Malware

Desde o início de 2025, pesquisadores da Check Point identificaram um aumento nas atividades de espionagem cibernética do grupo Nimbus Manticore, que utiliza portais de recrutamento falsos para disseminar malware sofisticado. Inicialmente focado em alvos do setor aeroespacial e de defesa no Oriente Médio, o grupo agora se expande para a Europa Ocidental, mirando empresas de defesa, telecomunicações e aeroespaciais em países como Dinamarca, Suécia e Portugal.

O malware principal, conhecido como MiniJunk, evoluiu para uma variante avançada que utiliza técnicas inovadoras para evitar a detecção. A infecção começa com e-mails de spear-phishing que se passam por recrutadores de grandes empresas, levando as vítimas a páginas de login falsificadas. Após o login bem-sucedido, um arquivo malicioso é entregue, permitindo que os atacantes monitorem as interações e capturem dados sensíveis.

Pesquisadores de cibersegurança estão alertando sobre uma campanha de SEO poisoning, conhecida como Operação Rewrite, que parece ser conduzida por um ator de ameaça de língua chinesa. O malware utilizado, chamado BadIIS, tem como alvo principalmente a região do Sudeste Asiático, com foco especial no Vietnã. A técnica de SEO poisoning manipula os resultados de mecanismos de busca para direcionar usuários a sites indesejados, como de jogos de azar e pornografia, visando lucro financeiro. O BadIIS intercepta e modifica o tráfego HTTP, permitindo que os atacantes injetem conteúdo malicioso em sites legítimos. Os atacantes também utilizam uma infraestrutura compartilhada com um grupo identificado como Grupo 9, conforme relatado pela ESET. Além disso, a pesquisa revelou que os atacantes podem criar contas de usuário locais e implantar shells web para acesso remoto persistente. Essa atividade representa um risco significativo, especialmente considerando a possibilidade de comprometer servidores em várias regiões, incluindo o Brasil. A manipulação de resultados de busca pode ter implicações diretas na segurança e na conformidade com a LGPD, tornando essencial que os CISOs brasileiros estejam atentos a essa ameaça.

O GitHub anunciou mudanças significativas em suas opções de autenticação e publicação, em resposta a uma série de ataques à cadeia de suprimentos que afetaram o ecossistema npm, incluindo o ataque Shai-Hulud. As novas medidas visam mitigar ameaças como o abuso de tokens e malware auto-replicante. Entre as alterações, destaca-se a implementação de autenticação de dois fatores (2FA) obrigatória para publicações locais, a limitação da validade de tokens granulares a sete dias e a introdução de uma nova funcionalidade chamada ‘publicação confiável’. Esta última elimina a necessidade de tokens npm, utilizando credenciais específicas de fluxo de trabalho que são criptograficamente autenticadas, garantindo a origem e o ambiente de construção de cada pacote publicado. O ataque Shai-Hulud, que injetou um verme auto-replicante em centenas de pacotes npm, destacou a vulnerabilidade do sistema, ao permitir que segredos sensíveis fossem extraídos de máquinas de desenvolvedores. Além disso, um pacote malicioso chamado fezbox foi identificado, capaz de roubar senhas de navegadores através de uma técnica esteganográfica. Embora o pacote tenha sido removido, ele ilustra a necessidade crescente de ferramentas de verificação de dependências. Essas mudanças são cruciais para aumentar a confiança na cadeia de suprimentos de software e proteger os desenvolvedores contra novas ameaças.

O popular jogo BlockBlasters foi removido da plataforma Steam após a descoberta de que um patch lançado em agosto continha componentes maliciosos que podem roubar informações sensíveis dos jogadores. Desenvolvido pela Genesis Interactive, o jogo recebeu boas críticas após seu lançamento em julho, mas a atualização de 30 de agosto introduziu um malware que comprometeu a segurança de centenas de usuários. A empresa de segurança G DATA identificou que o patch não apenas corrigia bugs, mas implementava uma operação de roubo de informações em múltiplas etapas. O ataque começa com um arquivo chamado game2.bat, que coleta dados como credenciais de login do Steam e informações sobre antivírus instalados. Esses dados são enviados para um servidor de comando e controle. O malware também executa scripts em Visual Basic que coletam extensões de navegador e dados de carteiras de criptomoedas. A situação se agravou quando o malware alterou as configurações do Microsoft Defender para evitar a detecção. Após a remoção do jogo, especialistas em segurança alertam os jogadores a desinstalarem o BlockBlasters e realizarem varreduras completas em seus sistemas, além de monitorarem suas contas de criptomoedas para atividades suspeitas.

Um incidente alarmante ocorreu com o streamer letão Raivo Plavnieks, conhecido como RastalandTV, que teve mais de R$ 170 mil roubados de sua carteira de criptomoedas após baixar o jogo Block Blasters, disponível na plataforma Steam. O jogo, que estava ativo entre 30 de julho e 21 de setembro de 2025, foi inicialmente considerado seguro, mas em 30 de agosto, recebeu um dropper que instalou um aplicativo malicioso em computadores de jogadores. O malware coletava informações sensíveis, como dados de login do Steam e endereços IP, enviando-os para os golpistas. A investigação revelou que até 478 contas de usuários do Steam foram comprometidas, com perdas totais estimadas em até US$ 150.000. O caso destaca a vulnerabilidade de jogadores que possuem criptomoedas e a necessidade de cautela ao baixar jogos, especialmente aqueles com avaliações positivas, mas que podem esconder malwares. A Valve, responsável pelo Steam, ainda não se pronunciou sobre o incidente. Usuários afetados são aconselhados a trocar suas senhas e transferir seus ativos digitais para carteiras mais seguras.

Uma nova campanha de cibersegurança está em andamento, visando usuários do macOS através de páginas fraudulentas no GitHub. A equipe de inteligência de ameaças da LastPass identificou repositórios falsos que imitam empresas legítimas, como gerenciadores de senhas e instituições financeiras. Esses sites, que aparecem nas primeiras posições dos resultados de busca, enganam os usuários a instalarem um software malicioso chamado Atomic Stealer, que coleta credenciais e dados sensíveis. Os atacantes utilizam técnicas de SEO agressivas para aumentar a visibilidade de suas páginas, dificultando a detecção. Quando os usuários clicam nos links de download, são redirecionados para um site que instrui a execução de um comando no Terminal do macOS, que baixa e executa um script malicioso. A LastPass recomenda que os usuários instalem aplicativos apenas de fontes verificadas e que as equipes de segurança monitorem URLs suspeitas. A campanha é uma preocupação crescente, especialmente devido à sua capacidade de evadir controles de segurança básicos e à rápida rotação de contas e repositórios utilizados pelos atacantes.

Recentemente, atores de ameaças associados à Coreia do Norte têm utilizado iscas do tipo ClickFix para disseminar malwares conhecidos como BeaverTail e InvisibleFerret. Essa nova abordagem visa principalmente profissionais de marketing e traders em organizações de criptomoedas e varejo, ao invés de focar em desenvolvedores de software, como era comum anteriormente. O malware BeaverTail, que atua como um ladrão de informações e downloader de um backdoor em Python, foi inicialmente exposto em 2023 e faz parte de uma campanha mais ampla chamada ‘Contagious Interview’.

Pesquisadores de cibersegurança da SentinelOne apresentaram no LABScon 2025 a descoberta do MalTerminal, um malware que incorpora capacidades de Modelos de Linguagem de Grande Escala (LLMs). Este malware, que utiliza a API do OpenAI GPT-4, é capaz de gerar dinamicamente códigos de ransomware ou shells reversos. Embora não haja evidências de que tenha sido utilizado em ataques reais, sua existência representa um marco na evolução das técnicas de ataque, com a introdução de malwares que podem gerar lógica maliciosa em tempo real. Além disso, a pesquisa revelou que criminosos cibernéticos estão utilizando prompts ocultos em e-mails de phishing para enganar scanners de segurança baseados em IA, aumentando a eficácia desses ataques. O uso de ferramentas de IA generativa por cibercriminosos está se tornando uma tendência preocupante, com um aumento nas campanhas de engenharia social que exploram plataformas de hospedagem de sites para criar páginas de phishing. Esse cenário exige atenção redobrada das empresas, especialmente em relação à segurança de suas comunicações eletrônicas e à proteção de dados sensíveis.

A LastPass alertou sobre uma campanha de roubo de informações que está afetando usuários do macOS, utilizando repositórios falsos no GitHub para distribuir programas maliciosos disfarçados de ferramentas legítimas. Os pesquisadores da LastPass identificaram que os repositórios fraudulentos redirecionam as vítimas para um repositório que baixa o malware conhecido como Atomic Stealer. Além do LastPass, outras ferramentas populares como 1Password, Dropbox e Shopify também estão sendo impersonificadas.

A técnica utilizada inclui a otimização de mecanismos de busca (SEO) para posicionar links maliciosos nos primeiros resultados do Bing e Google, levando os usuários a clicar em botões de download que os redirecionam para páginas do GitHub. Essas páginas, criadas por múltiplos usuários para evitar remoções, instruem os usuários a executar comandos no Terminal, resultando na instalação do malware. Campanhas semelhantes já foram observadas anteriormente, utilizando anúncios patrocinados maliciosos e repositórios públicos para distribuir cargas maliciosas. A situação é preocupante, pois o uso de repositórios do GitHub para hospedar malware pode enganar até mesmo usuários mais experientes.

Um novo relatório da Black Lotus Labs, da Lumen Technologies, revela a existência de uma rede de proxies chamada REM Proxy, que é alimentada pelo malware SystemBC. Este malware transforma computadores infectados em proxies SOCKS5, permitindo que os hosts infectados se comuniquem com servidores de comando e controle (C2) e baixem cargas adicionais. A REM Proxy é uma rede significativa, oferecendo cerca de 20.000 roteadores Mikrotik e uma variedade de proxies abertos disponíveis online. O SystemBC, documentado pela primeira vez em 2019, tem como alvo tanto sistemas Windows quanto Linux, e sua variante para Linux é utilizada principalmente para atacar redes corporativas e dispositivos IoT. A botnet é composta por mais de 80 servidores C2 e cerca de 1.500 vítimas diárias, com 80% delas sendo sistemas de servidores privados virtuais (VPS) comprometidos. A maioria dos servidores afetados apresenta várias vulnerabilidades conhecidas, com uma média de 20 CVEs não corrigidas por vítima. O malware é utilizado por grupos criminosos para realizar atividades maliciosas, como a força bruta de credenciais de sites WordPress, com o objetivo de vender essas credenciais em fóruns underground. O relatório destaca a resiliência operacional do SystemBC, que se estabeleceu como uma ameaça persistente no cenário de cibersegurança.

O ConnectWise ScreenConnect, uma solução popular de Monitoramento e Gerenciamento Remoto, está sendo explorado por cibercriminosos para obter acesso persistente a redes empresariais nos EUA. Pesquisadores identificaram pelo menos oito hosts públicos que distribuem instaladores adulterados do ScreenConnect, que contêm arquivos maliciosos como AsyncRAT e um loader em PowerShell. Os atacantes utilizam um instalador repaginado que, ao ser baixado, busca um pacote ZIP com scripts maliciosos e uma DLL nativa. O ataque é sofisticado, utilizando técnicas como bypass de políticas de execução do PowerShell e injeção de processos para evitar a detecção por antivírus. Além disso, campanhas de phishing têm sido usadas para disseminar esses instaladores, marcando uma mudança estratégica para operações de acesso remoto persistente. Para mitigar esses riscos, é essencial implementar políticas de detecção comportamental e controles de rede que identifiquem padrões de download maliciosos. A adoção de autenticação multifatorial e a auditoria de acessos de terceiros também são recomendadas para proteger as consoles de RMM.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta urgente sobre uma campanha de malware sofisticada que explora duas vulnerabilidades recentemente divulgadas no Ivanti Endpoint Manager Mobile (EPMM). As falhas, identificadas como CVE-2025-4427 e CVE-2025-4428, permitem a execução remota de código não autenticado em servidores EPMM locais. Os atacantes utilizam requisições HTTP GET manipuladas para injetar segmentos de código malicioso, contornando defesas baseadas em assinatura. A CISA recomenda que as organizações atualizem imediatamente suas versões do Ivanti EPMM, tratem os sistemas de gerenciamento de dispositivos móveis como ativos de alto valor e implementem regras de detecção para identificar atividades suspeitas. A análise da CISA inclui regras YARA e SIGMA para ajudar na identificação de artefatos maliciosos e comportamentos anômalos. A vigilância contínua e a gestão rápida de patches são essenciais para mitigar essa ameaça ativa.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) divulgou informações sobre duas famílias de malware encontradas na rede de uma organização não identificada, após a exploração de vulnerabilidades no Ivanti Endpoint Manager Mobile (EPMM). As falhas exploradas, CVE-2025-4427 e CVE-2025-4428, permitiram que atacantes contornassem a autenticação e executassem código remotamente. A primeira vulnerabilidade permite o acesso a recursos protegidos, enquanto a segunda possibilita a execução de código arbitrário. Os atacantes conseguiram acessar o servidor EPMM em meados de maio de 2025, utilizando um exploit de prova de conceito. Após a invasão, foram implantados dois conjuntos de arquivos maliciosos que garantiram a persistência e a execução de código arbitrário. Esses arquivos manipulam requisições HTTP para decodificar e executar cargas úteis maliciosas. Para se proteger, as organizações devem atualizar suas instâncias para a versão mais recente e monitorar atividades suspeitas.

Pesquisadores de cibersegurança da ESET identificaram uma colaboração entre os grupos de hackers russos Gamaredon e Turla, ambos associados ao Serviço Federal de Segurança da Rússia (FSB), visando entidades ucranianas. Em fevereiro de 2025, ferramentas do Gamaredon, como PteroGraphin e PteroOdd, foram utilizadas para executar o backdoor Kazuar do grupo Turla em sistemas na Ucrânia. O Kazuar, um malware frequentemente atualizado, é conhecido por sua capacidade de espionagem e coleta de dados. A ESET observou que o PteroGraphin foi usado para reiniciar o Kazuar após falhas, indicando uma estratégia de recuperação. Além disso, em abril e junho de 2025, foram detectadas implantações do Kazuar v2 através de outras ferramentas do Gamaredon. A invasão da Ucrânia pela Rússia em 2022 parece ter intensificado essa colaboração, com foco em setores de defesa. Os ataques têm como alvo informações sensíveis, utilizando técnicas como spear-phishing e arquivos LNK maliciosos. A ESET alerta que a combinação de ferramentas e a troca de informações entre os grupos aumentam o risco para as entidades ucranianas, e a situação requer atenção contínua.

Uma significativa campanha de fraudes publicitárias, denominada SlopAds, foi desmantelada pela Google após a identificação de 224 aplicativos maliciosos na Play Store. Esses aplicativos, que foram baixados mais de 38 milhões de vezes globalmente, eram capazes de gerar até 2,3 milhões de pedidos de publicidade diariamente. A equipe de segurança Satori Threat Intelligence, da empresa HUMAN, revelou que os hackers utilizavam técnicas sofisticadas, como esteganografia, para esconder códigos maliciosos em arquivos de imagem. Os aplicativos funcionavam normalmente quando baixados diretamente da loja, mas, ao serem obtidos via anúncios, baixavam um arquivo de configuração secreto que continha o malware FatModule. Este vírus utilizava WebViews para inundar os dispositivos com anúncios fraudulentos, gerando cliques e visualizações para os criminosos. O Brasil, afetado em 7% dos casos, é um dos países mais impactados, ao lado dos Estados Unidos e Índia. Após o alerta, a Google removeu os aplicativos maliciosos e atualizou o Google Play Protect para alertar os usuários sobre a necessidade de remoção imediata dos apps infectados.

Pesquisadores de cibersegurança identificaram dois novos pacotes maliciosos no repositório Python Package Index (PyPI) que têm como objetivo instalar um trojan de acesso remoto chamado SilentSync em sistemas Windows. Os pacotes, nomeados ‘sisaws’ e ‘secmeasure’, foram removidos do PyPI após a descoberta. O pacote ‘sisaws’ imita um pacote legítimo relacionado ao sistema de saúde argentino, mas contém uma função que baixa malware adicional. Já o ‘secmeasure’ se apresenta como uma biblioteca de segurança, mas também entrega o SilentSync. Este malware é capaz de executar comandos remotamente, exfiltrar dados de navegadores e capturar telas. Além disso, ele pode modificar registros no Windows e arquivos de crontab no Linux, além de registrar LaunchAgents no macOS. A descoberta desses pacotes ressalta o aumento do risco de ataques à cadeia de suprimentos em repositórios de software públicos, onde atacantes podem obter informações pessoais ao se disfarçarem de pacotes legítimos.

Pesquisadores em cibersegurança descobriram um novo loader de malware chamado CountLoader, utilizado por gangues de ransomware russas para entregar ferramentas de pós-exploração, como Cobalt Strike e AdaptixC2, além de um trojan de acesso remoto conhecido como PureHVNC RAT. O CountLoader aparece em três versões: .NET, PowerShell e JavaScript, e tem sido empregado em campanhas de phishing direcionadas a indivíduos na Ucrânia, utilizando iscas em PDF que se passam pela Polícia Nacional da Ucrânia. A versão em PowerShell já havia sido identificada anteriormente pela Kaspersky, que a associou a iscas relacionadas ao DeepSeek. O malware é capaz de reconfigurar instâncias de navegação para forçar o tráfego através de um proxy controlado pelos atacantes, permitindo a manipulação de dados. A versão JavaScript é a mais robusta, oferecendo múltiplos métodos para download de arquivos e execução de binários maliciosos. CountLoader utiliza a pasta de Música da vítima como um local para armazenar o malware e é suportado por uma infraestrutura de mais de 20 domínios únicos. Recentemente, campanhas que distribuem o PureHVNC RAT têm utilizado táticas de engenharia social, como anúncios de emprego falsos, para enganar as vítimas. A interconexão entre grupos de ransomware russos sugere uma adaptação constante às condições do mercado e uma dependência de relações de confiança entre os operadores.

Uma nova versão do malware conhecido como Raven Stealer está rapidamente se espalhando em mercados clandestinos, visando usuários de navegadores baseados em Chromium, como o Google Chrome. Desenvolvido principalmente em Delphi, com módulos centrais em C++, o Raven Stealer se destaca por sua furtividade operacional e interação mínima com o usuário, tornando-se uma ferramenta atraente para atacantes iniciantes e experientes.

O executável do malware, com cerca de 7 MB, incorpora componentes críticos em sua seção de recursos, utilizando um editor de recursos para incluir uma DLL criptografada. Essa DLL é protegida por criptografia ChaCha20, dificultando a análise estática. Durante a execução, o malware injeta a DLL em um processo do Chrome suspenso, permitindo acesso total aos dados do navegador.

Em 2025, o grupo MuddyWater evoluiu suas táticas de ataque, utilizando uma suíte de malware personalizada e multiestágio, focada em furtividade e resiliência. O ataque inicial é realizado por meio de e-mails de spear-phishing que contêm documentos maliciosos do Office. Ao serem abertos, esses documentos executam macros VBA que implantam um loader de primeira fase chamado Fooder. Este loader utiliza APIs criptográficas do Windows para derivar chaves AES e RSA, permitindo a descriptografia de cargas úteis subsequentes diretamente na memória, evitando a detecção por sandboxes.

O grupo de cibercriminosos conhecido como TA558, vinculado a uma nova onda de ataques, está utilizando trojans de acesso remoto (RATs) como o Venom RAT para comprometer hotéis no Brasil e em mercados de língua espanhola. A empresa de cibersegurança Kaspersky identificou que os atacantes estão empregando e-mails de phishing com temas de faturas para disseminar o Venom RAT, utilizando carregadores em JavaScript e downloaders em PowerShell. Um aspecto alarmante é que uma parte significativa do código inicial dos infetores parece ter sido gerada por modelos de linguagem de grande escala (LLMs), indicando uma nova tendência entre grupos de cibercriminosos em usar inteligência artificial para aprimorar suas táticas. O objetivo principal desses ataques é roubar dados de cartões de crédito de hóspedes e viajantes armazenados nos sistemas dos hotéis, além de informações provenientes de agências de viagens online. O Venom RAT, uma ferramenta comercial, é projetado para coletar dados, atuar como um proxy reverso e possui mecanismos de proteção contra desativação, tornando-o um risco significativo para a segurança das informações no setor de hospitalidade.

Em maio de 2025, analistas da Unit 42 identificaram várias campanhas de ataque utilizando o AdaptixC2, um framework de código aberto originalmente desenvolvido para equipes vermelhas, mas agora explorado por atores maliciosos. Com uma arquitetura modular e baseada em plugins, o AdaptixC2 se destacou por sua capacidade de manipulação abrangente de sistemas, incluindo navegação em sistemas de arquivos e execução de programas arbitrários. Os ataques foram realizados através de vetores de infecção distintos, como campanhas de phishing que se faziam passar por suporte técnico via Microsoft Teams, e um instalador PowerShell gerado por IA que injetava código malicioso na memória. O framework permite movimentação lateral discreta em redes segmentadas e utiliza técnicas avançadas para evitar detecções. A Unit 42 observou um aumento no número de servidores de comando e controle (C2) do AdaptixC2, ligando-o a operações de ransomware, o que destaca sua flexibilidade em cadeias de ataque mais amplas. Para mitigar esses riscos, recomenda-se que as defesas monitorem logs do PowerShell e implementem soluções de detecção de ameaças em rede e endpoints.

Uma nova variante do malware BeaverTail, associada a operadores estatais da Coreia do Norte, está sendo utilizada para atacar o setor de varejo e criptomoedas. Desde maio de 2025, os atacantes têm refinado sua infraestrutura de distribuição de malware, utilizando executáveis compilados e iscas de engenharia social através de uma plataforma de contratação falsa. Essa abordagem visa expandir o número de vítimas potenciais, focando em funções de marketing e vendas, ao invés de apenas desenvolvedores de software.

O XillenStealer é um malware modular baseado em Python que tem se espalhado rapidamente entre cibercriminosos de baixo nível, devido à sua interface intuitiva e capacidades abrangentes de coleta de dados. Publicado no GitHub, ele utiliza funções nativas do Windows e bibliotecas de cookies de navegadores para extrair informações sensíveis, como credenciais de navegadores, carteiras de criptomoedas e tokens de sessões de mensagens. O malware é distribuído com um construtor integrado que facilita a configuração e a compilação em executáveis autônomos.

Pesquisadores de cibersegurança da Check Point descobriram um ecossistema de malware sofisticado, onde atores de ameaças utilizam repositórios do GitHub para hospedar a infraestrutura de comando e controle da família de malwares Pure. O desenvolvedor PureCoder aproveita plataformas legítimas para distribuir ferramentas maliciosas, dificultando a detecção. A investigação revelou uma cadeia de ataque complexa iniciada por técnicas de phishing, onde vítimas eram atraídas por anúncios de emprego falsos. Ao acessar sites maliciosos, comandos PowerShell eram copiados automaticamente para a área de transferência, levando ao download de arquivos JavaScript que implantavam o PureHVNC RAT. Este malware permite controle remoto de máquinas infectadas sem o conhecimento do usuário. Além disso, os repositórios do GitHub continham plugins para manipulação automatizada de redes sociais. A análise técnica revelou técnicas avançadas de anti-análise e criptografia, tornando a detecção ainda mais desafiadora. A descoberta de contas do GitHub com configuração de fuso horário UTC+0300 sugere uma possível origem russa para os desenvolvedores. Essa situação representa um risco significativo para a segurança cibernética, exigindo atenção das autoridades e profissionais de segurança.

Uma investigação recente revelou que cibercriminosos estão utilizando plataformas de adtech legítimas para disseminar malware, kits de phishing e ladrões de credenciais em larga escala. Explorando o modelo de leilão em tempo real (RTB) e estruturas corporativas complexas, esses atores conseguem manter campanhas de malvertising resilientes e de alto volume, enquanto se escondem atrás de uma fachada de legitimidade. Um dos principais operadores, conhecido como Vane Viper, foi identificado em metade das redes empresariais monitoradas, gerando mais de um trilhão de consultas DNS no último ano. Operando sob a empresa AdTech Holding, com sede em Chipre, a subsidiária PropellerAds atua como uma plataforma de fornecimento e demanda de anúncios, utilizando um sistema de distribuição de tráfego para redirecionar cliques para páginas maliciosas. As campanhas incluem a entrega de trojans para Android, extensões de navegador maliciosas e sites de compras falsos. A infiltração de atores maliciosos nas cadeias de suprimento de adtech destaca uma falha fundamental no ecossistema de publicidade digital, onde a escala e a lucratividade são priorizadas em detrimento da responsabilidade e da segurança do usuário. Para mitigar esses riscos, é necessária uma maior transparência dos fornecedores de adtech e políticas rigorosas de registro de domínios.

Pesquisadores estão alertando sobre a evolução do malware RatOn, que inicialmente clonava pagamentos por aproximação NFC e agora se transformou em um trojan complexo de acesso remoto. Este malware é capaz de realizar fraudes através de sistemas de transferência automatizada, monitorar dispositivos móveis e roubar senhas de aplicativos como WhatsApp e serviços bancários. O RatOn se espalha por meio de links falsos que prometem conteúdo adulto, como um suposto ‘TikTok +18’. Após a instalação, o malware solicita permissões que permitem a instalação de aplicativos de terceiros, evitando as proteções das lojas oficiais. Uma vez ativo, ele pode capturar credenciais, travar o celular e exigir resgates em criptomoedas. Até agora, os ataques foram observados na República Tcheca e Eslováquia, mas a possibilidade de sua chegada ao Brasil é uma preocupação crescente. Para se proteger, recomenda-se não conceder permissões excessivas a aplicativos, utilizar autenticação em duas etapas e evitar links suspeitos.

O grupo de cibercriminosos conhecido como RevengeHotels (TA558) intensificou suas atividades desde 2015, utilizando inteligência artificial para criar campanhas de phishing sofisticadas que distribuem o Trojan de Acesso Remoto VenomRAT. Os ataques têm como alvo principalmente o setor de hospitalidade, com foco em hotéis brasileiros e em mercados de língua espanhola, como Argentina, Chile e México. Os criminosos enviam e-mails fraudulentos, frequentemente em português ou espanhol, que simulam faturas e contêm links para sites de armazenamento de documentos falsos. Ao acessar esses links, os usuários baixam um loader em JavaScript que, por sua vez, executa scripts PowerShell para instalar o VenomRAT. Este malware, que oferece funcionalidades avançadas como controle remoto oculto e exploração de UAC, é projetado para se manter ativo no sistema, desativando o Windows Defender e monitorando processos de segurança. Os especialistas em segurança cibernética alertam que é essencial que as organizações verifiquem a autenticidade de e-mails inesperados e implementem defesas de endpoint para detectar essas ameaças.

Uma operação massiva de fraude publicitária, conhecida como SlopAds, foi identificada, envolvendo um conjunto de 224 aplicativos que atraíram 38 milhões de downloads em 228 países. Segundo o relatório da equipe de pesquisa da HUMAN, esses aplicativos utilizam esteganografia e criam WebViews ocultos para direcionar usuários a sites controlados pelos criminosos, gerando impressões e cliques fraudulentos em anúncios. Durante seu pico, a operação gerou 2,3 bilhões de solicitações de lances por dia, com a maior parte do tráfego proveniente dos EUA (30%), Índia (10%) e Brasil (7%). A fraude é ativada apenas quando o aplicativo é baixado após um clique em um anúncio, o que leva à instalação de um módulo de fraude chamado FatModule. Este módulo é disfarçado em arquivos PNG, que ocultam o APK e coletam informações do dispositivo. A HUMAN também destacou que a operação SlopAds representa um aumento na sofisticação das fraudes publicitárias móveis, complicando a detecção ao misturar tráfego malicioso com dados legítimos. O Google já removeu os aplicativos envolvidos da Play Store, interrompendo a ameaça.

Desde sua estreia em 2011, o SmokeLoader evoluiu de um downloader simples para um framework modular robusto, utilizado para implantar malware secundário, como ransomware e trojans. Apesar de uma operação conjunta em maio de 2024 que eliminou muitas instâncias do SmokeLoader, novas variantes surgiram em 2025, incorporando técnicas avançadas de evasão que dificultam a detecção. A sequência de infecção do SmokeLoader começa com um stager compacto que injeta o módulo principal no processo explorer.exe, agora com um controle de mutex mais robusto que previne injeções duplicadas. As novas versões utilizam rotinas de ofuscação baseadas em XOR e um protocolo de comunicação RC4 criptografado, dificultando a análise de protocolos. O verdadeiro poder do SmokeLoader reside em sua arquitetura de plugins, que permite o roubo de credenciais de navegadores, senhas de FTP e ataques DDoS. Para combater essa ameaça, a Zscaler ThreatLabz lançou o SmokeBuster, uma ferramenta de sanitização de código aberto que reconhece e elimina as variantes mais recentes do SmokeLoader. A persistência e as contínuas melhorias do SmokeLoader destacam sua natureza como uma ameaça duradoura e em constante evolução.

Pesquisadores de cibersegurança identificaram um novo ataque à cadeia de suprimentos de software que comprometeu mais de 40 pacotes do registro npm, afetando diversos mantenedores. O ataque envolve a injeção de um código JavaScript malicioso em versões comprometidas dos pacotes, que utiliza a função NpmModule.updatePackage para baixar, modificar e republicar pacotes, permitindo a ’trojanização’ automática de pacotes subsequentes. O objetivo principal é escanear máquinas de desenvolvedores em busca de segredos, utilizando a ferramenta TruffleHog, e enviar essas informações para um servidor controlado pelos atacantes. O ataque é capaz de atingir sistemas Windows e Linux. Os pacotes afetados incluem, entre outros, angulartics2, @ctrl/deluge e ngx-color. Os desenvolvedores são aconselhados a auditar seus ambientes e rotacionar tokens npm e outros segredos expostos. Além disso, um alerta de phishing foi emitido para usuários do crates.io, com e-mails fraudulentos tentando capturar credenciais do GitHub. Esse cenário destaca a evolução preocupante das ameaças à cadeia de suprimentos de software, com um mecanismo de auto-propagação que pode comprometer todo o ecossistema.

Um grupo hacker conhecido como WhiteCobra está atacando desenvolvedores por meio de extensões falsas para editores de código como VSCode, Cursor e Windsurf. Essas extensões maliciosas têm como objetivo roubar credenciais de acesso e carteiras de criptomoedas. A descoberta foi feita pelo programador Zak Cole, que teve sua carteira comprometida após instalar uma extensão que parecia legítima, mas que possuía um número de downloads inflacionado artificialmente. Pesquisadores da Koi Security identificaram pelo menos 24 extensões falsas disponíveis em marketplaces oficiais, como o Visual Studio Marketplace e Open VSX. O malware se adapta ao sistema operacional do usuário, utilizando scripts que baixam um software malicioso, como o LummaStealer, em Windows e um binário Mach-O em macOS. O grupo WhiteCobra é descrito como altamente organizado, capaz de lançar ataques em menos de três horas. Para evitar esses golpes, os programadores devem verificar a autenticidade das extensões, desconfiar de nomes que imitam extensões conhecidas e analisar a quantidade de downloads e avaliações positivas em um curto período.

No cenário atual de cibersegurança, o papel do Chief Information Security Officer (CISO) vai além da proteção de tecnologias; ele deve garantir a confiança institucional e a continuidade dos negócios. Recentemente, observou-se um aumento nos ataques direcionados a relações complexas que sustentam as empresas, como cadeias de suprimentos e parcerias estratégicas. Com a ascensão de ataques impulsionados por inteligência artificial e novas regulamentações, as decisões tomadas agora moldarão a resiliência das organizações nos próximos anos.

O grupo de ameaças cibernéticas alinhado à China, conhecido como Mustang Panda, foi identificado utilizando uma versão atualizada de um backdoor chamado TONESHELL e um novo worm USB, denominado SnakeDisk. Segundo pesquisadores da IBM X-Force, o SnakeDisk é projetado para ser executado apenas em dispositivos com endereços IP localizados na Tailândia, onde ele instala o backdoor Yokai. O TONESHELL, documentado pela primeira vez em 2022, é utilizado para baixar cargas úteis adicionais em sistemas infectados, frequentemente através de e-mails de spear-phishing. As variantes mais recentes, TONESHELL8 e TONESHELL9, introduzem comunicação com servidores de comando e controle (C2) através de proxies locais, dificultando a detecção. O SnakeDisk, por sua vez, propaga-se através de dispositivos USB, enganando usuários ao mover arquivos existentes para subdiretórios e renomeando o payload malicioso. A atividade do Mustang Panda, que remonta a pelo menos 2012, destaca a evolução contínua de suas táticas e ferramentas, com um foco particular na Tailândia, o que pode indicar um subgrupo especializado. A IBM X-Force alerta que o grupo mantém um ecossistema de malware robusto e em constante desenvolvimento.

A Equipe de Resposta de Emergência Computacional da França (CERT-FR) e a Apple emitiram um alerta de segurança para usuários de iPhone no país, informando sobre uma nova campanha de spyware. O comunicado, divulgado em 11 de setembro, indica que pelo menos um dispositivo vinculado a uma conta iCloud foi comprometido. Os usuários que receberam a notificação devem entrar em contato com a CERT-FR imediatamente, pois pode haver um atraso significativo entre a invasão e a notificação. A Apple tem se mostrado proativa na luta contra spywares, notificando clientes em várias ocasiões ao longo do ano. Além disso, a CERT-FR forneceu recomendações para evitar golpes de phishing, como habilitar a autenticação em duas etapas e manter as atualizações automáticas ativadas. Os usuários também foram aconselhados a não alterar seus dispositivos de forma alguma, a fim de não interferir nas investigações em andamento.

Uma nova campanha de cibersegurança está atacando usuários de língua chinesa através de uma técnica chamada SEO poisoning, que utiliza sites falsos para distribuir malware. Os atacantes manipulam os rankings de busca com plugins de SEO e registram domínios semelhantes a sites legítimos, enganando as vítimas a baixarem software malicioso. Entre os malwares identificados estão HiddenGh0st e Winos, ambos variantes de um trojan de acesso remoto conhecido como Gh0st RAT. A campanha foi descoberta pela Fortinet em agosto de 2025 e redireciona usuários que buscam ferramentas populares como Google Chrome e WhatsApp para sites fraudulentos que instalam malware disfarçado. O malware é projetado para evitar detecções, realizando verificações de antivírus e utilizando técnicas de hijacking para garantir persistência no sistema. Além disso, a Zscaler identificou uma campanha paralela com um novo malware chamado kkRAT, que também visa usuários de língua chinesa. Essa ameaça é particularmente preocupante, pois pode manipular dados de criptomoedas e coletar informações sensíveis. A complexidade e a sofisticação dessas campanhas destacam a necessidade de vigilância constante e precauções rigorosas ao baixar software da internet.

Uma nova ferramenta de pentesting chamada Villager, desenvolvida por uma empresa chinesa chamada Cyberspike, tem gerado preocupações significativas na comunidade de cibersegurança. Com cerca de 10.000 downloads em apenas dois meses, a ferramenta utiliza inteligência artificial para automatizar operações de segurança ofensiva, integrando recursos do Kali Linux e do DeepSeek AI. A rápida adoção da ferramenta levanta questões sobre seu uso por atores maliciosos, especialmente considerando que Cyberspike possui laços com círculos de hackers e malware. O relatório da Straiker destaca que a Villager pode seguir o mesmo caminho do Cobalt Strike, uma ferramenta amplamente utilizada por cibercriminosos. Além disso, a falta de um site oficial e o histórico da empresa levantam suspeitas sobre suas intenções. A Villager é acessível gratuitamente no PyPI, o que facilita ainda mais sua disseminação. A situação exige atenção, pois a automação de ataques pode aumentar a eficácia de ameaças persistentes e complexas no cenário global de cibersegurança.

O malware Backdoor.Win32.Buterat representa uma ameaça significativa para redes empresariais e governamentais, utilizando técnicas avançadas de furtividade e comunicação adaptativa para garantir controle a longo prazo sobre sistemas comprometidos. Diferente de malwares comuns que visam destruição rápida ou roubo massivo de dados, o Buterat foca na persistência encoberta e no acesso remoto, permitindo que operadores expandam sua presença, implantem cargas secundárias e coletem informações sensíveis sem serem detectados.

Após ser entregue, geralmente por meio de e-mails de spear-phishing ou downloads de software comprometido, o Buterat inicia sua execução em um ponto de entrada oculto e disfarça suas threads sob processos legítimos do sistema. O uso de chamadas de API ofuscadas e a modificação de chaves de registro garantem que o malware permaneça ativo mesmo após reinicializações. Além disso, a comunicação com o servidor de comando e controle (C2) é criptografada, dificultando a detecção por sistemas de monitoramento de rede.

Pesquisadores de cibersegurança descobriram uma sofisticada campanha de malvertising que utiliza repositórios oficiais do GitHub para distribuir malware disfarçado como downloads do cliente GitHub Desktop. O ataque começa quando atores de ameaças ‘forkam’ repositórios legítimos do GitHub, inserindo conteúdo malicioso em arquivos README.md. Links manipulados direcionam os usuários para esses repositórios comprometidos, onde encontram uma página que parece ser a oficial do GitHub Desktop. No entanto, o link de download leva a um instalador malicioso, identificado como GitHubDesktopSetup-x64.exe, que inicia uma cadeia de execução complexa envolvendo processos legítimos do Windows para evitar a detecção. O malware utiliza técnicas de evasão sofisticadas, armazenando cargas úteis codificadas em mensagens de commit e executando scripts PowerShell maliciosos. A campanha é direcionada especificamente a sistemas Windows e demonstra como plataformas confiáveis podem ser abusadas para distribuir malware, destacando a necessidade de soluções robustas de detecção e resposta em endpoints e a importância da educação dos usuários sobre a verificação de fontes de download.

Desde o final de agosto de 2025, a Trend™ Research identificou um aumento global de malware disfarçado como aplicações legítimas de IA e produtividade, denominado EvilAI. Este malware utiliza trojans que se apresentam com interfaces realistas e funcionalidades válidas, permitindo a infiltração em sistemas corporativos e pessoais sem levantar suspeitas. Os instaladores do EvilAI são nomeados com termos genéricos, como ‘App Suite’ e ‘PDF Editor’, e, após a instalação, executam um payload JavaScript malicioso em segundo plano. Para garantir a persistência, o malware cria tarefas agendadas e entradas no registro do Windows, permitindo sua reexecução mesmo após reinicializações.

A Apple notificou usuários na França sobre uma campanha de spyware que visa dispositivos vinculados a contas do iCloud. O alerta foi emitido em 3 de setembro de 2025, sendo a quarta notificação do ano, com alertas anteriores em março, abril e junho. O CERT-FR (Computer Emergency Response Team da França) informou que esses ataques complexos têm como alvo indivíduos de destaque, como jornalistas, advogados e políticos. A situação se agrava após a descoberta de uma falha de segurança no WhatsApp que foi combinada com um bug no iOS, permitindo ataques de zero-click. A Apple introduziu uma nova funcionalidade de segurança chamada Memory Integrity Enforcement (MIE) para combater vulnerabilidades de corrupção de memória. Um relatório do Atlantic Council revelou um aumento significativo no número de investidores dos EUA em tecnologias de spyware, com 31 novos investidores em um ano, superando outros países como Israel e Itália. O relatório destaca a crescente importância de corretores e vendedores no mercado de spyware, que agora detêm uma fatia de mercado maior do que antes.

A Apple emitiu notificações de alta confiança alertando usuários sobre ataques de spyware mercenário, que utilizam recursos estatais e ferramentas de vigilância sofisticadas para comprometer dispositivos individuais. Esses ataques são direcionados a um pequeno grupo de alvos específicos, como jornalistas, ativistas e figuras políticas, e se distinguem por seu alto custo e evolução rápida. A Apple já notificou usuários em mais de 150 países desde 2021, utilizando banners de alerta e comunicações via e-mail e iMessage. As notificações incluem recomendações de segurança, como ativar o Modo de Bloqueio, que limita severamente a funcionalidade do dispositivo para mitigar vetores de ataque. A Apple enfatiza que suas comunicações nunca solicitarão senhas ou links, preservando a integridade do alerta. Para assistência adicional, a Apple recomenda o uso da Digital Security Helpline da Access Now, que oferece suporte de segurança em emergências. Mesmo usuários que não receberam alertas, mas suspeitam de serem alvos, são aconselhados a ativar o Modo de Bloqueio. Além disso, todos os usuários da Apple devem manter defesas básicas robustas, como atualizações de software e autenticação de dois fatores.

Pesquisadores da Bitdefender alertaram sobre um novo malware sem arquivo, chamado EggStreme, que foi utilizado por um ator de ameaça chinês para atacar uma empresa militar nas Filipinas. O EggStreme é uma estrutura modular que permite acesso remoto, injeção de payloads, registro de teclas e espionagem persistente. O malware é composto por seis componentes principais, incluindo um carregador inicial que estabelece uma conexão reversa e um backdoor principal que suporta 58 comandos. A entrega do malware ocorre por meio de um arquivo DLL carregado lateralmente, que é ativado por executáveis confiáveis, permitindo que ele contorne controles de segurança. Embora a Bitdefender tenha tentado atribuir o ataque a grupos APT chineses conhecidos, não conseguiu estabelecer uma conexão clara, mas os objetivos do ataque se alinham com as táticas de espionagem cibernética frequentemente associadas a esses grupos. O ataque destaca a crescente preocupação com a segurança cibernética na região da Ásia-Pacífico, onde atores estatais têm se mostrado ativos em várias nações vizinhas, incluindo Vietnã e Taiwan.

Um recente incidente de cibersegurança levantou preocupações sobre a liberdade de imprensa no Quênia, após a descoberta de que o spyware FlexiSPY foi instalado secretamente em dispositivos de cineastas enquanto estavam sob custódia policial. A análise forense realizada pelo Citizen Lab da Universidade de Toronto revelou que os dispositivos, confiscados durante a prisão de quatro cineastas em 2 de maio de 2025, foram monitorados sem o seu conhecimento. Os cineastas, acusados de publicar informações falsas relacionadas a um documentário da BBC, foram liberados sem acusações, mas seus dispositivos permaneceram sob controle policial por 68 dias. O FlexiSPY é um software de vigilância comercial que permite acesso a mensagens, e-mails, redes sociais, gravação de chamadas e até mesmo ativação de microfones. A instalação do spyware foi considerada uma violação grave da privacidade e um ataque à liberdade de expressão, levando a Comissão para Proteger Jornalistas a exigir explicações das autoridades quenianas. O caso continua em andamento nos tribunais do Quênia, refletindo as crescentes ameaças à segurança digital enfrentadas por jornalistas em todo o mundo.

O AdaptixC2, um framework de pós-exploração de código aberto, tem sido utilizado em diversos ataques reais nos últimos meses. Pesquisadores da Unit 42 identificaram sua implementação em maio de 2025, revelando campanhas que combinam engenharia social e scripts gerados por IA para comprometer endpoints Windows. A arquitetura modular do AdaptixC2, junto com perfis de configuração criptografados e técnicas de execução sem arquivo, permite que os atacantes mantenham acesso persistente e oculto, evitando defesas tradicionais.

O ZynorRAT, um novo Trojan de Acesso Remoto (RAT), está gerando preocupações entre pesquisadores de segurança devido às suas capacidades multiplataforma e à infraestrutura de comando e controle (C2) furtiva. Lançado em julho de 2025, o ZynorRAT utiliza binários em Go para Linux e Windows, permitindo uma gama de funções controladas por atacantes através de um bot no Telegram. O RAT estabelece seu canal C2 por meio do Telegram, incorporando o token do bot e o identificador de chat diretamente no binário. Ao ser executado, ele consulta a API do Telegram para comandos, executando instruções reconhecidas ou revertendo para a execução de shell. Entre as funções disponíveis estão exfiltração de arquivos, listagem de diretórios e processos, captura de tela e instalação de persistência. O ZynorRAT também demonstra um desenvolvimento ativo, com uma redução nas taxas de detecção em uploads sucessivos ao VirusTotal. A detecção e mitigação são possíveis através de regras específicas e assinaturas YARA, com recomendações para monitoramento contínuo e auditoria de diretórios de serviços de usuário. Dada a sua evolução e potencial de exploração, as organizações devem atualizar suas regras de detecção e reforçar controles de saída de rede.

Pesquisadores do Zscaler ThreatLabz identificaram uma campanha de malware sofisticada que visa usuários de língua chinesa desde maio de 2025, introduzindo uma nova família de Trojans de Acesso Remoto (RAT) chamada kkRAT. Os atacantes utilizam sites de phishing hospedados no GitHub Pages, disfarçando-se como instaladores de software legítimos para distribuir arquivos ZIP maliciosos. Esses arquivos contêm um executável benigno e uma DLL maliciosa que carrega o payload final, que pode ser ValleyRAT, FatalRAT ou kkRAT, dependendo do caso.

Pesquisadores de cibersegurança revelaram uma nova campanha que utiliza o software legítimo ConnectWise ScreenConnect para distribuir um loader que instala um trojan de acesso remoto (RAT) chamado AsyncRAT. O ataque começa com o uso do ScreenConnect para obter acesso remoto, seguido pela execução de um loader em VBScript e PowerShell que busca componentes ofuscados em URLs externas. Esses componentes incluem assemblies .NET codificados que se descompactam em AsyncRAT, mantendo persistência através de uma tarefa agendada disfarçada de ‘Skype Updater’.

Pesquisadores de cibersegurança revelaram duas campanhas de malvertising que distribuem extensões de navegador falsas para roubar dados sensíveis. A primeira campanha, identificada pela Bitdefender, promove uma extensão chamada SocialMetrics Pro, que promete desbloquear o selo de verificação azul no Facebook e Instagram. No entanto, essa extensão coleta cookies de sessão do Facebook e os envia para um bot no Telegram dos atacantes. Além disso, variantes da extensão utilizam esses cookies para acessar a API do Facebook Graph, potencialmente extraindo informações adicionais das contas.

Uma nova campanha de malvertising no Facebook está explorando o programa Meta Verified para roubar contas de usuários. Os atacantes, presumivelmente de origem vietnamita, criaram anúncios enganosos que prometem ensinar como obter o selo de verificação azul por meio de uma extensão de navegador maliciosa. Os anúncios, que totalizam pelo menos 37, redirecionam os usuários para um vídeo tutorial e um arquivo .CRX hospedado no Box.com. Após a instalação, a extensão injeta um script nas páginas do Facebook, interceptando cookies de sessão e enviando informações roubadas para um bot no Telegram. Além do roubo de cookies, algumas variantes da extensão conseguem acessar tokens de acesso, permitindo que os atacantes explorem contas comerciais no Facebook, que são vendidas em mercados clandestinos. Essa operação representa um ciclo de receita autossustentável, onde contas comprometidas são reutilizadas para novas campanhas maliciosas. Para se proteger, os usuários devem evitar extensões não verificadas e adotar práticas de segurança como autenticação em duas etapas e monitoramento de alertas de login.

Uma campanha sofisticada de malware sem arquivo foi descoberta, utilizando o AsyncRAT, um poderoso Trojan de Acesso Remoto. Pesquisadores da LevelBlue detalharam a metodologia do ataque, que começa com um cliente ScreenConnect comprometido, um software legítimo de acesso remoto. Os atacantes estabelecem uma sessão interativa através de um domínio malicioso, executando um arquivo VBScript que aciona comandos PowerShell para baixar dois payloads externos.

Os payloads são carregados diretamente na memória, sem deixar vestígios em disco, utilizando técnicas de reflexão. A primeira etapa do malware, Obfuscator.dll, é responsável por inicialização, persistência e técnicas de evasão. A persistência é alcançada através de uma tarefa agendada disfarçada de “Skype Updater”. O segundo componente, AsyncClient.exe, implementa funcionalidades de comando e controle, realizando reconhecimento do sistema e coletando informações sensíveis, como dados de carteiras de criptomoedas. O uso de técnicas avançadas de evasão e a execução apenas em memória tornam o AsyncRAT uma ameaça significativa para a segurança cibernética, destacando a necessidade de soluções de segurança mais robustas.