Malware

Uma operação coordenada envolvendo o Google e outras entidades, como o FBI, resultou na desarticulação da NetNut, uma rede de proxies residenciais que controlava milhões de dispositivos Android comprometidos, incluindo TVs inteligentes e caixas de streaming. Conhecida também como Popa, a botnet NetNut permitia que cibercriminosos ocultassem suas atividades maliciosas utilizando endereços IP residenciais legítimos. Estima-se que a rede seja composta por pelo menos dois milhões de dispositivos infectados, que se tornaram parte da botnet após serem contaminados por malware, seja pré-instalado ou baixado por meio de aplicativos maliciosos. A operação resultou na apreensão de domínios utilizados pela NetNut e na desativação de contas e serviços que os operadores da botnet utilizavam para controle de malware. O Google também implementou medidas de proteção para alertar usuários e desativar aplicativos infectados. A desarticulação da NetNut pode ter um impacto significativo na indústria de proxies, uma vez que muitos serviços populares dependem dessa rede. O Google já havia realizado ações semelhantes anteriormente, visando desmantelar botnets de proxies residenciais.

Pesquisadores de cibersegurança identificaram um novo framework de malware modular, denominado Avalon, que utiliza uma cadeia de phishing em múltiplas etapas para contornar controles de segurança tradicionais. O ataque inicia com um e-mail que simula um documento legal, levando o destinatário a um arquivo protegido por senha no Proton Drive. Dentro desse arquivo, um atalho do Windows aciona uma sequência de malware que culmina na execução do Avalon, que combina funções de coleta de credenciais, movimentação lateral, acesso remoto e execução de ransomware, conhecido internamente como CrownX.

Um novo ator de ameaças cibernéticas, conhecido como Armored Likho, foi identificado como responsável por ataques direcionados a agências governamentais e ao setor de energia elétrica na Rússia, Brasil e Cazaquistão. Segundo a Kaspersky, esse grupo combina campanhas motivadas financeiramente com espionagem cibernética, utilizando um conjunto de ferramentas sofisticadas, como RATs (Remote Access Trojans) e infostealers, projetados para evitar análises dinâmicas. Os ataques começam com e-mails de spear-phishing que distribuem arquivos maliciosos disfarçados de notificações oficiais. O malware BusySnake, uma das ferramentas utilizadas, é um stealer em Python que coleta dados sensíveis, como credenciais e cookies de navegadores, e se comunica com servidores de comando e controle (C2). Além disso, o grupo tem laços com outra ameaça conhecida, chamada Eagle Werewolf, que também visa organizações governamentais e de defesa. A complexidade e a evolução das técnicas utilizadas pelo Armored Likho indicam um aumento na maturidade técnica do grupo, representando um risco significativo para a segurança cibernética, especialmente em setores críticos como energia e governo.

Recentemente, a empresa de cibersegurança JFrog identificou uma nova campanha de ataque envolvendo pacotes npm maliciosos associados a atores de ameaças da Coreia do Norte. Os pacotes, que se disfarçam como ferramentas de polifil para o Rollup, têm como objetivo facilitar o acesso remoto e o roubo de dados. Os pacotes ‘rollup-packages-polyfill-core’ e ‘rollup-runtime-polyfill-core’ imitam o projeto legítimo ‘rollup-plugin-polyfill-node’, o que pode enganar desenvolvedores durante uma revisão rápida de dependências. Além desses, outros quatro pacotes também foram removidos do registro npm, incluindo ‘quirky-token’ e ‘react-icon-svgs’.

Pesquisadores de cibersegurança identificaram um novo malware para macOS chamado PamStealer, que utiliza técnicas sofisticadas para infectar sistemas e roubar dados sensíveis. Distribuído como um arquivo AppleScript disfarçado de Maccy, um gerenciador de área de transferência legítimo, o PamStealer valida a senha de login da vítima através dos Módulos de Autenticação Pluggable (PAM) do macOS antes de capturá-la. O malware é entregue em duas etapas: um AppleScript que baixa um segundo payload, um infostealer baseado em Rust, capaz de roubar credenciais, coletar dados de navegadores e persistir no sistema. O vetor de ataque inicial é um site falso que imita o Maccy, e o script executa um downloader que busca o payload malicioso. O malware também possui características que evitam a execução em ambientes de análise e sistemas fora do Apple Silicon. Após a captura da senha, o malware exibe um alerta falso, enganando a vítima para descartar o aplicativo malicioso. O desenvolvedor do Maccy já emitiu um alerta sobre sites fraudulentos que distribuem essa ameaça. Essa evolução dos stealers para macOS destaca a necessidade de vigilância constante e medidas de segurança robustas.

Um novo relatório do Citizen Lab revelou que Stelios Kouloglou, ex-membro do Parlamento Europeu, teve seu dispositivo móvel repetidamente hackeado com o spyware Pegasus enquanto investigava o uso de ferramentas de vigilância comercial na União Europeia. A análise forense do seu iPhone indicou que os invasores poderiam acessar documentos confidenciais e deliberações do comitê. Embora não se tenha atribuído a responsabilidade a um governo específico, há indícios de que um cliente do Pegasus, autorizado a espionar em vários países europeus, pode estar por trás do ataque. Kouloglou foi membro do Comitê PEGA, criado para investigar o uso indevido de spyware comercial. O primeiro ataque ocorreu em outubro de 2022, seguido por outro em março de 2023, coincidindo com momentos críticos de discussões sobre o relatório do comitê. O uso do spyware Pegasus levanta preocupações sobre como governos podem abusar de tecnologias destinadas a combater crimes graves, como terrorismo, para espionar jornalistas e críticos. Além disso, o relatório também destacou campanhas de espionagem que exploram vulnerabilidades na infraestrutura de telecomunicações global, permitindo rastreamento de localização sem a necessidade de malware.

O Google, em colaboração com o FBI e outras entidades, anunciou a degradação significativa da NetNut, uma das maiores redes que transforma dispositivos residenciais em proxies alugados para tráfego de terceiros. A NetNut, também conhecida como Popa, é uma rede global que abrange pelo menos 2 milhões de dispositivos, incluindo TVs inteligentes e caixas de streaming. Quando um dispositivo da NetNut está em uma residência, criminosos podem redirecionar seu tráfego pela conexão de internet do usuário, comprometendo sua privacidade e segurança. A rede opera através da venda de acesso a endereços IP residenciais, permitindo que atacantes ocultem sua localização real. A empresa por trás da NetNut, a Alarum Technologies, nega a classificação de botnet, alegando que seu software é para compartilhamento de largura de banda consentido. No entanto, pesquisas indicam que os aplicativos associados não informam os usuários sobre esse consentimento. O Google alerta que a degradação da NetNut não é um desmantelamento definitivo, pois a rede possui um programa de revenda que permite que outras empresas comercializem o mesmo pool de dispositivos, tornando a situação complexa e resiliente. Para os consumidores, recomenda-se cautela ao usar aplicativos que prometem pagamento por largura de banda não utilizada e a compra de dispositivos de marcas conhecidas.

O grupo de ameaças avançadas conhecido como ToddyCat desenvolveu um novo malware chamado Umbrij, que visa comprometer o acesso a e-mails corporativos hospedados no Gmail por meio da API do Google. Segundo um relatório da Kaspersky, o Umbrij utiliza o protocolo OAuth 2.0 para obter tokens de autorização, permitindo que os atacantes acessem recursos de e-mail de forma furtiva. O malware opera em navegadores baseados em Chromium, explorando sessões ativas do Gmail. Ao lançar o navegador em modo headless e se conectar a uma porta de depuração remota, o Umbrij consegue capturar o código de autorização OAuth e trocá-lo por um token de acesso, comprometendo assim as comunicações de e-mail corporativas. O ataque é facilitado por técnicas como DLL side-loading, onde executáveis legítimos são abusados para iniciar o malware. A Kaspersky recomenda que as organizações revisem os códigos de autorização concedidos a aplicações e revoguem acessos não utilizados para mitigar os riscos. A automação do Umbrij aumenta a escala e a frequência dos ataques, evidenciando as habilidades técnicas avançadas do grupo ToddyCat.

Pesquisadores de segurança alertaram sobre um novo malware chamado ChocoPoC, que se disfarça em repositórios de código falso no GitHub, direcionado a caçadores de bugs. O malware é um trojan que rouba dados sensíveis, como senhas salvas e cookies de navegadores, e oferece acesso remoto ao computador da vítima. O ataque ocorre quando os pesquisadores clonam repositórios e instalam dependências, levando à instalação de um pacote malicioso chamado ‘skytext’. Este pacote, ao detectar a execução de um código de prova de conceito (PoC), ativa o malware, que permanece oculto durante uma análise superficial. O ChocoPoC já foi encontrado em pelo menos sete repositórios falsos relacionados a vulnerabilidades conhecidas, como CVEs de produtos populares. A campanha é uma evolução de táticas anteriores, onde grupos maliciosos tentam explorar a pressa dos pesquisadores em testar novas falhas. A recomendação é que os pesquisadores tratem qualquer PoC como potencialmente hostil e verifiquem cuidadosamente as dependências antes de executá-las.

Pesquisadores de segurança identificaram uma nova campanha de malware que utiliza exploits de prova de conceito (PoC) no GitHub para disseminar um trojan de acesso remoto (RAT) chamado ChocoPoC. Este malware se destaca por não estar embutido diretamente nos arquivos de exploit, mas sim por meio de pacotes Python maliciosos adicionados à lista de dependências do PoC. Os pacotes, hospedados no Python Package Index (PyPI), são instalados automaticamente quando a vítima clona um repositório malicioso. O ChocoPoC é capaz de executar comandos arbitrários, coletar dados sensíveis como senhas de navegadores e histórico de navegação, e até mesmo exfiltrar dados através de conjuntos de dados do Mapbox. A campanha já foi associada a pelo menos sete repositórios no GitHub, explorando vulnerabilidades conhecidas. A instalação do pacote malicioso ‘frint’ puxa uma dependência adicional chamada ‘skytext’, que contém um código Python embutido que baixa o payload final. Com mais de 2.400 downloads, a maioria em sistemas Linux, a campanha se aproveita da curiosidade de pesquisadores e testadores de segurança. Especialistas recomendam que esses profissionais nunca confiem cegamente em repositórios do GitHub e executem códigos não verificados em ambientes isolados.

Pesquisadores de cibersegurança identificaram uma nova cadeia de ataque de malware em múltiplas etapas, chamada VEIL#DROP, que utiliza engenharia social e páginas do Blogger para disseminar um ladrão de informações conhecido como PureLogs. O ataque começa com um arquivo JavaScript disfarçado, que executa comandos PowerShell para baixar um payload adicional hospedado em um blog. Esse método permite que os atacantes contornem defesas baseadas em reputação, aproveitando a infraestrutura confiável do Google. O payload baixado cria a ilusão de que um documento PDF está sendo aberto, enquanto a infecção ocorre em segundo plano. O malware é projetado para ser altamente evasivo, utilizando técnicas como mutação em tempo de execução e geração dinâmica de estágios, dificultando a detecção por soluções antivírus tradicionais. Além disso, o uso de binários assinados pela Microsoft permite que os atacantes realizem suas atividades sem levantar suspeitas. A infecção pode ter consequências graves, permitindo que dados sensíveis sejam extraídos e utilizados para comprometer ainda mais o ambiente alvo. Essa combinação de técnicas demonstra um esforço deliberado para evitar a detecção e manter a furtividade durante todo o ciclo de infecção.

Um novo ataque cibernético está utilizando a ferramenta de acesso remoto ScreenConnect para implantar o malware AsyncRAT. A Kaspersky identificou uma campanha massiva que distribui arquivos de instalação maliciosos disfarçados de softwares populares, como OBS Studio e Bandicam, em mais de 90 domínios falsificados em 10 idiomas, incluindo português. Esses arquivos maliciosos contêm um executável legítimo da Microsoft e uma biblioteca DLL maliciosa, que, ao serem carregados, ativam o serviço ScreenConnect. Isso permite que os atacantes mantenham controle sobre os dispositivos comprometidos, que podem incluir tanto usuários individuais quanto organizações. O malware realiza diversas ações, como desativar o Controle de Conta de Usuário e criar scripts que extraem e executam o módulo AsyncRAT. A conexão com um servidor remoto permite que os invasores monitorem atividades e roubem dados sensíveis. A persistência do malware é garantida por uma tarefa agendada que executa scripts a cada dois minutos, mesmo após reinicializações do sistema. A Kaspersky alerta que os atacantes utilizam técnicas de SEO para posicionar seus sites fraudulentos nos resultados de busca, aumentando a probabilidade de infecção.

O trojan bancário brasileiro Ousaban está direcionando ataques a usuários do Windows que realizam transações bancárias na Espanha e em Portugal. Identificado pelo Fortinet’s FortiGuard Labs em maio de 2026, o ataque começa com um PDF de phishing disfarçado como um arquivo corrompido. Ao abrir o PDF, a vítima é induzida a clicar em um botão de ‘Atualizar’, que a redireciona para uma página maliciosa. Ousaban utiliza técnicas de geofencing para garantir que apenas usuários localizados em Espanha ou Portugal sejam afetados, bloqueando acessos de VPNs e ferramentas de segurança automatizadas. Uma vez instalado, o malware monitora mais de duas dezenas de bancos, incluindo Banco Santander e BBVA, capturando capturas de tela, teclas digitadas e manipulando a área de transferência para roubar credenciais bancárias. Ousaban é parte de um grupo de trojans brasileiros conhecidos como ‘Tetrade’, que têm um histórico de resiliência e adaptação. A detecção é dificultada por técnicas como esteganografia e a mudança diária de endereços de comando. O artigo alerta para a necessidade de cautela ao abrir PDFs ou e-mails suspeitos, especialmente aqueles que solicitam atualizações ou comandos para corrigir erros.

O ClickFix, uma técnica de engenharia social que induz usuários a executar malware, evoluiu significativamente, utilizando servidores API para entregar comandos maliciosos disfarçados. A pesquisa do especialista em segurança Bert-Jan Pals revelou que as páginas fraudulentas, que simulam CAPTCHAs ou erros, agora extraem comandos de servidores backend, oferecendo a cada visitante um malware diferente. Essa abordagem, que evita a detecção por antivírus tradicionais, resultou em um aumento de 517% nos casos de acesso inicial entre 2024 e 2025, conforme medido pela ESET. Além disso, uma nova técnica permite que o malware seja baixado silenciosamente para a pasta de Downloads, utilizando um comando aparentemente inofensivo que contorna a varredura de scripts do Windows. O ClickFix não é mais uma ferramenta exclusiva de criminosos, tendo sido associado a grupos apoiados por estados, como APT28 e MuddyWater. A pesquisa destaca a importância de monitorar cadeias de processos e não apenas o texto da área de transferência para detectar essas ameaças. O ClickFix representa um risco crescente, especialmente com sua capacidade de se adaptar rapidamente às defesas dos usuários.

Desde novembro de 2025, uma campanha de cibersegurança tem como alvo desenvolvedores de bots do Telegram que utilizam forks trojanizados do Pyrogram, permitindo que atacantes leiam arquivos arbitrários em servidores comprometidos. O Pyrogram, um framework popular para a criação de bots, não é mais mantido, mas ainda conta com cerca de 350.000 downloads mensais. Pesquisadores da Checkmarx identificaram pelo menos oito pacotes maliciosos publicados no Python Package Index (PyPI), que incluem um backdoor ativado por módulos auxiliares ao importar o Pyrogram ou ao iniciar o bot. O backdoor, chamado secret.py, registra manipuladores de comandos ocultos no Telegram, permitindo que os atacantes executem código Python ou comandos de shell no servidor da vítima. Isso possibilita o acesso a dados sensíveis, como chats do Telegram e variáveis de ambiente. A campanha, denominada ‘Operação Navy Ghost’, é atribuída a um único ator de ameaças, evidenciado pela lista de ‘OWNERS’ codificada nos pacotes. Os desenvolvedores que possam ter instalado esses pacotes devem removê-los imediatamente e rotacionar todas as credenciais do servidor afetado.

Uma nova família de malware chamada RustDuck está comprometendo roteadores domésticos, câmeras IP, caixas Android e servidores mal protegidos, formando uma botnet destinada a realizar ataques de negação de serviço distribuída (DDoS). Pesquisadores da QiAnXin’s XLab monitoram essa ameaça desde fevereiro de 2026, destacando sua rápida evolução e a complexidade de suas técnicas de evasão. RustDuck se espalha por meio de senhas fracas, bugs não corrigidos e vulnerabilidades conhecidas em dispositivos, como CVE-2017-17215 e CVE-2025-29635. O malware é notável por ser reescrito em Rust, o que dificulta a análise e a desativação. Ele opera em duas etapas, começando com um carregador que descompacta um módulo central mais robusto. Além disso, RustDuck realiza verificações para evitar ser detectado em ambientes de pesquisa, utilizando criptografia avançada para suas comunicações. Embora atualmente seja uma botnet pequena, sua capacidade de adaptação e as técnicas que está testando podem representar uma ameaça crescente no futuro. Para mitigar os riscos, recomenda-se desativar interfaces de gerenciamento remoto, corrigir vulnerabilidades conhecidas e monitorar indicadores técnicos associados ao malware.

Uma extensão maliciosa na Chrome Web Store, disfarçada como o motor de respostas Perplexity AI, está interceptando tráfego de busca e coletando informações de navegação dos usuários. Nomeada ‘Search for perplexity ai’, a extensão redireciona consultas de busca e sugestões em tempo real através de sua infraestrutura antes de levar os usuários aos serviços de busca legítimos. Pesquisadores da Microsoft Threat Intelligence afirmaram que, embora a extensão não tenha roubado credenciais ou informações sensíveis, suas permissões poderiam facilmente permitir isso se o operador decidisse ampliar o escopo do roubo de dados. A extensão falsa utiliza uma marca semelhante e um domínio diferente do oficial, alterando as configurações de busca do navegador para substituir o provedor de busca padrão. A coleta de dados não é acidental, conforme evidenciado pelo código de registro encontrado no servidor da extensão, que indica um design intencional. Os usuários que instalaram a extensão devem removê-la imediatamente e trocar suas senhas de contas críticas como precaução.

Pesquisadores de cibersegurança identificaram uma campanha ativa de extensões de navegador, chamada Silent Swap, que visa roubar criptomoedas ao substituir furtivamente endereços de carteiras durante transações. A campanha utiliza instaladores não assinados, observados em variantes .NET e Golang, que implantam uma extensão maliciosa disfarçada de um utilitário benigno chamado ‘Google Notes’. Essa extensão age como um clipper, interceptando e manipulando endereços de carteiras copiadas para a área de transferência, redirecionando os fundos para carteiras controladas por atacantes. A técnica EtherHiding é utilizada para atualizar detalhes do servidor de comando e controle (C2) através da blockchain, permitindo que os atacantes mudem facilmente o domínio sem precisar redeployar o malware. A instalação da extensão é feita de forma clandestina, alterando arquivos de configuração protegidos dos navegadores, como Chrome e Edge, e requer que o modo desenvolvedor esteja ativado, o que pode ser conseguido por meio de engenharia social. A campanha já afetou usuários em vários países, incluindo Brasil e Índia, e representa uma evolução nas táticas de roubo de criptomoedas, com um mapeamento de endereços por vítima sendo uma das inovações mais preocupantes.

Pesquisadores da Trend Micro identificaram uma nova campanha de ataque que explora uma vulnerabilidade crítica no Langflow, especificamente a CVE-2026-33017, que permite execução remota de código (RCE) sem autenticação. O ataque, que ocorreu entre 27 de março e 15 de abril de 2026, utiliza um simples código Python para baixar e executar um minerador de criptomoedas Monero. O malware não apenas desativa processos concorrentes de mineração, mas também remove logs do sistema e altera atributos de arquivos para garantir sua persistência. Além disso, ele se propaga para outros sistemas através de chaves SSH reutilizadas, transformando uma instância exposta do Langflow em um ponto de entrada para compromissos mais amplos. Essa situação destaca a crescente exploração de endpoints de aplicações de inteligência artificial como vetores de ataque em ambientes corporativos. A vulnerabilidade do Langflow, que já foi alvo de outras explorações, como a distribuição do malware Flodrix, evidencia a necessidade urgente de monitoramento e mitigação em sistemas que utilizam essa tecnologia.

Recentemente, a Microsoft identificou uma extensão maliciosa do Chrome que se apresentava como o motor de busca de IA Perplexity. Nomeada ‘Search for perplexity ai’, a extensão logava silenciosamente as pesquisas dos usuários, redirecionando cada consulta através de um servidor controlado por atacantes antes de apresentar os resultados reais. A extensão utilizava um domínio semelhante ao verdadeiro, perplexity-ai[.]online, para enganar os usuários. Ao ser instalada, ela se tornava o mecanismo de busca padrão do navegador, interceptando não apenas as pesquisas, mas também cada caractere digitado na barra de endereços. Embora a Microsoft não tenha encontrado evidências de roubo de senhas, a extensão tinha acesso excessivo, coletando dados como endereços IP e cabeçalhos de navegador. Após a divulgação responsável, o Google removeu a extensão da loja. A Microsoft alerta que essa prática se alinha a um padrão crescente de extensões maliciosas que se aproveitam da marca de IA para capturar dados. Para mitigar riscos, recomenda-se que as empresas permitam apenas extensões aprovadas e monitorem alterações nas configurações de busca e permissões de extensões.

Hackers estão aproveitando uma vulnerabilidade crítica (CVE-2026-48558) recentemente divulgada no SimpleHelp, uma plataforma utilizada para monitoramento e gerenciamento remoto, para implantar o Djinn Stealer, um malware de roubo de informações que atinge sistemas operacionais como Windows, macOS e Linux. A falha permite a criação de contas de técnico altamente privilegiadas sem autenticação, afetando cerca de 1.000 servidores expostos online. A empresa de segurança Blackpoint investigou um incidente onde um ator malicioso explorou essa vulnerabilidade para estabelecer uma sessão autenticada em um servidor SimpleHelp, utilizando o malware TaskWeaver para instalar o Djinn Stealer. Este último é projetado para coletar dados sensíveis, incluindo credenciais de ferramentas de desenvolvimento de IA, chaves SSH, e informações de carteiras de criptomoedas. Os pesquisadores alertam que a exploração ativa dessa vulnerabilidade deve levar os administradores de sistemas a priorizar atualizações e a invalidar sessões de técnicos não reconhecidas, além de rotacionar credenciais comprometidas.

O grupo de espionagem alinhado à China, Mustang Panda, está conduzindo campanhas contra o governo indiano e alvos do setor de hidrelétricas, utilizando novos malwares e uma plataforma de nuvem legítima como canal de comando. A Acronis Threat Research Unit identificou comprometimentos ativos nas redes do governo indiano, incluindo máquinas de funcionários administrativos seniores, e colaborou com o CERT-In para notificação e limpeza. O malware explora o Zoho WorkDrive, um serviço de armazenamento em nuvem comum no setor governamental da Índia, para enviar comandos e exfiltrar dados, disfarçando o tráfego como atividade normal da nuvem. Entre as ferramentas identificadas estão o SHARDLOADER, que carrega um DLL malicioso, o MINIRECON, uma variante do backdoor Toneshell, e o ZOHOMURK, que utiliza credenciais OAuth do Zoho para operar uma conta controlada pelo atacante. As campanhas foram entregues via spear-phishing, com temas relacionados a propostas de cooperação em hidrelétricas e memorandos entre instituições indianas e taiwanesas. O objetivo é obter informações sobre os planos hidrelétricos da Índia e suas relações de defesa com Taiwan. A Acronis recomenda que organizações governamentais e do setor energético fiquem atentas a iscas geopolíticas e ao uso indevido de serviços em nuvem.

A Microsoft encerrou uma operação de extensão maliciosa no Edge Add-ons store, conhecida como StegoAd, que utilizava esteganografia para ocultar códigos maliciosos em arquivos de imagem e fonte. Essa operação, que se estende desde 2021, envolveu 119 extensões, incluindo bloqueadores de anúncios e tradutores, que foram instaladas por até 2,6 milhões de usuários. O código malicioso permanecia inativo até que a extensão superasse verificações de evasão, permitindo sua permanência na loja por anos. A técnica de esteganografia permitiu que o código fosse escondido em arquivos PNG e WOFF2, evitando a detecção por scanners. Além de fraudes publicitárias, a operação também visava o roubo de credenciais, incluindo logins do Google e do WordPress. A Microsoft removeu todas as extensões e suspendeu mais de 90 contas de desenvolvedores associadas. Os usuários devem verificar suas extensões instaladas e alterar senhas de contas sensíveis, além de ativar autenticação em dois fatores para maior segurança.

O grupo russo de ameaças persistentes avançadas (APT) Gamaredon tem ampliado seu arsenal de malware e intensificado suas campanhas de spear-phishing contra a Ucrânia ao longo de 2025. A empresa de cibersegurança ESET identificou 35 campanhas distintas, com foco em instituições governamentais e militares ucranianas. O objetivo principal do grupo é a exfiltração de informações sensíveis que possam ser utilizadas para apoiar os interesses russos na guerra em curso. As campanhas utilizam anexos maliciosos e técnicas de HTML smuggling para implantar downloaders HTA, que, por sua vez, instalam outros malwares, como o PteroSand. Além disso, o grupo explorou uma vulnerabilidade no WinRAR (CVE-2025-8088) para garantir a persistência do malware. Gamaredon também introduziu novas ferramentas PowerShell e aumentou sua dependência de serviços de terceiros para ocultar sua infraestrutura. Apesar de uma pausa operacional em janeiro, o grupo continuou a desenvolver e atualizar suas ferramentas, utilizando serviços legítimos para exfiltração de dados. A evolução das táticas do Gamaredon destaca a necessidade de vigilância contínua e atualização das defesas cibernéticas, especialmente em um cenário de conflito ativo.

Pesquisadores de cibersegurança descobriram pacotes npm e Go sequestrados que implantam um infostealer baseado em Python em sistemas Windows, Linux e macOS. O ataque, identificado pela JFrog, utiliza uma tarefa oculta do Visual Studio Code (VS Code) chamada ’eslint-check’, que é ativada automaticamente ao abrir a pasta do projeto. O malware se conecta a uma infraestrutura controlada por atacantes, lançando um backdoor Socket.io e, em seguida, um infostealer Python. Os pacotes npm afetados, ‘html-to-gutenberg’ e ‘fetch-page-assets’, foram enviados ao registro npm em 25 de maio de 2026 e já foram removidos. Além disso, 16 pacotes Go também foram comprometidos, com a maioria sendo pacotes legítimos que incluíam o malware. O infostealer é capaz de roubar credenciais de navegadores, carteiras de criptomoedas e informações de desenvolvedores. Os usuários que instalaram esses pacotes devem removê-los imediatamente e revisar suas credenciais. O ataque é atribuído a uma campanha conhecida como ‘Fake Font’, que visa desenvolvedores por meio de processos de entrevistas fraudulentos.

Uma nova campanha de ciberataque, identificada pela Kaspersky como StrikeShark, está utilizando um malware inédito chamado SharkLoader, que serve como carregador para implantar o Cobalt Strike Beacon em sistemas comprometidos. Os alvos incluem uma organização diplomática na Indonésia, entidades governamentais em Taiwan e empresas de desenvolvimento de software em diversos países, como Hong Kong, Colômbia e Sérvia. A campanha se destaca pela sua abrangência geográfica e diversidade de alvos, sem vínculos diretos a grupos de ameaças conhecidos. Os atacantes exploram vulnerabilidades conhecidas, como falhas no Exchange Server e no Openfire, para obter acesso inicial. Após a invasão, eles estabelecem persistência através de shells web e técnicas de hijacking de DLLs. Embora não haja evidências claras de exfiltração de dados, a natureza dos alvos sugere um possível interesse em espionagem cibernética. A utilização de ferramentas de código aberto e a exploração de aplicações públicas indicam que os atacantes podem estar visando sistemas vulneráveis de forma oportunista.

Um ator de ameaça persistente avançada (APT) de língua chinesa, identificado como CL-STA-1062, está vinculado a uma nova backdoor personalizada chamada TinyRCT, que tem como alvo entidades governamentais e infraestrutura crítica no Sudeste Asiático. A Palo Alto Networks, através da sua unidade Unit 42, observou que esse grupo tem se concentrado em empresas estatais nos setores de energia e governo desde março de 2022. O TinyRCT permite a execução de comandos arbitrários, exfiltração de arquivos e captura de tela, além de se autodeletar do sistema comprometido. Durante uma campanha em setembro de 2025, o grupo infiltrou uma entidade governamental e utilizou um web shell para extrair dados de um servidor MS SQL. A análise técnica revelou que os atacantes utilizam uma combinação de ferramentas, incluindo o TinyRCT, que estabelece comunicação com um servidor remoto e utiliza criptografia AES-128 para proteger os dados trocados. A atividade do CL-STA-1062 representa uma ameaça significativa à infraestrutura crítica da região, com potencial para se expandir para outros alvos estratégicos.

O grupo de ameaças patrocinado pelo Estado russo, conhecido como Turla, foi associado a um novo backdoor .NET chamado STOCKSTAY, que tem como alvo organizações governamentais e militares na Ucrânia, além de entidades ligadas à política externa italiana. O STOCKSTAY é um malware multifuncional que se comunica com seu servidor de comando e controle (C2) por meio de uma conexão WebSocket segura. O Google Threat Intelligence Group (GTIG) identificou que o STOCKSTAY compartilha semelhanças significativas com o Kazuar, um implante utilizado pelo grupo desde 2017. O malware é projetado para se disfarçar como ferramentas comuns, como visualizadores de PDF e utilitários de calculadora, e é composto por vários módulos que permitem a coleta de informações e a execução de comandos no sistema comprometido. As campanhas de distribuição do STOCKSTAY frequentemente utilizam iscas relacionadas a temas acadêmicos ou diplomáticos, visando organizações na Ucrânia e em outros países europeus. O GTIG observou que o STOCKSTAY foi utilizado em ataques que empregaram e-mails de phishing com arquivos maliciosos, explorando vulnerabilidades conhecidas, como a do WinRAR. A arquitetura do malware sugere que ele pode ter sido desenvolvido por uma equipe com experiência em operações cibernéticas, levantando preocupações sobre a segurança de sistemas críticos em várias nações.

Pesquisadores em cibersegurança identificaram uma nova evolução dos ataques à cadeia de suprimentos, associada às famílias de malware Mini Shai-Hulud, Miasma e Hades, que comprometeram pacotes npm e se espalharam para o ecossistema Go. Os ataques recentes afetaram pacotes como LeoPlatform e RStreams, além de abusos em fluxos de trabalho do GitHub Actions e compromissos relacionados ao projeto Verana Blockchain. O objetivo principal é roubar credenciais de desenvolvedores e mantenedores, utilizando dados roubados para se infiltrar em repositórios e fluxos de trabalho confiáveis.

Um novo malware para macOS, denominado ‘Gaslight’, foi descoberto e tem como objetivo confundir ferramentas de análise de malware assistidas por inteligência artificial (IA). Desenvolvido por um ator de ameaça vinculado à Coreia do Norte, o malware apresenta uma funcionalidade de backdoor e roubo de informações, características comuns em malwares semelhantes. O que diferencia o ‘Gaslight’ é seu payload de 3,5 KB, que contém 38 mensagens falsas de ‘sistema’ embutidas diretamente no binário. Essas mensagens simulam logs de desenvolvedor, relatórios de falhas e alertas de programa, utilizando formatação Markdown para parecerem dados de análise legítimos. Exemplos incluem mensagens sobre expiração de tokens, falhas de conexão e vulnerabilidades de injeção SQL. O objetivo dessas mensagens enganosas é induzir as ferramentas de análise a duvidar da validade de suas próprias sessões, levando-as a abortar ou truncar a análise. Embora não tenha sido demonstrado que essa técnica consiga contornar plataformas de análise de malware baseadas em IA, os pesquisadores sugerem que os atores de ameaça estão experimentando métodos de anti-análise específicos para essas ferramentas. A descoberta destaca a evolução das táticas de malware e a necessidade de vigilância contínua por parte das equipes de segurança.

Desde abril de 2026, um novo backdoor chamado Mistic tem sido utilizado em ataques cibernéticos direcionados a diversas organizações, incluindo setores de seguros, educação, TI e serviços profissionais. De acordo com a equipe de Threat Hunter da Symantec e Carbon Black, o Mistic, também conhecido como MLTBackdoor, está associado a um broker de acesso inicial (IAB) chamado KongTuke. Este backdoor é notável por operar em memória, sem deixar rastros no disco, e possui um mecanismo de autodestruição, características que permitem acesso furtivo e de longo prazo.

Um novo malware baseado em Rust, denominado Gaslight, foi descoberto como um implante e ladrão de informações para macOS. Este malware possui um recurso notável: um payload de injeção de prompt que engana ferramentas de inteligência artificial (IA) utilizadas por analistas de segurança, fazendo com que elas interrompam ou recusem a análise do artefato. Gaslight é atribuído a atores de ameaças alinhados à Coreia do Norte. O malware utiliza um canal de comando e controle (C2) baseado na API do Telegram, permitindo que o operador emita comandos e receba resultados. Entre os comandos disponíveis, destacam-se a execução de comandos de shell e a exfiltração de arquivos. Além disso, Gaslight incorpora um script Python codificado em Base64 que coleta dados sensíveis do sistema, como históricos de comandos do Terminal e informações do Keychain do macOS. O malware se destaca por não codificar informações sensíveis, como tokens do bot do Telegram, mas sim fornecê-las em tempo de execução, dificultando a captura de logs. A presença de mensagens de erro fabricadas visa confundir agentes de segurança, tornando a detecção mais difícil. Essa nova ameaça representa um risco significativo para usuários de macOS, especialmente em ambientes corporativos.

A Microsoft, em colaboração com a Europol e parceiros internacionais, desmantelou a infraestrutura utilizada pelas operações de malware Amadey e StealC durante a Operação Endgame. Essa ação conjunta envolveu autoridades de vários países e resultou na interrupção de 326 servidores e 142 domínios associados a essas famílias de malware. Além disso, foram identificados mais de €41 milhões (cerca de $47 milhões) em criptomoedas ligadas a atividades criminosas e a recuperação de aproximadamente 27 milhões de credenciais roubadas de mais de 385 mil sistemas comprometidos. A operação também focou no malware SocGholish, que infecta usuários por meio de sites comprometidos que exibem falsos avisos de atualização de navegador. A Amadey é utilizada para obter acesso inicial a dispositivos, enquanto o StealC é responsável pelo roubo de credenciais e informações sensíveis. A ação foi coordenada por agências de segurança de países como Canadá, Alemanha e Estados Unidos, com o suporte de empresas de segurança cibernética como Microsoft, ESET e IBM X-Force. Apesar do sucesso da operação, a Europol alerta que, sem prisões, os criminosos podem rapidamente reconstruir suas infraestruturas para novos ataques.

Uma operação coordenada de aplicação da lei, em parceria com empresas do setor privado como Bitdefender, ESET e Microsoft, resultou na desarticulação de infraestruturas criminosas associadas aos malwares Amadey e StealC. O objetivo principal foi interromper as ’linhas de montagem’ utilizadas por cibercriminosos para lançar ataques de ransomware e fraudes financeiras. Durante a ação, que durou duas semanas, foram identificados e restritos ativos de criptomoeda de origem criminosa avaliados em mais de 47 milhões de dólares, além da recuperação de 27 milhões de credenciais de login roubadas. A operação também desmantelou 326 servidores e 142 domínios relacionados a essas ameaças. O malware Amadey, ativo desde 2018, é um loader que facilita a introdução de outros malwares, enquanto o StealC, que surgiu em 2023, é um infostealer que coleta informações sensíveis de usuários. A colaboração entre o setor público e privado foi destacada como fundamental para o sucesso da operação, que representa um passo significativo na luta contra o cibercrime em escala global.

Um novo backdoor chamado Mistic foi identificado em ataques cibernéticos motivados financeiramente, visando organizações nos setores de seguros, educação, TI e serviços profissionais. Acredita-se que o malware esteja vinculado ao grupo KongTuke/Woodgnat, ativo desde 2024, que se especializa em comprometer redes corporativas e vender acesso a grupos de ransomware. Pesquisadores da Symantec relataram que o Mistic tem sido utilizado em intrusões desde abril de 2024. O ataque começa com a execução de um arquivo legítimo, MpExtMs.exe, que carrega uma DLL maliciosa, version.dll, que por sua vez carrega o Mistic. Este malware é projetado para operar de forma furtiva, permitindo que os atacantes mantenham um acesso persistente nas redes comprometidas. Entre suas capacidades estão a manipulação de arquivos, execução de código na memória e a possibilidade de se autodestruir. A análise sugere que o Mistic é uma ferramenta customizada, refletindo uma tendência crescente de uso de ferramentas específicas em ataques de ransomware. As empresas devem estar atentas a essa nova ameaça e considerar a implementação de medidas de segurança robustas para proteger suas redes.

Uma nova campanha de cibersegurança, chamada ClickFix, está utilizando comandos do Terminal para baixar, montar e executar silenciosamente malware que rouba informações de dispositivos macOS. O malware em questão é o Atomic macOS Stealer (AMOS), que tem como alvo credenciais de navegadores, dados de carteiras de criptomoedas, informações do Keychain, dados de aplicativos de mensagens e documentos do usuário. A campanha foi descoberta pela Palo Alto Networks e começa com uma página falsa de CAPTCHA que induz os usuários a abrir o Terminal e colar um comando malicioso. Esse comando baixa um arquivo DMG de um servidor controlado pelo atacante, monta-o silenciosamente e executa automaticamente o aplicativo malicioso contido nele. O AMOS é projetado para roubar dados de vários navegadores baseados em Chromium e Firefox, além de informações de carteiras de criptomoedas e dados de aplicativos como Telegram e Discord. Os dados coletados são armazenados em um arquivo ZIP e enviados para o servidor do atacante. Os especialistas alertam que os usuários devem ser cautelosos ao executar comandos do Terminal, especialmente quando solicitados por páginas da web.

Pesquisadores de cibersegurança descobriram uma série de pacotes npm maliciosos que têm como objetivo entregar um trojan de acesso remoto (RAT) baseado em Windows. Os pacotes identificados, publicados por um usuário chamado ‘abdrizak’, incluem ‘aes-decode-runner-pro’, ‘postcss-minify-selector’ e ‘postcss-minify-selector-parser’. Apesar de parecerem pacotes legítimos, todos eles contêm um dropper em JavaScript que escreve e executa um script PowerShell, o qual baixa um payload adicional de um servidor externo. Esse payload inclui um arquivo de script Visual Basic e um runtime Python, que juntos permitem que o RAT colete informações do host, roube credenciais do Google Chrome e execute comandos shell. A análise ressalta a importância de tratar dependências que se assemelham a ferramentas de construção legítimas como potenciais vetores de ataque. Além disso, outras campanhas maliciosas foram relatadas, incluindo pacotes que visam roubar credenciais de desenvolvedores e implantar RATs em sistemas Linux. Os usuários que instalaram esses pacotes devem removê-los imediatamente e rotacionar suas credenciais.

Uma nova campanha de malware está sendo disseminada através de mensagens diretas no WhatsApp, visando usuários do WhatsApp Desktop e WhatsApp Web em diversos países, incluindo Brasil, Malásia e Índia. De acordo com a Kaspersky, os atacantes utilizam arquivos de script Visual Basic (VBScript) disfarçados como documentos financeiros e empresariais para enganar os destinatários a baixá-los e executá-los. Uma vez executado, o VBScript inicia uma cadeia de infecção que resulta na instalação de software legítimo de Monitoramento e Gerenciamento Remoto (RMM), permitindo acesso remoto ao sistema da vítima. Os arquivos maliciosos são nomeados de maneira enganosa, como “Relatórios Financeiros.vbs” e “Extrato de Conta.vbs”, e contêm comentários e metadados que imitam componentes legítimos do Windows. A Kaspersky alerta que os usuários devem ter cautela ao receber anexos inesperados, mesmo que pareçam vir de contatos conhecidos, e recomenda não abrir arquivos de tipos como VBS, EXE e JS sem verificação prévia de sua legitimidade.

Uma campanha de malware em andamento está visando usuários do WhatsApp em vários países, enviando mensagens enganosas que promovem arquivos VBScript, resultando em acesso remoto aos sistemas das vítimas. Os atacantes utilizam nomes de arquivos que sugerem documentos financeiros e empresariais, supostamente enviados por contatos cujas contas foram comprometidas. Ao baixar e executar os anexos maliciosos, a vítima inicia uma cadeia de infecção que culmina na instalação do ManageEngine Endpoint Central, uma ferramenta legítima usada por administradores de TI para gerenciar sistemas. Dados de telemetria da Kaspersky indicam que a campanha se espalha por países como Brasil, Índia, México, Reino Unido e outros. Os ataques começam com mensagens de contas comprometidas contendo arquivos VBS ofuscados, que, ao serem abertos, baixam scripts adicionais que desativam proteções do sistema e instalam o software malicioso. A Kaspersky não atribui os ataques a um ator específico, mas observa indícios de uso da língua chinesa e sobreposição de infraestrutura com atividades de grupos conhecidos. Usuários do WhatsApp são aconselhados a ter cautela ao abrir arquivos enviados por contatos, mesmo que confiáveis, e a sempre verificar a autenticidade dos mesmos.

Um ataque à cadeia de suprimentos comprometeu múltiplos plugins do WordPress da ShapedPlugin, permitindo que invasores inserissem código malicioso nas versões Pro dos plugins. O ataque foi identificado pela empresa de segurança Wordfence, que revelou que os atacantes conseguiram manipular o canal de distribuição oficial, injetando um loader que se ativa em cada página de administração do WordPress. As versões afetadas incluem o Product Slider Pro para WooCommerce (antes da versão 3.5.4), Real Testimonials Pro (versão 3.2.5) e Smart Post Show Pro (antes da versão 4.0.2). O CVE-2026-49777 foi atribuído ao Product Slider Pro, com uma pontuação CVSS de 10.0, indicando severidade máxima. O malware é capaz de capturar credenciais e códigos de autenticação de dois fatores, além de estabelecer métodos de persistência que permitem a execução de comandos remotamente. A ShapedPlugin confirmou o incidente e está revisando seus processos de distribuição. Os proprietários de sites afetados são aconselhados a redefinir senhas e revisar contas administrativas. Este incidente destaca a vulnerabilidade de sistemas que dependem de canais de distribuição para atualizações seguras.

Pesquisadores de cibersegurança revelaram uma nova campanha que distribui o malware CastleStealer através de um carregador de malware inédito chamado OXLOADER. Segundo o Elastic Security Labs, a campanha utiliza anúncios maliciosos no Google como ponto de partida para a distribuição do malware. A análise sugere que o ator da ameaça é de língua russa e motivado financeiramente, uma vez que há exclusões explícitas para evitar a infecção de máquinas na região da Comunidade dos Estados Independentes (CEI).

Uma nova família de malware, chamada AryStinger, está transformando roteadores domésticos esquecidos em uma rede de reconhecimento distribuído, ao invés de uma botnet DDoS. A empresa QiAnXin’s XLab identificou pelo menos 4.300 roteadores infectados, número que continua a crescer. O malware explora vulnerabilidades em roteadores antigos, especificamente aqueles com chips RTL819X da Realtek, que eram comuns entre 2012 e 2015. A infecção se espalhou a partir de um único IP e utiliza falhas conhecidas, como CVE-2013-3307 e CVE-2016-5681, para comprometer dispositivos, principalmente da D-Link. Além disso, uma variante do malware também ataca caixas NAS da QNAP. O AryStinger permite que os dispositivos infectados realizem varreduras na internet, coletando informações e ocultando a localização do verdadeiro atacante. A persistência do malware é garantida por um servidor SSH. A recomendação para os usuários é desativar a administração remota e substituir roteadores que não recebem mais atualizações de firmware.

O malware botnet AryStinger, recentemente descoberto, já comprometeu mais de 4.000 roteadores desatualizados, transformando-os em proxies para tráfego malicioso. Pesquisadores do XLab, da Qianxin, revelaram que o malware permite que dispositivos infectados atuem como ’executores’ controlados remotamente, realizando atividades como escaneamento, proxy, tunelamento e execução de comandos. Essa abordagem distribuída permite que atacantes dividam tarefas massivas em partes menores, aumentando a eficiência de operações de intrusão. Além de usar roteadores comprometidos para operações maliciosas, o AryStinger pode alterar configurações de DNS, sequestrando a navegação do usuário e monitorando silenciosamente o tráfego de rede. O malware explora vulnerabilidades antigas, como CVE-2013-3307 e CVE-2016-5681, visando principalmente modelos de roteadores D-Link. A pesquisa indica que a maioria das infecções está concentrada na Coreia do Sul, seguida pela China e Suécia. Os especialistas alertam que proprietários de roteadores obsoletos devem substituí-los por modelos novos e aplicar atualizações de firmware para mitigar riscos.

As autoridades de segurança da Holanda, em colaboração com o Canadá, Alemanha e EUA, desmantelaram a infraestrutura maliciosa associada ao malware SocGholish, resultando na limpeza de quase 15.000 sites WordPress infectados. O malware, que atua como um downloader baseado em JavaScript, é conhecido por distribuir outras ameaças cibernéticas, como ransomware e espionagem. Desde 2017, o SocGholish tem se espalhado por meio de sites comprometidos, disfarçando-se como atualizações enganosas de navegadores populares. A operação, parte da ‘Operação Endgame’, visa combater botnets e infraestruturas criminosas. Os proprietários dos sites afetados foram alertados para atualizar seus sistemas de gerenciamento de conteúdo e alterar credenciais. A análise indica que a maioria dos sites comprometidos está localizada nos EUA, seguida por países como Alemanha, França e Brasil. O uso de técnicas como ‘Domain Shadowing’ tem facilitado a operação do malware, tornando a detecção mais difícil. A ameaça é considerada de alto risco, afetando diversos setores e exigindo atenção especial dos CISOs, especialmente em relação à conformidade com a LGPD.

Um ataque de supply chain comprometeu múltiplos plugins pagos da ShapedPlugin, um fornecedor de plugins para WordPress, que afeta mais de 400 mil instalações ativas. O malware, distribuído através do sistema oficial de atualizações da empresa, instala um plugin falso que se passa por componentes do WooCommerce, permitindo o roubo de credenciais e acesso remoto a arquivos. O incidente afetou três plugins: Product Slider Pro, Real Testimonials Pro e Smart Post Show Pro, com a injeção do backdoor ocorrendo em 21 de maio e os primeiros relatos de clientes surgindo em 10 de junho. A ShapedPlugin reconheceu a violação em 16 de junho e iniciou uma investigação, implementando medidas corretivas. O malware, uma vez ativado, se comunica com um servidor de comando e controle, baixa um segundo estágio e se autodeleta para apagar rastros. O WordPress está monitorando o incidente sob os CVEs CVE-2026-10735 e CVE-2026-49777. Administradores de sites afetados são aconselhados a redefinir senhas e revisar listas de usuários.

Agências internacionais de segurança, incluindo Europol e Eurojust, realizaram uma operação conjunta chamada Operation Endgame, que resultou na limpeza de quase 15.000 sites WordPress infectados por malware e na desativação de mais de 100 servidores associados ao grupo de cibercrime russo Evil Corp. A operação, que envolveu autoridades da Holanda, Canadá, Estados Unidos e Alemanha, focou na interrupção da cadeia de infecção ligada ao malware SocGholish. Este malware, que atua como um downloader de JavaScript, tem sido utilizado em ataques desde 2017, enganando usuários a baixarem atualizações falsas de navegadores que, na verdade, são cargas maliciosas. O malware permite que os atacantes acessem sistemas infectados e é conhecido por implantar outras famílias de malware, como Dridex e Doppelpaymer. As autoridades também recomendaram que os proprietários dos sites afetados alterassem suas credenciais, ativassem a autenticação multifatorial e mantivessem seus sites atualizados para evitar novas infecções. A operação representa um esforço significativo para mitigar os riscos de ataques cibernéticos em infraestruturas críticas e proteger a segurança digital de cidadãos e organizações em todo o mundo.

Atacantes estão direcionando suas ações a carteiras de criptomoedas, utilizando um malware que rouba dados do clipboard e possui capacidades de auto-propagação. A campanha, que está ativa desde fevereiro, utiliza arquivos LNK em drives USB para disseminar o malware, que monitora o conteúdo do clipboard e substitui endereços de carteiras de criptomoedas por aqueles controlados pelos atacantes. Além disso, o malware é capaz de capturar frases-semente e chaves privadas, enviando essas informações através da rede Tor. O processo de infecção se inicia quando a vítima abre o arquivo LNK, ativando o malware. Este realiza uma varredura local em busca de arquivos de documentos, ocultando os originais e substituindo-os por atalhos maliciosos. O malware também captura capturas de tela a cada dez segundos e estabelece comunicação com um servidor de comando e controle (C2) via um executável Tor. A Microsoft alerta que os indicadores mais fortes de infecção são comportamentais, recomendando monitorar atividades de processos como wscript.exe e conexões com o localhost:9050. Essa ameaça representa um risco significativo para usuários de criptomoedas, especialmente em um cenário onde a segurança digital é cada vez mais crucial.

A Microsoft revelou uma campanha de malware clippers que tem afetado usuários do Windows desde fevereiro de 2026. Este tipo de malware é projetado para monitorar e roubar informações sensíveis copiadas para a área de transferência, especialmente endereços de carteiras de criptomoedas. A análise da Microsoft Defender Security Research Team destaca que o clippers utiliza lógica baseada no Windows Script Host e ActiveX para lançar um proxy Tor e se conectar a um servidor de comando e controle (C2) oculto. O malware realiza roubo de clipboard em alta frequência, exfiltra capturas de tela e substitui endereços de carteiras.

Recentemente, a cibersegurança enfrentou uma série de incidentes alarmantes que demonstram a vulnerabilidade da infraestrutura digital. Entre os problemas destacados, extensões de navegador enganosas foram identificadas, redirecionando buscas de usuários para intermediários de monetização, comprometendo a privacidade e segurança. Além disso, um ataque sofisticado no macOS, denominado ClickFix, utiliza um método sem arquivos para roubar informações, deixando poucos rastros. Os criminosos cibernéticos também abusaram de plataformas de chat, como a Claude, para disseminar malware que rouba credenciais. Outra preocupação é a fraude via WhatsApp, onde golpistas se passam por hotéis para obter dados de pagamento de viajantes. Em resposta a essas ameaças, a Amazon lançou o AWS Continuum, um agente de segurança baseado em IA para gerenciar vulnerabilidades de código. O cenário é preocupante, com um aumento significativo de ataques direcionados e técnicas de engenharia social, exigindo atenção redobrada das organizações para proteger seus dados e sistemas.

Um novo relatório da Check Point Research revela que um ator de ameaça desconhecido está utilizando postagens pagas em sites de notícias legítimos para promover malware. O foco principal da campanha é um ‘clipboard hijacker’ de criptomoedas, disfarçado como bots de sniper e preditores de jogos. O malware, desenvolvido em Rust, ataca sistemas Windows e macOS, monitorando a área de transferência para substituir endereços de carteiras de criptomoedas por endereços controlados pelo atacante. Para criar uma falsa reputação, o ator utiliza uma página de phishing no WordPress, contas falsas no GitHub e SourceForge, além de um canal no YouTube com mais de 91 mil assinantes. A manipulação de plataformas como VirusTotal e SourceForge, onde contagens de downloads foram artificialmente inflacionadas, visa aumentar a confiança dos usuários em arquivos maliciosos. A campanha destaca uma nova abordagem de engenharia social, onde a construção de uma reputação falsa se torna uma estratégia central para enganar as vítimas, especialmente aqueles envolvidos com criptomoedas e jogos online.