividades criminosas ou a violação da nova lei que proíbe o uso de redes sociais por menores de 16 anos. O vice-ministro do Interior, Datuk Seri Dr. Shamsul Anuar Nasarah, afirmou que a utilização de VPNs para contornar essas restrições será investigada, mas ressaltou que a posse e o uso de VPNs em si não são ilegais. A medida faz parte de um esforço mais amplo para proteger crianças online, em resposta ao aumento de crimes cibernéticos. As plataformas de redes sociais agora têm a obrigação de verificar a idade dos usuários, e a não conformidade pode resultar em multas de até RM10 milhões. Embora a ação se concentre em comportamentos ilegais, especialistas em direitos digitais criticam a abordagem, argumentando que a verificação de idade pode levar à normalização da vigilância e ao risco de exposição de dados pessoais. Para os usuários comuns de VPN, a mensagem é clara: o uso de VPNs para proteção de dados e privacidade continua legal e não deve ser interrompido.

Uma nova plataforma de phishing como serviço (PhaaS) chamada ‘ARToken’ foi descoberta, operando como uma afiliada da EvilTokens, que visa comprometer contas do Microsoft 365. Pesquisadores da Cisco Talos identificaram um painel de gerenciamento baseado em React, o ‘ARToken Panel’, que expõe mais de 80 endpoints de API. Através da engenharia reversa do código JavaScript, foram reveladas funcionalidades que vão além do que é comum em plataformas de phishing. A ARToken permite que atacantes roubem tokens de autenticação do Microsoft 365, acessem caixas de entrada do Outlook, sites do SharePoint e arquivos do OneDrive, além de automatizar operações de comprometimento de e-mail corporativo (BEC). A plataforma utiliza um modelo de implantação semelhante ao Cloudflare Workers e permite que afiliados gerenciem suas campanhas em espaços dedicados. O uso de phishing baseado em código de dispositivo da Microsoft, que engana as vítimas a inserirem códigos legítimos, permite que os atacantes contornem a autenticação multifator. Com um aumento significativo nos ataques de phishing, a ARToken representa uma ameaça crescente para organizações que utilizam o Microsoft 365.

Um novo ator de ameaças cibernéticas, conhecido como Armored Likho, foi identificado como responsável por ataques direcionados a agências governamentais e ao setor de energia elétrica na Rússia, Brasil e Cazaquistão. Segundo a Kaspersky, esse grupo combina campanhas motivadas financeiramente com espionagem cibernética, utilizando um conjunto de ferramentas sofisticadas, como RATs (Remote Access Trojans) e infostealers, projetados para evitar análises dinâmicas. Os ataques começam com e-mails de spear-phishing que distribuem arquivos maliciosos disfarçados de notificações oficiais. O malware BusySnake, uma das ferramentas utilizadas, é um stealer em Python que coleta dados sensíveis, como credenciais e cookies de navegadores, e se comunica com servidores de comando e controle (C2). Além disso, o grupo tem laços com outra ameaça conhecida, chamada Eagle Werewolf, que também visa organizações governamentais e de defesa. A complexidade e a evolução das técnicas utilizadas pelo Armored Likho indicam um aumento na maturidade técnica do grupo, representando um risco significativo para a segurança cibernética, especialmente em setores críticos como energia e governo.

Recentemente, a empresa de cibersegurança JFrog identificou uma nova campanha de ataque envolvendo pacotes npm maliciosos associados a atores de ameaças da Coreia do Norte. Os pacotes, que se disfarçam como ferramentas de polifil para o Rollup, têm como objetivo facilitar o acesso remoto e o roubo de dados. Os pacotes ‘rollup-packages-polyfill-core’ e ‘rollup-runtime-polyfill-core’ imitam o projeto legítimo ‘rollup-plugin-polyfill-node’, o que pode enganar desenvolvedores durante uma revisão rápida de dependências. Além desses, outros quatro pacotes também foram removidos do registro npm, incluindo ‘quirky-token’ e ‘react-icon-svgs’.

Pesquisadores de cibersegurança identificaram um novo malware para macOS chamado PamStealer, que utiliza técnicas sofisticadas para infectar sistemas e roubar dados sensíveis. Distribuído como um arquivo AppleScript disfarçado de Maccy, um gerenciador de área de transferência legítimo, o PamStealer valida a senha de login da vítima através dos Módulos de Autenticação Pluggable (PAM) do macOS antes de capturá-la. O malware é entregue em duas etapas: um AppleScript que baixa um segundo payload, um infostealer baseado em Rust, capaz de roubar credenciais, coletar dados de navegadores e persistir no sistema. O vetor de ataque inicial é um site falso que imita o Maccy, e o script executa um downloader que busca o payload malicioso. O malware também possui características que evitam a execução em ambientes de análise e sistemas fora do Apple Silicon. Após a captura da senha, o malware exibe um alerta falso, enganando a vítima para descartar o aplicativo malicioso. O desenvolvedor do Maccy já emitiu um alerta sobre sites fraudulentos que distribuem essa ameaça. Essa evolução dos stealers para macOS destaca a necessidade de vigilância constante e medidas de segurança robustas.

Um novo relatório do Citizen Lab revelou que Stelios Kouloglou, ex-membro do Parlamento Europeu, teve seu dispositivo móvel repetidamente hackeado com o spyware Pegasus enquanto investigava o uso de ferramentas de vigilância comercial na União Europeia. A análise forense do seu iPhone indicou que os invasores poderiam acessar documentos confidenciais e deliberações do comitê. Embora não se tenha atribuído a responsabilidade a um governo específico, há indícios de que um cliente do Pegasus, autorizado a espionar em vários países europeus, pode estar por trás do ataque. Kouloglou foi membro do Comitê PEGA, criado para investigar o uso indevido de spyware comercial. O primeiro ataque ocorreu em outubro de 2022, seguido por outro em março de 2023, coincidindo com momentos críticos de discussões sobre o relatório do comitê. O uso do spyware Pegasus levanta preocupações sobre como governos podem abusar de tecnologias destinadas a combater crimes graves, como terrorismo, para espionar jornalistas e críticos. Além disso, o relatório também destacou campanhas de espionagem que exploram vulnerabilidades na infraestrutura de telecomunicações global, permitindo rastreamento de localização sem a necessidade de malware.

O modelo Claude Fable, da Anthropic, foi recentemente disponibilizado para todos os usuários, mas as primeiras impressões são desanimadoras. Apesar de estar acessível a assinantes do plano Max, o uso do modelo é severamente limitado, permitindo apenas 50% do limite semanal de uso. A partir de 7 de julho, o acesso se tornará totalmente baseado em créditos de uso, o que pode restringir ainda mais a utilização. Além disso, usuários relatam que o desempenho do Fable 5 foi ’nerfado’, ou seja, parece mais fraco e frequentemente é redirecionado para versões anteriores, como o Opus 4.8, devido a novas medidas de segurança. Isso afeta negativamente a experiência, especialmente em tarefas de programação que envolvem linguagens como C, C++ e Rust, onde palavras-chave relacionadas à segurança podem acionar bloqueios. Embora a Anthropic não tenha admitido oficialmente a degradação do desempenho, é provável que esteja sendo excessivamente cautelosa com as novas salvaguardas, resultando em uma experiência abaixo do esperado para os usuários. A situação levanta preocupações sobre a eficácia das medidas de segurança implementadas e seu impacto na usabilidade do modelo.

A Anthropic anunciou que o modelo Claude Fable 5 não estará mais acessível através das assinaturas do Claude após 7 de julho, mas essa mudança não é permanente. A empresa espera que o modelo retorne em breve fora do plano baseado em uso. O Fable 5 foi restaurado recentemente após a liberação de controles de exportação pelo governo dos EUA. Embora esteja disponível globalmente em várias plataformas da Anthropic, o uso do Fable 5 foi restringido devido à alta demanda. A partir da próxima semana, o modelo será cobrado com créditos de uso, o que gerou preocupações entre os usuários regulares do Claude sobre a possibilidade de um custo permanente para acessar o Fable 5. Um engenheiro da Anthropic esclareceu que o Fable deve retornar às assinaturas assim que a capacidade permitir. A empresa também mencionou que a demanda pelo Fable 5 é difícil de prever, levando a uma abordagem mais conservadora na liberação do acesso. Para os usuários que dependem do Fable 5, é importante se preparar para a cobrança por créditos de uso após o prazo estabelecido.

O grupo de ransomware Anubis tem utilizado a vulnerabilidade Citrix Bleed 2 (CVE-2025-5777) para obter acesso inicial a sistemas. De acordo com um relatório da Arctic Wolf, os afiliados do Anubis empregam ferramentas legítimas de gerenciamento remoto, como ScreenConnect e Zoho Assist, para se infiltrar nas redes das vítimas sem levantar suspeitas. Desde sua reemergência em 2024, o Anubis já reivindicou 91 vítimas, com 11 ataques ocorrendo apenas em junho de 2026, afetando setores como saúde, serviços financeiros e tecnologia. A operação oferece uma divisão de lucros atrativa para afiliados, que podem receber até 80% do valor do resgate. Além disso, o grupo implementa um módulo de destruição de dados que aumenta a pressão sobre as vítimas para que paguem o resgate. As intrusões observadas também envolveram o uso de credenciais VPN válidas e técnicas de movimento lateral, como RDP e PsExec, para garantir acesso persistente e exfiltração de dados. A situação é crítica, pois a exploração da vulnerabilidade CVE-2025-5777, com uma pontuação CVSS de 9.3, permite que atacantes contornem autenticações em servidores Citrix, representando um risco significativo para empresas que utilizam essa tecnologia.

O Google, em colaboração com o FBI e outras entidades, anunciou a degradação significativa da NetNut, uma das maiores redes que transforma dispositivos residenciais em proxies alugados para tráfego de terceiros. A NetNut, também conhecida como Popa, é uma rede global que abrange pelo menos 2 milhões de dispositivos, incluindo TVs inteligentes e caixas de streaming. Quando um dispositivo da NetNut está em uma residência, criminosos podem redirecionar seu tráfego pela conexão de internet do usuário, comprometendo sua privacidade e segurança. A rede opera através da venda de acesso a endereços IP residenciais, permitindo que atacantes ocultem sua localização real. A empresa por trás da NetNut, a Alarum Technologies, nega a classificação de botnet, alegando que seu software é para compartilhamento de largura de banda consentido. No entanto, pesquisas indicam que os aplicativos associados não informam os usuários sobre esse consentimento. O Google alerta que a degradação da NetNut não é um desmantelamento definitivo, pois a rede possui um programa de revenda que permite que outras empresas comercializem o mesmo pool de dispositivos, tornando a situação complexa e resiliente. Para os consumidores, recomenda-se cautela ao usar aplicativos que prometem pagamento por largura de banda não utilizada e a compra de dispositivos de marcas conhecidas.

Um ataque de password-spraying comprometeu contas do Microsoft 365, resultando em mais de 81 milhões de tentativas de login em um período de duas semanas. Os hackers utilizaram credenciais roubadas e exploraram políticas de acesso condicional mal configuradas para contornar a autenticação multifator (MFA). A campanha, observada pela empresa de cibersegurança Huntress, afetou 78 contas Microsoft em 64 organizações entre 12 e 26 de junho de 2026. Muitas das empresas visadas não tinham MFA implementada ou a aplicavam de forma inadequada, permitindo que os atacantes enviassem senhas diretamente ao endpoint de token sem um prompt de MFA interativo. Para mitigar esses riscos, recomenda-se que as organizações implementem MFA para todos os usuários e aplicativos em nuvem, restrinjam o uso do Azure CLI e respondam com base na validade das credenciais em vez do volume de tentativas de login.