Malware

Uma nova análise do malware fast16, baseado em Lua, confirmou que se trata de uma ferramenta de sabotagem cibernética projetada para interferir em simulações de testes de armas nucleares. De acordo com as equipes da Symantec e Carbon Black, o malware foi desenvolvido para corromper simulações de compressão de urânio, essenciais para o design de armas nucleares. O fast16 atua especificamente em simulações de explosivos de alta potência nos softwares LS-DYNA e AUTODYN, ativando-se apenas quando a densidade do material simulado ultrapassa 30 g/cm³, um valor que só pode ser alcançado sob compressão de choque de um dispositivo de implosão. A pesquisa revela que o fast16 pode ter sido desenvolvido em 2005, dois anos antes do Stuxnet, e possui um conjunto de 101 regras para manipular cálculos matemáticos em programas de engenharia. O malware é projetado para não infectar máquinas com certos produtos de segurança e se espalha automaticamente por outros dispositivos na mesma rede. Essa descoberta indica que a sabotagem industrial por meio de malware é uma prática que pode ter começado há duas décadas, levantando preocupações sobre a segurança cibernética em setores críticos, como o nuclear.

Pesquisadores de cibersegurança identificaram quatro novos pacotes npm que contêm malware projetado para roubar informações. Um dos pacotes, chamado ‘chalk-tempalte’, é uma cópia do worm Shai-Hulud, que foi vazado recentemente. Os pacotes foram publicados por um usuário identificado como ‘deadcode09284814’ e, embora todos contenham cargas maliciosas, suas funcionalidades variam. O pacote ‘axois-utils’ é destinado a criar um botnet de negação de serviço distribuído (DDoS) chamado Phantom Bot, capaz de inundar sites com tráfego. Os outros três pacotes, incluindo ‘chalk-tempalte’, são projetados para extrair credenciais como chaves SSH, variáveis de ambiente e dados de carteiras de criptomoedas. Os pesquisadores alertam que esses ataques estão se tornando mais comuns, especialmente com a disponibilização do código do Shai-Hulud como open source. Os usuários que baixaram esses pacotes devem desinstalá-los imediatamente e tomar medidas para proteger suas credenciais e sistemas. Até o momento, os pacotes ainda estão disponíveis para download no npm.

O grupo de hackers russo Secret Blizzard aprimorou seu malware Kazuar, transformando-o em uma botnet modular de peer-to-peer (P2P) com foco em persistência a longo prazo, furtividade e coleta de dados. Associado ao serviço de inteligência russo (FSB), o Secret Blizzard tem como alvo organizações governamentais, diplomáticas e sistemas críticos na Europa, Ásia e Ucrânia. Desde 2017, o Kazuar tem sido utilizado em ataques, com uma variante recente operando com três módulos distintos: kernel, bridge e worker. O módulo Kernel coordena as tarefas e controla a comunicação entre os sistemas infectados, enquanto o módulo Bridge atua como um proxy de comunicação externo. O Worker realiza operações de espionagem, como captura de telas e coleta de dados do sistema. A versatilidade do Kazuar é destacada, com 150 opções de configuração que permitem aos operadores ajustar a coleta de dados e contornar medidas de segurança. A Microsoft recomenda que as empresas priorizem a detecção comportamental em vez de assinaturas estáticas, dada a natureza evasiva do malware.

O grupo de hackers russo Turla, vinculado ao serviço de segurança FSB, atualizou seu backdoor Kazuar, transformando-o em uma botnet modular e peer-to-peer (P2P) projetada para acesso furtivo e persistente a sistemas comprometidos. Essa evolução, conforme relatado pela Microsoft, visa garantir acesso de longo prazo para coleta de inteligência, especialmente em setores governamentais e de defesa na Europa e na Ásia Central.

O Kazuar agora possui uma arquitetura modular composta por três tipos de módulos: o Kernel, que coordena as atividades da botnet; o Bridge, que atua como um proxy entre o Kernel e o servidor de comando e controle (C2); e o Worker, responsável por coletar dados e executar tarefas. Essa estrutura modular permite uma configuração flexível e reduz a visibilidade das operações, aumentando a eficácia do malware.

Nos últimos meses, o malware REMUS, um novo infostealer, tem chamado a atenção de pesquisadores de segurança e analistas de malware. Com capacidades avançadas de roubo de credenciais e um foco crescente na comercialização, o REMUS se destaca por sua evolução rápida e agressiva. Análises de postagens da operação underground revelam que, desde seu lançamento comercial em fevereiro de 2026, o REMUS tem se posicionado como uma plataforma de malware como serviço (MaaS), com atualizações frequentes e um forte foco na usabilidade. O malware não apenas coleta senhas, mas também cookies e tokens de sessão, permitindo o acesso a contas sem a necessidade de autenticação multifatorial (MFA). Essa mudança reflete uma tendência crescente no mercado underground, onde sessões autenticadas se tornam um ativo valioso. Além disso, o REMUS tem como alvo gerenciadores de senhas, como 1Password e LastPass, aumentando ainda mais seu potencial de dano. A operação sugere que o REMUS não é apenas uma ferramenta de roubo, mas uma plataforma em constante evolução, semelhante a um negócio de software legítimo, o que representa um risco significativo para empresas e usuários.

Recentemente, hackers injetaram malware que rouba credenciais em versões do pacote node-ipc, uma ferramenta popular para comunicação entre processos no Node.js. Este ataque de cadeia de suprimentos, que afeta o repositório npm, foi detectado por empresas de segurança como Socket e Ox Security, que identificaram três versões maliciosas: node-ipc@9.1.6, node-ipc@9.2.3 e node-ipc@12.0.1. O malware, que se esconde no ponto de entrada CommonJS do pacote, é capaz de coletar informações sensíveis, como credenciais de serviços em nuvem (AWS, Azure, GCP), chaves SSH, tokens de GitHub e arquivos .env. A exfiltração de dados é realizada através de consultas DNS TXT, utilizando um domínio falso para disfarçar o tráfego. O ataque foi atribuído a um ator externo que comprometeu a conta de um mantenedor inativo. Desenvolvedores afetados devem remover as versões comprometidas, rotacionar credenciais expostas e inspecionar arquivos de bloqueio e caches do npm.

Pesquisadores de cibersegurança alertam sobre a presença de atividades maliciosas em versões recentes do pacote npm node-ipc. Três versões específicas – node-ipc@9.1.6, node-ipc@9.2.3 e node-ipc@12.0.1 – foram identificadas como comprometidas, contendo comportamentos de roubo de dados e backdoor. O malware é capaz de coletar informações sensíveis, como credenciais de serviços em nuvem (AWS, Google Cloud, Azure), chaves SSH e senhas de banco de dados, e tenta exfiltrar esses dados para um servidor de comando e controle (C2) através de um domínio falso. A análise revela que o código malicioso é ativado quando o pacote é requisitado em tempo de execução, utilizando técnicas de ofuscação para evitar detecções. Além disso, o malware implementa um canal de exfiltração alternativo, codificando dados roubados em registros DNS TXT, o que dificulta a identificação do tráfego malicioso. Os usuários são aconselhados a remover as versões comprometidas e reinstalar versões seguras, além de auditar suas credenciais e atividades de publicação no npm. Este incidente destaca a vulnerabilidade de pacotes de código aberto e a necessidade de vigilância constante na segurança da cadeia de suprimentos de software.

O grupo de cibercriminosos KongTuke, conhecido como um corretor de acesso inicial, começou a utilizar o Microsoft Teams para realizar ataques de engenharia social, conseguindo acesso persistente a redes corporativas em apenas cinco minutos. Os atacantes convencem os usuários a executar um comando PowerShell que instala o malware ModeloRAT, já observado em ataques anteriores. Essa mudança de tática marca a primeira vez que KongTuke utiliza uma plataforma de colaboração para obter acesso inicial, além de suas abordagens anteriores baseadas na web. Os pesquisadores da ReliaQuest notaram que a campanha está ativa desde pelo menos abril de 2026, com o grupo alternando entre cinco locatários do Microsoft 365 para evitar bloqueios. O comando PowerShell malicioso baixa um arquivo ZIP do Dropbox que contém um ambiente WinPython portátil, que por sua vez executa o malware. O ModeloRAT evoluiu, apresentando uma arquitetura de comando e controle mais resiliente, múltiplos caminhos de acesso independentes e mecanismos de persistência expandidos. Para se proteger contra esses ataques, recomenda-se restringir a federação externa do Microsoft Teams e utilizar indicadores de comprometimento para detectar atividades suspeitas.

Recentemente, especialistas em cibersegurança alertaram sobre uma nova campanha de malware que visa usuários de Mac, utilizando chats do Claude e anúncios do Google para enganar as vítimas. Os golpistas exploraram a funcionalidade de ‘Shared Chats’ do Claude, criando conversas fraudulentas que fornecem instruções falsas para a instalação de um assistente de codificação chamado Claude Code. Essas instruções, na verdade, são um golpe do tipo ClickFix, que leva à infecção por malware do tipo infostealer. Para aumentar a credibilidade, os golpistas se apresentaram como ‘Apple Support’ e usaram anúncios pagos no Google para garantir que suas conversas fraudulentas aparecessem no topo dos resultados de busca. O link parecia legítimo, levando os usuários a acreditar que estavam acessando um conteúdo seguro. Embora o número de vítimas não tenha sido especificado, a pesquisa indicou que o malware não funciona em sistemas com idioma russo, sugerindo que os criminosos estão evitando esse público. Essa situação destaca a necessidade de vigilância constante e educação sobre segurança cibernética entre os usuários de Mac.

Pesquisadores de cibersegurança identificaram uma nova versão do trojan bancário TrickMo, que utiliza a blockchain TON para suas comunicações de comando e controle. Observada entre janeiro e fevereiro de 2026, essa variante tem como alvo usuários de bancos e carteiras de criptomoedas na França, Itália e Áustria. O TrickMo, ativo desde 2019, é um malware que se aproveita dos serviços de acessibilidade do Android para sequestrar senhas de uso único (OTPs) e possui uma gama de funcionalidades, como phishing de credenciais, registro de teclas e interceptação de mensagens SMS. A nova versão, chamada TrickMo C, é distribuída por meio de aplicativos dropper que se disfarçam como versões de TikTok e Google Play Services. Uma mudança significativa na arquitetura do malware é a implementação de um proxy SOCKS5, que transforma dispositivos comprometidos em nós de saída de rede, permitindo que o tráfego malicioso seja roteado sem ser detectado. Além disso, o TrickMo inclui funcionalidades inativas que podem ser ativadas no futuro, indicando uma intenção de expandir suas capacidades. Essa evolução no malware representa um risco elevado, especialmente para instituições financeiras e usuários de criptomoedas, devido à sua capacidade de operar de forma furtiva e eficiente.

Uma nova campanha de supply-chain chamada Shai-Hulud comprometeu centenas de pacotes nas plataformas npm e PyPI, visando roubar credenciais de desenvolvedores. O ataque, atribuído ao grupo de ameaças TeamPCP, começou com pacotes da TanStack e Mistral AI, mas rapidamente se espalhou para projetos populares como Guardrails AI e UiPath. Os atacantes utilizaram tokens OpenID Connect (OIDC) válidos para publicar versões maliciosas de pacotes, que aparentavam ter origem legítima devido a atestações de proveniência. Entre os pacotes comprometidos estão o Bitwarden CLI e pacotes oficiais da SAP. A última onda de ataques ocorreu recentemente, com a publicação de pacotes infectados na namespace TanStack no npm. Os atacantes exploraram vulnerabilidades em workflows do GitHub, resultando na publicação de 84 versões maliciosas em 42 pacotes da TanStack. O malware é projetado para roubar segredos de desenvolvedores, incluindo tokens do GitHub Actions, credenciais do AWS e tokens do HashiCorp Vault. Para mitigar os riscos, especialistas recomendam que equipes de segurança verifiquem versões afetadas, rotacionem credenciais e bloqueiem a infraestrutura de comando e controle dos atacantes.

O grupo de ameaças TeamPCP está por trás de uma recente onda de ataques à cadeia de suprimentos, comprometendo pacotes npm e PyPI de empresas como TanStack, UiPath e Mistral AI. Os pacotes npm afetados foram alterados para incluir um arquivo JavaScript ofuscado, projetado para roubar credenciais de provedores de nuvem, carteiras de criptomoedas e ferramentas de IA. Os dados são exfiltrados para um domínio que parece legítimo, dificultando a detecção. O ataque utiliza infraestrutura do Session Protocol, o que torna a detecção ainda mais desafiadora. Além disso, o malware é capaz de se manter ativo mesmo após reinicializações, injetando serviços maliciosos em ambientes de desenvolvimento como o Visual Studio Code. A TanStack identificou que o ataque envolveu um comprometimento em um fork do GitHub, permitindo que o código malicioso fosse publicado como parte de versões legítimas. Este incidente, classificado como CVE-2026-45321, possui uma pontuação CVSS de 9.6, indicando severidade crítica, afetando 42 pacotes e 84 versões no ecossistema TanStack. A campanha Mini Shai-Hulud também se espalhou para outros pacotes, incluindo alguns no PyPI, destacando a gravidade e a abrangência do ataque.

Um site falso que imita a IA Claude, da Anthropic, está sendo utilizado para disseminar a backdoor Beagle, que afeta sistemas Windows. A Malwarebytes identificou a ameaça, e a Sophos X-Ops aprofundou a investigação. O domínio malicioso, claude-pro.com, apresenta uma interface semelhante à da IA original e oferece um programa fictício chamado Claude-Pro Relay, destinado a desenvolvedores. Ao baixar o arquivo ZIP de 505MB, os usuários instalam um instalador MSI que, além de um atualizador de antivírus legítimo disfarçado, contém um arquivo DLL malicioso. Este DLL carrega um payload que instala a backdoor Beagle, capaz de executar comandos, transferir arquivos e até se autodeletar. A campanha está ativa desde abril de 2026 e utiliza anúncios patrocinados no Google para atrair vítimas. Este é o terceiro incidente em 2026 em que ferramentas de IA são exploradas para fins maliciosos.

A Checkmarx alertou sobre a publicação de uma versão comprometida de seu plugin Jenkins Application Security Testing (AST) no Jenkins Marketplace, atribuída ao grupo hacker TeamPCP. Este incidente faz parte de uma série de ataques à cadeia de suprimentos, que também afetaram outras ferramentas como npm e Trivy. O plugin AST da Checkmarx é amplamente utilizado para integrar a segurança em pipelines automatizados de desenvolvimento. Os hackers conseguiram acessar os repositórios do GitHub da Checkmarx e injetar código malicioso, utilizando credenciais obtidas em um ataque anterior ao Trivy. A Checkmarx confirmou que a versão maliciosa do plugin foi publicada fora do pipeline oficial e não seguiu os padrões de versionamento adequados. A empresa recomendou que os usuários verifiquem se estão utilizando a versão correta do plugin e alertou que aqueles que baixaram a versão comprometida devem considerar suas credenciais como comprometidas e realizar uma rotação de segredos. A Checkmarx também disponibilizou indicadores de comprometimento (IoCs) para ajudar na detecção de possíveis infecções em ambientes de desenvolvimento.

Uma nova variante do malware TrickMo, focada em bancos, foi identificada em campanhas que visam usuários na Europa, especialmente na França, Itália e Áustria. Desde sua primeira aparição em setembro de 2019, o TrickMo tem passado por constantes atualizações e agora se disfarça como aplicativos populares, como TikTok e plataformas de streaming. A análise da ThreatFabric revela que essa versão, chamada ‘Trickmo.C’, utiliza a rede descentralizada The Open Network (TON) para comunicações furtivas com seus operadores, dificultando a identificação e bloqueio do servidor. O malware é modular e opera em duas etapas: um APK que atua como carregador e um segundo APK que executa funções ofensivas, como roubo de credenciais bancárias, keylogging e interceptação de SMS. Novas capacidades incluem suporte a proxy SOCKS5 e tunelamento SSH. Os usuários de Android são aconselhados a baixar aplicativos apenas do Google Play e a manter o Play Protect ativo para se proteger contra essa ameaça crescente.

Um repositório malicioso no Hugging Face conseguiu enganar usuários ao se passar pelo modelo Privacy Filter da OpenAI, resultando na distribuição de um malware ladrão de informações para usuários do Windows. O projeto, intitulado Open-OSS/privacy-filter, copiou a descrição do modelo legítimo da OpenAI para atrair downloads. Após a descoberta, o acesso ao repositório foi desativado. O malware, que utiliza um script Python para executar código malicioso, desativa a verificação SSL e baixa um script adicional que eleva privilégios e configura exclusões no Microsoft Defender. O ladrão de informações coleta dados sensíveis, como capturas de tela e informações de carteiras de criptomoedas, e exfiltra os dados para um domínio controlado pelos atacantes. O repositório malicioso alcançou rapidamente a primeira posição na lista de tendências do Hugging Face, com cerca de 244 mil downloads em apenas 18 horas, sugerindo que os números foram manipulados para criar uma falsa sensação de confiança. Além disso, foram identificados outros seis repositórios com características semelhantes, indicando uma operação mais ampla de ataque a ecossistemas de código aberto.

Uma nova campanha de malvertising está explorando o Google Ads e chats compartilhados do Claude.ai para disseminar malware entre usuários de macOS. Pesquisadores identificaram que ao buscar por ‘Claude mac download’, os usuários podem encontrar anúncios patrocinados que direcionam para um guia de instalação malicioso disfarçado de suporte oficial da Apple. O ataque foi descoberto por Berk Albayrak, engenheiro de segurança do Trendyol Group, que alertou sobre a presença de chats compartilhados que contêm instruções para executar comandos no Terminal do macOS, resultando na instalação silenciosa de malware.

O site do popular gerenciador de downloads JDownloader foi comprometido entre os dias 6 e 7 de maio de 2026, resultando na distribuição de instaladores maliciosos para Windows e Linux. Os atacantes alteraram os links de download para direcionar os usuários a payloads maliciosos, incluindo um trojan de acesso remoto baseado em Python. O incidente foi inicialmente relatado por um usuário no Reddit, que percebeu que os instaladores estavam sendo sinalizados como software malicioso pelo Microsoft Defender. Os desenvolvedores do JDownloader confirmaram a violação e tomaram o site offline para investigação. A vulnerabilidade explorada permitiu que os atacantes modificassem listas de controle de acesso do site sem autenticação. Apenas os links de download alternativos para Windows e o instalador Linux foram afetados, enquanto outras versões do software permaneceram seguras. Os usuários que baixaram os instaladores comprometidos são aconselhados a reinstalar seus sistemas operacionais e redefinir senhas, pois credenciais podem ter sido comprometidas. O ataque destaca a crescente tendência de hackers visando sites de ferramentas de software populares para disseminar malware.

Um repositório malicioso no Hugging Face, que se disfarçou como o projeto ‘Privacy Filter’ da OpenAI, foi responsável por distribuir malware que rouba informações de usuários do Windows. O repositório, que chegou a ser o mais baixado na plataforma, acumulou 244.000 downloads antes de ser removido. Pesquisadores da HiddenLayer, uma empresa focada em proteger modelos de IA, descobriram que o repositório continha um arquivo ’loader.py’ que, disfarçado de código inofensivo, desativava a verificação SSL e executava um comando PowerShell para baixar um infostealer. Este malware, desenvolvido em Rust, visava dados sensíveis, como cookies de navegadores, tokens do Discord e credenciais de criptomoedas. A HiddenLayer também observou que a maioria dos usuários que interagiram com o repositório parecia ser contas geradas automaticamente, levantando preocupações sobre a segurança da plataforma. Os usuários que baixaram arquivos do repositório malicioso devem reformatar suas máquinas e alterar todas as credenciais armazenadas.

Pesquisadores de segurança cibernética identificaram um novo trojan bancário brasileiro chamado TCLBANKER, que tem a capacidade de atacar 59 plataformas de bancos, fintechs e criptomoedas. O malware, rastreado pelo Elastic Security Labs sob o nome REF3076, é considerado uma atualização significativa da família Maverick, que utiliza um worm chamado SORVEPOTEL para se espalhar via WhatsApp Web. O ataque começa com um instalador MSI malicioso embutido em um arquivo ZIP, que abusa de um programa legítimo da Logitech para contornar a detecção de ferramentas de análise e antivírus. Após a execução, o trojan verifica se está operando em um sistema brasileiro e estabelece persistência através de tarefas agendadas. Além disso, ele se conecta a servidores externos para enviar informações do sistema e pode realizar uma série de ações maliciosas, como capturar telas, manipular o teclado e o mouse, e roubar credenciais através de sobreposições enganosas. O TCLBANKER também se propaga via mensagens de spam no WhatsApp e e-mails falsos enviados pelo Outlook, aproveitando a confiança dos usuários. Essa evolução no ecossistema de trojans bancários no Brasil representa uma ameaça significativa, especialmente devido à sua capacidade de contornar defesas tradicionais.

Um novo malware, denominado Quasar Linux RAT (QLNX), foi descoberto visando sistemas de desenvolvedores e ambientes DevOps. Este implante, que opera de forma silenciosa, é capaz de realizar uma série de atividades maliciosas, incluindo o roubo de credenciais, keylogging, manipulação de arquivos e monitoramento de clipboard. Segundo pesquisadores da Trend Micro, o QLNX extrai informações sensíveis de arquivos críticos, como .npmrc e .git-credentials, permitindo que atacantes comprometam pipelines de publicação de software e acessem infraestruturas em nuvem.

Pesquisadores de cibersegurança revelaram detalhes sobre um novo backdoor para Linux, chamado PamDOORa, que está sendo comercializado por $1.600 em um fórum de cibercrime russo. Desenvolvido por um ator de ameaças conhecido como ‘darkworm’, o PamDOORa é um módulo de autenticação pluggable (PAM) que permite acesso SSH persistente a sistemas comprometidos. O backdoor utiliza uma combinação de senha mágica e porta TCP específica para garantir o acesso contínuo, além de ser capaz de coletar credenciais de usuários legítimos que se autenticam no sistema afetado.

A Disc Soft Limited, desenvolvedora do Daemon Tools Lite, confirmou que seus sistemas foram invadidos, resultando na transformação de uma versão do aplicativo em um trojan. O ataque foi realizado por meio de exploração da cadeia de suprimento, afetando especificamente as versões 12.5.0.2421 a 12.5.0.2434. Após a identificação do problema, a empresa conseguiu remover o malware em 12 horas e lançou a versão 12.6, que está livre de ameaças. A Kaspersky relatou que o malware, classificado como infostealer, comprometeu usuários em mais de 100 países, incluindo o Brasil, e é capaz de roubar informações do sistema e executar comandos maliciosos. A Disc Soft reforçou sua infraestrutura, mas ainda não identificou os responsáveis pelo ataque. Usuários que instalaram a versão afetada devem desinstalar o aplicativo, realizar uma varredura em seus sistemas e instalar a versão mais recente a partir do site oficial.

O Australian Cyber Security Center (ACSC) emitiu um alerta sobre uma campanha de malware em andamento que utiliza a técnica de engenharia social conhecida como ClickFix para disseminar o malware Vidar Stealer. Essa técnica engana os usuários a executar comandos maliciosos, frequentemente por meio de prompts falsos de CAPTCHA ou verificação de navegador em sites comprometidos. Os ataques têm como alvo organizações australianas, redirecionando usuários de sites WordPress comprometidos para comandos PowerShell maliciosos que resultam em infecções por Vidar Stealer. Este malware, que surgiu em 2018, é conhecido por roubar informações sensíveis, como senhas de navegadores, cookies e dados de carteiras de criptomoedas. O ACSC recomenda que as organizações restrinjam a execução do PowerShell e implementem listas de permissão de aplicativos para mitigar os riscos. Além disso, administradores de sites WordPress devem aplicar atualizações de segurança e remover temas ou plugins não utilizados. O alerta também fornece indicadores de comprometimento (IoCs) para ajudar na detecção de intrusões.

Um novo framework de malware chamado PCPJack está em operação, focando no roubo de credenciais de infraestrutura em nuvem exposta e na remoção do acesso do grupo TeamPCP aos sistemas comprometidos. Os serviços visados incluem Docker, Kubernetes, Redis, MongoDB e aplicações web vulneráveis. Pesquisadores da SentinelLabs indicam que o PCPJack é projetado para roubo de credenciais em larga escala, possivelmente monetizando suas atividades através de fraudes financeiras, operações de spam, revenda de credenciais ou extorsão.

O TCLBanker é um novo trojan que visa 59 plataformas de bancos, fintechs e criptomoedas, utilizando um instalador MSI trojanizado do Logitech AI Prompt Builder para infectar sistemas. Descoberto pelos Elastic Security Labs, o malware é uma evolução significativa da família de malwares Maverick/Sorvepotel. Embora atualmente esteja focado no Brasil, suas características de propagação e a possibilidade de expansão para outros países da América Latina são preocupantes.

O TCLBanker se destaca por suas capacidades de proteção contra análise, utilizando rotinas de descriptografia dependentes do ambiente e um thread de vigilância que busca ferramentas de análise. Ele se carrega no contexto de um aplicativo legítimo, evitando alarmes de segurança. O módulo bancário monitora a barra de endereços do navegador e, ao detectar um site alvo, estabelece uma sessão com o comando e controle (C2), permitindo controle remoto sobre o sistema da vítima.

Pesquisadores de cibersegurança revelaram um novo framework de roubo de credenciais chamado PCPJack, que visa infraestruturas em nuvem expostas e elimina artefatos associados ao grupo TeamPCP. O PCPJack coleta credenciais de serviços em nuvem, contêineres e aplicações vulneráveis, exfiltrando dados através de uma infraestrutura controlada pelos atacantes e se espalhando de forma semelhante a um worm. O objetivo final da campanha é gerar receita ilícita por meio de roubo de credenciais, fraudes e extorsão. O PCPJack se destaca por não incluir componentes de mineração de criptomoedas, diferentemente do TeamPCP, sugerindo que pode ser obra de um ex-membro familiarizado com as táticas do grupo. O ataque começa com um script de shell que prepara o ambiente e baixa ferramentas adicionais, enquanto remove processos associados ao TeamPCP. O framework utiliza seis scripts Python para orquestrar o ataque, extrair credenciais e facilitar a movimentação lateral em serviços como Docker e Kubernetes. A análise indica que o PCPJack é uma ameaça significativa, especialmente para empresas que utilizam serviços em nuvem amplamente utilizados no Brasil.

Pesquisadores de cibersegurança alertam sobre um site que promete remover fundos de selfies, mas que na verdade distribui malware. Através de técnicas de SEO, o site malicioso aparece entre os primeiros resultados de busca, enganando usuários que buscam ferramentas legítimas. Ao tentar usar o serviço, os usuários são instruídos a executar um comando no Windows, o que resulta na instalação do CastleLoader, um loader que permite a instalação de outros malwares, como o NetSupport RAT e o CastleStealer. O NetSupport RAT é um trojan de acesso remoto que concede controle total ao atacante, enquanto o CastleStealer é um malware que visa roubar credenciais de navegadores, dados de carteiras de criptomoedas e tokens de aplicativos como Discord e Telegram. A campanha destaca a importância da educação em cibersegurança, pois serviços legítimos não pedem que os usuários realizem atividades locais para verificar sua identidade. Para mitigar esses ataques, recomenda-se que administradores desativem o atalho Win + R e que os usuários estejam cientes dos riscos associados a downloads de ferramentas desconhecidas.

Em 2026, as ameaças cibernéticas continuam a ser alimentadas por práticas antigas, como pacotes suspeitos, aplicativos falsos e anúncios fraudulentos. Um novo malware, chamado MicroStealer, tem como alvo os setores de educação e telecomunicações, roubando dados sensíveis através de uma cadeia de entrega sofisticada. Além disso, a FTC e a Kochava chegaram a um acordo para proteger dados de localização, enquanto a Proton Mail introduziu suporte para criptografia pós-quântica, visando aumentar a segurança das comunicações. O lançamento do pnpm 11 trouxe novas medidas de segurança para proteger contra ataques à cadeia de suprimentos, estabelecendo um período de espera para a instalação de pacotes recém-publicados. A Meta anunciou o uso de inteligência artificial para reforçar a verificação de idade em suas plataformas, e um tribunal sul-coreano manteve a pena de prisão para um homem que contratou um hacker norte-coreano para atacar servidores de jogos. Vulnerabilidades críticas também foram identificadas em sistemas industriais e na plataforma MOVEit Automation, exigindo atenção imediata. O cenário atual destaca a necessidade urgente de uma resposta proativa das organizações para mitigar esses riscos.

Uma versão falsa do site Claude AI está oferecendo um download malicioso chamado Claude-Pro Relay, que instala uma backdoor para Windows chamada Beagle. O site fraudulento imita o design do site legítimo, mas falha em fornecer links funcionais, redirecionando os usuários para a página inicial. Ao clicar no botão de download, os usuários obtêm um arquivo comprimido de 505MB que contém um instalador MSI. A instalação adiciona arquivos ao diretório de inicialização do sistema, permitindo que os atacantes mantenham acesso remoto. A pesquisa da Sophos revelou que o instalador é uma cópia trojanizada que, embora funcione como esperado, implanta uma cadeia de malware PlugX em segundo plano. O Beagle, uma backdoor com comandos limitados, é carregado através do DonutLoader, que é um injetor em memória. A comunicação da backdoor ocorre com um servidor de comando e controle, utilizando criptografia AES para proteger as trocas. A Sophos sugere que os usuários devem garantir que estão baixando o Claude apenas do portal oficial e que a presença de arquivos ‘NOVupdate’ é um forte indicativo de comprometimento.

Pesquisadores de cibersegurança identificaram três pacotes no repositório Python Package Index (PyPI) que têm como objetivo oculto a entrega de uma nova família de malware chamada ZiChatBot, afetando sistemas Windows e Linux. Segundo a Kaspersky, embora os pacotes ‘uuid32-utils’, ‘colorinal’ e ’termncolor’ apresentem funcionalidades legítimas, sua verdadeira intenção é disseminar arquivos maliciosos. O malware ZiChatBot se diferencia por não se comunicar com um servidor de comando e controle (C2) tradicional, utilizando em vez disso APIs REST do aplicativo de chat Zulip. Os pacotes foram carregados entre 16 e 22 de julho de 2025, e, ao serem instalados, extraem um dropper DLL no Windows e um dropper de objeto compartilhado no Linux, que se auto-exclui após a execução. A Kaspersky sugere que a campanha pode estar ligada ao grupo de hackers OceanLotus, que já foi observado utilizando métodos semelhantes para comprometer a comunidade de cibersegurança na China. Essa nova abordagem de ataque representa uma evolução nas táticas do grupo, que busca ampliar seu escopo de alvos.

Pesquisadores da Zimperium identificaram quatro campanhas de trojans bancários para Android, denominadas RecruitRat, SaferRat, Astrinox e Massiv, que visam mais de 800 aplicativos financeiros e de redes sociais. Esses malwares utilizam técnicas de engano e furtividade, como ocultar ícones de aplicativos e sobrepor telas falsas de login, para roubar credenciais financeiras dos usuários. Os atacantes direcionam as vítimas a sites falsos que imitam portais de emprego ou serviços de streaming, levando-as a instalar software malicioso. Uma vez instalado, o malware solicita permissões de acessibilidade, permitindo monitorar ações e capturar informações sem o conhecimento do usuário. Além disso, algumas variantes conseguem se esconder completamente, dificultando a remoção. Os ataques também incluem a transmissão ao vivo da tela do dispositivo para os servidores dos atacantes, permitindo a interceptação em tempo real das etapas de autenticação. A complexidade das técnicas de instalação e a evolução dos métodos de evasão tornam a detecção por ferramentas de segurança tradicionais cada vez mais difícil.

Um grupo de hackers da Coreia do Norte, conhecido como APT37 ou ScarCruft, comprometeu uma plataforma de jogos voltada para a comunidade coreana em Yanbian, na China, utilizando um malware chamado BirdCall. Este ataque, que começou em 2024, afeta tanto sistemas Windows quanto Android. No Windows, o malware permite roubo de dados, execução de comandos e captura de telas, enquanto no Android, ele pode extrair contatos, mensagens, arquivos de mídia e até áudio ambiente. A plataforma SQgame, que oferece jogos temáticos da região, continua hospedando jogos maliciosos, especialmente para dispositivos Android. O foco do ataque parece ser a população coreana na China, incluindo refugiados e desertores, o que levanta preocupações sobre a segurança de dados pessoais e a privacidade desses indivíduos. A ESET, empresa de segurança cibernética que reportou o incidente, observa que o malware está sendo ativamente mantido, com atualizações frequentes, o que indica um esforço contínuo dos atacantes para explorar essa vulnerabilidade.

Pesquisadores de cibersegurança revelaram a existência de uma nova botnet chamada xlabs_v1, derivada do Mirai, que se especializa em atacar dispositivos expostos à Internet que utilizam o Android Debug Bridge (ADB). A descoberta foi feita pela Hunt.io, que identificou um diretório exposto em um servidor na Holanda. A botnet é capaz de realizar ataques de negação de serviço distribuído (DDoS) e oferece 21 variantes de ataque, utilizando protocolos TCP, UDP e outros. O foco principal são dispositivos Android, como caixas de TV e roteadores, que têm o ADB habilitado por padrão. Além disso, a botnet é projetada para coletar informações sobre a largura de banda dos dispositivos comprometidos, permitindo que o operador classifique os dispositivos em diferentes faixas de preço para serviços de DDoS. A operação é considerada de médio porte, mais sofisticada que versões anteriores do Mirai, mas ainda assim acessível a criminosos. A situação é alarmante, especialmente para o setor de jogos, que já foi alvo de ataques semelhantes. A Hunt.io recomenda que operadores de servidores de jogos implementem medidas de mitigação adequadas para se proteger contra esses ataques.

O grupo hacker norte-coreano ScarCruft comprometeu a plataforma de jogos sqgame.net, utilizando um ataque de cadeia de suprimentos para disseminar o malware BirdCall, que transforma jogos em trojans. Inicialmente, o malware afetava apenas usuários do Windows, mas agora também impacta dispositivos Android, conforme relatado pela empresa de cibersegurança ESET. O foco principal dos ataques são coreanos residentes na China, especialmente desertores da Coreia do Norte, que utilizam a plataforma como um meio de comunicação e entretenimento. A campanha foi descoberta em outubro de 2025, mas os jogos infectados ainda estão disponíveis para download. O malware BirdCall permite que os hackers capturem telas, registrem teclas digitadas e acessem arquivos do dispositivo. Embora a versão para desktop não esteja infectada, os APKs disponíveis no site da plataforma estão comprometidos. A evolução do malware, que começou com o RokRAT, destaca a adaptação dos ataques para diferentes sistemas operacionais, incluindo macOS e Android. A situação é preocupante, pois qualquer jogador que tenha baixado os jogos pode estar em risco.

Pesquisadores de segurança da Cisco Talos identificaram uma nova variante do trojan de acesso remoto (RAT) CloudZ, que utiliza um plugin chamado Pheno para explorar a ferramenta Microsoft Phone Link. Essa ferramenta permite que usuários conectem seus dispositivos Android e iOS aos computadores com Windows 10 e 11, facilitando a realização de chamadas e o envio de mensagens. No entanto, o plugin Pheno permite que atacantes interceptem mensagens SMS e senhas temporárias (OTPs) sem precisar comprometer o telefone. Ao monitorar sessões ativas do Phone Link, o malware acessa um banco de dados local que armazena essas informações, comprometendo assim a autenticação de dois fatores (2FA). Os pesquisadores alertam que, embora o Phone Link seja uma funcionalidade útil, sua exploração pode levar a sérias vulnerabilidades de segurança. Eles recomendam que os usuários evitem serviços de OTP baseados em SMS e optem por aplicativos de autenticação que não dependam de notificações interceptáveis. A Cisco Talos ainda não conseguiu determinar como os usuários foram infectados, mas enfatiza a necessidade de precauções adicionais para proteger informações sensíveis.

A Disc Soft Limited, desenvolvedora do DAEMON Tools Lite, confirmou que o software foi comprometido em um ataque à cadeia de suprimentos, resultando na liberação de uma versão trojanizada. A empresa anunciou que já corrigiu a vulnerabilidade e lançou a versão 12.6, livre de malware, em 5 de maio. O ataque, que afetou usuários que baixaram a versão 12.5.1 desde 8 de abril, permitiu que hackers instalassem um backdoor em milhares de sistemas em mais de 100 países, incluindo Brasil, Rússia e Alemanha. O malware inicial coletava dados do sistema e, em alguns casos, um backdoor mais avançado foi implantado, permitindo execução de comandos e download de arquivos. A Disc Soft removeu a versão comprometida e recomenda que os usuários afetados desinstalem o software, realizem uma varredura completa com antivírus e instalem a nova versão. A Kaspersky, que investigou o incidente, destacou que o malware afetou organizações de diversos setores e que a nova versão do DAEMON Tools não apresenta mais comportamentos maliciosos.

Pesquisadores de cibersegurança da Cisco Talos divulgaram detalhes sobre uma intrusão que utiliza a ferramenta de acesso remoto CloudZ RAT e um plugin não documentado chamado Pheno, com o objetivo de roubar credenciais de usuários. O ataque se destaca por explorar a aplicação Microsoft Phone Link, que permite a sincronização entre dispositivos, para interceptar dados sensíveis, como senhas e códigos de autenticação de dois fatores (OTPs), sem a necessidade de comprometer o dispositivo móvel.

Desde 8 de abril, hackers têm distribuído instaladores trojanizados do software DAEMON Tools, resultando em uma infecção em milhares de sistemas em mais de 100 países. O ataque de supply chain, que ainda está em andamento, afetou principalmente organizações de varejo, científicas, governamentais e de manufatura na Rússia, Belarus e Tailândia. As versões comprometidas incluem DAEMON Tools de 12.5.0.2421 a 12.5.0.2434, com os arquivos DTHelper.exe, DiscSoftBusServiceLite.exe e DTShellHlp.exe sendo os principais alvos. Após a instalação, o malware coleta informações do sistema e pode baixar e executar cargas adicionais. Em alguns casos, um backdoor mais avançado, chamado QUIC RAT, foi implantado, permitindo a injeção de código malicioso em processos legítimos. A Kaspersky, que está monitorando o ataque, alerta que a complexidade do incidente exige que as organizações verifiquem máquinas que tiveram o DAEMON Tools instalado para atividades anômalas desde a data do ataque. Embora não tenha sido atribuído a um ator específico, acredita-se que os atacantes falem chinês. O ataque destaca a crescente preocupação com a segurança da cadeia de suprimentos, que tem sido uma tendência crescente em 2023.

Um novo malware, denominado Quasar Linux (QLNX), foi identificado como uma ameaça significativa aos sistemas de desenvolvedores, combinando funcionalidades de rootkit, backdoor e roubo de credenciais. O QLNX é implantado em ambientes de desenvolvimento e DevOps, como npm, PyPI, GitHub, AWS, Docker e Kubernetes, possibilitando ataques à cadeia de suprimentos ao publicar pacotes maliciosos em plataformas de distribuição de código. Pesquisadores da Trend Micro descobriram que o malware é capaz de compilar dinamicamente objetos compartilhados de rootkit e módulos de backdoor PAM diretamente no sistema alvo, utilizando o compilador GNU (gcc).

O grupo de hackers norte-coreano APT37, também conhecido como ScarCruft, desenvolveu uma versão para Android de um backdoor chamado BirdCall, que já era conhecido por suas operações em sistemas Windows. Essa nova variante, que atua como spyware, foi identificada em um ataque à cadeia de suprimentos através de uma plataforma de jogos, especificamente o site sqgame[.]net, que hospeda jogos para Android, iOS e Windows. A pesquisa da ESET revelou que a versão Android do BirdCall foi criada em outubro de 2024 e possui pelo menos sete versões diferentes.

Uma nova versão da ferramenta de acesso remoto CloudZ (RAT) está utilizando um plugin malicioso inédito chamado Pheno, que se aproveita da conexão do Microsoft Phone Link para roubar códigos sensíveis de dispositivos móveis. O malware foi identificado em uma intrusão ativa desde janeiro, com o objetivo de roubar credenciais e senhas temporárias. O Microsoft Phone Link, disponível em Windows 10 e 11, permite que os usuários façam chamadas e respondam a mensagens diretamente do computador, o que facilita a interceptação de mensagens sem comprometer o dispositivo móvel. O Pheno monitora sessões ativas do Phone Link e acessa seu banco de dados local SQLite, que pode conter SMS e senhas de uso único (OTPs). Além disso, o CloudZ RAT possui capacidades adicionais, como gerenciamento de arquivos e execução de comandos. A infecção ocorre quando a vítima executa uma atualização falsa do ScreenConnect, que instala um loader baseado em Rust, seguido pela instalação do CloudZ RAT. Para se proteger, recomenda-se evitar serviços de OTP via SMS e optar por aplicativos de autenticação que não dependam de notificações que podem ser interceptadas. A Cisco Talos publicou indicadores de comprometimento que podem ajudar na proteção contra essa ameaça.

O grupo de hackers ScarCruft, alinhado ao governo da Coreia do Norte, realizou um ataque de espionagem na cadeia de suprimentos, comprometendo uma plataforma de jogos voltada para coreanos étnicos na China. O ataque envolveu a inserção de um backdoor chamado BirdCall, que agora afeta tanto usuários de Windows quanto de Android, ampliando seu alcance. A plataforma sqgame[.]net, utilizada por coreanos na região de Yanbian, foi especificamente visada, dada a sua importância como ponto de trânsito para desertores norte-coreanos. O malware BirdCall é uma evolução do RokRAT e possui funcionalidades avançadas, como captura de tela, registro de teclas e roubo de dados pessoais. A distribuição do malware foi feita através de APKs maliciosos disponíveis para download na plataforma, enquanto o cliente para Windows e jogos iOS permaneceram intactos. A análise sugere que o ataque está em andamento desde o final de 2024 e que o backdoor foi desenvolvido para se comunicar com serviços de nuvem legítimos, como Dropbox e pCloud. Este incidente destaca a crescente ameaça de espionagem cibernética direcionada a grupos específicos, como desertores e ativistas de direitos humanos.

Uma versão maliciosa do pacote PyTorch Lightning, publicada no Python Package Index (PyPI), foi descoberta com um payload que rouba credenciais de navegadores, arquivos de ambiente e serviços em nuvem. O desenvolvedor do pacote revelou o ataque à cadeia de suprimentos em 30 de abril, informando que a versão 2.6.3 incluía uma cadeia de execução oculta que baixa e executa um payload JavaScript. O PyTorch Lightning é um framework popular de aprendizado profundo, com mais de 11 milhões de downloads no último mês. O advisory de segurança do mantenedor destaca que a cadeia de execução maliciosa é ativada automaticamente ao importar o pacote, criando um processo em segundo plano que baixa um runtime JavaScript e executa um payload ofuscado de 11,4 MB. O malware, identificado como “ShaiWorm” pelo Microsoft Defender, visa arquivos .env, chaves de API, segredos e dados armazenados em navegadores como Chrome e Firefox. A Microsoft informou que a atividade maliciosa afetou um número limitado de dispositivos e foi contida em um conjunto restrito de ambientes. Os usuários que importaram a versão 2.6.3 devem rotacionar imediatamente suas credenciais. O PyTorch Lightning foi revertido para a versão 2.6.1, considerada segura, enquanto a investigação sobre como a violação ocorreu continua.

O grupo de cibercrime baseado na China, conhecido como Silver Fox, está associado a uma nova campanha de ataques direcionados a organizações na Rússia e na Índia, utilizando um malware chamado ABCDoor. A campanha começou com e-mails de phishing que simulavam comunicações do Departamento de Imposto de Renda da Índia, seguidos por ataques semelhantes a entidades russas. Os e-mails continham arquivos que, ao serem abertos, baixavam um loader modificado em Rust, que por sua vez instalava o backdoor ValleyRAT.

Recentemente, o Microsoft Defender começou a identificar certificados raiz legítimos da DigiCert como o malware Trojan:Win32/Cerdigent.A!dha, resultando em alertas de falsos positivos em larga escala. O problema teve início após uma atualização de assinatura do Defender em 30 de abril, levando à remoção de certificados da loja de confiança do Windows em sistemas afetados. Administradores relataram que os certificados identificados incluem dois hashes específicos. A situação gerou preocupação entre os usuários, muitos dos quais acreditaram que seus dispositivos estavam infectados e optaram por reinstalar o sistema operacional. A Microsoft já lançou uma atualização de inteligência de segurança que corrige as detecções e restaura os certificados removidos. Este incidente ocorre em um contexto em que a DigiCert enfrentou uma violação de segurança, permitindo que atacantes obtivessem certificados de assinatura de código válidos usados para assinar malware. A DigiCert revogou 60 certificados de assinatura de código, incluindo aqueles associados a uma campanha de malware chamada Zhong Stealer. Embora a Microsoft não tenha confirmado uma ligação direta entre os falsos positivos e a violação da DigiCert, a coincidência de tempo e o foco nos certificados da DigiCert levantam questões sobre uma possível conexão.

Uma nova campanha de ataque à cadeia de suprimentos de software foi identificada, utilizando pacotes ‘sleeper’ para disseminar cargas maliciosas que possibilitam o roubo de credenciais, manipulação de ações do GitHub e persistência SSH. A atividade foi atribuída à conta do GitHub ‘BufferZoneCorp’, que publicou repositórios associados a gems Ruby e módulos Go maliciosos. Os pacotes foram removidos do RubyGems e os módulos Go foram bloqueados. Os gems Ruby têm como objetivo automatizar o roubo de credenciais durante a instalação, coletando variáveis de ambiente, chaves SSH e segredos da AWS, que são exfiltrados para um endpoint controlado pelo atacante. Os módulos Go, por sua vez, têm capacidades mais amplas, como manipular fluxos de trabalho do GitHub Actions e adicionar chaves SSH para acesso remoto ao host comprometido. Os usuários que instalaram os pacotes são aconselhados a removê-los, revisar acessos não autorizados e rotacionar credenciais expostas.

Um novo ataque à cadeia de suprimentos de software comprometeu o popular pacote Python Lightning, resultando na publicação de duas versões maliciosas (2.6.2 e 2.6.3) em 30 de abril de 2026. O ataque, que é uma extensão do incidente Mini Shai-Hulud, visa roubo de credenciais. As versões maliciosas contêm um diretório oculto que executa um script Python para baixar e executar um payload JavaScript ofuscado, permitindo o roubo de credenciais, incluindo tokens do GitHub. Esses tokens são validados e utilizados para injetar um payload em até 50 branches de repositórios. Além disso, o malware modifica pacotes npm locais, aumentando o número da versão e repackaging, o que pode levar à disseminação do malware em sistemas de usuários finais. Os administradores do repositório PyPI já isolaram o projeto, e recomenda-se que os desenvolvedores removam as versões afetadas e revertam para a versão 2.6.1. A investigação sobre como a conta do GitHub do projeto foi comprometida ainda está em andamento.

Recentemente, um usuário do Reddit, conhecido como NotAGoat3, afirmou ter baixado uma versão antecipada do aguardado jogo Grand Theft Auto 6 (GTA 6). Em uma postagem na comunidade r/GTA6unmoderated, ele se gabou de ter acesso ao jogo, desafiando críticos e negacionistas. No entanto, após a instalação, o usuário enfrentou sérios problemas em seu computador, que começou a apresentar lentidão e comportamentos estranhos, como um prompt de comando que abria e fechava rapidamente. Posteriormente, ele postou na comunidade r/computerviruses, buscando ajuda para resolver os problemas, que indicavam a possível infecção por um malware. Os sintomas relatados sugerem que o computador pode ter sido comprometido por um vírus de acesso remoto ou utilizado para mineração de criptomoedas. Este incidente serve como um alerta para os fãs de jogos: a cautela é essencial ao baixar arquivos da internet, especialmente versões piratas ou não oficiais de jogos ainda não lançados. O caso destaca a importância de se proteger contra ameaças cibernéticas, que podem se disfarçar como conteúdos atraentes, mas que, na verdade, são armadilhas perigosas.

Em março de 2026, o Atos Threat Research Center (TRC) identificou uma campanha maliciosa sofisticada que visa contas profissionais de alto privilégio, como administradores de empresas e engenheiros de DevOps. A operação utiliza técnicas avançadas, como envenenamento de SEO e uma arquitetura de distribuição em duas etapas via GitHub, para enganar as vítimas. Inicialmente, os usuários são direcionados a um repositório ‘fachada’ otimizado para SEO, que parece legítimo, mas redireciona para um segundo repositório que contém o malware disfarçado de ferramentas administrativas populares. Essa estratégia permite que os atacantes mantenham a visibilidade nos resultados de busca, mesmo após possíveis intervenções. Além disso, a campanha implementa um controle de comando e controle descentralizado utilizando contratos inteligentes na blockchain Ethereum, o que aumenta a resiliência da infraestrutura maliciosa. A análise técnica revela que a campanha continua ativa e evoluindo, com variantes do malware sendo identificadas. A complexidade e a persistência dessa ameaça destacam a necessidade de vigilância contínua e medidas de mitigação eficazes por parte das equipes de segurança cibernética.