Malware

Pesquisadores de cibersegurança identificaram uma campanha ativa de extensões de navegador, chamada Silent Swap, que visa roubar criptomoedas ao substituir furtivamente endereços de carteiras durante transações. A campanha utiliza instaladores não assinados, observados em variantes .NET e Golang, que implantam uma extensão maliciosa disfarçada de um utilitário benigno chamado ‘Google Notes’. Essa extensão age como um clipper, interceptando e manipulando endereços de carteiras copiadas para a área de transferência, redirecionando os fundos para carteiras controladas por atacantes. A técnica EtherHiding é utilizada para atualizar detalhes do servidor de comando e controle (C2) através da blockchain, permitindo que os atacantes mudem facilmente o domínio sem precisar redeployar o malware. A instalação da extensão é feita de forma clandestina, alterando arquivos de configuração protegidos dos navegadores, como Chrome e Edge, e requer que o modo desenvolvedor esteja ativado, o que pode ser conseguido por meio de engenharia social. A campanha já afetou usuários em vários países, incluindo Brasil e Índia, e representa uma evolução nas táticas de roubo de criptomoedas, com um mapeamento de endereços por vítima sendo uma das inovações mais preocupantes.

Pesquisadores da Trend Micro identificaram uma nova campanha de ataque que explora uma vulnerabilidade crítica no Langflow, especificamente a CVE-2026-33017, que permite execução remota de código (RCE) sem autenticação. O ataque, que ocorreu entre 27 de março e 15 de abril de 2026, utiliza um simples código Python para baixar e executar um minerador de criptomoedas Monero. O malware não apenas desativa processos concorrentes de mineração, mas também remove logs do sistema e altera atributos de arquivos para garantir sua persistência. Além disso, ele se propaga para outros sistemas através de chaves SSH reutilizadas, transformando uma instância exposta do Langflow em um ponto de entrada para compromissos mais amplos. Essa situação destaca a crescente exploração de endpoints de aplicações de inteligência artificial como vetores de ataque em ambientes corporativos. A vulnerabilidade do Langflow, que já foi alvo de outras explorações, como a distribuição do malware Flodrix, evidencia a necessidade urgente de monitoramento e mitigação em sistemas que utilizam essa tecnologia.

Recentemente, a Microsoft identificou uma extensão maliciosa do Chrome que se apresentava como o motor de busca de IA Perplexity. Nomeada ‘Search for perplexity ai’, a extensão logava silenciosamente as pesquisas dos usuários, redirecionando cada consulta através de um servidor controlado por atacantes antes de apresentar os resultados reais. A extensão utilizava um domínio semelhante ao verdadeiro, perplexity-ai[.]online, para enganar os usuários. Ao ser instalada, ela se tornava o mecanismo de busca padrão do navegador, interceptando não apenas as pesquisas, mas também cada caractere digitado na barra de endereços. Embora a Microsoft não tenha encontrado evidências de roubo de senhas, a extensão tinha acesso excessivo, coletando dados como endereços IP e cabeçalhos de navegador. Após a divulgação responsável, o Google removeu a extensão da loja. A Microsoft alerta que essa prática se alinha a um padrão crescente de extensões maliciosas que se aproveitam da marca de IA para capturar dados. Para mitigar riscos, recomenda-se que as empresas permitam apenas extensões aprovadas e monitorem alterações nas configurações de busca e permissões de extensões.

Hackers estão aproveitando uma vulnerabilidade crítica (CVE-2026-48558) recentemente divulgada no SimpleHelp, uma plataforma utilizada para monitoramento e gerenciamento remoto, para implantar o Djinn Stealer, um malware de roubo de informações que atinge sistemas operacionais como Windows, macOS e Linux. A falha permite a criação de contas de técnico altamente privilegiadas sem autenticação, afetando cerca de 1.000 servidores expostos online. A empresa de segurança Blackpoint investigou um incidente onde um ator malicioso explorou essa vulnerabilidade para estabelecer uma sessão autenticada em um servidor SimpleHelp, utilizando o malware TaskWeaver para instalar o Djinn Stealer. Este último é projetado para coletar dados sensíveis, incluindo credenciais de ferramentas de desenvolvimento de IA, chaves SSH, e informações de carteiras de criptomoedas. Os pesquisadores alertam que a exploração ativa dessa vulnerabilidade deve levar os administradores de sistemas a priorizar atualizações e a invalidar sessões de técnicos não reconhecidas, além de rotacionar credenciais comprometidas.

O grupo de espionagem alinhado à China, Mustang Panda, está conduzindo campanhas contra o governo indiano e alvos do setor de hidrelétricas, utilizando novos malwares e uma plataforma de nuvem legítima como canal de comando. A Acronis Threat Research Unit identificou comprometimentos ativos nas redes do governo indiano, incluindo máquinas de funcionários administrativos seniores, e colaborou com o CERT-In para notificação e limpeza. O malware explora o Zoho WorkDrive, um serviço de armazenamento em nuvem comum no setor governamental da Índia, para enviar comandos e exfiltrar dados, disfarçando o tráfego como atividade normal da nuvem. Entre as ferramentas identificadas estão o SHARDLOADER, que carrega um DLL malicioso, o MINIRECON, uma variante do backdoor Toneshell, e o ZOHOMURK, que utiliza credenciais OAuth do Zoho para operar uma conta controlada pelo atacante. As campanhas foram entregues via spear-phishing, com temas relacionados a propostas de cooperação em hidrelétricas e memorandos entre instituições indianas e taiwanesas. O objetivo é obter informações sobre os planos hidrelétricos da Índia e suas relações de defesa com Taiwan. A Acronis recomenda que organizações governamentais e do setor energético fiquem atentas a iscas geopolíticas e ao uso indevido de serviços em nuvem.

A Microsoft encerrou uma operação de extensão maliciosa no Edge Add-ons store, conhecida como StegoAd, que utilizava esteganografia para ocultar códigos maliciosos em arquivos de imagem e fonte. Essa operação, que se estende desde 2021, envolveu 119 extensões, incluindo bloqueadores de anúncios e tradutores, que foram instaladas por até 2,6 milhões de usuários. O código malicioso permanecia inativo até que a extensão superasse verificações de evasão, permitindo sua permanência na loja por anos. A técnica de esteganografia permitiu que o código fosse escondido em arquivos PNG e WOFF2, evitando a detecção por scanners. Além de fraudes publicitárias, a operação também visava o roubo de credenciais, incluindo logins do Google e do WordPress. A Microsoft removeu todas as extensões e suspendeu mais de 90 contas de desenvolvedores associadas. Os usuários devem verificar suas extensões instaladas e alterar senhas de contas sensíveis, além de ativar autenticação em dois fatores para maior segurança.

O grupo russo de ameaças persistentes avançadas (APT) Gamaredon tem ampliado seu arsenal de malware e intensificado suas campanhas de spear-phishing contra a Ucrânia ao longo de 2025. A empresa de cibersegurança ESET identificou 35 campanhas distintas, com foco em instituições governamentais e militares ucranianas. O objetivo principal do grupo é a exfiltração de informações sensíveis que possam ser utilizadas para apoiar os interesses russos na guerra em curso. As campanhas utilizam anexos maliciosos e técnicas de HTML smuggling para implantar downloaders HTA, que, por sua vez, instalam outros malwares, como o PteroSand. Além disso, o grupo explorou uma vulnerabilidade no WinRAR (CVE-2025-8088) para garantir a persistência do malware. Gamaredon também introduziu novas ferramentas PowerShell e aumentou sua dependência de serviços de terceiros para ocultar sua infraestrutura. Apesar de uma pausa operacional em janeiro, o grupo continuou a desenvolver e atualizar suas ferramentas, utilizando serviços legítimos para exfiltração de dados. A evolução das táticas do Gamaredon destaca a necessidade de vigilância contínua e atualização das defesas cibernéticas, especialmente em um cenário de conflito ativo.

Pesquisadores de cibersegurança descobriram pacotes npm e Go sequestrados que implantam um infostealer baseado em Python em sistemas Windows, Linux e macOS. O ataque, identificado pela JFrog, utiliza uma tarefa oculta do Visual Studio Code (VS Code) chamada ’eslint-check’, que é ativada automaticamente ao abrir a pasta do projeto. O malware se conecta a uma infraestrutura controlada por atacantes, lançando um backdoor Socket.io e, em seguida, um infostealer Python. Os pacotes npm afetados, ‘html-to-gutenberg’ e ‘fetch-page-assets’, foram enviados ao registro npm em 25 de maio de 2026 e já foram removidos. Além disso, 16 pacotes Go também foram comprometidos, com a maioria sendo pacotes legítimos que incluíam o malware. O infostealer é capaz de roubar credenciais de navegadores, carteiras de criptomoedas e informações de desenvolvedores. Os usuários que instalaram esses pacotes devem removê-los imediatamente e revisar suas credenciais. O ataque é atribuído a uma campanha conhecida como ‘Fake Font’, que visa desenvolvedores por meio de processos de entrevistas fraudulentos.

Uma nova campanha de ciberataque, identificada pela Kaspersky como StrikeShark, está utilizando um malware inédito chamado SharkLoader, que serve como carregador para implantar o Cobalt Strike Beacon em sistemas comprometidos. Os alvos incluem uma organização diplomática na Indonésia, entidades governamentais em Taiwan e empresas de desenvolvimento de software em diversos países, como Hong Kong, Colômbia e Sérvia. A campanha se destaca pela sua abrangência geográfica e diversidade de alvos, sem vínculos diretos a grupos de ameaças conhecidos. Os atacantes exploram vulnerabilidades conhecidas, como falhas no Exchange Server e no Openfire, para obter acesso inicial. Após a invasão, eles estabelecem persistência através de shells web e técnicas de hijacking de DLLs. Embora não haja evidências claras de exfiltração de dados, a natureza dos alvos sugere um possível interesse em espionagem cibernética. A utilização de ferramentas de código aberto e a exploração de aplicações públicas indicam que os atacantes podem estar visando sistemas vulneráveis de forma oportunista.

Um ator de ameaça persistente avançada (APT) de língua chinesa, identificado como CL-STA-1062, está vinculado a uma nova backdoor personalizada chamada TinyRCT, que tem como alvo entidades governamentais e infraestrutura crítica no Sudeste Asiático. A Palo Alto Networks, através da sua unidade Unit 42, observou que esse grupo tem se concentrado em empresas estatais nos setores de energia e governo desde março de 2022. O TinyRCT permite a execução de comandos arbitrários, exfiltração de arquivos e captura de tela, além de se autodeletar do sistema comprometido. Durante uma campanha em setembro de 2025, o grupo infiltrou uma entidade governamental e utilizou um web shell para extrair dados de um servidor MS SQL. A análise técnica revelou que os atacantes utilizam uma combinação de ferramentas, incluindo o TinyRCT, que estabelece comunicação com um servidor remoto e utiliza criptografia AES-128 para proteger os dados trocados. A atividade do CL-STA-1062 representa uma ameaça significativa à infraestrutura crítica da região, com potencial para se expandir para outros alvos estratégicos.

O grupo de ameaças patrocinado pelo Estado russo, conhecido como Turla, foi associado a um novo backdoor .NET chamado STOCKSTAY, que tem como alvo organizações governamentais e militares na Ucrânia, além de entidades ligadas à política externa italiana. O STOCKSTAY é um malware multifuncional que se comunica com seu servidor de comando e controle (C2) por meio de uma conexão WebSocket segura. O Google Threat Intelligence Group (GTIG) identificou que o STOCKSTAY compartilha semelhanças significativas com o Kazuar, um implante utilizado pelo grupo desde 2017. O malware é projetado para se disfarçar como ferramentas comuns, como visualizadores de PDF e utilitários de calculadora, e é composto por vários módulos que permitem a coleta de informações e a execução de comandos no sistema comprometido. As campanhas de distribuição do STOCKSTAY frequentemente utilizam iscas relacionadas a temas acadêmicos ou diplomáticos, visando organizações na Ucrânia e em outros países europeus. O GTIG observou que o STOCKSTAY foi utilizado em ataques que empregaram e-mails de phishing com arquivos maliciosos, explorando vulnerabilidades conhecidas, como a do WinRAR. A arquitetura do malware sugere que ele pode ter sido desenvolvido por uma equipe com experiência em operações cibernéticas, levantando preocupações sobre a segurança de sistemas críticos em várias nações.

Pesquisadores em cibersegurança identificaram uma nova evolução dos ataques à cadeia de suprimentos, associada às famílias de malware Mini Shai-Hulud, Miasma e Hades, que comprometeram pacotes npm e se espalharam para o ecossistema Go. Os ataques recentes afetaram pacotes como LeoPlatform e RStreams, além de abusos em fluxos de trabalho do GitHub Actions e compromissos relacionados ao projeto Verana Blockchain. O objetivo principal é roubar credenciais de desenvolvedores e mantenedores, utilizando dados roubados para se infiltrar em repositórios e fluxos de trabalho confiáveis.

Um novo malware para macOS, denominado ‘Gaslight’, foi descoberto e tem como objetivo confundir ferramentas de análise de malware assistidas por inteligência artificial (IA). Desenvolvido por um ator de ameaça vinculado à Coreia do Norte, o malware apresenta uma funcionalidade de backdoor e roubo de informações, características comuns em malwares semelhantes. O que diferencia o ‘Gaslight’ é seu payload de 3,5 KB, que contém 38 mensagens falsas de ‘sistema’ embutidas diretamente no binário. Essas mensagens simulam logs de desenvolvedor, relatórios de falhas e alertas de programa, utilizando formatação Markdown para parecerem dados de análise legítimos. Exemplos incluem mensagens sobre expiração de tokens, falhas de conexão e vulnerabilidades de injeção SQL. O objetivo dessas mensagens enganosas é induzir as ferramentas de análise a duvidar da validade de suas próprias sessões, levando-as a abortar ou truncar a análise. Embora não tenha sido demonstrado que essa técnica consiga contornar plataformas de análise de malware baseadas em IA, os pesquisadores sugerem que os atores de ameaça estão experimentando métodos de anti-análise específicos para essas ferramentas. A descoberta destaca a evolução das táticas de malware e a necessidade de vigilância contínua por parte das equipes de segurança.

Desde abril de 2026, um novo backdoor chamado Mistic tem sido utilizado em ataques cibernéticos direcionados a diversas organizações, incluindo setores de seguros, educação, TI e serviços profissionais. De acordo com a equipe de Threat Hunter da Symantec e Carbon Black, o Mistic, também conhecido como MLTBackdoor, está associado a um broker de acesso inicial (IAB) chamado KongTuke. Este backdoor é notável por operar em memória, sem deixar rastros no disco, e possui um mecanismo de autodestruição, características que permitem acesso furtivo e de longo prazo.

Um novo malware baseado em Rust, denominado Gaslight, foi descoberto como um implante e ladrão de informações para macOS. Este malware possui um recurso notável: um payload de injeção de prompt que engana ferramentas de inteligência artificial (IA) utilizadas por analistas de segurança, fazendo com que elas interrompam ou recusem a análise do artefato. Gaslight é atribuído a atores de ameaças alinhados à Coreia do Norte. O malware utiliza um canal de comando e controle (C2) baseado na API do Telegram, permitindo que o operador emita comandos e receba resultados. Entre os comandos disponíveis, destacam-se a execução de comandos de shell e a exfiltração de arquivos. Além disso, Gaslight incorpora um script Python codificado em Base64 que coleta dados sensíveis do sistema, como históricos de comandos do Terminal e informações do Keychain do macOS. O malware se destaca por não codificar informações sensíveis, como tokens do bot do Telegram, mas sim fornecê-las em tempo de execução, dificultando a captura de logs. A presença de mensagens de erro fabricadas visa confundir agentes de segurança, tornando a detecção mais difícil. Essa nova ameaça representa um risco significativo para usuários de macOS, especialmente em ambientes corporativos.

A Microsoft, em colaboração com a Europol e parceiros internacionais, desmantelou a infraestrutura utilizada pelas operações de malware Amadey e StealC durante a Operação Endgame. Essa ação conjunta envolveu autoridades de vários países e resultou na interrupção de 326 servidores e 142 domínios associados a essas famílias de malware. Além disso, foram identificados mais de €41 milhões (cerca de $47 milhões) em criptomoedas ligadas a atividades criminosas e a recuperação de aproximadamente 27 milhões de credenciais roubadas de mais de 385 mil sistemas comprometidos. A operação também focou no malware SocGholish, que infecta usuários por meio de sites comprometidos que exibem falsos avisos de atualização de navegador. A Amadey é utilizada para obter acesso inicial a dispositivos, enquanto o StealC é responsável pelo roubo de credenciais e informações sensíveis. A ação foi coordenada por agências de segurança de países como Canadá, Alemanha e Estados Unidos, com o suporte de empresas de segurança cibernética como Microsoft, ESET e IBM X-Force. Apesar do sucesso da operação, a Europol alerta que, sem prisões, os criminosos podem rapidamente reconstruir suas infraestruturas para novos ataques.

Uma operação coordenada de aplicação da lei, em parceria com empresas do setor privado como Bitdefender, ESET e Microsoft, resultou na desarticulação de infraestruturas criminosas associadas aos malwares Amadey e StealC. O objetivo principal foi interromper as ’linhas de montagem’ utilizadas por cibercriminosos para lançar ataques de ransomware e fraudes financeiras. Durante a ação, que durou duas semanas, foram identificados e restritos ativos de criptomoeda de origem criminosa avaliados em mais de 47 milhões de dólares, além da recuperação de 27 milhões de credenciais de login roubadas. A operação também desmantelou 326 servidores e 142 domínios relacionados a essas ameaças. O malware Amadey, ativo desde 2018, é um loader que facilita a introdução de outros malwares, enquanto o StealC, que surgiu em 2023, é um infostealer que coleta informações sensíveis de usuários. A colaboração entre o setor público e privado foi destacada como fundamental para o sucesso da operação, que representa um passo significativo na luta contra o cibercrime em escala global.

Um novo backdoor chamado Mistic foi identificado em ataques cibernéticos motivados financeiramente, visando organizações nos setores de seguros, educação, TI e serviços profissionais. Acredita-se que o malware esteja vinculado ao grupo KongTuke/Woodgnat, ativo desde 2024, que se especializa em comprometer redes corporativas e vender acesso a grupos de ransomware. Pesquisadores da Symantec relataram que o Mistic tem sido utilizado em intrusões desde abril de 2024. O ataque começa com a execução de um arquivo legítimo, MpExtMs.exe, que carrega uma DLL maliciosa, version.dll, que por sua vez carrega o Mistic. Este malware é projetado para operar de forma furtiva, permitindo que os atacantes mantenham um acesso persistente nas redes comprometidas. Entre suas capacidades estão a manipulação de arquivos, execução de código na memória e a possibilidade de se autodestruir. A análise sugere que o Mistic é uma ferramenta customizada, refletindo uma tendência crescente de uso de ferramentas específicas em ataques de ransomware. As empresas devem estar atentas a essa nova ameaça e considerar a implementação de medidas de segurança robustas para proteger suas redes.

Uma nova campanha de cibersegurança, chamada ClickFix, está utilizando comandos do Terminal para baixar, montar e executar silenciosamente malware que rouba informações de dispositivos macOS. O malware em questão é o Atomic macOS Stealer (AMOS), que tem como alvo credenciais de navegadores, dados de carteiras de criptomoedas, informações do Keychain, dados de aplicativos de mensagens e documentos do usuário. A campanha foi descoberta pela Palo Alto Networks e começa com uma página falsa de CAPTCHA que induz os usuários a abrir o Terminal e colar um comando malicioso. Esse comando baixa um arquivo DMG de um servidor controlado pelo atacante, monta-o silenciosamente e executa automaticamente o aplicativo malicioso contido nele. O AMOS é projetado para roubar dados de vários navegadores baseados em Chromium e Firefox, além de informações de carteiras de criptomoedas e dados de aplicativos como Telegram e Discord. Os dados coletados são armazenados em um arquivo ZIP e enviados para o servidor do atacante. Os especialistas alertam que os usuários devem ser cautelosos ao executar comandos do Terminal, especialmente quando solicitados por páginas da web.

Pesquisadores de cibersegurança descobriram uma série de pacotes npm maliciosos que têm como objetivo entregar um trojan de acesso remoto (RAT) baseado em Windows. Os pacotes identificados, publicados por um usuário chamado ‘abdrizak’, incluem ‘aes-decode-runner-pro’, ‘postcss-minify-selector’ e ‘postcss-minify-selector-parser’. Apesar de parecerem pacotes legítimos, todos eles contêm um dropper em JavaScript que escreve e executa um script PowerShell, o qual baixa um payload adicional de um servidor externo. Esse payload inclui um arquivo de script Visual Basic e um runtime Python, que juntos permitem que o RAT colete informações do host, roube credenciais do Google Chrome e execute comandos shell. A análise ressalta a importância de tratar dependências que se assemelham a ferramentas de construção legítimas como potenciais vetores de ataque. Além disso, outras campanhas maliciosas foram relatadas, incluindo pacotes que visam roubar credenciais de desenvolvedores e implantar RATs em sistemas Linux. Os usuários que instalaram esses pacotes devem removê-los imediatamente e rotacionar suas credenciais.

Uma nova campanha de malware está sendo disseminada através de mensagens diretas no WhatsApp, visando usuários do WhatsApp Desktop e WhatsApp Web em diversos países, incluindo Brasil, Malásia e Índia. De acordo com a Kaspersky, os atacantes utilizam arquivos de script Visual Basic (VBScript) disfarçados como documentos financeiros e empresariais para enganar os destinatários a baixá-los e executá-los. Uma vez executado, o VBScript inicia uma cadeia de infecção que resulta na instalação de software legítimo de Monitoramento e Gerenciamento Remoto (RMM), permitindo acesso remoto ao sistema da vítima. Os arquivos maliciosos são nomeados de maneira enganosa, como “Relatórios Financeiros.vbs” e “Extrato de Conta.vbs”, e contêm comentários e metadados que imitam componentes legítimos do Windows. A Kaspersky alerta que os usuários devem ter cautela ao receber anexos inesperados, mesmo que pareçam vir de contatos conhecidos, e recomenda não abrir arquivos de tipos como VBS, EXE e JS sem verificação prévia de sua legitimidade.

Uma campanha de malware em andamento está visando usuários do WhatsApp em vários países, enviando mensagens enganosas que promovem arquivos VBScript, resultando em acesso remoto aos sistemas das vítimas. Os atacantes utilizam nomes de arquivos que sugerem documentos financeiros e empresariais, supostamente enviados por contatos cujas contas foram comprometidas. Ao baixar e executar os anexos maliciosos, a vítima inicia uma cadeia de infecção que culmina na instalação do ManageEngine Endpoint Central, uma ferramenta legítima usada por administradores de TI para gerenciar sistemas. Dados de telemetria da Kaspersky indicam que a campanha se espalha por países como Brasil, Índia, México, Reino Unido e outros. Os ataques começam com mensagens de contas comprometidas contendo arquivos VBS ofuscados, que, ao serem abertos, baixam scripts adicionais que desativam proteções do sistema e instalam o software malicioso. A Kaspersky não atribui os ataques a um ator específico, mas observa indícios de uso da língua chinesa e sobreposição de infraestrutura com atividades de grupos conhecidos. Usuários do WhatsApp são aconselhados a ter cautela ao abrir arquivos enviados por contatos, mesmo que confiáveis, e a sempre verificar a autenticidade dos mesmos.

Um ataque à cadeia de suprimentos comprometeu múltiplos plugins do WordPress da ShapedPlugin, permitindo que invasores inserissem código malicioso nas versões Pro dos plugins. O ataque foi identificado pela empresa de segurança Wordfence, que revelou que os atacantes conseguiram manipular o canal de distribuição oficial, injetando um loader que se ativa em cada página de administração do WordPress. As versões afetadas incluem o Product Slider Pro para WooCommerce (antes da versão 3.5.4), Real Testimonials Pro (versão 3.2.5) e Smart Post Show Pro (antes da versão 4.0.2). O CVE-2026-49777 foi atribuído ao Product Slider Pro, com uma pontuação CVSS de 10.0, indicando severidade máxima. O malware é capaz de capturar credenciais e códigos de autenticação de dois fatores, além de estabelecer métodos de persistência que permitem a execução de comandos remotamente. A ShapedPlugin confirmou o incidente e está revisando seus processos de distribuição. Os proprietários de sites afetados são aconselhados a redefinir senhas e revisar contas administrativas. Este incidente destaca a vulnerabilidade de sistemas que dependem de canais de distribuição para atualizações seguras.

Pesquisadores de cibersegurança revelaram uma nova campanha que distribui o malware CastleStealer através de um carregador de malware inédito chamado OXLOADER. Segundo o Elastic Security Labs, a campanha utiliza anúncios maliciosos no Google como ponto de partida para a distribuição do malware. A análise sugere que o ator da ameaça é de língua russa e motivado financeiramente, uma vez que há exclusões explícitas para evitar a infecção de máquinas na região da Comunidade dos Estados Independentes (CEI).

Uma nova família de malware, chamada AryStinger, está transformando roteadores domésticos esquecidos em uma rede de reconhecimento distribuído, ao invés de uma botnet DDoS. A empresa QiAnXin’s XLab identificou pelo menos 4.300 roteadores infectados, número que continua a crescer. O malware explora vulnerabilidades em roteadores antigos, especificamente aqueles com chips RTL819X da Realtek, que eram comuns entre 2012 e 2015. A infecção se espalhou a partir de um único IP e utiliza falhas conhecidas, como CVE-2013-3307 e CVE-2016-5681, para comprometer dispositivos, principalmente da D-Link. Além disso, uma variante do malware também ataca caixas NAS da QNAP. O AryStinger permite que os dispositivos infectados realizem varreduras na internet, coletando informações e ocultando a localização do verdadeiro atacante. A persistência do malware é garantida por um servidor SSH. A recomendação para os usuários é desativar a administração remota e substituir roteadores que não recebem mais atualizações de firmware.

O malware botnet AryStinger, recentemente descoberto, já comprometeu mais de 4.000 roteadores desatualizados, transformando-os em proxies para tráfego malicioso. Pesquisadores do XLab, da Qianxin, revelaram que o malware permite que dispositivos infectados atuem como ’executores’ controlados remotamente, realizando atividades como escaneamento, proxy, tunelamento e execução de comandos. Essa abordagem distribuída permite que atacantes dividam tarefas massivas em partes menores, aumentando a eficiência de operações de intrusão. Além de usar roteadores comprometidos para operações maliciosas, o AryStinger pode alterar configurações de DNS, sequestrando a navegação do usuário e monitorando silenciosamente o tráfego de rede. O malware explora vulnerabilidades antigas, como CVE-2013-3307 e CVE-2016-5681, visando principalmente modelos de roteadores D-Link. A pesquisa indica que a maioria das infecções está concentrada na Coreia do Sul, seguida pela China e Suécia. Os especialistas alertam que proprietários de roteadores obsoletos devem substituí-los por modelos novos e aplicar atualizações de firmware para mitigar riscos.

As autoridades de segurança da Holanda, em colaboração com o Canadá, Alemanha e EUA, desmantelaram a infraestrutura maliciosa associada ao malware SocGholish, resultando na limpeza de quase 15.000 sites WordPress infectados. O malware, que atua como um downloader baseado em JavaScript, é conhecido por distribuir outras ameaças cibernéticas, como ransomware e espionagem. Desde 2017, o SocGholish tem se espalhado por meio de sites comprometidos, disfarçando-se como atualizações enganosas de navegadores populares. A operação, parte da ‘Operação Endgame’, visa combater botnets e infraestruturas criminosas. Os proprietários dos sites afetados foram alertados para atualizar seus sistemas de gerenciamento de conteúdo e alterar credenciais. A análise indica que a maioria dos sites comprometidos está localizada nos EUA, seguida por países como Alemanha, França e Brasil. O uso de técnicas como ‘Domain Shadowing’ tem facilitado a operação do malware, tornando a detecção mais difícil. A ameaça é considerada de alto risco, afetando diversos setores e exigindo atenção especial dos CISOs, especialmente em relação à conformidade com a LGPD.

Um ataque de supply chain comprometeu múltiplos plugins pagos da ShapedPlugin, um fornecedor de plugins para WordPress, que afeta mais de 400 mil instalações ativas. O malware, distribuído através do sistema oficial de atualizações da empresa, instala um plugin falso que se passa por componentes do WooCommerce, permitindo o roubo de credenciais e acesso remoto a arquivos. O incidente afetou três plugins: Product Slider Pro, Real Testimonials Pro e Smart Post Show Pro, com a injeção do backdoor ocorrendo em 21 de maio e os primeiros relatos de clientes surgindo em 10 de junho. A ShapedPlugin reconheceu a violação em 16 de junho e iniciou uma investigação, implementando medidas corretivas. O malware, uma vez ativado, se comunica com um servidor de comando e controle, baixa um segundo estágio e se autodeleta para apagar rastros. O WordPress está monitorando o incidente sob os CVEs CVE-2026-10735 e CVE-2026-49777. Administradores de sites afetados são aconselhados a redefinir senhas e revisar listas de usuários.

Agências internacionais de segurança, incluindo Europol e Eurojust, realizaram uma operação conjunta chamada Operation Endgame, que resultou na limpeza de quase 15.000 sites WordPress infectados por malware e na desativação de mais de 100 servidores associados ao grupo de cibercrime russo Evil Corp. A operação, que envolveu autoridades da Holanda, Canadá, Estados Unidos e Alemanha, focou na interrupção da cadeia de infecção ligada ao malware SocGholish. Este malware, que atua como um downloader de JavaScript, tem sido utilizado em ataques desde 2017, enganando usuários a baixarem atualizações falsas de navegadores que, na verdade, são cargas maliciosas. O malware permite que os atacantes acessem sistemas infectados e é conhecido por implantar outras famílias de malware, como Dridex e Doppelpaymer. As autoridades também recomendaram que os proprietários dos sites afetados alterassem suas credenciais, ativassem a autenticação multifatorial e mantivessem seus sites atualizados para evitar novas infecções. A operação representa um esforço significativo para mitigar os riscos de ataques cibernéticos em infraestruturas críticas e proteger a segurança digital de cidadãos e organizações em todo o mundo.

Atacantes estão direcionando suas ações a carteiras de criptomoedas, utilizando um malware que rouba dados do clipboard e possui capacidades de auto-propagação. A campanha, que está ativa desde fevereiro, utiliza arquivos LNK em drives USB para disseminar o malware, que monitora o conteúdo do clipboard e substitui endereços de carteiras de criptomoedas por aqueles controlados pelos atacantes. Além disso, o malware é capaz de capturar frases-semente e chaves privadas, enviando essas informações através da rede Tor. O processo de infecção se inicia quando a vítima abre o arquivo LNK, ativando o malware. Este realiza uma varredura local em busca de arquivos de documentos, ocultando os originais e substituindo-os por atalhos maliciosos. O malware também captura capturas de tela a cada dez segundos e estabelece comunicação com um servidor de comando e controle (C2) via um executável Tor. A Microsoft alerta que os indicadores mais fortes de infecção são comportamentais, recomendando monitorar atividades de processos como wscript.exe e conexões com o localhost:9050. Essa ameaça representa um risco significativo para usuários de criptomoedas, especialmente em um cenário onde a segurança digital é cada vez mais crucial.

A Microsoft revelou uma campanha de malware clippers que tem afetado usuários do Windows desde fevereiro de 2026. Este tipo de malware é projetado para monitorar e roubar informações sensíveis copiadas para a área de transferência, especialmente endereços de carteiras de criptomoedas. A análise da Microsoft Defender Security Research Team destaca que o clippers utiliza lógica baseada no Windows Script Host e ActiveX para lançar um proxy Tor e se conectar a um servidor de comando e controle (C2) oculto. O malware realiza roubo de clipboard em alta frequência, exfiltra capturas de tela e substitui endereços de carteiras.

Recentemente, a cibersegurança enfrentou uma série de incidentes alarmantes que demonstram a vulnerabilidade da infraestrutura digital. Entre os problemas destacados, extensões de navegador enganosas foram identificadas, redirecionando buscas de usuários para intermediários de monetização, comprometendo a privacidade e segurança. Além disso, um ataque sofisticado no macOS, denominado ClickFix, utiliza um método sem arquivos para roubar informações, deixando poucos rastros. Os criminosos cibernéticos também abusaram de plataformas de chat, como a Claude, para disseminar malware que rouba credenciais. Outra preocupação é a fraude via WhatsApp, onde golpistas se passam por hotéis para obter dados de pagamento de viajantes. Em resposta a essas ameaças, a Amazon lançou o AWS Continuum, um agente de segurança baseado em IA para gerenciar vulnerabilidades de código. O cenário é preocupante, com um aumento significativo de ataques direcionados e técnicas de engenharia social, exigindo atenção redobrada das organizações para proteger seus dados e sistemas.

Um novo relatório da Check Point Research revela que um ator de ameaça desconhecido está utilizando postagens pagas em sites de notícias legítimos para promover malware. O foco principal da campanha é um ‘clipboard hijacker’ de criptomoedas, disfarçado como bots de sniper e preditores de jogos. O malware, desenvolvido em Rust, ataca sistemas Windows e macOS, monitorando a área de transferência para substituir endereços de carteiras de criptomoedas por endereços controlados pelo atacante. Para criar uma falsa reputação, o ator utiliza uma página de phishing no WordPress, contas falsas no GitHub e SourceForge, além de um canal no YouTube com mais de 91 mil assinantes. A manipulação de plataformas como VirusTotal e SourceForge, onde contagens de downloads foram artificialmente inflacionadas, visa aumentar a confiança dos usuários em arquivos maliciosos. A campanha destaca uma nova abordagem de engenharia social, onde a construção de uma reputação falsa se torna uma estratégia central para enganar as vítimas, especialmente aqueles envolvidos com criptomoedas e jogos online.

Pesquisadores da Kaspersky alertaram que o Steam Workshop, uma plataforma popular entre gamers para compartilhar conteúdo personalizado, está sendo explorado para disseminar malware através do aplicativo Wallpaper Engine. Desde pelo menos o final de 2025, wallpapers maliciosos foram baixados dezenas de milhares de vezes, infectando usuários com backdoors, infostealers, miners e até ransomware. Os hackers utilizam wallpapers interativos que, ao serem instalados, executam automaticamente o malware, que pode estar embutido no pacote ou em arquivos compactados protegidos por senha. Embora a Valve tenha removido as aplicações infectadas, a possibilidade de novos uploads maliciosos persiste, exigindo cautela dos usuários. A maioria das vítimas está localizada na Rússia e na China, mas a ameaça pode se espalhar globalmente, afetando gamers em todo o mundo.

Pesquisadores de cibersegurança identificaram uma campanha coordenada de malware no JetBrains Marketplace, onde 15 plugins maliciosos foram publicados, capazes de exfiltrar chaves de API de provedores de inteligência artificial (IA). Os plugins, que se apresentam como assistentes de codificação baseados em modelos de linguagem, funcionam conforme anunciado, mas capturam a chave de API inserida pelo usuário e a enviam para um servidor controlado pelos atacantes. A atividade, que começou em outubro de 2025, continua com novos plugins sendo lançados até junho de 2026. Entre os plugins mais populares estão o CodeGPT AI Assistant e o DeepSeek AI Assist, ambos com mais de 25.000 downloads, embora a autenticidade desses números seja questionável. Os plugins compartilham um código-base semelhante e exigem que os usuários insiram suas chaves de API para funcionar. Além disso, após o pagamento de uma taxa, o plugin fornece uma chave de API ao usuário, que é utilizada em vez da chave original, levantando suspeitas de que os operadores estão monetizando as chaves roubadas. Essa campanha evidencia a crescente vulnerabilidade dos ambientes de desenvolvimento, que se tornaram alvos lucrativos para cibercriminosos.

Um ataque à cadeia de suprimentos de software, denominado easy-day-js, comprometeu 144 pacotes npm associados ao namespace Mastra, um framework popular de JavaScript e TypeScript para aplicações de inteligência artificial. O ataque foi identificado por empresas de segurança como JFrog, SafeDep, Socket e StepSecurity. Um único usuário npm, identificado como ’ehindero’, publicou mais de 140 pacotes maliciosos em um curto espaço de tempo. Embora os pacotes infectados não contenham código malicioso, eles dependem de uma biblioteca de terceiros chamada ’easy-day-js’, que foi alterada para incluir um payload ofuscado. Esse payload é ativado durante um hook de pós-instalação e se conecta a um servidor controlado pelos atacantes para baixar um trojan que rouba informações, incluindo dados de carteiras de criptomoedas. O ataque afetou pacotes amplamente utilizados, como o @mastra/core, que possui mais de 918 mil downloads semanais. A Npm já removeu as versões maliciosas, mas qualquer ambiente que tenha instalado essas versões deve ser considerado potencialmente comprometido.

Um novo trojan bancário para Android, denominado Rokarolla, está atacando 217 aplicativos de bancos e criptomoedas, utilizando um conjunto extenso de 137 comandos. O malware é distribuído por meio de sites maliciosos que se passam por provedores do Google Chrome ou TikTok, permitindo que os invasores assumam o controle administrativo total de dispositivos comprometidos. Entre suas capacidades, estão o roubo de credenciais de tela de bloqueio, listas de contatos e dados de SMS, além de registrar continuamente as entradas do usuário através de keyloggers.

Uma campanha de malware foi descoberta no JetBrains Marketplace, onde pelo menos 15 plugins maliciosos foram projetados para roubar chaves de API de IA de desenvolvedores. Os plugins, que atuam como assistentes de codificação e ferramentas de revisão de código, foram baixados cerca de 70.000 vezes. Aikido Security, a empresa que identificou a ameaça, revelou que os plugins exfiltram as chaves de API assim que o usuário clica em ‘Aplicar’ após inseri-las nas configurações. Os dados são enviados para um servidor específico, comprometendo a segurança dos desenvolvedores. Embora os plugins funcionem como prometido, eles secretamente transmitem as credenciais para os atacantes. Além disso, a pesquisa sugere que os operadores dos plugins podem estar coletando credenciais de usuários gratuitos para fornecer chaves a usuários pagos. A análise de um dos plugins, o DeepSeek AI Assist, confirmou a presença do código de roubo de credenciais. Até o momento, o plugin ainda está disponível para download no Marketplace, o que levanta preocupações sobre a segurança da plataforma.

O artigo explora como junctions e links simbólicos do sistema de arquivos NTFS podem ser utilizados por atacantes para criar estruturas de diretórios recursivas, conhecidas como GhostTree e GhostBranch. Essas técnicas permitem que um usuário, sem privilégios administrativos, crie loops que geram caminhos de arquivos praticamente infinitos. Isso pode dificultar a detecção de arquivos maliciosos, pois ferramentas de segurança, como produtos EDR, podem ficar presas nesses loops, deixando os arquivos maliciosos sem exame. O GhostBranch é uma técnica mais simples que cria um loop lógico ao apontar um diretório filho de volta para o diretório pai, enquanto o GhostTree expande essa ideia, permitindo múltiplos diretórios filhos que também se conectam ao pai, aumentando exponencialmente o número de caminhos válidos. O artigo destaca a importância de monitorar a atividade do sistema de arquivos para detectar essas anomalias e sugere que a visibilidade e o controle de acesso são cruciais para a proteção de dados sensíveis. A técnica foi testada contra o Windows Defender, confirmando sua eficácia em evitar a detecção de malware. A Varonis, autora do artigo, oferece soluções para monitoramento e proteção de dados em ambientes corporativos.

Pesquisadores da Kaspersky alertam sobre uma nova onda de ataques cibernéticos que exploram o Steam Workshop, plataforma da Valve para compartilhamento de conteúdo de jogos. Os atacantes estão utilizando pacotes de papéis de parede infectados para disseminar malware, que pode resultar no sequestro de contas Steam, instalação de backdoors e execução de processos de criptomineria. O Wallpaper Engine, um aplicativo popular para personalização de papéis de parede, é o vetor principal dessa ameaça. Os wallpapers maliciosos podem conter arquivos executáveis que, ao serem instalados, ativam automaticamente o malware. Os pesquisadores identificaram diversas variantes de malware, incluindo infostealers e mineradores de criptomoedas, que já foram baixados milhares de vezes. Embora a Valve tenha removido os wallpapers maliciosos identificados, a Kaspersky alerta que novos arquivos prejudiciais podem ser enviados a qualquer momento. Para se proteger, os usuários devem baixar conteúdos apenas de fontes confiáveis e utilizar antivírus atualizados para escanear os downloads do Steam Workshop.

Pesquisadores de cibersegurança identificaram várias campanhas de malware conhecidas como ClickFix, que distribuem três carregadores de malware: BabaDeda Loader, Lorem Ipsum Loader e Potemkin. O BabaDeda Loader, observado em abril de 2026, tem como alvo organizações educacionais e financeiras, utilizando técnicas de engenharia social para induzir usuários a executar comandos PowerShell maliciosos. Este carregador é projetado para evitar sistemas na Rússia e Belarus e realiza verificações de segurança antes de injetar cargas úteis em processos confiáveis do Windows. Entre as cargas úteis estão backdoors .NET que coletam dados sensíveis e estabelecem canais criptografados com servidores de comando e controle (C2).

Pesquisadores de cibersegurança identificaram duas variantes do malware SprySOCKS, anteriormente conhecido como um backdoor exclusivo para Linux, agora adaptadas para Windows. As variantes, denominadas WIN_DRV e WIN_PLUS, possuem configurações de comando e controle (C&C) embutidas e suportam comunicação via TCP, UDP e WebSocket. Ambas as versões permitem a execução de mais de 30 comandos, incluindo coleta de informações do sistema e gerenciamento de processos. A variante WIN_DRV utiliza drivers de kernel para ocultar conexões de rede e processos, enquanto a WIN_PLUS se aproveita do serviço de spooler de impressão do Windows para iniciar o backdoor. As evidências sugerem que essas variantes foram implantadas em ataques direcionados a organizações governamentais em países como Honduras, Taiwan e Paquistão entre 2023 e 2024. A descoberta dessas versões para Windows representa uma expansão significativa das capacidades do grupo de espionagem cibernética conhecido como FishMonger, que está associado a um ator de ameaças patrocinado pelo estado chinês. A análise revela que a arquitetura central do SprySOCKS foi preservada, mas com melhorias na furtividade e na adaptação a mecanismos nativos do Windows.

Pesquisadores de segurança da Zimperium documentaram um novo trojan bancário para Android, chamado Rokarolla, que ataca 217 aplicativos de bancos e criptomoedas. O malware, que possui 137 comandos remotos, permite que um operador tenha controle quase total do dispositivo infectado. Entre suas funcionalidades, estão a captura de PINs de bloqueio, leitura e envio de SMS, redirecionamento de pagamentos em criptomoedas e desativação do Google Play Protect. O Rokarolla se espalha por sites maliciosos que se disfarçam de aplicativos conhecidos, como TikTok e Chrome. Ao ser instalado, ele se apresenta como Google Play Protect para obter acesso de acessibilidade e, em seguida, desativa a proteção. O roubo de informações ocorre através de sobreposições, onde páginas de login falsas são exibidas sobre os aplicativos legítimos, capturando dados sensíveis dos usuários. Além disso, o malware pode ler mensagens SMS, interceptar códigos de autenticação e modificar a área de transferência para redirecionar pagamentos. A Zimperium alerta que não há um patch a ser aplicado, pois se trata de um malware, e recomenda que os usuários instalem aplicativos apenas da Google Play e mantenham o Play Protect ativado.

Pesquisadores da ESET identificaram variantes do malware SprySOCKS, originalmente desenvolvido para Linux, sendo utilizadas em ataques direcionados a organizações governamentais em Taiwan, Tailândia, Paquistão e Honduras entre 2023 e 2024. O malware está associado ao grupo de ameaças chinês conhecido como Earth Lusca, que também é rastreado como FishMonger. As novas variantes para Windows, denominadas WIN_DRV e WIN_PLUS, apresentam capacidades avançadas de furtividade em nível de kernel, permitindo que os operadores ocultem artefatos de malware e se comuniquem com o backdoor através de tráfego redirecionado de portas TCP arbitrárias. O WIN_DRV inclui drivers de kernel para funcionalidades semelhantes a rootkits, enquanto o WIN_PLUS é uma versão mais simples. Ambas as variantes podem executar uma ampla gama de comandos, coletar informações do sistema e gerenciar arquivos. Além disso, a ESET observou indícios de um componente de bootkit UEFI que pode explorar uma vulnerabilidade conhecida como CVE-2023-24932. A descoberta dessas variantes indica que o Earth Lusca está ampliando seu arsenal para atingir uma variedade mais diversificada de sistemas, representando uma ameaça significativa para a segurança cibernética global.

O grupo de hackers patrocinado pelo Estado norte-coreano, conhecido como ScarCruft (ou APT37), foi identificado utilizando mensagens de spear-phishing que se disfarçam como notificações de segurança de contas da Microsoft para disseminar um malware chamado NarwhalRAT. Segundo o Genians Security Center (GSC), o e-mail malicioso simula um alerta de segurança, criando uma falsa preocupação sobre possíveis compromissos de conta e abuso de senhas de uso único (OTP), levando a vítima a abrir um anexo. Este anexo, na verdade, é um arquivo ZIP que contém um arquivo LNK malicioso. Ao ser executado, o arquivo LNK inicia uma cadeia de infecção em múltiplas etapas, baixando e instalando o NarwhalRAT, que é capaz de registrar teclas, capturar telas, gravar áudio ambiente e executar comandos de um servidor de comando e controle (C2). O malware se destaca por sua capacidade de se esconder em um diretório disfarçado, evitando a detecção. A infraestrutura de C2 utiliza sites coreanos e a API de armazenamento em nuvem pCloud, o que indica um nível avançado de sofisticação. Essa nova abordagem do ScarCruft representa uma evolução em suas táticas, marcando uma mudança significativa em relação ao RokRAT, um malware anteriormente associado ao grupo.

Pesquisadores de cibersegurança identificaram duas campanhas cibernéticas maliciosas associadas a um grupo de ameaças persistente da Coreia do Norte, conhecido como Contagious Interview. Segundo um relatório da Proofpoint, o grupo tem realizado campanhas de phishing direcionadas a quase 100 organizações em setores como finanças, criptomoedas, educação e tecnologia, utilizando temas de recrutamento de desenvolvedores. Os ataques, codificados como UNK_DeadDrop, começam com e-mails que contêm links para repositórios do GitHub controlados pelos atacantes, que hospedam scripts maliciosos. Esses scripts são projetados para executar malware em múltiplas plataformas, incluindo macOS, Linux e Windows, utilizando uma técnica que permite a execução automática de código malicioso ao abrir o Visual Studio Code. O objetivo principal das campanhas é roubar credenciais e dados de extensões de carteiras digitais. Além disso, foram descobertas extensões maliciosas no marketplace do VS Code que funcionam como backdoors sofisticados. As atividades do grupo indicam uma evolução nas operações de cibercrime da Coreia do Norte, com uma mudança de engenharia social ativa para campanhas de phishing em larga escala.

Uma campanha de espionagem atribuída ao grupo UNC6508, vinculado à China, comprometeu servidores expostos da plataforma REDCap, utilizada em pesquisas médicas e científicas. Os pesquisadores do Google Threat Intelligence Group (GTIG) identificaram que a invasão ocorreu em setembro de 2023 e se estendeu por mais de um ano, com a implementação do malware InfiniteRed, que foi projetado especificamente para sistemas REDCap. Este malware possui três componentes principais: um módulo de persistência, um coletor de credenciais e uma porta dos fundos. O coletor captura nomes de usuário e senhas, armazenando-os em tabelas de banco de dados locais. Além disso, os atacantes utilizaram uma técnica inovadora para exfiltrar dados, criando uma regra de conformidade de conteúdo que enviava informações sensíveis por e-mail. O GTIG recomenda que administradores do REDCap atualizem suas versões e implementem autenticação multifator (MFA) para proteger contas de alto privilégio. O incidente destaca a necessidade de vigilância constante e atualização de sistemas para evitar compromissos semelhantes.

Pesquisadores de cibersegurança identificaram uma rede de 152 extensões do Google Chrome que atuam como complementos de papel de parede para novas abas, com o objetivo de distribuir uma família de programas potencialmente indesejados (PUPs). Essas extensões, que foram instaladas mais de 105 mil vezes, estão associadas a 38 contas diferentes na Chrome Web Store e três domínios principais: tabplugins.com, yowgames.com e chromewallpaper.com. Apesar de declararem que não coletam dados dos usuários, as políticas de privacidade vinculadas afirmam o contrário, registrando endereços IP, contagens de cliques e compartilhando essas informações com parceiros de publicidade. Além disso, um subgrupo de extensões utiliza URLs codificadas em arquivos JavaScript para simular atividades de busca orgânica no Google, criando um tráfego falso que pode enganar sistemas de monitoramento. Essa operação é considerada uma fraude comercial motivada financeiramente, embora a origem exata ainda não tenha sido determinada, com indícios sugerindo que pode ter vindo da Turquia.

Recentemente, mais de 400 pacotes do Arch User Repository (AUR) foram comprometidos por atacantes que alteraram seus scripts de construção para instalar um malware projetado para roubar credenciais de desenvolvedores. O malware, um binário em Rust, coleta informações sensíveis, como cookies e tokens de autenticação de navegadores e aplicativos Electron. O ataque não explorou uma falha de software, mas sim o modelo de confiança do AUR, que manteve os nomes e históricos dos pacotes, enquanto apenas as instruções de construção foram alteradas. Os atacantes adotaram pacotes abandonados e enganaram a comunidade ao falsificar metadados de commits. A lista de pacotes afetados continua a crescer, e os usuários que instalaram ou atualizaram pacotes do AUR após 11 de junho devem verificar suas instalações. A remoção do pacote comprometido não é suficiente, pois o malware pode ter instalado um rootkit e um serviço persistente no sistema. A situação é crítica, e os administradores devem agir rapidamente para mitigar os riscos e proteger suas credenciais.

Mais de 400 pacotes no Arch User Repository (AUR) estão distribuindo um rootkit para Linux e malware infostealer que visam credenciais e tokens de acesso. Um novo mantenedor está se passando por um publicador confiável na plataforma AUR para inserir pacotes infectados. O AUR é um repositório mantido pela comunidade, essencial para usuários do Arch Linux, pois oferece versões atualizadas de software e utilitários não disponíveis nos repositórios oficiais. No entanto, por não ser um espaço verificado, ele pode ser explorado por agentes maliciosos. Os pacotes comprometidos contêm scripts que baixam e executam um pacote npm malicioso chamado atomic-lockfile, que possui capacidades de rootkit e é projetado para ambientes de desenvolvimento. Ele visa dados de aplicativos como Slack, Microsoft Teams, e credenciais do GitHub, além de permitir a exfiltração de informações sensíveis. A equipe de manutenção do AUR está trabalhando para remover os pacotes maliciosos e recomenda que os usuários verifiquem os pacotes afetados. É aconselhável que os usuários do Arch Linux revisem suas credenciais e considerem reinstalar o sistema caso encontrem pacotes comprometidos.