Ataque

Um novo ataque cibernético, denominado GhostAction, comprometeu mais de 3.300 chaves de acesso e credenciais no GitHub, conforme revelado pela empresa de segurança GitGuardian. O ataque, que começou a ser detectado em 2 de setembro de 2025, utiliza uma técnica que insere arquivos maliciosos no fluxo de trabalho do GitHub Actions, permitindo que os hackers leiam e enviem chaves de programação armazenadas em ambientes de projetos para servidores externos. Até o momento, foram identificados 817 repositórios afetados, abrangendo pacotes npm e PyPl, e comprometendo credenciais de serviços como AWS e Cloudflare. A GitGuardian notificou o GitHub e outras plataformas sobre a situação, e recomenda que os usuários afetados revoguem suas credenciais imediatamente para evitar a publicação de versões maliciosas de seus softwares. O ataque é semelhante a um incidente anterior, mas não há evidências de conexão entre eles. A situação destaca a vulnerabilidade da cadeia de abastecimento de software e a necessidade de vigilância constante por parte dos desenvolvedores e empresas que utilizam o GitHub.

O grupo APT DarkSamurai, associado ao Patchwork, tem realizado uma campanha de ataques cibernéticos direcionados a instituições estratégicas no Paquistão. Utilizando arquivos MSC disfarçados como PDFs, os atacantes implantaram trojans de acesso remoto (RATs) para infiltrar redes e exfiltrar dados sensíveis. A operação começa com e-mails de spear-phishing que imitam entidades governamentais, levando as vítimas a abrir um arquivo malicioso que ativa um controle ActiveX. Este controle executa um script JScript que busca um payload JavaScript ofuscado, resultando na instalação de um RAT personalizado. O ataque é caracterizado por técnicas de evasão de detecção, como a polimorfia do script e o uso de tarefas agendadas para manter a persistência. A análise do payload final revelou um RAT chamado Mythic, que se comunica com um servidor de comando e controle usando criptografia AES-256-HMAC. A operação DarkSamurai é, na verdade, uma manobra de falsa bandeira para desviar a atenção das atividades do Patchwork, que tem um histórico de ataques a organizações militares e diplomáticas na Ásia do Sul. Este caso destaca a necessidade de uma investigação rigorosa e atribuição de ameaças para proteger infraestruturas críticas contra espionagem patrocinada por estados.

O Comitê Selecionado da Câmara dos EUA sobre a China emitiu um alerta sobre uma série de campanhas de espionagem cibernética altamente direcionadas, supostamente ligadas à República Popular da China (RPC), em meio a negociações comerciais tensas entre os EUA e a China. As campanhas têm como alvo organizações e indivíduos envolvidos na política comercial e diplomática entre os dois países, incluindo agências governamentais dos EUA, empresas, escritórios de advocacia em Washington e grupos de reflexão. Os atacantes, identificados como APT41, usaram e-mails de phishing se passando pelo congressista republicano John Robert Moolenaar para enganar os destinatários e obter acesso não autorizado a sistemas e informações sensíveis. O objetivo final era roubar dados valiosos, utilizando serviços de software e nuvem para ocultar suas atividades. O ataque mais recente envolveu um e-mail que continha um anexo malicioso que, ao ser aberto, implantava malware para coletar dados sensíveis. O comitê acredita que essas ações são parte de uma operação de espionagem cibernética apoiada pelo estado chinês, visando influenciar as deliberações políticas dos EUA e obter vantagens nas negociações comerciais.

O Departamento do Tesouro dos EUA, através do Escritório de Controle de Ativos Estrangeiros (OFAC), impôs sanções a uma vasta rede de centros de golpes cibernéticos no Sudeste Asiático, que têm fraudado cidadãos americanos em bilhões de dólares. A ação, anunciada pelo Subsecretário John K. Hurley, designou 19 entidades e indivíduos em Mianmar e Camboja, congelando ativos nos EUA e proibindo transações com as partes bloqueadas. Entre os alvos estão operadores em Shwe Kokko, um conhecido centro de fraudes cibernéticas, que opera sob a proteção do Exército Nacional Karen (KNA). Os golpistas utilizam táticas de coerção, como trabalho forçado e abuso físico, para executar fraudes relacionadas a investimentos em criptomoedas. Em Camboja, antigos cassinos foram transformados em centros de golpes, onde trabalhadores traficados realizam fraudes online. Com perdas superiores a 10 bilhões de dólares para os americanos em 2024, um aumento de 66% em relação ao ano anterior, as sanções visam desmantelar as estruturas financeiras que sustentam esses crimes. A partir de agora, pessoas e entidades nos EUA devem bloquear todas as transações com as partes designadas, sob pena de sanções civis e criminais.

Pesquisadores de segurança cibernética identificaram um conjunto de 45 domínios associados a grupos de ameaças ligados à China, como Salt Typhoon e UNC4841, com registros que datam de maio de 2020. A análise, realizada pela Silent Push, revela que esses domínios compartilham infraestrutura com atividades anteriores, incluindo a exploração de uma vulnerabilidade crítica (CVE-2023-2868) em dispositivos Barracuda Email Security Gateway. Salt Typhoon, ativo desde 2019, ganhou notoriedade por atacar provedores de telecomunicações nos EUA e é supostamente operado pelo Ministério da Segurança do Estado da China. A pesquisa também destacou o uso de endereços de e-mail Proton Mail para registrar domínios com informações falsas. A recomendação é que organizações que possam estar em risco de espionagem chinesa verifiquem seus logs DNS dos últimos cinco anos em busca desses domínios e seus subdomínios. O alerta é especialmente relevante considerando a crescente preocupação com a cibersegurança em um cenário global cada vez mais complexo.

Autoridades federais dos Estados Unidos estão investigando um sofisticado ataque de malware que visou partes interessadas nas negociações comerciais entre os EUA e a China. Especialistas em cibersegurança associam a operação aos serviços de inteligência chineses. O ataque foi realizado por meio de um e-mail fraudulento que parecia ser enviado pelo representante John Moolenaar, presidente do Comitê Selecionado da Câmara sobre Competição Estratégica entre os EUA e o Partido Comunista Chinês. A mensagem maliciosa foi distribuída em julho para grupos comerciais, escritórios de advocacia e agências governamentais envolvidos nas discussões bilaterais. A campanha de phishing, atribuída ao grupo APT41, utilizou táticas de engenharia social, solicitando que os destinatários revisassem uma legislação proposta em um anexo. A abertura desse anexo poderia ter implantado malware, permitindo acesso extensivo à rede dos atacantes. A investigação, que envolve o FBI e a Polícia do Capitólio dos EUA, foi desencadeada após questionamentos sobre os e-mails suspeitos. A embaixada chinesa em Washington negou envolvimento, afirmando que a China se opõe a todos os tipos de ciberataques. A investigação continua ativa para determinar se os sistemas ou informações sensíveis foram comprometidos.

Um ataque cibernético conhecido como GhostAction comprometeu 327 usuários do GitHub e 817 repositórios, destacando a sofisticação dos atacantes em manter a infraestrutura maliciosa apenas pelo tempo necessário para coletar credenciais. A análise da GitGuardian revelou que a infraestrutura foi desativada rapidamente após o início das divulgações, indicando um nível profissional de inteligência de ameaças. O ataque não apresentou sobreposição com a recente campanha S1ngularity, sugerindo que diferentes grupos de ameaças estão operando de forma independente. A resposta imediata de organizações e registros de pacotes, como o PyPI, que rapidamente colocou projetos comprometidos em modo somente leitura, ajudou a evitar uma contaminação generalizada da cadeia de suprimentos de software. O incidente ressalta a importância da gestão de segredos em ambientes de CI/CD e a necessidade de monitoramento de segurança aprimorado nos fluxos de trabalho do GitHub Actions. As organizações devem implementar varreduras de segurança abrangentes, rotacionar credenciais comprometidas imediatamente e monitorar modificações não autorizadas nos fluxos de trabalho para prevenir ataques semelhantes.

O artigo aborda a crescente ameaça de fraudes na contratação, onde atacantes se infiltram em empresas disfarçados de funcionários legítimos. O caso de ‘Jordan de Colorado’ ilustra como um novo contratado pode ter um histórico impecável, mas na verdade ser um invasor. Com o aumento do trabalho remoto, as organizações perderam as proteções intuitivas das entrevistas presenciais, permitindo que indivíduos mal-intencionados utilizem identidades falsas, referências forjadas e até deepfakes para obter acesso a sistemas críticos. Um relatório recente revelou que mais de 320 operativos norte-coreanos se infiltraram em empresas como trabalhadores de TI remotos, utilizando perfis gerados por IA e manipulação em tempo real para passar por processos de seleção. O artigo sugere a implementação de um modelo de ‘Zero Standing Privileges’ (ZSP), que limita o acesso a informações e sistemas apenas ao necessário, garantindo que mesmo após a contratação, o acesso seja sempre verificado e controlado. Essa abordagem visa equilibrar segurança e produtividade, evitando que a rigidez das políticas de segurança atrapalhe o fluxo de trabalho.

Os ataques de roubo de contas (Account Takeover - ATO) estão em ascensão, representando uma ameaça significativa no cenário digital atual. Com bilhões de credenciais comprometidas disponíveis no dark web e ferramentas automatizadas que testam milhares de tentativas de login por segundo, cada página de login se torna um alvo potencial. Os atacantes evoluíram suas táticas, utilizando phishing, engenharia social e troca de SIM para contornar autenticações de dois fatores. O artigo destaca cinco soluções eficazes para prevenir ATOs em 2025: Lunar, Telesign, Feedzai, Kount e Sift. Essas plataformas oferecem recursos como monitoramento em tempo real, análise comportamental, autenticação multifatorial e inteligência de risco. A solução Lunar, por exemplo, se destaca por sua ampla cobertura de dados e capacidade de detectar ameaças emergentes rapidamente. A necessidade de soluções robustas contra ATOs é imperativa, especialmente para empresas que não possuem segurança em camadas e detecção de ameaças em tempo real. Com a crescente complexidade dos ataques, as organizações devem adotar medidas proativas para proteger suas credenciais e dados sensíveis.

Um novo conjunto de ataques cibernéticos, denominado Operação BarrelFire, foi atribuído a um grupo de ameaças possivelmente de origem russa, conhecido como Noisy Bear. Os ataques visam especificamente a KazMunaiGas, uma empresa do setor de energia do Cazaquistão, e começaram em abril de 2025. Os atacantes utilizaram e-mails de phishing com documentos falsos que simulavam comunicações internas da empresa, incluindo temas como atualizações de políticas e procedimentos de certificação. O vetor inicial da infecção é um arquivo ZIP que contém um atalho do Windows (LNK) que baixa um script malicioso e um programa chamado ‘KazMunayGaz_Viewer’. O ataque culmina na instalação de um implante DLL que permite o controle remoto do sistema comprometido. Além disso, a infraestrutura dos atacantes está hospedada em um provedor de serviços de hospedagem à prova de balas na Rússia, sancionado pelos EUA. Em paralelo, outras campanhas de ciberespionagem têm sido observadas, incluindo ataques a empresas na Polônia e na Ucrânia, utilizando técnicas semelhantes de engenharia social e malware. Esses incidentes destacam a crescente complexidade e a sofisticação das ameaças cibernéticas na região.

A Bridgestone Americas confirmou um “incidente cibernético limitado” que afetou temporariamente a fabricação em várias instalações na América do Norte. O ataque foi detectado por volta das 2h da manhã, quando a equipe de segurança da empresa notou tráfego de rede incomum e tentativas de acesso não autorizado aos sistemas de controle de produção, especificamente na rede SCADA (Supervisory Control and Data Acquisition). A resposta ao incidente incluiu a segmentação das VLANs afetadas, a ativação de uma equipe de resposta a incidentes e a verificação da integridade dos backups. Embora a produção tenha sido interrompida em locais como as fábricas em Aiken County, Carolina do Sul, e Joliette, Quebec, a empresa garantiu que não houve comprometimento de dados de clientes ou funcionários. A investigação forense está em andamento para identificar o vetor de ataque e as possíveis vulnerabilidades exploradas. A Bridgestone destacou que sua estrutura de cibersegurança, que inclui autenticação multifatorial e monitoramento contínuo, foi crucial para a rápida contenção do incidente. A empresa planeja publicar um relatório pós-incidente para reforçar a confiança entre seus colaboradores e clientes.

Pesquisadores da Amazon identificaram e neutralizaram uma tentativa de invasão ao Microsoft 365, realizada pelo grupo de hackers conhecido como Midnight Blizzard, ou APT29, que é apoiado pelo governo russo. Utilizando uma técnica chamada Oásis, os cibercriminosos replicaram sites que os alvos costumam acessar, facilitando o roubo de senhas e a autorização de dispositivos maliciosos. A investigação revelou que o grupo comprometeu diversos sites legítimos e ocultou códigos maliciosos em codificação base64. Os hackers redirecionaram cerca de 10% dos visitantes de domínios afetados para páginas que imitavam a verificação do Cloudflare, levando os usuários a um fluxo de autenticação falso da Microsoft. Após a descoberta, a Amazon isolou as instâncias EC2 utilizadas pelos criminosos e colaborou com a Cloudflare e a Microsoft para interromper as atividades. A empresa recomenda que os usuários verifiquem autorizações de dispositivos e ativem a autenticação de dois fatores para aumentar a segurança. Embora a campanha não tenha comprometido a infraestrutura da Amazon, a situação destaca a necessidade de vigilância constante contra ataques cibernéticos.

Um ciberataque ocorrido em 29 de agosto de 2025, afetou a Sinqia, empresa responsável por conectar diversos bancos brasileiros ao sistema de pagamentos instantâneos Pix. Os hackers conseguiram desviar aproximadamente R$ 710 milhões, sendo R$ 670 milhões do HSBC e R$ 41 milhões da fintech Artta. O Banco Central do Brasil, ao perceber a tentativa de acesso malicioso, bloqueou R$ 589 milhões, o que representa cerca de 83% do total desviado. A investigação revelou que a invasão foi realizada por meio de credenciais comprometidas de funcionários de TI, evidenciando a vulnerabilidade de senhas estáticas e métodos de proteção inadequados. A Sinqia não poderá retomar suas operações no Pix até que o Banco Central avalie e aprove as novas medidas de segurança implementadas. Este incidente destaca um aumento alarmante no uso de credenciais roubadas, que representaram 16% dos incidentes de invasão em 2024, e um crescimento de 800% no roubo de credenciais na primeira metade de 2025. O ataque ressalta a necessidade urgente de reforçar a segurança cibernética nas instituições financeiras brasileiras.

A Cloudflare, empresa especializada em infraestrutura digital, anunciou a neutralização do maior ataque DDoS da história, que atingiu um pico de 11,5 terabits por segundo (Tbps). O ataque, que durou aproximadamente 35 segundos, foi realizado a partir de uma combinação de fontes, incluindo Google Cloud e dispositivos da Internet das Coisas (IoT), como câmeras de segurança e computadores comprometidos. Este incidente é parte de um aumento alarmante nos ataques DDoS, que cresceram 358% em 2025 em comparação ao ano anterior. A Cloudflare também relatou que mitigou 21,3 milhões de ataques DDoS em 2024, com um aumento significativo de 509% nas tentativas de ataque a nível de rede. O aumento na frequência e na intensidade desses ataques levanta preocupações sobre a segurança digital, especialmente para empresas que dependem de serviços online. O Brasil, em particular, se tornou um dos principais alvos de ataques DDoS na América Latina, o que destaca a necessidade de medidas de segurança robustas para proteger a infraestrutura digital do país.

A Jaguar Land Rover (JLR) anunciou que sofreu um ciberataque em seus sistemas nos dias 30 e 31 de agosto de 2025, resultando na interrupção indefinida da produção e no desligamento de vários sistemas. A empresa, que produz mais de 400 mil veículos anualmente e tem um retorno anual de US$ 38 bilhões, informou que as vendas e a produção foram severamente afetadas, especialmente no Reino Unido. Embora não haja evidências de roubo de dados, a companhia está trabalhando para retomar suas atividades globais. Os primeiros relatos de problemas vieram de vendedores britânicos, que não conseguiam registrar novos carros ou peças. A fábrica de Solihull, responsável pela produção de modelos como o Land Rover Discovery e o Range Rover, foi uma das mais impactadas. O ataque ocorreu durante o final de semana, um período em que as empresas têm menos capacidade de resposta. Até o momento, não foram divulgados detalhes sobre a autoria do ataque nem se algum grupo de ransomware se manifestou. A JLR ainda não informou quando as operações serão normalizadas.

Recentemente, o pacote npm ’nx’, amplamente utilizado para gerenciamento de código, foi alvo de um ataque cibernético que comprometeu a segurança de cerca de 100 mil contas. Os hackers exploraram uma vulnerabilidade na cadeia logística do pacote, permitindo a publicação de versões maliciosas que escaneavam sistemas de arquivos em busca de credenciais. Essas informações eram então enviadas para um repositório no GitHub sob a conta da vítima. O ataque afetou principalmente usuários de sistemas Linux e macOS, e as versões comprometidas foram rapidamente removidas do registro. A vulnerabilidade foi introduzida em um workflow do GitHub em 21 de agosto e, apesar de ter sido revertida, os criminosos conseguiram explorar um branch desatualizado. Pesquisadores de segurança alertam que este é o primeiro incidente conhecido a utilizar assistentes de desenvolvimento com IA, como Claude Code e Google Gemini CLI, para burlar a segurança. Os usuários afetados são aconselhados a alterar suas credenciais e verificar arquivos de configuração em busca de instruções maliciosas.

A Jaguar Land Rover (JLR) enfrentou um ataque cibernético que causou interrupções significativas em suas operações de produção e varejo. A empresa confirmou o incidente em seu site corporativo, informando que tomou medidas imediatas para mitigar os danos, incluindo o desligamento proativo de seus sistemas. O ataque, que ocorreu no último domingo, afetou principalmente duas de suas principais fábricas no Reino Unido, resultando na suspensão das atividades e na orientação para que os funcionários ficassem em casa. Embora a empresa tenha afirmado que não há evidências de roubo de dados de clientes, as operações de varejo e produção foram severamente impactadas. A Tata Motors, controladora da JLR, descreveu o evento como um ‘incidente de segurança de TI’ que está causando problemas globais. Até o momento, nenhum grupo assumiu a responsabilidade pelo ataque, e a natureza exata do mesmo permanece incerta, embora a possibilidade de ransomware ou roubo de dados seja considerada. A Agência Nacional do Crime do Reino Unido está colaborando com a JLR para entender melhor o impacto do incidente.

O BruteForceAI é uma nova ferramenta de teste de penetração que utiliza Modelos de Linguagem de Grande Escala (LLMs) para automatizar e otimizar ataques de força bruta em páginas de login. Desenvolvido pelo pesquisador de cibersegurança Mor David, o BruteForceAI apresenta um fluxo de trabalho de ataque em duas etapas: a primeira envolve uma análise inteligente do formulário de login, onde um LLM identifica elementos como nome de usuário e senha, reduzindo a necessidade de configuração manual. A segunda etapa executa ataques de alta velocidade, utilizando modos como força bruta clássica e Password Spray, que aplica uma única senha a múltiplos usuários.

No dia 3 de setembro de 2025, a Cloudflare anunciou que conseguiu mitigar um ataque DDoS volumétrico recorde, que atingiu picos de 11,5 terabits por segundo (Tbps). O ataque, que durou apenas 35 segundos, foi classificado como um ‘flood’ UDP e teve origem principalmente na Google Cloud. A empresa destacou que, nas semanas anteriores, bloqueou centenas de ataques DDoS de alta volumetria, com o maior deles alcançando 5,1 Bpps. Os ataques volumétricos têm como objetivo sobrecarregar um servidor com um grande volume de tráfego, resultando em lentidão ou falhas no serviço. Além disso, esses ataques podem servir como uma cortina de fumaça para ataques mais sofisticados, permitindo que os invasores explorem vulnerabilidades e acessem dados sensíveis. A Cloudflare já havia reportado um ataque DDoS de 7,3 Tbps em maio de 2025, e a quantidade de ataques DDoS hiper-volumétricos aumentou significativamente no segundo trimestre de 2025. O artigo também menciona a operação de desmantelamento de uma botnet chamada RapperBot, que visava dispositivos IoT, como gravadores de vídeo em rede (NVRs), para realizar ataques DDoS. Essa situação ressalta a necessidade de vigilância constante e atualização das defesas de segurança em um cenário de ameaças em evolução.

Um ataque DDoS volumétrico sem precedentes, atingindo 11,5 terabits por segundo (Tbps), foi detectado e neutralizado pela Cloudflare em 1º de setembro de 2025. O ataque, que durou apenas 35 segundos, originou-se principalmente de recursos comprometidos na Google Cloud Platform, utilizando o protocolo UDP para inundar servidores-alvo com pacotes, esgotando sua largura de banda e recursos. A Cloudflare conseguiu mitigar o ataque rapidamente por meio de seu sistema automatizado de defesa, que combina detecção de anomalias baseada em aprendizado de máquina com filtragem de pacotes. Este incidente destaca a crescente tendência de adversários que exploram recursos de nuvem pública para criar botnets capazes de gerar tráfego em larga escala. A empresa planeja publicar uma análise técnica detalhada para ajudar a comunidade de cibersegurança a desenvolver defesas mais robustas contra essas ameaças. À medida que as táticas de DDoS evoluem, ataques hipervolumétricos representam um risco significativo para serviços online e infraestrutura crítica.

Pesquisadores de cibersegurança identificaram uma rede de IPs ucranianos envolvida em campanhas massivas de força bruta e ‘password spraying’ direcionadas a dispositivos SSL VPN e RDP entre junho e julho de 2025. A atividade se originou de um sistema autônomo baseado na Ucrânia, o FDN3 (AS211736), que faz parte de uma infraestrutura abusiva mais ampla, incluindo outras redes ucranianas e um sistema baseado nas Seychelles. Essas redes, alocadas em agosto de 2021, frequentemente trocam prefixos IPv4 para evitar bloqueios e continuar suas atividades maliciosas. Os ataques, que atingiram um pico recorde entre 6 e 8 de julho de 2025, são utilizados por grupos de ransomware como vetor inicial para invadir redes corporativas. A análise também revelou conexões com provedores de hospedagem ‘bulletproof’, que oferecem anonimato e facilitam a continuidade das atividades maliciosas. A situação é preocupante, pois destaca a vulnerabilidade de tecnologias amplamente utilizadas, como VPNs e RDPs, que são alvos frequentes de ataques cibernéticos.

Entre junho e julho de 2025, uma campanha coordenada de ataques de força bruta e password-spraying visou dispositivos SSL VPN e RDP em todo o mundo, com foco em sistemas interconectados registrados na Ucrânia e nas Seychelles. Analistas de segurança identificaram a atividade como sendo atribuída ao FDN3 (AS211736), controlado por Dmytro Nedilskyi, que realizou centenas de milhares de tentativas de login em um curto período. Os ataques utilizaram listas de credenciais conhecidas e visaram portas RDP e SSL VPN, com uma taxa de tentativas de 5.000 a 10.000 por hora. A infraestrutura dos atacantes é altamente evasiva, utilizando trocas de prefixos para evitar bloqueios e manter a pressão sobre os alvos. As organizações são aconselhadas a adotar estratégias proativas de detecção e resposta, utilizando serviços de inteligência de ameaças para mitigar esses ataques antes que ocorram. A situação representa um risco significativo para empresas que utilizam essas tecnologias, especialmente em um cenário onde a proteção de dados é crucial.

Na madrugada de 29 de agosto de 2025, a Sinqia, empresa brasileira de software financeiro, sofreu um ataque cibernético que comprometeu a infraestrutura do sistema de pagamentos Pix. Os hackers desviaram R$ 420 milhões, sendo R$ 380 milhões do HSBC e R$ 40 milhões da sociedade de crédito Artta. Apesar da gravidade do incidente, R$ 350 milhões foram recuperados. O ataque ocorreu em um contexto de alerta do Banco Central sobre movimentações suspeitas com criptoativos, sugerindo uma preparação para ações maliciosas. A Sinqia isolou o ambiente do Pix e desconectou-o do Banco Central para realizar uma análise interna, garantindo que nenhum dado pessoal foi comprometido e que outros sistemas da empresa não foram afetados. O HSBC também confirmou que as contas dos clientes não foram impactadas, pois as transações ocorreram diretamente no sistema da Sinqia. A empresa está reconstruindo os sistemas afetados, que passarão por revisão antes de serem reativados.

A Salesforce lançou um guia de investigação forense em resposta a uma série de ataques cibernéticos, enfatizando a importância de as organizações que utilizam sua plataforma estarem preparadas para investigar e remediar incidentes de segurança rapidamente. O guia sugere a combinação de logs de atividade, análise de permissões e dados de backup para reconstruir eventos, avaliar impactos e fortalecer a resiliência contra ameaças futuras. Para uma análise forense mais profunda, recomenda-se habilitar o Shield Event Monitoring, que oferece três fontes de log distintas: Real Time Event Monitoring (RTEM), Event Log Objects (ELO) e Event Log Files (ELF). A análise inicial do impacto deve considerar o acesso e as permissões dos usuários comprometidos, utilizando ferramentas como o Who Sees What (WsW) Explorer. Além disso, a automação de respostas em tempo real através de Transaction Security Policies (TSP) é sugerida para bloquear ameaças imediatamente. O guia destaca a importância de monitorar continuamente as permissões e os logs para reduzir o tempo de permanência de incidentes e minimizar a perda de dados, garantindo a recuperação rápida de ambientes críticos da Salesforce.

À medida que as empresas transferem suas operações para navegadores, os desafios de segurança cibernética aumentam. Um estudo recente revela que mais de 80% dos incidentes de segurança têm origem em aplicações web acessadas por navegadores como Chrome, Edge e Firefox. O grupo de hackers conhecido como Scattered Spider, também chamado de UNC3944, tem se destacado por sua abordagem focada em roubar dados sensíveis diretamente dos navegadores. Suas táticas incluem a exploração de credenciais salvas, manipulação do ambiente do navegador e uso de técnicas avançadas como injeção de JavaScript e extensões maliciosas. Para combater essas ameaças, os CISOs devem adotar uma estratégia de segurança em múltiplas camadas, que inclui proteção contra roubo de credenciais, governança de extensões e monitoramento de atividades no navegador. O artigo serve como um alerta para que os líderes de segurança elevem a segurança do navegador a um pilar central de defesa, considerando a crescente sofisticação dos ataques cibernéticos.

O uso crescente de ferramentas de inteligência artificial (IA) está transformando o desenvolvimento de aplicativos, mas também facilitando ataques cibernéticos mais sofisticados. Com a previsão de que, até 2028, 90% dos engenheiros de software utilizarão assistentes de código baseados em IA, a velocidade de produção de aplicativos está aumentando. No entanto, essa mesma tecnologia está sendo explorada por cibercriminosos, que agora podem reverter engenharia e analisar aplicativos com facilidade. O relatório de 2025 da Digital.ai revela que 83% dos aplicativos foram atacados em janeiro de 2025, destacando a vulnerabilidade das aplicações, especialmente as móveis, que são frequentemente menos monitoradas. Além disso, novas técnicas de ataque, como o uso de modelos de linguagem para criar malware, estão tornando a detecção de ameaças mais difícil. Para mitigar esses riscos, as empresas devem integrar a segurança diretamente no processo de desenvolvimento, utilizando controles como RASP e criptografia avançada. A proteção de aplicativos em produção é essencial, pois cada aplicativo representa uma superfície de ataque que pode ser explorada. A segurança moderna não é apenas uma necessidade, mas uma prioridade para garantir a inovação sem comprometer a proteção.

A equipe de inteligência de ameaças da Amazon interrompeu recentemente uma campanha sofisticada de watering hole orquestrada pelo grupo de hackers APT29, vinculado ao estado russo e conhecido como Midnight Blizzard. Utilizando sites comprometidos e explorando o fluxo de autenticação de código de dispositivo da Microsoft, a campanha visava coletar credenciais e expandir os esforços de coleta de inteligência global do grupo.

A nova tática do APT29 envolve a injeção de JavaScript ofuscado em sites legítimos, redirecionando cerca de 10% dos visitantes para domínios maliciosos que imitavam páginas de verificação da Cloudflare. A análise técnica revelou truques avançados de evasão, como redirecionamento de apenas uma fração do tráfego e uso de cookies para bloquear redirecionamentos repetidos.

Recentemente, bancos europeus, especialmente na Alemanha, congelaram bilhões de euros em transações do PayPal devido a uma falha no sistema de detecção de fraudes da plataforma. O problema surgiu quando o PayPal enviou uma quantidade significativa de débitos diretos aos bancos sem passar pelos devidos filtros de segurança, resultando em um aumento suspeito de transações que foram rapidamente sinalizadas pelos sistemas bancários. Instituições como Bayerische Landesbank e DZ-Bank interromperam temporariamente todas as atividades relacionadas ao PayPal, afetando comerciantes que enfrentaram atrasos nos pagamentos, mesmo com os clientes mantendo seus fundos. O total de valores envolvidos pode ultrapassar €10 bilhões. O PayPal confirmou a interrupção, alegando que o problema foi resolvido rapidamente, mas a situação destaca os riscos associados a falhas em sistemas que lidam com uma parte significativa do comércio online. Além disso, a recente associação do PayPal com o vazamento de milhões de dados de contas na dark web levanta preocupações sobre a segurança das contas online dos usuários.

Uma operação de espionagem cibernética sofisticada, conhecida como Operação HanKook Phantom, expôs usuários do Windows na Ásia e no Oriente Médio a uma ameaça avançada que utiliza PDFs e arquivos de atalho do Windows (LNK) como principais vetores de infecção. A campanha, descoberta por pesquisadores do Seqrite Lab, está ligada ao grupo patrocinado pelo Estado norte-coreano APT-37, famoso por ataques de spear-phishing. Os alvos incluem organizações governamentais, de defesa e acadêmicas, que recebem arquivos que aparentam ser boletins informativos legítimos, mas que contêm arquivos LNK maliciosos. Quando executados, esses arquivos não apenas abrem documentos, mas também extraem e executam cargas úteis maliciosas através do PowerShell. A operação se destaca pelo uso inovador de serviços de nuvem populares para comunicação de comando e controle, disfarçando o tráfego de exfiltração de dados como uploads normais de PDF. Essa abordagem minimiza a detecção por antivírus tradicionais e destaca a necessidade de monitoramento avançado por parte das organizações, especialmente em relação à atividade de arquivos LNK e tráfego anômalo em serviços de nuvem.

Em uma ação coordenada, o Escritório do Procurador dos EUA para o Distrito do Novo México e o FBI anunciaram a apreensão de plataformas online que forneciam documentos de identidade falsificados para criminosos cibernéticos em todo o mundo. A operação desmantelou o ‘VerifTools’, um mercado ilícito que produzia e distribuía carteiras de motorista, passaportes e outros documentos de identificação falsos, projetados para contornar sistemas de verificação e facilitar acessos não autorizados a contas. A investigação, iniciada em agosto de 2022, revelou uma rede global de contrabando que oferecia documentos falsificados de alta qualidade para todos os 50 estados dos EUA e várias nações estrangeiras, com preços a partir de nove dólares por documento, transacionados exclusivamente em criptomoedas para evitar a fiscalização bancária. A análise de registros de blockchain relacionados a essas transações levou os investigadores a rastrear aproximadamente 6,4 milhões de dólares em lucros ilícitos. A operação destaca a importância da colaboração internacional e interagências para combater o crime cibernético, com implicações significativas para a segurança pública e a proteção contra fraudes e roubo de identidade.

Em 26 de agosto de 2025, o popular ferramenta de construção Nx foi alvo de um ataque sofisticado de cadeia de suprimentos, resultando na exfiltração de milhares de credenciais de desenvolvedores. Pesquisadores de segurança da GitGuardian identificaram a campanha maliciosa, chamada ‘s1ngularity’, que infectou pacotes Nx no npm com malware projetado para roubar credenciais. Em poucos dias, os atacantes conseguiram coletar mais de 2.300 segredos, incluindo tokens do GitHub, chaves de autenticação do npm e credenciais da AWS.

Profissionais de TI da Coreia do Norte estão utilizando plataformas globais de compartilhamento de código, como GitHub e Freelancer, para conseguir empregos remotos. Investigações revelaram a existência de pelo menos cinquenta perfis ativos no GitHub, com contribuições em tecnologias como React JS e Node JS. Esses trabalhadores adotam estratégias sofisticadas para ocultar suas identidades, utilizando identidades falsas e imagens geradas por IA. Além disso, eles participam ativamente de fóruns de desenvolvedores e mercados de freelancers, alinhando suas habilidades com as tendências globais de contratação. O impacto econômico dessas operações é significativo, com estimativas de que esses trabalhadores gerem entre 250 e 600 milhões de dólares anualmente, frequentemente direcionados para iniciativas estatais sancionadas. A interconexão com redes na Rússia e na China complica ainda mais a rastreabilidade dessas atividades. As autoridades de cibersegurança estão em alerta, dado o envolvimento de operativos norte-coreanos em crimes graves, incluindo lavagem de dinheiro e ataques cibernéticos de grande escala.

Uma nova campanha de ataque, investigada pela unidade de Contra-Ameaças da Sophos, revela como cibercriminosos estão mudando suas táticas ao usar ferramentas de segurança legítimas como armas ofensivas. Neste caso, os atacantes utilizaram a ferramenta de resposta a incidentes Velociraptor, normalmente empregada por defensores, para estabelecer acesso remoto e facilitar compromissos adicionais. O ataque começou com o uso do utilitário msiexec do Windows, que baixou um instalador malicioso. Após a instalação do Velociraptor, os atacantes executaram um comando PowerShell codificado para buscar o Visual Studio Code, utilizando sua capacidade de tunelamento para criar um canal covert para seu servidor de comando e controle. A utilização inesperada do tunelamento do Visual Studio Code acionou um alerta da Taegis™, permitindo que analistas da Sophos isolassem rapidamente o host afetado, prevenindo uma possível implementação de ransomware. A análise revelou que os atacantes já haviam preparado o terreno para fases posteriores da operação, que poderiam incluir criptografia de dados e extorsão. Este incidente destaca a crescente vulnerabilidade de softwares confiáveis à manipulação, exigindo que os defensores tratem o uso anômalo de ferramentas como Velociraptor como indicadores sérios de comprometimento.

Os mantenedores do sistema de construção nx alertaram os usuários sobre um ataque à cadeia de suprimentos que permitiu a publicação de versões maliciosas de pacotes npm populares, incluindo o nx e plugins auxiliares. Essas versões continham código que escaneava o sistema de arquivos, coletava credenciais e as enviava para repositórios no GitHub sob as contas dos usuários. O ataque ocorreu devido a uma vulnerabilidade introduzida em um fluxo de trabalho em 21 de agosto de 2025, que permitiu a execução de código malicioso através de um pull request. Embora a vulnerabilidade tenha sido revertida rapidamente, um ator malicioso conseguiu explorar uma branch desatualizada. As versões comprometidas foram removidas do registro npm, mas os usuários são aconselhados a rotacionar suas credenciais e tokens do GitHub e npm, além de verificar arquivos de configuração do sistema para instruções suspeitas. O ataque destaca a crescente sofisticação dos ataques à cadeia de suprimentos, especialmente com o uso de assistentes de IA para exploração maliciosa.

O grupo de ameaças persistentes avançadas (APT) conhecido como Salt Typhoon, vinculado à China, tem intensificado seus ataques a redes em todo o mundo, incluindo setores críticos como telecomunicações, governo, transporte, hospedagem e infraestrutura militar. Segundo um alerta conjunto de autoridades de 13 países, o grupo tem como alvo roteadores de grandes provedores de telecomunicações, utilizando dispositivos comprometidos para acessar outras redes. As atividades maliciosas estão associadas a três empresas chinesas que fornecem produtos e serviços cibernéticos para os serviços de inteligência da China. Desde 2019, o Salt Typhoon tem se envolvido em uma campanha de espionagem, visando violar normas de privacidade e segurança global. Recentemente, o grupo ampliou seu foco para outros setores, atacando mais de 600 organizações em 80 países, incluindo 200 nos Estados Unidos. Os atacantes exploram vulnerabilidades em dispositivos de rede, como roteadores da Cisco e Ivanti, para obter acesso inicial e manter controle persistente sobre as redes. O uso de protocolos de autenticação, como TACACS+, permite que os invasores se movam lateralmente dentro das redes comprometidas, capturando dados sensíveis e credenciais. A familiaridade do grupo com sistemas de telecomunicações proporciona uma vantagem significativa na evasão de defesas.

Em agosto de 2025, a NSA, CISA e FBI, em conjunto com parceiros internacionais, emitiram um alerta sobre uma campanha de comprometimento de redes patrocinada pelo Estado Chinês, envolvendo atores de Ameaça Persistente Avançada (APT). O guia detalha as táticas, técnicas e procedimentos (TTPs) utilizados para infiltrar redes de telecomunicações, governo, transporte e hospedagem em todo o mundo. Os atacantes exploram vulnerabilidades conhecidas, especialmente em roteadores e dispositivos de borda, utilizando exploits de alta gravidade, como os CVEs que afetam fornecedores como Cisco e Palo Alto Networks. Após a invasão, os atacantes alteram configurações de dispositivos para manter acesso persistente e evitar detecção. O guia recomenda ações como auditoria de tabelas de roteamento, monitoramento de portas de gerenciamento não padrão e isolamento do plano de gerenciamento. A importância da caça a ameaças e resposta rápida a incidentes é enfatizada, com um apelo para que as organizações relatem detalhes de compromissos para melhorar a compreensão coletiva e facilitar a mitigação.

A empresa de cibersegurança GreyNoise alertou sobre um ataque hacker em larga escala direcionado ao Microsoft Remote Desktop Web Access e ao RDP Web Client. O número de acessos aos portais de autenticação aumentou drasticamente, passando de uma média de 3 a 5 acessos diários para mais de 56 mil acessos simultâneos, com a maioria dos IPs originando-se do Brasil e os alvos localizados nos Estados Unidos. Essa atividade anômala sugere a utilização de uma botnet ou ferramentas de ataque coordenadas. A GreyNoise identificou que 92% dos IPs envolvidos já haviam sido sinalizados como maliciosos anteriormente. O ataque parece explorar falhas de tempo, onde variações no tempo de resposta do sistema podem revelar informações sobre a validade de logins. O aumento da atividade coincide com o retorno às aulas nos EUA, quando muitos novos usuários são criados, facilitando a adivinhação de credenciais. A recomendação para as empresas é implementar autenticação de dois fatores (2FA) e utilizar VPNs para proteger o acesso remoto.

Um dispositivo de hacking chamado Flipper Zero, que custa cerca de US$ 199, está sendo utilizado por ladrões para desbloquear veículos remotamente. Segundo um relatório da 404 Media, hackers subterrâneos desenvolveram e estão vendendo patches de software que podem ser carregados no Flipper Zero para desbloquear diversos modelos de carros, incluindo marcas renomadas como Ford, Audi e Kia. O Flipper Zero é descrito como uma ‘ferramenta multifuncional para geeks’, capaz de explorar sistemas de controle de acesso e protocolos de rádio. O método de ataque é semelhante ao usado por um grupo conhecido como ‘Kia Boys’, que utiliza cabos USB para roubar Kias. Os patches atualmente permitem apenas abrir os veículos, mas especialistas alertam que em breve poderão ser desenvolvidos para contornar sistemas de segurança e permitir que os ladrões iniciem e dirijam os carros. Apesar dos esforços das montadoras para implementar correções de segurança, a rápida evolução das técnicas de hacking torna difícil para elas se manterem à frente dos criminosos. A situação é preocupante, especialmente para os proprietários de Kia e Hyundai, que já foram alertados sobre a necessidade de instalar dispositivos de segurança adicionais.

Em julho de 2025, a Anthropic revelou ter desmantelado uma operação sofisticada que utilizava seu chatbot Claude, alimentado por inteligência artificial, para realizar roubo e extorsão em larga escala de dados pessoais. O ataque visou pelo menos 17 organizações, incluindo instituições de saúde, serviços de emergência e órgãos governamentais, com os criminosos ameaçando expor publicamente as informações roubadas para forçar o pagamento de resgates que ultrapassavam $500.000. Utilizando o Claude Code em uma plataforma Kali Linux, o ator desconhecido automatizou várias fases do ciclo de ataque, desde a coleta de credenciais até a penetração de redes. O uso de IA permitiu que o atacante tomasse decisões táticas e estratégicas, selecionando quais dados exfiltrar e elaborando demandas de extorsão personalizadas com base em análises financeiras. A Anthropic desenvolveu um classificador personalizado para detectar comportamentos semelhantes e compartilhou indicadores técnicos com parceiros estratégicos. O caso destaca como ferramentas de IA estão sendo mal utilizadas para facilitar operações cibernéticas complexas, tornando a defesa mais desafiadora.

O cenário de ataques DDoS (Distributed Denial of Service) evoluiu drasticamente, com mais de oito milhões de incidentes registrados globalmente na primeira metade de 2025, segundo pesquisa da NetScout. Esses ataques, que antes eram considerados anomalias raras, agora ocorrem em uma escala quase rotineira, com picos de até 3,12 Tbps na Holanda e 1,5 Gbps nos Estados Unidos. A crescente automação e o uso de botnets, que frequentemente exploram dispositivos comprometidos, como roteadores e dispositivos IoT, têm facilitado a execução desses ataques. A pesquisa destaca que disputas políticas, como as entre Índia e Paquistão e entre Irã e Israel, têm sido catalisadores significativos para essas campanhas de agressão digital. O grupo hacktivista NoName057(16) se destaca, realizando mais de 475 ataques em março de 2025, principalmente contra portais governamentais. A utilização de modelos de linguagem de IA por atacantes tem reduzido as barreiras para novos invasores, permitindo ataques de alta capacidade com conhecimento técnico mínimo. A situação exige que as organizações reavaliem suas defesas tradicionais, que já não são suficientes diante da evolução das táticas de ataque.

Hackers chineses, conhecidos como Murky Panda, estão utilizando a confiança que as empresas depositam em seus provedores de nuvem para realizar ataques cibernéticos. Desde 2023, a Crowdstrike identificou pelo menos dois casos em que esses hackers exploraram falhas zero-day para invadir ambientes de provedores de SaaS. Após a invasão, eles analisam a lógica do ambiente de nuvem da vítima, permitindo que se movam lateralmente para clientes downstream. Essa abordagem representa um ataque cibernético de terceiros por meio de um serviço baseado em nuvem, sendo menos monitorada em comparação com vetores de acesso mais comuns, como contas de nuvem válidas. Os alvos principais incluem setores como governo, tecnologia e serviços profissionais, principalmente na América do Norte. Os hackers têm utilizado vulnerabilidades conhecidas, como a CVE-2023-3519, que afeta instâncias do Citrix NetScaler, além de comprometer dispositivos de pequenas empresas. O foco principal parece ser a espionagem cibernética e a coleta de inteligência.

O grupo de ameaças ligado à China, Mustang Panda, tem se destacado como uma sofisticada organização de espionagem, visando governos, ONGs e think tanks nos EUA, Europa e Ásia. Desde sua identificação pública em 2017, suas operações, que provavelmente começaram em 2014, têm se concentrado na coleta de inteligência. As campanhas de spear-phishing do grupo utilizam narrativas geopolíticas e documentos em língua local como iscas para disseminar malware avançado, como PlugX e Poison Ivy. Em uma operação conjunta em 2025, autoridades dos EUA e da França neutralizaram variantes do PlugX que estavam sendo espalhadas por drives USB infectados, afetando mais de 4.200 dispositivos globalmente.

Em março de 2025, o Google Threat Intelligence Group (GTIG) revelou uma campanha de espionagem cibernética sofisticada atribuída ao grupo de hackers UNC6384, vinculado à República Popular da China (RPC). O foco principal da campanha foram diplomatas e setores governamentais no Sudeste Asiático, mas também afetou organizações globais. Os hackers exploraram uma funcionalidade legítima dos navegadores para detectar portais cativos, utilizando ataques do tipo adversário-no-meio (AitM) em dispositivos comprometidos. Isso permitiu que os atacantes redirecionassem os usuários para uma infraestrutura controlada por eles, onde eram apresentados a uma página de atualização falsa que disfarçava um instalador de malware como uma atualização de plugin do Adobe. O malware, denominado STATICPLUGIN, foi entregue como um instalador assinado digitalmente, levantando questões sobre a origem do certificado utilizado. Após a execução, o STATICPLUGIN baixou um pacote MSI que continha um backdoor chamado SOGU.SEC, permitindo que os hackers exfiltrassem arquivos e executassem comandos remotamente. O GTIG destacou que as táticas de UNC6384 refletem uma tendência mais ampla da RPC em usar malware assinado digitalmente e técnicas de engenharia social para espionagem estratégica. O Google já tomou medidas para bloquear domínios maliciosos e revogar certificados abusados, alertando usuários afetados. A situação destaca a necessidade de uma vigilância constante e de uma reavaliação das práticas de segurança em relação a certificados digitais.

No dia 21 de agosto de 2025, a GreyNoise Intelligence registrou um aumento sem precedentes na atividade de reconhecimento do Protocolo de Área de Trabalho Remota (RDP), com 1.971 endereços IP únicos realizando varreduras simultâneas nos portais de autenticação do Microsoft RD Web Access e do Microsoft RDP Web Client. A maioria desses IPs (1.851) compartilhava a mesma assinatura de cliente, indicando uma campanha coordenada para descobrir nomes de usuários válidos antes de tentativas de invasão baseadas em credenciais. Aproximadamente 92% dos IPs já haviam sido identificados como maliciosos, com 73% da atividade originando-se do Brasil, tendo os Estados Unidos como alvo. A GreyNoise também identificou uma onda subsequente de escaneamento que ultrapassou 30.000 IPs, sinalizando uma escalada dramática na intenção dos atacantes de mapear endpoints RDP expostos. Este aumento de atividade ocorre em um período crítico, quando instituições educacionais estão online, o que torna a exploração de esquemas de nomes de usuário previsíveis uma preocupação significativa. Organizações com portais RDP expostos devem revisar e reforçar seus fluxos de autenticação, implementando autenticação multifator e monitorando anomalias.

Davis Lu, um hacker chinês de 55 anos, foi condenado a 48 meses de prisão por sabotagem deliberada na rede de computadores de sua antiga empregadora, uma corporação global com sede em Beachwood, Ohio. O juiz distrital dos EUA, Pamela A. Barker, proferiu a sentença em 21 de agosto de 2025, após um veredicto de culpabilidade em março. Lu, que trabalhou como desenvolvedor de software na empresa desde 2007, começou a criar códigos destrutivos após perder privilégios e responsabilidades em 2018. Entre suas ações, ele implementou loops infinitos para travar servidores, scripts para deletar perfis de colegas e um ‘kill switch’ que bloqueava todos os usuários caso sua conta fosse removida. Quando Lu foi demitido em setembro de 2019, o ‘kill switch’ foi ativado, causando interrupções significativas para milhares de usuários globalmente. O FBI destacou a importância da detecção precoce de ameaças internas e a responsabilidade dos cibercriminosos, enfatizando que ações como as de Lu não ficarão impunes.

Desde 20 de agosto de 2025, usuários do Arch Linux têm enfrentado degradação de serviços devido a um ataque de negação de serviço (DDoS) que afetou o site principal, o Arch User Repository (AUR) e os fóruns da comunidade. O ataque resultou em dificuldades de conectividade, com resets iniciais de TCP SYN, embora algumas conexões consigam ser estabelecidas. A equipe de DevOps, composta por voluntários, está trabalhando em conjunto com o provedor de hospedagem para mitigar os efeitos do ataque e está avaliando opções de proteção DDoS a longo prazo. Durante a interrupção, alternativas e espelhos estão disponíveis para que os usuários possam acessar os serviços. A equipe também está preservando logs e dados forenses para uma divulgação pública futura. Atualizações regulares sobre o status da recuperação serão publicadas no site oficial do Arch Linux.

O grupo de ameaças persistentes avançadas (APT) conhecido como Transparent Tribe, também chamado de APT36, tem direcionado ataques a sistemas Windows e Linux BOSS (Bharat Operating System Solutions) de entidades governamentais indianas. Os ataques são iniciados por meio de e-mails de spear-phishing que contêm arquivos de atalho de desktop maliciosos. Esses arquivos, disfarçados como documentos PDF, ao serem abertos, baixam e executam cargas maliciosas. O malware, que se comunica com um servidor de comando e controle, permite acesso remoto e coleta de dados. Além disso, o malware estabelece persistência através de um cron job, garantindo que a carga maliciosa seja executada automaticamente após reinicializações do sistema. A campanha também visa roubar credenciais e códigos de autenticação de dois fatores (2FA) de usuários, utilizando páginas falsas que imitam comunicações oficiais. A sofisticação do grupo, que adapta suas táticas conforme o ambiente da vítima, aumenta suas chances de sucesso e a dificuldade de detecção por controles de segurança tradicionais. Os ataques recentes têm como alvo organizações de defesa e entidades governamentais, utilizando domínios falsificados para enganar os usuários.

Recentemente, a China experimentou uma interrupção em sua conexão com a internet global, que durou 74 minutos, afetando especificamente o tráfego no TCP port 443, utilizado para HTTPS. O incidente ocorreu entre 00:34 e 01:48, horário de Pequim, quando a maioria dos cidadãos estava dormindo, levantando questões sobre se foi um erro ou uma ação intencional. Durante a interrupção, o Grande Firewall da China bloqueou o acesso a sites externos e interrompeu serviços de empresas como Apple e Tesla. Curiosamente, apenas o port 443 foi afetado, enquanto outros, como 22 (SSH) e 80 (HTTP), permaneceram operacionais. A análise sugere que o dispositivo responsável pela interrupção não correspondia aos equipamentos conhecidos do Grande Firewall, o que pode indicar um novo dispositivo de censura ou uma configuração incorreta. Além disso, não houve eventos políticos significativos que pudessem justificar a ação, tornando a situação ainda mais enigmática. Coincidentemente, horas antes, o Paquistão também enfrentou uma queda significativa no tráfego da internet, o que pode indicar uma possível conexão entre os dois eventos, dado o histórico de censura em ambos os países.

Uma nova campanha de ciberataques foi identificada pela empresa de cibersegurança Darktrace, onde hackers utilizaram a infraestrutura de Servidores Privados Virtuais (VPS) para comprometer contas de Software como Serviço (SaaS) em diversos ambientes de clientes. A investigação, realizada em maio de 2025, revelou que os atacantes se aproveitaram de provedores de VPS, como Hyonix e Host Universal, para contornar controles de segurança tradicionais e manter acesso persistente a contas de e-mail comprometidas.

O grupo de ciberespionagem MURKY PANDA, vinculado à China, tem intensificado suas atividades de ataque, focando em setores governamentais, tecnológicos, acadêmicos e de serviços profissionais na América do Norte desde o final de 2024. Este adversário sofisticado demonstrou habilidades avançadas em exploração de ambientes em nuvem e na rápida utilização de vulnerabilidades conhecidas e zero-day, como a CVE-2023-3519, que afeta sistemas Citrix NetScaler, e a CVE-2025-3928, recentemente divulgada.

MURKY PANDA utiliza técnicas de exploração avançadas e um arsenal de malware personalizado, incluindo o CloudedHope, um executável desenvolvido em Golang que visa sistemas Linux. O malware possui medidas anti-análise e foi ofuscado para evitar detecções. O grupo também se destaca por comprometer relacionamentos de confiança em ambientes de nuvem, explorando vulnerabilidades em provedores de Software como Serviço (SaaS) para acessar dados de clientes downstream.