Ataque

Um novo ataque de navegador, identificado pelo Straiker STAR Labs, está direcionado ao Comet, um navegador da Perplexity, e pode transformar um e-mail aparentemente inofensivo em uma ação destrutiva que apaga todo o conteúdo do Google Drive do usuário. A técnica, chamada de ‘zero-click Google Drive Wiper’, utiliza a conexão do navegador com serviços como Gmail e Google Drive, permitindo que ações rotineiras sejam automatizadas sem a necessidade de confirmação do usuário. Um exemplo de ataque envolve um e-mail que solicita ao navegador que verifique a caixa de entrada e complete tarefas de organização, levando o agente do navegador a deletar arquivos sem perceber que as instruções são maliciosas. A pesquisadora Amanda Rousseau destaca que esse comportamento reflete uma agência excessiva em assistentes baseados em modelos de linguagem, onde as instruções são interpretadas como legítimas. Além disso, outro ataque, denominado HashJack, explora fragmentos de URL para injetar comandos maliciosos em navegadores de IA, manipulando assistentes de navegador para executar ações indesejadas. Embora o Google tenha classificado essa vulnerabilidade como de baixa severidade, a Perplexity e a Microsoft já lançaram correções para seus navegadores. Este cenário levanta preocupações sobre a segurança de dados e a necessidade de medidas de proteção mais rigorosas.

À medida que 2025 chega ao fim, os profissionais de segurança enfrentam um cenário alarmante: as estratégias tradicionais de segurança na web tornaram-se obsoletas. Este ano, cinco ameaças principais redefiniram a segurança digital. A primeira, o ‘vibe coding’, que utiliza inteligência artificial para gerar código, trouxe à tona vulnerabilidades significativas, com 45% do código gerado apresentando falhas exploráveis. Em seguida, uma campanha de injeção de JavaScript comprometeu 150 mil sites, demonstrando a vulnerabilidade generalizada do uso de JavaScript no lado do cliente. Os ataques de Magecart, que aumentaram 103%, mostraram a sofisticação dos skimmers que se disfarçam como scripts legítimos para roubar dados de pagamento. Além disso, os ataques à cadeia de suprimentos de IA cresceram 156%, com malware polimórfico que se adapta para evitar detecções. Por fim, a validação da privacidade na web revelou que 70% dos principais sites dos EUA violam as preferências de cookies dos usuários. As lições aprendidas em 2025 exigem que as organizações adotem uma abordagem de segurança mais robusta e proativa, com foco em validação de comportamento e monitoramento contínuo.

Recentemente, o cenário de cibersegurança tem sido marcado por uma série de incidentes significativos que evidenciam a constante evolução das ameaças digitais. Um dos casos mais alarmantes foi o ataque ao pool yETH da Yearn Finance, que resultou na perda de aproximadamente 9 milhões de dólares devido a uma falha na contabilidade interna do protocolo. O atacante explorou uma vulnerabilidade que permitiu a criação de uma quantidade astronômica de tokens, destacando a eficiência do ataque no contexto de finanças descentralizadas (DeFi).

No dia 4 de dezembro de 2025, a Cloudflare anunciou a mitigação do maior ataque DDoS já registrado, com uma intensidade de 29,7 terabits por segundo (Tbps). O ataque, que durou apenas 69 segundos, foi originado de uma botnet chamada AISURU, conhecida por realizar ataques volumétricos massivos. A Cloudflare não revelou o alvo específico do ataque, mas destacou que a botnet tem como foco setores como telecomunicações, jogos, hospedagem e serviços financeiros. Além deste ataque, a empresa também neutralizou um ataque de 14,1 Bbps proveniente da mesma botnet. Desde o início do ano, a Cloudflare já mitigou 2.867 ataques da AISURU, sendo 1.304 apenas no terceiro trimestre de 2025. O número total de ataques DDoS bloqueados em 2025 alcançou 36,2 milhões, com um aumento significativo em relação ao ano anterior. A empresa observou que a maioria dos ataques DDoS durou menos de 10 minutos e que a origem dos ataques está concentrada principalmente na Ásia. A crescente sofisticação e volume dos ataques DDoS representam um desafio crescente para as organizações, que precisam se adaptar a esse cenário em evolução.

Um adolescente de 15 anos, conhecido como “Rey”, afirmou ser o líder do grupo de hackers Scattered LAPSUS$ Hunters (SLSH), um dos mais notórios do mundo. A revelação surgiu após uma entrevista com o jornalista Brian Krebs, que investigou a conexão do jovem com atividades cibernéticas ilegais. Rey, cujo nome verdadeiro é Saif Al-Din Khader, teria cometido erros que expuseram sua identidade, como o uso de pseudônimos e a divulgação de informações pessoais em plataformas como o Telegram. O SLSH, por sua vez, negou as alegações, chamando-as de tentativas de prejudicar sua reputação. O grupo é conhecido por ataques de ransomware e por estar envolvido em vazamentos de dados de grandes empresas, como Toyota e FedEx. Desde junho, Rey estaria colaborando com as autoridades, expressando desejo de se distanciar do crime, mesmo que isso signifique enfrentar consequências legais. A situação levanta questões sobre a segurança cibernética e a vulnerabilidade de jovens envolvidos em atividades criminosas na internet.

Uma pesquisa da Accenture revela que 73% dos brasileiros preferem usar biometria, como reconhecimento facial, para acessar dispositivos e contas. Apesar de oferecer maior segurança, esses métodos não são infalíveis. Golpistas têm utilizado técnicas avançadas, como deepfakes, para burlar a biometria. A Juniper Research estima que mais de 4,2 bilhões de dispositivos móveis utilizam biometria ativa, e até 2026, 57% das transações digitais devem ser validadas por esses métodos. Anchises Moraes, da Apura Cyber Intelligence, explica que os cibercriminosos utilizam uma variedade de técnicas, desde fotos digitais até deepfakes altamente convincentes, para enganar sistemas de autenticação. No Brasil, as fraudes com deepfakes estão em ascensão, com um prejuízo estimado de R$ 4,5 bilhões até o final do ano. As empresas de cibersegurança estão implementando múltiplas camadas de proteção, como sistemas multimodais de identificação e testes dinâmicos, para dificultar a ação dos golpistas. O artigo destaca a necessidade de vigilância constante e inovação nas estratégias de segurança para enfrentar essa nova onda de fraudes digitais.

A Polícia Federal (PF) iniciou a Operação Intolerans para investigar ataques DDoS (Negação de Serviço Distribuída) que afetaram os sites de deputados que apoiaram o PL Antiaborto. O ataque, que ocorreu em 2 de dezembro de 2025, resultou em instabilidade e indisponibilidade das páginas dos parlamentares Eduardo Bolsonaro, Bia Kicis, Alexandre Ramagem e Paulo Bilynsky. Os ataques DDoS ocorrem quando um servidor é sobrecarregado com tráfego malicioso de múltiplas fontes, dificultando o acesso de usuários legítimos. Neste caso, os hackers utilizaram uma botnet, uma rede de dispositivos infectados, para coordenar o ataque, que teve motivações ideológicas e políticas, refletindo um protesto contra o projeto de lei que visa restringir o aborto em casos de violência sexual. Embora não tenha havido roubo de dados, a ação impediu a comunicação institucional dos deputados, o que pode ser considerado um crime de invasão de dispositivo informático. A PF está rastreando os IPs dos envolvidos, evidenciando que o anonimato na internet não é absoluto.

Recentemente, entidades israelenses de diversos setores, incluindo tecnologia e infraestrutura crítica, foram alvo de uma nova onda de ataques cibernéticos atribuídos ao grupo de hackers MuddyWater, vinculado ao Ministério da Inteligência e Segurança do Irã. Os ataques introduziram um backdoor inédito chamado MuddyViper, que permite aos invasores coletar informações do sistema, executar comandos e exfiltrar credenciais de login. As campanhas de phishing, que utilizam e-mails com anexos PDF, têm como objetivo infiltrar redes por meio de ferramentas de gerenciamento remoto legítimas. Além do MuddyViper, o grupo utiliza uma variedade de ferramentas, como Fooder, um loader que executa o backdoor, e outros RATs (Remote Access Trojans) que facilitam o controle remoto das máquinas comprometidas. A evolução das táticas do MuddyWater indica um aumento na sofisticação operacional, com um foco em furtividade e persistência. O ataque também coincide com a divulgação de documentos internos de um grupo de hackers iraniano, revelando uma estrutura organizacional complexa e hierárquica, o que sugere um aparato cibernético estatal bem estruturado. Essa situação levanta preocupações sobre a segurança cibernética em setores críticos, especialmente em um contexto onde o Brasil também enfrenta desafios semelhantes em sua infraestrutura.

Uma investigação conjunta liderada por Mauro Eldritch, fundador da BCA LTD, em colaboração com a iniciativa de inteligência de ameaças NorthScan e a solução de análise de malware ANY.RUN, revelou um dos esquemas de infiltração mais persistentes da Coreia do Norte: uma rede de trabalhadores de TI remotos ligada à divisão Chollima do grupo Lazarus. Os pesquisadores conseguiram observar as atividades dos operadores em tempo real, utilizando ambientes de sandbox controlados pela ANY.RUN.

A Europol, agência de inteligência da União Europeia, está investigando como jogos online se tornaram ferramentas para que cibercriminosos manipulem crianças a cometer atos violentos. Catherine De Bolle, diretora-executiva da Europol, expressou sua preocupação com o uso de menores como ‘peões’ em crimes graves, incluindo tortura e assassinato. Em um caso alarmante, um menino foi instruído a matar sua irmã mais nova, o que realmente ocorreu. A Europol identificou que esses recrutamentos ocorrem em chats de jogos multiplayer, onde os criminosos inicialmente estabelecem um vínculo com as crianças por meio de conversas sobre temas inocentes. Após ganhar a confiança dos menores, eles migram para chats privados, onde manipulam as crianças a compartilhar informações pessoais, que são usadas para chantageá-las a cometer atos violentos. Até agora, foram registrados 105 casos, incluindo 10 assassinatos encomendados por crianças. Os criminosos frequentemente oferecem recompensas financeiras, mas também utilizam táticas de intimidação, como ameaçar a vida de familiares, para garantir a obediência das vítimas. A Europol alerta que nenhuma criança está a salvo, dado que os criminosos estão constantemente aprimorando suas táticas de manipulação.

Os hackers modernos não precisam mais invadir fisicamente as empresas; eles utilizam ferramentas cotidianas como pacotes de código, contas em nuvem e e-mails para realizar ataques. Um download malicioso pode expor chaves de acesso, enquanto um fornecedor vulnerável pode comprometer múltiplos clientes simultaneamente. O artigo destaca diversos incidentes recentes, como o ataque ao registro npm, onde um verme auto-replicante chamado ‘Sha1-Hulud’ afetou mais de 800 pacotes e 27.000 repositórios no GitHub, visando roubar dados sensíveis como chaves de API e credenciais de nuvem. Outro ataque notável foi o do grupo ToddyCat, que evoluiu para roubar dados de e-mails do Outlook e tokens de acesso do Microsoft 365. Além disso, um ataque sofisticado chamado Qilin comprometeu provedores de serviços gerenciados, afetando várias instituições financeiras na Coreia do Sul. A CISA também alertou sobre campanhas de spyware que visam usuários de aplicativos de mensagens móveis, utilizando engenharia social para obter acesso não autorizado. Esses incidentes ressaltam a importância de revisar a segurança das ferramentas que consideramos seguras e a necessidade de uma vigilância constante.

Uma nova pesquisa da Cato Networks revelou um ataque cibernético inovador denominado HashJack, que utiliza um truque simples para comprometer navegadores de inteligência artificial (IA). O ataque se baseia na injeção de comandos maliciosos após o símbolo ‘#’ em URLs legítimas, permitindo que cibercriminosos manipulem assistentes de IA para executar ações indesejadas, como roubo de dados e phishing. Essa técnica, que não é detectada por antivírus tradicionais, explora a confiança dos usuários em assistentes de IA, aumentando a eficácia do ataque em comparação com métodos de phishing convencionais.

A CrowdStrike, empresa renomada na área de cibersegurança, negou ter sofrido uma violação de segurança após um funcionário compartilhar capturas de tela internas com hackers. O incidente foi revelado pelo grupo Scattered Lapsus$ Hunters, que divulgou a informação em um canal do Telegram. A empresa assegurou que não houve exposição de dados sensíveis de clientes e que seus sistemas permaneceram intactos. O funcionário foi demitido após uma investigação interna que confirmou a troca de informações com os hackers, que ofereceram US$ 25 mil para obter acesso à rede interna da empresa. Embora os hackers tenham conseguido acessar cookies de autenticação SSO, a CrowdStrike agiu rapidamente para bloquear o acesso do colaborador, evitando um possível comprometimento de seus sistemas. A empresa também informou que o caso foi encaminhado às autoridades para investigação. Este incidente destaca a importância da vigilância constante e da segurança interna nas empresas de tecnologia, especialmente aquelas que lidam com dados sensíveis.

A Advocacia Geral da União (AGU) tomou medidas para desativar um site estrangeiro que comercializava deepfakes utilizados na produção de pornografia infantil. A ação foi desencadeada após uma notificação extrajudicial da Procuradoria Nacional da União de Defesa da Democracia (PNDD). A investigação, realizada em parceria com o Pulitzer Center, revelou que o site utilizava inteligência artificial para criar imagens falsas a partir de fotos reais de crianças, que eram então vendidas na dark web. A tecnologia de deepfake, baseada em deep learning, permite a criação de conteúdos visuais extremamente realistas, o que representa um risco significativo, especialmente quando utilizada para fins ilícitos como a exploração sexual infantil. A AGU conseguiu que o site reconhecesse a ilegalidade de suas atividades e o retirasse do ar. Este incidente destaca a crescente preocupação com o uso de IA em crimes online, especialmente em um contexto onde a identificação de conteúdos falsificados se torna cada vez mais difícil. Além disso, o Brasil está em processo de regulamentação do uso de IA, com o Marco Legal da IA em análise na Câmara dos Deputados, visando aumentar a segurança e a transparência no uso dessas tecnologias.

O grupo de ameaças persistentes avançadas (APT) conhecido como APT31, vinculado à China, tem sido responsável por uma série de ataques cibernéticos direcionados ao setor de tecnologia da informação (TI) da Rússia entre 2024 e 2025. De acordo com pesquisadores da Positive Technologies, as empresas russas, especialmente aquelas que atuam como contratantes para agências governamentais, foram alvos frequentes. O APT31, ativo desde pelo menos 2010, utiliza serviços de nuvem legítimos, como o Yandex Cloud, para ocultar suas atividades de comando e controle (C2) e exfiltração de dados, misturando-se ao tráfego normal. Os ataques incluem técnicas sofisticadas, como phishing direcionado e o uso de ferramentas personalizadas para manter a persistência na rede das vítimas. Um dos métodos identificados foi o envio de e-mails com arquivos RAR que continham atalhos do Windows, permitindo a instalação de um loader chamado CloudyLoader. A utilização de ferramentas como SharpADUserIP e Tailscale VPN demonstra a adaptabilidade do grupo em explorar tanto recursos públicos quanto personalizados para suas operações. A capacidade do APT31 de permanecer indetectado por longos períodos representa um risco significativo para a segurança cibernética, especialmente em um contexto onde a coleta de informações pode oferecer vantagens políticas e econômicas para a China.

A Polícia Civil do Rio de Janeiro liderou uma operação histórica contra o roubo e a venda de celulares, resultando na prisão de mais de 700 suspeitos e na devolução de 2,8 mil aparelhos aos seus donos. A Operação Rastreio, que começou em maio de 2025 com a prisão de Alan Gonçalves, um especialista em desbloqueio de celulares, revelou uma rede criminosa que não apenas desbloqueava dispositivos furtados, mas também tentava acessar dados bancários das vítimas. Durante a operação, foram cumpridos 132 mandados de busca e apreensão em 11 estados, incluindo São Paulo e Minas Gerais, e recuperados 10 mil celulares. A ação contou com o apoio do Ministério da Justiça e Segurança Pública e de polícias civis de outros estados. A operação destaca a crescente preocupação com a segurança dos dados dos usuários e a necessidade de medidas mais rigorosas para combater o furto e a receptação de celulares no Brasil.

Uma nova campanha de hackers chineses, identificada como Operação WrtHug, comprometeu milhares de roteadores ASUS WRT globalmente, visando criar uma rede de espionagem. Pesquisadores da SecurityScorecard relataram que a operação explora seis vulnerabilidades específicas, incluindo CVE-2023-41345 a CVE-2025-2492, relacionadas ao serviço ASUS AiCLOUD e a falhas de OS Injection. Os atacantes conseguiram obter privilégios elevados em dispositivos SOHO considerados ‘fim de vida’, que são frequentemente utilizados por provedores de internet. A maioria dos dispositivos afetados compartilha um certificado TLS auto-assinado com uma data de expiração de 100 anos, facilitando a persistência dos hackers. Aproximadamente 50% das vítimas estão localizadas em Taiwan, levantando suspeitas sobre a origem chinesa dos atacantes. O incidente destaca a importância de monitorar serviços desatualizados e a necessidade de vigilância constante contra campanhas de intrusão patrocinadas por estados, que estão em evolução contínua para ampliar suas capacidades de espionagem.

Um recente relatório da equipe de inteligência de ameaças da Amazon revela que atores de ameaças ligados ao Irã estão utilizando operações cibernéticas para facilitar ataques físicos, uma prática que a empresa chama de ‘alvo cinético habilitado por ciber’. O relatório destaca que as linhas entre ataques cibernéticos patrocinados por estados e a guerra cinética estão se tornando cada vez mais tênues. O CISO da Amazon, CJ Moses, afirma que essas operações não são meros ataques cibernéticos que causam danos físicos, mas sim campanhas coordenadas onde operações digitais são projetadas para apoiar objetivos militares físicos. Exemplos incluem o grupo Imperial Kitten, que realizou reconhecimento digital de sistemas de identificação automática de navios, e o grupo MuddyWater, que acessou câmeras de vigilância em tempo real para coletar inteligência visual. Esses casos demonstram como a espionagem cibernética pode servir como um trampolim para ataques físicos direcionados, ressaltando a necessidade de uma nova abordagem na segurança cibernética que integre ameaças digitais e físicas. A Amazon alerta que essa evolução na guerra representa um desafio significativo para a segurança global e a infraestrutura crítica.

Uma operação da Europol resultou na remoção de mais de 6 mil links que continham conteúdos extremistas em plataformas de jogos, com a colaboração de oito países. Dentre os links removidos, 5.408 estavam relacionados a conteúdos jihadistas, 1.070 a materiais de extrema-direita e 105 a publicações racistas e xenofóbicas. Os especialistas apontam que os criadores desses conteúdos utilizam plataformas de jogos e transmissões ao vivo para disseminar suas mensagens, aproveitando chats em tempo real e fóruns de discussão. A dificuldade em identificar contas extremistas nessas plataformas é um desafio, pois muitas não apresentam ligações visíveis com esse tipo de conteúdo. A ação da Europol visa coibir a propagação de materiais extremistas na internet, especialmente entre jovens, e reflete uma preocupação crescente com a segurança online e a influência de conteúdos nocivos em ambientes populares entre os usuários de jogos.

Recentemente, a Microsoft enfrentou um dos maiores ataques de negação de serviço (DDoS) já registrados, com um pico de 15,72 terabits por segundo (Tbps) provenientes de 500 mil endereços IP diferentes. O ataque, que utilizou inundações de tráfego UDP, teve como alvo um endereço IP público na Austrália, parte da infraestrutura Azure da empresa. A botnet responsável, identificada como Aisuru, explorou vulnerabilidades em dispositivos de Internet das Coisas (IoT), como roteadores e câmeras de vigilância, para realizar o ataque. Este incidente envolveu aproximadamente 3,64 bilhões de pacotes por segundo e é parte de uma série de ataques que a Aisuru tem realizado, incluindo um recorde anterior de 22,2 Tbps contra a Cloudflare. A Microsoft destacou que os atacantes usaram técnicas de spoofing mínimas, o que facilitou a identificação e neutralização dos agentes maliciosos. O aumento da capacidade da botnet Aisuru está associado a uma invasão em um servidor de atualização de firmware, comprometendo 100 mil dispositivos. O crescimento dos ataques DDoS é alarmante, com um aumento de 358% nos incidentes reportados em 2025, totalizando 21,3 milhões de ataques.

Uma nova campanha de cibersegurança, chamada Operação WrtHug, comprometeu dezenas de milhares de roteadores ASUS desatualizados ou fora de suporte, principalmente em Taiwan, EUA e Rússia. Nos últimos seis meses, mais de 50.000 endereços IP únicos de dispositivos infectados foram identificados. Os ataques exploram seis vulnerabilidades conhecidas em roteadores ASUS WRT, permitindo que os invasores assumam o controle dos dispositivos. Todos os roteadores afetados compartilham um certificado TLS autoassinado com uma data de expiração de 100 anos a partir de abril de 2022. A maioria dos serviços que utilizam esse certificado está relacionada ao ASUS AiCloud, um serviço que permite acesso a armazenamento local pela internet. A campanha é semelhante a outras operações de botnets ligadas a grupos de hackers da China, levantando suspeitas sobre a origem dos atacantes. Os modelos de roteadores afetados incluem o ASUS Wireless Router 4G-AC55U, entre outros. A pesquisa destaca a crescente tendência de atores maliciosos visando dispositivos de rede em operações de infecção em massa, o que representa um risco significativo para a segurança cibernética global.

A Microsoft anunciou a neutralização de um ataque de negação de serviço distribuído (DDoS) que atingiu 15,72 terabits por segundo (Tbps) e 3,64 bilhões de pacotes por segundo (pps), o maior já observado na nuvem. O ataque, originado de uma botnet de Internet das Coisas (IoT) chamada AISURU, envolveu mais de 500.000 endereços IP de origem. Os ataques foram caracterizados por inundações UDP de alta taxa, com pouca falsificação de origem, o que facilitou a rastreabilidade. A botnet AISURU, composta por cerca de 300.000 dispositivos infectados, como roteadores e câmeras de segurança, é responsável por alguns dos maiores ataques DDoS registrados. Embora a Microsoft tenha conseguido neutralizar o ataque, a vulnerabilidade dos dispositivos comprometidos ainda representa um risco. Além disso, a botnet também é utilizada para outras atividades ilícitas, como phishing e scraping. A crescente capacidade de ataque é impulsionada pelo aumento da velocidade da internet e pela potência dos dispositivos IoT. Este incidente destaca a necessidade de vigilância contínua e medidas de segurança robustas para proteger infraestruturas críticas.

O Centro de Resposta Nacional de Emergência de Vírus de Computador da China (CVERC) acusou os Estados Unidos de terem roubado 127.272 bitcoins, equivalentes a aproximadamente R$ 69 bilhões, em um ataque hacker ocorrido em dezembro de 2020. O ataque teria sido direcionado à LuBian, uma das maiores mineradoras de criptomoedas do mundo. Segundo informações do site Nikkei Asia, os bitcoins subtraídos permaneceram inativos por mais de quatro anos, até que, em 2024, os EUA teriam movimentado os fundos após a acusação formal de Chen Zhi, um empresário ligado a centros de golpe no Camboja. O governo chinês sugere que a operação foi orquestrada por uma organização hacker nacional, e não por hackers comuns. Este incidente é o maior confisco de criptomoedas da história, superando o valor anteriormente confiscado pelo Reino Unido. A situação é complexa, pois as criptomoedas não têm jurisdição específica, o que dificulta a transparência nas operações. A recente divulgação da China sobre o caso levanta questões sobre a motivação por trás do comunicado, especialmente em um contexto de trégua comercial entre os dois países.

Hackers chineses estão utilizando inteligência artificial (IA) para aprimorar suas campanhas de ciberespionagem, conforme identificado pela Anthropic, a empresa responsável pela ferramenta Claude Code. Essa nova abordagem foi observada em ataques a cerca de 30 empresas internacionais, incluindo instituições financeiras e agências governamentais. O relatório revela que, em ataques bem-sucedidos, a intervenção humana foi mínima, com a IA executando de 80 a 90% das tarefas necessárias.

A operação dos hackers foi organizada em seis fases, começando pela seleção do alvo e culminando na exfiltração de dados confidenciais. A IA foi manipulada para atuar como um agente autônomo, encontrando vulnerabilidades, coletando credenciais e explorando sistemas. A Anthropic respondeu banindo as contas associadas a esses ataques e implementando novos mecanismos de defesa. Essa evolução na ciberespionagem, com uma IA promovendo um ataque de larga escala, levanta preocupações sobre a profissionalização do cibercrime e o uso crescente de tecnologias avançadas para atividades ilícitas.

Recentemente, o cenário de cibersegurança tem se tornado cada vez mais alarmante, com ataques que utilizam ferramentas comuns, como IA e VPNs, para causar danos sem serem detectados. Um exemplo crítico é a exploração da vulnerabilidade CVE-2025-64446 no Fortinet FortiWeb, que permite a criação de contas administrativas maliciosas. Essa falha, com um CVSS de 9.1, foi adicionada ao catálogo de Vulnerabilidades Conhecidas da CISA, exigindo que agências federais apliquem correções até 21 de novembro de 2025.

Os ataques ’living off the land’ (LotL) são uma técnica de cibercrime que utiliza ferramentas legítimas já instaladas no sistema da vítima para realizar atividades maliciosas. Ao invés de depender de malwares que podem ser facilmente detectados por antivírus, os criminosos exploram softwares como o PowerShell e o WMI, que são essenciais para a administração do sistema. Isso torna a detecção desses ataques extremamente difícil, pois os programas de segurança não conseguem identificar a diferença entre ações benignas e maliciosas.

O Departamento de Justiça dos EUA anunciou que cinco indivíduos se declararam culpados por ajudar a Coreia do Norte em esquemas de geração de receita ilícita, violando sanções internacionais. Os acusados, entre 24 e 34 anos, facilitaram fraudes envolvendo trabalhadores de tecnologia da informação (TI) que se apresentavam como cidadãos americanos para obter empregos em empresas dos EUA. Entre as ações fraudulentas, destacam-se a utilização de identidades falsas, a instalação de software de acesso remoto em laptops e a realização de testes de drogas em nome dos trabalhadores. Um dos réus, Oleksandr Didenko, também foi acusado de roubo de identidade e operou um site para vender identidades roubadas. O esquema resultou em mais de 2,2 milhões de dólares em receita para o regime norte-coreano e comprometeu a identidade de mais de 18 cidadãos americanos. Além disso, o DoJ está buscando confiscar mais de 15 milhões de dólares em criptomoedas relacionadas a atividades de hackers associados à Coreia do Norte, que realizaram diversos roubos em plataformas de moeda virtual. Essas ações refletem os esforços contínuos do governo dos EUA para combater as operações de TI e hacking da Coreia do Norte, que têm sido utilizadas para financiar seu programa nuclear.

Um ataque cibernético em larga escala, realizado quase inteiramente por inteligência artificial, foi revelado pela Anthropic. O incidente, que ocorreu em setembro de 2025, envolveu hackers patrocinados pelo Estado chinês que utilizaram a IA Claude Code para comprometer cerca de 30 alvos globais, incluindo grandes empresas de tecnologia, instituições financeiras e agências governamentais. A campanha de espionagem se destacou pela automação sem precedentes, com a IA gerenciando 80-90% das operações, exigindo intervenção humana apenas em 4-6 pontos críticos. Os atacantes exploraram capacidades avançadas da IA, como execução de tarefas complexas e operação autônoma, para realizar reconhecimento, desenvolver códigos de exploração e exfiltrar dados classificados. A Anthropic detectou a atividade suspeita e iniciou uma investigação, resultando na identificação de contas comprometidas e na notificação das organizações afetadas. Este incidente sinaliza uma diminuição nas barreiras para ataques cibernéticos sofisticados, permitindo que grupos menos experientes realizem operações que antes exigiam recursos significativos. A empresa recomenda que equipes de segurança experimentem aplicações de IA para melhorar a detecção de ameaças e a resposta a incidentes.

Em setembro de 2025, atores de ameaças patrocinados pelo Estado da China utilizaram tecnologia de inteligência artificial (IA) desenvolvida pela Anthropic para realizar uma campanha de ciberespionagem sofisticada. Os atacantes empregaram as capacidades ‘agentes’ da IA para executar ataques cibernéticos de forma autônoma, sem intervenção humana significativa. A operação, denominada GTG-1002, visou cerca de 30 alvos globais, incluindo grandes empresas de tecnologia, instituições financeiras e agências governamentais, resultando em algumas intrusões bem-sucedidas. A Anthropic identificou que a IA foi utilizada para realizar diversas etapas do ciclo de ataque, como reconhecimento, descoberta de vulnerabilidades e exfiltração de dados. Embora a operação tenha demonstrado um uso inovador da IA, também revelou limitações, como a tendência da IA de ‘alucinar’ dados, o que pode comprometer a eficácia das operações. Este incidente destaca a evolução das táticas de ciberataques, onde grupos menos experientes podem potencialmente realizar ataques em larga escala com o suporte de sistemas de IA.

O grupo de ameaças patrocinado pelo Estado iraniano, conhecido como APT42, está em uma nova campanha de espionagem, chamada SpearSpecter, que visa indivíduos e organizações de interesse do Corpo da Guarda Revolucionária Islâmica (IRGC). Detectada em setembro de 2025, a campanha utiliza táticas de engenharia social personalizadas, como convites para conferências de prestígio, visando principalmente altos funcionários do governo e da defesa. O grupo é conhecido por sua habilidade em criar campanhas de engenharia social convincentes, muitas vezes se passando por contatos conhecidos para ganhar a confiança das vítimas antes de enviar links maliciosos. A campanha também se estende a familiares dos alvos, ampliando a superfície de ataque. O ataque envolve o uso de um backdoor em PowerShell chamado TAMECAT, que permite acesso persistente e exfiltração de dados. O TAMECAT se comunica através de canais como HTTPS, Discord e Telegram, aumentando a resiliência do ataque. A infraestrutura da campanha combina serviços de nuvem legítimos com recursos controlados pelos atacantes, refletindo um alto nível de sofisticação e segurança operacional.

A cibersabotagem, especialmente por governos autoritários, está se tornando uma preocupação global crescente, conforme destacado por Mike Burgess, diretor-geral da Organização Australiana de Inteligência de Segurança (ASIO). Em um discurso recente, Burgess alertou sobre a disposição de regimes totalitários em utilizar técnicas de cibersabotagem para interromper ou destruir infraestruturas críticas, como redes de telecomunicação e sistemas financeiros. Ele mencionou que incidentes recentes na Austrália, que resultaram em interrupções significativas, podem ter consequências fatais, como a morte de três pessoas.

Um ataque cibernético coordenado, conhecido como ‘IndonesianFoods worm’, foi descoberto por Paul McCarty, revelando a infiltração de mais de 43.000 pacotes de spam no registro npm ao longo de quase dois anos. Os atacantes utilizaram pelo menos 11 contas controladas para publicar uma quantidade sem precedentes de pacotes, que representaram mais de 1% do ecossistema npm, sem serem detectados por scanners de segurança automatizados.

Os pacotes, que se disfarçavam como projetos legítimos do Next.js, continham scripts maliciosos inativos que, quando executados manualmente, permitiam a publicação rápida de novos pacotes a cada 7 a 10 segundos. Além disso, a campanha explorou um sistema de recompensa baseado em blockchain, o TEA, para monetizar suas ações, inflacionando artificialmente suas pontuações de impacto no open-source.

Um pacote malicioso chamado “@acitons/artifact” foi descoberto pela Veracode Threat Research, utilizando técnicas de typosquatting para se passar pelo pacote legítimo “@actions/artifact”, que já conta com mais de 206 mil downloads. O ataque visava repositórios pertencentes ao GitHub, com o objetivo de roubar tokens sensíveis do ambiente de construção e potencialmente publicar conteúdo malicioso disfarçado como artefatos legítimos do GitHub.

O pacote malicioso continha seis versões que incluíam um hook pós-instalação projetado para baixar e executar um binário oculto chamado “ci_test_harness” de uma fonte remota. Este binário era tão sutil e ofuscado que conseguiu evitar a detecção por todos os principais motores antivírus no VirusTotal. O script de instalação executava um comando curl que baixava o binário malicioso, alterava suas permissões e o executava dentro do ambiente de CI/CD.

Um grupo de atacantes avançados está explorando vulnerabilidades zero-day não divulgadas em sistemas críticos de empresas, utilizando webshells personalizados para obter acesso administrativo em redes comprometidas. A equipe de inteligência de ameaças da Amazon identificou uma campanha cibernética coordenada que visa o Cisco Identity Service Engine (ISE) e sistemas da Citrix, revelando táticas de um adversário altamente sofisticado. A vulnerabilidade CVE-2025-20337 no Cisco ISE permite a execução remota de código sem autenticação, enquanto a CVE-2025-5777 afeta sistemas Citrix. Após a exploração, os atacantes implantaram um webshell sofisticado disfarçado como um componente legítimo do Cisco ISE, utilizando técnicas avançadas de evasão para evitar a detecção. A operação foi realizada inteiramente na memória, dificultando a coleta de evidências forenses. As organizações devem implementar estratégias de defesa em profundidade e monitorar comportamentos anômalos para se proteger contra essas ameaças.

Em 2025, o Brasil enfrenta um aumento alarmante de ataques digitais, com uma média de 15 incidentes por hora, segundo dados da Check Point Research. O levantamento aponta que, semanalmente, são registrados cerca de 2,6 mil ciberataques a empresas, representando um crescimento de 21% em relação ao ano anterior. Esse cenário se agrava durante períodos sazonais, como a Black Friday e o Natal, quando o comércio eletrônico intensifica suas atividades. Especialistas alertam que, durante essas épocas, as ameaças mais comuns incluem phishing, roubo de credenciais e ransomware, que podem comprometer tanto a operação das empresas quanto a confiança dos consumidores. Para mitigar esses riscos, é essencial que as empresas reforcem suas infraestruturas de segurança, adotando medidas como certificados SSL, autenticação de dois fatores e monitoramento constante de servidores. A proteção dos dados dos consumidores é crucial, especialmente em um ambiente onde fraudes e vazamentos de informações estão em alta. Portanto, a preparação e a vigilância são fundamentais para garantir uma experiência de compra segura durante as promoções de fim de ano.

Nos últimos dez anos, a comunidade de cibercriminosos de língua inglesa conhecida como “The COM” evoluiu de um nicho focado na troca de nomes de usuário raros em redes sociais para uma economia subterrânea ágil que orquestra uma ampla gama de ataques globais. Com a queda de fóruns de alto perfil, como o RaidForums, a COM se adaptou, combinando habilidades de manipulação social com a expertise técnica de hackers focados em vazamentos de dados. As táticas incluem engenharia social, phishing, SIM swapping e recrutamento de insiders, com grupos como Lapsus$, ShinyHunters e Scattered Spider exemplificando essa nova abordagem. A COM opera como uma cadeia de suprimentos profissionalizada, onde papéis especializados colaboram em um modelo modular, facilitando a escalabilidade e inovação. A colaboração entre especialistas de língua inglesa e sindicatos de cibercrime de língua russa intensifica a ameaça, tornando a defesa mais desafiadora. Para se proteger, as organizações devem adotar defesas centradas na identidade, autenticação multifatorial resistente a phishing e monitoramento contínuo de ameaças internas, reconhecendo que a cibercriminalidade é tanto um negócio quanto uma performance, visando não apenas sistemas, mas também pessoas.

Pesquisadores de segurança identificaram um aumento nos ataques de coerção de autenticação que exploram os mecanismos de Chamada de Procedimento Remoto (RPC) do Windows. Esses ataques manipulam o comportamento de autenticação de rede embutido no sistema, permitindo que máquinas enviem credenciais para servidores controlados por atacantes, sem a necessidade de interação do usuário ou privilégios administrativos. Ao abusar de funções RPC menos conhecidas, como MS-DFSNM e MS-EVEN, os atacantes conseguem fazer com que ativos valiosos, como Controladores de Domínio e Servidores de Certificado, se autentiquem em servidores maliciosos. Uma vez autenticados, os atacantes capturam hashes NTLM e realizam ataques de retransmissão para se mover lateralmente na rede. Para se defender contra esses ataques, recomenda-se monitorar rigorosamente o tráfego RPC e implementar técnicas de prevenção, como a assinatura SMB e a proteção estendida para autenticação. A evolução desses ataques representa uma nova ameaça que exige visibilidade aprimorada sobre o comportamento do RPC para evitar a extração de credenciais.

A Polícia Federal (PF) do Brasil requisitou a extradição de oito indivíduos presos no exterior, envolvidos em um ciberataque que resultou no desvio de R$ 813 milhões através do sistema de pagamentos Pix. O ataque, que teve início em julho, foi direcionado à empresa C&M Software, responsável por serviços tecnológicos para instituições financeiras. A operação, denominada Magna Fraus, culminou na prisão de 21 pessoas, sendo que 13 foram detidas no Brasil e 8 no exterior, com a colaboração da Interpol. Os criminosos utilizaram técnicas avançadas para contornar os sistemas de segurança, dificultando o rastreamento das transações fraudulentas. Além das prisões, a PF apreendeu 15 veículos de luxo e bloqueou 26 imóveis, além de encontrar mais de R$ 1 milhão em criptomoedas. As autoridades consideram essa operação um marco no combate ao crime cibernético no Brasil, dada a magnitude do impacto no sistema de pagamentos instantâneos do país.

Os ataques de cadeia de suprimentos habilitados por inteligência artificial (IA) cresceram 156% no último ano, evidenciando a falência das defesas tradicionais. O malware gerado por IA apresenta características inovadoras, como ser polimórfico, consciente do contexto e camuflado semanticamente, o que dificulta sua detecção. Casos reais, como a violação da 3CX que afetou 600 mil empresas, demonstram a gravidade da situação. O tempo médio para identificar uma violação aumentou para 276 dias, e as ferramentas de segurança tradicionais falham em responder a ameaças que se adaptam ativamente. Novas estratégias de defesa estão sendo implementadas, incluindo a segurança ciente de IA e a análise de comportamento. Além disso, a conformidade regulatória, como a Lei de IA da UE, impõe penalidades severas por violações. A situação exige ação imediata das organizações para se protegerem contra essas ameaças emergentes.

O pesquisador de segurança Karl Biron, da Trustwave, lançou a ferramenta MAD-CAT (Meow Attack Data Corruption Automation Tool), uma utilidade baseada em Python que simula ataques destrutivos a bancos de dados, semelhantes aos que devastaram organizações em 2020. Disponível no GitHub, a ferramenta foca em seis plataformas de banco de dados críticas: MongoDB, Elasticsearch, Cassandra, Redis, CouchDB e Hadoop HDFS, que foram as mesmas comprometidas durante a campanha original dos ataques Meow.

A Aurologic GmbH, um provedor de hospedagem alemão, foi identificada como um ponto crítico na infraestrutura global que apoia atividades maliciosas, segundo pesquisa do Insikt Group da Recorded Future. A empresa, que opera a partir do Tornado Datacenter em Langen, Alemanha, fornece serviços de trânsito e data center para várias redes de hospedagem de alto risco, incluindo organizações sancionadas como o Aeza Group. Apesar de se apresentar como um provedor legítimo, cerca de 50% dos prefixos IP da Aeza International são roteados exclusivamente através da Aurologic, evidenciando seu papel na manutenção da infraestrutura sancionada. A Aurologic enfrenta críticas por sua abordagem reativa em relação a abusos, afirmando que tomará medidas apenas após contato formal das autoridades. Essa postura tem permitido a continuidade de operações maliciosas, colocando a empresa em uma posição central no cibercrime organizado. O caso da Aurologic destaca a falta de responsabilidade no ecossistema de hospedagem, onde provedores de upstream frequentemente evitam intervenções proativas, o que pode ter implicações significativas para a segurança cibernética global.

Um recente roubo de joias no Museu do Louvre, onde ladrões disfarçados de trabalhadores da construção roubaram peças avaliadas em cerca de €88 milhões, expôs sérias falhas de segurança cibernética na instituição. Relatórios indicam que a senha do servidor de vigilância do museu era simplesmente ‘LOUVRE’, evidenciando a falta de medidas adequadas de proteção. Uma auditoria realizada em 2017 já havia alertado sobre a possibilidade de um ataque significativo, destacando que menos da metade das salas do museu eram monitoradas por câmeras. Após o roubo, a Agência Nacional de Segurança Cibernética da França (ANSSI) constatou que a rede de escritório do Louvre ainda utilizava sistemas obsoletos, como Windows 2000 e Windows Server 2003, sem proteção antivírus adequada. Embora não esteja claro se essas vulnerabilidades estavam presentes durante o roubo de outubro de 2025, um relatório de 2014 já havia revelado a fragilidade da rede de vigilância. A diretora do museu, Laurence des Cars, admitiu que a falha na detecção dos ladrões se deu pela ineficácia do sistema de câmeras. O governo francês planeja criar um novo departamento de segurança e aumentar a vigilância, especialmente em áreas críticas como a sala da Mona Lisa.

Um novo relatório revela que 94% das empresas do setor de manufatura estão utilizando aplicações de inteligência artificial generativa (genAI), enquanto enfrentam um aumento nas ameaças cibernéticas. A adoção acelerada de IA tem ampliado a superfície de ataque, com organizações compartilhando documentos técnicos sensíveis com plataformas de IA. Embora o uso de contas pessoais de genAI tenha diminuído, a utilização de soluções aprovadas pelas organizações aumentou, refletindo uma maior conscientização sobre os riscos de governança de dados. No entanto, 67% das empresas estão conectadas a APIs que podem ser vulneráveis a compromissos. Os canais de distribuição de malware estão se aproveitando de serviços de nuvem confiáveis, com o Microsoft OneDrive sendo a plataforma mais explorada, seguida pelo GitHub e Google Drive. As empresas estão implementando controles mais rigorosos, mas a mistura de dados corporativos e pessoais continua a representar riscos significativos. Especialistas em cibersegurança recomendam inspeção rigorosa de downloads e políticas robustas de prevenção de perda de dados para mitigar esses riscos.

Um ator de ameaças vinculado à China foi identificado como responsável por um ataque cibernético a uma organização sem fins lucrativos dos Estados Unidos, com o objetivo de estabelecer uma presença persistente na rede. O ataque, que ocorreu em abril de 2025, visou uma entidade envolvida na influência de políticas governamentais dos EUA sobre questões internacionais. Os invasores exploraram várias vulnerabilidades conhecidas, como CVE-2022-26134 (Atlassian) e CVE-2021-44228 (Apache Log4j), para obter acesso à rede. Após semanas de atividade, foram detectados comandos que testavam a conectividade e coletavam informações de configuração de rede. Os atacantes configuraram tarefas agendadas para garantir a persistência, utilizando um binário legítimo da Microsoft para executar um payload desconhecido. Além disso, foram observados componentes maliciosos relacionados a grupos de ameaças chineses conhecidos, como o Salt Typhoon. A análise sugere que os atacantes estavam interessados em comprometer controladores de domínio, o que poderia permitir a propagação do ataque em toda a rede. O relatório destaca a tendência de compartilhamento de ferramentas entre grupos de ameaças chineses, dificultando a atribuição precisa de atividades maliciosas.

O Escritório de Orçamento do Congresso (CBO) dos Estados Unidos foi alvo de um ataque cibernético realizado por um suposto ator de ameaça estrangeiro, resultando na exposição de dados confidenciais. O CBO, que atua como analista financeiro independente do Congresso, teve suas comunicações sensíveis entre os escritórios dos legisladores e a organização de pesquisa não partidária comprometidas. Essa violação levanta preocupações sobre a integridade das análises orçamentárias que influenciam a legislação federal americana. Embora a detecção do ataque tenha sido precoce, há receios de que e-mails internos e registros de chat tenham sido acessados antes da contenção. O incidente já causou interrupções operacionais, levando a vários escritórios do Congresso a suspender a correspondência por e-mail com o CBO, dificultando a análise orçamentária e a pontuação legislativa. O ataque ocorre em um momento de tensões partidárias elevadas, especialmente em relação às projeções de custo do CBO, que foram criticadas por republicanos. A natureza sofisticada do ataque sugere um interesse potencial de atores estatais nas operações do Congresso dos EUA e nas deliberações sobre políticas financeiras.

Em julho de 2025, a empresa de cibersegurança Doctor Web foi acionada por uma organização estatal russa devido a atividades suspeitas de spam originadas de seus e-mails internos. Uma investigação forense revelou que a organização foi alvo de uma campanha de ciberespionagem sofisticada pelo grupo de hackers conhecido como Cavalry Werewolf. Os atacantes utilizaram anexos de phishing com variantes de malware para infiltrar a rede governamental e coletar dados sensíveis, incluindo documentos internos e detalhes de configuração da rede. O malware principal, BackDoor.ShellNET.1, estabeleceu conexões de shell reverso com servidores remotos, permitindo a execução de comandos. Após garantir o acesso, os invasores baixaram cargas adicionais usando ferramentas legítimas do sistema, como BITSADMIN, para escalar a intrusão e estabelecer persistência. A investigação revelou um vasto arsenal de ferramentas utilizadas, incluindo trojans e backdoors que permitiram a execução remota de comandos e movimentação lateral na rede. O grupo Cavalry Werewolf também se destacou pelo uso de comunicação externa e backdoors controlados via Telegram, mantendo acesso prolongado à rede comprometida. A análise mapeou as técnicas utilizadas ao framework MITRE ATT&CK, destacando a gravidade e a complexidade do ataque.

Um recente ataque a uma organização sem fins lucrativos nos Estados Unidos revelou um foco renovado de grupos de hackers alinhados ao Estado chinês em entidades que influenciam a política do governo americano. O ataque, que ocorreu ao longo de várias semanas em abril de 2025, destacou as táticas avançadas utilizadas por esses grupos, como APT41 e Kelp, que empregaram uma variedade de métodos para comprometer servidores vulneráveis. Os hackers utilizaram explorações conhecidas, como a injeção OGNL da Atlassian e a vulnerabilidade Log4j, para identificar e invadir sistemas.

Em um ataque significativo ao ecossistema DeFi, a Check Point Research revelou que contratos do ComposableStablePool da Balancer V2 foram explorados em 3 de novembro de 2025, resultando no roubo de $128,64 milhões em menos de 30 minutos. Os atacantes aproveitaram uma falha sutil de precisão aritmética na lógica de invariantes da pool da Balancer, transformando um erro de arredondamento em uma cadeia de exploração catastrófica que contornou mecanismos de segurança padrão. A vulnerabilidade originou-se na função _upscaleArray, que escalava saldos de tokens durante o cálculo de invariantes. Ao manipular os saldos para a faixa microscópica de 8-9 wei, a lógica de divisão inteira do Solidity causou discrepâncias de arredondamento que poderiam chegar a dez por cento por operação. O ataque foi realizado em uma sequência de 65 operações de batchSwap, amplificando perdas de precisão em uma distorção total do valor D da pool. A análise on-chain vinculou a exploração a um contrato específico, e os atacantes conseguiram acumular ativos roubados dentro da camada de contabilidade do Vault da Balancer. Apesar de múltiplas auditorias, a falha sobreviveu devido ao foco da análise em transações únicas, em vez de desvios aritméticos cumulativos. Este evento destaca a importância da modelagem adversarial e do monitoramento contínuo de invariantes nas bibliotecas matemáticas do DeFi.

O relatório ‘Cybersecurity Forecast 2026’ do Google Cloud destaca uma mudança significativa no cenário de cibersegurança, com a adoção crescente de inteligência artificial (IA) tanto por atacantes quanto por defensores. O documento, que se baseia em análises de especialistas em segurança do Google, prevê que o próximo ano será marcado por uma evolução tecnológica rápida e técnicas de ataque cada vez mais sofisticadas. Um dos principais achados é a normalização do uso de IA por cibercriminosos, que estão integrando essa tecnologia em todos os ciclos de ataque, permitindo campanhas mais rápidas e ágeis. A vulnerabilidade de injeção de prompt, onde atacantes manipulam sistemas de IA para executar comandos ocultos, é uma preocupação crescente. Além disso, a engenharia social habilitada por IA, como campanhas de vishing com clonagem de voz, está se tornando mais comum, dificultando a detecção de ataques de phishing. O relatório também menciona que o ransomware e a extorsão continuarão a ser as categorias mais disruptivas e financeiramente prejudiciais, com foco em provedores terceirizados e vulnerabilidades críticas. A previsão sugere que as equipes de segurança devem se adaptar rapidamente, utilizando metodologias de IA para fortalecer suas defesas e preparar-se para um aumento nas atividades de engenharia social e operações de estados-nação.

Pesquisadores de segurança revelaram uma técnica de ataque sofisticada que utiliza o Microsoft OneDrive para executar código malicioso, contornando defesas de segurança tradicionais. O método, conhecido como DLL sideloading, explora a ordem previsível de busca de bibliotecas dinâmicas do Windows. Quando o OneDrive.exe é iniciado, o sistema operacional procura arquivos necessários, como version.dll, em várias localizações, começando pelo diretório do aplicativo. Os atacantes aproveitam esse comportamento ao inserir uma versão maliciosa do arquivo version.dll no diretório do OneDrive, fazendo com que o aplicativo carregue código controlado pelo invasor em vez das bibliotecas legítimas da Microsoft.