Malware

Uma nova campanha de cibersegurança, chamada ClickFix, está utilizando comandos do Terminal para baixar, montar e executar silenciosamente malware que rouba informações de dispositivos macOS. O malware em questão é o Atomic macOS Stealer (AMOS), que tem como alvo credenciais de navegadores, dados de carteiras de criptomoedas, informações do Keychain, dados de aplicativos de mensagens e documentos do usuário. A campanha foi descoberta pela Palo Alto Networks e começa com uma página falsa de CAPTCHA que induz os usuários a abrir o Terminal e colar um comando malicioso. Esse comando baixa um arquivo DMG de um servidor controlado pelo atacante, monta-o silenciosamente e executa automaticamente o aplicativo malicioso contido nele. O AMOS é projetado para roubar dados de vários navegadores baseados em Chromium e Firefox, além de informações de carteiras de criptomoedas e dados de aplicativos como Telegram e Discord. Os dados coletados são armazenados em um arquivo ZIP e enviados para o servidor do atacante. Os especialistas alertam que os usuários devem ser cautelosos ao executar comandos do Terminal, especialmente quando solicitados por páginas da web.

Pesquisadores de cibersegurança descobriram uma série de pacotes npm maliciosos que têm como objetivo entregar um trojan de acesso remoto (RAT) baseado em Windows. Os pacotes identificados, publicados por um usuário chamado ‘abdrizak’, incluem ‘aes-decode-runner-pro’, ‘postcss-minify-selector’ e ‘postcss-minify-selector-parser’. Apesar de parecerem pacotes legítimos, todos eles contêm um dropper em JavaScript que escreve e executa um script PowerShell, o qual baixa um payload adicional de um servidor externo. Esse payload inclui um arquivo de script Visual Basic e um runtime Python, que juntos permitem que o RAT colete informações do host, roube credenciais do Google Chrome e execute comandos shell. A análise ressalta a importância de tratar dependências que se assemelham a ferramentas de construção legítimas como potenciais vetores de ataque. Além disso, outras campanhas maliciosas foram relatadas, incluindo pacotes que visam roubar credenciais de desenvolvedores e implantar RATs em sistemas Linux. Os usuários que instalaram esses pacotes devem removê-los imediatamente e rotacionar suas credenciais.

Uma nova campanha de malware está sendo disseminada através de mensagens diretas no WhatsApp, visando usuários do WhatsApp Desktop e WhatsApp Web em diversos países, incluindo Brasil, Malásia e Índia. De acordo com a Kaspersky, os atacantes utilizam arquivos de script Visual Basic (VBScript) disfarçados como documentos financeiros e empresariais para enganar os destinatários a baixá-los e executá-los. Uma vez executado, o VBScript inicia uma cadeia de infecção que resulta na instalação de software legítimo de Monitoramento e Gerenciamento Remoto (RMM), permitindo acesso remoto ao sistema da vítima. Os arquivos maliciosos são nomeados de maneira enganosa, como “Relatórios Financeiros.vbs” e “Extrato de Conta.vbs”, e contêm comentários e metadados que imitam componentes legítimos do Windows. A Kaspersky alerta que os usuários devem ter cautela ao receber anexos inesperados, mesmo que pareçam vir de contatos conhecidos, e recomenda não abrir arquivos de tipos como VBS, EXE e JS sem verificação prévia de sua legitimidade.

Uma campanha de malware em andamento está visando usuários do WhatsApp em vários países, enviando mensagens enganosas que promovem arquivos VBScript, resultando em acesso remoto aos sistemas das vítimas. Os atacantes utilizam nomes de arquivos que sugerem documentos financeiros e empresariais, supostamente enviados por contatos cujas contas foram comprometidas. Ao baixar e executar os anexos maliciosos, a vítima inicia uma cadeia de infecção que culmina na instalação do ManageEngine Endpoint Central, uma ferramenta legítima usada por administradores de TI para gerenciar sistemas. Dados de telemetria da Kaspersky indicam que a campanha se espalha por países como Brasil, Índia, México, Reino Unido e outros. Os ataques começam com mensagens de contas comprometidas contendo arquivos VBS ofuscados, que, ao serem abertos, baixam scripts adicionais que desativam proteções do sistema e instalam o software malicioso. A Kaspersky não atribui os ataques a um ator específico, mas observa indícios de uso da língua chinesa e sobreposição de infraestrutura com atividades de grupos conhecidos. Usuários do WhatsApp são aconselhados a ter cautela ao abrir arquivos enviados por contatos, mesmo que confiáveis, e a sempre verificar a autenticidade dos mesmos.

Um ataque à cadeia de suprimentos comprometeu múltiplos plugins do WordPress da ShapedPlugin, permitindo que invasores inserissem código malicioso nas versões Pro dos plugins. O ataque foi identificado pela empresa de segurança Wordfence, que revelou que os atacantes conseguiram manipular o canal de distribuição oficial, injetando um loader que se ativa em cada página de administração do WordPress. As versões afetadas incluem o Product Slider Pro para WooCommerce (antes da versão 3.5.4), Real Testimonials Pro (versão 3.2.5) e Smart Post Show Pro (antes da versão 4.0.2). O CVE-2026-49777 foi atribuído ao Product Slider Pro, com uma pontuação CVSS de 10.0, indicando severidade máxima. O malware é capaz de capturar credenciais e códigos de autenticação de dois fatores, além de estabelecer métodos de persistência que permitem a execução de comandos remotamente. A ShapedPlugin confirmou o incidente e está revisando seus processos de distribuição. Os proprietários de sites afetados são aconselhados a redefinir senhas e revisar contas administrativas. Este incidente destaca a vulnerabilidade de sistemas que dependem de canais de distribuição para atualizações seguras.

Pesquisadores de cibersegurança revelaram uma nova campanha que distribui o malware CastleStealer através de um carregador de malware inédito chamado OXLOADER. Segundo o Elastic Security Labs, a campanha utiliza anúncios maliciosos no Google como ponto de partida para a distribuição do malware. A análise sugere que o ator da ameaça é de língua russa e motivado financeiramente, uma vez que há exclusões explícitas para evitar a infecção de máquinas na região da Comunidade dos Estados Independentes (CEI).

Uma nova família de malware, chamada AryStinger, está transformando roteadores domésticos esquecidos em uma rede de reconhecimento distribuído, ao invés de uma botnet DDoS. A empresa QiAnXin’s XLab identificou pelo menos 4.300 roteadores infectados, número que continua a crescer. O malware explora vulnerabilidades em roteadores antigos, especificamente aqueles com chips RTL819X da Realtek, que eram comuns entre 2012 e 2015. A infecção se espalhou a partir de um único IP e utiliza falhas conhecidas, como CVE-2013-3307 e CVE-2016-5681, para comprometer dispositivos, principalmente da D-Link. Além disso, uma variante do malware também ataca caixas NAS da QNAP. O AryStinger permite que os dispositivos infectados realizem varreduras na internet, coletando informações e ocultando a localização do verdadeiro atacante. A persistência do malware é garantida por um servidor SSH. A recomendação para os usuários é desativar a administração remota e substituir roteadores que não recebem mais atualizações de firmware.

O malware botnet AryStinger, recentemente descoberto, já comprometeu mais de 4.000 roteadores desatualizados, transformando-os em proxies para tráfego malicioso. Pesquisadores do XLab, da Qianxin, revelaram que o malware permite que dispositivos infectados atuem como ’executores’ controlados remotamente, realizando atividades como escaneamento, proxy, tunelamento e execução de comandos. Essa abordagem distribuída permite que atacantes dividam tarefas massivas em partes menores, aumentando a eficiência de operações de intrusão. Além de usar roteadores comprometidos para operações maliciosas, o AryStinger pode alterar configurações de DNS, sequestrando a navegação do usuário e monitorando silenciosamente o tráfego de rede. O malware explora vulnerabilidades antigas, como CVE-2013-3307 e CVE-2016-5681, visando principalmente modelos de roteadores D-Link. A pesquisa indica que a maioria das infecções está concentrada na Coreia do Sul, seguida pela China e Suécia. Os especialistas alertam que proprietários de roteadores obsoletos devem substituí-los por modelos novos e aplicar atualizações de firmware para mitigar riscos.

As autoridades de segurança da Holanda, em colaboração com o Canadá, Alemanha e EUA, desmantelaram a infraestrutura maliciosa associada ao malware SocGholish, resultando na limpeza de quase 15.000 sites WordPress infectados. O malware, que atua como um downloader baseado em JavaScript, é conhecido por distribuir outras ameaças cibernéticas, como ransomware e espionagem. Desde 2017, o SocGholish tem se espalhado por meio de sites comprometidos, disfarçando-se como atualizações enganosas de navegadores populares. A operação, parte da ‘Operação Endgame’, visa combater botnets e infraestruturas criminosas. Os proprietários dos sites afetados foram alertados para atualizar seus sistemas de gerenciamento de conteúdo e alterar credenciais. A análise indica que a maioria dos sites comprometidos está localizada nos EUA, seguida por países como Alemanha, França e Brasil. O uso de técnicas como ‘Domain Shadowing’ tem facilitado a operação do malware, tornando a detecção mais difícil. A ameaça é considerada de alto risco, afetando diversos setores e exigindo atenção especial dos CISOs, especialmente em relação à conformidade com a LGPD.

Um ataque de supply chain comprometeu múltiplos plugins pagos da ShapedPlugin, um fornecedor de plugins para WordPress, que afeta mais de 400 mil instalações ativas. O malware, distribuído através do sistema oficial de atualizações da empresa, instala um plugin falso que se passa por componentes do WooCommerce, permitindo o roubo de credenciais e acesso remoto a arquivos. O incidente afetou três plugins: Product Slider Pro, Real Testimonials Pro e Smart Post Show Pro, com a injeção do backdoor ocorrendo em 21 de maio e os primeiros relatos de clientes surgindo em 10 de junho. A ShapedPlugin reconheceu a violação em 16 de junho e iniciou uma investigação, implementando medidas corretivas. O malware, uma vez ativado, se comunica com um servidor de comando e controle, baixa um segundo estágio e se autodeleta para apagar rastros. O WordPress está monitorando o incidente sob os CVEs CVE-2026-10735 e CVE-2026-49777. Administradores de sites afetados são aconselhados a redefinir senhas e revisar listas de usuários.

Agências internacionais de segurança, incluindo Europol e Eurojust, realizaram uma operação conjunta chamada Operation Endgame, que resultou na limpeza de quase 15.000 sites WordPress infectados por malware e na desativação de mais de 100 servidores associados ao grupo de cibercrime russo Evil Corp. A operação, que envolveu autoridades da Holanda, Canadá, Estados Unidos e Alemanha, focou na interrupção da cadeia de infecção ligada ao malware SocGholish. Este malware, que atua como um downloader de JavaScript, tem sido utilizado em ataques desde 2017, enganando usuários a baixarem atualizações falsas de navegadores que, na verdade, são cargas maliciosas. O malware permite que os atacantes acessem sistemas infectados e é conhecido por implantar outras famílias de malware, como Dridex e Doppelpaymer. As autoridades também recomendaram que os proprietários dos sites afetados alterassem suas credenciais, ativassem a autenticação multifatorial e mantivessem seus sites atualizados para evitar novas infecções. A operação representa um esforço significativo para mitigar os riscos de ataques cibernéticos em infraestruturas críticas e proteger a segurança digital de cidadãos e organizações em todo o mundo.

Atacantes estão direcionando suas ações a carteiras de criptomoedas, utilizando um malware que rouba dados do clipboard e possui capacidades de auto-propagação. A campanha, que está ativa desde fevereiro, utiliza arquivos LNK em drives USB para disseminar o malware, que monitora o conteúdo do clipboard e substitui endereços de carteiras de criptomoedas por aqueles controlados pelos atacantes. Além disso, o malware é capaz de capturar frases-semente e chaves privadas, enviando essas informações através da rede Tor. O processo de infecção se inicia quando a vítima abre o arquivo LNK, ativando o malware. Este realiza uma varredura local em busca de arquivos de documentos, ocultando os originais e substituindo-os por atalhos maliciosos. O malware também captura capturas de tela a cada dez segundos e estabelece comunicação com um servidor de comando e controle (C2) via um executável Tor. A Microsoft alerta que os indicadores mais fortes de infecção são comportamentais, recomendando monitorar atividades de processos como wscript.exe e conexões com o localhost:9050. Essa ameaça representa um risco significativo para usuários de criptomoedas, especialmente em um cenário onde a segurança digital é cada vez mais crucial.

A Microsoft revelou uma campanha de malware clippers que tem afetado usuários do Windows desde fevereiro de 2026. Este tipo de malware é projetado para monitorar e roubar informações sensíveis copiadas para a área de transferência, especialmente endereços de carteiras de criptomoedas. A análise da Microsoft Defender Security Research Team destaca que o clippers utiliza lógica baseada no Windows Script Host e ActiveX para lançar um proxy Tor e se conectar a um servidor de comando e controle (C2) oculto. O malware realiza roubo de clipboard em alta frequência, exfiltra capturas de tela e substitui endereços de carteiras.

Recentemente, a cibersegurança enfrentou uma série de incidentes alarmantes que demonstram a vulnerabilidade da infraestrutura digital. Entre os problemas destacados, extensões de navegador enganosas foram identificadas, redirecionando buscas de usuários para intermediários de monetização, comprometendo a privacidade e segurança. Além disso, um ataque sofisticado no macOS, denominado ClickFix, utiliza um método sem arquivos para roubar informações, deixando poucos rastros. Os criminosos cibernéticos também abusaram de plataformas de chat, como a Claude, para disseminar malware que rouba credenciais. Outra preocupação é a fraude via WhatsApp, onde golpistas se passam por hotéis para obter dados de pagamento de viajantes. Em resposta a essas ameaças, a Amazon lançou o AWS Continuum, um agente de segurança baseado em IA para gerenciar vulnerabilidades de código. O cenário é preocupante, com um aumento significativo de ataques direcionados e técnicas de engenharia social, exigindo atenção redobrada das organizações para proteger seus dados e sistemas.

Um novo relatório da Check Point Research revela que um ator de ameaça desconhecido está utilizando postagens pagas em sites de notícias legítimos para promover malware. O foco principal da campanha é um ‘clipboard hijacker’ de criptomoedas, disfarçado como bots de sniper e preditores de jogos. O malware, desenvolvido em Rust, ataca sistemas Windows e macOS, monitorando a área de transferência para substituir endereços de carteiras de criptomoedas por endereços controlados pelo atacante. Para criar uma falsa reputação, o ator utiliza uma página de phishing no WordPress, contas falsas no GitHub e SourceForge, além de um canal no YouTube com mais de 91 mil assinantes. A manipulação de plataformas como VirusTotal e SourceForge, onde contagens de downloads foram artificialmente inflacionadas, visa aumentar a confiança dos usuários em arquivos maliciosos. A campanha destaca uma nova abordagem de engenharia social, onde a construção de uma reputação falsa se torna uma estratégia central para enganar as vítimas, especialmente aqueles envolvidos com criptomoedas e jogos online.

Pesquisadores da Kaspersky alertaram que o Steam Workshop, uma plataforma popular entre gamers para compartilhar conteúdo personalizado, está sendo explorado para disseminar malware através do aplicativo Wallpaper Engine. Desde pelo menos o final de 2025, wallpapers maliciosos foram baixados dezenas de milhares de vezes, infectando usuários com backdoors, infostealers, miners e até ransomware. Os hackers utilizam wallpapers interativos que, ao serem instalados, executam automaticamente o malware, que pode estar embutido no pacote ou em arquivos compactados protegidos por senha. Embora a Valve tenha removido as aplicações infectadas, a possibilidade de novos uploads maliciosos persiste, exigindo cautela dos usuários. A maioria das vítimas está localizada na Rússia e na China, mas a ameaça pode se espalhar globalmente, afetando gamers em todo o mundo.

Pesquisadores de cibersegurança identificaram uma campanha coordenada de malware no JetBrains Marketplace, onde 15 plugins maliciosos foram publicados, capazes de exfiltrar chaves de API de provedores de inteligência artificial (IA). Os plugins, que se apresentam como assistentes de codificação baseados em modelos de linguagem, funcionam conforme anunciado, mas capturam a chave de API inserida pelo usuário e a enviam para um servidor controlado pelos atacantes. A atividade, que começou em outubro de 2025, continua com novos plugins sendo lançados até junho de 2026. Entre os plugins mais populares estão o CodeGPT AI Assistant e o DeepSeek AI Assist, ambos com mais de 25.000 downloads, embora a autenticidade desses números seja questionável. Os plugins compartilham um código-base semelhante e exigem que os usuários insiram suas chaves de API para funcionar. Além disso, após o pagamento de uma taxa, o plugin fornece uma chave de API ao usuário, que é utilizada em vez da chave original, levantando suspeitas de que os operadores estão monetizando as chaves roubadas. Essa campanha evidencia a crescente vulnerabilidade dos ambientes de desenvolvimento, que se tornaram alvos lucrativos para cibercriminosos.

Um ataque à cadeia de suprimentos de software, denominado easy-day-js, comprometeu 144 pacotes npm associados ao namespace Mastra, um framework popular de JavaScript e TypeScript para aplicações de inteligência artificial. O ataque foi identificado por empresas de segurança como JFrog, SafeDep, Socket e StepSecurity. Um único usuário npm, identificado como ’ehindero’, publicou mais de 140 pacotes maliciosos em um curto espaço de tempo. Embora os pacotes infectados não contenham código malicioso, eles dependem de uma biblioteca de terceiros chamada ’easy-day-js’, que foi alterada para incluir um payload ofuscado. Esse payload é ativado durante um hook de pós-instalação e se conecta a um servidor controlado pelos atacantes para baixar um trojan que rouba informações, incluindo dados de carteiras de criptomoedas. O ataque afetou pacotes amplamente utilizados, como o @mastra/core, que possui mais de 918 mil downloads semanais. A Npm já removeu as versões maliciosas, mas qualquer ambiente que tenha instalado essas versões deve ser considerado potencialmente comprometido.

Um novo trojan bancário para Android, denominado Rokarolla, está atacando 217 aplicativos de bancos e criptomoedas, utilizando um conjunto extenso de 137 comandos. O malware é distribuído por meio de sites maliciosos que se passam por provedores do Google Chrome ou TikTok, permitindo que os invasores assumam o controle administrativo total de dispositivos comprometidos. Entre suas capacidades, estão o roubo de credenciais de tela de bloqueio, listas de contatos e dados de SMS, além de registrar continuamente as entradas do usuário através de keyloggers.

Uma campanha de malware foi descoberta no JetBrains Marketplace, onde pelo menos 15 plugins maliciosos foram projetados para roubar chaves de API de IA de desenvolvedores. Os plugins, que atuam como assistentes de codificação e ferramentas de revisão de código, foram baixados cerca de 70.000 vezes. Aikido Security, a empresa que identificou a ameaça, revelou que os plugins exfiltram as chaves de API assim que o usuário clica em ‘Aplicar’ após inseri-las nas configurações. Os dados são enviados para um servidor específico, comprometendo a segurança dos desenvolvedores. Embora os plugins funcionem como prometido, eles secretamente transmitem as credenciais para os atacantes. Além disso, a pesquisa sugere que os operadores dos plugins podem estar coletando credenciais de usuários gratuitos para fornecer chaves a usuários pagos. A análise de um dos plugins, o DeepSeek AI Assist, confirmou a presença do código de roubo de credenciais. Até o momento, o plugin ainda está disponível para download no Marketplace, o que levanta preocupações sobre a segurança da plataforma.

O artigo explora como junctions e links simbólicos do sistema de arquivos NTFS podem ser utilizados por atacantes para criar estruturas de diretórios recursivas, conhecidas como GhostTree e GhostBranch. Essas técnicas permitem que um usuário, sem privilégios administrativos, crie loops que geram caminhos de arquivos praticamente infinitos. Isso pode dificultar a detecção de arquivos maliciosos, pois ferramentas de segurança, como produtos EDR, podem ficar presas nesses loops, deixando os arquivos maliciosos sem exame. O GhostBranch é uma técnica mais simples que cria um loop lógico ao apontar um diretório filho de volta para o diretório pai, enquanto o GhostTree expande essa ideia, permitindo múltiplos diretórios filhos que também se conectam ao pai, aumentando exponencialmente o número de caminhos válidos. O artigo destaca a importância de monitorar a atividade do sistema de arquivos para detectar essas anomalias e sugere que a visibilidade e o controle de acesso são cruciais para a proteção de dados sensíveis. A técnica foi testada contra o Windows Defender, confirmando sua eficácia em evitar a detecção de malware. A Varonis, autora do artigo, oferece soluções para monitoramento e proteção de dados em ambientes corporativos.

Pesquisadores da Kaspersky alertam sobre uma nova onda de ataques cibernéticos que exploram o Steam Workshop, plataforma da Valve para compartilhamento de conteúdo de jogos. Os atacantes estão utilizando pacotes de papéis de parede infectados para disseminar malware, que pode resultar no sequestro de contas Steam, instalação de backdoors e execução de processos de criptomineria. O Wallpaper Engine, um aplicativo popular para personalização de papéis de parede, é o vetor principal dessa ameaça. Os wallpapers maliciosos podem conter arquivos executáveis que, ao serem instalados, ativam automaticamente o malware. Os pesquisadores identificaram diversas variantes de malware, incluindo infostealers e mineradores de criptomoedas, que já foram baixados milhares de vezes. Embora a Valve tenha removido os wallpapers maliciosos identificados, a Kaspersky alerta que novos arquivos prejudiciais podem ser enviados a qualquer momento. Para se proteger, os usuários devem baixar conteúdos apenas de fontes confiáveis e utilizar antivírus atualizados para escanear os downloads do Steam Workshop.

Pesquisadores de cibersegurança identificaram várias campanhas de malware conhecidas como ClickFix, que distribuem três carregadores de malware: BabaDeda Loader, Lorem Ipsum Loader e Potemkin. O BabaDeda Loader, observado em abril de 2026, tem como alvo organizações educacionais e financeiras, utilizando técnicas de engenharia social para induzir usuários a executar comandos PowerShell maliciosos. Este carregador é projetado para evitar sistemas na Rússia e Belarus e realiza verificações de segurança antes de injetar cargas úteis em processos confiáveis do Windows. Entre as cargas úteis estão backdoors .NET que coletam dados sensíveis e estabelecem canais criptografados com servidores de comando e controle (C2).

Pesquisadores de cibersegurança identificaram duas variantes do malware SprySOCKS, anteriormente conhecido como um backdoor exclusivo para Linux, agora adaptadas para Windows. As variantes, denominadas WIN_DRV e WIN_PLUS, possuem configurações de comando e controle (C&C) embutidas e suportam comunicação via TCP, UDP e WebSocket. Ambas as versões permitem a execução de mais de 30 comandos, incluindo coleta de informações do sistema e gerenciamento de processos. A variante WIN_DRV utiliza drivers de kernel para ocultar conexões de rede e processos, enquanto a WIN_PLUS se aproveita do serviço de spooler de impressão do Windows para iniciar o backdoor. As evidências sugerem que essas variantes foram implantadas em ataques direcionados a organizações governamentais em países como Honduras, Taiwan e Paquistão entre 2023 e 2024. A descoberta dessas versões para Windows representa uma expansão significativa das capacidades do grupo de espionagem cibernética conhecido como FishMonger, que está associado a um ator de ameaças patrocinado pelo estado chinês. A análise revela que a arquitetura central do SprySOCKS foi preservada, mas com melhorias na furtividade e na adaptação a mecanismos nativos do Windows.

Pesquisadores de segurança da Zimperium documentaram um novo trojan bancário para Android, chamado Rokarolla, que ataca 217 aplicativos de bancos e criptomoedas. O malware, que possui 137 comandos remotos, permite que um operador tenha controle quase total do dispositivo infectado. Entre suas funcionalidades, estão a captura de PINs de bloqueio, leitura e envio de SMS, redirecionamento de pagamentos em criptomoedas e desativação do Google Play Protect. O Rokarolla se espalha por sites maliciosos que se disfarçam de aplicativos conhecidos, como TikTok e Chrome. Ao ser instalado, ele se apresenta como Google Play Protect para obter acesso de acessibilidade e, em seguida, desativa a proteção. O roubo de informações ocorre através de sobreposições, onde páginas de login falsas são exibidas sobre os aplicativos legítimos, capturando dados sensíveis dos usuários. Além disso, o malware pode ler mensagens SMS, interceptar códigos de autenticação e modificar a área de transferência para redirecionar pagamentos. A Zimperium alerta que não há um patch a ser aplicado, pois se trata de um malware, e recomenda que os usuários instalem aplicativos apenas da Google Play e mantenham o Play Protect ativado.

Pesquisadores da ESET identificaram variantes do malware SprySOCKS, originalmente desenvolvido para Linux, sendo utilizadas em ataques direcionados a organizações governamentais em Taiwan, Tailândia, Paquistão e Honduras entre 2023 e 2024. O malware está associado ao grupo de ameaças chinês conhecido como Earth Lusca, que também é rastreado como FishMonger. As novas variantes para Windows, denominadas WIN_DRV e WIN_PLUS, apresentam capacidades avançadas de furtividade em nível de kernel, permitindo que os operadores ocultem artefatos de malware e se comuniquem com o backdoor através de tráfego redirecionado de portas TCP arbitrárias. O WIN_DRV inclui drivers de kernel para funcionalidades semelhantes a rootkits, enquanto o WIN_PLUS é uma versão mais simples. Ambas as variantes podem executar uma ampla gama de comandos, coletar informações do sistema e gerenciar arquivos. Além disso, a ESET observou indícios de um componente de bootkit UEFI que pode explorar uma vulnerabilidade conhecida como CVE-2023-24932. A descoberta dessas variantes indica que o Earth Lusca está ampliando seu arsenal para atingir uma variedade mais diversificada de sistemas, representando uma ameaça significativa para a segurança cibernética global.

O grupo de hackers patrocinado pelo Estado norte-coreano, conhecido como ScarCruft (ou APT37), foi identificado utilizando mensagens de spear-phishing que se disfarçam como notificações de segurança de contas da Microsoft para disseminar um malware chamado NarwhalRAT. Segundo o Genians Security Center (GSC), o e-mail malicioso simula um alerta de segurança, criando uma falsa preocupação sobre possíveis compromissos de conta e abuso de senhas de uso único (OTP), levando a vítima a abrir um anexo. Este anexo, na verdade, é um arquivo ZIP que contém um arquivo LNK malicioso. Ao ser executado, o arquivo LNK inicia uma cadeia de infecção em múltiplas etapas, baixando e instalando o NarwhalRAT, que é capaz de registrar teclas, capturar telas, gravar áudio ambiente e executar comandos de um servidor de comando e controle (C2). O malware se destaca por sua capacidade de se esconder em um diretório disfarçado, evitando a detecção. A infraestrutura de C2 utiliza sites coreanos e a API de armazenamento em nuvem pCloud, o que indica um nível avançado de sofisticação. Essa nova abordagem do ScarCruft representa uma evolução em suas táticas, marcando uma mudança significativa em relação ao RokRAT, um malware anteriormente associado ao grupo.

Pesquisadores de cibersegurança identificaram duas campanhas cibernéticas maliciosas associadas a um grupo de ameaças persistente da Coreia do Norte, conhecido como Contagious Interview. Segundo um relatório da Proofpoint, o grupo tem realizado campanhas de phishing direcionadas a quase 100 organizações em setores como finanças, criptomoedas, educação e tecnologia, utilizando temas de recrutamento de desenvolvedores. Os ataques, codificados como UNK_DeadDrop, começam com e-mails que contêm links para repositórios do GitHub controlados pelos atacantes, que hospedam scripts maliciosos. Esses scripts são projetados para executar malware em múltiplas plataformas, incluindo macOS, Linux e Windows, utilizando uma técnica que permite a execução automática de código malicioso ao abrir o Visual Studio Code. O objetivo principal das campanhas é roubar credenciais e dados de extensões de carteiras digitais. Além disso, foram descobertas extensões maliciosas no marketplace do VS Code que funcionam como backdoors sofisticados. As atividades do grupo indicam uma evolução nas operações de cibercrime da Coreia do Norte, com uma mudança de engenharia social ativa para campanhas de phishing em larga escala.

Uma campanha de espionagem atribuída ao grupo UNC6508, vinculado à China, comprometeu servidores expostos da plataforma REDCap, utilizada em pesquisas médicas e científicas. Os pesquisadores do Google Threat Intelligence Group (GTIG) identificaram que a invasão ocorreu em setembro de 2023 e se estendeu por mais de um ano, com a implementação do malware InfiniteRed, que foi projetado especificamente para sistemas REDCap. Este malware possui três componentes principais: um módulo de persistência, um coletor de credenciais e uma porta dos fundos. O coletor captura nomes de usuário e senhas, armazenando-os em tabelas de banco de dados locais. Além disso, os atacantes utilizaram uma técnica inovadora para exfiltrar dados, criando uma regra de conformidade de conteúdo que enviava informações sensíveis por e-mail. O GTIG recomenda que administradores do REDCap atualizem suas versões e implementem autenticação multifator (MFA) para proteger contas de alto privilégio. O incidente destaca a necessidade de vigilância constante e atualização de sistemas para evitar compromissos semelhantes.

Pesquisadores de cibersegurança identificaram uma rede de 152 extensões do Google Chrome que atuam como complementos de papel de parede para novas abas, com o objetivo de distribuir uma família de programas potencialmente indesejados (PUPs). Essas extensões, que foram instaladas mais de 105 mil vezes, estão associadas a 38 contas diferentes na Chrome Web Store e três domínios principais: tabplugins.com, yowgames.com e chromewallpaper.com. Apesar de declararem que não coletam dados dos usuários, as políticas de privacidade vinculadas afirmam o contrário, registrando endereços IP, contagens de cliques e compartilhando essas informações com parceiros de publicidade. Além disso, um subgrupo de extensões utiliza URLs codificadas em arquivos JavaScript para simular atividades de busca orgânica no Google, criando um tráfego falso que pode enganar sistemas de monitoramento. Essa operação é considerada uma fraude comercial motivada financeiramente, embora a origem exata ainda não tenha sido determinada, com indícios sugerindo que pode ter vindo da Turquia.

Recentemente, mais de 400 pacotes do Arch User Repository (AUR) foram comprometidos por atacantes que alteraram seus scripts de construção para instalar um malware projetado para roubar credenciais de desenvolvedores. O malware, um binário em Rust, coleta informações sensíveis, como cookies e tokens de autenticação de navegadores e aplicativos Electron. O ataque não explorou uma falha de software, mas sim o modelo de confiança do AUR, que manteve os nomes e históricos dos pacotes, enquanto apenas as instruções de construção foram alteradas. Os atacantes adotaram pacotes abandonados e enganaram a comunidade ao falsificar metadados de commits. A lista de pacotes afetados continua a crescer, e os usuários que instalaram ou atualizaram pacotes do AUR após 11 de junho devem verificar suas instalações. A remoção do pacote comprometido não é suficiente, pois o malware pode ter instalado um rootkit e um serviço persistente no sistema. A situação é crítica, e os administradores devem agir rapidamente para mitigar os riscos e proteger suas credenciais.

Mais de 400 pacotes no Arch User Repository (AUR) estão distribuindo um rootkit para Linux e malware infostealer que visam credenciais e tokens de acesso. Um novo mantenedor está se passando por um publicador confiável na plataforma AUR para inserir pacotes infectados. O AUR é um repositório mantido pela comunidade, essencial para usuários do Arch Linux, pois oferece versões atualizadas de software e utilitários não disponíveis nos repositórios oficiais. No entanto, por não ser um espaço verificado, ele pode ser explorado por agentes maliciosos. Os pacotes comprometidos contêm scripts que baixam e executam um pacote npm malicioso chamado atomic-lockfile, que possui capacidades de rootkit e é projetado para ambientes de desenvolvimento. Ele visa dados de aplicativos como Slack, Microsoft Teams, e credenciais do GitHub, além de permitir a exfiltração de informações sensíveis. A equipe de manutenção do AUR está trabalhando para remover os pacotes maliciosos e recomenda que os usuários verifiquem os pacotes afetados. É aconselhável que os usuários do Arch Linux revisem suas credenciais e considerem reinstalar o sistema caso encontrem pacotes comprometidos.

Recentemente, um relatório da Flashpoint revelou que mais de 11 milhões de dispositivos foram infectados por infostealers, resultando na exposição de 3,3 bilhões de registros de identidade. Esses dados estão sendo comercializados em mercados ilícitos, com infostealers como Lumma e Vidar se destacando. Além disso, um novo trojan de acesso remoto (RAT) chamado SilabRAT, disponível por US$ 5.000 mensais, tem como foco o roubo de credenciais e é capaz de contornar medidas de segurança. A análise também aponta que hackers norte-coreanos são responsáveis por quase 50% das intrusões no setor de tecnologia, utilizando campanhas de infiltração para obter informações sensíveis. O Departamento de Justiça dos EUA apreendeu 13 domínios relacionados a uma suposta coleta de inteligência chinesa, destacando o uso de ofertas de emprego fraudulentas para obter dados confidenciais. Por fim, o Miasma Toolkit, um framework de ataque que permite a execução de ataques em cadeia, foi brevemente disponibilizado no GitHub, aumentando a preocupação com a segurança da cadeia de suprimentos. Essas ameaças evidenciam a sofisticação crescente dos ataques cibernéticos e a necessidade de vigilância constante.

O framework de ataque Miasma, que visa ecossistemas de código aberto por meio de ataques à cadeia de suprimentos, foi brevemente disponibilizado como código aberto no GitHub. Miasma é uma evolução do worm Shai-Hulud e compartilha características e técnicas semelhantes. O malware infecta máquinas de desenvolvedores, rouba credenciais de ambientes de construção e nuvem, e compromete repositórios legítimos, publicando versões trojanizadas que infectam outros desenvolvedores. Essa propagação autônoma pode transformar uma única violação em um ataque de cadeia de suprimentos em larga escala. O código-fonte do Miasma foi vazado através de contas de desenvolvedores comprometidas, indicando uma liberação intencional. O malware não requer infraestrutura de comando e controle, utilizando o GitHub para operar. Ele coleta credenciais de provedores de nuvem e sistemas CI/CD, comprometendo pacotes npm, PyPI e RubyGems. Uma característica notável é um ‘interruptor de segurança’ que apaga arquivos do usuário caso um token do GitHub seja revogado. A liberação do código do Miasma pode levar a variantes mais avançadas e aumentar a taxa de ataques, o que representa um risco significativo para a segurança do ecossistema de código aberto.

A botnet JDY, anteriormente associada a atores de ameaça chineses como o Volt Typhoon, ampliou significativamente seu escopo de ataque e esforços de reconhecimento. Pesquisadores da Black Lotus Labs, da Lumen, monitoraram a atividade da JDY, que atualmente foca fortemente nos Estados Unidos, onde muitos de seus dispositivos comprometidos estão localizados, especialmente em redes militares e associadas. Desde janeiro de 2024, o número de bots ativos cresceu de aproximadamente 650 para mais de 1.500 dispositivos SOHO e IoT comprometidos. A JDY não é uma botnet de DDoS, mas sim uma rede distribuída de escaneamento e reconhecimento, ajudando seus operadores a localizar alvos vulneráveis a falhas recém-divulgadas. A análise indica que a botnet se concentra em identificar infraestruturas vulneráveis logo após a divulgação pública de falhas, com um foco particular em setores críticos, como o militar. A CISA já havia alertado sobre os riscos que os operadores do Volt Typhoon representam para roteadores SOHO desprotegidos, enfatizando a necessidade de eliminar vulnerabilidades nas interfaces de gerenciamento web desses dispositivos. A JDY utiliza serviços ocultos do Tor para controle e comando, realizando uma variedade de escaneamentos e coleta de dados sobre vulnerabilidades. À medida que a atividade da JDY aumenta, é crucial que as organizações mantenham seus dispositivos atualizados e monitorem atividades de escaneamento incomuns.

Pesquisadores de cibersegurança alertam sobre a resurgência da botnet JDY, uma rede clandestina associada a atores de ameaças patrocinados pelo Estado chinês. Composta por mais de 1.500 dispositivos de pequenas empresas e IoT, a JDY atua como um scanner de alto desempenho, mapeando serviços expostos na internet. Inicialmente identificada como parte da KV-botnet em dezembro de 2023, a JDY evoluiu para uma rede independente após a desativação da KV-botnet pelo governo dos EUA em 2024. A botnet é utilizada para realizar reconhecimento direcionado e identificação de infraestruturas vulneráveis, especialmente após divulgações públicas de falhas. A diversidade dos dispositivos comprometidos, que agora inclui marcas como Ubiquiti e Linksys, permite que os operadores evitem detecções tradicionais. A arquitetura da JDY utiliza nós Tor para gerenciar a infraestrutura infectada, facilitando a coleta de dados de reconhecimento. O malware é projetado para se adaptar ao ambiente local, utilizando diferentes métodos de varredura dependendo das permissões disponíveis. A expansão da JDY e suas operações contínuas demonstram a resiliência das redes de reconhecimento modernas, que persistem mesmo após intervenções governamentais.

Pesquisadores da Universidade de Toronto criaram um verme de computador autônomo que utiliza um modelo de linguagem de código aberto para navegar por redes, gerar estratégias de ataque personalizadas e se replicar sem intervenção humana. O estudo, que está em revisão por pares, revela que a abordagem tradicional de correção de vulnerabilidades (CVE) falha quando o malware pode inspecionar serviços expostos e gerar novos caminhos de ataque em tempo real. Em testes realizados em uma rede vulnerável de 33 hosts, o verme identificou em média 31,3 vulnerabilidades e obteve acesso elevado em 23,1 hosts, replicando-se em 62% deles ao longo de sete dias. Diferente dos vermes tradicionais, que dependem de cargas de exploração fixas, este verme gera lógica de ataque em tempo real, adaptando-se a cada alvo encontrado. O estudo destaca a dificuldade de contenção, uma vez que o custo de execução do ataque é transferido para a infraestrutura comprometida, e não há dependência de APIs comerciais que poderiam ser limitadas ou revogadas. Os pesquisadores também observaram que o verme reescreveu seu próprio código para contornar controles de segurança locais, o que representa um avanço significativo nas capacidades de malware autônomo.

A Microsoft confirmou a remoção temporária de alguns repositórios do GitHub devido a um incidente de segurança que comprometeu 73 de seus projetos de código aberto. O ataque, parte de uma campanha de cadeia de suprimentos de software chamada Miasma, resultou na injeção de um ladrão de informações no código. A empresa notificou um número restrito de clientes que podem ter baixado conteúdo dos repositórios afetados e está investigando o incidente. Entre os projetos comprometidos está o pacote Python ‘durabletask’, que foi inicialmente atacado por um grupo de cibercrime conhecido como TeamPCP. A análise do payload Miasma revelou que ele pode executar código automaticamente quando um desenvolvedor abre o repositório em ferramentas de codificação baseadas em inteligência artificial. Essa campanha de ataque tem se mostrado adaptável, utilizando novos métodos de entrega de payloads, como extensões nativas Trojanizadas e variantes de carregadores que dificultam a detecção. O malware tem como alvo estações de trabalho de desenvolvedores e ambientes CI/CD, coletando segredos valiosos e exfiltrando-os para repositórios públicos do GitHub. A situação destaca a crescente complexidade e os riscos associados à segurança de software na cadeia de suprimentos.

A campanha de ataque à cadeia de suprimentos conhecida como Hades, originada da Miasma, identificou 37 artefatos maliciosos em 19 pacotes do Python Package Index (PyPI). Esses pacotes comprometidos incluem versões de bibliotecas como bramin, cmd2func e coolbox, que contêm um arquivo *-setup.pth. Este arquivo é executado automaticamente durante a inicialização do Python, permitindo que o malware baixe e execute um runtime JavaScript chamado Bun, além de um payload ofuscado. O malware é projetado para roubar credenciais de desenvolvedores e informações sensíveis de sistemas, incluindo segredos de plataformas como GitHub, AWS e Docker. A nova abordagem do Hades inclui técnicas de evasão de segurança, como a injeção de prompts em ferramentas de análise de pacotes baseadas em IA, e a extração de dados de repositórios do GitHub. A campanha representa uma evolução nas táticas de ataque, utilizando métodos que não requerem a importação do pacote comprometido, aumentando o risco para desenvolvedores e suas organizações. A segurança da cadeia de suprimentos de software é, portanto, uma preocupação crescente, especialmente em um cenário onde as contas de desenvolvedores podem ser comprometidas e usadas para disseminar malware.

Novas variantes do malware NFCShare estão sendo distribuídas como falsas atualizações de aplicativos bancários legítimos, hospedadas no GitHub. Este malware evoluiu e agora visa clientes de diversos bancos e instituições financeiras na Europa, em uma campanha de phishing destinada a roubar dados de cartões de pagamento. Após enganar as vítimas com uma tela de verificação falsa, o NFCShare utiliza o chip de comunicação por proximidade (NFC) do dispositivo móvel para ler informações do cartão, como número, tipo, data de validade e um PIN de 4 dígitos inserido pela vítima. Esses dados são enviados para o servidor de comando e controle do atacante via canal WebSocket. Desde sua criação, o repositório do GitHub que distribui o NFCShare já hospedou 56 APKs únicos que imitam aplicativos de bancos, principalmente da Itália e da Espanha. Os pesquisadores alertam que usuários de Android devem baixar aplicativos bancários apenas do Google Play e ter cautela com solicitações de verificação que pedem a digitalização de cartões NFC.

Um grupo de ciberespionagem com vínculos à China, identificado como VerdantBamboo, foi observado utilizando uma variante BSD de um backdoor conhecido como BRICKSTORM, além de outras famílias de malware chamadas PLENET (também conhecida como GRIMBOLT) e AGENTPSD, para atacar sistemas Linux. A Volexity, empresa de cibersegurança, atribuiu essas atividades a um cluster de ameaças que se sobrepõe a grupos de hackers como Clay Typhoon e UNC5221. A intrusão foi descoberta em setembro de 2025, quando a Volexity identificou que o adversário havia comprometido o sistema Egnyte Storage Sync de uma vítima, explorando uma falha de escalonamento de privilégios. Após a correção da vulnerabilidade em março de 2026, o grupo conseguiu retornar, utilizando credenciais administrativas roubadas para acessar o firewall da organização e implantar malware em um dispositivo NAS Synology. O PLENET é um backdoor multiplataforma desenvolvido em .NET Core, enquanto o AGENTPSD é um shell reverso baseado em Python. A Volexity alerta que o VerdantBamboo demonstra um alto nível de sofisticação e conhecimento sobre dispositivos proprietários, permitindo a implementação de mecanismos de persistência personalizados.

Uma nova variante do botnet Gafgyt, chamada C0XMO, está direcionando ataques a roteadores com firmware DD-WRT e pode se espalhar para outros dispositivos com diferentes arquiteturas de CPU, como ARM, MIPS e x86. Pesquisadores da Fortinet identificaram que o malware é capaz de realizar ataques de negação de serviço distribuído (DDoS) utilizando 19 métodos distintos, incluindo inundações UDP e TCP, além de amplificação via NTP e Memcached. A infecção ocorre por meio da exploração da vulnerabilidade CVE-2021-27137, que permite a execução de código arbitrário sem autenticação. O C0XMO possui um design modular que facilita atualizações e a adição de novas técnicas de exploração. Após a infecção, o malware se oculta em diretórios temporários e cria tarefas agendadas para reiniciar a cada 15 minutos. Além disso, ele busca eliminar concorrentes no dispositivo infectado, removendo outros clientes de botnets e ferramentas que possam interferir em sua operação. A recomendação para mitigar os riscos associados ao C0XMO inclui manter dispositivos atualizados, usar credenciais únicas e desabilitar o acesso remoto quando não necessário. Este botnet representa uma evolução em relação a variantes anteriores, com uma arquitetura mais sofisticada e complexa.

Recentemente, 73 repositórios do GitHub da Microsoft, incluindo aqueles relacionados ao Azure e MicrosoftDocs, foram comprometidos por uma campanha de ataque à cadeia de suprimentos chamada Miasma. O GitHub desativou o acesso a esses repositórios após a violação das suas políticas de serviço. O ataque é uma variante do worm Mini Shai-Hulud, que se aproveita do modelo de confiança das plataformas de código aberto, explorando a suposição de que pacotes assinados por mantenedores autenticados são seguros. O ataque se destaca por sua capacidade de se propagar rapidamente, comprometendo usuários downstream e repetindo o ciclo de infecção. O vetor de ataque inclui a injeção de código malicioso em repositórios legítimos, que é ativado quando um desenvolvedor clona e abre o repositório em ferramentas de codificação. Este incidente evidencia as vulnerabilidades nas cadeias de suprimentos de software e a necessidade de uma vigilância contínua e de medidas de segurança robustas.

O grupo de espionagem chinês UNC5221, também conhecido como VerdantBamboo, tem explorado ambientes Microsoft 365 utilizando a backdoor Brickstorm e malwares não documentados, como Plenet e AgentPSD. A investigação revelou que os atacantes conseguiram acesso à rede da vítima por pelo menos 18 meses antes de serem detectados, comprometendo também o provedor de serviços gerenciados (MSP) da organização alvo. O Brickstorm, descrito como um implante de malware avançado, foi utilizado de forma indetectável em várias organizações nos Estados Unidos até a descoberta das brechas em março de 2025. Os pesquisadores da Volexity identificaram que os hackers acessaram um sistema de armazenamento Egnyte e, a partir daí, conseguiram entrar no ambiente Microsoft 365 da vítima, utilizando técnicas para se misturar ao tráfego legítimo e evitar políticas de acesso condicional. Após a remediação inicial, os atacantes conseguiram invadir a organização novamente, utilizando credenciais roubadas para configurar o acesso VPN e implantar malware adicional. O Plenet, um backdoor baseado em .NET, e o AgentPSD, uma ferramenta de shell reverso em Python, foram utilizados como mecanismos de persistência. A CISA emitiu alertas sobre a utilização do Brickstorm por hackers chineses, destacando a necessidade de atenção redobrada para a segurança em ambientes que não suportam soluções de detecção e resposta de endpoint (EDR).

Recentes ataques à cadeia de suprimentos de software têm impactado o ecossistema npm, com criminosos utilizando versões maliciosas de mais de 50 pacotes legítimos para disseminar um ladrão de informações baseado em Rust e um worm auto-replicante. O ladrão de informações, denominado IronWorm, é capaz de coletar segredos de máquinas de desenvolvedores e se esconde atrás de um rootkit de kernel eBPF, comunicando-se com seu operador via Tor. O malware foi publicado no registro npm por uma conta comprometida chamada ‘asteroiddao’, que introduziu versões de pacotes contendo um binário Rust executado por um hook de pré-instalação. O IronWorm visa variáveis de ambiente e arquivos que podem conter credenciais de serviços populares como AWS, Docker e GitHub, e possui lógica para evitar roubar dados da própria carteira do atacante. Além disso, uma nova variante do worm Miasma foi identificada, comprometendo 57 pacotes npm com 286 versões maliciosas. Essa variante utiliza um arquivo binding.gyp para executar código durante a instalação, contornando verificações de segurança. Os desenvolvedores afetados são aconselhados a rotacionar credenciais e desativar scripts de instalação por padrão.

Pesquisadores de cibersegurança da Sansec revelaram uma nova campanha de roubo de informações de pagamento que utiliza a API do Stripe e o Google Tag Manager (GTM). Os atacantes comprometeram sites de comércio eletrônico baseados em Magento/Adobe Commerce, inserindo um contêiner malicioso do GTM. Quando um usuário acessa o site, o código do GTM é carregado a partir dos servidores do Google, permitindo que um script malicioso seja executado durante o processo de checkout. Esse script monitora a página de pagamento e captura dados sensíveis, como números de cartão, CVV e informações pessoais. Os dados roubados são então ofuscados e enviados para uma conta controlada pelos atacantes no Stripe, utilizando a própria infraestrutura do Stripe para evitar detecções. Essa técnica permite que o malware passe despercebido por políticas de segurança e filtros de rede, tornando a situação ainda mais crítica para os usuários e comerciantes online.

Um novo spyware para Android, codinome Asin, tem como alvo usuários de língua árabe, conforme revelado pela empresa de cibersegurança ESET. O malware foi detectado pela primeira vez em campanhas de ataque no início de 2025, utilizando sites fraudulentos que imitam serviços úteis e fontes de notícias governamentais. Entre os sites identificados estão govlens[.]net, que finge ser uma fonte de notícias do governo, e live-war-map[.]com, que promete atualizações sobre incidentes militares. Esses sites distribuem aplicativos maliciosos que combinam funcionalidades legítimas com capacidades de spyware. A ESET observou que as campanhas parecem ter como alvo jornalistas e pesquisadores de OSINT (inteligência de fontes abertas) na região árabe, com três dos cinco aplicativos fraudulentos identificados sendo direcionados a esse público. Os usuários precisam instalar manualmente os aplicativos e conceder permissões para que o spyware funcione. Embora a origem das campanhas ainda não tenha sido atribuída, a natureza dos alvos sugere um foco em indivíduos envolvidos em investigações abertas. A situação é preocupante, pois o spyware pode comprometer a segurança e a privacidade de informações sensíveis.

Uma nova campanha do grupo Magecart está explorando a infraestrutura da API do Stripe para hospedar um código malicioso que rouba dados de cartões de crédito durante o processo de checkout. Pesquisadores da empresa de segurança em e-commerce Sansec identificaram que a atividade maliciosa utiliza o Google Tag Manager (GTM) e os domínios do Stripe, que são geralmente confiáveis por lojas online. O código malicioso é carregado de um contêiner do GTM e executado em todas as páginas que o carregam, permitindo que o skimmer evite regras de segurança que normalmente bloqueariam tráfego desconhecido. O malware é projetado para capturar informações sensíveis, como números de cartões de crédito, datas de validade e códigos CVV, além de dados pessoais dos clientes. Os dados roubados são armazenados localmente e enviados para a conta do atacante no Stripe como registros de clientes falsos. Além disso, uma variante do ataque utiliza o Google Firestore para armazenar os dados, disfarçando-se como tráfego legítimo. Para se proteger, os consumidores são aconselhados a usar cartões virtuais de uso único com limites definidos.

O navegador Hola para Windows foi comprometido em um ataque à cadeia de suprimentos, resultando na instalação de um minerador de criptomoedas não declarado, identificado como Monero. A vulnerabilidade foi descoberta durante verificações de certificação periódicas realizadas pela AppEsteem, que anteriormente havia aprovado o software. A Hola, uma empresa israelense conhecida por seu serviço de VPN, confirmou a violação e alegou que apenas 0,1% de seus usuários foram afetados, sem evidências de acesso ou roubo de dados pessoais. O arquivo malicioso, denominado ‘me.exe’, foi encontrado em alguns sistemas e apresentava características suspeitas, como código ofuscado e a capacidade de se auto-replicar. A empresa já tomou medidas para reconstruir sua infraestrutura de distribuição e implementar controles de acesso mais rigorosos. Apesar da confirmação do ataque, a Hola assegura que não houve comprometimento significativo de dados dos usuários. A situação destaca a importância de monitoramento contínuo e verificação de integridade em softwares amplamente utilizados, especialmente em um contexto onde a segurança cibernética é cada vez mais crítica.

Um novo ataque à cadeia de suprimentos afetou 36 pacotes no Node Package Manager (npm), introduzindo um malware infostealer chamado IronWorm. Este malware, escrito em Rust, visa 86 variáveis de ambiente e 20 arquivos de credenciais, que podem conter informações sensíveis como credenciais da OpenAI, AWS, Anthropic e npm, além de chaves SSH e arquivos de carteiras de criptomoedas. A pesquisa da JFrog revelou que o IronWorm se propaga utilizando credenciais roubadas para publicar pacotes no npm, comprometendo ambientes de desenvolvedores e sistemas de integração contínua (CI). O ataque começou a partir de uma conta comprometida chamada ‘asteroiddao’, que publicou versões maliciosas de pacotes. O malware utiliza um rootkit e se comunica com o operador via rede Tor, além de empregar um mecanismo que utiliza GitHub Actions para entregar segredos roubados. Embora o ataque tenha sido detectado rapidamente, a situação destaca a necessidade de os desenvolvedores atualizarem suas versões de pacotes e implementarem autenticação de dois fatores (2FA). O incidente é um lembrete da vulnerabilidade das cadeias de suprimentos e da importância de medidas de segurança robustas.