Malware

Pesquisadores da Kaspersky alertaram que o Steam Workshop, uma plataforma popular entre gamers para compartilhar conteúdo personalizado, está sendo explorado para disseminar malware através do aplicativo Wallpaper Engine. Desde pelo menos o final de 2025, wallpapers maliciosos foram baixados dezenas de milhares de vezes, infectando usuários com backdoors, infostealers, miners e até ransomware. Os hackers utilizam wallpapers interativos que, ao serem instalados, executam automaticamente o malware, que pode estar embutido no pacote ou em arquivos compactados protegidos por senha. Embora a Valve tenha removido as aplicações infectadas, a possibilidade de novos uploads maliciosos persiste, exigindo cautela dos usuários. A maioria das vítimas está localizada na Rússia e na China, mas a ameaça pode se espalhar globalmente, afetando gamers em todo o mundo.

Pesquisadores de cibersegurança identificaram uma campanha coordenada de malware no JetBrains Marketplace, onde 15 plugins maliciosos foram publicados, capazes de exfiltrar chaves de API de provedores de inteligência artificial (IA). Os plugins, que se apresentam como assistentes de codificação baseados em modelos de linguagem, funcionam conforme anunciado, mas capturam a chave de API inserida pelo usuário e a enviam para um servidor controlado pelos atacantes. A atividade, que começou em outubro de 2025, continua com novos plugins sendo lançados até junho de 2026. Entre os plugins mais populares estão o CodeGPT AI Assistant e o DeepSeek AI Assist, ambos com mais de 25.000 downloads, embora a autenticidade desses números seja questionável. Os plugins compartilham um código-base semelhante e exigem que os usuários insiram suas chaves de API para funcionar. Além disso, após o pagamento de uma taxa, o plugin fornece uma chave de API ao usuário, que é utilizada em vez da chave original, levantando suspeitas de que os operadores estão monetizando as chaves roubadas. Essa campanha evidencia a crescente vulnerabilidade dos ambientes de desenvolvimento, que se tornaram alvos lucrativos para cibercriminosos.

Um ataque à cadeia de suprimentos de software, denominado easy-day-js, comprometeu 144 pacotes npm associados ao namespace Mastra, um framework popular de JavaScript e TypeScript para aplicações de inteligência artificial. O ataque foi identificado por empresas de segurança como JFrog, SafeDep, Socket e StepSecurity. Um único usuário npm, identificado como ’ehindero’, publicou mais de 140 pacotes maliciosos em um curto espaço de tempo. Embora os pacotes infectados não contenham código malicioso, eles dependem de uma biblioteca de terceiros chamada ’easy-day-js’, que foi alterada para incluir um payload ofuscado. Esse payload é ativado durante um hook de pós-instalação e se conecta a um servidor controlado pelos atacantes para baixar um trojan que rouba informações, incluindo dados de carteiras de criptomoedas. O ataque afetou pacotes amplamente utilizados, como o @mastra/core, que possui mais de 918 mil downloads semanais. A Npm já removeu as versões maliciosas, mas qualquer ambiente que tenha instalado essas versões deve ser considerado potencialmente comprometido.

Um novo trojan bancário para Android, denominado Rokarolla, está atacando 217 aplicativos de bancos e criptomoedas, utilizando um conjunto extenso de 137 comandos. O malware é distribuído por meio de sites maliciosos que se passam por provedores do Google Chrome ou TikTok, permitindo que os invasores assumam o controle administrativo total de dispositivos comprometidos. Entre suas capacidades, estão o roubo de credenciais de tela de bloqueio, listas de contatos e dados de SMS, além de registrar continuamente as entradas do usuário através de keyloggers.

Uma campanha de malware foi descoberta no JetBrains Marketplace, onde pelo menos 15 plugins maliciosos foram projetados para roubar chaves de API de IA de desenvolvedores. Os plugins, que atuam como assistentes de codificação e ferramentas de revisão de código, foram baixados cerca de 70.000 vezes. Aikido Security, a empresa que identificou a ameaça, revelou que os plugins exfiltram as chaves de API assim que o usuário clica em ‘Aplicar’ após inseri-las nas configurações. Os dados são enviados para um servidor específico, comprometendo a segurança dos desenvolvedores. Embora os plugins funcionem como prometido, eles secretamente transmitem as credenciais para os atacantes. Além disso, a pesquisa sugere que os operadores dos plugins podem estar coletando credenciais de usuários gratuitos para fornecer chaves a usuários pagos. A análise de um dos plugins, o DeepSeek AI Assist, confirmou a presença do código de roubo de credenciais. Até o momento, o plugin ainda está disponível para download no Marketplace, o que levanta preocupações sobre a segurança da plataforma.

O artigo explora como junctions e links simbólicos do sistema de arquivos NTFS podem ser utilizados por atacantes para criar estruturas de diretórios recursivas, conhecidas como GhostTree e GhostBranch. Essas técnicas permitem que um usuário, sem privilégios administrativos, crie loops que geram caminhos de arquivos praticamente infinitos. Isso pode dificultar a detecção de arquivos maliciosos, pois ferramentas de segurança, como produtos EDR, podem ficar presas nesses loops, deixando os arquivos maliciosos sem exame. O GhostBranch é uma técnica mais simples que cria um loop lógico ao apontar um diretório filho de volta para o diretório pai, enquanto o GhostTree expande essa ideia, permitindo múltiplos diretórios filhos que também se conectam ao pai, aumentando exponencialmente o número de caminhos válidos. O artigo destaca a importância de monitorar a atividade do sistema de arquivos para detectar essas anomalias e sugere que a visibilidade e o controle de acesso são cruciais para a proteção de dados sensíveis. A técnica foi testada contra o Windows Defender, confirmando sua eficácia em evitar a detecção de malware. A Varonis, autora do artigo, oferece soluções para monitoramento e proteção de dados em ambientes corporativos.

Pesquisadores da Kaspersky alertam sobre uma nova onda de ataques cibernéticos que exploram o Steam Workshop, plataforma da Valve para compartilhamento de conteúdo de jogos. Os atacantes estão utilizando pacotes de papéis de parede infectados para disseminar malware, que pode resultar no sequestro de contas Steam, instalação de backdoors e execução de processos de criptomineria. O Wallpaper Engine, um aplicativo popular para personalização de papéis de parede, é o vetor principal dessa ameaça. Os wallpapers maliciosos podem conter arquivos executáveis que, ao serem instalados, ativam automaticamente o malware. Os pesquisadores identificaram diversas variantes de malware, incluindo infostealers e mineradores de criptomoedas, que já foram baixados milhares de vezes. Embora a Valve tenha removido os wallpapers maliciosos identificados, a Kaspersky alerta que novos arquivos prejudiciais podem ser enviados a qualquer momento. Para se proteger, os usuários devem baixar conteúdos apenas de fontes confiáveis e utilizar antivírus atualizados para escanear os downloads do Steam Workshop.

Pesquisadores de cibersegurança identificaram várias campanhas de malware conhecidas como ClickFix, que distribuem três carregadores de malware: BabaDeda Loader, Lorem Ipsum Loader e Potemkin. O BabaDeda Loader, observado em abril de 2026, tem como alvo organizações educacionais e financeiras, utilizando técnicas de engenharia social para induzir usuários a executar comandos PowerShell maliciosos. Este carregador é projetado para evitar sistemas na Rússia e Belarus e realiza verificações de segurança antes de injetar cargas úteis em processos confiáveis do Windows. Entre as cargas úteis estão backdoors .NET que coletam dados sensíveis e estabelecem canais criptografados com servidores de comando e controle (C2).

Pesquisadores de cibersegurança identificaram duas variantes do malware SprySOCKS, anteriormente conhecido como um backdoor exclusivo para Linux, agora adaptadas para Windows. As variantes, denominadas WIN_DRV e WIN_PLUS, possuem configurações de comando e controle (C&C) embutidas e suportam comunicação via TCP, UDP e WebSocket. Ambas as versões permitem a execução de mais de 30 comandos, incluindo coleta de informações do sistema e gerenciamento de processos. A variante WIN_DRV utiliza drivers de kernel para ocultar conexões de rede e processos, enquanto a WIN_PLUS se aproveita do serviço de spooler de impressão do Windows para iniciar o backdoor. As evidências sugerem que essas variantes foram implantadas em ataques direcionados a organizações governamentais em países como Honduras, Taiwan e Paquistão entre 2023 e 2024. A descoberta dessas versões para Windows representa uma expansão significativa das capacidades do grupo de espionagem cibernética conhecido como FishMonger, que está associado a um ator de ameaças patrocinado pelo estado chinês. A análise revela que a arquitetura central do SprySOCKS foi preservada, mas com melhorias na furtividade e na adaptação a mecanismos nativos do Windows.

Pesquisadores de segurança da Zimperium documentaram um novo trojan bancário para Android, chamado Rokarolla, que ataca 217 aplicativos de bancos e criptomoedas. O malware, que possui 137 comandos remotos, permite que um operador tenha controle quase total do dispositivo infectado. Entre suas funcionalidades, estão a captura de PINs de bloqueio, leitura e envio de SMS, redirecionamento de pagamentos em criptomoedas e desativação do Google Play Protect. O Rokarolla se espalha por sites maliciosos que se disfarçam de aplicativos conhecidos, como TikTok e Chrome. Ao ser instalado, ele se apresenta como Google Play Protect para obter acesso de acessibilidade e, em seguida, desativa a proteção. O roubo de informações ocorre através de sobreposições, onde páginas de login falsas são exibidas sobre os aplicativos legítimos, capturando dados sensíveis dos usuários. Além disso, o malware pode ler mensagens SMS, interceptar códigos de autenticação e modificar a área de transferência para redirecionar pagamentos. A Zimperium alerta que não há um patch a ser aplicado, pois se trata de um malware, e recomenda que os usuários instalem aplicativos apenas da Google Play e mantenham o Play Protect ativado.

Pesquisadores da ESET identificaram variantes do malware SprySOCKS, originalmente desenvolvido para Linux, sendo utilizadas em ataques direcionados a organizações governamentais em Taiwan, Tailândia, Paquistão e Honduras entre 2023 e 2024. O malware está associado ao grupo de ameaças chinês conhecido como Earth Lusca, que também é rastreado como FishMonger. As novas variantes para Windows, denominadas WIN_DRV e WIN_PLUS, apresentam capacidades avançadas de furtividade em nível de kernel, permitindo que os operadores ocultem artefatos de malware e se comuniquem com o backdoor através de tráfego redirecionado de portas TCP arbitrárias. O WIN_DRV inclui drivers de kernel para funcionalidades semelhantes a rootkits, enquanto o WIN_PLUS é uma versão mais simples. Ambas as variantes podem executar uma ampla gama de comandos, coletar informações do sistema e gerenciar arquivos. Além disso, a ESET observou indícios de um componente de bootkit UEFI que pode explorar uma vulnerabilidade conhecida como CVE-2023-24932. A descoberta dessas variantes indica que o Earth Lusca está ampliando seu arsenal para atingir uma variedade mais diversificada de sistemas, representando uma ameaça significativa para a segurança cibernética global.

O grupo de hackers patrocinado pelo Estado norte-coreano, conhecido como ScarCruft (ou APT37), foi identificado utilizando mensagens de spear-phishing que se disfarçam como notificações de segurança de contas da Microsoft para disseminar um malware chamado NarwhalRAT. Segundo o Genians Security Center (GSC), o e-mail malicioso simula um alerta de segurança, criando uma falsa preocupação sobre possíveis compromissos de conta e abuso de senhas de uso único (OTP), levando a vítima a abrir um anexo. Este anexo, na verdade, é um arquivo ZIP que contém um arquivo LNK malicioso. Ao ser executado, o arquivo LNK inicia uma cadeia de infecção em múltiplas etapas, baixando e instalando o NarwhalRAT, que é capaz de registrar teclas, capturar telas, gravar áudio ambiente e executar comandos de um servidor de comando e controle (C2). O malware se destaca por sua capacidade de se esconder em um diretório disfarçado, evitando a detecção. A infraestrutura de C2 utiliza sites coreanos e a API de armazenamento em nuvem pCloud, o que indica um nível avançado de sofisticação. Essa nova abordagem do ScarCruft representa uma evolução em suas táticas, marcando uma mudança significativa em relação ao RokRAT, um malware anteriormente associado ao grupo.

Pesquisadores de cibersegurança identificaram duas campanhas cibernéticas maliciosas associadas a um grupo de ameaças persistente da Coreia do Norte, conhecido como Contagious Interview. Segundo um relatório da Proofpoint, o grupo tem realizado campanhas de phishing direcionadas a quase 100 organizações em setores como finanças, criptomoedas, educação e tecnologia, utilizando temas de recrutamento de desenvolvedores. Os ataques, codificados como UNK_DeadDrop, começam com e-mails que contêm links para repositórios do GitHub controlados pelos atacantes, que hospedam scripts maliciosos. Esses scripts são projetados para executar malware em múltiplas plataformas, incluindo macOS, Linux e Windows, utilizando uma técnica que permite a execução automática de código malicioso ao abrir o Visual Studio Code. O objetivo principal das campanhas é roubar credenciais e dados de extensões de carteiras digitais. Além disso, foram descobertas extensões maliciosas no marketplace do VS Code que funcionam como backdoors sofisticados. As atividades do grupo indicam uma evolução nas operações de cibercrime da Coreia do Norte, com uma mudança de engenharia social ativa para campanhas de phishing em larga escala.

Uma campanha de espionagem atribuída ao grupo UNC6508, vinculado à China, comprometeu servidores expostos da plataforma REDCap, utilizada em pesquisas médicas e científicas. Os pesquisadores do Google Threat Intelligence Group (GTIG) identificaram que a invasão ocorreu em setembro de 2023 e se estendeu por mais de um ano, com a implementação do malware InfiniteRed, que foi projetado especificamente para sistemas REDCap. Este malware possui três componentes principais: um módulo de persistência, um coletor de credenciais e uma porta dos fundos. O coletor captura nomes de usuário e senhas, armazenando-os em tabelas de banco de dados locais. Além disso, os atacantes utilizaram uma técnica inovadora para exfiltrar dados, criando uma regra de conformidade de conteúdo que enviava informações sensíveis por e-mail. O GTIG recomenda que administradores do REDCap atualizem suas versões e implementem autenticação multifator (MFA) para proteger contas de alto privilégio. O incidente destaca a necessidade de vigilância constante e atualização de sistemas para evitar compromissos semelhantes.

Pesquisadores de cibersegurança identificaram uma rede de 152 extensões do Google Chrome que atuam como complementos de papel de parede para novas abas, com o objetivo de distribuir uma família de programas potencialmente indesejados (PUPs). Essas extensões, que foram instaladas mais de 105 mil vezes, estão associadas a 38 contas diferentes na Chrome Web Store e três domínios principais: tabplugins.com, yowgames.com e chromewallpaper.com. Apesar de declararem que não coletam dados dos usuários, as políticas de privacidade vinculadas afirmam o contrário, registrando endereços IP, contagens de cliques e compartilhando essas informações com parceiros de publicidade. Além disso, um subgrupo de extensões utiliza URLs codificadas em arquivos JavaScript para simular atividades de busca orgânica no Google, criando um tráfego falso que pode enganar sistemas de monitoramento. Essa operação é considerada uma fraude comercial motivada financeiramente, embora a origem exata ainda não tenha sido determinada, com indícios sugerindo que pode ter vindo da Turquia.

Recentemente, mais de 400 pacotes do Arch User Repository (AUR) foram comprometidos por atacantes que alteraram seus scripts de construção para instalar um malware projetado para roubar credenciais de desenvolvedores. O malware, um binário em Rust, coleta informações sensíveis, como cookies e tokens de autenticação de navegadores e aplicativos Electron. O ataque não explorou uma falha de software, mas sim o modelo de confiança do AUR, que manteve os nomes e históricos dos pacotes, enquanto apenas as instruções de construção foram alteradas. Os atacantes adotaram pacotes abandonados e enganaram a comunidade ao falsificar metadados de commits. A lista de pacotes afetados continua a crescer, e os usuários que instalaram ou atualizaram pacotes do AUR após 11 de junho devem verificar suas instalações. A remoção do pacote comprometido não é suficiente, pois o malware pode ter instalado um rootkit e um serviço persistente no sistema. A situação é crítica, e os administradores devem agir rapidamente para mitigar os riscos e proteger suas credenciais.

Mais de 400 pacotes no Arch User Repository (AUR) estão distribuindo um rootkit para Linux e malware infostealer que visam credenciais e tokens de acesso. Um novo mantenedor está se passando por um publicador confiável na plataforma AUR para inserir pacotes infectados. O AUR é um repositório mantido pela comunidade, essencial para usuários do Arch Linux, pois oferece versões atualizadas de software e utilitários não disponíveis nos repositórios oficiais. No entanto, por não ser um espaço verificado, ele pode ser explorado por agentes maliciosos. Os pacotes comprometidos contêm scripts que baixam e executam um pacote npm malicioso chamado atomic-lockfile, que possui capacidades de rootkit e é projetado para ambientes de desenvolvimento. Ele visa dados de aplicativos como Slack, Microsoft Teams, e credenciais do GitHub, além de permitir a exfiltração de informações sensíveis. A equipe de manutenção do AUR está trabalhando para remover os pacotes maliciosos e recomenda que os usuários verifiquem os pacotes afetados. É aconselhável que os usuários do Arch Linux revisem suas credenciais e considerem reinstalar o sistema caso encontrem pacotes comprometidos.

Recentemente, um relatório da Flashpoint revelou que mais de 11 milhões de dispositivos foram infectados por infostealers, resultando na exposição de 3,3 bilhões de registros de identidade. Esses dados estão sendo comercializados em mercados ilícitos, com infostealers como Lumma e Vidar se destacando. Além disso, um novo trojan de acesso remoto (RAT) chamado SilabRAT, disponível por US$ 5.000 mensais, tem como foco o roubo de credenciais e é capaz de contornar medidas de segurança. A análise também aponta que hackers norte-coreanos são responsáveis por quase 50% das intrusões no setor de tecnologia, utilizando campanhas de infiltração para obter informações sensíveis. O Departamento de Justiça dos EUA apreendeu 13 domínios relacionados a uma suposta coleta de inteligência chinesa, destacando o uso de ofertas de emprego fraudulentas para obter dados confidenciais. Por fim, o Miasma Toolkit, um framework de ataque que permite a execução de ataques em cadeia, foi brevemente disponibilizado no GitHub, aumentando a preocupação com a segurança da cadeia de suprimentos. Essas ameaças evidenciam a sofisticação crescente dos ataques cibernéticos e a necessidade de vigilância constante.

O framework de ataque Miasma, que visa ecossistemas de código aberto por meio de ataques à cadeia de suprimentos, foi brevemente disponibilizado como código aberto no GitHub. Miasma é uma evolução do worm Shai-Hulud e compartilha características e técnicas semelhantes. O malware infecta máquinas de desenvolvedores, rouba credenciais de ambientes de construção e nuvem, e compromete repositórios legítimos, publicando versões trojanizadas que infectam outros desenvolvedores. Essa propagação autônoma pode transformar uma única violação em um ataque de cadeia de suprimentos em larga escala. O código-fonte do Miasma foi vazado através de contas de desenvolvedores comprometidas, indicando uma liberação intencional. O malware não requer infraestrutura de comando e controle, utilizando o GitHub para operar. Ele coleta credenciais de provedores de nuvem e sistemas CI/CD, comprometendo pacotes npm, PyPI e RubyGems. Uma característica notável é um ‘interruptor de segurança’ que apaga arquivos do usuário caso um token do GitHub seja revogado. A liberação do código do Miasma pode levar a variantes mais avançadas e aumentar a taxa de ataques, o que representa um risco significativo para a segurança do ecossistema de código aberto.

A botnet JDY, anteriormente associada a atores de ameaça chineses como o Volt Typhoon, ampliou significativamente seu escopo de ataque e esforços de reconhecimento. Pesquisadores da Black Lotus Labs, da Lumen, monitoraram a atividade da JDY, que atualmente foca fortemente nos Estados Unidos, onde muitos de seus dispositivos comprometidos estão localizados, especialmente em redes militares e associadas. Desde janeiro de 2024, o número de bots ativos cresceu de aproximadamente 650 para mais de 1.500 dispositivos SOHO e IoT comprometidos. A JDY não é uma botnet de DDoS, mas sim uma rede distribuída de escaneamento e reconhecimento, ajudando seus operadores a localizar alvos vulneráveis a falhas recém-divulgadas. A análise indica que a botnet se concentra em identificar infraestruturas vulneráveis logo após a divulgação pública de falhas, com um foco particular em setores críticos, como o militar. A CISA já havia alertado sobre os riscos que os operadores do Volt Typhoon representam para roteadores SOHO desprotegidos, enfatizando a necessidade de eliminar vulnerabilidades nas interfaces de gerenciamento web desses dispositivos. A JDY utiliza serviços ocultos do Tor para controle e comando, realizando uma variedade de escaneamentos e coleta de dados sobre vulnerabilidades. À medida que a atividade da JDY aumenta, é crucial que as organizações mantenham seus dispositivos atualizados e monitorem atividades de escaneamento incomuns.

Pesquisadores de cibersegurança alertam sobre a resurgência da botnet JDY, uma rede clandestina associada a atores de ameaças patrocinados pelo Estado chinês. Composta por mais de 1.500 dispositivos de pequenas empresas e IoT, a JDY atua como um scanner de alto desempenho, mapeando serviços expostos na internet. Inicialmente identificada como parte da KV-botnet em dezembro de 2023, a JDY evoluiu para uma rede independente após a desativação da KV-botnet pelo governo dos EUA em 2024. A botnet é utilizada para realizar reconhecimento direcionado e identificação de infraestruturas vulneráveis, especialmente após divulgações públicas de falhas. A diversidade dos dispositivos comprometidos, que agora inclui marcas como Ubiquiti e Linksys, permite que os operadores evitem detecções tradicionais. A arquitetura da JDY utiliza nós Tor para gerenciar a infraestrutura infectada, facilitando a coleta de dados de reconhecimento. O malware é projetado para se adaptar ao ambiente local, utilizando diferentes métodos de varredura dependendo das permissões disponíveis. A expansão da JDY e suas operações contínuas demonstram a resiliência das redes de reconhecimento modernas, que persistem mesmo após intervenções governamentais.

Pesquisadores da Universidade de Toronto criaram um verme de computador autônomo que utiliza um modelo de linguagem de código aberto para navegar por redes, gerar estratégias de ataque personalizadas e se replicar sem intervenção humana. O estudo, que está em revisão por pares, revela que a abordagem tradicional de correção de vulnerabilidades (CVE) falha quando o malware pode inspecionar serviços expostos e gerar novos caminhos de ataque em tempo real. Em testes realizados em uma rede vulnerável de 33 hosts, o verme identificou em média 31,3 vulnerabilidades e obteve acesso elevado em 23,1 hosts, replicando-se em 62% deles ao longo de sete dias. Diferente dos vermes tradicionais, que dependem de cargas de exploração fixas, este verme gera lógica de ataque em tempo real, adaptando-se a cada alvo encontrado. O estudo destaca a dificuldade de contenção, uma vez que o custo de execução do ataque é transferido para a infraestrutura comprometida, e não há dependência de APIs comerciais que poderiam ser limitadas ou revogadas. Os pesquisadores também observaram que o verme reescreveu seu próprio código para contornar controles de segurança locais, o que representa um avanço significativo nas capacidades de malware autônomo.

A Microsoft confirmou a remoção temporária de alguns repositórios do GitHub devido a um incidente de segurança que comprometeu 73 de seus projetos de código aberto. O ataque, parte de uma campanha de cadeia de suprimentos de software chamada Miasma, resultou na injeção de um ladrão de informações no código. A empresa notificou um número restrito de clientes que podem ter baixado conteúdo dos repositórios afetados e está investigando o incidente. Entre os projetos comprometidos está o pacote Python ‘durabletask’, que foi inicialmente atacado por um grupo de cibercrime conhecido como TeamPCP. A análise do payload Miasma revelou que ele pode executar código automaticamente quando um desenvolvedor abre o repositório em ferramentas de codificação baseadas em inteligência artificial. Essa campanha de ataque tem se mostrado adaptável, utilizando novos métodos de entrega de payloads, como extensões nativas Trojanizadas e variantes de carregadores que dificultam a detecção. O malware tem como alvo estações de trabalho de desenvolvedores e ambientes CI/CD, coletando segredos valiosos e exfiltrando-os para repositórios públicos do GitHub. A situação destaca a crescente complexidade e os riscos associados à segurança de software na cadeia de suprimentos.

A campanha de ataque à cadeia de suprimentos conhecida como Hades, originada da Miasma, identificou 37 artefatos maliciosos em 19 pacotes do Python Package Index (PyPI). Esses pacotes comprometidos incluem versões de bibliotecas como bramin, cmd2func e coolbox, que contêm um arquivo *-setup.pth. Este arquivo é executado automaticamente durante a inicialização do Python, permitindo que o malware baixe e execute um runtime JavaScript chamado Bun, além de um payload ofuscado. O malware é projetado para roubar credenciais de desenvolvedores e informações sensíveis de sistemas, incluindo segredos de plataformas como GitHub, AWS e Docker. A nova abordagem do Hades inclui técnicas de evasão de segurança, como a injeção de prompts em ferramentas de análise de pacotes baseadas em IA, e a extração de dados de repositórios do GitHub. A campanha representa uma evolução nas táticas de ataque, utilizando métodos que não requerem a importação do pacote comprometido, aumentando o risco para desenvolvedores e suas organizações. A segurança da cadeia de suprimentos de software é, portanto, uma preocupação crescente, especialmente em um cenário onde as contas de desenvolvedores podem ser comprometidas e usadas para disseminar malware.

Novas variantes do malware NFCShare estão sendo distribuídas como falsas atualizações de aplicativos bancários legítimos, hospedadas no GitHub. Este malware evoluiu e agora visa clientes de diversos bancos e instituições financeiras na Europa, em uma campanha de phishing destinada a roubar dados de cartões de pagamento. Após enganar as vítimas com uma tela de verificação falsa, o NFCShare utiliza o chip de comunicação por proximidade (NFC) do dispositivo móvel para ler informações do cartão, como número, tipo, data de validade e um PIN de 4 dígitos inserido pela vítima. Esses dados são enviados para o servidor de comando e controle do atacante via canal WebSocket. Desde sua criação, o repositório do GitHub que distribui o NFCShare já hospedou 56 APKs únicos que imitam aplicativos de bancos, principalmente da Itália e da Espanha. Os pesquisadores alertam que usuários de Android devem baixar aplicativos bancários apenas do Google Play e ter cautela com solicitações de verificação que pedem a digitalização de cartões NFC.

Um grupo de ciberespionagem com vínculos à China, identificado como VerdantBamboo, foi observado utilizando uma variante BSD de um backdoor conhecido como BRICKSTORM, além de outras famílias de malware chamadas PLENET (também conhecida como GRIMBOLT) e AGENTPSD, para atacar sistemas Linux. A Volexity, empresa de cibersegurança, atribuiu essas atividades a um cluster de ameaças que se sobrepõe a grupos de hackers como Clay Typhoon e UNC5221. A intrusão foi descoberta em setembro de 2025, quando a Volexity identificou que o adversário havia comprometido o sistema Egnyte Storage Sync de uma vítima, explorando uma falha de escalonamento de privilégios. Após a correção da vulnerabilidade em março de 2026, o grupo conseguiu retornar, utilizando credenciais administrativas roubadas para acessar o firewall da organização e implantar malware em um dispositivo NAS Synology. O PLENET é um backdoor multiplataforma desenvolvido em .NET Core, enquanto o AGENTPSD é um shell reverso baseado em Python. A Volexity alerta que o VerdantBamboo demonstra um alto nível de sofisticação e conhecimento sobre dispositivos proprietários, permitindo a implementação de mecanismos de persistência personalizados.

Uma nova variante do botnet Gafgyt, chamada C0XMO, está direcionando ataques a roteadores com firmware DD-WRT e pode se espalhar para outros dispositivos com diferentes arquiteturas de CPU, como ARM, MIPS e x86. Pesquisadores da Fortinet identificaram que o malware é capaz de realizar ataques de negação de serviço distribuído (DDoS) utilizando 19 métodos distintos, incluindo inundações UDP e TCP, além de amplificação via NTP e Memcached. A infecção ocorre por meio da exploração da vulnerabilidade CVE-2021-27137, que permite a execução de código arbitrário sem autenticação. O C0XMO possui um design modular que facilita atualizações e a adição de novas técnicas de exploração. Após a infecção, o malware se oculta em diretórios temporários e cria tarefas agendadas para reiniciar a cada 15 minutos. Além disso, ele busca eliminar concorrentes no dispositivo infectado, removendo outros clientes de botnets e ferramentas que possam interferir em sua operação. A recomendação para mitigar os riscos associados ao C0XMO inclui manter dispositivos atualizados, usar credenciais únicas e desabilitar o acesso remoto quando não necessário. Este botnet representa uma evolução em relação a variantes anteriores, com uma arquitetura mais sofisticada e complexa.

Recentemente, 73 repositórios do GitHub da Microsoft, incluindo aqueles relacionados ao Azure e MicrosoftDocs, foram comprometidos por uma campanha de ataque à cadeia de suprimentos chamada Miasma. O GitHub desativou o acesso a esses repositórios após a violação das suas políticas de serviço. O ataque é uma variante do worm Mini Shai-Hulud, que se aproveita do modelo de confiança das plataformas de código aberto, explorando a suposição de que pacotes assinados por mantenedores autenticados são seguros. O ataque se destaca por sua capacidade de se propagar rapidamente, comprometendo usuários downstream e repetindo o ciclo de infecção. O vetor de ataque inclui a injeção de código malicioso em repositórios legítimos, que é ativado quando um desenvolvedor clona e abre o repositório em ferramentas de codificação. Este incidente evidencia as vulnerabilidades nas cadeias de suprimentos de software e a necessidade de uma vigilância contínua e de medidas de segurança robustas.

O grupo de espionagem chinês UNC5221, também conhecido como VerdantBamboo, tem explorado ambientes Microsoft 365 utilizando a backdoor Brickstorm e malwares não documentados, como Plenet e AgentPSD. A investigação revelou que os atacantes conseguiram acesso à rede da vítima por pelo menos 18 meses antes de serem detectados, comprometendo também o provedor de serviços gerenciados (MSP) da organização alvo. O Brickstorm, descrito como um implante de malware avançado, foi utilizado de forma indetectável em várias organizações nos Estados Unidos até a descoberta das brechas em março de 2025. Os pesquisadores da Volexity identificaram que os hackers acessaram um sistema de armazenamento Egnyte e, a partir daí, conseguiram entrar no ambiente Microsoft 365 da vítima, utilizando técnicas para se misturar ao tráfego legítimo e evitar políticas de acesso condicional. Após a remediação inicial, os atacantes conseguiram invadir a organização novamente, utilizando credenciais roubadas para configurar o acesso VPN e implantar malware adicional. O Plenet, um backdoor baseado em .NET, e o AgentPSD, uma ferramenta de shell reverso em Python, foram utilizados como mecanismos de persistência. A CISA emitiu alertas sobre a utilização do Brickstorm por hackers chineses, destacando a necessidade de atenção redobrada para a segurança em ambientes que não suportam soluções de detecção e resposta de endpoint (EDR).

Recentes ataques à cadeia de suprimentos de software têm impactado o ecossistema npm, com criminosos utilizando versões maliciosas de mais de 50 pacotes legítimos para disseminar um ladrão de informações baseado em Rust e um worm auto-replicante. O ladrão de informações, denominado IronWorm, é capaz de coletar segredos de máquinas de desenvolvedores e se esconde atrás de um rootkit de kernel eBPF, comunicando-se com seu operador via Tor. O malware foi publicado no registro npm por uma conta comprometida chamada ‘asteroiddao’, que introduziu versões de pacotes contendo um binário Rust executado por um hook de pré-instalação. O IronWorm visa variáveis de ambiente e arquivos que podem conter credenciais de serviços populares como AWS, Docker e GitHub, e possui lógica para evitar roubar dados da própria carteira do atacante. Além disso, uma nova variante do worm Miasma foi identificada, comprometendo 57 pacotes npm com 286 versões maliciosas. Essa variante utiliza um arquivo binding.gyp para executar código durante a instalação, contornando verificações de segurança. Os desenvolvedores afetados são aconselhados a rotacionar credenciais e desativar scripts de instalação por padrão.

Pesquisadores de cibersegurança da Sansec revelaram uma nova campanha de roubo de informações de pagamento que utiliza a API do Stripe e o Google Tag Manager (GTM). Os atacantes comprometeram sites de comércio eletrônico baseados em Magento/Adobe Commerce, inserindo um contêiner malicioso do GTM. Quando um usuário acessa o site, o código do GTM é carregado a partir dos servidores do Google, permitindo que um script malicioso seja executado durante o processo de checkout. Esse script monitora a página de pagamento e captura dados sensíveis, como números de cartão, CVV e informações pessoais. Os dados roubados são então ofuscados e enviados para uma conta controlada pelos atacantes no Stripe, utilizando a própria infraestrutura do Stripe para evitar detecções. Essa técnica permite que o malware passe despercebido por políticas de segurança e filtros de rede, tornando a situação ainda mais crítica para os usuários e comerciantes online.

Um novo spyware para Android, codinome Asin, tem como alvo usuários de língua árabe, conforme revelado pela empresa de cibersegurança ESET. O malware foi detectado pela primeira vez em campanhas de ataque no início de 2025, utilizando sites fraudulentos que imitam serviços úteis e fontes de notícias governamentais. Entre os sites identificados estão govlens[.]net, que finge ser uma fonte de notícias do governo, e live-war-map[.]com, que promete atualizações sobre incidentes militares. Esses sites distribuem aplicativos maliciosos que combinam funcionalidades legítimas com capacidades de spyware. A ESET observou que as campanhas parecem ter como alvo jornalistas e pesquisadores de OSINT (inteligência de fontes abertas) na região árabe, com três dos cinco aplicativos fraudulentos identificados sendo direcionados a esse público. Os usuários precisam instalar manualmente os aplicativos e conceder permissões para que o spyware funcione. Embora a origem das campanhas ainda não tenha sido atribuída, a natureza dos alvos sugere um foco em indivíduos envolvidos em investigações abertas. A situação é preocupante, pois o spyware pode comprometer a segurança e a privacidade de informações sensíveis.

Uma nova campanha do grupo Magecart está explorando a infraestrutura da API do Stripe para hospedar um código malicioso que rouba dados de cartões de crédito durante o processo de checkout. Pesquisadores da empresa de segurança em e-commerce Sansec identificaram que a atividade maliciosa utiliza o Google Tag Manager (GTM) e os domínios do Stripe, que são geralmente confiáveis por lojas online. O código malicioso é carregado de um contêiner do GTM e executado em todas as páginas que o carregam, permitindo que o skimmer evite regras de segurança que normalmente bloqueariam tráfego desconhecido. O malware é projetado para capturar informações sensíveis, como números de cartões de crédito, datas de validade e códigos CVV, além de dados pessoais dos clientes. Os dados roubados são armazenados localmente e enviados para a conta do atacante no Stripe como registros de clientes falsos. Além disso, uma variante do ataque utiliza o Google Firestore para armazenar os dados, disfarçando-se como tráfego legítimo. Para se proteger, os consumidores são aconselhados a usar cartões virtuais de uso único com limites definidos.

O navegador Hola para Windows foi comprometido em um ataque à cadeia de suprimentos, resultando na instalação de um minerador de criptomoedas não declarado, identificado como Monero. A vulnerabilidade foi descoberta durante verificações de certificação periódicas realizadas pela AppEsteem, que anteriormente havia aprovado o software. A Hola, uma empresa israelense conhecida por seu serviço de VPN, confirmou a violação e alegou que apenas 0,1% de seus usuários foram afetados, sem evidências de acesso ou roubo de dados pessoais. O arquivo malicioso, denominado ‘me.exe’, foi encontrado em alguns sistemas e apresentava características suspeitas, como código ofuscado e a capacidade de se auto-replicar. A empresa já tomou medidas para reconstruir sua infraestrutura de distribuição e implementar controles de acesso mais rigorosos. Apesar da confirmação do ataque, a Hola assegura que não houve comprometimento significativo de dados dos usuários. A situação destaca a importância de monitoramento contínuo e verificação de integridade em softwares amplamente utilizados, especialmente em um contexto onde a segurança cibernética é cada vez mais crítica.

Um novo ataque à cadeia de suprimentos afetou 36 pacotes no Node Package Manager (npm), introduzindo um malware infostealer chamado IronWorm. Este malware, escrito em Rust, visa 86 variáveis de ambiente e 20 arquivos de credenciais, que podem conter informações sensíveis como credenciais da OpenAI, AWS, Anthropic e npm, além de chaves SSH e arquivos de carteiras de criptomoedas. A pesquisa da JFrog revelou que o IronWorm se propaga utilizando credenciais roubadas para publicar pacotes no npm, comprometendo ambientes de desenvolvedores e sistemas de integração contínua (CI). O ataque começou a partir de uma conta comprometida chamada ‘asteroiddao’, que publicou versões maliciosas de pacotes. O malware utiliza um rootkit e se comunica com o operador via rede Tor, além de empregar um mecanismo que utiliza GitHub Actions para entregar segredos roubados. Embora o ataque tenha sido detectado rapidamente, a situação destaca a necessidade de os desenvolvedores atualizarem suas versões de pacotes e implementarem autenticação de dois fatores (2FA). O incidente é um lembrete da vulnerabilidade das cadeias de suprimentos e da importância de medidas de segurança robustas.

Pesquisadores de cibersegurança identificaram uma operação em larga escala que se disfarça de projetos de código aberto e freeware para redirecionar usuários desavisados a um Sistema de Distribuição de Tráfego (TDS) e entregar famílias de malware, como Remus Stealer, AnimateClipper e o framework SessionGate. Os sites envolvidos são bem projetados e imitam portais legítimos, utilizando uma camada de JavaScript hospedada no CloudFront que transforma cliques em downloads em redirecionamentos para o TDS. Essa operação visa aquisição e monetização de tráfego, levando usuários a uma infraestrutura de entrega de malware. Os ataques visam especificamente usuários que buscam ferramentas de segurança em motores de busca, como o Google, fazendo com que esses sites falsos apareçam no topo dos resultados. A análise de telemetria do VirusTotal revelou entre 2.000 a 3.500 submissões de amostras associadas à família SessionGate, com a maioria das submissões originárias de países como Turquia, Polônia, Brasil e Alemanha. O objetivo final da infecção é entregar um payload único por cliente, dificultando a análise e a recuperação do payload. Essa situação representa um risco significativo para usuários que buscam ferramentas de segurança, especialmente no Brasil, onde a popularidade de tais ferramentas pode ser explorada por cibercriminosos.

Pesquisadores de cibersegurança revelaram uma nova campanha de malvertising para macOS, chamada Operação FlutterBridge, que dissemina um backdoor conhecido como FlutterShell. De acordo com a Palo Alto Networks, essa campanha é uma evolução de atividades anteriores do grupo criminoso CL-CRI-1089, ativo desde 2023. O FlutterShell, desenvolvido com o framework Flutter, infecta dispositivos com adware por meio de aplicativos de desktop maliciosos, permitindo execução de comandos e manipulação do sistema de arquivos. Os ataques utilizam anúncios fraudulentos no Google e YouTube, atraindo usuários de macOS nos EUA, Canadá, Austrália, França e Alemanha. Os anúncios são veiculados por empresas de fachada, ligadas a indivíduos ucranianos. O FlutterShell se destaca por sua arquitetura baseada em WebView, que permite alterações dinâmicas no comportamento do malware sem necessidade de recompilação. Variantes do FlutterShell, como PodcastsLounge e PDF-Brain, foram identificadas, e a campanha continua em desenvolvimento ativo, representando uma ameaça significativa para usuários de macOS.

O grupo de cibercrime TA4922, associado à China, tem ampliado seu foco de ataque para organizações na Europa, especialmente no Reino Unido, Alemanha, Itália e África do Sul. De acordo com a empresa de segurança Proofpoint, o grupo é caracterizado por um ‘ritmo operacional rápido’ e um arsenal de malware em constante evolução, incluindo ferramentas conhecidas como ValleyRAT e Atlas RAT, além de novos malwares como RomulusLoader e SilentRunLoader. A motivação financeira do grupo é evidente, com o objetivo de obter acesso remoto a ambientes de vítimas para roubo de dados, fraudes e revenda de acessos. Recentemente, as campanhas de phishing têm utilizado iscas relacionadas a recursos humanos e negócios, além de tentativas de mover conversas para canais de comunicação fora do e-mail, como LINE e WhatsApp, para contornar controles de segurança. As campanhas observadas incluem ataques direcionados a organizações no Japão e no Reino Unido, utilizando técnicas como DLL side-loading para entregar malwares. A natureza global das operações do TA4922 destaca a necessidade de as organizações estarem atentas a ameaças emergentes, independentemente da localização geográfica.

Um grupo de cibercrime de língua chinesa, identificado como TA4922, está ampliando suas operações para a Europa, utilizando malware não documentado e a backdoor Atlas. Este grupo, que anteriormente focava em organizações na Ásia Oriental, agora está atacando entidades na Alemanha, Itália, Reino Unido e África do Sul. Os pesquisadores da Proofpoint destacam que TA4922 é motivado financeiramente e realiza campanhas de phishing localizadas, disfarçadas como comunicados de folha de pagamento, auditorias fiscais e notificações de conformidade governamental. O malware Atlas RAT, uma das principais ferramentas do grupo, permite reconhecimento do sistema, roubo de arquivos, captura de tela e gravação de áudio e vídeo. Além disso, o grupo utiliza loaders personalizados, como o RomulusLoader, que executa ferramentas de gerenciamento remoto. A atividade do TA4922 aumentou significativamente desde março, com uma diversidade operacional sem precedentes. A Proofpoint alerta que, embora o foco principal seja financeiro, as capacidades do malware podem ser utilizadas para vigilância, o que representa um risco adicional. O relatório inclui indicadores de comprometimento e infraestrutura de comando e controle utilizados nas operações do grupo.

Pesquisadores de cibersegurança identificaram uma nova campanha de malspam que utiliza o domínio DoubleClick do Google para evitar detecções e entregar um trojan de acesso remoto (RAT) chamado DesckVB RAT. Segundo os especialistas da Huntress, a estratégia envolve redirecionar usuários através de uma URL legítima do Google, tornando a abordagem mais difícil de ser detectada por ferramentas de segurança.

O ataque começa quando a vítima abre um arquivo HTML anexado a um e-mail de phishing, que redireciona para uma página maliciosa. A partir daí, um botão de ‘Download PDF’ inicia o download de um arquivo ZIP que contém um loader em JavaScript. Este loader é responsável por executar o RAT, neutralizando controles de segurança e estabelecendo persistência no sistema.

Uma nova campanha de malware chamada WeedHack está afetando jogadores de Minecraft, com mais de 116 mil sistemas infectados desde janeiro. O malware é distribuído por meio de mods, clientes e cheats maliciosos relacionados ao jogo, promovidos principalmente em vídeos do YouTube e por meio de técnicas de SEO. A operação, que funciona como um serviço de malware (MaaS), permite que os clientes acessem um painel onde podem visualizar credenciais roubadas e informações sobre sistemas comprometidos. Dados da McAfee indicam que a maioria das vítimas está nos Estados Unidos, Alemanha, Índia e Reino Unido. A WeedHack utiliza mais de 240 URLs de distribuição e 3.820 arquivos JAR maliciosos únicos. Os atacantes criam uma falsa sensação de legitimidade ao vincular sites maliciosos a repositórios oficiais do GitHub. O malware é acessível gratuitamente, com uma opção premium que oferece funcionalidades adicionais, como controle remoto e captura de tela. Especialistas recomendam que os jogadores confiem apenas em mods de fontes oficiais e verifiquem os links de download para evitar infecções.

Pesquisadores de cibersegurança identificaram uma nova campanha de malware, chamada Weedhack, que visa jogadores de Minecraft através do YouTube. Desde janeiro de 2026, essa campanha tem utilizado técnicas de SEO poisoning para direcionar usuários a URLs maliciosas que distribuem arquivos JAR infectados. Até o momento, foram encontrados 3.820 arquivos JAR maliciosos e mais de 240 URLs associadas. O malware se disfarça como clientes e mods do Minecraft, permitindo que os atacantes controlem remotamente os sistemas das vítimas. A campanha é facilitada por um painel de controle que permite aos criminosos visualizar credenciais roubadas e informações do sistema. Os atacantes também utilizam um canal no Telegram para promover suas ferramentas e oferecer suporte. O malware pode roubar informações sensíveis, como IDs de sessão do Minecraft e credenciais de diversas plataformas. Além disso, a campanha tem gerado casos de cyberbullying, onde os atacantes ameaçam e monitoram suas vítimas. A maioria das infecções foi registrada nos EUA, seguida por países como Alemanha, Índia e Reino Unido.

Uma campanha de malware em larga escala, conhecida como WeedHack, está atacando jogadores de Minecraft e já infectou mais de 116 mil sistemas desde janeiro. O malware é distribuído por meio de mods, clientes e cheats maliciosos relacionados ao jogo, promovidos principalmente no YouTube e por meio de técnicas de SEO. A operação funciona como um serviço de malware (MaaS), permitindo que os usuários acessem um painel onde podem visualizar credenciais roubadas e informações de sistemas comprometidos. Dados da McAfee indicam que a maioria das vítimas está nos Estados Unidos, Alemanha, Índia e Reino Unido, com uma média de 2.000 a 3.000 novas infecções diariamente. A campanha utiliza mais de 240 URLs de distribuição e 3.820 arquivos JAR maliciosos únicos. Os atacantes criam uma falsa legitimidade ao vincular sites maliciosos a repositórios legítimos do GitHub. O WeedHack oferece uma camada gratuita que rouba IDs de sessão do Minecraft, cookies e senhas, além de uma versão premium com funcionalidades adicionais. Jogadores são aconselhados a confiar apenas em mods de fontes oficiais e a verificar links de download para evitar infecções.

O grupo de hackers russo Gamaredon está explorando uma vulnerabilidade no WinRAR, identificada como CVE-2025-8088, para disseminar diversas famílias de malware voltadas para o roubo de dados. A empresa de cibersegurança Sekoia observou que, desde janeiro de 2026, o grupo utiliza um payload de Aplicação HTML chamado GammaPhish, que serve para baixar um script em Visual Basic (VBScript) conhecido como GammaLoad. Este último, por sua vez, é responsável por implantar um worm chamado GammaWorm, que se infiltra em sistemas, oculta diretórios legítimos e substitui-os por arquivos de atalho maliciosos, permitindo a execução de código arbitrário. O GammaWorm se comunica com um canal público do Telegram para evitar detecções e garantir operações de espionagem a longo prazo. Além disso, uma família de malware chamada GammaSteel é utilizada para roubar informações e enviar dados para servidores controlados pelos atacantes. O Gamaredon, vinculado ao Serviço Federal de Segurança da Rússia (FSB), tem um histórico de ataques direcionados à Ucrânia, utilizando e-mails de spear-phishing com anexos maliciosos. A arquitetura modular e adaptável do malware sugere que ele pode ser reutilizado em futuras campanhas.

Mais de 30 pacotes npm sob o namespace ‘@redhat-cloud-services’ da Red Hat foram comprometidos em um ataque à cadeia de suprimentos, que distribuiu uma nova variante do malware Shai-Hulud, chamada ‘Miasma’. A descoberta foi feita pelas empresas de segurança Aikido e OX Security, que identificaram versões de pacotes com backdoors projetados para roubar credenciais de desenvolvedores, segredos de nuvem, chaves SSH, tokens de CI/CD e outras informações sensíveis. Os pacotes comprometidos recebiam cerca de 117.000 downloads semanais. A Red Hat afirmou que removeu os pacotes afetados assim que tomou conhecimento do incidente e que a violação estava restrita a ferramentas de desenvolvimento internas. A investigação ainda está em andamento, mas até o momento não foram identificados impactos em ambientes de clientes ou sistemas de produção da Red Hat. O ataque foi realizado através da conta do GitHub de um funcionário da Red Hat, onde os invasores inseriram commits maliciosos que abusaram do mecanismo de publicação do npm. Os pacotes comprometidos continham um script ‘preinstall’ que executava um arquivo malicioso para roubar credenciais de serviços como AWS, Google Cloud e Azure. A situação é preocupante, pois 32 pacotes e 96 versões foram afetados, e organizações que instalaram versões comprometidas devem rotacionar imediatamente todas as credenciais e segredos utilizados.

O grupo de cibercriminosos conhecido como DriveSurge tem promovido campanhas de distribuição de malware em larga escala, utilizando técnicas como ClickFix e FakeUpdates em sites comprometidos. Pesquisadores da empresa de cibersegurança SilentPush relataram que milhares de sites foram afetados, redirecionando visitantes para infraestruturas de entrega de malware. A técnica ClickFix engana as vítimas, levando-as a executar comandos maliciosos sob a falsa promessa de resolver problemas técnicos. Já os ataques FakeUpdates simulam atualizações de software, como navegadores, para induzir os usuários a baixar e instalar cargas maliciosas. O DriveSurge atua como um corretor de acesso inicial (IAB) em um modelo de pagamento por instalação (PPI), facilitando ataques subsequentes. Os visitantes dos sites comprometidos são redirecionados por um sistema de distribuição de tráfego (TDS) chamado zTDS, que classifica os usuários e decide qual isca utilizar. O relatório destaca um caso em que uma atualização falsa do Firefox resultou no download de um arquivo ZIP contendo executáveis maliciosos. Os pesquisadores identificaram várias assinaturas técnicas associadas à campanha, incluindo injeções de JavaScript e domínios maliciosos. Recomenda-se que os usuários atualizem seus navegadores apenas por meio dos menus de configuração e evitem executar comandos desconhecidos.

Pesquisadores descobriram um pacote npm malicioso que se disfarçava como uma ferramenta de interface do usuário do Codex, da OpenAI. O pacote, denominado ‘codexui-android’, foi baixado mais de 29.000 vezes antes de ser identificado como uma ameaça. Embora o código no GitHub parecesse legítimo, uma atualização no npm introduziu um código que roubava tokens de autenticação do Codex. Esses tokens, especialmente o refresh token, permitem que atacantes acessem contas da OpenAI sem a necessidade de senhas, possibilitando o uso indevido de créditos de API e acesso a projetos e códigos dos desenvolvedores. Além disso, dois aplicativos Android também foram identificados como parte do ataque, com um deles acumulando mais de 50.000 downloads. A gravidade da situação é acentuada pelo fato de que o refresh token não expira, permitindo acesso contínuo e silencioso às contas comprometidas.

Cerca de 1.980 sites WordPress foram comprometidos por um malware que utiliza comentários de perfis da Steam Community para ocultar dados de comando e controle (C2). Os atacantes empregaram caracteres Unicode invisíveis para codificar um payload que gera uma URL para um script malicioso. Essa técnica permite que os hackers evitem a manutenção de uma infraestrutura C2 separada e contornem métodos tradicionais de detecção. A infecção inicial pode ter ocorrido por meio de logins de administrador roubados, credenciais FTP/SFTP comprometidas ou exploração de temas e plugins vulneráveis. O malware, uma vez instalado, utiliza carregamentos de páginas do WordPress para acessar perfis da Steam e extrair texto que, embora pareça benigno, contém caracteres invisíveis que disfarçam cargas maliciosas. O payload decodificado leva a um URL que injeta código JavaScript em todas as páginas do WordPress. Os pesquisadores da GoDaddy alertam que a defesa deve incluir a verificação de URLs da Steam, injeções de JavaScript suspeitas e conexões inesperadas. A restauração a partir de um backup conhecido é a ação recomendada para mitigar os danos.

As autoridades da Holanda anunciaram a desativação de uma botnet que controlava milhões de dispositivos infectados, incluindo computadores, tablets, smartphones e dispositivos IoT. A operação, realizada pela Polícia Holandesa e pelo Centro Nacional de Segurança Cibernética (NCSC), revelou que a rede bot consistia em pelo menos 17 milhões de dispositivos comprometidos, com mais de 200 servidores na Holanda servindo como infraestrutura de backend. Embora o nome da botnet não tenha sido explicitamente divulgado, fontes locais indicam que a Asocks, uma empresa que oferece proxies residenciais, estava envolvida. Em abril de 2024, a equipe de inteligência de ameaças da HUMAN identificou uma campanha chamada PROXYLIB, que utilizava dispositivos Android infectados com software de proxy da LumiApps e Asocks. A NCSC alertou que dispositivos podem ser incorporados a uma botnet quando acessíveis a atacantes, que podem instalar malware para controle remoto. Para mitigar esses riscos, recomenda-se manter sistemas operacionais atualizados, usar senhas fortes e habilitar autenticação de dois fatores. Essa situação destaca a necessidade de vigilância constante e práticas de segurança robustas para proteger dispositivos conectados à internet.

As autoridades holandesas desmantelaram uma botnet composta por 17 milhões de dispositivos, apreendendo mais de 200 servidores de um provedor local que apoiava suas operações. A ação foi resultado de uma investigação conjunta da polícia e do Centro Nacional de Segurança Cibernética (NCSC) do país. Os servidores apreendidos eram responsáveis por controlar computadores, tablets e smartphones para realizar ciberataques, como ataques de negação de serviço distribuídos (DDoS) e mineração de criptomoedas. Embora a botnet não tenha sido nomeada oficialmente, a mídia local sugere que ela estava associada ao serviço Asocks, que oferece proxies para atividades online. A NCSC destacou que os proprietários dos dispositivos infectados não estavam cientes de que estavam contribuindo para atividades criminosas. Para prevenir infecções por botnets, as autoridades recomendam a alteração de credenciais padrão, a atualização do firmware e a desativação de painéis de administração remota quando não forem necessários.