Malware

Um novo golpe de cibersegurança está em andamento, onde hackers estão utilizando um domínio falso do Microsoft Activation Scripts (MAS) para disseminar malware, especificamente o Cosmali Loader. Esse malware é ativado quando usuários digitam incorretamente o comando ‘get.activated.win’ no PowerShell, substituindo por ‘get.activate[.]win’, um domínio malicioso. Os usuários afetados relataram receber pop-ups informando sobre a infecção, que pode incluir um trojan de acesso remoto e funcionalidades de mineração de criptomoedas. Especialistas em cibersegurança alertam que a utilização de scripts de ativação não oficiais do Windows pode ser arriscada e recomendam cautela ao inserir comandos desconhecidos. A situação destaca a importância de verificar a autenticidade de ferramentas de ativação e a necessidade de educação contínua sobre segurança digital para evitar tais armadilhas.

Criminosos digitais estão utilizando o Telegram como plataforma para disseminar aplicativos clonados que roubam dados de usuários de dispositivos Android. Especialistas do Group-IB identificaram uma campanha de phishing que se aproveita da confiança em aplicativos legítimos, como os disponíveis na Play Store. Os hackers criam versões falsas de aplicativos populares e, ao serem instalados, esses aplicativos maliciosos atuam como droppers, implantando um payload agressivo sem necessidade de conexão com a internet. A infecção ocorre através do sequestro de SMS, utilizando um malware chamado Wonderland, que permite a execução de comandos maliciosos em tempo real. Até o momento, a campanha foi observada principalmente no Uzbequistão, mas a técnica pode ser facilmente replicada em outros locais. O malware intercepta senhas de uso único e informações sensíveis, como credenciais bancárias, e se propaga entre os contatos da vítima. Para que o malware funcione, o usuário deve permitir a instalação de fontes desconhecidas, o que facilita o sequestro do número de celular e a continuidade da infecção. A estratégia dos hackers é criar uma aparência de legitimidade para enganar as vítimas e burlar verificações de segurança.

Uma nova campanha de malware, chamada GhostPoster, tem afetado usuários do navegador Firefox ao utilizar logos de 17 extensões legítimas para disseminar um software malicioso. Segundo a Koi Security, essas extensões foram baixadas mais de 50 mil vezes antes de serem desativadas. O malware é projetado para rastrear as atividades dos usuários e realizar fraudes, como sequestrar links de afiliados e injetar códigos de rastreamento. Os hackers se aproveitam de ícones de VPNs, bloqueadores de anúncios e ferramentas populares, como versões falsas do Google Tradutor, para enganar os usuários. Após a instalação, o malware analisa o sistema em busca de um marcador específico e se conecta a um servidor externo, iniciando uma série de ações maliciosas, como a interceptação de links de e-commerce e a criação de perfis falsos no Google Analytics. O software malicioso opera de forma furtiva, com um loader que espera até 48 horas entre as tentativas de busca, dificultando sua detecção. Essa situação levanta preocupações sobre a segurança dos dados dos usuários e a eficácia das medidas de proteção existentes.

A Trust Wallet, serviço de carteira de criptomoedas, está alertando seus usuários para atualizarem a extensão do Google Chrome após um incidente de segurança que resultou na perda de aproximadamente US$ 7 milhões. O problema afeta a versão 2.68 da extensão, que possui cerca de um milhão de usuários. A empresa recomenda a atualização imediata para a versão 2.69. O ataque, conforme relatado pela SlowMist, introduziu um código malicioso que acessava as carteiras armazenadas na extensão e solicitava a frase mnemônica de cada uma. Essa informação era então enviada para um servidor controlado pelo atacante. Até o momento, cerca de US$ 3 milhões em Bitcoin, US$ 431 em Solana e mais de US$ 3 milhões em Ethereum foram drenados. A Trust Wallet afirmou que está trabalhando para reembolsar todos os usuários afetados e pediu que os usuários evitem interagir com mensagens que não venham de seus canais oficiais. A possibilidade de que o ataque tenha sido realizado por um ator de estado-nação foi levantada, e o cofundador da Binance, Changpeng Zhao, sugeriu que o ataque pode ter sido realizado por um insider.

O cenário da cibersegurança está se tornando cada vez mais complexo, com atacantes utilizando ferramentas comuns e interfaces familiares para realizar suas atividades maliciosas. Recentemente, foi identificado um padrão de ataques que se destaca pela precisão, paciência e persuasão, onde os invasores não se destacam, mas se camuflam em atividades normais. Um exemplo é o uso do Nezha, uma ferramenta de monitoramento de código aberto, que está sendo explorada por cibercriminosos para obter acesso remoto a sistemas comprometidos. Além disso, a Coreia do Sul implementou uma nova política que exige reconhecimento facial para a ativação de novos números de telefone, visando combater fraudes e roubo de identidade. Por outro lado, a detecção de malware que explora NFC em dispositivos Android aumentou em 87% na segunda metade de 2025, demonstrando a crescente sofisticação das ameaças. Outro ponto alarmante é a distribuição de exploits falsos que visam profissionais inexperientes em segurança da informação, levando à instalação de backdoors como o WebRAT. Esses incidentes ressaltam a importância de uma conscientização mais aguda sobre as ameaças cibernéticas e a necessidade de estratégias de defesa mais eficazes, que vão além de simplesmente construir muros de proteção.

Pesquisadores de cibersegurança descobriram uma nova variante do malware MacSync, um ladrão de informações para macOS, que é distribuído por meio de um aplicativo Swift assinado digitalmente e notariado, disfarçado como instalador de um aplicativo de mensagens. Essa abordagem visa contornar as verificações de segurança da Apple, como o Gatekeeper. Ao contrário de variantes anteriores que utilizavam técnicas de arrastar para o terminal, esta versão adota uma abordagem mais enganosa e automatizada. O instalador, nomeado ‘zk-call-messenger-installer-3.9.2-lts.dmg’, foi encontrado em um site específico e, apesar de ser assinado, exibe instruções para que os usuários abram o aplicativo manualmente, uma tática comum para evitar bloqueios. O dropper em Swift realiza várias verificações antes de baixar e executar um script codificado, incluindo a validação da conectividade com a internet e a remoção de atributos de quarentena. Além disso, a nova variante apresenta mudanças significativas na forma como o payload é recuperado, utilizando comandos que visam melhorar a confiabilidade e evitar detecções. A inclusão de documentos PDF irrelevantes no DMG também serve como uma técnica de evasão, aumentando o tamanho do arquivo para 25,5 MB. O MacSync, uma versão rebranded do Mac.c, possui capacidades de controle remoto além do roubo de dados, refletindo uma tendência crescente de malware que se disfarça como aplicativos legítimos.

Recentemente, duas campanhas de malware têm se destacado por enganar usuários e comprometer dispositivos. A primeira, identificada pela Cyderes, envolve a distribuição de software pirata, especificamente um loader chamado CountLoader. Este malware é instalado quando a vítima tenta baixar versões crackeadas de programas legítimos, como o Microsoft Word, através de links em sites falsos. O arquivo ZIP corrompido contém um documento que, ao ser aberto, executa comandos maliciosos, criando uma tarefa agendada que permite ao malware coletar dados sensíveis do usuário, burlando até mesmo a detecção de antivírus.

Pesquisadores de cibersegurança identificaram duas extensões maliciosas do Google Chrome, ambas com o nome ‘Phantom Shuttle’, que interceptam tráfego e capturam credenciais de usuários. Publicadas por um mesmo desenvolvedor, as extensões prometem ser um plug-in de teste de velocidade de rede, mas na verdade atuam como proxies man-in-the-middle, coletando dados sensíveis. Os usuários pagam entre ¥9.9 e ¥95.9 CNY (aproximadamente R$ 1,40 a R$ 13,50) acreditando que estão adquirindo um serviço legítimo de VPN. Após a ativação, as extensões injetam credenciais de proxy em solicitações de autenticação HTTP, permitindo que os atacantes capturem informações como senhas, números de cartão de crédito e dados de navegação. A operação, que parece ter origem na China, utiliza uma infraestrutura profissional para parecer legítima, enquanto compromete a segurança dos usuários. É recomendado que os usuários removam essas extensões imediatamente e que as equipes de segurança implementem medidas de monitoramento e controle de extensões no ambiente corporativo.

Pesquisadores de cibersegurança revelaram um novo pacote malicioso no repositório npm, chamado ’lotusbail’, que se disfarça como uma API funcional do WhatsApp. Desde sua publicação em maio de 2025, o pacote foi baixado mais de 56.000 vezes, com 711 downloads apenas na última semana. O malware é capaz de interceptar mensagens, roubar credenciais do WhatsApp e instalar um backdoor persistente no dispositivo da vítima. Ele captura tokens de autenticação, histórico de mensagens, listas de contatos e arquivos de mídia, enviando esses dados para um servidor controlado pelo atacante de forma criptografada. Além disso, o pacote permite que o dispositivo do invasor se conecte à conta do WhatsApp da vítima, garantindo acesso contínuo mesmo após a desinstalação do pacote. A técnica utilizada envolve um wrapper malicioso de WebSocket que redireciona informações de autenticação e mensagens. O ’lotusbail’ também possui funcionalidades anti-debugging que dificultam a detecção. Este incidente destaca a crescente sofisticação dos ataques à cadeia de suprimentos, onde pacotes maliciosos se disfarçam como ferramentas legítimas, representando um risco significativo para desenvolvedores e usuários do WhatsApp.

Um novo malware chamado Wonderland, que se disfarça como aplicativos legítimos, está sendo utilizado por grupos de ameaças para roubar mensagens SMS de usuários de Android no Uzbequistão. Anteriormente, os atacantes usavam APKs de trojans que atuavam como malware imediatamente após a instalação. Agora, eles estão utilizando aplicativos dropper, que parecem inofensivos, mas contêm um payload malicioso que é ativado localmente após a instalação, mesmo sem conexão com a internet. O Wonderland permite comunicação bidirecional com o servidor de comando e controle (C2), possibilitando o roubo de SMS e a execução de comandos em tempo real. Os atacantes, conhecidos como TrickyWonders, utilizam o Telegram para coordenar suas operações e distribuem o malware através de páginas falsas do Google Play, campanhas publicitárias e contas falsas em aplicativos de namoro. Uma vez instalado, o malware pode interceptar senhas de uso único (OTPs) e acessar informações bancárias dos usuários. A evolução do malware na região mostra um aumento na sofisticação das técnicas utilizadas, tornando a detecção e mitigação mais desafiadoras para os usuários e profissionais de segurança.

Pesquisadores de segurança identificaram novas atividades do grupo de hackers iraniano Infy, também conhecido como Príncipe da Pérsia, quase cinco anos após suas últimas ações. O grupo, um dos mais antigos atores de ameaças persistentes avançadas (APT), é considerado ativo e perigoso, com operações que datam de 2004. Recentemente, foram descobertas campanhas que visam vítimas em países como Irã, Iraque, Turquia, Índia, Canadá e na Europa, utilizando versões atualizadas de dois malwares: Foudre e Tonnerre. Foudre, um downloader, é distribuído por meio de e-mails de phishing e é responsável por instalar o Tonnerre, que extrai dados de máquinas de alto valor. A análise revelou uma mudança nas táticas, com o uso de arquivos executáveis em documentos do Excel para instalar o malware. Além disso, o grupo utiliza um algoritmo de geração de domínio (DGA) para fortalecer sua infraestrutura de comando e controle (C2). O Tonnerre, em sua versão mais recente, também se conecta a um grupo no Telegram, o que é uma abordagem inovadora para comunicação entre o malware e seus operadores. Apesar de parecer inativo em 2022, o grupo continua a operar de forma discreta, levantando preocupações sobre suas capacidades e intenções futuras.

O malware fileless é uma nova forma de ataque cibernético que opera diretamente na memória RAM dos dispositivos, evitando a detecção por ferramentas tradicionais de segurança. Diferente dos vírus convencionais, que se instalam no disco rígido, esse tipo de malware utiliza técnicas conhecidas como ‘Living off the Land’, que aproveitam ferramentas legítimas do sistema, como PowerShell e macros do Office, para realizar ações maliciosas. O ataque geralmente começa com e-mails de phishing ou documentos comprometidos, que, ao serem abertos, executam comandos ocultos que não deixam vestígios permanentes no sistema. Isso torna a detecção extremamente difícil, pois não há arquivos maliciosos a serem escaneados. Casos como o da Equifax, onde dados de 147,9 milhões de pessoas foram expostos, ilustram a gravidade dessa ameaça. Para se proteger, é essencial atualizar softwares, ter cuidado com macros, usar ferramentas que monitoram comportamentos suspeitos e desativar funções desnecessárias. A vigilância constante e a higiene digital são fundamentais para evitar infecções por esse tipo de malware.

O Departamento de Justiça dos EUA anunciou o indiciamento de 54 indivíduos envolvidos em um esquema de jackpotting que resultou em milhões de dólares em fraudes em caixas eletrônicos (ATMs). O grupo, associado à gangue venezuelana Tren de Aragua, utilizou um malware chamado Ploutus para hackear ATMs e forçá-los a liberar dinheiro. As investigações revelaram que os membros do grupo realizaram vigilância metódica e técnicas de arrombamento para instalar o malware, que permite comandos não autorizados para saques. Desde 2021, foram registrados 1.529 incidentes de jackpotting nos EUA, resultando em perdas de aproximadamente 40,73 milhões de dólares. O uso do Ploutus, que foi detectado pela primeira vez no México em 2013, destaca a vulnerabilidade de ATMs, especialmente aqueles que operam com sistemas mais antigos, como o Windows XP. O impacto financeiro e a conexão com atividades terroristas tornam este caso alarmante, exigindo atenção das autoridades e da indústria financeira.

Uma nova campanha de malware, identificada como parte da operação ClickFix, está enganando usuários com alertas falsos de extensão no navegador. Especialistas da Point Wild alertam que o ataque utiliza engenharia social para induzir as vítimas a instalar manualmente um software malicioso chamado DarkGate. O golpe simula o desaparecimento de uma extensão do Word, levando o usuário a clicar em um botão de ‘como corrigir’, que promete restaurar o acesso ao documento. Ao clicar, um comando do PowerShell é inserido na área de transferência do navegador, permitindo que os hackers conduzam o ataque sem que a vítima perceba. Uma vez instalado, o DarkGate pode baixar arquivos maliciosos e se camuflar em scripts codificados, tornando-se persistente mesmo após reinicializações do sistema. O malware coleta informações sensíveis e as envia para os servidores dos criminosos, explorando a confiança do usuário e a falta de atenção para os riscos online. Este tipo de ataque representa um desafio significativo para a segurança cibernética, pois pode passar despercebido até mesmo por sistemas de antivírus.

Pesquisadores de cibersegurança alertaram sobre o surgimento do malware SantaStealer, que opera sob um modelo de malware como serviço. Este novo software malicioso, uma versão rebranded do BluelineStealer, é acessível a cibercriminosos de baixo nível por meio de assinaturas mensais que variam de $175 a $300. SantaStealer possui quatorze módulos distintos que coletam dados simultaneamente, incluindo credenciais de navegadores, cookies, histórico de navegação, informações de carteiras de criptomoedas e dados de aplicativos de mensagens. Os dados roubados são comprimidos e enviados para um servidor de comando e controle. O malware também captura capturas de tela e tem a capacidade de contornar a criptografia de aplicativos do Chrome. Embora atualmente não esteja amplamente distribuído, os pesquisadores notaram que as táticas de ataque incluem phishing e downloads de software pirata. A proteção apenas por firewall pode não ser suficiente para evitar esses vetores de ataque, e a detecção de antivírus continua sendo eficaz contra as amostras observadas. Apesar de sua capacidade técnica, SantaStealer é mais notável por sua estratégia de marketing do que por sua maturidade técnica.

Um novo malware, identificado como NANOREMOTE, está utilizando a API do Google Drive para controlar sistemas operacionais Windows de forma discreta. A descoberta foi realizada por especialistas da Elastic Security Labs, que relataram que o malware funciona como um backdoor, permitindo que os cibercriminosos acessem o centro de comando da plataforma para transferir dados entre o dispositivo da vítima e seus servidores. O NANOREMOTE é capaz de roubar informações, executar comandos e manipular arquivos, tudo isso sem que o usuário perceba. O malware também possui um gerenciador de tarefas que automatiza downloads e uploads, facilitando a ação criminosa. Embora os pesquisadores ainda não tenham identificado como o NANOREMOTE é distribuído, acredita-se que um grupo chinês de ciberataques esteja por trás da campanha, visando setores estratégicos como governo, defesa, telecomunicações, educação e aviação, principalmente no sudeste asiático e na América do Sul desde 2023. O malware se comunica com um endereço IP fixo e não roteável, utilizando solicitações HTTP para enviar e receber dados, o que aumenta sua furtividade. Essa situação levanta preocupações sobre a segurança de dados e a necessidade de vigilância constante em ambientes corporativos.

Pesquisadores de cibersegurança revelaram uma nova campanha que utiliza sites de distribuição de software crackeado como vetor para uma versão modular e furtiva do loader conhecido como CountLoader. Essa campanha inicia-se quando usuários desavisados tentam baixar versões piratas de softwares legítimos, como o Microsoft Word, sendo redirecionados para links maliciosos que hospedam arquivos ZIP contendo um interpretador Python renomeado. O malware, uma vez instalado, estabelece persistência no sistema e pode baixar e executar outros malwares, como o ACR Stealer, que coleta dados sensíveis. CountLoader é projetado para contornar ferramentas de segurança, como o Falcon da CrowdStrike, e possui capacidades de propagação via dispositivos USB. Além disso, a Check Point revelou um loader JavaScript chamado GachiLoader, distribuído por meio de contas comprometidas do YouTube, que também implanta malwares adicionais. Essa evolução das técnicas de malware destaca a necessidade de estratégias de defesa em camadas e detecção proativa.

Um novo malware, identificado como Cellik, está causando sérios problemas em dispositivos Android. Este trojan de acesso remoto (RAT) é capaz de clonar aplicativos legítimos da Play Store, permitindo que hackers obtenham controle total dos aparelhos das vítimas. O Cellik é comercializado em fóruns da dark web e oferece uma gama de ferramentas para comprometer sistemas, criando uma falsa sensação de legitimidade. Ao instalar o aplicativo comprometido, a vítima permite que o malware acesse a tela do dispositivo, registre teclas digitadas, intercepte notificações e navegue de forma oculta na internet. O Cellik também consegue acessar o sistema de arquivos do aparelho e utilizar cookies armazenados para roubar credenciais de login. O que torna esse malware particularmente perigoso é sua capacidade de se integrar à Play Store, burlando sistemas de segurança como o Google Play Protect, que não consegue detectar a presença do trojan. Essa situação levanta preocupações significativas sobre a segurança dos usuários e a eficácia das medidas de proteção atualmente disponíveis.

Um novo grupo de ameaças cibernéticas, conhecido como LongNosedGoblin, foi identificado como responsável por uma série de ataques direcionados a entidades governamentais no Sudeste Asiático e no Japão. O objetivo principal dessas ações é a espionagem cibernética, conforme relatado pela empresa de cibersegurança ESET. As atividades do grupo foram detectadas desde setembro de 2023 e utilizam o mecanismo de Group Policy para implantar malware em redes comprometidas, além de serviços de nuvem como Microsoft OneDrive e Google Drive como servidores de comando e controle.

O SantaStealer é um novo malware do tipo ladrão de informações (infostealer) que está sendo comercializado em fóruns de hackers e no Telegram. Ele é uma versão rebranded do BluelineStealer e foi identificado por pesquisadores da Rapid7. O malware opera diretamente na memória do sistema, dificultando sua detecção. Com uma assinatura básica custando US$ 175 por mês, o SantaStealer oferece 14 módulos de coleta de dados, permitindo o roubo de informações de navegadores, senhas, cookies, histórico, contas de aplicativos como Telegram e Discord, além de documentos e dados de criptomoedas. Os dados são enviados para um servidor de comando e controle em pacotes de 10 MB. Embora tenha capacidades avançadas, o malware ainda não está totalmente operacional e não é amplamente distribuído. Os pesquisadores alertam sobre métodos de ataque como phishing e comandos colados no terminal do Windows, recomendando cautela ao abrir links e anexos suspeitos.

O boletim semanal de ameaças cibernéticas destaca a evolução das táticas de ataque, com um foco em um esquema de fraude internacional desmantelado na Ucrânia, onde mais de 400 vítimas perderam mais de €10 milhões. As autoridades europeias, em colaboração com a Eurojust, prenderam 12 suspeitos envolvidos em call centers que enganavam vítimas, utilizando técnicas como a simulação de policiais para obter informações bancárias. Além disso, o governo do Reino Unido está pressionando a Apple e o Google a implementar sistemas de bloqueio de nudez em dispositivos móveis, visando proteger crianças. Outra ameaça emergente é o malware SantaStealer, que coleta dados sensíveis e opera de forma modular, dificultando a detecção. O artigo também menciona a resiliência de provedores de Bulletproof Hosting, que permitem que criminosos cibernéticos operem com agilidade. Por fim, novas técnicas de engenharia social, como o ataque GhostPairing, estão sendo utilizadas para sequestrar contas do WhatsApp, destacando a necessidade de vigilância constante. O cenário cibernético continua a se transformar rapidamente, exigindo atenção das organizações para mitigar riscos.

O grupo de ameaças cibernéticas norte-coreano Kimsuky está vinculado a uma nova campanha que distribui uma variante de malware para Android chamada DocSwap. O malware é disseminado por meio de QR codes hospedados em sites de phishing que imitam a empresa de logística CJ Logistics. Os atacantes utilizam QR codes e pop-ups de notificação para enganar as vítimas, levando-as a instalar o malware em seus dispositivos móveis. A aplicação maliciosa, ao ser instalada, decripta um APK embutido e ativa um serviço que permite controle remoto (RAT) do dispositivo. Para contornar as advertências de segurança do Android, os atacantes apresentam o aplicativo como uma versão oficial e segura. Além disso, a campanha utiliza mensagens de smishing e e-mails de phishing que se passam por empresas de entrega para atrair as vítimas. Uma vez instalado, o malware pode registrar teclas, capturar áudio, acessar a câmera, realizar operações de arquivos e coletar dados sensíveis, como mensagens SMS e contatos. O ataque também inclui amostras disfarçadas de aplicativos legítimos, como um VPN, demonstrando a evolução das táticas do grupo. A análise revela que os sites de phishing estão associados a campanhas anteriores de coleta de credenciais, aumentando a preocupação com a segurança dos usuários na Coreia do Sul e potencialmente em outros locais, incluindo o Brasil.

A botnet Kimwolf, identificada pela QiAnXin XLab, já infectou cerca de 1,8 milhão de dispositivos, incluindo TVs Android e set-top boxes. Entre 19 e 22 de novembro de 2025, a botnet emitiu 1,7 bilhão de comandos de ataque DDoS, destacando-se no ranking da Cloudflare. Os principais alvos são dispositivos de TV em redes residenciais, com infecções concentradas em países como Brasil, Índia e EUA. A botnet utiliza técnicas avançadas, como o uso de ENS (Ethereum Name Service) para dificultar sua desativação. A pesquisa sugere que Kimwolf pode estar associada à botnet AISURU, conhecida por ataques DDoS recordes. A malware é projetada para operar de forma discreta, garantindo que apenas uma instância do processo seja executada e utilizando criptografia TLS para comunicação. Com 13 métodos de ataque DDoS suportados, a botnet visa maximizar o uso da largura de banda dos dispositivos comprometidos, indicando um foco em monetização através de serviços de proxy. Este incidente destaca a crescente ameaça que botnets de grande escala representam para dispositivos IoT, especialmente em um cenário onde a segurança cibernética é cada vez mais crítica.

Uma nova campanha de cibersegurança está ameaçando usuários do Microsoft Teams e do Google Meet no Brasil, com downloads falsos que disseminam malware. Especialistas da CyberProof identificaram que cibercriminosos estão utilizando técnicas de envenenamento de SEO para manipular resultados de busca, fazendo com que sites fraudulentos apareçam no topo. Ao acessar esses sites, os usuários acreditam estar baixando as plataformas legítimas, mas, na verdade, estão instalando o backdoor Oyster, um malware que cria uma porta de entrada oculta no sistema. Esse malware instala um arquivo malicioso chamado ‘AlphaSecurity.dll’, que é executado a cada 18 minutos, mesmo após reinicializações do sistema. A campanha é particularmente preocupante para o setor financeiro, onde o uso do Teams e Meet é elevado, aumentando o risco de sequestro de dados por grupos de ransomware. Especialistas recomendam que os usuários evitem clicar em anúncios de download e busquem sempre canais oficiais para evitar infecções.

Desde julho de 2025, o grupo de cibercriminosos conhecido como Jewelbug tem direcionado suas atividades principalmente a alvos governamentais na Europa, enquanto ainda mantém ataques em regiões da Ásia e América do Sul. A Check Point Research, que monitora essa ameaça sob o nome Ink Dragon, descreve a atuação do grupo como altamente eficaz e discreta, utilizando engenharia de software avançada e ferramentas nativas de plataformas para se camuflar no tráfego normal das empresas. Entre suas táticas, destacam-se o uso de backdoors como FINALDRAFT e NANOREMOTE, que permitem controle remoto e exfiltração de dados. O grupo também explorou vulnerabilidades em serviços da ASP.NET e SharePoint para comprometer servidores e estabelecer uma infraestrutura de comando e controle (C2). As intrusões têm resultado em acesso a informações sensíveis, incluindo credenciais administrativas e dados de registro. A Check Point alerta que a arquitetura de relé do Ink Dragon permite que um único comprometimento se torne um nó em uma rede de ataques mais ampla, exigindo que as defesas considerem a possibilidade de uma rede de cibercriminosos interconectada.

Uma nova campanha chamada GhostPoster explorou arquivos de logotipo associados a 17 extensões do navegador Mozilla Firefox para embutir código JavaScript malicioso. Esse código é projetado para sequestrar links de afiliados, injetar códigos de rastreamento e cometer fraudes de cliques e anúncios. As extensões, que foram baixadas mais de 50.000 vezes, foram retiradas do ar após a descoberta pela Koi Security. Entre elas, estavam programas que prometiam funcionalidades como VPNs e bloqueadores de anúncios. O ataque se inicia quando o arquivo de logotipo é carregado, permitindo que o código malicioso busque um servidor externo para obter um payload principal. O malware é capaz de realizar diversas atividades fraudulentas, como desviar comissões de afiliados e injetar códigos de rastreamento em páginas visitadas. Além disso, técnicas de evasão foram implementadas para dificultar a detecção, como a ativação do malware apenas após seis dias da instalação. A campanha destaca a vulnerabilidade de extensões de navegador, que podem ser utilizadas para atividades maliciosas, colocando em risco a privacidade e a segurança dos usuários.

Um novo ataque cibernético tem se espalhado por meio de um torrent fraudulento que promete conter o filme “One Battle After Another”, estrelado por Leonardo DiCaprio. Ao clicar em um atalho disfarçado como lançador do filme, os usuários inadvertidamente executam um script PowerShell malicioso que se oculta em arquivos de legenda. Esse script extrai e executa outros scripts maliciosos, resultando na instalação do AgentTesla, um trojan de acesso remoto que rouba credenciais de navegadores, clientes de e-mail e ferramentas de FTP. A campanha, observada por pesquisadores, destaca a vulnerabilidade dos usuários que, atraídos pela curiosidade por novos lançamentos, ignoram os riscos de segurança. O ataque não depende de falhas de software, mas sim da execução do usuário, o que permite contornar defesas básicas de antivírus. A disseminação de torrents por publicadores anônimos continua a ser um método comum para a entrega de malware, reforçando a necessidade de cautela ao baixar conteúdos não verificados.

Pesquisadores de cibersegurança descobriram um novo pacote NuGet malicioso que utiliza typosquatting para se passar pela popular biblioteca de rastreamento .NET, introduzindo um ladrão de carteiras de criptomoedas. Nomeado ‘Tracer.Fody.NLog’, o pacote foi publicado em 26 de fevereiro de 2020 e permaneceu no repositório por quase seis anos, sendo baixado mais de 2.000 vezes. O pacote se disfarça como ‘Tracer.Fody’, que é mantido por um autor legítimo, mas contém um código que escaneia diretórios de carteiras Stratis no Windows, extrai dados de carteiras e senhas, enviando essas informações para um servidor controlado por criminosos na Rússia. O ataque utiliza táticas sofisticadas para evitar detecções, como a imitação do nome do mantenedor legítimo e a ocultação de funções maliciosas em códigos comuns. O mesmo endereço IP já havia sido utilizado em um ataque anterior, demonstrando um padrão de comportamento de ameaças que pode se repetir em outras bibliotecas populares. A descoberta ressalta a importância da segurança na cadeia de suprimentos de software, especialmente em ambientes de código aberto.

Uma nova campanha de cibersegurança está atacando clientes da Amazon Web Services (AWS) utilizando credenciais comprometidas de Gerenciamento de Identidade e Acesso (IAM) para realizar mineração de criptomoedas. Detectada pela primeira vez em 2 de novembro de 2025 pelo serviço de detecção de ameaças GuardDuty da Amazon, a atividade emprega técnicas de persistência inovadoras para dificultar a resposta a incidentes. Os atacantes, operando de um provedor de hospedagem externo, rapidamente enumeraram recursos e permissões antes de implantar recursos de mineração em ECS e EC2. Em menos de 10 minutos após o acesso inicial, os mineradores estavam operacionais.

Uma pesquisa da ReversingLabs revelou uma campanha de ciberataques direcionada a desenvolvedores que utilizam o Marketplace do Visual Studio Code (VS Code). Desde fevereiro de 2025, 19 extensões maliciosas foram identificadas, ocultando um trojan. O vetor de ataque foi descoberto em 2 de dezembro e envolve a manipulação de uma dependência popular chamada ‘path-is-absolute’, que possui mais de 9 bilhões de downloads. As extensões falsas, como uma versão adulterada do Prettier, foram projetadas para parecerem legítimas, mas continham código malicioso que se ativava ao abrir o VS Code. O malware se disfarça como uma imagem PNG, mas na verdade, é um arquivo que gera um erro ao ser aberto, revelando binários maliciosos. O trojan resultante, ainda em análise, utiliza a ferramenta nativa do Windows, cmstp.exe, para executar suas funções. Os usuários são aconselhados a inspecionar suas extensões, especialmente aquelas com poucos downloads ou avaliações, para evitar infecções.

Especialistas da Bitdefender alertaram sobre um arquivo torrent do filme ‘Uma Batalha Após a Outra’, estrelado por Leonardo DiCaprio, que está sendo utilizado como isca por hackers para disseminar um malware conhecido como Agent Tesla. Este software malicioso, que atua como um trojan de acesso remoto, compromete o sistema operacional Windows ao explorar programas legítimos para contornar medidas de segurança.

O ataque ocorre quando o usuário tenta abrir o arquivo torrent, que na verdade contém uma série de comandos maliciosos ocultos nas legendas do filme. Ao clicar no atalho ‘CD.lnk’, scripts do PowerShell são executados, permitindo que o malware se instale e ganhe controle sobre o dispositivo. O Agent Tesla é projetado para roubar informações pessoais e dados bancários, além de transformar o computador da vítima em um ‘agente zumbi’ para futuros ataques. Desde 2014, milhares de downloads comprometidos foram identificados, expondo muitos usuários a esse risco.

Em dezembro de 2025, pesquisadores de segurança revelaram uma campanha de cibercrime que comprometeu extensões populares dos navegadores Chrome e Edge. O grupo de ameaças conhecido como ShadyPanda passou sete anos publicando ou adquirindo extensões inofensivas, acumulando milhões de instalações antes de transformá-las em malware por meio de atualizações silenciosas. Aproximadamente 4,3 milhões de usuários foram afetados, com as extensões se tornando um framework de execução remota de código (RCE) que permitia o roubo de dados, como cookies de sessão e tokens de autenticação. Essa tática representa um ataque à cadeia de suprimentos de extensões de navegador, onde a confiança do usuário foi explorada. Para as equipes de segurança de SaaS, o incidente destaca a necessidade de uma abordagem integrada entre segurança de endpoints e identidade, já que as extensões podem comprometer contas corporativas sem disparar alarmes de segurança tradicionais. Medidas recomendadas incluem a implementação de listas de permissões de extensões, auditorias regulares e monitoramento de comportamentos suspeitos para mitigar riscos futuros.

Recentemente, os desenvolvedores do Notepad++, um popular editor de código-fonte, emitiram um alerta sobre uma vulnerabilidade crítica em seu atualizador, o WinGUp. Hackers têm explorado essa falha para redirecionar o tráfego do atualizador para servidores maliciosos, resultando no download de malware nos computadores das vítimas. Essa exploração ocorre quando um atacante consegue interromper a comunicação entre o WinGUp e a infraestrutura de atualização, fazendo com que o software baixe arquivos infectados em vez de atualizações legítimas. Embora os ataques tenham sido direcionados e em número limitado, a situação é preocupante. Para mitigar o risco, os desenvolvedores lançaram uma atualização (v8.8.9) que corrige a falha, recomendando que os usuários a instalem manualmente. Além disso, é aconselhável realizar uma verificação completa com antivírus e, para empresas, restringir o acesso à internet durante o processo de atualização. A situação destaca a importância de manter softwares atualizados e de estar atento a potenciais ameaças cibernéticas.

Pesquisadores de cibersegurança alertam para uma nova campanha que utiliza repositórios Python hospedados no GitHub para distribuir um Trojan de Acesso Remoto (RAT) baseado em JavaScript, denominado PyStoreRAT. Esses repositórios, que se apresentam como ferramentas de desenvolvimento ou de inteligência de código aberto (OSINT), contêm apenas algumas linhas de código que baixam e executam um arquivo HTA remotamente. O PyStoreRAT é um implante modular que pode executar diversos tipos de arquivos, incluindo EXE, DLL e scripts em PowerShell. Além disso, ele implanta um ladrão de informações chamado Rhadamanthys como carga adicional. A campanha começou em junho de 2025 e se espalhou por meio de contas do GitHub, muitas vezes inativas, que foram reativadas para publicar os repositórios maliciosos. Os atacantes utilizam técnicas para aumentar artificialmente a popularidade dos repositórios, como inflar métricas de estrelas e forks. O malware é projetado para evitar a detecção de soluções de EDR, utilizando lógica de evasão e executando comandos que podem roubar informações sensíveis, especialmente relacionadas a carteiras de criptomoedas. A origem dos atacantes sugere um grupo de língua russa, e a campanha representa uma evolução nas técnicas de infecção, utilizando implantes baseados em scripts que se adaptam às medidas de segurança existentes.

Pesquisadores da Doctor Web identificaram um novo trojan chamado ChimeraWire, que afeta o ranqueamento de resultados no Google Chrome. Este malware não se limita ao roubo de dados, mas simula a atividade de usuários reais para aumentar a visibilidade de sites específicos, manipulando o SEO através de buscas automatizadas e cliques falsos. O ChimeraWire opera em duas cadeias de instalação: a primeira envolve a instalação de um programa que verifica a legitimidade do sistema e, se aprovado, instala um script malicioso. A segunda cadeia utiliza um instalador que simula processos legítimos do Windows, explorando vulnerabilidades para obter acesso ao sistema. Uma vez instalado, o trojan adiciona extensões que burlam CAPTCHAs e se conecta a um servidor de comando, permitindo a manipulação de tráfego falso. Além disso, o malware possui recursos adicionais, como leitura de conteúdo de páginas e captura de tela, que podem ser utilizados pelos operadores. A detecção do ChimeraWire é complicada, pois até o momento, 66 antivírus não conseguiram identificá-lo.

Uma nova ameaça de cibersegurança, identificada como DroidLock, está afetando dispositivos Android na Espanha, sequestrando celulares e espionando usuários através da câmera frontal. Detectado pela empresa Zimperium’s zLabs, o malware se espalha por meio de sites falsos, enganando as vítimas com telas de atualização falsas que as levam a entrar em contato com os hackers. Embora se assemelhe a um ransomware, o DroidLock não criptografa arquivos, mas utiliza permissões do dispositivo para alterar senhas e reconfigurar o aparelho, permitindo controle total aos criminosos. Através de uma tecnologia chamada VNC (Virtual Network Computing), os hackers conseguem acessar remotamente o dispositivo, coletando informações sensíveis, como logins e códigos de autenticação, que são enviadas para servidores controlados por eles. A situação é alarmante, especialmente para empresas, onde um simples clique em um link malicioso pode comprometer dados corporativos e a segurança de informações confidenciais. Especialistas alertam que a natureza agressiva do DroidLock pode causar danos significativos, tornando essencial que usuários e empresas adotem medidas de proteção adequadas.

Um novo malware, denominado Shai Hulud 2.0, foi identificado por especialistas da Kaspersky e está causando preocupação no cenário de cibersegurança. Distribuído através do Node Package Manager (npm), esse worm apresenta um funcionamento em dois estágios. Na primeira fase, ele compromete pacotes npm, enquanto na segunda, se não conseguir roubar dados, apaga arquivos do usuário. Desde sua descoberta em setembro de 2025, mais de 800 pacotes npm foram infectados, afetando principalmente desenvolvedores no Brasil, mas também em países como China, Índia, Rússia, Turquia e Vietnã.

A empresa de cibersegurança Sophos revelou que grupos de cibercriminosos estão utilizando a plataforma Shanya, que oferece um serviço de empacotamento de malware, conhecido como packer-as-a-service. Essa ferramenta permite que códigos maliciosos sejam ofuscados, dificultando sua detecção por antivírus e outras soluções de segurança. O uso do Shanya tem crescido desde o final de 2024, sendo empregado por grupos como Medusa, Qilin, Crytox e Akira, com foco em ransomwares que desativam soluções de detecção e resposta (EDR).

Pesquisadores de cibersegurança revelaram detalhes sobre um novo backdoor para Windows chamado NANOREMOTE, que utiliza a API do Google Drive para suas operações de comando e controle (C2). De acordo com o Elastic Security Labs, o malware apresenta semelhanças de código com outro implante conhecido como FINALDRAFT, que utiliza a API do Microsoft Graph. O NANOREMOTE é projetado para facilitar o roubo de dados e a transferência de arquivos de forma discreta, utilizando um sistema de gerenciamento de tarefas que permite pausar, retomar e cancelar transferências de arquivos. Acredita-se que o grupo por trás do NANOREMOTE, conhecido como REF7707, esteja vinculado a atividades de espionagem cibernética, com alvos em setores como governo, defesa e telecomunicações na Ásia e América do Sul. O vetor de acesso inicial para o NANOREMOTE ainda não é conhecido, mas um loader chamado WMLOADER foi identificado como parte da cadeia de ataque. O malware é escrito em C++ e possui funcionalidades que incluem execução de arquivos e coleta de informações do host. A utilização de uma chave de criptografia comum entre NANOREMOTE e FINALDRAFT sugere uma possível conexão entre os dois malwares, indicando um ambiente de desenvolvimento compartilhado.

O cenário de cibersegurança apresenta um aumento significativo nas ameaças digitais, com hackers infiltrando malware em downloads de filmes, extensões de navegador e atualizações de software. Um novo botnet, Broadside, baseado na variante Mirai, está explorando uma vulnerabilidade crítica em dispositivos TBK DVR, visando o setor de logística marítima. Além disso, o Centro Nacional de Cibersegurança do Reino Unido alertou que falhas em aplicações de inteligência artificial generativa podem nunca ser totalmente mitigadas. Em uma operação da Europol, 193 indivíduos foram presos por envolvimento em redes de ‘violência como serviço’, enquanto na Polônia, três ucranianos foram detidos por tentativas de sabotagem de sistemas de TI. Na Espanha, um jovem hacker foi preso por roubar 64 milhões de registros de dados. A Rússia desmantelou uma operação que utilizava malware para roubar milhões de clientes bancários. Por fim, uma nova backdoor chamada GhostPenguin foi descoberta, capaz de coletar informações de sistemas Linux. Esses eventos destacam a necessidade urgente de medidas de segurança robustas e vigilância contínua.

Uma análise da Trend Micro revelou a evolução da campanha maliciosa Water Saci, que utiliza o malware SORVEPOTEL para se propagar através do WhatsApp Web, especialmente entre usuários brasileiros. Os hackers mudaram suas táticas, substituindo o código PowerShell por Python, o que aumentou a compatibilidade com navegadores e a eficiência na automação do ataque. A campanha se baseia em engenharia social, induzindo os usuários a interagir com conteúdos maliciosos, como arquivos ZIP e PDF, além de mensagens fraudulentas que simulam atualizações do Adobe Acrobat.

Um novo relatório da Recorded Future revela que o grupo de cibercriminosos conhecido como GrayBravo, anteriormente identificado como TAG-150, está utilizando um carregador de malware chamado CastleLoader em quatro clusters de atividade distintos. Este grupo é caracterizado por sua sofisticação técnica e rápida adaptação às reportagens públicas. O CastleLoader é um componente central de uma infraestrutura de malware como serviço (MaaS), permitindo que outros atores do crime cibernético o utilizem. Entre as ferramentas associadas ao GrayBravo estão o trojan de acesso remoto CastleRAT e o framework de malware CastleBot, que é responsável por injetar módulos maliciosos em sistemas vulneráveis. Os ataques são direcionados a setores específicos, como logística e transporte, utilizando técnicas de phishing e malvertising. A análise também destaca a utilização de contas fraudulentas em plataformas de correspondência de frete para aumentar a credibilidade das campanhas de phishing. A crescente adoção do CastleLoader por diversos grupos de ameaças indica uma proliferação rápida de ferramentas avançadas no ecossistema cibernético, o que representa um risco significativo para empresas em diversos setores.

Um novo malware chamado EtherRAT, vinculado a atores de ameaças da Coreia do Norte, está explorando uma vulnerabilidade crítica recentemente divulgada no React Server Components (RSC). Essa falha, identificada como CVE-2025-55182, possui uma pontuação CVSS de 10.0, indicando sua gravidade máxima. O EtherRAT utiliza contratos inteligentes do Ethereum para resolver comandos de controle e possui cinco mecanismos independentes de persistência no Linux, o que permite que ele mantenha acesso contínuo aos sistemas infectados. O ataque geralmente começa com uma abordagem de engenharia social, onde os desenvolvedores de blockchain e Web3 são alvos de entrevistas de emprego falsas. Após a exploração da vulnerabilidade, um script shell é baixado e executado, instalando o malware. O EtherRAT se destaca por sua capacidade de se atualizar e por usar um mecanismo de votação de consenso entre nove endpoints RPC do Ethereum para obter URLs de servidores de comando e controle, dificultando a detecção e a neutralização. Essa evolução na exploração da vulnerabilidade do React representa um desafio significativo para as defesas tradicionais, exigindo atenção especial dos profissionais de segurança cibernética.

Pesquisadores de cibersegurança descobriram duas extensões maliciosas no Marketplace do Microsoft Visual Studio Code (VS Code) que visam infectar máquinas de desenvolvedores com malware do tipo stealer. As extensões, que se apresentavam como um tema escuro premium e um assistente de codificação baseado em inteligência artificial, na verdade, possuíam funcionalidades ocultas para baixar cargas adicionais, capturar telas e roubar dados. As informações coletadas eram enviadas a um servidor controlado por atacantes. As extensões identificadas foram ‘BigBlack.bitcoin-black’, que teve 16 instalações, e ‘BigBlack.codo-ai’, com 25 instalações, ambas removidas pela Microsoft em dezembro de 2025. O malware era capaz de roubar senhas de Wi-Fi, acessar o conteúdo da área de transferência e sequestrar sessões de navegador. Além disso, versões anteriores das extensões permitiam a execução de scripts PowerShell para baixar arquivos maliciosos. O ataque destaca a vulnerabilidade de ferramentas amplamente utilizadas por desenvolvedores e a necessidade de vigilância constante em relação a pacotes de software. O incidente é um alerta sobre a segurança na cadeia de suprimentos de software, especialmente em um cenário onde pacotes maliciosos também foram identificados em outras plataformas como Go e npm.

Pesquisadores de segurança da Malanta.ai descobriram uma vasta infraestrutura de cibercrime na Indonésia, que operava há mais de 14 anos, com características que lembram operações patrocinadas por estados. A rede controlava mais de 320 mil domínios, incluindo 90 mil subdomínios hackeados, e estava envolvida na distribuição de milhares de aplicativos Android maliciosos. Esses aplicativos, disfarçados como plataformas de jogos, permitiam acesso total aos dispositivos comprometidos. A operação resultou no roubo de mais de 50 mil credenciais de jogos e levantou suspeitas sobre a possível ligação com atores estatais, dada a sofisticação e o financiamento da infraestrutura. Os pesquisadores alertam que a utilização de serviços como AWS e Firebase para comando e controle (C2) pode indicar um nível de organização além do que se espera de criminosos comuns.

Pesquisadores de cibersegurança identificaram uma nova campanha chamada JS#SMUGGLER, que utiliza sites comprometidos para distribuir um trojan de acesso remoto conhecido como NetSupport RAT. A análise da Securonix revela que a cadeia de ataque envolve um carregador JavaScript ofuscado injetado em um site, um aplicativo HTML (HTA) que executa estagiários PowerShell criptografados via ‘mshta.exe’, e um payload PowerShell que baixa e executa o malware principal. O NetSupport RAT permite controle total do host comprometido, incluindo acesso remoto, operações de arquivos e roubo de dados. A campanha, que ainda não está ligada a nenhum grupo de ameaças conhecido, visa usuários empresariais e utiliza técnicas sofisticadas de evasão, como iframes ocultos e execução em camadas de scripts. Os pesquisadores recomendam a implementação de medidas de segurança robustas, como monitoramento de scripts e restrições ao mshta.exe, para detectar e mitigar esses ataques.

Um novo spyware chamado Predator, desenvolvido pela empresa de vigilância Intellexa, está gerando preocupações entre especialistas em cibersegurança. Este software malicioso utiliza um mecanismo de ‘clique zero’, permitindo que dispositivos sejam infectados apenas pela visualização de anúncios maliciosos. O spyware, identificado como Aladdin, foi descoberto em uma investigação que revelou como empresas ao redor do mundo serviam como fachada para a disseminação do malware. Os anúncios maliciosos são exibidos em sites e aplicativos confiáveis, disfarçados entre propagandas legítimas. A técnica utilizada pelo Aladdin força a exibição de anúncios direcionados a alvos específicos, identificados por seus endereços IP, através de uma Plataforma de Demanda (DSP) que automatiza a compra de publicidade digital. Isso levanta um alerta significativo, pois o usuário não precisa interagir com o anúncio para ser afetado; a simples visualização é suficiente para comprometer o dispositivo. Até o momento, não há informações detalhadas sobre como o spyware compromete os sistemas, mas especula-se que isso possa ocorrer por meio de redirecionamentos para servidores de exploração da Intellexa.

Pesquisadores de cibersegurança revelaram detalhes sobre duas novas famílias de malware Android, FvncBot e SeedSnatcher, além de uma versão aprimorada do ClayRat. O FvncBot, disfarçado como um aplicativo de segurança do mBank, visa usuários de bancos na Polônia e é desenvolvido do zero, sem inspiração em trojans anteriores. Ele utiliza serviços de acessibilidade do Android para realizar fraudes financeiras, incluindo keylogging e injeções de web. O SeedSnatcher, distribuído via Telegram, tem como alvo frases-semente de carteiras de criptomoedas e intercepta mensagens SMS para roubar códigos de autenticação de dois fatores. Já o ClayRat, atualizado, abusa de permissões de SMS e acessibilidade, permitindo o controle total do dispositivo. As técnicas de evasão de detecção utilizadas por esses malwares incluem injeção de conteúdo em WebView e carregamento dinâmico de classes. A distribuição do FvncBot e do SeedSnatcher ainda não é clara, mas trojans bancários costumam usar phishing via SMS e lojas de aplicativos de terceiros como vetores de propagação. A crescente sofisticação desses malwares representa uma ameaça significativa para a segurança dos usuários de dispositivos Android, especialmente em um contexto onde a proteção de dados é crucial.

O grupo de hackers iraniano MuddyWater foi identificado utilizando uma nova backdoor chamada UDPGangster, que opera através do protocolo UDP para fins de comando e controle (C2). A atividade de ciberespionagem tem como alvo usuários na Turquia, Israel e Azerbaijão, conforme relatado pelo Fortinet FortiGuard Labs. O malware permite o controle remoto de sistemas comprometidos, possibilitando a execução de comandos, exfiltração de arquivos e implantação de cargas adicionais, tudo isso através de canais UDP que visam evitar defesas de rede tradicionais.

Um estudo da Surfshark revelou que muitos aplicativos de compartilhamento de arquivos gratuitos, como Dropbox, Box e WeTransfer, não oferecem proteção adequada contra malware. Box e WeTransfer disponibilizam a verificação de vírus apenas em planos pagos, enquanto Dropbox e iCloud não realizam nenhuma verificação, dependendo da segurança dos dispositivos Apple. Isso representa um risco significativo para os usuários, que podem inadvertidamente baixar arquivos infectados. A análise destaca que, embora esses serviços sejam amplamente utilizados, a segurança não é uma prioridade, especialmente nas versões gratuitas. A Surfshark alerta que a confiança excessiva nesses aplicativos pode comprometer a segurança dos dados dos usuários. Além disso, a discussão sobre a regulamentação no Reino Unido, que visa aumentar a responsabilidade das plataformas de compartilhamento de arquivos, levanta preocupações sobre privacidade e vigilância em massa. A utilização de antivírus e VPNs é recomendada para mitigar esses riscos. Por fim, apenas Google Drive e OneDrive oferecem verificação de vírus para usuários gratuitos, mas com limitações. Essa situação exige que os usuários façam escolhas informadas sobre os riscos que estão dispostos a correr ao compartilhar arquivos online.