Malware

Uma nova ameaça de cibersegurança, identificada como DroidLock, está afetando dispositivos Android na Espanha, sequestrando celulares e espionando usuários através da câmera frontal. Detectado pela empresa Zimperium’s zLabs, o malware se espalha por meio de sites falsos, enganando as vítimas com telas de atualização falsas que as levam a entrar em contato com os hackers. Embora se assemelhe a um ransomware, o DroidLock não criptografa arquivos, mas utiliza permissões do dispositivo para alterar senhas e reconfigurar o aparelho, permitindo controle total aos criminosos. Através de uma tecnologia chamada VNC (Virtual Network Computing), os hackers conseguem acessar remotamente o dispositivo, coletando informações sensíveis, como logins e códigos de autenticação, que são enviadas para servidores controlados por eles. A situação é alarmante, especialmente para empresas, onde um simples clique em um link malicioso pode comprometer dados corporativos e a segurança de informações confidenciais. Especialistas alertam que a natureza agressiva do DroidLock pode causar danos significativos, tornando essencial que usuários e empresas adotem medidas de proteção adequadas.

Um novo malware, denominado Shai Hulud 2.0, foi identificado por especialistas da Kaspersky e está causando preocupação no cenário de cibersegurança. Distribuído através do Node Package Manager (npm), esse worm apresenta um funcionamento em dois estágios. Na primeira fase, ele compromete pacotes npm, enquanto na segunda, se não conseguir roubar dados, apaga arquivos do usuário. Desde sua descoberta em setembro de 2025, mais de 800 pacotes npm foram infectados, afetando principalmente desenvolvedores no Brasil, mas também em países como China, Índia, Rússia, Turquia e Vietnã.

A empresa de cibersegurança Sophos revelou que grupos de cibercriminosos estão utilizando a plataforma Shanya, que oferece um serviço de empacotamento de malware, conhecido como packer-as-a-service. Essa ferramenta permite que códigos maliciosos sejam ofuscados, dificultando sua detecção por antivírus e outras soluções de segurança. O uso do Shanya tem crescido desde o final de 2024, sendo empregado por grupos como Medusa, Qilin, Crytox e Akira, com foco em ransomwares que desativam soluções de detecção e resposta (EDR).

Pesquisadores de cibersegurança revelaram detalhes sobre um novo backdoor para Windows chamado NANOREMOTE, que utiliza a API do Google Drive para suas operações de comando e controle (C2). De acordo com o Elastic Security Labs, o malware apresenta semelhanças de código com outro implante conhecido como FINALDRAFT, que utiliza a API do Microsoft Graph. O NANOREMOTE é projetado para facilitar o roubo de dados e a transferência de arquivos de forma discreta, utilizando um sistema de gerenciamento de tarefas que permite pausar, retomar e cancelar transferências de arquivos. Acredita-se que o grupo por trás do NANOREMOTE, conhecido como REF7707, esteja vinculado a atividades de espionagem cibernética, com alvos em setores como governo, defesa e telecomunicações na Ásia e América do Sul. O vetor de acesso inicial para o NANOREMOTE ainda não é conhecido, mas um loader chamado WMLOADER foi identificado como parte da cadeia de ataque. O malware é escrito em C++ e possui funcionalidades que incluem execução de arquivos e coleta de informações do host. A utilização de uma chave de criptografia comum entre NANOREMOTE e FINALDRAFT sugere uma possível conexão entre os dois malwares, indicando um ambiente de desenvolvimento compartilhado.

O cenário de cibersegurança apresenta um aumento significativo nas ameaças digitais, com hackers infiltrando malware em downloads de filmes, extensões de navegador e atualizações de software. Um novo botnet, Broadside, baseado na variante Mirai, está explorando uma vulnerabilidade crítica em dispositivos TBK DVR, visando o setor de logística marítima. Além disso, o Centro Nacional de Cibersegurança do Reino Unido alertou que falhas em aplicações de inteligência artificial generativa podem nunca ser totalmente mitigadas. Em uma operação da Europol, 193 indivíduos foram presos por envolvimento em redes de ‘violência como serviço’, enquanto na Polônia, três ucranianos foram detidos por tentativas de sabotagem de sistemas de TI. Na Espanha, um jovem hacker foi preso por roubar 64 milhões de registros de dados. A Rússia desmantelou uma operação que utilizava malware para roubar milhões de clientes bancários. Por fim, uma nova backdoor chamada GhostPenguin foi descoberta, capaz de coletar informações de sistemas Linux. Esses eventos destacam a necessidade urgente de medidas de segurança robustas e vigilância contínua.

Uma análise da Trend Micro revelou a evolução da campanha maliciosa Water Saci, que utiliza o malware SORVEPOTEL para se propagar através do WhatsApp Web, especialmente entre usuários brasileiros. Os hackers mudaram suas táticas, substituindo o código PowerShell por Python, o que aumentou a compatibilidade com navegadores e a eficiência na automação do ataque. A campanha se baseia em engenharia social, induzindo os usuários a interagir com conteúdos maliciosos, como arquivos ZIP e PDF, além de mensagens fraudulentas que simulam atualizações do Adobe Acrobat.

Um novo relatório da Recorded Future revela que o grupo de cibercriminosos conhecido como GrayBravo, anteriormente identificado como TAG-150, está utilizando um carregador de malware chamado CastleLoader em quatro clusters de atividade distintos. Este grupo é caracterizado por sua sofisticação técnica e rápida adaptação às reportagens públicas. O CastleLoader é um componente central de uma infraestrutura de malware como serviço (MaaS), permitindo que outros atores do crime cibernético o utilizem. Entre as ferramentas associadas ao GrayBravo estão o trojan de acesso remoto CastleRAT e o framework de malware CastleBot, que é responsável por injetar módulos maliciosos em sistemas vulneráveis. Os ataques são direcionados a setores específicos, como logística e transporte, utilizando técnicas de phishing e malvertising. A análise também destaca a utilização de contas fraudulentas em plataformas de correspondência de frete para aumentar a credibilidade das campanhas de phishing. A crescente adoção do CastleLoader por diversos grupos de ameaças indica uma proliferação rápida de ferramentas avançadas no ecossistema cibernético, o que representa um risco significativo para empresas em diversos setores.

Um novo malware chamado EtherRAT, vinculado a atores de ameaças da Coreia do Norte, está explorando uma vulnerabilidade crítica recentemente divulgada no React Server Components (RSC). Essa falha, identificada como CVE-2025-55182, possui uma pontuação CVSS de 10.0, indicando sua gravidade máxima. O EtherRAT utiliza contratos inteligentes do Ethereum para resolver comandos de controle e possui cinco mecanismos independentes de persistência no Linux, o que permite que ele mantenha acesso contínuo aos sistemas infectados. O ataque geralmente começa com uma abordagem de engenharia social, onde os desenvolvedores de blockchain e Web3 são alvos de entrevistas de emprego falsas. Após a exploração da vulnerabilidade, um script shell é baixado e executado, instalando o malware. O EtherRAT se destaca por sua capacidade de se atualizar e por usar um mecanismo de votação de consenso entre nove endpoints RPC do Ethereum para obter URLs de servidores de comando e controle, dificultando a detecção e a neutralização. Essa evolução na exploração da vulnerabilidade do React representa um desafio significativo para as defesas tradicionais, exigindo atenção especial dos profissionais de segurança cibernética.

Pesquisadores de cibersegurança descobriram duas extensões maliciosas no Marketplace do Microsoft Visual Studio Code (VS Code) que visam infectar máquinas de desenvolvedores com malware do tipo stealer. As extensões, que se apresentavam como um tema escuro premium e um assistente de codificação baseado em inteligência artificial, na verdade, possuíam funcionalidades ocultas para baixar cargas adicionais, capturar telas e roubar dados. As informações coletadas eram enviadas a um servidor controlado por atacantes. As extensões identificadas foram ‘BigBlack.bitcoin-black’, que teve 16 instalações, e ‘BigBlack.codo-ai’, com 25 instalações, ambas removidas pela Microsoft em dezembro de 2025. O malware era capaz de roubar senhas de Wi-Fi, acessar o conteúdo da área de transferência e sequestrar sessões de navegador. Além disso, versões anteriores das extensões permitiam a execução de scripts PowerShell para baixar arquivos maliciosos. O ataque destaca a vulnerabilidade de ferramentas amplamente utilizadas por desenvolvedores e a necessidade de vigilância constante em relação a pacotes de software. O incidente é um alerta sobre a segurança na cadeia de suprimentos de software, especialmente em um cenário onde pacotes maliciosos também foram identificados em outras plataformas como Go e npm.

Pesquisadores de segurança da Malanta.ai descobriram uma vasta infraestrutura de cibercrime na Indonésia, que operava há mais de 14 anos, com características que lembram operações patrocinadas por estados. A rede controlava mais de 320 mil domínios, incluindo 90 mil subdomínios hackeados, e estava envolvida na distribuição de milhares de aplicativos Android maliciosos. Esses aplicativos, disfarçados como plataformas de jogos, permitiam acesso total aos dispositivos comprometidos. A operação resultou no roubo de mais de 50 mil credenciais de jogos e levantou suspeitas sobre a possível ligação com atores estatais, dada a sofisticação e o financiamento da infraestrutura. Os pesquisadores alertam que a utilização de serviços como AWS e Firebase para comando e controle (C2) pode indicar um nível de organização além do que se espera de criminosos comuns.

Pesquisadores de cibersegurança identificaram uma nova campanha chamada JS#SMUGGLER, que utiliza sites comprometidos para distribuir um trojan de acesso remoto conhecido como NetSupport RAT. A análise da Securonix revela que a cadeia de ataque envolve um carregador JavaScript ofuscado injetado em um site, um aplicativo HTML (HTA) que executa estagiários PowerShell criptografados via ‘mshta.exe’, e um payload PowerShell que baixa e executa o malware principal. O NetSupport RAT permite controle total do host comprometido, incluindo acesso remoto, operações de arquivos e roubo de dados. A campanha, que ainda não está ligada a nenhum grupo de ameaças conhecido, visa usuários empresariais e utiliza técnicas sofisticadas de evasão, como iframes ocultos e execução em camadas de scripts. Os pesquisadores recomendam a implementação de medidas de segurança robustas, como monitoramento de scripts e restrições ao mshta.exe, para detectar e mitigar esses ataques.

Um novo spyware chamado Predator, desenvolvido pela empresa de vigilância Intellexa, está gerando preocupações entre especialistas em cibersegurança. Este software malicioso utiliza um mecanismo de ‘clique zero’, permitindo que dispositivos sejam infectados apenas pela visualização de anúncios maliciosos. O spyware, identificado como Aladdin, foi descoberto em uma investigação que revelou como empresas ao redor do mundo serviam como fachada para a disseminação do malware. Os anúncios maliciosos são exibidos em sites e aplicativos confiáveis, disfarçados entre propagandas legítimas. A técnica utilizada pelo Aladdin força a exibição de anúncios direcionados a alvos específicos, identificados por seus endereços IP, através de uma Plataforma de Demanda (DSP) que automatiza a compra de publicidade digital. Isso levanta um alerta significativo, pois o usuário não precisa interagir com o anúncio para ser afetado; a simples visualização é suficiente para comprometer o dispositivo. Até o momento, não há informações detalhadas sobre como o spyware compromete os sistemas, mas especula-se que isso possa ocorrer por meio de redirecionamentos para servidores de exploração da Intellexa.

Pesquisadores de cibersegurança revelaram detalhes sobre duas novas famílias de malware Android, FvncBot e SeedSnatcher, além de uma versão aprimorada do ClayRat. O FvncBot, disfarçado como um aplicativo de segurança do mBank, visa usuários de bancos na Polônia e é desenvolvido do zero, sem inspiração em trojans anteriores. Ele utiliza serviços de acessibilidade do Android para realizar fraudes financeiras, incluindo keylogging e injeções de web. O SeedSnatcher, distribuído via Telegram, tem como alvo frases-semente de carteiras de criptomoedas e intercepta mensagens SMS para roubar códigos de autenticação de dois fatores. Já o ClayRat, atualizado, abusa de permissões de SMS e acessibilidade, permitindo o controle total do dispositivo. As técnicas de evasão de detecção utilizadas por esses malwares incluem injeção de conteúdo em WebView e carregamento dinâmico de classes. A distribuição do FvncBot e do SeedSnatcher ainda não é clara, mas trojans bancários costumam usar phishing via SMS e lojas de aplicativos de terceiros como vetores de propagação. A crescente sofisticação desses malwares representa uma ameaça significativa para a segurança dos usuários de dispositivos Android, especialmente em um contexto onde a proteção de dados é crucial.

O grupo de hackers iraniano MuddyWater foi identificado utilizando uma nova backdoor chamada UDPGangster, que opera através do protocolo UDP para fins de comando e controle (C2). A atividade de ciberespionagem tem como alvo usuários na Turquia, Israel e Azerbaijão, conforme relatado pelo Fortinet FortiGuard Labs. O malware permite o controle remoto de sistemas comprometidos, possibilitando a execução de comandos, exfiltração de arquivos e implantação de cargas adicionais, tudo isso através de canais UDP que visam evitar defesas de rede tradicionais.

Um estudo da Surfshark revelou que muitos aplicativos de compartilhamento de arquivos gratuitos, como Dropbox, Box e WeTransfer, não oferecem proteção adequada contra malware. Box e WeTransfer disponibilizam a verificação de vírus apenas em planos pagos, enquanto Dropbox e iCloud não realizam nenhuma verificação, dependendo da segurança dos dispositivos Apple. Isso representa um risco significativo para os usuários, que podem inadvertidamente baixar arquivos infectados. A análise destaca que, embora esses serviços sejam amplamente utilizados, a segurança não é uma prioridade, especialmente nas versões gratuitas. A Surfshark alerta que a confiança excessiva nesses aplicativos pode comprometer a segurança dos dados dos usuários. Além disso, a discussão sobre a regulamentação no Reino Unido, que visa aumentar a responsabilidade das plataformas de compartilhamento de arquivos, levanta preocupações sobre privacidade e vigilância em massa. A utilização de antivírus e VPNs é recomendada para mitigar esses riscos. Por fim, apenas Google Drive e OneDrive oferecem verificação de vírus para usuários gratuitos, mas com limitações. Essa situação exige que os usuários façam escolhas informadas sobre os riscos que estão dispostos a correr ao compartilhar arquivos online.

Pesquisadores da Fable Security identificaram uma nova ameaça que utiliza uma versão falsa do ChatGPT Atlas para roubar senhas de usuários em navegadores. Denominada ‘ataque ClickFix’, essa campanha de cibercrime cresceu 517% recentemente, explorando um truque de ‘copia e cola’ para disseminar instaladores maliciosos. Os hackers criam sites falsos que imitam o layout e o design do verdadeiro ChatGPT Atlas, enganando usuários desatentos. Ao acessar o instalador falso, a vítima é instruída a copiar um comando e colá-lo em um terminal, como o PowerShell, o que ativa um script que solicita repetidamente a senha do usuário. Esse método permite que os criminosos escalem privilégios e obtenham acesso total ao dispositivo, coletando credenciais sensíveis. A situação é alarmante, pois os hackers conseguem contornar ferramentas de segurança robustas. Especialistas recomendam que os usuários sejam cautelosos ao instalar ferramentas e evitem executar comandos de fontes suspeitas.

Duas novas campanhas de malware estão ameaçando usuários brasileiros, com foco em um trojan bancário que ataca o WhatsApp e um malware que compromete pagamentos NFC em dispositivos Android. Pesquisadores da Trend Micro identificaram que o grupo Water Saci está por trás do trojan, que se espalha através de arquivos HTA e PDFs maliciosos. Os cibercriminosos utilizam contatos confiáveis para enganar as vítimas, aumentando a probabilidade de que elas baixem os arquivos infectados. Uma vez instalado, o trojan rouba informações sensíveis, como senhas e dados de cartões de crédito. Além disso, o malware RelayNFC, que afeta pagamentos NFC, permite que hackers realizem transações fraudulentas ao interceptar dados do cartão da vítima quando este é encostado no dispositivo. Essa nova era de ameaças digitais no Brasil destaca a vulnerabilidade dos usuários e a necessidade de medidas de segurança mais robustas, especialmente em plataformas amplamente utilizadas como o WhatsApp.

Um grupo de hackers iranianos conhecido como MuddyWater tem chamado a atenção de especialistas em cibersegurança por utilizar uma técnica inspirada no jogo da cobrinha, popular nos anos 90, para realizar ataques de espionagem. Recentemente, o grupo tem atacado organizações israelenses com um novo malware chamado Fooder, que se destaca por sua capacidade de camuflagem. Essa técnica permite que o malware permaneça inativo por um longo período após a infecção, evitando a detecção até que o sistema seja completamente analisado. O Fooder se ativa apenas após uma inspeção detalhada, alterando seu comportamento conforme as ações do usuário. Historicamente, o MuddyWater tem utilizado e-mails de spear-phishing com anexos maliciosos, mas a nova abordagem demonstra uma evolução em suas táticas, tornando-se mais sofisticada e difícil de rastrear. A detecção dessa técnica levanta preocupações sobre a capacidade do grupo de esconder suas atividades, o que pode representar um risco significativo para a segurança digital de organizações em todo o mundo.

Um advogado de direitos humanos da província de Balochistan, no Paquistão, foi alvo de um ataque de spyware chamado Predator, desenvolvido pela empresa Intellexa. Este é o primeiro caso documentado de um membro da sociedade civil paquistanesa sendo atacado por essa ferramenta, que é capaz de coletar dados sensíveis de dispositivos Android e iOS sem o conhecimento do usuário. O ataque foi realizado através de um link malicioso enviado via WhatsApp, que, ao ser clicado, explorou vulnerabilidades conhecidas, como CVE-2025-48543 e CVE-2023-41993, para instalar o spyware. O Predator é semelhante ao Pegasus, da NSO Group, e é comercializado sob diferentes nomes, incluindo Helios e Nova. A Intellexa foi sancionada pelos EUA por suas práticas que comprometem as liberdades civis. O relatório da Anistia Internacional, que inclui colaborações com veículos de imprensa, revela que a empresa pode ter acesso remoto aos sistemas de vigilância de seus clientes, levantando preocupações sobre a responsabilidade em casos de abuso de direitos humanos. O uso de vetores de ataque sofisticados, como injeções de rede e anúncios maliciosos, destaca a crescente demanda por ferramentas de spyware em várias regiões, incluindo a África.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) divulgou informações sobre um backdoor chamado BRICKSTORM, utilizado por grupos de hackers patrocinados pelo Estado da República Popular da China. Este malware, desenvolvido em Golang, é projetado para ambientes VMware vSphere e Windows, permitindo acesso remoto e persistente aos sistemas comprometidos. BRICKSTORM é capaz de executar uma variedade de funções, incluindo manipulação de arquivos e comunicação encoberta através de protocolos como HTTPS e DNS-over-HTTPS.

O grupo de cibercriminosos conhecido como Silver Fox está realizando uma operação de bandeira falsa, imitando um grupo de ameaças russo em ataques direcionados a organizações na China. Desde novembro de 2025, a campanha de envenenamento de SEO utiliza iscas do Microsoft Teams para enganar usuários desavisados a baixarem um arquivo malicioso que instala o malware ValleyRAT, associado a grupos de cibercrime chineses. A pesquisa da ReliaQuest destaca que a campanha visa usuários que falam chinês, incluindo aqueles em organizações ocidentais na China, utilizando um loader modificado do ValleyRAT com elementos cirílicos para confundir a atribuição. O ValleyRAT permite controle remoto de sistemas infectados, exfiltração de dados sensíveis e execução de comandos arbitrários. A campanha redireciona usuários para um site falso que oferece um suposto software do Teams, mas na verdade baixa um arquivo ZIP malicioso. O malware, uma versão trojanizada do Teams, manipula processos do sistema e estabelece conexões com servidores externos para controle remoto. Os objetivos do Silver Fox incluem ganho financeiro e coleta de inteligência sensível, representando riscos imediatos como vazamentos de dados e perdas financeiras para as organizações-alvo.

O SmartTube, um aplicativo de código aberto amplamente utilizado para acessar o YouTube em TVs Android, foi recentemente comprometido por cibercriminosos que conseguiram roubar a chave de assinatura do aplicativo. Isso resultou na distribuição de versões alteradas do app, que continham malware. O desenvolvedor, Yuliskov, já removeu as versões afetadas e lançou uma nova versão beta com uma chave de assinatura atualizada. O malware, localizado na biblioteca libalphasdk.so, coleta informações do dispositivo, como aplicativos instalados e endereço IP, mas, segundo especialistas, não houve vazamento de dados de contas. O Google Play Protect conseguiu bloquear a instalação do malware em muitos dispositivos antes que os usuários percebessem o problema. Para os usuários do SmartTube, é recomendado desinstalar as versões comprometidas e instalar apenas a versão 30.56, que é considerada segura. Essa versão pode ser encontrada no GitHub, já que o aplicativo não está mais disponível na Play Store. O uso de versões não oficiais ou aplicativos que prometem consertar o problema deve ser evitado, pois isso pode aumentar os riscos de segurança.

Um novo ataque cibernético, atribuído ao grupo GoldFactory, está afetando usuários móveis na Indonésia, Tailândia e Vietnã. Desde outubro de 2024, os criminosos têm distribuído aplicativos bancários modificados que atuam como vetores para malware no sistema Android. O grupo, que opera desde junho de 2023, utiliza táticas de engenharia social, como se passar por serviços governamentais, para induzir as vítimas a instalar o malware. Mais de 300 amostras de aplicativos alterados foram identificadas, resultando em cerca de 11.000 infecções. Os atacantes utilizam chamadas telefônicas para persuadir as vítimas a baixar aplicativos maliciosos através de links enviados por aplicativos de mensagens. O malware injetado permite o controle remoto dos dispositivos, ocultando funcionalidades e contornando medidas de segurança. Além disso, uma nova variante de malware, chamada Gigaflower, foi descoberta, prometendo funcionalidades ainda mais sofisticadas. A mudança na abordagem do grupo, que agora orienta as vítimas a usar dispositivos Android emprestados, sugere uma adaptação às rigorosas medidas de segurança da Apple. Este cenário destaca a necessidade urgente de vigilância e proteção contra ameaças emergentes no setor financeiro.

Pesquisadores da Koi Security descobriram a campanha de malware chamada ShadyPanda, que afetou mais de 4,3 milhões de usuários dos navegadores Google Chrome e Microsoft Edge ao longo de sete anos. A operação, iniciada em 2018, explorou extensões de produtividade que pareciam legítimas, permitindo que os criminosos injetassem códigos maliciosos e realizassem fraudes. Inicialmente, a ShadyPanda utilizava extensões de gestão de tarefas para enganar os usuários, mas evoluiu para um controle ativo dos navegadores, utilizando uma extensão chamada Infinity V+, que sequestrava dados de pesquisa e exfiltrava cookies. Apesar de o Google ter removido as extensões comprometidas, cinco delas ainda permanecem ativas no Edge, com uma delas, chamada WeTab 新标签页, possuindo cerca de 3 milhões de instalações e coletando dados dos usuários. A campanha continua a operar por meio de atualizações automáticas, o que a torna ainda mais difícil de detectar e mitigar.

Recentemente, a segurança da App Store da Apple foi colocada em xeque após a descoberta de aplicativos fraudulentos que imitam produtos de inteligência artificial da Google e OpenAI. O desenvolvedor Neural Techlabs tem sido identificado como responsável pela publicação repetida de aplicativos que utilizam logotipos, nomes e interfaces semelhantes aos softwares legítimos, como o Google Gemini e o ChatGPT. Apesar de algumas dessas aplicações terem sido removidas anteriormente por infrações de propriedade intelectual, novas versões continuam a surgir, evidenciando falhas no processo de revisão da Apple. Os aplicativos, como ‘AI Chat Bot for Google Gemini’, criam confusão entre os usuários e podem expô-los a riscos de segurança, como a interação com informações sensíveis. A persistência dessas violações levanta preocupações sobre a eficácia das medidas de segurança da Apple e a necessidade de os usuários verificarem as credenciais dos desenvolvedores antes de baixar aplicativos. A situação destaca a vulnerabilidade do ecossistema da App Store e a importância de uma vigilância contínua contra fraudes digitais.

O grupo de cibercriminosos conhecido como Water Saci está aprimorando suas táticas de ataque, utilizando uma cadeia de infecção sofisticada que se espalha via WhatsApp. Recentemente, a ameaça se afastou do uso de PowerShell e adotou uma variante baseada em Python, permitindo a propagação de um trojan bancário através de arquivos HTA e PDFs. Os usuários recebem mensagens de contatos confiáveis, incentivando-os a abrir anexos maliciosos que iniciam a infecção. O novo método de ataque é caracterizado por uma estrutura de código orientada a objetos e melhor manuseio de erros, tornando a propagação mais rápida e resiliente. O malware é projetado para monitorar atividades bancárias, capturar dados sensíveis e contornar softwares de segurança. Além disso, o Water Saci pode ter utilizado ferramentas de inteligência artificial para converter scripts de PowerShell para Python, demonstrando um nível elevado de sofisticação. Essa campanha representa uma nova era de ameaças cibernéticas no Brasil, onde plataformas de mensagens populares são exploradas para disseminar malware em larga escala. Os especialistas alertam que a confiança dos usuários em canais de comunicação familiarizados é um vetor crítico para a propagação de ataques.

Um novo malware chamado ShadowV2, baseado na botnet Mirai, está atacando dispositivos de marcas como D-Link e TP-Link, explorando vulnerabilidades conhecidas. Pesquisadores da FortiGuard Labs identificaram que o malware se espalha por pelo menos oito falhas em equipamentos de Internet das Coisas (IoT), incluindo CVEs como CVE-2020-25506 e CVE-2024-10915. Apesar de algumas dessas falhas serem conhecidas, a D-Link não planeja corrigir as vulnerabilidades em seus dispositivos considerados ’end-of-life’. O ShadowV2 realiza ataques DDoS utilizando protocolos UDP, TCP e HTTP, e é controlado por servidores de comando e controle. Os ataques foram observados em diversos setores, incluindo governo e telecomunicações, afetando regiões da América do Sul, América do Norte, Europa e Ásia. A gravidade da situação é acentuada pela falta de atualizações em dispositivos vulneráveis, o que pode levar a um aumento na exploração dessas falhas por cibercriminosos.

Pesquisadores de cibersegurança identificaram um pacote Rust malicioso, denominado ’evm-units’, que visa sistemas operacionais Windows, macOS e Linux. O pacote foi disponibilizado no repositório crates.io em abril de 2025 e, em oito meses, acumulou mais de 7.000 downloads. Ele se disfarça como uma ferramenta auxiliar da Ethereum Virtual Machine (EVM) e possui funcionalidades maliciosas que permitem a execução silenciosa em máquinas de desenvolvedores. O pacote verifica a presença do processo ‘qhsafetray.exe’, associado ao antivírus Qihoo 360, e, dependendo do sistema operacional, baixa e executa um payload em segundo plano. No Linux, um script é salvo em /tmp/init; no macOS, um arquivo chamado init é executado; e no Windows, um script PowerShell é criado. A detecção do antivírus altera o fluxo de execução, permitindo que o código malicioso seja executado sem que o usuário perceba. Este incidente destaca a crescente preocupação com a segurança na cadeia de suprimentos de software, especialmente em um contexto onde o mercado de criptomoedas é alvo frequente de ataques.

Um novo malware para Android, denominado Albiriox, está gerando preocupações entre especialistas em cibersegurança. Este software malicioso opera como um modelo MaaS (Malware as a Service) e é projetado para realizar fraudes em tempo real, utilizando dados bancários das vítimas. O Albiriox foi identificado em fóruns de cibercrime de língua russa e possui recursos avançados que permitem manipular a tela do dispositivo de forma automatizada e imperceptível.

O malware já possui uma lista pré-programada com mais de 400 aplicativos visados, principalmente voltados para finanças, como bancos e carteiras de criptomoedas. Desde sua detecção em setembro, o Albiriox tem evoluído, utilizando táticas de phishing para infectar dispositivos, como o envio de mensagens SMS com links encurtados que redirecionam para aplicativos falsos. Uma vez instalado, o malware consegue controlar o dispositivo em tempo real, coletando informações sensíveis e burlando métodos tradicionais de autenticação.

Pesquisadores da Unit 42, da Palo Alto Networks, alertam sobre o uso de Grandes Modelos de Linguagem (LLMs) por cibercriminosos. Ferramentas como WormGPT 4 e KawaiiGPT estão sendo utilizadas para facilitar a criação de malwares e ataques cibernéticos. O WormGPT, que ressurgiu em sua quarta versão, permite que hackers, mesmo sem experiência, desenvolvam códigos de ransomware e mensagens de phishing. Por exemplo, foi solicitado ao WormGPT que criasse um código para encriptar arquivos PDF em sistemas Windows, resultando em um script PowerShell que utiliza o algoritmo AES-256. Já o KawaiiGPT, uma alternativa comunitária, pode gerar mensagens de spear-phishing e scripts para movimentação lateral em sistemas, demonstrando a facilidade com que cibercriminosos podem automatizar ataques. Ambas as LLMs têm atraído a atenção de hackers, com comunidades ativas no Telegram, o que torna a situação ainda mais preocupante para a cibersegurança. A análise indica que o uso dessas ferramentas não é mais uma ameaça teórica, mas uma realidade crescente, exigindo atenção redobrada das empresas para proteger seus dados e sistemas.

A GreyNoise, empresa de cibersegurança, lançou uma ferramenta gratuita chamada GreyNoise IP Check, que permite aos usuários verificar se seus endereços IP estão conectados a botnets. Uma botnet é uma rede de dispositivos infectados por malware, controlados remotamente por cibercriminosos, muitas vezes sem o conhecimento dos usuários. A ferramenta oferece três resultados: ‘Clean’ (Limpo), indicando que não há atividade maliciosa; ‘Malicious/Suspicious’ (Maliciosa/Suspeita), que sugere investigar dispositivos conectados; e ‘Common Business Service’ (Serviço Comercial Padrão), que indica que o IP está associado a uma VPN ou rede corporativa. Além disso, a ferramenta fornece um histórico de 90 dias do endereço IP, ajudando a identificar quando a infecção ocorreu. Dispositivos infectados podem ser utilizados para ataques DDoS, phishing e fraudes publicitárias, geralmente devido à falta de atualizações de segurança. Especialistas recomendam que os usuários mantenham seus sistemas atualizados e desativem o acesso remoto quando não necessário.

Pesquisadores de cibersegurança revelaram a existência de um pacote npm chamado eslint-plugin-unicorn-ts-2, que busca influenciar scanners de segurança impulsionados por inteligência artificial (IA). O pacote, que se apresenta como uma extensão do popular plugin ESLint para TypeScript, foi carregado em fevereiro de 2024 e já foi baixado quase 19 mil vezes. Uma análise da Koi Security identificou que o pacote contém um prompt que sugere que o código é legítimo e testado em um ambiente seguro, embora essa string não afete a funcionalidade do pacote. O código malicioso, introduzido na versão 1.1.3, possui um hook pós-instalação que captura variáveis de ambiente, como chaves de API e credenciais, e as exfiltra para um webhook. Essa abordagem reflete uma nova tática de cibercriminosos que buscam manipular ferramentas de análise baseadas em IA, além de explorar um mercado subterrâneo de modelos de linguagem maliciosos. Apesar das limitações desses modelos, como a geração de código incorreto, eles tornam o cibercrime mais acessível a atacantes inexperientes, permitindo ataques mais sofisticados em larga escala.

A campanha de cibersegurança conhecida como GlassWorm voltou a atacar, infiltrando 24 extensões maliciosas no Microsoft Visual Studio Marketplace e Open VSX. Essas extensões se disfarçam de ferramentas populares para desenvolvedores, como Flutter e React, e têm como objetivo roubar credenciais do GitHub, npm e Open VSX, além de drenar ativos de criptomoedas de diversas carteiras. A GlassWorm, que utiliza a blockchain Solana para controle de comando e controle (C2), foi documentada pela primeira vez em outubro de 2025 e já causou sérios danos ao comprometer pacotes e extensões adicionais, espalhando o malware de forma semelhante a um verme. A última onda de ataques, identificada por John Tuckner da Secure Annex, envolveu a manipulação de contagens de downloads para enganar desenvolvedores. As extensões maliciosas contêm implantes em Rust que visam sistemas Windows e macOS, permitindo que os atacantes baixem cargas úteis adicionais. A situação é crítica, pois muitos desenvolvedores podem ser facilmente enganados por essas extensões, colocando suas máquinas e dados em risco.

Um ator de ameaças conhecido como ShadyPanda está vinculado a uma campanha de spyware que se estende por sete anos, envolvendo extensões de navegador que acumulam mais de 4,3 milhões de instalações. De acordo com um relatório da Koi Security, cinco dessas extensões, inicialmente legítimas, foram alteradas para executar código malicioso em 2024, resultando em 300 mil instalações. Essas extensões agora realizam execução remota de código, monitorando visitas a sites, exfiltrando histórico de navegação e coletando impressões digitais do navegador. Uma das extensões, Clean Master, foi verificada pelo Google, o que permitiu que os atacantes expandissem sua base de usuários e emitisse atualizações maliciosas sem levantar suspeitas. Além disso, outras extensões coletam informações detalhadas sobre URLs visitados e interações do usuário, enviando dados para servidores na China. O ataque evoluiu de injeções de código a controle ativo do navegador, redirecionando consultas de pesquisa e coletando cookies. A Koi Security alerta que o mecanismo de atualização automática, destinado a proteger os usuários, se tornou um vetor de ataque. Os usuários são aconselhados a remover essas extensões imediatamente e a alterar suas credenciais por precaução.

Um alerta recente da Bitdefender Labs revelou uma nova ameaça para os gamers: arquivos maliciosos disfarçados de downloads gratuitos ou hackeados do jogo Battlefield 6. Esses arquivos, que prometem versões piratas do jogo, na verdade contêm malwares projetados para roubar informações pessoais e até controlar remotamente os computadores dos usuários. A pesquisa identificou instaladores e aplicativos que, ao invés de oferecer vantagens no jogo, servem apenas para roubar dados. Os cibercriminosos utilizam nomes que imitam grupos conhecidos de pirataria, como InsaneRamZes e RUNE, para dar credibilidade aos arquivos. Um dos malwares analisados, disfarçado como uma imagem ISO do jogo, permite que hackers assumam o controle do PC infectado. Outro arquivo, que se apresenta como um treinador, atua como um infostealer, focando em cookies de navegadores, carteiras de criptomoedas e tokens de plataformas como Discord. A Bitdefender recomenda que os jogadores adquiram jogos apenas de fontes confiáveis, como Steam e GOG, para evitar esses riscos.

O grupo de cibercriminosos conhecido como Tomiris tem sido associado a uma série de ataques direcionados a ministérios estrangeiros, organizações intergovernamentais e entidades governamentais na Rússia, com o objetivo de estabelecer acesso remoto e implantar ferramentas adicionais. A Kaspersky destaca uma mudança nas táticas do grupo, que agora utiliza serviços públicos como Telegram e Discord como servidores de comando e controle (C2), misturando tráfego malicioso com atividades legítimas para evitar a detecção. Mais de 50% dos e-mails de spear-phishing utilizados na campanha continham nomes e textos em russo, indicando que o foco principal são usuários de língua russa, além de alvos em países da Ásia Central. Os ataques utilizam uma combinação de shells reversos, implantes personalizados e frameworks de C2 de código aberto, como Havoc e AdaptixC2. A evolução das táticas do Tomiris enfatiza a importância da furtividade e da persistência a longo prazo, visando especificamente organizações governamentais e intergovernamentais. A Kaspersky alerta que a campanha de 2025 do Tomiris utiliza módulos de malware multilíngues para aumentar a flexibilidade operacional e evitar detecções.

Um novo malware para Android, chamado Albiriox, foi identificado como parte de um modelo de malware-as-a-service (MaaS), oferecendo uma gama completa de funcionalidades para facilitar fraudes em dispositivos. O malware contém uma lista codificada de mais de 400 aplicativos, incluindo bancos e plataformas de criptomoedas. Os pesquisadores da Cleafy relataram que o Albiriox é distribuído por meio de aplicativos dropper, utilizando técnicas de engenharia social para enganar os usuários. Uma vez instalado, o malware solicita permissões para instalar outros aplicativos, permitindo o controle remoto do dispositivo. O Albiriox utiliza uma conexão TCP não criptografada para comunicação com o comando e controle (C2), permitindo que os atacantes executem comandos remotamente e capturem informações sensíveis. Além disso, o malware é capaz de realizar ataques de sobreposição em aplicativos bancários, roubando credenciais sem que os usuários percebam. A ameaça é particularmente relevante para usuários na Áustria, onde campanhas específicas foram observadas. A disseminação de ferramentas de cibercrime como o Albiriox representa um risco crescente para a segurança dos dispositivos móveis, especialmente em um cenário onde a fraude em dispositivos está se tornando cada vez mais sofisticada.

A campanha Contagious Interview, atribuída a atores de ameaça da Coreia do Norte, continua a inundar o registro npm com pacotes maliciosos, totalizando 197 novos pacotes desde o mês passado. Esses pacotes, que já foram baixados mais de 31.000 vezes, têm como objetivo entregar uma variante do malware OtterCookie, que combina características de versões anteriores. Entre os pacotes identificados estão ‘bcryptjs-node’, ‘cross-sessions’ e ‘webpack-loadcss’. O malware, ao ser executado, tenta evitar ambientes de sandbox e máquinas virtuais, além de estabelecer um canal de comando e controle (C2) para permitir que os atacantes tenham acesso remoto ao sistema comprometido. As capacidades incluem roubo de credenciais, captura de telas e registro de teclas. A campanha também se destaca por utilizar sites falsos de avaliação que disfarçam a entrega de outro malware, o GolangGhost, sob a aparência de resolver problemas de câmera ou microfone. Essa abordagem inovadora visa comprometer indivíduos através de processos de recrutamento fraudulentos, tornando a aplicação para empregos uma arma. A análise revela que a URL de C2 é codificada e que a conta do GitHub utilizada para a entrega do malware não está mais acessível.

O grupo de hackers conhecido como Bloody Wolf tem sido responsável por uma campanha de ataques cibernéticos que visa o Quirguistão desde junho de 2025, com a intenção de implantar o NetSupport RAT, um software de acesso remoto. De acordo com um relatório da Group-IB, a atividade do grupo se expandiu para o Uzbequistão, afetando setores como finanças, governo e tecnologia da informação. Os atacantes utilizam engenharia social, se passando pelo Ministério da Justiça do Quirguistão, enviando documentos PDF que contêm links maliciosos para arquivos Java Archive (JAR). Esses arquivos são projetados para instalar o NetSupport RAT, permitindo que os hackers mantenham controle sobre os sistemas comprometidos. A campanha no Uzbequistão é notável por implementar restrições geográficas, redirecionando solicitações de fora do país para um site legítimo, enquanto usuários internos são direcionados para o download do malware. A utilização de ferramentas de baixo custo e a exploração da confiança em instituições governamentais têm permitido ao Bloody Wolf operar com eficácia na região da Ásia Central.

Pesquisadores de segurança da Huntress identificaram uma nova tática do malware ClickFix, que utiliza esteganografia para esconder códigos maliciosos em imagens PNG. Os cibercriminosos imitam atualizações críticas do Windows para enganar os usuários, que precisam copiar e colar comandos no prompt de comando para ativar o malware. Essa variante do ClickFix, que também inclui infostealers como LummaC2 e Rhadamantys, foi observada pela primeira vez em outubro de 2025. O ataque envolve a execução de código JavaScript através do binário nativo do Windows, mshta, e utiliza PowerShell e assembly .NET para extrair o payload malicioso. Apesar de parte da infraestrutura hacker ter sido desmantelada em uma operação em novembro, domínios falsos de atualização do Windows ainda estão ativos. Para se proteger, a Huntress recomenda monitorar processos suspeitos e desconfiar de comandos desconhecidos. A situação destaca a necessidade de vigilância constante contra técnicas de engenharia social cada vez mais sofisticadas.

A Agência de Cibersegurança e Infraestrutura de Segurança dos EUA (CISA) emitiu um alerta sobre o aumento de ataques cibernéticos utilizando spyware e trojans de acesso remoto (RAT) direcionados a usuários de aplicativos de mensagens como WhatsApp e Signal. Os cibercriminosos empregam técnicas de engenharia social para instalar spyware nos dispositivos, permitindo acesso não autorizado e o roubo de dados sensíveis, incluindo informações pessoais e financeiras.

Desde o início do ano, diversas campanhas de spyware foram identificadas, destacando-se cinco por sua escala e sofisticação. Entre elas, uma campanha que atacou o Signal, atribuída a hackers russos, e outra que utilizou os spywares ProSpy e ToSpy para invadir dispositivos no Oriente Médio. Além disso, uma campanha chamada ClayRat visou usuários na Rússia através de phishing, enquanto outra explorou falhas de segurança em dispositivos iOS e Samsung para coletar dados de usuários do WhatsApp.

Na última semana, o cenário de cibersegurança foi marcado por uma série de incidentes e inovações em fraudes digitais. O botnet ShadowV2, baseado no Mirai, voltou a atacar dispositivos IoT, explorando vulnerabilidades conhecidas para formar uma rede de dispositivos comprometidos, com o objetivo de realizar ataques DDoS. Além disso, a Singapura implementou novas regras para bloquear mensagens fraudulentas que se passam por agências governamentais, visando reduzir o aumento de golpes online. O projeto Tor anunciou uma atualização significativa em seu algoritmo de criptografia, aumentando a segurança da rede contra ataques ativos. Em um relatório alarmante, a Kaspersky identificou cerca de 6,4 milhões de ataques de phishing, com foco em usuários de lojas online e sistemas de pagamento, especialmente durante a temporada de compras de 2025. Por fim, a NCA do Reino Unido desmantelou uma rede de lavagem de dinheiro que facilitava a evasão de sanções russas, destacando a interconexão entre cibercrime e crimes financeiros. Esses eventos ressaltam a necessidade urgente de fortalecer as defesas digitais e a vigilância contra novas táticas de cibercriminosos.

Pesquisadores da Certo Software identificaram um novo spyware para Android chamado RadzaRat, que também atua como um trojan de acesso remoto (RAT), permitindo que hackers tenham controle total sobre os dispositivos infectados. Disfarçado como um gerenciador de arquivos, o aplicativo malicioso não é detectado por nenhum dos 66 antivírus testados, o que o torna extremamente perigoso. O RadzaRat é capaz de registrar tudo que o usuário digita (keylogging), possibilitando o roubo de informações sensíveis, como senhas e dados de cartão de crédito.

Um novo ataque de cadeia de suprimentos, conhecido como Shai-Hulud v2, comprometeu mais de 830 pacotes no registro npm e se espalhou para o ecossistema Maven. A equipe de pesquisa Socket identificou um pacote no Maven Central, ‘org.mvnpm:posthog-node:4.18.1’, que contém componentes maliciosos semelhantes aos associados ao ataque original. O ataque visa roubar dados sensíveis, como chaves de API e credenciais de nuvem, e se tornou mais furtivo e destrutivo. Os atacantes conseguiram acessar contas de mantenedores do npm e publicar versões trojanizadas de pacotes, afetando mais de 28.000 repositórios. A vulnerabilidade explorada está relacionada a configurações inadequadas em workflows do GitHub Actions, permitindo que código malicioso seja executado. A campanha já vazou centenas de tokens de acesso do GitHub e credenciais de serviços como AWS e Google Cloud. Especialistas recomendam que os usuários rotacionem tokens, auditem dependências e reforcem ambientes de desenvolvimento com acesso de menor privilégio e varredura de segredos.

O uso crescente de softwares maliciosos, como spywares e stalkerwares, em celulares de crianças e adolescentes no Brasil é motivo de preocupação. Um estudo da ESET, em parceria com a iniciativa Digipais, revelou que mais de 70% dos pais brasileiros já discutiram cibersegurança com seus filhos, mas a ameaça persiste. Esses aplicativos podem ser instalados silenciosamente, permitindo que cibercriminosos acessem câmeras, microfones e dados pessoais sem que os usuários percebam. Spywares visam roubar informações sensíveis, enquanto stalkerwares são usados para vigilância, muitas vezes disfarçados como aplicativos legítimos. Sinais de alerta incluem superaquecimento do dispositivo, consumo excessivo de bateria e a presença de aplicativos desconhecidos. Para mitigar esses riscos, especialistas recomendam o uso de antivírus confiáveis e a realização de varreduras regulares. Além disso, é crucial que os pais mantenham um diálogo aberto com os filhos sobre segurança digital, promovendo a confiança e o entendimento sobre o uso de ferramentas de monitoramento. A educação em cibersegurança deve ser uma prioridade, considerando o uso precoce de dispositivos móveis por crianças.

Pesquisadores de cibersegurança identificaram uma nova extensão maliciosa chamada Crypto Copilot na Chrome Web Store, que é capaz de injetar transferências ocultas de Solana em transações de troca, desviando fundos para uma carteira controlada por atacantes. Publicada em 7 de maio de 2024, a extensão foi descrita como uma ferramenta para ’negociar criptomoedas diretamente no X com insights em tempo real’. No entanto, por trás de sua interface, ela adiciona uma transferência extra em cada troca de Solana, cobrando uma taxa mínima de 0.0013 SOL. O código malicioso é ofuscado para evitar detecção e se ativa durante as trocas na plataforma Raydium, um DEX na blockchain Solana. A extensão também se comunica com um backend para registrar carteiras conectadas e monitorar atividades dos usuários, mantendo os usuários desinformados sobre as taxas ocultas. A extensão ainda está disponível para download, apesar de seu comportamento fraudulento.

Um novo ataque cibernético envolvendo a família de malware RomCom foi identificado, visando uma empresa de engenharia civil baseada nos Estados Unidos. O ataque foi realizado através de um carregador JavaScript conhecido como SocGholish, que é utilizado para entregar o Mythic Agent, um trojan de acesso remoto (RAT). Este é o primeiro caso documentado em que um payload do RomCom foi distribuído via SocGholish, que é associado a um grupo de hackers russo, o GRU, e tem como alvo entidades ligadas à Ucrânia. O ataque tipicamente envolve a exibição de alertas falsos de atualização de navegador em sites legítimos, mas comprometidos, para induzir os usuários a baixar o código JavaScript malicioso. Embora o ataque tenha sido bloqueado antes de causar danos, ele demonstra o interesse contínuo do RomCom em atingir organizações que, mesmo indiretamente, estão conectadas à Ucrânia. A velocidade do ataque, que levou menos de 30 minutos desde a infecção até a entrega do carregador, destaca a eficácia e a ameaça representada por esse tipo de ataque, que pode afetar organizações em todo o mundo.

Cibercriminosos estão utilizando uma nova técnica para disseminar malware através de notificações push em navegadores, sem a necessidade de downloads. A campanha, identificada pela BlackFrog, utiliza uma plataforma chamada Matrix Push C2, que engana os usuários ao fazer parecer que estão aceitando notificações legítimas. Uma vez que a vítima se inscreve, os hackers conseguem monitorar suas atividades no navegador e redirecioná-las para sites maliciosos que imitam interfaces de empresas conhecidas, como Netflix e PayPal. O ataque é particularmente preocupante porque não requer a presença de arquivos maliciosos inicialmente, tornando-o mais difícil de detectar. O Matrix Push C2 é capaz de operar em diversos sistemas operacionais, incluindo Windows, Linux e Android, e permite que os criminosos tenham acesso em tempo real às informações sensíveis das vítimas. Essa abordagem direta ao navegador torna o ataque mais eficaz, já que não depende de e-mails de phishing aleatórios. Especialistas alertam que essa nova estratégia representa um risco significativo para a segurança dos usuários na internet.

Pesquisadores em cibersegurança revelaram uma nova campanha que utiliza arquivos da Blender Foundation para disseminar um malware conhecido como StealC V2. Esta operação, que está ativa há pelo menos seis meses, envolve a inserção de arquivos .blend maliciosos em plataformas como CGTrader. Ao abrir esses arquivos no Blender, um software gratuito de criação 3D, scripts Python embutidos são executados automaticamente, caso a opção Auto Run esteja habilitada. Essa vulnerabilidade é reconhecida pela própria Blender, que alerta sobre os riscos de segurança associados à execução de scripts Python. Os arquivos maliciosos contêm um script chamado ‘Rig_Ui.py’, que, ao ser executado, baixa um script PowerShell para obter dois arquivos ZIP. Um deles contém o payload do StealC V2, que é capaz de coletar informações de 23 navegadores, 100 plugins e extensões, além de aplicativos de carteiras de criptomoedas e serviços de mensagens. A Morphisec, empresa de segurança cibernética, recomenda que os usuários mantenham a opção Auto Run desativada, a menos que a fonte do arquivo seja confiável, já que os atacantes exploram o Blender, que normalmente é executado em máquinas físicas com GPUs, evitando ambientes virtuais e sandboxes.

O grupo de ameaças conhecido como ToddyCat tem utilizado métodos inovadores para obter acesso a dados de e-mail corporativo de empresas-alvo, incluindo uma ferramenta personalizada chamada TCSectorCopy. Essa técnica permite que os atacantes obtenham tokens do protocolo de autorização OAuth 2.0 através do navegador do usuário, possibilitando o acesso a e-mails corporativos fora da infraestrutura comprometida. Desde 2020, o ToddyCat tem como alvo diversas organizações na Europa e na Ásia, utilizando ferramentas como Samurai e TomBerBil para manter acesso e roubar cookies e credenciais de navegadores como Google Chrome e Microsoft Edge. Recentemente, o grupo explorou uma vulnerabilidade no ESET Command Line Scanner (CVE-2024-11859) para entregar um malware inédito chamado TCESB. Além disso, uma nova variante do TomBerBil foi detectada, capaz de extrair dados do Mozilla Firefox e operar em controladores de domínio. O ToddyCat também tem tentado obter tokens de acesso diretamente da memória em organizações que utilizam o Microsoft 365, utilizando uma ferramenta chamada SharpTokenFinder. Apesar de enfrentar dificuldades em algumas tentativas, o grupo continua a desenvolver suas técnicas para acessar correspondências corporativas de forma furtiva.