Malware

Pesquisadores de cibersegurança revelaram uma nova fase da campanha Contagious Interview, atribuída a atores de ameaças da Coreia do Norte, que publicaram 26 pacotes maliciosos no registro npm. Esses pacotes se disfarçam como ferramentas de desenvolvimento, mas contêm funcionalidades para extrair URLs de comando e controle (C2) usando conteúdo aparentemente inofensivo do Pastebin. A infraestrutura C2 está hospedada na Vercel, com 31 implantações. Os pacotes incluem um script de instalação que executa um payload malicioso, que utiliza esteganografia para decodificar URLs C2 ocultas em ensaios de ciência da computação. O malware, uma combinação de um ladrão de credenciais e um trojan de acesso remoto, é projetado para operar em múltiplas plataformas, incluindo Windows, macOS e Linux. A campanha demonstra um esforço refinado para evitar detecções automatizadas e revisões humanas, utilizando técnicas de evasão sofisticadas. Os pesquisadores alertam que essa abordagem pode ter implicações significativas para desenvolvedores e empresas que utilizam o npm, especialmente no Brasil, onde tecnologias semelhantes são amplamente adotadas.

O proxyware é um tipo de malware que transforma dispositivos infectados em ’laranjas digitais’, permitindo que hackers utilizem o endereço IP da vítima para realizar atividades criminosas, como ataques DDoS e fraudes financeiras. Ao contrário de vírus comuns, o proxyware redireciona o tráfego da internet da vítima sem que ela perceba, colocando sua integridade e reputação em risco. Recentemente, um caso envolvendo um site falso do 7-Zip demonstrou como usuários desavisados podem ser enganados e ter seus dispositivos infectados. Os sinais de infecção incluem lentidão na internet, ventoinhas do PC funcionando em alta velocidade e bloqueios de acesso a determinados sites. Para se proteger, é essencial que os usuários verifiquem processos suspeitos em seus sistemas e utilizem ferramentas de segurança confiáveis. O proxyware representa uma ameaça significativa, pois pode levar a consequências legais para as vítimas, que podem ser erroneamente associadas a atividades ilícitas.

O cenário da cibersegurança está em constante evolução, e novos tipos de malware têm se tornado cada vez mais sofisticados. Ao contrário do ransomware, que caiu em 38% segundo o relatório The Red Report 2026, as novas ameaças se infiltram silenciosamente nos sistemas, visando roubar dados e realizar atividades maliciosas sem serem detectadas. Esses malwares, como o LummaC2, utilizam técnicas avançadas, como o ’teste de Turing reverso’, para identificar se estão operando em um ambiente real ou em uma sandbox de antivírus. Eles monitoram o movimento do mouse e aplicam trigonometria para distinguir entre ações humanas e robóticas, evitando assim a detecção. Além disso, esses malwares camuflam o tráfego de dados, utilizando domínios legítimos para enviar informações roubadas, o que dificulta a identificação por firewalls. Embora os antivírus tradicionais estejam perdendo a batalha contra essas ameaças, soluções comportamentais como EDR e XDR estão surgindo como alternativas promissoras para detectar anomalias. A crescente complexidade dos malwares exige que as empresas adotem medidas proativas para proteger seus dados e sistemas.

O malware Oblivion é um novo Trojan de Acesso Remoto (RAT) que afeta dispositivos Android, especialmente aqueles que operam entre as versões 8 e 16. Este software malicioso, que pode ser adquirido por assinatura a partir de US$ 300, permite que atacantes assumam o controle total dos dispositivos, interceptando mensagens SMS, notificações e códigos de autenticação de dois fatores sem que o usuário perceba. O Oblivion contorna as proteções do Android, utilizando a Accessibility Service de forma abusiva para automatizar a aprovação de permissões, o que facilita a instalação de aplicativos maliciosos fora das lojas oficiais. Uma vez ativo, o malware pode monitorar atividades em tempo real, lançar ou remover aplicativos remotamente e ocultar sua presença através de sobreposições enganosas. Os pesquisadores de segurança alertam que a instalação de aplicativos de fontes não confiáveis e a concessão desnecessária de permissões de acessibilidade aumentam o risco de infecção. Medidas de proteção incluem a realização de varreduras de segurança, uso de proteção de endpoint e auditoria regular das permissões de aplicativos.

A extensão do Chrome chamada ‘QuickLens - Search Screen with Google Lens’ foi removida da Chrome Web Store após ser comprometida para distribuir malware e tentar roubar criptomoedas de milhares de usuários. Originalmente, a extensão permitia que os usuários realizassem buscas com o Google Lens diretamente no navegador e contava com cerca de 7.000 usuários. No entanto, em 17 de fevereiro de 2026, uma nova versão foi lançada, contendo scripts maliciosos que introduziram ataques ClickFix e funcionalidades de roubo de informações. Pesquisadores de segurança relataram que a extensão mudou de propriedade e, em seguida, recebeu uma atualização que solicitava novas permissões de navegador e removia cabeçalhos de segurança, facilitando a execução de scripts maliciosos. A extensão se comunicava com um servidor de comando e controle, coletando dados do usuário e tentando roubar informações de carteiras de criptomoedas. Os usuários afetados foram aconselhados a remover a extensão, escanear seus dispositivos em busca de malware e redefinir senhas. Este incidente destaca a vulnerabilidade de extensões populares e a necessidade de vigilância constante por parte dos usuários e administradores de segurança.

Hackers da Coreia do Norte, atribuídos ao grupo APT37, estão utilizando uma nova campanha maliciosa chamada Ruby Jumper, que visa transferir dados entre sistemas conectados à internet e sistemas isolados (air-gapped). Essa técnica é comum em setores críticos, como infraestrutura e militar, onde a transferência de dados é feita por meio de dispositivos de armazenamento removíveis. A campanha foi analisada pela Zscaler, que identificou um conjunto de cinco ferramentas maliciosas: RESTLEAF, SNAKEDROPPER, THUMBSBD, VIRUSTASK e FOOTWINE.

Pesquisadores de cibersegurança revelaram um módulo Go malicioso que visa coletar senhas, criar acesso persistente via SSH e instalar um backdoor Linux conhecido como Rekoobe. O módulo, que se disfarça como parte do repositório legítimo ‘golang.org/x/crypto’, injeta código malicioso que exfiltra informações sensíveis inseridas em prompts de senha do terminal para um servidor remoto. Ao ser executado, o código baixa um script que adiciona a chave SSH do invasor ao arquivo ‘authorized_keys’ do usuário, altera as políticas do iptables para aceitar conexões e busca mais cargas úteis disfarçadas com a extensão .mp5. Entre essas cargas, uma é um trojan conhecido, Rekoobe, que permite ao invasor receber comandos e executar ações maliciosas no sistema. O Go security team já tomou medidas para bloquear o módulo, mas a natureza do ataque sugere que campanhas semelhantes podem ocorrer no futuro, visando bibliotecas de alta relevância. Defensores devem estar atentos a ataques de cadeia de suprimentos que possam afetar outras bibliotecas críticas de autenticação e conexão em sistemas Linux.

Yurii Nazarenko, um homem de 27 anos da Ucrânia, se declarou culpado por operar o site OnlyFake, que gerou e vendeu mais de 10.000 fotos de documentos de identificação falsos utilizando inteligência artificial. O site oferecia passaportes, carteiras de motorista e cartões de Seguro Social falsificados, permitindo que os clientes personalizassem os documentos com informações pessoais ou optassem por dados aleatórios. O objetivo principal desses documentos era contornar as exigências de verificação de identidade em bancos e exchanges de criptomoedas, que são medidas de segurança para prevenir lavagem de dinheiro. Agentes do FBI realizaram compras disfarçadas no site e confirmaram a obtenção de documentos falsos. Nazarenko foi extraditado da Romênia e concordou em devolver 1,2 milhão de dólares, enfrentando uma pena máxima de 15 anos de prisão. O caso destaca os riscos associados ao uso de tecnologias de IA para atividades ilícitas e a necessidade de vigilância constante em relação a fraudes digitais.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) divulgou novas informações sobre o RESURGE, um implante malicioso utilizado em ataques de zero-day que exploram a vulnerabilidade CVE-2025-0282, visando dispositivos Ivanti Connect Secure. O RESURGE é descrito como um arquivo de objeto compartilhado Linux de 32 bits que permite comunicação encoberta com o atacante, utilizando técnicas sofisticadas de evasão e autenticação em nível de rede. O malware pode sobreviver a reinicializações, criar webshells para roubo de credenciais, criar contas, redefinir senhas e escalar privilégios. A vulnerabilidade crítica foi explorada desde dezembro de 2024 por um ator de ameaças vinculado à China, conhecido internamente como UNC5221. O RESURGE se destaca por sua capacidade de permanecer latente em sistemas até que um ator remoto tente se conectar ao dispositivo comprometido, o que o torna uma ameaça ativa e difícil de detectar. A CISA recomenda que administradores de sistemas utilizem os indicadores de comprometimento (IoCs) atualizados para identificar e remover infecções do RESURGE em dispositivos Ivanti.

Recentemente, atores de ameaças têm atraído usuários a executarem utilitários de jogos trojanizados, distribuídos por navegadores e plataformas de chat, com o objetivo de implantar um Trojan de Acesso Remoto (RAT). Segundo a equipe de Inteligência de Ameaças da Microsoft, um downloader malicioso utilizou um ambiente Java portátil para executar um arquivo JAR malicioso, denominado jd-gui.jar. O ataque se destaca pela utilização de PowerShell e binários de living-off-the-land (LOLBins) como cmstp.exe, permitindo uma execução furtiva.

O grupo de ameaças cibernéticas norte-coreano conhecido como ScarCruft foi associado a uma nova campanha de malware chamada Ruby Jumper, que utiliza ferramentas sofisticadas para vigilância e controle de sistemas. A campanha, descoberta pela Zscaler ThreatLabz em dezembro de 2025, envolve o uso de um backdoor que se comunica via Zoho WorkDrive, além de implantes que utilizam mídias removíveis para transmitir comandos e invadir redes isoladas.

Quando um usuário abre um arquivo LNK malicioso, um comando PowerShell é executado, permitindo que o malware extraia múltiplos payloads embutidos. Entre os payloads estão o RESTLEAF, que utiliza Zoho WorkDrive para comunicação de comando e controle, e o THUMBSBD, que se disfarça como um arquivo Ruby e pode coletar informações do sistema, exfiltrar arquivos e executar comandos arbitrários. O THUMBSBD também distribui o FOOTWINE, que possui capacidades de keylogging e captura de áudio e vídeo.

Uma nova campanha de cibercrime está ameaçando a segurança dos brasileiros, conforme relatado pela empresa de segurança ZenoX. Hackers estão explorando domínios do Gov.br para roubar dados bancários, utilizando duas táticas principais: comprometer sites legítimos do governo e criar URLs falsas que imitam portais oficiais. No primeiro caso, um site do governo do estado de Goiás foi encontrado com um malware escondido, que passa despercebido por antivírus devido à sua origem em um domínio considerado seguro. No segundo caso, hackers criam links falsos que se parecem com portais governamentais, levando as vítimas a baixar um software malicioso disfarçado de um aplicativo comum. Após a instalação, o infostealer permite que os criminosos monitorem atividades online, capturem credenciais e acessem informações sensíveis. A recomendação para os usuários é evitar clicar em links desconhecidos e acessar portais governamentais apenas por meio de aplicativos oficiais ou URLs verificadas. A situação ainda está em investigação, e não há informações sobre a extensão da operação criminosa.

Pesquisadores de cibersegurança revelaram um novo loader de botnet chamado Aeternum C2, que utiliza uma infraestrutura de comando e controle (C2) baseada em blockchain para resistir a tentativas de derrubada. Ao invés de depender de servidores tradicionais, o Aeternum armazena suas instruções na blockchain pública Polygon, tornando sua infraestrutura de C2 praticamente permanente. Essa abordagem já foi observada em outras botnets, como a Glupteba, que usava a blockchain do Bitcoin como mecanismo de backup.

Pesquisadores da Veracode identificaram um novo malware, o trojan de acesso remoto (RAT) Pulsar, que se disfarça em pacotes npm maliciosos, utilizando imagens PNG para ocultar seu código. Este malware é projetado para evitar a detecção de antivírus e enganar os usuários, dando a impressão de ser um repositório comum. O processo de instalação é complexo e inicia-se quando um usuário executa um comando npm install, que baixa um downloader que se conecta à pasta de inicialização do Windows. O código do malware é ofuscado, dificultando sua identificação, e utiliza esteganografia para esconder comandos maliciosos em pixels de imagens. O RAT é capaz de obter privilégios de administrador e manipular processos do Windows, fazendo com que pareçam legítimos. A Veracode recomenda que desenvolvedores fiquem atentos ao pacote buildrunner-dev e bloqueiem a URL associada ao malware. Este incidente destaca a necessidade de vigilância constante e atualização de medidas de segurança em ambientes de desenvolvimento.

Um grupo de hackers chineses, identificado como UNC2814, está por trás de uma campanha de espionagem global que utiliza o Google Planilhas como vetor de ataque. A colaboração entre o Grupo de Inteligência de Ameaças da Google (GTIG) e a empresa de cibersegurança Mandiant revelou que a campanha, que começou em 2023, já afetou 53 empresas em 42 países, incluindo o Brasil. Os atacantes exploram uma nova backdoor chamada GRIDTIDE, que se autentica em contas do Google e utiliza a API do Google Sheets para executar comandos maliciosos. O malware é capaz de coletar informações sensíveis, como nome de usuário, detalhes do sistema operacional e localização, enquanto se esconde em meio ao tráfego normal da internet. Após a descoberta, as autoridades desativaram a infraestrutura do grupo e notificaram as organizações afetadas, oferecendo suporte para mitigar os danos. A situação destaca a vulnerabilidade de sistemas governamentais e de telecomunicações a ataques sofisticados que utilizam ferramentas comuns como o Google Planilhas.

Pesquisadores de cibersegurança revelaram a descoberta de um novo pacote malicioso no NuGet Gallery, que se disfarça como uma biblioteca legítima da Stripe, visando o setor financeiro. O pacote, denominado StripeApi.Net, foi criado para imitar o Stripe.net, uma biblioteca autêntica com mais de 75 milhões de downloads. Carregado por um usuário chamado StripePayments em 16 de fevereiro de 2026, o pacote foi rapidamente removido após a denúncia. O site do pacote malicioso foi projetado para se assemelhar ao original, utilizando o mesmo ícone e uma descrição quase idêntica, apenas alterando referências de ‘Stripe.net’ para ‘Stripe-net’. Para aumentar sua credibilidade, o autor do ataque inflacionou artificialmente a contagem de downloads para mais de 180.000, distribuídos em 506 versões. Embora o pacote replicasse algumas funcionalidades da biblioteca legítima, ele modificava métodos críticos para coletar e transferir dados sensíveis, como o token da API da Stripe, para o atacante. A ReversingLabs, que identificou e reportou o pacote rapidamente, destacou que essa atividade representa uma mudança em relação a campanhas anteriores que visavam o ecossistema de criptomoedas. O incidente ressalta a necessidade de vigilância constante em bibliotecas de código aberto, especialmente em um cenário onde desenvolvedores podem inadvertidamente integrar pacotes comprometidos sem perceber.

Uma nova campanha de cibersegurança está atacando desenvolvedores por meio de repositórios maliciosos disfarçados de projetos legítimos do Next.js. De acordo com a equipe de pesquisa da Microsoft Defender, essa atividade se alinha a uma série de ameaças que utilizam iscas relacionadas a empregos para se integrar aos fluxos de trabalho dos desenvolvedores, aumentando a probabilidade de execução de código malicioso. Os atacantes criam repositórios falsos em plataformas confiáveis como o Bitbucket, usando nomes enganosos para atrair desenvolvedores em busca de oportunidades de trabalho.

Um novo grupo de atividades maliciosas, identificado como UAT-10027, está atacando os setores de educação e saúde nos Estados Unidos desde dezembro de 2025. A campanha, monitorada pela Cisco Talos, visa implantar um backdoor inédito chamado Dohdoor, que utiliza a técnica DNS-over-HTTPS (DoH) para comunicação de comando e controle. Os pesquisadores de segurança Alex Karkins e Chetan Raghuprasad relataram que a campanha pode ter iniciado através de técnicas de phishing, levando à execução de um script PowerShell que baixa um script em lote do Windows. Este script, por sua vez, baixa uma biblioteca dinâmica maliciosa (DLL) chamada “propsys.dll” ou “batmeter.dll”. O Dohdoor é ativado por executáveis legítimos do Windows, utilizando a técnica de DLL side-loading, permitindo que o acesso backdoor seja utilizado para baixar e executar cargas adicionais diretamente na memória da vítima. A comunicação do malware é disfarçada como tráfego HTTPS legítimo, dificultando a detecção por sistemas de segurança tradicionais. Embora não se saiba quem está por trás do UAT-10027, há semelhanças táticas com o grupo Lazarus, conhecido por suas atividades de hacking, especialmente em setores como criptomoedas e defesa. No entanto, o foco atual em educação e saúde destaca uma nova abordagem que pode ter implicações significativas para a segurança cibernética.

Uma nova campanha de cibersegurança está direcionada a desenvolvedores de software, utilizando iscas temáticas de emprego para disseminar repositórios maliciosos que se disfarçam como projetos legítimos do Next.js e materiais de avaliação técnica. O objetivo dos atacantes é obter execução remota de código (RCE) nas máquinas dos desenvolvedores, exfiltrar dados sensíveis e implantar cargas adicionais em sistemas comprometidos.

O Next.js, um framework popular de JavaScript, é utilizado para construir aplicações web e, ao clonar repositórios maliciosos, os desenvolvedores acionam scripts JavaScript que se executam automaticamente, baixando um backdoor do servidor do atacante. Os pesquisadores da Microsoft identificaram múltiplos gatilhos de execução, como arquivos de configuração do VS Code e scripts que são ativados ao iniciar o servidor.

Pesquisadores de cibersegurança descobriram quatro pacotes NuGet maliciosos que visam desenvolvedores de aplicações web ASP.NET, com o objetivo de roubar dados sensíveis. A campanha, identificada pela empresa Socket, exfiltra dados de identidade do ASP.NET, como contas de usuários e atribuições de papéis, além de manipular regras de autorização para criar backdoors persistentes nas aplicações das vítimas. Os pacotes, publicados entre 12 e 21 de agosto de 2024, foram baixados mais de 4.500 vezes antes de serem removidos. O pacote NCryptYo atua como um dropper de primeira fase, estabelecendo um proxy local que redireciona o tráfego para um servidor de comando e controle (C2) controlado pelo atacante. Os pacotes DOMOAuth2_ e IRAOAuth2.0 são responsáveis por roubar dados de identidade e backdoor, enquanto o SimpleWriter_ permite a execução de processos ocultos. A análise sugere que todos os pacotes foram criados pelo mesmo ator de ameaça, visando comprometer as aplicações em vez das máquinas dos desenvolvedores. A continuidade da exfiltração de dados ocorre mesmo após a implantação das aplicações maliciosas em produção, permitindo que atacantes obtenham acesso administrativo. Este incidente destaca a vulnerabilidade da cadeia de suprimentos de software e a necessidade de vigilância constante na segurança de pacotes de código aberto.

O spyware Predator, desenvolvido pelas empresas Intellexa e Cytrox, tem se mostrado uma ameaça significativa para usuários de dispositivos iOS, pois consegue acessar silenciosamente câmeras e microfones sem que os usuários percebam. Apesar da introdução de indicadores visuais no iOS 14, que alertam quando esses dispositivos estão ativos, o Predator consegue contornar essas notificações. A técnica utilizada envolve o acesso a nível de kernel, permitindo que o malware injete código em processos críticos do sistema, como o SpringBoard, e suprimindo os indicadores visuais de gravação. Além disso, o spyware possui módulos que manipulam permissões de câmera e capturam áudio de VoIP, tornando sua detecção extremamente difícil. A pesquisa da Jamf Threat Labs destaca que o Predator não explora novas vulnerabilidades, mas sim utiliza acesso prévio ao kernel para interceptar atualizações de atividade dos sensores, evitando que os usuários sejam alertados sobre a vigilância em andamento. A complexidade do design do Predator e suas técnicas de persistência exigem que usuários e equipes de segurança monitorem anomalias sutis na atividade dos sensores para detectar possíveis compromissos em seus dispositivos.

Uma nova campanha de phishing está explorando uma vulnerabilidade do Excel para disseminar um trojan de acesso remoto (RAT) conhecido como ‘XWorm 7.2’. O malware é disfarçado como um arquivo JPEG, que na verdade contém um código malicioso. Ao abrir um arquivo Excel enviado por e-mail, a vítima é levada a executar um script que instala o malware, permitindo que os hackers tenham controle total sobre a máquina. Essa técnica utiliza engenharia social, com mensagens que parecem legítimas, solicitando pagamentos ou documentos que não existem. O XWorm 7.2, que já existe desde 2022, teve sua versão mais recente identificada em lojas do Telegram, mostrando uma evolução em sua sofisticação. O malware é capaz de roubar senhas, chaves de Wi-Fi e até mesmo coletar cookies do navegador. Além disso, ele pode espionar a vítima através da webcam e lançar ataques de negação de serviço (DDoS). A complexidade do XWorm 7.2 torna sua remoção extremamente difícil, pois ele se oculta em processos legítimos do Windows, dificultando a detecção por antivírus.

Especialistas da Kaspersky identificaram uma nova ameaça para usuários de dispositivos Android: um malware chamado Keenadu, que pode vir pré-instalado no sistema operacional. Este software malicioso é capaz de roubar dados sensíveis, como senhas e informações bancárias, sem que o usuário perceba. O Keenadu se infiltra no firmware dos dispositivos através de pacotes de atualização OTA e também pode ser instalado por meio de fontes não oficiais, incluindo a Play Store. A Kaspersky alerta que a remoção do malware é extremamente difícil e requer ajuda especializada. Até o momento, mais de 13 mil dispositivos foram afetados, com vítimas localizadas em países como Brasil, Japão, Rússia, Holanda e Alemanha. O Keenadu tem acesso completo aos dados do dispositivo, permitindo que atacantes realizem operações ilegais, como a instalação de aplicativos sem consentimento do usuário. A origem do malware ainda é desconhecida, mas ele tem sido utilizado principalmente para fraudes publicitárias.

O grupo de ciberameaças conhecido como UnsolicitedBooker tem direcionado suas atividades para empresas de telecomunicações no Quirguistão e no Tajiquistão, após uma série de ataques anteriores a entidades na Arábia Saudita. Os ataques utilizam duas backdoors distintas, chamadas LuciDoor e MarsSnake, conforme relatado pela Positive Technologies. A UnsolicitedBooker, que foi documentada pela primeira vez pela ESET em maio de 2025, é considerada ativa desde março de 2023 e tem um histórico de ataques a organizações na Ásia, África e Oriente Médio. Recentemente, os ataques foram realizados através de e-mails de phishing que continham documentos do Microsoft Office, que, ao serem abertos, solicitavam que os usuários ‘ativassem o conteúdo’ para executar macros maliciosas. Essas macros implantavam um carregador de malware chamado LuciLoad, que, por sua vez, instalava a backdoor LuciDoor. Em um ataque posterior, o grupo utilizou um carregador diferente, o MarsSnakeLoader, para implantar a backdoor MarsSnake. A Positive Technologies também observou que o MarsSnake foi utilizado em ataques direcionados à China. O uso de ferramentas raras de origem chinesa e a possibilidade de um roteador hackeado servir como servidor de comando e controle destacam a sofisticação das operações do grupo.

Pesquisadores de cibersegurança revelaram uma nova campanha de cryptojacking que utiliza pacotes de software pirata como iscas para implantar um programa minerador XMRig em sistemas comprometidos. A análise do malware indica uma infecção sofisticada em múltiplas etapas, priorizando a maximização da taxa de hash de mineração de criptomoedas, o que pode desestabilizar o sistema da vítima. O ataque começa com engenharia social, onde usuários são enganados a baixar executáveis maliciosos disfarçados de softwares legítimos. O malware possui capacidades semelhantes a vermes, espalhando-se por dispositivos de armazenamento externo e permitindo movimento lateral, mesmo em ambientes isolados. Além disso, ele utiliza um driver vulnerável para escalar privilégios e garantir persistência. A campanha foi projetada para operar até uma data limite específica, 23 de dezembro de 2025, sugerindo um planejamento estratégico por parte dos atacantes. A atividade de mineração foi observada em novembro de 2025, com um pico em dezembro. Este caso destaca a inovação contínua do malware comercial, combinando engenharia social, disfarces de software legítimo e exploração de vulnerabilidades de kernel.

O grupo de ameaças patrocinado pelo Estado russo, conhecido como APT28, lançou uma nova campanha chamada Operação MacroMaze, visando entidades específicas na Europa Central e Ocidental. De acordo com a equipe de inteligência de ameaças LAB52, a atividade ocorreu entre setembro de 2025 e janeiro de 2026. A campanha utiliza e-mails de spear-phishing para distribuir documentos maliciosos que contêm macros projetadas para explorar serviços legítimos para a exfiltração de dados.

Pesquisadores da ESET identificaram o PromptSpy, o primeiro malware para Android que utiliza inteligência artificial generativa para aprimorar suas capacidades de ataque. Embora ainda seja uma prova de conceito, o malware é projetado para fornecer controle remoto sobre dispositivos infectados, utilizando um módulo de computação de rede virtual (VNC). O PromptSpy interage com o chatbot Gemini da Google, enviando comandos em linguagem natural para manipular o dispositivo atacado. Isso permite que os hackers adaptem seus ataques a diferentes versões do sistema operacional Android.

Pesquisadores da Threat Fabric identificaram um novo trojan bancário chamado Massiv, que está sendo distribuído por meio de aplicativos disfarçados de IPTV. Este malware tem sido utilizado em campanhas fraudulentas em diversos países, especialmente no sul da Europa. O Massiv possui funcionalidades avançadas, como overlay, keylogging e interceptação de SMS, permitindo que os hackers capturem credenciais e dados financeiros das vítimas. Um dos alvos do ataque foi o aplicativo gov.pt, utilizado em Portugal para autenticação digital, o que levanta preocupações sobre a segurança de informações sensíveis. Os hackers podem abrir contas em nome das vítimas e realizar transações fraudulentas, utilizando um canal WebSocket para controle remoto dos dispositivos infectados. A ameaça é particularmente atrativa para os usuários devido à promessa de serviços premium em aplicativos IPTV, levando-os a baixar APKs maliciosos. Embora o Massiv ainda não seja um malware-as-a-service, há indícios de que essa possibilidade possa surgir em breve, aumentando a disseminação do malware.

Pesquisadores de cibersegurança revelaram uma campanha ativa de worm na cadeia de suprimentos, denominada SANDWORM_MODE, que utiliza pelo menos 19 pacotes npm maliciosos para roubo de credenciais e chaves de criptomoedas. Os pacotes, publicados por dois aliases, contêm código malicioso que coleta informações do sistema, tokens de acesso e segredos de ambiente, além de se propagar por meio de identidades roubadas do npm e GitHub. A campanha inclui um módulo chamado ‘McpInject’, que visa assistentes de codificação baseados em IA, injetando um servidor de protocolo de contexto malicioso (MCP) em suas configurações. O malware também possui um mecanismo polimórfico para evitar detecções, sugerindo que os operadores pretendem lançar versões futuras. Os usuários que instalaram esses pacotes devem removê-los imediatamente, rotacionar tokens e revisar arquivos de configuração para alterações inesperadas. A situação é crítica, pois a campanha representa um alto risco de comprometimento ativo, exigindo atenção imediata dos profissionais de segurança da informação.

O grupo de hackers iraniano MuddyWater, também conhecido como Earth Vetala, iniciou uma nova campanha chamada Operação Olalampo, visando organizações e indivíduos na região do Oriente Médio e Norte da África (MENA). Desde 26 de janeiro de 2026, a campanha tem utilizado novas famílias de malware, como o downloader GhostFetch e o backdoor CHAR, além de um implante avançado chamado GhostBackDoor. Os ataques geralmente começam com e-mails de phishing que contêm documentos do Microsoft Office com macros maliciosas, permitindo que os atacantes assumam o controle remoto dos sistemas.

O Arkanix Stealer, uma operação de malware voltada para roubo de informações, foi promovido em fóruns da dark web no final de 2025 e parece ter sido desenvolvido com assistência de inteligência artificial. O projeto, que incluiu um painel de controle e um servidor no Discord para interação com os usuários, foi descontinuado pelo autor apenas dois meses após seu lançamento. O malware apresenta uma arquitetura modular e recursos anti-análise, permitindo a coleta de informações do sistema, dados de navegadores e carteiras de criptomoedas de 22 navegadores diferentes. Além disso, é capaz de extrair tokens 0Auth2 de navegadores baseados em Chromium e roubar credenciais de plataformas como Telegram e Discord. A versão premium, escrita em C++, oferece funcionalidades adicionais, como roubo de credenciais RDP e captura de tela. Os pesquisadores da Kaspersky sugerem que o Arkanix foi um experimento de desenvolvimento rápido, visando lucros financeiros imediatos, o que dificulta sua detecção e rastreamento. A operação levanta preocupações sobre a utilização de assistentes de linguagem para o desenvolvimento de malware, destacando a necessidade de vigilância constante e medidas de segurança robustas.

O spyware Predator, desenvolvido pela empresa de vigilância Intellexa, é capaz de ocultar os indicadores de gravação do iOS enquanto transmite secretamente feeds de câmera e microfone para seus operadores. Este malware não explora vulnerabilidades do iOS, mas utiliza acesso de nível kernel previamente obtido para sequestrar os indicadores do sistema que normalmente alertariam os usuários sobre a atividade de gravação. Desde a introdução dos indicadores de gravação no iOS 14, que mostram um ponto verde ou laranja quando a câmera ou o microfone estão em uso, a capacidade do Predator de suprimir esses sinais se tornou uma preocupação significativa. Pesquisadores da Jamf analisaram amostras do Predator e descobriram que ele utiliza uma função de hook para interceptar atualizações de atividade do sensor, evitando que os indicadores sejam exibidos na interface do usuário. Além disso, o acesso à câmera é habilitado por meio de um módulo separado que contorna as verificações de permissão. Embora a atividade do spyware permaneça oculta para o usuário comum, sinais técnicos de processos maliciosos podem ser detectados. A Apple foi contatada para comentar sobre as descobertas, mas não respondeu.

Cibercriminosos estão utilizando páginas falsas de CAPTCHA para disseminar malware, explorando uma vulnerabilidade no Windows. O ataque envolve a clonagem de páginas de CAPTCHA legítimas, levando os usuários a baixar um software malicioso conhecido como Stealthy StealC Information Stealer. O método é particularmente insidioso, pois as vítimas são induzidas a executar comandos no teclado que instalam o malware sem que percebam. Após abrir a janela ‘Executar’ do Windows, os usuários são instruídos a colar um comando malicioso que, ao ser executado, carrega um script do PowerShell, permitindo a instalação do malware. O objetivo principal é roubar informações de login de serviços populares, como Outlook, Steam e carteiras de criptomoedas. Especialistas alertam que qualquer solicitação para executar comandos desconhecidos em páginas de CAPTCHA deve ser vista com desconfiança, pois pode resultar em comprometimento de dados pessoais. A proteção contra esse tipo de ataque envolve a conscientização sobre as instruções que podem ser solicitadas em páginas de segurança, evitando a execução de comandos desconhecidos.

Recentemente, a Proton alertou sobre a presença de extensões falsas do Proton VPN na Chrome Web Store, que permaneceram ativas por semanas antes de serem removidas. A empresa notificou o Google pelo menos três vezes neste ano sobre essas extensões fraudulentas, que foram capazes de passar pelos processos de verificação da loja. Os atacantes utilizaram o nome e a marca da Proton para enganar os usuários e instalar softwares maliciosos, com o objetivo de roubar credenciais de login e monitorar atividades de navegação. A Proton criticou a lentidão do processo de remoção, afirmando que cada minuto que essas extensões permanecem online representa um risco à segurança de centenas de milhares de pessoas. O alerta destaca a vulnerabilidade dos usuários a ferramentas maliciosas que se disfarçam como aplicativos legítimos, especialmente em um cenário onde a demanda por VPNs confiáveis é alta, como na Rússia. Para se proteger, a Proton recomenda que os usuários acessem diretamente o site oficial da empresa para baixar suas ferramentas, em vez de buscar na loja de extensões. Além disso, é importante verificar a identidade do desenvolvedor e os tipos de permissões solicitadas pelas extensões antes da instalação.

Pesquisadores de cibersegurança revelaram detalhes sobre uma nova campanha chamada ClickFix, que utiliza sites legítimos comprometidos para distribuir um novo trojan de acesso remoto (RAT) conhecido como MIMICRAT. A campanha é caracterizada por sua sofisticação operacional, envolvendo uma cadeia de PowerShell em múltiplas etapas que contorna mecanismos de segurança do Windows, como ETW e AMSI, antes de implantar um loader baseado em Lua. O MIMICRAT, desenvolvido em C++, oferece suporte a funcionalidades avançadas, como a manipulação de tokens do Windows e tunelamento SOCKS5, permitindo um controle abrangente após a exploração. O ataque começa com a injeção de código JavaScript malicioso em um serviço legítimo de validação de BIN, que redireciona a vítima para uma página falsa de verificação do Cloudflare. A execução de comandos PowerShell leva à comunicação com um servidor de comando e controle (C2) para baixar scripts adicionais, culminando na entrega do MIMICRAT. A campanha é capaz de se adaptar a 17 idiomas, aumentando seu alcance. Os alvos incluem uma universidade nos EUA e usuários de língua chinesa, indicando uma abordagem oportunista e ampla.

O FBI alertou que os americanos perderam mais de 20 milhões de dólares no ano passado devido a um aumento significativo nos ataques de ‘jackpotting’ em caixas eletrônicos, onde criminosos utilizam malware para forçar as máquinas a liberar dinheiro. Em um alerta divulgado na quinta-feira, o FBI informou que mais de 700 incidentes de jackpotting foram registrados no último ano, um aumento considerável em relação aos cerca de 1.900 incidentes reportados desde 2020. Esses ataques, que podem ser realizados em minutos, visam a camada de software que controla o hardware físico do caixa eletrônico, utilizando ferramentas maliciosas como o malware Ploutus. O FBI explicou que, ao explorar o eXtensions for Financial Services (XFS), o malware permite que os criminosos emitam comandos diretamente ao caixa eletrônico, dispensando a autorização do banco. Para instalar o malware, os atacantes geralmente obtêm acesso físico ao caixa eletrônico, utilizando chaves genéricas. O FBI recomendou que as instituições financeiras realizem auditorias em seus sistemas de caixas eletrônicos para detectar o uso não autorizado de armazenamento removível e processos não autorizados. O alerta surge após uma série de prisões de membros da gangue Tren de Aragua, envolvidos em um esquema de jackpotting que resultou em milhões de dólares em perdas.

O FBI alertou sobre um aumento alarmante nos incidentes de jackpotting em caixas eletrônicos nos Estados Unidos, resultando em perdas superiores a 20 milhões de dólares em 2025. Desde 2020, foram registrados cerca de 1.900 casos, com 700 ocorrendo apenas no último ano. Os ataques de jackpotting envolvem o uso de malware especializado, como o Ploutus, que permite que criminosos cibernéticos dispensem dinheiro sem a necessidade de uma transação legítima. Esses ataques geralmente ocorrem quando os invasores acessam fisicamente os caixas eletrônicos, utilizando chaves genéricas disponíveis no mercado. Uma vez dentro, eles podem infectar o dispositivo com malware, que interage diretamente com o hardware do caixa eletrônico, contornando as medidas de segurança do software original. O FBI recomenda que as organizações adotem medidas de segurança rigorosas, como a instalação de sensores de ameaça, câmeras de segurança e a troca de fechaduras padrão, além de auditorias regulares e a configuração de modos de desligamento automático em caso de comprometimento. A crescente incidência desses ataques destaca a necessidade urgente de reforçar a segurança dos caixas eletrônicos, especialmente considerando o impacto financeiro significativo que esses crimes podem causar.

Pesquisadores da ESET identificaram o primeiro malware Android conhecido a utilizar IA generativa em sua execução, denominado ‘PromptSpy’. Este malware se aproveita do modelo Gemini da Google para adaptar sua persistência em diferentes dispositivos. A descoberta ocorreu em fevereiro de 2026, com a primeira versão, chamada VNCSpy, sendo detectada em janeiro do mesmo ano. O PromptSpy utiliza a IA para enviar comandos que permitem ’travar’ aplicativos na lista de aplicativos recentes, dificultando sua remoção. Essa técnica é especialmente eficaz, pois varia entre fabricantes, e a IA ajuda a automatizar o processo. Além de sua capacidade de persistência, o PromptSpy atua como spyware, permitindo acesso remoto completo aos dispositivos infectados, podendo capturar senhas, gravar a tela e interceptar informações sensíveis. Para dificultar a desinstalação, o malware sobrepõe botões invisíveis sobre a interface do usuário. Embora a ESET ainda não tenha observado o PromptSpy em sua telemetria, a presença de domínios dedicados para distribuição sugere que ele pode ter sido utilizado em ataques reais. Essa nova abordagem de malware destaca como a IA generativa pode ser utilizada para aprimorar a eficácia de ataques cibernéticos, representando uma preocupação crescente para a segurança digital.

O Google anunciou que, até 2025, bloqueou mais de 255 mil aplicativos Android que tentavam obter acesso excessivo a dados sensíveis dos usuários e rejeitou mais de 1,75 milhão de aplicativos por violação de políticas. Em sua revisão anual de segurança do Android e Google Play, a empresa destacou a eficácia das medidas de proteção implementadas para manter um ecossistema seguro. Para isso, foram realizados mais de 10 mil checagens de segurança em aplicativos publicados, e a detecção de padrões maliciosos foi aprimorada com a integração de modelos de IA generativa. Entre as ações de proteção, o Google baniu mais de 80 mil contas de desenvolvedores considerados ruins e bloqueou 266 milhões de tentativas de instalação de aplicativos arriscados. O Play Protect, que verifica diariamente mais de 350 bilhões de aplicativos, identificou mais de 27 milhões de aplicativos maliciosos que foram instalados fora do Google Play. Além disso, novas proteções contra ataques de ’tapjacking’ foram adicionadas no Android 16. O Google continuará investindo em defesas baseadas em IA e expandindo a verificação de desenvolvedores para prevenir violações de políticas antes da publicação dos aplicativos.

Pesquisadores de cibersegurança identificaram o PromptSpy, o primeiro malware para Android que utiliza o chatbot de inteligência artificial Gemini, da Google, para executar suas funções maliciosas e garantir sua persistência no dispositivo. O PromptSpy é capaz de capturar dados da tela de bloqueio, bloquear tentativas de desinstalação, coletar informações do dispositivo, tirar capturas de tela e gravar a atividade da tela em vídeo. O malware se comunica com um servidor de comando e controle para receber instruções sobre como interagir com a interface do usuário, utilizando a IA para adaptar suas ações a diferentes dispositivos e versões do sistema operacional. O principal objetivo do PromptSpy é implantar um módulo VNC que permite acesso remoto ao dispositivo da vítima. A análise sugere que a campanha é motivada financeiramente e direcionada a usuários na Argentina, com indícios de que o malware foi desenvolvido em um ambiente de língua chinesa. O PromptSpy é distribuído por um site dedicado e não está disponível no Google Play, o que aumenta o risco de infecção para os usuários desavisados.

Um novo malware bancário para Android, denominado Massiv, está se disfarçando como um aplicativo de IPTV para roubar identidades digitais e acessar contas bancárias online. O malware utiliza sobreposições de tela e keylogging para obter dados sensíveis e pode assumir o controle remoto de dispositivos comprometidos. Pesquisadores da ThreatFabric observaram uma campanha que visava um aplicativo do governo português, que se conecta ao sistema de autenticação digital Chave Móvel Digital. Os dados obtidos podem ser usados para contornar verificações de KYC e acessar serviços bancários e públicos. O Massiv permite que os operadores controlem remotamente o dispositivo infectado, utilizando modos de transmissão ao vivo e extração de dados estruturados. A pesquisa também destacou uma tendência crescente de uso de aplicativos IPTV como iscas para infecções por malware, especialmente em países como Portugal, Espanha, França e Turquia. Os usuários de Android são aconselhados a baixar apenas aplicativos de fontes confiáveis e a manter o Play Protect ativo para proteger seus dispositivos.

Pesquisadores de cibersegurança revelaram detalhes sobre a campanha CRESCENTHARVEST, que parece ter como alvo apoiadores dos protestos no Irã, visando roubo de informações e espionagem a longo prazo. A Acronis Threat Research Unit (TRU) observou atividades suspeitas a partir de 9 de janeiro, onde ataques foram projetados para entregar um trojan de acesso remoto (RAT) e um ladrão de informações. Os ataques utilizam arquivos .LNK disfarçados como imagens ou vídeos relacionados aos protestos, aumentando a credibilidade para atrair iranianos que falam farsi. Embora a origem da campanha não tenha sido atribuída, acredita-se que seja obra de um grupo de ameaças alinhado ao Irã. O vetor de acesso inicial ainda não é conhecido, mas suspeita-se do uso de spear-phishing e engenharia social. Os arquivos maliciosos contêm código PowerShell que baixa um arquivo ZIP com um executável legítimo da Google, que é utilizado para realizar atividades maliciosas, como roubo de credenciais e dados do sistema. A campanha CRESCENTHARVEST representa uma continuidade de operações de espionagem cibernética de estado-nação, refletindo táticas bem estabelecidas de acesso inicial e coleta de dados.

Pesquisadores de cibersegurança revelaram detalhes sobre um novo trojan para Android chamado Massiv, que facilita ataques de tomada de controle de dispositivos (DTO) visando o roubo financeiro. O malware se disfarça como aplicativos IPTV inofensivos, atraindo usuários em busca de serviços de TV online. Segundo a ThreatFabric, o Massiv permite que os operadores controlem remotamente dispositivos infectados, realizando transações fraudulentas nas contas bancárias das vítimas.

Entre suas funcionalidades, o Massiv utiliza técnicas como streaming de tela, keylogging e sobreposições falsas em aplicativos financeiros, solicitando que os usuários insiram suas credenciais. Um dos alvos identificados foi o aplicativo gov.pt, que gerencia documentos de identificação em Portugal. Os criminosos têm usado as informações capturadas para abrir contas bancárias em nome das vítimas, facilitando atividades como lavagem de dinheiro.

Uma nova botnet chamada SSHStalker tem sido utilizada por hackers para controlar sistemas Linux, utilizando o protocolo Internet Relay Chat (IRC) para comunicação. De acordo com a empresa de cibersegurança Flare, a botnet explora vulnerabilidades do kernel do Linux, permitindo o comprometimento em massa de dispositivos. O ataque é automatizado e visa servidores com SSH aberto na porta 22, permitindo que os hackers invadam os sistemas de maneira semelhante a um worm. Uma vez dentro, a botnet pode realizar ataques de negação de serviço distribuídos (DDoS), mineração de criptomoedas e proxyjacking, além de manter acesso persistente ao sistema sem ser detectada. O SSHStalker também utiliza um scanner em Golang para localizar servidores vulneráveis e executa arquivos em C para apagar registros de conexão SSH, dificultando a detecção de suas atividades. Pesquisadores suspeitam que a operação tenha origem romena, com base em gírias e nomenclaturas encontradas nos canais de IRC. A botnet é capaz de comprometer até versões antigas do Linux, datadas de 2009, e possui um catálogo extenso de malware e ferramentas maliciosas de código aberto.

A ascensão da Inteligência Artificial Generativa (GenAI) está transformando o cenário da cibersegurança, permitindo que hackers desenvolvam malware de forma mais rápida e complexa. Um relatório da Palo Alto, intitulado ‘Unit 42 Global Incident Response Report’, revela que o tempo necessário para exfiltração de dados caiu de cinco horas para apenas 72 minutos, um aumento significativo na eficiência dos ataques. O navegador continua sendo o principal alvo, com 48% dos incidentes ocorrendo nesse ambiente, mas a complexidade dos ataques está crescendo, com 87% das intrusões abrangendo múltiplas superfícies de ataque. Além disso, fraquezas de identidade e ataques à cadeia de suprimentos estão se tornando comuns, com 65% dos acessos iniciais resultantes de engenharia social. Os ataques a aplicações SaaS aumentaram quase quatro vezes desde 2022, representando 23% de todos os ataques. Os operadores de ransomware estão mudando seu foco de criptografia para a extração de dados, o que torna a detecção mais difícil para os defensores. Essa evolução no uso da IA pelos atacantes representa um desafio crescente para a comunidade de cibersegurança, exigindo uma resposta mais robusta e ágil das organizações.

Pesquisadores da Check Point, uma empresa de cibersegurança, descobriram que assistentes de IA como Grok e Microsoft Copilot podem ser explorados para intermediar atividades de comando e controle (C2) em ataques cibernéticos. A técnica envolve o uso de uma interface web de IA para relatar comunicações entre um servidor C2 e a máquina alvo, permitindo que atacantes enviem comandos e recuperem dados roubados sem serem detectados. O malware se comunica com o assistente de IA através do componente WebView2 do Windows 11, que pode ser embutido no próprio malware caso não esteja presente no sistema da vítima. A pesquisa demonstrou que essa abordagem cria um canal de comunicação bidirecional, confiável para ferramentas de segurança da internet, dificultando a detecção. O uso de serviços de IA para C2 elimina a necessidade de contas ou chaves de API, tornando a rastreabilidade e a aplicação de bloqueios mais complicadas. Embora existam salvaguardas para bloquear trocas maliciosas, os pesquisadores afirmam que essas podem ser facilmente contornadas através da criptografia de dados. A Check Point alertou a Microsoft e a xAI sobre suas descobertas, mas ainda não houve resposta sobre a vulnerabilidade do Copilot.

Um novo backdoor chamado Keenadu foi identificado pela Kaspersky em dispositivos Android, especialmente em firmwares de tablets como o Alldocube iPlay 50 mini Pro. O malware, que se infiltra durante a fase de construção do firmware, permite que atacantes coletem dados e controlem remotamente os dispositivos. A Kaspersky detectou que o Keenadu foi encontrado em atualizações OTA e que ele carrega assinaturas digitais válidas, dificultando sua detecção. O malware injeta um loader em cada aplicativo ao ser iniciado, permitindo acesso a funcionalidades como redirecionamento de buscas e monetização de instalações de aplicativos. Até agora, 13.715 usuários em todo o mundo foram afetados, com a maioria dos casos registrados na Rússia, Japão, Alemanha, Brasil e Países Baixos. A arquitetura cliente-servidor do Keenadu permite que ele execute cargas maliciosas personalizadas, além de contornar permissões de aplicativos, comprometendo a segurança do sistema Android. A descoberta do Keenadu é alarmante, pois representa uma nova forma de ataque que pode afetar a privacidade e a segurança dos usuários de dispositivos Android.

Pesquisadores em cibersegurança revelaram que assistentes de inteligência artificial (IA) com capacidades de navegação na web podem ser utilizados como relés de comando e controle (C2) por atacantes. Essa técnica, chamada de ‘IA como proxy C2’, foi demonstrada em ferramentas como Microsoft Copilot e xAI Grok. O método permite que os atacantes se misturem a comunicações empresariais legítimas, dificultando a detecção. Ao explorar o acesso anônimo à web e prompts de navegação, os atacantes podem gerar fluxos de trabalho de reconhecimento, automatizar ações e decidir dinamicamente os próximos passos durante uma intrusão. O uso de IA como proxy C2 transforma assistentes em canais de comunicação bidirecionais, permitindo que comandos sejam emitidos e dados da vítima sejam extraídos sem a necessidade de chaves de API ou contas registradas. Essa abordagem se assemelha a campanhas de ataque que utilizam serviços confiáveis para distribuição de malware. Para que essa técnica funcione, o invasor deve ter previamente comprometido uma máquina e instalado malware que utilize o assistente de IA como canal de C2. A evolução dessa técnica representa um risco significativo, pois pode automatizar decisões operacionais em tempo real, aumentando a eficácia dos ataques.

Pesquisadores de segurança da Hudson Rock relataram o primeiro ataque de malware infostealer direcionado ao OpenClaw, um assistente de IA de código aberto. O ataque resultou na exfiltração de arquivos de configuração que contêm segredos sensíveis, como chaves de API e tokens de autenticação, que podem permitir acesso a aplicativos conectados, como Telegram e calendários. O OpenClaw, que permite a automação de tarefas, exige que os usuários forneçam essas informações para funcionar corretamente. A Hudson Rock observou que os hackers não estavam atacando diretamente o OpenClaw, mas sim utilizando um infostealer para coletar o máximo de arquivos sensíveis possível do sistema comprometido. Os pesquisadores alertam que, à medida que o OpenClaw se torna mais popular, a probabilidade de ataques direcionados a esses dados aumentará, com a possibilidade de que desenvolvedores de malware criem módulos específicos para decifrar e extrair informações de assistentes de IA. Essa evolução no comportamento dos infostealers representa um risco crescente para fluxos de trabalho profissionais que dependem de assistentes de IA.

Um novo malware sofisticado para Android, chamado Keenadu, foi descoberto embutido em firmware de várias marcas de dispositivos, permitindo que ele comprometa todos os aplicativos instalados e obtenha controle irrestrito sobre os dispositivos infectados. Segundo a Kaspersky, Keenadu possui múltiplos mecanismos de distribuição, incluindo imagens de firmware comprometidas entregues via OTA, backdoors, aplicativos de sistema modificados e até mesmo aplicativos na Google Play. Até fevereiro de 2026, foram confirmados 13.000 dispositivos infectados, com muitos localizados em países como Rússia, Japão, Alemanha, Brasil e Países Baixos. A variante integrada ao firmware é a mais potente, não se ativando se o idioma ou fuso horário estiver associado à China, o que pode indicar sua origem. Embora os operadores do malware estejam focados em fraudes publicitárias, suas capacidades incluem roubo de dados e ações arriscadas no dispositivo comprometido. A Kaspersky alerta que, devido à profundidade da infecção no firmware, a remoção padrão do Android não é possível, recomendando que os usuários busquem versões limpas do firmware ou considerem substituir o dispositivo por um de fornecedores confiáveis.