Malware

O primeiro boletim de ameaças de 2026 revela um cenário alarmante de cibersegurança, onde novas brechas e táticas de ataque estão emergindo rapidamente. Um caso notável envolve a prisão de um cidadão lituano que infectou 2,8 milhões de sistemas com malware disfarçado de ferramenta de ativação do Windows, resultando em um roubo de ativos virtuais avaliado em cerca de 1,2 milhão de dólares. Além disso, uma campanha coordenada tem como alvo servidores Adobe ColdFusion, explorando mais de 10 vulnerabilidades conhecidas. A descoberta de malware pré-instalado em tablets Android, denominado Keenadu, também destaca a crescente preocupação com backdoors que permitem acesso remoto a dados. Outro ponto crítico é o fechamento do subreddit r/ChatGPTJailbreak, que promovia métodos para contornar filtros de segurança em modelos de linguagem, refletindo a luta contínua contra a exploração de IA. Por fim, a campanha GlassWorm voltou a atacar usuários de macOS, visando roubar credenciais e dados de carteiras digitais. O cenário é um lembrete de que as ameaças cibernéticas estão se tornando cada vez mais sofisticadas e diversificadas, exigindo vigilância constante das organizações.

Pesquisadores de cibersegurança revelaram uma campanha persistente de nove meses que visou dispositivos da Internet das Coisas (IoT) e aplicações web, com o objetivo de integrá-los a uma botnet chamada RondoDox. Desde dezembro de 2025, a campanha tem explorado a vulnerabilidade React2Shell (CVE-2025-55182), que permite a execução remota de código em dispositivos vulneráveis. Estima-se que cerca de 90.300 instâncias ainda estejam suscetíveis a essa falha, com a maioria localizada nos EUA. A RondoDox, que surgiu no início de 2025, ampliou seu alcance ao adicionar novas vulnerabilidades ao seu arsenal. A campanha passou por três fases distintas, incluindo reconhecimento inicial e exploração em larga escala. Em dezembro de 2025, os atacantes começaram a escanear servidores Next.js vulneráveis e tentaram implantar mineradores de criptomoedas e variantes da botnet Mirai. Para mitigar os riscos, as organizações são aconselhadas a atualizar suas versões do Next.js, segmentar dispositivos IoT em VLANs dedicadas e monitorar processos suspeitos.

Em 2 de novembro de 1988, a internet, então conhecida como ARPANET, enfrentou um dos primeiros grandes incidentes de segurança cibernética com o surgimento do Morris Worm, criado por Robert Tappan Morris. O worm, que tinha como objetivo medir o tamanho da rede, acabou causando a negação de serviço (DoS) em cerca de 6.000 computadores, o que representava aproximadamente 10% da internet da época. O programa explorava vulnerabilidades em sistemas de e-mail e protocolos de identificação de usuários, além de adivinhar senhas comuns. A replicação agressiva do worm dificultou sua erradicação, levando universidades a desconectar fisicamente suas redes para conter a propagação. O incidente resultou em prejuízos estimados em até US$ 10 milhões e levou à criação do CERT/CC, um time de resposta a emergências cibernéticas. Morris foi processado e se tornou a primeira pessoa condenada sob a lei de Abuso e Fraude Computacional dos EUA, recebendo uma pena leve. O caso destacou a necessidade de segurança em software e a importância de protocolos de resposta a incidentes, influenciando o desenvolvimento de melhores práticas de segurança na internet.

Um levantamento da ESET, empresa de cibersegurança, revelou as principais ameaças digitais enfrentadas no Brasil em 2025, destacando a prevalência dos trojans bancários e ataques de phishing. Os trojans bancários, representados por 11,47% das detecções, são malwares que visam sistemas financeiros, explorando a crescente digitalização das transações. O phishing, em segundo lugar com 7,49%, continua a ser uma técnica comum, utilizando engenharia social para enganar as vítimas. Outras ameaças notáveis incluem o Downloader Rugmi (6,48%), que prepara o terreno para a instalação de malwares, e o Guildma (5,8%), um trojan que finge ser um aplicativo seguro para roubar informações financeiras. O Kryptik (5,08%) fecha a lista, sendo utilizado para propagar outros malwares. Para se proteger, a ESET recomenda o uso de antivírus atualizados, cautela com comunicações suspeitas e programas de conscientização em empresas. O estudo ressalta a importância da conscientização e da proteção contra essas ameaças em um cenário digital em constante evolução.

Um novo relatório da Koi Security revelou que o ator de ameaças por trás das campanhas de extensões de navegador maliciosas ShadyPanda e GhostPoster também está vinculado a uma terceira campanha chamada DarkSpectre, que impactou 2,2 milhões de usuários dos navegadores Google Chrome, Microsoft Edge e Mozilla Firefox. Ao longo de mais de sete anos, essas campanhas afetaram mais de 8,8 milhões de usuários. A ShadyPanda, que visa roubo de dados e fraudes de afiliados, foi identificada como responsável por 5,6 milhões de vítimas, enquanto a GhostPoster foca em usuários do Firefox, injetando códigos maliciosos em ferramentas aparentemente inofensivas. A campanha DarkSpectre, por sua vez, utiliza 18 extensões para coletar informações de reuniões corporativas, como URLs e senhas. As extensões maliciosas foram projetadas para parecer legítimas, acumulando confiança dos usuários antes de ativar comportamentos prejudiciais. A operação está ligada a um ator de ameaças chinês, com indícios de espionagem corporativa e coleta sistemática de inteligência de reuniões.

Pesquisadores de cibersegurança identificaram uma nova variante do malware Shai Hulud no registro npm, que apresenta modificações em relação à versão anterior detectada em novembro de 2025. O pacote malicioso, intitulado ‘@vietmoney/react-big-calendar’, foi publicado em março de 2021 e atualizado pela primeira vez em dezembro de 2025. Desde sua publicação, o pacote foi baixado 698 vezes, com 197 downloads da versão mais recente. Aikido, a empresa que fez a descoberta, não observou uma disseminação significativa ou infecções até o momento, sugerindo que os atacantes podem estar testando sua carga útil. As alterações no código indicam que a nova variante foi ofuscada a partir do código-fonte original, o que sugere que o autor tinha acesso ao código original do worm. Além disso, um pacote malicioso foi encontrado no Maven Central, disfarçado como uma extensão legítima da biblioteca Jackson JSON, que também incorpora um ataque em múltiplas etapas. Essa situação destaca a vulnerabilidade das cadeias de suprimento de software e a necessidade de vigilância constante por parte dos desenvolvedores e empresas para evitar a exploração de pacotes maliciosos.

O Escritório de Controle de Ativos Estrangeiros do Departamento do Tesouro dos EUA (OFAC) retirou três indivíduos associados ao Consórcio Intellexa, responsável pelo spyware comercial Predator, da lista de nacionais designados. Os indivíduos são Merom Harpaz, Andrea Nicola Constantino Hermes Gambazzi e Sara Aleksandra Fayssal Hamou. Harpaz e Gambazzi foram sancionados em 2024 por desenvolver e distribuir o Predator, que é conhecido por sua capacidade de operar de forma furtiva e coletar dados sensíveis de dispositivos infectados. O motivo da remoção dos nomes da lista não foi esclarecido. O Predator é frequentemente utilizado em ataques direcionados a jornalistas, ativistas e políticos, levantando preocupações sobre a segurança e os direitos humanos. Recentemente, um relatório da Anistia Internacional destacou um ataque a um advogado de direitos humanos no Paquistão via WhatsApp, utilizando o Predator. A crescente proliferação de spyware comercial, como o Predator, representa um risco significativo à segurança nacional dos EUA e de seus cidadãos, conforme alertado pelo OFAC, que enfatiza a necessidade de regulamentações para o uso responsável dessas tecnologias.

Os infostealers são malwares projetados para roubar informações sensíveis de sistemas infectados, operando de forma discreta e silenciosa. Ao contrário de ransomwares, que sequestram dados, os infostealers se concentram em coletar credenciais, como nomes de usuário e senhas, armazenadas em navegadores como Google Chrome e Firefox. Esses dados são enviados para servidores controlados por cibercriminosos, permitindo acesso a contas de e-mail e redes sociais sem a necessidade de autenticação adicional.

Um homem lituano de 29 anos foi preso por sua suposta participação na infecção de 2,8 milhões de sistemas com um malware disfarçado de KMSAuto, uma ferramenta popular para ativar o Windows e o Microsoft Office sem custos. As autoridades coreanas relataram que o criminoso enganou as vítimas a baixarem um ativador malicioso, que escaneava a área de transferência em busca de credenciais de criptomoeda, substituindo-as por endereços controlados por ele. O ataque resultou em um roubo de 1,7 bilhão de won coreano, equivalente a milhões de reais, através de 8,4 mil transações online. A investigação começou em agosto de 2020, após uma denúncia de cryptojacking, onde o malware alterava endereços de carteiras de criptomoeda sem o conhecimento dos usuários. O caso destaca a crescente ameaça de malware escondido em ferramentas piratas e a necessidade de conscientização sobre os riscos associados ao uso de software não autorizado.

Especialistas da KOI identificaram que a extensão de VPN Urban VPN, com mais de 6 milhões de usuários, está coletando secretamente conversas de usuários de ferramentas de inteligência artificial, como ChatGPT e Gemini. Apesar de sua promessa de segurança, a extensão utiliza um código malicioso que intercepta o tráfego entre o usuário e as plataformas de IA, permitindo a captura de dados pessoais, incluindo perguntas e respostas, mesmo quando a VPN não está conectada. Os dados coletados são enviados para um servidor da Urban VPN e posteriormente comercializados para análises de marketing, afetando mais de 8 milhões de usuários dos navegadores Chrome e Edge. A KOI recomenda a desinstalação imediata da extensão, pois ela pode ser uma porta de entrada para outras ameaças digitais. Este incidente destaca a importância da vigilância em relação a ferramentas que prometem privacidade, mas que podem comprometer a segurança dos usuários.

Um novo golpe de cibersegurança tem chamado a atenção ao utilizar um pacote de API falso do WhatsApp, conhecido como ’lotusbail’, que já foi baixado mais de 56 mil vezes desde seu lançamento em maio de 2025. Especialistas da Koi Security alertam que, embora o pacote pareça funcional, ele é projetado para roubar credenciais do WhatsApp, interceptar mensagens e instalar um backdoor persistente no dispositivo da vítima. O ataque se concretiza através da captura de tokens de autenticação, permitindo que os hackers vinculem seu dispositivo à conta da vítima sem que esta perceba. Mesmo após a desinstalação do pacote, o acesso à conta permanece, pois a vinculação não é removida automaticamente. O malware utiliza técnicas de antidepuração para evitar ser detectado, tornando-se um risco significativo para os usuários do WhatsApp. Este incidente destaca a necessidade urgente de conscientização e proteção contra ameaças digitais, especialmente em plataformas amplamente utilizadas como o WhatsApp.

Um novo golpe está afetando usuários de Android na Turquia, onde criminosos estão utilizando aplicativos relacionados ao sistema jurídico para disseminar um trojan chamado Frogblight, que tem como objetivo roubar dados bancários. O malware foi identificado pela primeira vez em agosto de 2025 e é propagado por meio de smishing, uma técnica de phishing que utiliza mensagens SMS fraudulentas. As vítimas recebem mensagens que alegam envolvimento em processos judiciais ou a possibilidade de receber auxílio financeiro, levando-as a clicar em links que baixam aplicativos maliciosos.

O grupo de cibercrime conhecido como Silver Fox, originário da China, está direcionando suas campanhas de phishing para a Índia, utilizando iscas relacionadas a impostos de renda para disseminar um trojan modular de acesso remoto chamado ValleyRAT. A análise da CloudSEK revela que esses ataques sofisticados empregam uma cadeia de ataque complexa, incluindo o sequestro de DLLs e a persistência do malware. Os e-mails de phishing contêm PDFs falsos que, ao serem abertos, redirecionam os usuários para um domínio malicioso onde um arquivo ZIP é baixado. Este arquivo contém um instalador que, por sua vez, utiliza um executável legítimo para instalar o ValleyRAT, que se comunica com um servidor externo e pode realizar atividades como registro de teclas e coleta de credenciais. A campanha também se beneficia de técnicas de SEO para distribuir instaladores de backdoor de aplicativos populares, visando principalmente indivíduos e organizações de língua chinesa. A NCC Group identificou um painel de gerenciamento exposto que rastreia a atividade de downloads relacionados a esses instaladores maliciosos, revelando que a maioria dos cliques nos links de download se originou da China, seguida por outros países. Essa situação destaca a necessidade de vigilância e medidas de segurança robustas para mitigar os riscos associados a esses ataques.

O grupo de hackers conhecido como Mustang Panda, vinculado à China, utilizou um driver de rootkit em modo kernel não documentado para implantar uma nova variante de backdoor chamada TONESHELL. Essa atividade foi detectada em meados de 2025, com foco em entidades governamentais na Ásia, especialmente em Myanmar e Tailândia. O driver malicioso, assinado com um certificado digital roubado, atua como um minifiltro, injetando o trojan TONESHELL nos processos do sistema e protegendo arquivos maliciosos e chaves de registro. O TONESHELL possui capacidades de shell reverso e downloader, permitindo que os atacantes baixem malware adicional em máquinas comprometidas. A infraestrutura de comando e controle (C2) foi estabelecida em setembro de 2024, e o ataque pode ter explorado máquinas previamente comprometidas. A detecção do shellcode injetado é crucial para identificar a presença do backdoor. A Kaspersky destacou que a evolução das operações do Mustang Panda mostra um uso crescente de injetores em modo kernel, aumentando a furtividade e a resiliência das suas atividades maliciosas.

Um novo golpe de cibersegurança está em andamento, onde hackers estão utilizando um domínio falso do Microsoft Activation Scripts (MAS) para disseminar malware, especificamente o Cosmali Loader. Esse malware é ativado quando usuários digitam incorretamente o comando ‘get.activated.win’ no PowerShell, substituindo por ‘get.activate[.]win’, um domínio malicioso. Os usuários afetados relataram receber pop-ups informando sobre a infecção, que pode incluir um trojan de acesso remoto e funcionalidades de mineração de criptomoedas. Especialistas em cibersegurança alertam que a utilização de scripts de ativação não oficiais do Windows pode ser arriscada e recomendam cautela ao inserir comandos desconhecidos. A situação destaca a importância de verificar a autenticidade de ferramentas de ativação e a necessidade de educação contínua sobre segurança digital para evitar tais armadilhas.

Criminosos digitais estão utilizando o Telegram como plataforma para disseminar aplicativos clonados que roubam dados de usuários de dispositivos Android. Especialistas do Group-IB identificaram uma campanha de phishing que se aproveita da confiança em aplicativos legítimos, como os disponíveis na Play Store. Os hackers criam versões falsas de aplicativos populares e, ao serem instalados, esses aplicativos maliciosos atuam como droppers, implantando um payload agressivo sem necessidade de conexão com a internet. A infecção ocorre através do sequestro de SMS, utilizando um malware chamado Wonderland, que permite a execução de comandos maliciosos em tempo real. Até o momento, a campanha foi observada principalmente no Uzbequistão, mas a técnica pode ser facilmente replicada em outros locais. O malware intercepta senhas de uso único e informações sensíveis, como credenciais bancárias, e se propaga entre os contatos da vítima. Para que o malware funcione, o usuário deve permitir a instalação de fontes desconhecidas, o que facilita o sequestro do número de celular e a continuidade da infecção. A estratégia dos hackers é criar uma aparência de legitimidade para enganar as vítimas e burlar verificações de segurança.

Uma nova campanha de malware, chamada GhostPoster, tem afetado usuários do navegador Firefox ao utilizar logos de 17 extensões legítimas para disseminar um software malicioso. Segundo a Koi Security, essas extensões foram baixadas mais de 50 mil vezes antes de serem desativadas. O malware é projetado para rastrear as atividades dos usuários e realizar fraudes, como sequestrar links de afiliados e injetar códigos de rastreamento. Os hackers se aproveitam de ícones de VPNs, bloqueadores de anúncios e ferramentas populares, como versões falsas do Google Tradutor, para enganar os usuários. Após a instalação, o malware analisa o sistema em busca de um marcador específico e se conecta a um servidor externo, iniciando uma série de ações maliciosas, como a interceptação de links de e-commerce e a criação de perfis falsos no Google Analytics. O software malicioso opera de forma furtiva, com um loader que espera até 48 horas entre as tentativas de busca, dificultando sua detecção. Essa situação levanta preocupações sobre a segurança dos dados dos usuários e a eficácia das medidas de proteção existentes.

A Trust Wallet, serviço de carteira de criptomoedas, está alertando seus usuários para atualizarem a extensão do Google Chrome após um incidente de segurança que resultou na perda de aproximadamente US$ 7 milhões. O problema afeta a versão 2.68 da extensão, que possui cerca de um milhão de usuários. A empresa recomenda a atualização imediata para a versão 2.69. O ataque, conforme relatado pela SlowMist, introduziu um código malicioso que acessava as carteiras armazenadas na extensão e solicitava a frase mnemônica de cada uma. Essa informação era então enviada para um servidor controlado pelo atacante. Até o momento, cerca de US$ 3 milhões em Bitcoin, US$ 431 em Solana e mais de US$ 3 milhões em Ethereum foram drenados. A Trust Wallet afirmou que está trabalhando para reembolsar todos os usuários afetados e pediu que os usuários evitem interagir com mensagens que não venham de seus canais oficiais. A possibilidade de que o ataque tenha sido realizado por um ator de estado-nação foi levantada, e o cofundador da Binance, Changpeng Zhao, sugeriu que o ataque pode ter sido realizado por um insider.

O cenário da cibersegurança está se tornando cada vez mais complexo, com atacantes utilizando ferramentas comuns e interfaces familiares para realizar suas atividades maliciosas. Recentemente, foi identificado um padrão de ataques que se destaca pela precisão, paciência e persuasão, onde os invasores não se destacam, mas se camuflam em atividades normais. Um exemplo é o uso do Nezha, uma ferramenta de monitoramento de código aberto, que está sendo explorada por cibercriminosos para obter acesso remoto a sistemas comprometidos. Além disso, a Coreia do Sul implementou uma nova política que exige reconhecimento facial para a ativação de novos números de telefone, visando combater fraudes e roubo de identidade. Por outro lado, a detecção de malware que explora NFC em dispositivos Android aumentou em 87% na segunda metade de 2025, demonstrando a crescente sofisticação das ameaças. Outro ponto alarmante é a distribuição de exploits falsos que visam profissionais inexperientes em segurança da informação, levando à instalação de backdoors como o WebRAT. Esses incidentes ressaltam a importância de uma conscientização mais aguda sobre as ameaças cibernéticas e a necessidade de estratégias de defesa mais eficazes, que vão além de simplesmente construir muros de proteção.

Pesquisadores de cibersegurança descobriram uma nova variante do malware MacSync, um ladrão de informações para macOS, que é distribuído por meio de um aplicativo Swift assinado digitalmente e notariado, disfarçado como instalador de um aplicativo de mensagens. Essa abordagem visa contornar as verificações de segurança da Apple, como o Gatekeeper. Ao contrário de variantes anteriores que utilizavam técnicas de arrastar para o terminal, esta versão adota uma abordagem mais enganosa e automatizada. O instalador, nomeado ‘zk-call-messenger-installer-3.9.2-lts.dmg’, foi encontrado em um site específico e, apesar de ser assinado, exibe instruções para que os usuários abram o aplicativo manualmente, uma tática comum para evitar bloqueios. O dropper em Swift realiza várias verificações antes de baixar e executar um script codificado, incluindo a validação da conectividade com a internet e a remoção de atributos de quarentena. Além disso, a nova variante apresenta mudanças significativas na forma como o payload é recuperado, utilizando comandos que visam melhorar a confiabilidade e evitar detecções. A inclusão de documentos PDF irrelevantes no DMG também serve como uma técnica de evasão, aumentando o tamanho do arquivo para 25,5 MB. O MacSync, uma versão rebranded do Mac.c, possui capacidades de controle remoto além do roubo de dados, refletindo uma tendência crescente de malware que se disfarça como aplicativos legítimos.

Recentemente, duas campanhas de malware têm se destacado por enganar usuários e comprometer dispositivos. A primeira, identificada pela Cyderes, envolve a distribuição de software pirata, especificamente um loader chamado CountLoader. Este malware é instalado quando a vítima tenta baixar versões crackeadas de programas legítimos, como o Microsoft Word, através de links em sites falsos. O arquivo ZIP corrompido contém um documento que, ao ser aberto, executa comandos maliciosos, criando uma tarefa agendada que permite ao malware coletar dados sensíveis do usuário, burlando até mesmo a detecção de antivírus.

Pesquisadores de cibersegurança identificaram duas extensões maliciosas do Google Chrome, ambas com o nome ‘Phantom Shuttle’, que interceptam tráfego e capturam credenciais de usuários. Publicadas por um mesmo desenvolvedor, as extensões prometem ser um plug-in de teste de velocidade de rede, mas na verdade atuam como proxies man-in-the-middle, coletando dados sensíveis. Os usuários pagam entre ¥9.9 e ¥95.9 CNY (aproximadamente R$ 1,40 a R$ 13,50) acreditando que estão adquirindo um serviço legítimo de VPN. Após a ativação, as extensões injetam credenciais de proxy em solicitações de autenticação HTTP, permitindo que os atacantes capturem informações como senhas, números de cartão de crédito e dados de navegação. A operação, que parece ter origem na China, utiliza uma infraestrutura profissional para parecer legítima, enquanto compromete a segurança dos usuários. É recomendado que os usuários removam essas extensões imediatamente e que as equipes de segurança implementem medidas de monitoramento e controle de extensões no ambiente corporativo.

Pesquisadores de cibersegurança revelaram um novo pacote malicioso no repositório npm, chamado ’lotusbail’, que se disfarça como uma API funcional do WhatsApp. Desde sua publicação em maio de 2025, o pacote foi baixado mais de 56.000 vezes, com 711 downloads apenas na última semana. O malware é capaz de interceptar mensagens, roubar credenciais do WhatsApp e instalar um backdoor persistente no dispositivo da vítima. Ele captura tokens de autenticação, histórico de mensagens, listas de contatos e arquivos de mídia, enviando esses dados para um servidor controlado pelo atacante de forma criptografada. Além disso, o pacote permite que o dispositivo do invasor se conecte à conta do WhatsApp da vítima, garantindo acesso contínuo mesmo após a desinstalação do pacote. A técnica utilizada envolve um wrapper malicioso de WebSocket que redireciona informações de autenticação e mensagens. O ’lotusbail’ também possui funcionalidades anti-debugging que dificultam a detecção. Este incidente destaca a crescente sofisticação dos ataques à cadeia de suprimentos, onde pacotes maliciosos se disfarçam como ferramentas legítimas, representando um risco significativo para desenvolvedores e usuários do WhatsApp.

Um novo malware chamado Wonderland, que se disfarça como aplicativos legítimos, está sendo utilizado por grupos de ameaças para roubar mensagens SMS de usuários de Android no Uzbequistão. Anteriormente, os atacantes usavam APKs de trojans que atuavam como malware imediatamente após a instalação. Agora, eles estão utilizando aplicativos dropper, que parecem inofensivos, mas contêm um payload malicioso que é ativado localmente após a instalação, mesmo sem conexão com a internet. O Wonderland permite comunicação bidirecional com o servidor de comando e controle (C2), possibilitando o roubo de SMS e a execução de comandos em tempo real. Os atacantes, conhecidos como TrickyWonders, utilizam o Telegram para coordenar suas operações e distribuem o malware através de páginas falsas do Google Play, campanhas publicitárias e contas falsas em aplicativos de namoro. Uma vez instalado, o malware pode interceptar senhas de uso único (OTPs) e acessar informações bancárias dos usuários. A evolução do malware na região mostra um aumento na sofisticação das técnicas utilizadas, tornando a detecção e mitigação mais desafiadoras para os usuários e profissionais de segurança.

Pesquisadores de segurança identificaram novas atividades do grupo de hackers iraniano Infy, também conhecido como Príncipe da Pérsia, quase cinco anos após suas últimas ações. O grupo, um dos mais antigos atores de ameaças persistentes avançadas (APT), é considerado ativo e perigoso, com operações que datam de 2004. Recentemente, foram descobertas campanhas que visam vítimas em países como Irã, Iraque, Turquia, Índia, Canadá e na Europa, utilizando versões atualizadas de dois malwares: Foudre e Tonnerre. Foudre, um downloader, é distribuído por meio de e-mails de phishing e é responsável por instalar o Tonnerre, que extrai dados de máquinas de alto valor. A análise revelou uma mudança nas táticas, com o uso de arquivos executáveis em documentos do Excel para instalar o malware. Além disso, o grupo utiliza um algoritmo de geração de domínio (DGA) para fortalecer sua infraestrutura de comando e controle (C2). O Tonnerre, em sua versão mais recente, também se conecta a um grupo no Telegram, o que é uma abordagem inovadora para comunicação entre o malware e seus operadores. Apesar de parecer inativo em 2022, o grupo continua a operar de forma discreta, levantando preocupações sobre suas capacidades e intenções futuras.

O malware fileless é uma nova forma de ataque cibernético que opera diretamente na memória RAM dos dispositivos, evitando a detecção por ferramentas tradicionais de segurança. Diferente dos vírus convencionais, que se instalam no disco rígido, esse tipo de malware utiliza técnicas conhecidas como ‘Living off the Land’, que aproveitam ferramentas legítimas do sistema, como PowerShell e macros do Office, para realizar ações maliciosas. O ataque geralmente começa com e-mails de phishing ou documentos comprometidos, que, ao serem abertos, executam comandos ocultos que não deixam vestígios permanentes no sistema. Isso torna a detecção extremamente difícil, pois não há arquivos maliciosos a serem escaneados. Casos como o da Equifax, onde dados de 147,9 milhões de pessoas foram expostos, ilustram a gravidade dessa ameaça. Para se proteger, é essencial atualizar softwares, ter cuidado com macros, usar ferramentas que monitoram comportamentos suspeitos e desativar funções desnecessárias. A vigilância constante e a higiene digital são fundamentais para evitar infecções por esse tipo de malware.

O Departamento de Justiça dos EUA anunciou o indiciamento de 54 indivíduos envolvidos em um esquema de jackpotting que resultou em milhões de dólares em fraudes em caixas eletrônicos (ATMs). O grupo, associado à gangue venezuelana Tren de Aragua, utilizou um malware chamado Ploutus para hackear ATMs e forçá-los a liberar dinheiro. As investigações revelaram que os membros do grupo realizaram vigilância metódica e técnicas de arrombamento para instalar o malware, que permite comandos não autorizados para saques. Desde 2021, foram registrados 1.529 incidentes de jackpotting nos EUA, resultando em perdas de aproximadamente 40,73 milhões de dólares. O uso do Ploutus, que foi detectado pela primeira vez no México em 2013, destaca a vulnerabilidade de ATMs, especialmente aqueles que operam com sistemas mais antigos, como o Windows XP. O impacto financeiro e a conexão com atividades terroristas tornam este caso alarmante, exigindo atenção das autoridades e da indústria financeira.

Uma nova campanha de malware, identificada como parte da operação ClickFix, está enganando usuários com alertas falsos de extensão no navegador. Especialistas da Point Wild alertam que o ataque utiliza engenharia social para induzir as vítimas a instalar manualmente um software malicioso chamado DarkGate. O golpe simula o desaparecimento de uma extensão do Word, levando o usuário a clicar em um botão de ‘como corrigir’, que promete restaurar o acesso ao documento. Ao clicar, um comando do PowerShell é inserido na área de transferência do navegador, permitindo que os hackers conduzam o ataque sem que a vítima perceba. Uma vez instalado, o DarkGate pode baixar arquivos maliciosos e se camuflar em scripts codificados, tornando-se persistente mesmo após reinicializações do sistema. O malware coleta informações sensíveis e as envia para os servidores dos criminosos, explorando a confiança do usuário e a falta de atenção para os riscos online. Este tipo de ataque representa um desafio significativo para a segurança cibernética, pois pode passar despercebido até mesmo por sistemas de antivírus.

Pesquisadores de cibersegurança alertaram sobre o surgimento do malware SantaStealer, que opera sob um modelo de malware como serviço. Este novo software malicioso, uma versão rebranded do BluelineStealer, é acessível a cibercriminosos de baixo nível por meio de assinaturas mensais que variam de $175 a $300. SantaStealer possui quatorze módulos distintos que coletam dados simultaneamente, incluindo credenciais de navegadores, cookies, histórico de navegação, informações de carteiras de criptomoedas e dados de aplicativos de mensagens. Os dados roubados são comprimidos e enviados para um servidor de comando e controle. O malware também captura capturas de tela e tem a capacidade de contornar a criptografia de aplicativos do Chrome. Embora atualmente não esteja amplamente distribuído, os pesquisadores notaram que as táticas de ataque incluem phishing e downloads de software pirata. A proteção apenas por firewall pode não ser suficiente para evitar esses vetores de ataque, e a detecção de antivírus continua sendo eficaz contra as amostras observadas. Apesar de sua capacidade técnica, SantaStealer é mais notável por sua estratégia de marketing do que por sua maturidade técnica.

Um novo malware, identificado como NANOREMOTE, está utilizando a API do Google Drive para controlar sistemas operacionais Windows de forma discreta. A descoberta foi realizada por especialistas da Elastic Security Labs, que relataram que o malware funciona como um backdoor, permitindo que os cibercriminosos acessem o centro de comando da plataforma para transferir dados entre o dispositivo da vítima e seus servidores. O NANOREMOTE é capaz de roubar informações, executar comandos e manipular arquivos, tudo isso sem que o usuário perceba. O malware também possui um gerenciador de tarefas que automatiza downloads e uploads, facilitando a ação criminosa. Embora os pesquisadores ainda não tenham identificado como o NANOREMOTE é distribuído, acredita-se que um grupo chinês de ciberataques esteja por trás da campanha, visando setores estratégicos como governo, defesa, telecomunicações, educação e aviação, principalmente no sudeste asiático e na América do Sul desde 2023. O malware se comunica com um endereço IP fixo e não roteável, utilizando solicitações HTTP para enviar e receber dados, o que aumenta sua furtividade. Essa situação levanta preocupações sobre a segurança de dados e a necessidade de vigilância constante em ambientes corporativos.

Pesquisadores de cibersegurança revelaram uma nova campanha que utiliza sites de distribuição de software crackeado como vetor para uma versão modular e furtiva do loader conhecido como CountLoader. Essa campanha inicia-se quando usuários desavisados tentam baixar versões piratas de softwares legítimos, como o Microsoft Word, sendo redirecionados para links maliciosos que hospedam arquivos ZIP contendo um interpretador Python renomeado. O malware, uma vez instalado, estabelece persistência no sistema e pode baixar e executar outros malwares, como o ACR Stealer, que coleta dados sensíveis. CountLoader é projetado para contornar ferramentas de segurança, como o Falcon da CrowdStrike, e possui capacidades de propagação via dispositivos USB. Além disso, a Check Point revelou um loader JavaScript chamado GachiLoader, distribuído por meio de contas comprometidas do YouTube, que também implanta malwares adicionais. Essa evolução das técnicas de malware destaca a necessidade de estratégias de defesa em camadas e detecção proativa.

Um novo malware, identificado como Cellik, está causando sérios problemas em dispositivos Android. Este trojan de acesso remoto (RAT) é capaz de clonar aplicativos legítimos da Play Store, permitindo que hackers obtenham controle total dos aparelhos das vítimas. O Cellik é comercializado em fóruns da dark web e oferece uma gama de ferramentas para comprometer sistemas, criando uma falsa sensação de legitimidade. Ao instalar o aplicativo comprometido, a vítima permite que o malware acesse a tela do dispositivo, registre teclas digitadas, intercepte notificações e navegue de forma oculta na internet. O Cellik também consegue acessar o sistema de arquivos do aparelho e utilizar cookies armazenados para roubar credenciais de login. O que torna esse malware particularmente perigoso é sua capacidade de se integrar à Play Store, burlando sistemas de segurança como o Google Play Protect, que não consegue detectar a presença do trojan. Essa situação levanta preocupações significativas sobre a segurança dos usuários e a eficácia das medidas de proteção atualmente disponíveis.

Um novo grupo de ameaças cibernéticas, conhecido como LongNosedGoblin, foi identificado como responsável por uma série de ataques direcionados a entidades governamentais no Sudeste Asiático e no Japão. O objetivo principal dessas ações é a espionagem cibernética, conforme relatado pela empresa de cibersegurança ESET. As atividades do grupo foram detectadas desde setembro de 2023 e utilizam o mecanismo de Group Policy para implantar malware em redes comprometidas, além de serviços de nuvem como Microsoft OneDrive e Google Drive como servidores de comando e controle.

O SantaStealer é um novo malware do tipo ladrão de informações (infostealer) que está sendo comercializado em fóruns de hackers e no Telegram. Ele é uma versão rebranded do BluelineStealer e foi identificado por pesquisadores da Rapid7. O malware opera diretamente na memória do sistema, dificultando sua detecção. Com uma assinatura básica custando US$ 175 por mês, o SantaStealer oferece 14 módulos de coleta de dados, permitindo o roubo de informações de navegadores, senhas, cookies, histórico, contas de aplicativos como Telegram e Discord, além de documentos e dados de criptomoedas. Os dados são enviados para um servidor de comando e controle em pacotes de 10 MB. Embora tenha capacidades avançadas, o malware ainda não está totalmente operacional e não é amplamente distribuído. Os pesquisadores alertam sobre métodos de ataque como phishing e comandos colados no terminal do Windows, recomendando cautela ao abrir links e anexos suspeitos.

O boletim semanal de ameaças cibernéticas destaca a evolução das táticas de ataque, com um foco em um esquema de fraude internacional desmantelado na Ucrânia, onde mais de 400 vítimas perderam mais de €10 milhões. As autoridades europeias, em colaboração com a Eurojust, prenderam 12 suspeitos envolvidos em call centers que enganavam vítimas, utilizando técnicas como a simulação de policiais para obter informações bancárias. Além disso, o governo do Reino Unido está pressionando a Apple e o Google a implementar sistemas de bloqueio de nudez em dispositivos móveis, visando proteger crianças. Outra ameaça emergente é o malware SantaStealer, que coleta dados sensíveis e opera de forma modular, dificultando a detecção. O artigo também menciona a resiliência de provedores de Bulletproof Hosting, que permitem que criminosos cibernéticos operem com agilidade. Por fim, novas técnicas de engenharia social, como o ataque GhostPairing, estão sendo utilizadas para sequestrar contas do WhatsApp, destacando a necessidade de vigilância constante. O cenário cibernético continua a se transformar rapidamente, exigindo atenção das organizações para mitigar riscos.

O grupo de ameaças cibernéticas norte-coreano Kimsuky está vinculado a uma nova campanha que distribui uma variante de malware para Android chamada DocSwap. O malware é disseminado por meio de QR codes hospedados em sites de phishing que imitam a empresa de logística CJ Logistics. Os atacantes utilizam QR codes e pop-ups de notificação para enganar as vítimas, levando-as a instalar o malware em seus dispositivos móveis. A aplicação maliciosa, ao ser instalada, decripta um APK embutido e ativa um serviço que permite controle remoto (RAT) do dispositivo. Para contornar as advertências de segurança do Android, os atacantes apresentam o aplicativo como uma versão oficial e segura. Além disso, a campanha utiliza mensagens de smishing e e-mails de phishing que se passam por empresas de entrega para atrair as vítimas. Uma vez instalado, o malware pode registrar teclas, capturar áudio, acessar a câmera, realizar operações de arquivos e coletar dados sensíveis, como mensagens SMS e contatos. O ataque também inclui amostras disfarçadas de aplicativos legítimos, como um VPN, demonstrando a evolução das táticas do grupo. A análise revela que os sites de phishing estão associados a campanhas anteriores de coleta de credenciais, aumentando a preocupação com a segurança dos usuários na Coreia do Sul e potencialmente em outros locais, incluindo o Brasil.

A botnet Kimwolf, identificada pela QiAnXin XLab, já infectou cerca de 1,8 milhão de dispositivos, incluindo TVs Android e set-top boxes. Entre 19 e 22 de novembro de 2025, a botnet emitiu 1,7 bilhão de comandos de ataque DDoS, destacando-se no ranking da Cloudflare. Os principais alvos são dispositivos de TV em redes residenciais, com infecções concentradas em países como Brasil, Índia e EUA. A botnet utiliza técnicas avançadas, como o uso de ENS (Ethereum Name Service) para dificultar sua desativação. A pesquisa sugere que Kimwolf pode estar associada à botnet AISURU, conhecida por ataques DDoS recordes. A malware é projetada para operar de forma discreta, garantindo que apenas uma instância do processo seja executada e utilizando criptografia TLS para comunicação. Com 13 métodos de ataque DDoS suportados, a botnet visa maximizar o uso da largura de banda dos dispositivos comprometidos, indicando um foco em monetização através de serviços de proxy. Este incidente destaca a crescente ameaça que botnets de grande escala representam para dispositivos IoT, especialmente em um cenário onde a segurança cibernética é cada vez mais crítica.

Uma nova campanha de cibersegurança está ameaçando usuários do Microsoft Teams e do Google Meet no Brasil, com downloads falsos que disseminam malware. Especialistas da CyberProof identificaram que cibercriminosos estão utilizando técnicas de envenenamento de SEO para manipular resultados de busca, fazendo com que sites fraudulentos apareçam no topo. Ao acessar esses sites, os usuários acreditam estar baixando as plataformas legítimas, mas, na verdade, estão instalando o backdoor Oyster, um malware que cria uma porta de entrada oculta no sistema. Esse malware instala um arquivo malicioso chamado ‘AlphaSecurity.dll’, que é executado a cada 18 minutos, mesmo após reinicializações do sistema. A campanha é particularmente preocupante para o setor financeiro, onde o uso do Teams e Meet é elevado, aumentando o risco de sequestro de dados por grupos de ransomware. Especialistas recomendam que os usuários evitem clicar em anúncios de download e busquem sempre canais oficiais para evitar infecções.

Desde julho de 2025, o grupo de cibercriminosos conhecido como Jewelbug tem direcionado suas atividades principalmente a alvos governamentais na Europa, enquanto ainda mantém ataques em regiões da Ásia e América do Sul. A Check Point Research, que monitora essa ameaça sob o nome Ink Dragon, descreve a atuação do grupo como altamente eficaz e discreta, utilizando engenharia de software avançada e ferramentas nativas de plataformas para se camuflar no tráfego normal das empresas. Entre suas táticas, destacam-se o uso de backdoors como FINALDRAFT e NANOREMOTE, que permitem controle remoto e exfiltração de dados. O grupo também explorou vulnerabilidades em serviços da ASP.NET e SharePoint para comprometer servidores e estabelecer uma infraestrutura de comando e controle (C2). As intrusões têm resultado em acesso a informações sensíveis, incluindo credenciais administrativas e dados de registro. A Check Point alerta que a arquitetura de relé do Ink Dragon permite que um único comprometimento se torne um nó em uma rede de ataques mais ampla, exigindo que as defesas considerem a possibilidade de uma rede de cibercriminosos interconectada.

Uma nova campanha chamada GhostPoster explorou arquivos de logotipo associados a 17 extensões do navegador Mozilla Firefox para embutir código JavaScript malicioso. Esse código é projetado para sequestrar links de afiliados, injetar códigos de rastreamento e cometer fraudes de cliques e anúncios. As extensões, que foram baixadas mais de 50.000 vezes, foram retiradas do ar após a descoberta pela Koi Security. Entre elas, estavam programas que prometiam funcionalidades como VPNs e bloqueadores de anúncios. O ataque se inicia quando o arquivo de logotipo é carregado, permitindo que o código malicioso busque um servidor externo para obter um payload principal. O malware é capaz de realizar diversas atividades fraudulentas, como desviar comissões de afiliados e injetar códigos de rastreamento em páginas visitadas. Além disso, técnicas de evasão foram implementadas para dificultar a detecção, como a ativação do malware apenas após seis dias da instalação. A campanha destaca a vulnerabilidade de extensões de navegador, que podem ser utilizadas para atividades maliciosas, colocando em risco a privacidade e a segurança dos usuários.

Um novo ataque cibernético tem se espalhado por meio de um torrent fraudulento que promete conter o filme “One Battle After Another”, estrelado por Leonardo DiCaprio. Ao clicar em um atalho disfarçado como lançador do filme, os usuários inadvertidamente executam um script PowerShell malicioso que se oculta em arquivos de legenda. Esse script extrai e executa outros scripts maliciosos, resultando na instalação do AgentTesla, um trojan de acesso remoto que rouba credenciais de navegadores, clientes de e-mail e ferramentas de FTP. A campanha, observada por pesquisadores, destaca a vulnerabilidade dos usuários que, atraídos pela curiosidade por novos lançamentos, ignoram os riscos de segurança. O ataque não depende de falhas de software, mas sim da execução do usuário, o que permite contornar defesas básicas de antivírus. A disseminação de torrents por publicadores anônimos continua a ser um método comum para a entrega de malware, reforçando a necessidade de cautela ao baixar conteúdos não verificados.

Pesquisadores de cibersegurança descobriram um novo pacote NuGet malicioso que utiliza typosquatting para se passar pela popular biblioteca de rastreamento .NET, introduzindo um ladrão de carteiras de criptomoedas. Nomeado ‘Tracer.Fody.NLog’, o pacote foi publicado em 26 de fevereiro de 2020 e permaneceu no repositório por quase seis anos, sendo baixado mais de 2.000 vezes. O pacote se disfarça como ‘Tracer.Fody’, que é mantido por um autor legítimo, mas contém um código que escaneia diretórios de carteiras Stratis no Windows, extrai dados de carteiras e senhas, enviando essas informações para um servidor controlado por criminosos na Rússia. O ataque utiliza táticas sofisticadas para evitar detecções, como a imitação do nome do mantenedor legítimo e a ocultação de funções maliciosas em códigos comuns. O mesmo endereço IP já havia sido utilizado em um ataque anterior, demonstrando um padrão de comportamento de ameaças que pode se repetir em outras bibliotecas populares. A descoberta ressalta a importância da segurança na cadeia de suprimentos de software, especialmente em ambientes de código aberto.

Uma nova campanha de cibersegurança está atacando clientes da Amazon Web Services (AWS) utilizando credenciais comprometidas de Gerenciamento de Identidade e Acesso (IAM) para realizar mineração de criptomoedas. Detectada pela primeira vez em 2 de novembro de 2025 pelo serviço de detecção de ameaças GuardDuty da Amazon, a atividade emprega técnicas de persistência inovadoras para dificultar a resposta a incidentes. Os atacantes, operando de um provedor de hospedagem externo, rapidamente enumeraram recursos e permissões antes de implantar recursos de mineração em ECS e EC2. Em menos de 10 minutos após o acesso inicial, os mineradores estavam operacionais.

Uma pesquisa da ReversingLabs revelou uma campanha de ciberataques direcionada a desenvolvedores que utilizam o Marketplace do Visual Studio Code (VS Code). Desde fevereiro de 2025, 19 extensões maliciosas foram identificadas, ocultando um trojan. O vetor de ataque foi descoberto em 2 de dezembro e envolve a manipulação de uma dependência popular chamada ‘path-is-absolute’, que possui mais de 9 bilhões de downloads. As extensões falsas, como uma versão adulterada do Prettier, foram projetadas para parecerem legítimas, mas continham código malicioso que se ativava ao abrir o VS Code. O malware se disfarça como uma imagem PNG, mas na verdade, é um arquivo que gera um erro ao ser aberto, revelando binários maliciosos. O trojan resultante, ainda em análise, utiliza a ferramenta nativa do Windows, cmstp.exe, para executar suas funções. Os usuários são aconselhados a inspecionar suas extensões, especialmente aquelas com poucos downloads ou avaliações, para evitar infecções.

Especialistas da Bitdefender alertaram sobre um arquivo torrent do filme ‘Uma Batalha Após a Outra’, estrelado por Leonardo DiCaprio, que está sendo utilizado como isca por hackers para disseminar um malware conhecido como Agent Tesla. Este software malicioso, que atua como um trojan de acesso remoto, compromete o sistema operacional Windows ao explorar programas legítimos para contornar medidas de segurança.

O ataque ocorre quando o usuário tenta abrir o arquivo torrent, que na verdade contém uma série de comandos maliciosos ocultos nas legendas do filme. Ao clicar no atalho ‘CD.lnk’, scripts do PowerShell são executados, permitindo que o malware se instale e ganhe controle sobre o dispositivo. O Agent Tesla é projetado para roubar informações pessoais e dados bancários, além de transformar o computador da vítima em um ‘agente zumbi’ para futuros ataques. Desde 2014, milhares de downloads comprometidos foram identificados, expondo muitos usuários a esse risco.

Em dezembro de 2025, pesquisadores de segurança revelaram uma campanha de cibercrime que comprometeu extensões populares dos navegadores Chrome e Edge. O grupo de ameaças conhecido como ShadyPanda passou sete anos publicando ou adquirindo extensões inofensivas, acumulando milhões de instalações antes de transformá-las em malware por meio de atualizações silenciosas. Aproximadamente 4,3 milhões de usuários foram afetados, com as extensões se tornando um framework de execução remota de código (RCE) que permitia o roubo de dados, como cookies de sessão e tokens de autenticação. Essa tática representa um ataque à cadeia de suprimentos de extensões de navegador, onde a confiança do usuário foi explorada. Para as equipes de segurança de SaaS, o incidente destaca a necessidade de uma abordagem integrada entre segurança de endpoints e identidade, já que as extensões podem comprometer contas corporativas sem disparar alarmes de segurança tradicionais. Medidas recomendadas incluem a implementação de listas de permissões de extensões, auditorias regulares e monitoramento de comportamentos suspeitos para mitigar riscos futuros.

Recentemente, os desenvolvedores do Notepad++, um popular editor de código-fonte, emitiram um alerta sobre uma vulnerabilidade crítica em seu atualizador, o WinGUp. Hackers têm explorado essa falha para redirecionar o tráfego do atualizador para servidores maliciosos, resultando no download de malware nos computadores das vítimas. Essa exploração ocorre quando um atacante consegue interromper a comunicação entre o WinGUp e a infraestrutura de atualização, fazendo com que o software baixe arquivos infectados em vez de atualizações legítimas. Embora os ataques tenham sido direcionados e em número limitado, a situação é preocupante. Para mitigar o risco, os desenvolvedores lançaram uma atualização (v8.8.9) que corrige a falha, recomendando que os usuários a instalem manualmente. Além disso, é aconselhável realizar uma verificação completa com antivírus e, para empresas, restringir o acesso à internet durante o processo de atualização. A situação destaca a importância de manter softwares atualizados e de estar atento a potenciais ameaças cibernéticas.

Pesquisadores de cibersegurança alertam para uma nova campanha que utiliza repositórios Python hospedados no GitHub para distribuir um Trojan de Acesso Remoto (RAT) baseado em JavaScript, denominado PyStoreRAT. Esses repositórios, que se apresentam como ferramentas de desenvolvimento ou de inteligência de código aberto (OSINT), contêm apenas algumas linhas de código que baixam e executam um arquivo HTA remotamente. O PyStoreRAT é um implante modular que pode executar diversos tipos de arquivos, incluindo EXE, DLL e scripts em PowerShell. Além disso, ele implanta um ladrão de informações chamado Rhadamanthys como carga adicional. A campanha começou em junho de 2025 e se espalhou por meio de contas do GitHub, muitas vezes inativas, que foram reativadas para publicar os repositórios maliciosos. Os atacantes utilizam técnicas para aumentar artificialmente a popularidade dos repositórios, como inflar métricas de estrelas e forks. O malware é projetado para evitar a detecção de soluções de EDR, utilizando lógica de evasão e executando comandos que podem roubar informações sensíveis, especialmente relacionadas a carteiras de criptomoedas. A origem dos atacantes sugere um grupo de língua russa, e a campanha representa uma evolução nas técnicas de infecção, utilizando implantes baseados em scripts que se adaptam às medidas de segurança existentes.

Pesquisadores da Doctor Web identificaram um novo trojan chamado ChimeraWire, que afeta o ranqueamento de resultados no Google Chrome. Este malware não se limita ao roubo de dados, mas simula a atividade de usuários reais para aumentar a visibilidade de sites específicos, manipulando o SEO através de buscas automatizadas e cliques falsos. O ChimeraWire opera em duas cadeias de instalação: a primeira envolve a instalação de um programa que verifica a legitimidade do sistema e, se aprovado, instala um script malicioso. A segunda cadeia utiliza um instalador que simula processos legítimos do Windows, explorando vulnerabilidades para obter acesso ao sistema. Uma vez instalado, o trojan adiciona extensões que burlam CAPTCHAs e se conecta a um servidor de comando, permitindo a manipulação de tráfego falso. Além disso, o malware possui recursos adicionais, como leitura de conteúdo de páginas e captura de tela, que podem ser utilizados pelos operadores. A detecção do ChimeraWire é complicada, pois até o momento, 66 antivírus não conseguiram identificá-lo.

Uma nova ameaça de cibersegurança, identificada como DroidLock, está afetando dispositivos Android na Espanha, sequestrando celulares e espionando usuários através da câmera frontal. Detectado pela empresa Zimperium’s zLabs, o malware se espalha por meio de sites falsos, enganando as vítimas com telas de atualização falsas que as levam a entrar em contato com os hackers. Embora se assemelhe a um ransomware, o DroidLock não criptografa arquivos, mas utiliza permissões do dispositivo para alterar senhas e reconfigurar o aparelho, permitindo controle total aos criminosos. Através de uma tecnologia chamada VNC (Virtual Network Computing), os hackers conseguem acessar remotamente o dispositivo, coletando informações sensíveis, como logins e códigos de autenticação, que são enviadas para servidores controlados por eles. A situação é alarmante, especialmente para empresas, onde um simples clique em um link malicioso pode comprometer dados corporativos e a segurança de informações confidenciais. Especialistas alertam que a natureza agressiva do DroidLock pode causar danos significativos, tornando essencial que usuários e empresas adotem medidas de proteção adequadas.