Malware

Um novo ataque de malware chamado GlassWorm, que utiliza extensões comprometidas do OpenVSX, está focado em roubar senhas, dados de carteiras de criptomoedas e credenciais de desenvolvedores em sistemas macOS. O ataque começou em outubro de 2023, quando um desenvolvedor legítimo teve sua conta acessada e atualizações maliciosas foram enviadas para quatro extensões, que já haviam sido baixadas 22.000 vezes. O malware se esconde usando caracteres Unicode invisíveis e permite acesso remoto via VNC e proxy SOCKS. A campanha, que afeta exclusivamente sistemas macOS, coleta dados de navegadores, aplicativos de carteira e informações do sistema, enviando tudo para a infraestrutura do atacante. A equipe de segurança da Socket notificou a Fundação Eclipse sobre as publicações não autorizadas, que foram removidas, exceto uma extensão que foi completamente eliminada. Embora as versões atuais das extensões estejam limpas, desenvolvedores que baixaram as versões maliciosas devem realizar uma limpeza completa do sistema e trocar todas as suas senhas.

Uma auditoria de segurança realizada pela Koi Security identificou 341 habilidades maliciosas em um total de 2.857 no ClawHub, um marketplace para usuários do assistente de inteligência artificial OpenClaw. A análise, que contou com a ajuda de um bot do OpenClaw, revelou que 335 dessas habilidades utilizam pré-requisitos falsos para instalar um malware chamado Atomic Stealer (AMOS), que rouba dados sensíveis de sistemas macOS e Windows. Os usuários são induzidos a baixar arquivos ou scripts que, uma vez executados, permitem que os atacantes capturem chaves de API, credenciais e outras informações confidenciais. As habilidades maliciosas se disfarçam como ferramentas de criptomoeda, utilitários do YouTube e atualizadores automáticos, entre outros. A Koi Security também observou que as habilidades compartilham a mesma infraestrutura de comando e controle, o que indica uma campanha coordenada. Em resposta, o criador do OpenClaw implementou uma nova funcionalidade de denúncia para que os usuários possam sinalizar habilidades suspeitas. Este incidente destaca os riscos associados a ecossistemas de código aberto, que continuam a ser explorados por atores maliciosos, especialmente em um contexto onde a popularidade do OpenClaw está crescendo rapidamente.

Um grupo de hackers vinculado à China, conhecido como Lotus Blossom, foi associado com confiança média ao recente comprometimento da infraestrutura que hospeda o Notepad++. A invasão permitiu que o grupo, patrocinado pelo estado, entregasse um backdoor inédito, codinome Chrysalis, aos usuários do editor de código aberto. Segundo a Rapid7, a falha ocorreu devido a um comprometimento no nível do provedor de hospedagem, que permitiu que os atacantes sequestrassem o tráfego de atualização a partir de junho de 2025, redirecionando solicitações de certos usuários para servidores maliciosos. A vulnerabilidade foi corrigida em dezembro de 2025 com o lançamento da versão 8.8.9 do Notepad++. A análise da Rapid7 não encontrou evidências de que o mecanismo de atualização foi explorado para distribuir malware, mas um processo suspeito foi identificado, que baixou um instalador malicioso. O Chrysalis é um implante sofisticado que coleta informações do sistema e se comunica com um servidor externo para receber comandos adicionais. O grupo Lotus Blossom demonstrou uma evolução em suas técnicas, utilizando ferramentas personalizadas e frameworks conhecidos como Metasploit e Cobalt Strike, o que indica uma adaptação contínua para evitar detecções.

Um novo alerta de cibersegurança destaca os riscos associados ao uso de softwares piratas e add-ons para jogos, especialmente entre crianças e adolescentes. O jogo Roblox, popular entre esse público, se tornou um alvo atrativo para ataques de malware, como infostealers. Esses malwares são frequentemente disseminados por meio de mods que prometem melhorar o desempenho do jogo, mas que, na verdade, podem roubar informações sensíveis do computador do usuário. Pesquisas indicam que mais de 40% das invasões cibernéticas são realizadas através de arquivos relacionados a jogos, sendo que muitos jovens desabilitam antivírus para instalar esses mods. O artigo enfatiza a importância da educação digital, alertando pais e responsáveis sobre os perigos de confiar em aplicativos de terceiros e a necessidade de manter medidas de segurança, como antivírus ativos. O uso de plataformas legítimas, como NexusMod, também pode apresentar riscos, pois mods não confiáveis podem ser facilmente ignorados pelos usuários. A coleta de dados pessoais, como senhas e credenciais, pode levar a golpes de engenharia social e ameaças financeiras significativas.

Pesquisadores da MacKeeper identificaram uma nova campanha de cibercriminosos que visa usuários de Mac, utilizando anúncios maliciosos no Google. Quando os usuários buscam por ’limpeza de Mac’, eles podem ser direcionados a uma página falsa que imita o site de suporte da Apple. Ao clicar no link, a vítima é induzida a executar um comando malicioso no Terminal do macOS, ofuscado em Base64. Esse comando instala um script remoto que permite o controle total do sistema pelos hackers. Em vez de realizar uma limpeza, o malware rouba dados sensíveis, extrai chaves SSH e até minera criptomoedas. Os anúncios maliciosos são veiculados por contas verificadas do Google, que parecem ter sido comprometidas. Essa situação representa um risco significativo para a segurança dos usuários de macOS, especialmente considerando a popularidade dos dispositivos Apple no Brasil.

A infraestrutura de atualização do eScan, um antivírus da MicroWorld Technologies, foi comprometida por atacantes desconhecidos, resultando na distribuição de malware em sistemas empresariais e de consumidores em todo o mundo. O ataque ocorreu em 20 de janeiro de 2026, quando uma atualização maliciosa foi enviada a clientes durante um intervalo de duas horas. A empresa isolou os servidores afetados e lançou um patch para reverter as alterações. O malware, identificado como ‘Reload.exe’, interfere na funcionalidade do eScan, impedindo a detecção de componentes maliciosos e bloqueando atualizações remotas. O arquivo malicioso modifica o arquivo HOSTS e utiliza técnicas para contornar a interface de varredura do Windows, permitindo a execução de scripts PowerShell que podem instalar mais malware. A análise da Kaspersky revelou que centenas de máquinas, principalmente na Índia e em países vizinhos, foram afetadas. Este incidente destaca a vulnerabilidade das soluções de segurança e a necessidade de vigilância constante em relação a ataques à cadeia de suprimentos.

O desenvolvedor do Notepad++, Don Ho, revelou que um ataque patrocinado por um Estado comprometeu o mecanismo de atualização do software, redirecionando o tráfego de atualizações para servidores maliciosos. A falha ocorreu em nível de infraestrutura, no provedor de hospedagem, e não por vulnerabilidades no código do Notepad++. O problema foi identificado após a versão 8.8.9 do software, que já havia corrigido um redirecionamento ocasional de tráfego para domínios maliciosos, resultando no download de executáveis comprometidos. Acredita-se que o ataque tenha sido altamente direcionado, afetando apenas usuários específicos, e começou em junho de 2025, antes de ser descoberto em janeiro de 2026. Pesquisadores de segurança independentes identificaram que atores de ameaças na China estavam explorando essa falha para enganar alvos e instalar malware. Em resposta, o site do Notepad++ foi migrado para um novo provedor de hospedagem, após o antigo ter sido comprometido até setembro de 2025, com credenciais mantidas até dezembro do mesmo ano.

Pesquisadores de cibersegurança relataram um ataque à cadeia de suprimentos que afetou o Open VSX Registry, onde atores maliciosos não identificados comprometeram recursos de um desenvolvedor legítimo para distribuir atualizações maliciosas. Em 30 de janeiro de 2026, quatro extensões do Open VSX, publicadas pelo autor oorzc, foram substituídas por versões maliciosas que incorporavam o carregador de malware GlassWorm. Essas extensões, que antes eram consideradas utilitários legítimos e acumulavam mais de 22.000 downloads, agora estão associadas a um malware que visa roubar credenciais do macOS e dados de carteiras de criptomoedas. O ataque envolveu a violação das credenciais de publicação do desenvolvedor, possivelmente através de um token vazado ou acesso não autorizado. As versões maliciosas foram removidas do Open VSX, mas o impacto potencial é significativo, especialmente para ambientes corporativos, pois expõe informações sensíveis de desenvolvedores e pode permitir movimentos laterais em redes corporativas. O malware utiliza técnicas sofisticadas para evitar detecção e é ativado apenas em máquinas que não estão localizadas na Rússia, uma estratégia observada em ataques anteriores relacionados a grupos de ameaças de língua russa.

O ‘Golpe da Mão Fantasma’ é um ataque cibernético que utiliza trojans de acesso remoto (RAT) para controlar dispositivos móveis à distância. Os hackers exploram vulnerabilidades no sistema operacional e na interação do usuário, frequentemente utilizando táticas de phishing e engenharia social para induzir a instalação de malwares. Esses RATs não danificam arquivos, mas criam uma backdoor que permite ao invasor visualizar a tela do dispositivo, simular toques e interceptar mensagens SMS, comprometendo a segurança financeira da vítima. Um método comum de infecção é o phishing, onde mensagens enganosas levam o usuário a clicar em links maliciosos. Para se proteger, é crucial realizar auditorias de acessibilidade nos dispositivos, desativar permissões suspeitas e evitar a instalação de aplicativos de fontes desconhecidas. Caso o celular comece a agir de forma estranha, recomenda-se desconectá-lo da internet e contatar o banco imediatamente. Embora iPhones tenham medidas de segurança mais rigorosas, ainda estão suscetíveis a esse tipo de golpe. A melhor defesa continua sendo a cautela e o ceticismo em relação a ofertas e mensagens recebidas.

Recentemente, hackers utilizaram a plataforma Hugging Face para distribuir malware direcionado a dispositivos Android, disfarçado como um aplicativo antivírus chamado TrustBastion. Este aplicativo, ao ser instalado, informa ao usuário que seu dispositivo está infectado e solicita uma atualização, momento em que o código malicioso é efetivamente instalado. O TrustBastion conecta-se a um servidor de terceiros que redireciona para um repositório na Hugging Face, onde o APK malicioso é hospedado. O malware é capaz de capturar capturas de tela, exibir interfaces falsas de login para serviços de pagamento e roubar códigos de bloqueio, enviando todas as informações coletadas para servidores controlados pelos atacantes. Apesar da rápida identificação e remoção do aplicativo, novos repositórios surgiram, indicando a persistência da ameaça. Especialistas recomendam que os usuários baixem aplicativos apenas de fontes confiáveis, como a Google Play Store, e que verifiquem as avaliações e o número de downloads antes de instalar qualquer aplicativo.

Pesquisadores de cibersegurança da Cisco Talos identificaram uma nova campanha de ciberespionagem atribuída ao ator de ameaças UAT-8099, vinculado à China, que ocorreu entre o final de 2025 e o início de 2026. A campanha tem como alvo servidores vulneráveis do Internet Information Services (IIS) na Ásia, com foco específico em Tailândia e Vietnã. O grupo utiliza shells web e PowerShell para executar scripts e implantar a ferramenta GotoHTTP, permitindo acesso remoto aos servidores comprometidos.

Pesquisadores de cibersegurança descobriram extensões maliciosas do Google Chrome que têm a capacidade de sequestrar links de afiliados, roubar dados e coletar tokens de autenticação do OpenAI ChatGPT. Uma das extensões, chamada Amazon Ads Blocker, foi publicada na Chrome Web Store por um desenvolvedor identificado como ‘10Xprofit’ e promete bloquear anúncios na Amazon. No entanto, sua verdadeira função é injetar um código de afiliado do desenvolvedor em todos os links de produtos da Amazon, substituindo os códigos de afiliados de criadores de conteúdo. Essa prática prejudica os criadores que perdem comissões quando os usuários clicam em links alterados. Além disso, a extensão faz parte de um grupo maior de 29 complementos que visam várias plataformas de e-commerce, como AliExpress e Walmart. As extensões também foram encontradas coletando dados de produtos e enviando-os para um servidor remoto. A situação é agravada por outras extensões que roubam tokens de autenticação do ChatGPT, totalizando cerca de 900 downloads. A pesquisa destaca a necessidade de cautela ao instalar extensões, mesmo aquelas de fontes aparentemente confiáveis.

Uma nova campanha de malware para Android está utilizando a plataforma Hugging Face como repositório para milhares de variações de um payload APK que coleta credenciais de serviços financeiros e de pagamento populares. A campanha, descoberta pela empresa romena de cibersegurança Bitdefender, começa com a instalação de um aplicativo dropper chamado TrustBastion, que engana os usuários com anúncios alarmantes, alegando que seus dispositivos estão infectados. O aplicativo malicioso se disfarça como uma ferramenta de segurança, prometendo detectar ameaças como fraudes e malware.

O artigo destaca o crescente problema de infostealers, um tipo de malware que se infiltra em dispositivos através de downloads de mods e cheats de jogos, como Roblox e Minecraft. Muitas vezes, as crianças, em busca de melhorar a performance de seus jogos, baixam arquivos aparentemente inofensivos que, na verdade, contêm malware. Esse infostealer pode roubar dados sensíveis, como senhas de navegadores, tokens de autenticação e credenciais de VPN, comprometendo não apenas a segurança pessoal, mas também a segurança corporativa quando esses dispositivos são usados para acessar redes de trabalho. A pesquisa revela que mais de 40% das infecções por infostealers estão relacionadas a arquivos de jogos. O comportamento dos jovens gamers, que frequentemente desativam antivírus e confiam em links de terceiros, torna-os alvos ideais para esses ataques. O artigo alerta que a infecção pode ocorrer em casa, mas as consequências podem ser sentidas nas empresas, uma vez que as credenciais corporativas podem ser acessadas através de dispositivos infectados. Portanto, é crucial que pais e empresas estejam cientes desse risco e adotem medidas de proteção adequadas.

Recentemente, o Google Threat Intelligence Group (GTIG), em colaboração com parceiros da indústria, desmantelou a IPIDEA, uma das maiores redes de proxies residenciais utilizadas por cibercriminosos. A operação incluiu a remoção de domínios associados aos serviços da IPIDEA, que afirmava oferecer serviços de VPN para 6,7 milhões de usuários em todo o mundo. A rede utilizava endereços IP de usuários residenciais e pequenas empresas, comprometendo dispositivos através de aplicativos maliciosos. O Google revelou que mais de 550 grupos de ameaças, incluindo atores de países como China, Irã, Rússia e Coreia do Norte, utilizaram os nós de saída da IPIDEA em uma única semana. As atividades maliciosas observadas incluíram acesso a plataformas SaaS, controle de botnets e ataques de força bruta. A infraestrutura da IPIDEA era composta por cerca de 7.400 servidores que gerenciavam tarefas de proxy. Embora a ação do GTIG tenha impactado significativamente as operações da IPIDEA, os operadores podem tentar reconstruir sua infraestrutura. O Google recomenda cautela ao usar aplicativos que oferecem serviços de VPN gratuitos ou que pagam por largura de banda, especialmente aqueles de desenvolvedores não confiáveis.

Pesquisadores da LayerX Security identificaram 16 extensões de navegador maliciosas que se disfarçam como ferramentas de produtividade para o ChatGPT, mas que têm como objetivo roubar informações e credenciais dos usuários. Essas extensões não atacam diretamente o chatbot, mas aproveitam-se do login do usuário para capturar suas credenciais. Todas as extensões foram criadas pelo mesmo autor, que as publicou em plataformas como a Chrome Web Store, onde uma delas chegou a receber o selo ‘Em Destaque’, conferindo-lhe uma aparência de legitimidade. Apesar de terem sido baixadas apenas cerca de 900 vezes, a preocupação reside na confiança que os usuários depositam em ferramentas desse tipo. Os hackers utilizam tokens de sessão, que são chaves temporárias que permitem ao navegador reconhecer um usuário logado, para se passar por eles e acessar dados sensíveis, incluindo conversas com o chatbot e informações corporativas em plataformas como Slack e Google Drive. Os pesquisadores alertam para a necessidade de tratar qualquer extensão relacionada a IA como um aplicativo de alto risco e recomendam a remoção de ferramentas não reconhecidas.

Um novo serviço de malware, operado por hackers russos sob o pseudônimo ‘Stenli’, está comercializando uma extensão falsa do Google Chrome com o objetivo de roubar informações sensíveis dos usuários. Este malware é projetado para enganar as vítimas, falsificando sites legítimos e coletando dados confidenciais, como informações bancárias. A extensão maliciosa consegue burlar o sistema de moderação da Chrome Web Store, permitindo que ela seja instalada diretamente no navegador. O preço para adquirir essa ferramenta varia entre US$ 2 mil e US$ 6 mil. A análise da Varonis revelou que a extensão utiliza um iframe para sobrepor sites legítimos com conteúdo de phishing, enquanto mantém o endereço original visível, aumentando a credibilidade do golpe. Além disso, a extensão pode enviar notificações push que parecem vir do próprio Chrome, o que dificulta a identificação do ataque. Especialistas alertam que os usuários devem verificar regularmente as extensões instaladas e estar atentos às permissões solicitadas por elas, a fim de evitar serem vítimas desse tipo de golpe.

Pesquisadores da Doctor Web identificaram uma nova ameaça de malware chamada Phantom, que afeta dispositivos Android através de jogos e aplicativos modificados. O malware, que se disfarça como aplicativos legítimos, transforma os celulares em ferramentas de fraude publicitária, clicando em anúncios sem o consentimento do usuário. Os primeiros sinais de infecção surgiram em setembro de 2025, quando jogos populares como ‘Creation Magic World’ e ‘Cute Pet House’ começaram a apresentar comportamentos suspeitos. O Phantom opera em dois modos: um que utiliza um navegador oculto para interagir com anúncios e outro que permite acesso remoto à tela do dispositivo infectado. Essa invasão é difícil de detectar, pois os aplicativos continuam funcionando normalmente. A Doctor Web alerta que a instalação de aplicativos fora das lojas oficiais aumenta o risco de infecção, recomendando cautela ao baixar APKs de fontes não confiáveis.

A MicroWorld Technologies, fabricante do antivírus eScan, confirmou que um de seus servidores de atualização foi comprometido, resultando na distribuição de um arquivo malicioso para um pequeno grupo de clientes em 20 de janeiro de 2026. O ataque ocorreu durante uma janela de duas horas, afetando apenas aqueles que baixaram atualizações de um cluster regional específico. A empresa isolou e reconstruiu a infraestrutura afetada, rotacionou credenciais de autenticação e disponibilizou remediações para os clientes impactados. A empresa de segurança Morphisec publicou um relatório técnico associando a atividade maliciosa observada em endpoints de clientes às atualizações entregues durante o mesmo período. O arquivo malicioso, uma versão modificada do componente de atualização ‘Reload.exe’, foi assinado com um certificado de assinatura de código do eScan, mas a assinatura foi considerada inválida. O malware implantado permitiu a persistência, execução de comandos e modificação do arquivo HOSTS do Windows, impedindo atualizações remotas. A MicroWorld Technologies enfatizou que o incidente não envolveu uma vulnerabilidade no produto eScan em si, e que apenas os clientes que atualizaram a partir do cluster afetado foram impactados. A empresa recomenda que os clientes bloqueiem os servidores de comando e controle identificados para aumentar a segurança.

Pesquisadores de cibersegurança alertaram sobre uma nova extensão maliciosa do Microsoft Visual Studio Code (VS Code) chamada “ClawdBot Agent - AI Coding Assistant”. Publicada em 27 de janeiro de 2026, a extensão se disfarça como um assistente de codificação baseado em inteligência artificial, mas na verdade instala um payload malicioso nos sistemas dos usuários. A extensão foi rapidamente removida pela Microsoft após a identificação do problema.

O malware, vinculado ao projeto Moltbot, permite que atacantes obtenham acesso remoto persistente aos dispositivos comprometidos. Ao ser instalada, a extensão executa automaticamente um arquivo que baixa um programa legítimo de acesso remoto, o ConnectWise ScreenConnect, permitindo que os invasores controlem o sistema da vítima. Além disso, a extensão possui mecanismos de fallback que garantem a entrega do payload mesmo se a infraestrutura de comando e controle for desativada.

Uma pesquisa da ISH Tecnologia revelou que o WinRAR, uma ferramenta amplamente utilizada para compressão de arquivos, está sendo explorada por hackers para distribuir malwares, como infostealers e trojans, que visam roubar credenciais e realizar fraudes bancárias. Os criminosos disfarçam esses malwares como arquivos comuns, como currículos e documentos corporativos, o que aumenta o risco de infecção. Além disso, grupos estatais de espionagem digital, como o russo Sandworm e o chinês APT40, também estão utilizando essas vulnerabilidades para infiltração e roubo de dados em setores críticos, como energia e defesa. A ISH recomenda que os usuários atualizem o WinRAR ou considerem a substituição por alternativas que ofereçam atualizações automáticas. É importante também evitar abrir anexos suspeitos e monitorar atividades estranhas após a extração de arquivos. A falta de um sistema de atualização automática no WinRAR pode expor usuários a riscos sérios, mesmo após a liberação de correções para vulnerabilidades.

Um grupo de cibercriminosos com vínculos à China, conhecido como Mustang Panda, tem utilizado uma versão atualizada de um backdoor chamado COOLCLIENT em ataques de espionagem cibernética. Esses ataques, que ocorreram em 2025, visaram principalmente entidades governamentais em países como Mianmar, Mongólia, Malásia e Rússia, resultando em um roubo abrangente de dados de endpoints infectados. O malware é frequentemente implantado como um backdoor secundário, em conjunto com outras infecções como PlugX e LuminousMoth. O COOLCLIENT é entregue por meio de arquivos carregadores criptografados e utiliza técnicas de DLL side-loading, o que exige um executável legítimo para carregar a DLL maliciosa. O malware é capaz de coletar informações do sistema e do usuário, como pressionamentos de tecla, conteúdos da área de transferência e credenciais de proxy HTTP. Além disso, o grupo tem explorado softwares legítimos para facilitar suas operações, incluindo produtos da Sangfor. As campanhas de Mustang Panda também incluem o uso de programas de roubo de credenciais para navegadores populares, ampliando suas atividades de pós-exploração. Com capacidades que vão além da simples espionagem, como monitoramento ativo de usuários, os ataques representam uma ameaça significativa para a segurança cibernética.

O grupo de espionagem Mustang Panda, vinculado à China, atualizou sua backdoor CoolClient, que agora possui novas funcionalidades, como roubo de dados de login de navegadores e monitoramento da área de transferência. Pesquisadores da Kaspersky identificaram que a nova variante do malware foi usada em ataques direcionados a entidades governamentais em países como Mianmar, Mongólia, Malásia, Rússia e Paquistão, sendo implantada através de softwares legítimos da empresa chinesa Sangfor. A CoolClient, que opera desde 2022, é utilizada como uma backdoor secundária em conjunto com outras ferramentas como PlugX e LuminousMoth. A nova versão do malware apresenta um módulo de monitoramento da área de transferência, rastreamento de títulos de janelas ativas e coleta de credenciais de proxy HTTP. Além disso, a CoolClient agora pode implantar infostealers para coletar dados de login de navegadores, utilizando tokens de API de serviços legítimos para evitar detecções. A evolução das capacidades do Mustang Panda destaca a necessidade de atenção redobrada por parte das equipes de segurança, especialmente em um cenário onde a infraestrutura crítica pode ser alvo de ataques.

Uma nova acusação de um grande júri federal em Nebraska resultou na imputação de 31 indivíduos por envolvimento em uma operação de jackpotting em caixas eletrônicos, supostamente orquestrada pela gangue venezuelana Tren de Aragua. As acusações se seguem a duas outras denúncias anteriores, que totalizam 87 membros da gangue processados nos últimos seis meses. Os réus são acusados de usar malware Ploutus para roubar milhões de dólares de caixas eletrônicos em todo os Estados Unidos. O malware foi instalado em caixas eletrônicos após a abertura de suas carcaças, permitindo que os criminosos eliminassem evidências e forçassem os dispositivos a liberar dinheiro. A gangue, que evoluiu de uma organização criminosa local para uma designada como organização terrorista estrangeira pelo Departamento do Tesouro dos EUA, representa uma ameaça significativa à segurança financeira. Se condenados, os réus enfrentam penas de prisão que variam de 20 a 335 anos. O caso destaca a crescente complexidade e sofisticação das ameaças cibernéticas, exigindo atenção redobrada das instituições financeiras e autoridades de segurança.

Cerca de 1,5 milhão de usuários do Visual Studio Code (VSCode) podem ter sido impactados por duas extensões maliciosas que se apresentavam como assistentes de inteligência artificial. Pesquisadores da Koi Security identificaram que essas extensões, chamadas ‘ChatGPT – 中文版’ e ‘ChatMoss (CodeMoss)’, foram criadas por hackers chineses e têm como objetivo roubar dados sensíveis, como senhas e informações de criptomoedas. Apesar de oferecerem funcionalidades legítimas, as extensões enviam dados para um servidor malicioso na China sem o conhecimento dos usuários. O ataque é parte de uma campanha denominada ‘MaliciousCorgi’, que utiliza três métodos distintos para exfiltrar informações: monitoramento em tempo real dos arquivos abertos, captura silenciosa de até 50 arquivos e um iframe invisível que rastreia o comportamento do usuário. A Microsoft está ciente do problema e está avaliando a situação, mas as extensões ainda estão disponíveis para download no marketplace do VSCode. Este incidente destaca a necessidade de vigilância constante em relação a ferramentas de desenvolvimento amplamente utilizadas e a importância de verificar a origem das extensões instaladas.

Uma nova campanha de cibersegurança, identificada por pesquisadores da BlackPoint, utiliza um ataque conhecido como ClickFix para explorar scripts do Microsoft Application Virtualization (App-V) e distribuir malware. Os hackers, supostamente norte-coreanos, implementam um CAPTCHA falso que induz a vítima a executar um comando malicioso via PowerShell, resultando na instalação de um infostealer chamado ‘Amatera’. Este malware é projetado para coletar informações sensíveis do usuário, incluindo dados do navegador. A operação é alarmante devido à evolução contínua do Amatera, que se torna mais sofisticado com cada atualização. O ataque começa com uma falsa verificação de CAPTCHA, que instrui o usuário a colar e executar um comando que ativa um script legítimo do App-V, camuflando a atividade maliciosa. Após a execução, o malware se conecta a um arquivo do Google Agenda para recuperar dados codificados e inicia um processo oculto que carrega o infostealer diretamente na memória do dispositivo. Especialistas recomendam que os usuários restrinjam o acesso à função ‘Executar’ do Windows e removam componentes do App-V quando não forem necessários, a fim de mitigar os riscos associados a essa ameaça.

Pesquisadores de cibersegurança identificaram um framework de comando e controle (C2) chamado PeckBirdy, utilizado por atores de APT alinhados à China desde 2023. Este framework, baseado em JScript, tem como alvo indústrias de jogos na China e entidades governamentais na Ásia. A Trend Micro relatou que o PeckBirdy é implementado através de LOLBins (living-off-the-land binaries), permitindo sua execução em diversos ambientes. O objetivo principal é enganar usuários com páginas falsas de atualização do Google Chrome, levando-os a baixar arquivos maliciosos. O grupo de ataques SHADOW-VOID-044, que utiliza o PeckBirdy, foi responsável pela injeção de scripts maliciosos em sites de jogos. Além disso, o SHADOW-EARTH-045, que começou em julho de 2024, visou instituições governamentais e privadas, incluindo uma escola nas Filipinas, injetando links do PeckBirdy em páginas de login. O framework é notável por sua flexibilidade, permitindo a execução em diferentes ambientes e a comunicação com servidores via WebSocket. Os pesquisadores também identificaram backdoors associados, como HOLODONUT e MKDOOR, que ampliam as capacidades de ataque. A detecção de frameworks JavaScript maliciosos como o PeckBirdy é desafiadora devido à sua natureza dinâmica e à falta de artefatos persistentes.

Pesquisadores de cibersegurança revelaram uma nova campanha que combina CAPTCHAs falsos com um script assinado da Microsoft para distribuir um ladrão de informações chamado Amatera. O ataque começa com um prompt de verificação CAPTCHA falso que engana os usuários a colar e executar um comando malicioso no diálogo de execução do Windows. Em vez de invocar o PowerShell diretamente, o atacante utiliza o script ‘SyncAppvPublishingServer.vbs’, associado ao Microsoft Application Virtualization (App-V), para executar um carregador na memória a partir de um servidor externo. Essa técnica, que já foi observada em ataques anteriores, é usada para contornar restrições de execução do PowerShell, tornando a detecção mais difícil. O script malicioso busca dados de configuração em um arquivo de calendário público do Google, permitindo que o atacante ajuste rapidamente a infraestrutura sem precisar redistribuir as etapas anteriores do ataque. A campanha, que tem como alvo principalmente sistemas gerenciados por empresas, destaca a evolução das técnicas de engenharia social, como o ClickFix, que se tornou uma das principais formas de acesso inicial em ataques recentes. Com 47% dos ataques observados pela Microsoft utilizando essa técnica, a necessidade de vigilância e defesa eficaz se torna ainda mais crítica para as organizações.

Um novo malware como serviço (MaaS) chamado ‘Stanley’ foi identificado, oferecendo extensões maliciosas para o navegador Chrome que conseguem passar pelo processo de revisão da Chrome Web Store. Desenvolvido por um vendedor que utiliza o pseudônimo Stanley, o serviço permite a realização de ataques de phishing ao sobrepor uma página da web com um iframe em tela cheia, exibindo conteúdo malicioso. Além disso, o Stanley promete instalação silenciosa em navegadores como Chrome, Edge e Brave, e oferece suporte para personalizações. O serviço possui diferentes planos de assinatura, sendo o mais caro o Luxe Plan, que inclui um painel web e suporte completo para publicação das extensões maliciosas. A pesquisa da Varonis destaca que o malware realiza polling de comando e controle a cada 10 segundos e pode rotacionar domínios para evitar desativação. Apesar de sua simplicidade técnica, o modelo de distribuição do Stanley é preocupante, pois permite que extensões maliciosas sejam disponibilizadas em uma das maiores plataformas de complementos de navegador. Especialistas recomendam que os usuários instalem apenas extensões necessárias e verifiquem a confiabilidade dos editores.

Uma nova campanha de cibersegurança combina o método ClickFix com um CAPTCHA falso e um script assinado do Microsoft Application Virtualization (App-V) para entregar o malware infostealer Amatera. O script do App-V atua como um binário de ’living-off-the-land’, disfarçando a atividade maliciosa ao usar um componente confiável da Microsoft. A campanha inicia-se com um CAPTCHA que solicita que a vítima cole e execute um comando no Windows Run. Esse comando abusa do script legítimo SyncAppvPublishingServer.vbs, que normalmente é utilizado para gerenciar aplicações virtualizadas. O malware, uma versão em desenvolvimento do ACR infostealer, coleta dados de navegadores e credenciais. Durante a execução, ele verifica se está sendo analisado em um ambiente seguro, utilizando técnicas como espera infinita para evitar detecções. O ataque também utiliza esteganografia para ocultar cargas úteis em imagens PNG, que são extraídas e executadas em memória. Para se proteger contra esses ataques, recomenda-se restringir o acesso ao Windows Run, remover componentes do App-V desnecessários e monitorar conexões de saída. A Amatera é classificada como um malware como serviço (MaaS), tornando-se uma ameaça crescente no cenário de segurança cibernética.

Pesquisadores de cibersegurança descobriram duas extensões maliciosas do Microsoft Visual Studio Code (VS Code) que se apresentam como assistentes de codificação baseados em inteligência artificial, mas que possuem funcionalidades ocultas para roubar dados de desenvolvedores e enviá-los a servidores na China. As extensões, que somam 1,5 milhão de instalações, são ‘ChatGPT - 中文版’ e ‘ChatGPT - ChatMoss（CodeMoss）’. Ambas capturam arquivos abertos e modificações de código, enviando essas informações sem o consentimento dos usuários. O código malicioso é projetado para ler o conteúdo de cada arquivo aberto, codificá-lo em formato Base64 e transmiti-lo para um servidor específico. Além disso, as extensões incluem um recurso de monitoramento em tempo real que pode ser ativado remotamente, permitindo a exfiltração de até 50 arquivos de uma vez. A descoberta foi feita pela Koi Security, que também identificou vulnerabilidades em gerenciadores de pacotes JavaScript que podem ser exploradas para contornar controles de segurança. A situação é alarmante, pois as extensões funcionam como prometido, o que reduz a desconfiança dos usuários. A Microsoft e GitHub foram alertadas sobre as falhas e a necessidade de ações corretivas para proteger a cadeia de suprimentos de software.

Pesquisadores de cibersegurança identificaram uma campanha em andamento que visa usuários indianos, utilizando um backdoor em múltiplas etapas como parte de uma suspeita de espionagem cibernética. Segundo a eSentire Threat Response Unit (TRU), os atacantes estão enviando e-mails de phishing que se disfarçam como notificações do Departamento de Imposto de Renda da Índia, induzindo as vítimas a baixar um arquivo ZIP malicioso. Este arquivo contém um executável que, ao ser executado, instala um trojan bancário conhecido como Blackmoon e uma ferramenta legítima chamada SyncFuture TSM, que foi reconfigurada para fins de espionagem.

Hackers do grupo Konni, da Coreia do Norte, estão utilizando ferramentas de inteligência artificial para criar e espalhar um malware em PowerShell, visando roubar informações de equipes de engenharia de blockchain. A campanha de spear-phishing, iniciada em janeiro de 2026, tem se concentrado em países como Japão, Austrália e Índia. Os ataques se disfarçam como alertas financeiros, levando as vítimas a baixar arquivos ZIP que contêm um atalho do Windows disfarçado de documento PDF. Esse atalho executa um script AutoIt que instala o trojan EndRAT, que, por sua vez, ativa um loader do PowerShell para extrair documentos do Microsoft Word, distraindo a vítima enquanto um backdoor é instalado. Este backdoor permite que os hackers elevem seus privilégios no sistema e se comuniquem com um servidor C2 criptografado, enviando metadados do usuário. O uso de IA para gerar o malware indica uma evolução nas técnicas de ataque, permitindo uma automação maior e uma padronização do código malicioso, o que pode aumentar a eficácia dos ataques.

Pesquisadores de segurança da Anchore alertaram sobre uma nova campanha de hackers que invadem aplicativos inativos do Linux, especificamente os pacotes Snap, para roubar criptomoedas. Os atacantes se aproveitam de aplicativos dormentes na Snap Store Canonical, que não recebem mais atualizações e têm seus domínios expirados. Ao adquirir esses domínios, os cibercriminosos redefinem senhas e atualizam o código dos aplicativos para incluir malware. Essa técnica tem sido utilizada principalmente em aplicativos de carteira de criptomoeda, como Exodus, Ledger Live e Trust Wallet, resultando em perdas financeiras significativas que variam de R$ 50 mil a R$ 2,5 milhões. O grupo responsável pelos ataques ainda não foi identificado, mas há indícios de que opere na Croácia. A Canonical está ciente do problema e trabalha para remover os snaps maliciosos, embora novos apareçam rapidamente. Os usuários são aconselhados a ter cautela ao baixar softwares relacionados a criptomoedas, especialmente carteiras.

O grupo de ameaças cibernéticas norte-coreano conhecido como Konni tem sido observado utilizando malware PowerShell gerado por ferramentas de inteligência artificial (IA) para atacar desenvolvedores e equipes de engenharia no setor de blockchain. A campanha de phishing, que se expandiu para além da Coreia do Sul, agora mira países como Japão, Austrália e Índia. Konni, ativo desde 2014, é conhecido por suas táticas de engenharia social, como o uso de e-mails de spear-phishing que disfarçam links maliciosos como URLs de publicidade legítimas. Recentemente, a campanha denominada Operação Poseidon tem se concentrado em imitar organizações de direitos humanos e instituições financeiras sul-coreanas. Os ataques utilizam sites WordPress mal configurados para distribuir malware e infraestrutura de comando e controle. O malware, chamado EndRAT, é entregue através de arquivos ZIP que contêm atalhos do Windows projetados para executar scripts maliciosos. A análise sugere que a estrutura modular do backdoor PowerShell pode ter sido criada com a ajuda de ferramentas de IA, indicando uma evolução nas táticas do grupo, que agora busca comprometer ambientes de desenvolvimento para acesso mais amplo a projetos e serviços.

O grupo de hackers norte-coreano Konni (também conhecido como Opal Sleet ou TA406) está utilizando malware PowerShell gerado por inteligência artificial para atacar desenvolvedores e engenheiros no setor de blockchain. Ativo desde 2014, o grupo é associado a atividades de APT37 e Kimsuky, e tem como alvo organizações na Coreia do Sul, Rússia, Ucrânia e diversos países da Europa. A mais recente campanha do grupo foca na região da Ásia-Pacífico, com amostras de malware enviadas de países como Japão, Austrália e Índia.

Dois cidadãos venezuelanos, Luz Granados e Johan Gonzalez-Jimenez, foram condenados por um esquema de jackpotting que resultou no roubo de centenas de milhares de dólares de bancos nos Estados Unidos. Eles se declararam culpados de conspiração e crimes cibernéticos, utilizando laptops para instalar malware em caixas eletrônicos (ATMs) mais antigos, o que permitiu que os dispositivos dispensassem todo o dinheiro disponível. O golpe afetou instituições financeiras em estados como Carolina do Sul, Geórgia, Carolina do Norte e Virgínia. O Departamento de Justiça dos EUA informou que os criminosos abordavam os ATMs à noite, removendo a carcaça externa e conectando um computador para instalar o malware, que burlava os protocolos de segurança. Gonzalez-Jimenez foi sentenciado a 18 meses de prisão e deve pagar uma restituição de mais de 285 mil dólares, enquanto Granados aguarda deportação após cumprir pena. A investigação também levou a indiciamentos de 54 indivíduos em um esquema relacionado em Nebraska, incluindo uma líder de gangue venezuelana. O uso de variantes de malware, como o Ploutus, foi destacado, evidenciando a sofisticação dos ataques, que incluíam a remoção do disco rígido do ATM para instalação direta do malware.

Um novo tipo de malware para dispositivos Android está utilizando inteligência artificial (IA) para contornar sistemas de segurança convencionais. De acordo com informações do Tech Radar, cibercriminosos estão empregando a plataforma de machine learning TensorFlow, desenvolvida pelo Google, para distribuir trojans através de anúncios maliciosos. A técnica envolve a criação de aplicativos falsos que são disseminados principalmente pela loja GetApps da Xiaomi, além de outros canais como redes sociais e Telegram.

Um novo pacote malicioso, identificado como sympy-dev, foi descoberto no Python Package Index (PyPI) e se disfarça como uma versão de desenvolvimento da popular biblioteca de matemática simbólica, SymPy. Desde sua publicação em 17 de janeiro de 2026, o pacote já foi baixado mais de 1.100 vezes, sugerindo que alguns desenvolvedores podem ter sido enganados. O pacote modificado atua como um downloader para um minerador de criptomoedas XMRig, ativando seu comportamento malicioso apenas quando certas funções polinomiais são chamadas, o que ajuda a evitar a detecção. O pesquisador de segurança Kirill Boychenko explicou que, ao serem invocadas, essas funções alteradas recuperam uma configuração JSON remota e baixam um payload ELF controlado por um ator de ameaça. Este método visa minimizar os artefatos deixados em disco, utilizando técnicas como memfd_create e /proc/self/fd. O objetivo final é minerar criptomoedas em sistemas Linux, utilizando configurações que priorizam mineração por CPU e desativam backends de GPU. A presença contínua do pacote no PyPI representa um risco significativo para desenvolvedores que podem não estar cientes da ameaça.

Nesta semana, as ameaças cibernéticas destacaram-se pela utilização de sistemas comuns que, embora funcionem conforme o esperado, foram manipulados por atacantes. As campanhas de phishing, como a ‘Operação Nomad Leopard’, visam entidades governamentais no Afeganistão, utilizando documentos administrativos falsos para distribuir um backdoor chamado FALSECUB. Além disso, grupos hacktivistas alinhados à Rússia estão realizando ataques de negação de serviço (DoS) contra a infraestrutura crítica do Reino Unido. Outra técnica alarmante é o uso de side-loading de DLLs, onde aplicativos confiáveis são explorados para carregar códigos maliciosos. Pesquisadores também relataram campanhas de malware disfarçadas de ferramentas de conversão de arquivos, que instalam trojans de acesso remoto (RATs) em sistemas de usuários desavisados. A nova legislação da Comissão Europeia visa fortalecer a segurança cibernética na cadeia de suprimentos de tecnologia, exigindo a remoção de fornecedores de alto risco. Essas tendências revelam uma mudança significativa na forma como os atacantes operam, enfatizando a importância da vigilância e da confiança nas ferramentas utilizadas pelas organizações.

Uma nova família de trojans de cliques para Android está utilizando modelos de aprendizado de máquina do TensorFlow para detectar e interagir automaticamente com elementos publicitários específicos. Ao contrário dos trojans tradicionais que dependem de rotinas de clique em JavaScript, essa nova abordagem realiza uma análise visual baseada em aprendizado de máquina. Os pesquisadores da Dr.Web identificaram que esses malwares estão sendo distribuídos através da loja oficial GetApps de dispositivos Xiaomi, operando em um modo chamado ‘fantasma’, que utiliza um navegador oculto para carregar páginas de anúncios e scripts JavaScript que automatizam ações sobre os anúncios exibidos. Além disso, um segundo modo, denominado ‘sinalização’, permite que os atacantes transmitam um feed de vídeo ao vivo da tela do navegador virtual, possibilitando ações em tempo real. Os trojans são frequentemente incorporados em jogos inicialmente benignos, recebendo funcionalidades maliciosas em atualizações subsequentes. Os pesquisadores alertam que a instalação de aplicativos fora do Google Play, especialmente versões modificadas de aplicativos populares, deve ser evitada, pois isso aumenta o risco de infecção. Embora a fraude de cliques não represente uma ameaça imediata à privacidade dos usuários, ela pode resultar em drenagem da bateria e custos adicionais de dados móveis.

Pesquisadores da Check Point Research (CPR) identificaram um novo malware chamado VoidLink, que opera em ambientes Linux e foi desenvolvido quase que inteiramente com o auxílio de inteligência artificial (IA). O malware possui uma estrutura complexa, incluindo loaders, módulos de rootkit e uma variedade de plugins. A criação do VoidLink foi realizada em apenas uma semana, utilizando a TRAE SOLO, um assistente de IA que ajudou o desenvolvedor a gerar um código-fonte de 88.000 linhas. Embora o hacker não tenha conseguido ocultar completamente suas atividades, falhas em sua implementação permitiram que os pesquisadores acessassem o código e a documentação do projeto. O VoidLink é considerado o primeiro exemplo documentado de um malware avançado gerado por IA, o que levanta preocupações sobre a capacidade de indivíduos com conhecimentos técnicos limitados de criar ameaças cibernéticas sofisticadas. Essa nova era de desenvolvimento de malware pode alterar significativamente o cenário da cibersegurança, tornando mais fácil para cibercriminosos desenvolverem ferramentas complexas sem a necessidade de grandes equipes de desenvolvimento.

Especialistas da Jamf Threat Labs identificaram uma nova campanha de hackers norte-coreanos, chamada Contagious Interview, que visa programadores através de ofertas de emprego atrativas. Os atacantes direcionam as vítimas a repositórios no GitHub, GitLab ou BitBucket, onde projetos maliciosos são apresentados. Ao abrir esses projetos no Microsoft Visual Studio Code (VS Code), os usuários ativam uma backdoor que permite acesso contínuo aos seus computadores. Essa técnica utiliza arquivos de configuração de tarefas do VS Code para executar códigos maliciosos, como os malwares BeaverTail e InvisibleFerret, sempre que um arquivo da pasta do projeto é aberto. Os hackers têm como alvo principal engenheiros de software que trabalham com criptomoedas e fintechs, buscando acesso a bens financeiros e carteiras digitais. A evolução rápida dos malwares e a utilização de métodos sofisticados de infecção tornam esses ataques ainda mais perigosos, dificultando a detecção por antivírus e outras medidas de segurança. A Jamf alerta que a confiança concedida ao autor do repositório facilita a execução do código malicioso, representando uma ameaça significativa para a segurança digital dos programadores.

Uma nova campanha de espionagem cibernética, conhecida como Contagious Interview, foi identificada, envolvendo 3.136 endereços IP associados a 20 organizações-alvo em setores como inteligência artificial, criptomoedas e serviços financeiros. A pesquisa, realizada pelo Insikt Group da Recorded Future, revela que a atividade ocorreu entre agosto de 2024 e setembro de 2025, com alvos localizados na Europa, Sul da Ásia, Oriente Médio e América Central. Os atacantes, associados ao grupo PurpleBravo, utilizam táticas como a criação de perfis falsos no LinkedIn e a distribuição de projetos maliciosos no GitHub para infiltrar sistemas corporativos. A campanha destaca a vulnerabilidade da cadeia de suprimentos de software, onde candidatos a emprego podem inadvertidamente comprometer dispositivos corporativos ao executar códigos maliciosos. Além disso, a PurpleBravo opera em conjunto com outra campanha chamada Wagemole, que busca emprego não autorizado por meio de identidades fraudulentas. A utilização de servidores de comando e controle (C2) gerenciados via VPN e a exploração de fluxos de trabalho de desenvolvedores confiáveis são preocupações crescentes para a segurança cibernética global.

Pesquisadores da empresa Resecurity identificaram uma nova cepa de malware chamada PDFSIDER, que visa obter acesso furtivo e contínuo a sistemas comprometidos. O ataque começa com um e-mail de spear-phishing que contém um arquivo ZIP com um executável legítimo, chamado ‘PDF24 App’, que imita um software conhecido de criação de PDFs. Ao ser executado, o malware não apresenta interface visível, mas instala uma backdoor encriptada no sistema.

O PDFSIDER utiliza uma técnica de carregamento lateral de DLLs, explorando fraquezas no aplicativo legítimo para carregar uma biblioteca maliciosa, contornando assim a detecção de antivírus e soluções de segurança mais robustas. O malware se conecta a um canal de comando e controle (C2) para receber instruções e enviar dados de volta aos atacantes, utilizando criptografia AES-256-GCM para proteger a comunicação.

O malware VoidLink, um sofisticado framework para Linux, foi desenvolvido com a ajuda de um modelo de inteligência artificial (IA), segundo a Check Point Research. Identificado como um dos primeiros exemplos de malware avançado gerado em grande parte por IA, o VoidLink possui mais de 88.000 linhas de código e foi projetado para acesso furtivo a ambientes em nuvem baseados em Linux. A análise sugere que um desenvolvedor experiente, possivelmente de origem chinesa, utilizou um agente de codificação chamado TRAE SOLO para acelerar o desenvolvimento, que levou menos de uma semana para criar um protótipo funcional. A pesquisa também revelou que a documentação interna do projeto, escrita em chinês, apresenta características típicas de conteúdo gerado por IA, como formatação consistente e detalhes meticulosos. Embora ainda não tenham sido observadas infecções reais, o desenvolvimento do VoidLink representa uma mudança significativa na forma como malware avançado pode ser criado, permitindo que indivíduos com menos recursos realizem ataques complexos de forma rápida e eficiente. Especialistas alertam que a IA está transformando a cibercriminalidade, tornando ferramentas sofisticadas acessíveis a qualquer um com um cartão de crédito.

Pesquisadores da LayerX identificaram 17 novas extensões maliciosas para os navegadores Chrome, Firefox e Edge, que fazem parte da campanha GhostPoster. Essas extensões, que já somam mais de 840.000 downloads, têm como objetivo monitorar a atividade dos usuários e instalar backdoors, permitindo acesso contínuo aos computadores das vítimas. A maioria das extensões foi lançada em 2020 e, em alguns casos, o código malicioso estava oculto na logo PNG do add-on, facilitando a instalação de um payload malicioso a partir de um servidor remoto. Os atacantes implementaram uma estratégia de evasão, baixando o malware apenas 10% das vezes, o que dificulta a detecção. Entre as funcionalidades do malware, destaca-se o roubo de links de afiliados em sites de e-commerce e a injeção de monitoramento do Google Analytics em páginas visitadas. Embora as extensões tenham sido removidas das lojas oficiais, usuários ainda devem verificar se têm alguma delas instalada e removê-las imediatamente, além de limpar o cache do navegador.

Um novo ataque cibernético, identificado como uma variante do ClickFix, utiliza uma extensão falsa chamada NexShield, que se apresenta como um bloqueador de anúncios para os navegadores Chrome e Edge. Desenvolvido pelo grupo de ameaças KongTuke, esse ataque é mais sofisticado, pois cria um problema real ao travar o navegador da vítima. Após a instalação, a extensão inicia suas atividades maliciosas uma hora depois, causando uma condição de negação de serviço (DoS) que força o usuário a reiniciar o navegador manualmente. Ao reiniciar, uma mensagem de erro falsa aparece, levando o usuário a copiar um comando no Prompt de Comando do Windows, que, na verdade, instala o ModeloRAT, um trojan de acesso remoto que concede controle total sobre o dispositivo comprometido. Embora os pesquisadores de segurança acreditem que o KongTuke esteja focando principalmente em usuários corporativos, a possibilidade de que indivíduos também sejam alvos no futuro não pode ser descartada. Este ataque destaca a importância de uma vigilância constante e de práticas de segurança cibernética robustas para evitar infecções por malware.

O malware VoidLink, recentemente descoberto, é um framework avançado focado em ambientes de nuvem, desenvolvido por um único criador com auxílio de um modelo de inteligência artificial. De acordo com a Check Point Research, o VoidLink é um malware para Linux que inclui carregadores personalizados, implantes, módulos de rootkit para evasão e uma variedade de plugins que ampliam suas funcionalidades. A pesquisa sugere que o desenvolvedor possui forte proficiência em várias linguagens de programação, possivelmente originando-se da China.

Atuando sob a campanha Contagious Interview, hackers da Coreia do Norte têm explorado projetos maliciosos do Microsoft Visual Studio Code (VS Code) para implantar um backdoor em sistemas comprometidos. A técnica, descoberta em dezembro de 2025, envolve a instrução de alvos para clonarem repositórios no GitHub, GitLab ou Bitbucket e abrirem o projeto no VS Code como parte de uma avaliação de emprego. O ataque utiliza arquivos de configuração de tarefas do VS Code para executar cargas maliciosas hospedadas em domínios da Vercel, dependendo do sistema operacional da vítima. A configuração permite que comandos maliciosos sejam executados sempre que um arquivo do projeto é aberto. Além disso, os hackers têm disfarçado malware como dicionários de verificação ortográfica para evitar detecções. A comunicação com servidores remotos é estabelecida para facilitar a execução de código e coleta de informações do sistema. Os alvos preferenciais incluem engenheiros de software, especialmente aqueles nas áreas de criptomoeda e fintech, que possuem acesso privilegiado a ativos financeiros. A evolução das táticas dos atacantes reflete uma adaptação contínua para maximizar o sucesso em suas metas de ciberespionagem e financeiras, visando contornar sanções internacionais.