Malware

Um novo grupo de ameaças cibernéticas, identificado como UNC6692, tem utilizado táticas de engenharia social através do Microsoft Teams para implantar uma suíte de malware em sistemas comprometidos. Segundo um relatório da Mandiant, o grupo se aproveita da confiança dos usuários ao se passar por funcionários de suporte técnico, convencendo as vítimas a aceitarem convites de chat de contas externas. A campanha inclui um bombardeio de e-mails de spam, criando uma falsa urgência que leva os alvos a buscar ajuda. O ataque é direcionado principalmente a executivos e funcionários de alto escalão, visando acesso inicial a redes corporativas para roubo de dados e movimentação lateral. O método envolve o uso de um link de phishing que leva ao download de um script malicioso, que instala uma extensão de navegador chamada SNOWBELT, permitindo ao atacante executar comandos remotamente. A Mandiant destaca que essa abordagem combina a exploração de serviços em nuvem legítimos para entrega de payloads e exfiltração de dados, o que dificulta a detecção por filtros de segurança tradicionais. A situação é preocupante, pois demonstra uma evolução nas táticas de ataque, com um foco crescente em alvos de alto valor dentro das organizações.

Recentemente, hackers comprometeram imagens Docker e extensões do Visual Studio Code (VSCode) e Open VSX do Checkmarx KICS, uma ferramenta de análise de segurança de código. O KICS, que é um scanner de código aberto, ajuda desenvolvedores a identificar vulnerabilidades em código-fonte e configurações. A investigação da empresa Socket revelou que a violação se estendeu para além da imagem Docker do KICS, incluindo extensões que baixavam um recurso oculto chamado ‘MCP addon’, projetado para instalar malware que rouba dados. Este malware visa informações sensíveis processadas pelo KICS, como tokens do GitHub, credenciais de nuvem e variáveis de ambiente, criptografando e exfiltrando esses dados para um domínio que se passa por infraestrutura legítima do Checkmarx. O ataque ocorreu em um intervalo específico, e os desenvolvedores que baixaram as versões comprometidas devem considerar suas credenciais comprometidas e tomar medidas imediatas para mitigar os riscos. A Checkmarx já removeu os artefatos maliciosos e está investigando o incidente com a ajuda de especialistas externos.

Uma nova campanha de malware baseada no Mirai está explorando a vulnerabilidade de injeção de comando CVE-2025-29635, que afeta roteadores D-Link DIR-823X. Essa falha permite que atacantes executem comandos arbitrários em dispositivos remotos ao enviar uma requisição POST para um endpoint vulnerável, resultando em execução remota de comandos (RCE). A Akamai SIRT, que detectou a campanha em março de 2026, informa que, apesar de a vulnerabilidade ter sido divulgada há 13 meses, esta é a primeira vez que a exploração ativa foi observada. Os atacantes estão utilizando requisições POST para alterar diretórios, baixar um script shell e executá-lo, instalando um malware Mirai chamado ’tuxnokill’, que suporta múltiplas arquiteturas e possui capacidades de ataque DDoS. Além disso, a campanha também explora outras vulnerabilidades em roteadores TP-Link e ZTE. Os dispositivos afetados atingiram o fim de vida útil em novembro de 2024, o que significa que é improvável que a D-Link forneça um patch para corrigir a falha. Usuários de roteadores obsoletos são aconselhados a atualizar para modelos mais novos e seguros.

Pesquisadores de cibersegurança identificaram um novo conjunto de pacotes npm que foram comprometidos para disseminar um worm auto-replicante, utilizando tokens de desenvolvedor roubados. Denominado CanisterSprawl, o malware foi detectado pelas empresas Socket e StepSecurity, que observaram que ele exfiltra dados através de um canister ICP. Os pacotes afetados incluem versões de @automagik/genie, @fairwords/loopback-connector-es, entre outros. O malware é ativado durante a instalação, utilizando um hook postinstall para roubar credenciais e segredos de ambientes de desenvolvimento, que são então usados para enviar versões contaminadas dos pacotes para o registro. Informações capturadas incluem chaves SSH, credenciais de nuvem e arquivos de configuração do Docker, além de tentativas de acessar dados de navegadores e carteiras de criptomoedas. Além disso, a campanha também inclui lógica de propagação para pacotes Python, ampliando ainda mais seu alcance. Este incidente destaca a crescente ameaça aos ecossistemas de código aberto, com ataques direcionados a plataformas como npm e PyPI, e requer atenção imediata dos profissionais de segurança.

Pesquisadores de cibersegurança alertaram sobre a presença de imagens maliciosas no repositório oficial “checkmarx/kics” do Docker Hub. A empresa de segurança da cadeia de suprimentos Socket revelou que atacantes desconhecidos conseguiram sobrescrever tags existentes, como v2.1.20 e alpine, e introduzir uma nova tag v2.1.21 que não corresponde a uma versão oficial. A análise das imagens comprometidas indica que o binário KICS foi modificado para incluir capacidades de coleta e exfiltração de dados, o que representa um risco significativo para equipes que utilizam KICS para escanear arquivos de infraestrutura como código que podem conter credenciais ou dados de configuração sensíveis. Além disso, ferramentas de desenvolvimento da Checkmarx, como extensões recentes do Microsoft Visual Studio Code, também podem ter sido afetadas, permitindo que código malicioso fosse baixado e executado sem confirmação do usuário. Organizações que utilizaram a imagem KICS comprometida devem considerar qualquer segredo ou credencial exposta como potencialmente comprometida. A Socket sugere que este incidente não é isolado, mas parte de uma violação mais ampla da cadeia de suprimentos que afeta vários canais de distribuição da Checkmarx.

Um novo ataque à cadeia de suprimentos está afetando o ecossistema do Node Package Manager (npm), visando roubar credenciais de desenvolvedores e se espalhar por meio de pacotes publicados a partir de contas comprometidas. Pesquisadores das empresas de segurança Socket e StepSecurity identificaram múltiplos pacotes da Namastex Labs, que fornece soluções baseadas em IA, já comprometidos. As técnicas utilizadas para roubo de credenciais e exfiltração de dados são semelhantes às do ataque CanisterWorm, mas não há evidências suficientes para atribuição confiável. Entre os 16 pacotes comprometidos estão @automagik/genie e pgserve, que são utilizados em ferramentas de IA e operações de banco de dados, indicando que o ataque foca em alvos de alto valor. O código malicioso coleta dados sensíveis, como tokens, chaves de API e credenciais de serviços em nuvem. O malware é descrito como um ‘verme de cadeia de suprimentos’, que pode se propagar rapidamente se as condições forem favoráveis. Os desenvolvedores são aconselhados a tratar todas as versões listadas como maliciosas e a remover imediatamente os pacotes afetados de seus sistemas. Além disso, é recomendado rotacionar todas as credenciais potencialmente expostas.

Pesquisadores de cibersegurança identificaram um novo malware, denominado Lotus Wiper, que tem sido utilizado em ataques direcionados ao setor de energia e utilidades na Venezuela. O ataque, que ocorreu no final de 2025 e início de 2026, utiliza scripts em lote para iniciar uma fase destrutiva, desativando defesas do sistema e preparando o ambiente para a execução do wiper. Uma vez implantado, o Lotus Wiper apaga mecanismos de recuperação, sobrescreve conteúdos de drives físicos e exclui arquivos sistematicamente, deixando os sistemas inoperantes. Não há indícios de que os atacantes busquem ganhos financeiros, o que sugere uma motivação política ou estratégica. O malware foi carregado em uma plataforma pública semanas antes de ações militares dos EUA na Venezuela, levantando questões sobre possíveis conexões. A Kaspersky recomenda que organizações monitorem mudanças em compartilhamentos NETLOGON e atividades de escalonamento de privilégios, além do uso de utilitários nativos do Windows que podem ser utilizados para ações destrutivas. O ataque é particularmente preocupante devido à sua natureza direcionada e ao fato de que os atacantes parecem ter conhecimento prévio do ambiente operacional.

O grupo de ciberespionagem conhecido como Harvester lançou uma nova versão do backdoor GoGra, agora direcionada a sistemas Linux, em ataques que visam entidades na Ásia do Sul, especialmente na Índia e no Afeganistão. O malware utiliza a API do Microsoft Graph e caixas de entrada do Outlook como um canal de comando e controle (C2) encoberto, permitindo que ele contorne as defesas tradicionais de rede. A Symantec e a Carbon Black identificaram que o malware é capaz de enganar as vítimas por meio de engenharia social, disfarçando arquivos ELF como documentos PDF. Uma vez instalado, o GoGra se conecta a uma pasta específica no Outlook a cada dois segundos, procurando por mensagens que contenham comandos a serem executados. Após a execução, os resultados são enviados de volta ao operador, enquanto o malware apaga as mensagens originais para evitar detecções. A continuidade do desenvolvimento de ferramentas pelo Harvester indica uma expansão de suas capacidades de ataque, o que representa um risco crescente para organizações que utilizam tecnologias da Microsoft na região.

Uma nova variante do backdoor GoGra, desenvolvida pelo grupo de espionagem Harvester, utiliza a infraestrutura legítima da Microsoft para realizar entregas furtivas de payloads. O malware, que opera em sistemas Linux, se aproveita da API Microsoft Graph para acessar dados de caixas de entrada do Outlook. A análise da Symantec revelou que o acesso inicial é obtido ao enganar as vítimas para que executem arquivos ELF disfarçados de PDFs. Após a autenticação com credenciais do Azure Active Directory, o malware verifica a pasta de e-mails “Zomato Pizza” a cada dois segundos, utilizando consultas OData para identificar mensagens com o assunto “Input”. O conteúdo dessas mensagens é então decifrado e executado localmente, com os resultados sendo enviados de volta ao operador via e-mails com o assunto “Output”. Para aumentar a furtividade, o malware apaga o e-mail original após o processamento. A similaridade do código entre as versões para Linux e Windows sugere que ambas foram criadas pelo mesmo desenvolvedor, reforçando a ideia de que o Harvester está ampliando seu conjunto de ferramentas e escopo de ataque.

Pesquisadores de cibersegurança identificaram uma nova variante do malware LOTUSLITE, que está sendo distribuído por meio de temas relacionados ao setor bancário da Índia. O malware, que se comunica com um servidor de comando e controle baseado em DNS dinâmico, permite acesso remoto, operações de arquivos e gerenciamento de sessões, indicando que seu uso está mais voltado para espionagem do que para objetivos financeiros. Anteriormente, o LOTUSLITE foi utilizado em ataques de spear-phishing direcionados a entidades governamentais dos EUA, com ligações a um grupo de estado-nação chinês conhecido como Mustang Panda. A nova campanha foca principalmente no setor bancário indiano, utilizando arquivos CHM que incorporam cargas maliciosas. O ataque começa com um arquivo CHM que contém um executável legítimo e uma DLL maliciosa, que, ao ser executada, se conecta a um domínio para receber comandos e exfiltrar dados. Além disso, foram encontrados artefatos semelhantes direcionados a entidades sul-coreanas, sugerindo uma ampliação do escopo de ataque do grupo. Essa evolução no uso do malware e a diversificação dos alvos ressaltam a necessidade de vigilância constante e medidas de segurança robustas, especialmente em setores críticos como o bancário.

Um novo malware de destruição de dados, chamado Lotus, foi utilizado em ataques direcionados a organizações de energia e serviços públicos na Venezuela no ano passado. O malware, que foi analisado pela Kaspersky, foi carregado em uma plataforma pública em dezembro e é projetado para eliminar completamente sistemas comprometidos, sobrescrevendo drives físicos e eliminando opções de recuperação. Os ataques começam com scripts em lote que desativam serviços do Windows e preparam o sistema para a fase final de destruição. O Lotus opera em um nível mais baixo, interagindo diretamente com os discos, apagando pontos de restauração e sobrescrevendo setores físicos. A atividade observada coincide com tensões geopolíticas na região, especialmente após a captura do ex-presidente Nicolás Maduro. Embora a empresa estatal Petróleos de Venezuela (PDVSA) tenha sofrido um ataque cibernético que desativou seus sistemas de entrega, não há evidências públicas de que seus sistemas tenham sido apagados. A Kaspersky recomenda que administradores de sistemas monitorem mudanças em compartilhamentos NETLOGON e o uso inesperado de comandos como ‘diskpart’ e ‘robocopy’. Manter backups offline regulares é uma medida preventiva contra esse tipo de malware.

Pesquisadores de cibersegurança descobriram uma nova versão do malware NGate, que agora abusa de um aplicativo legítimo chamado HandyPay. O malware, que permite a transferência de dados NFC de cartões de pagamento para dispositivos dos atacantes, foi identificado como uma ameaça crescente, especialmente no Brasil. O ataque ocorre quando os usuários são enganados a baixar uma versão comprometida do HandyPay, disfarçada como um aplicativo de proteção de cartão ou um site de loteria. Após a instalação, o aplicativo solicita que o usuário defina o HandyPay como o aplicativo de pagamento padrão e insira o PIN do cartão, permitindo que o malware capture e retransmita os dados do cartão para os criminosos. Essa campanha, que começou em novembro de 2025, destaca a crescente utilização de inteligência artificial por cibercriminosos para desenvolver malware, mesmo sem experiência técnica avançada. A ESET, empresa de segurança que identificou a ameaça, alerta que a fraude NFC está em ascensão, e a escolha do HandyPay pelos atacantes pode estar relacionada ao seu custo mais baixo e à ausência de permissões suspeitas.

Uma nova variante do malware NGate, que rouba dados de pagamentos NFC, está atacando usuários de Android ao se esconder em uma versão trojanizada do aplicativo HandyPay, uma ferramenta legítima de processamento de pagamentos móveis. Originalmente documentado em meados de 2024, o NGate utiliza o chip de comunicação de campo próximo (NFC) dos dispositivos móveis para capturar informações de cartões de pagamento, que são enviadas ao atacante para criar cartões virtuais usados em compras não autorizadas ou saques em caixas eletrônicos. A nova variante, descoberta pela ESET, foi injetada com código malicioso e contém emojis, sugerindo o uso de ferramentas de IA generativa em seu desenvolvimento. O HandyPay, disponível no Google Play desde 2021, permite transmissões de dados baseadas em NFC, que o NGate explora para exfiltrar informações de cartões. A campanha, ativa desde novembro de 2025, utiliza dois métodos de distribuição: um aplicativo falso chamado “Proteção Cartão” e um site de loteria falso que redireciona os usuários para o WhatsApp, onde são levados a baixar o APK malicioso. Após a instalação, o aplicativo solicita que o usuário o defina como o aplicativo de pagamento NFC padrão e pede o PIN do cartão, além de instruções para ler o cartão no telefone. As informações coletadas são enviadas para um e-mail do atacante codificado no aplicativo.

Um conjunto de 26 aplicativos maliciosos foi identificado na Apple App Store, disfarçando-se como carteiras populares como Metamask, Coinbase, Trust Wallet e OneKey. Esses aplicativos têm como objetivo roubar frases de recuperação ou seed phrases, drenando os ativos em criptomoedas dos usuários. Os atacantes utilizaram métodos como typosquatting e branding falso para enganar usuários na China, publicando os aplicativos como jogos ou calculadoras, na tentativa de contornar as restrições do país. Os pesquisadores da Kaspersky nomearam essa campanha de FakeWallet, associando-a à operação SparkKitty. Ao serem abertos, os aplicativos redirecionam os usuários para páginas de phishing que imitam portais legítimos de serviços de criptomoedas. Essas páginas convencem as vítimas a baixar aplicativos de carteira trojanizados, que interceptam as frases mnemônicas durante a configuração ou recuperação da carteira, criptografando-as e enviando-as para os atacantes. Embora a campanha tenha como alvo principal usuários na China, o malware não possui restrições geográficas, podendo afetar usuários globalmente. A Kaspersky recomenda que os detentores de criptomoedas verifiquem sempre o editor dos aplicativos que baixam, mesmo em lojas oficiais. Após a divulgação responsável da Kaspersky, a Apple removeu todos os 26 aplicativos da App Store.

Pesquisadores de cibersegurança identificaram um novo malware chamado ZionSiphon, projetado para atacar sistemas de tratamento e dessalinização de água em Israel. O malware, que foi detectado pela primeira vez em 29 de junho de 2025, logo após a Guerra de Doze Dias entre Irã e Israel, é capaz de estabelecer persistência, modificar arquivos de configuração locais e escanear serviços relevantes de tecnologia operacional (OT) na rede local. O ZionSiphon se destaca por sua capacidade de escalonamento de privilégios e propagação via dispositivos USB, além de suas funções de sabotagem voltadas para o controle de cloro e pressão. O código do malware ainda está em desenvolvimento, apresentando funcionalidades incompletas e um comportamento que sugere que ele pode não estar totalmente operacional. Além disso, o malware contém mensagens políticas que expressam apoio ao Irã, Palestina e Iémen, e é programado para ativar apenas em condições geográficas e ambientais específicas. A descoberta do ZionSiphon coincide com a identificação de outras ameaças, como o implante RoadK1ll, que permite acesso remoto a redes comprometidas. Este cenário destaca a crescente experimentação com ataques a infraestruturas críticas motivados politicamente em todo o mundo.

Um novo malware chamado ZionSiphon, projetado especificamente para tecnologia operacional, está atacando ambientes de tratamento de água e dessalinização, com o objetivo de sabotar suas operações. Pesquisadores descobriram que a ameaça pode ajustar pressões hidráulicas e elevar níveis de cloro a níveis perigosos. A análise indica que o malware tem como alvo sistemas localizados em Israel, com mensagens políticas embutidas em seu código. A empresa de cibersegurança Darktrace identificou um erro de lógica de criptografia que torna a versão atual do malware não funcional, mas alertou que futuras versões podem corrigir essa falha e causar danos significativos. O ZionSiphon verifica se o IP do host está dentro de faixas israelenses e se o sistema contém software relacionado a água ou tecnologia operacional. Caso ativado, o malware poderia aumentar os níveis de cloro e maximizar a pressão, utilizando uma função chamada “IncreaseChlorineLevel()”. Embora a versão atual não esteja operacional, a intenção de interagir com sistemas de controle industrial é clara, e o malware possui um mecanismo de propagação via USB. A situação é preocupante, pois a correção de um pequeno erro de verificação pode liberar seu potencial destrutivo.

Pesquisadores de cibersegurança alertaram sobre uma campanha maliciosa ativa que visa a força de trabalho na República Tcheca, utilizando uma botnet inédita chamada PowMix desde dezembro de 2025. O PowMix se destaca por empregar intervalos de beaconing aleatórios para evitar detecções de assinatura de rede, utilizando URLs que imitam APIs REST legítimas. O ataque se inicia com um arquivo ZIP malicioso, provavelmente entregue por e-mail de phishing, que ativa uma cadeia de infecção em múltiplas etapas. Essa cadeia envolve um atalho do Windows que inicia um loader PowerShell, extraindo e executando o malware na memória.

Três empresas de segurança digital identificaram um esquema criminoso que visa usuários de dispositivos Apple e Android, envolvendo o roubo de dados do iCloud e a instalação de spyware. Os hackers, contratados por uma empresa de vigilância indiana, criam páginas falsas de login para capturar credenciais do ID Apple, permitindo acesso a informações pessoais armazenadas na nuvem, como fotos e mensagens. Até agora, foram detectados cerca de 1.500 endereços falsos que imitam serviços da Apple. Para usuários de Android, o spyware chamado ProSpy é disseminado por meio de aplicativos populares como WhatsApp e Zoom, permitindo que os criminosos monitorem mensagens e acessem microfone e câmera. A situação é alarmante, pois os ataques estão direcionados a jornalistas, ativistas e autoridades em várias regiões, incluindo o Oriente Médio e os Estados Unidos, levantando preocupações sobre privacidade e segurança de dados.

O Google anunciou que está intensificando o uso de seus modelos de IA Gemini para detectar e bloquear anúncios prejudiciais em suas plataformas de publicidade. Em 2025, a empresa removeu 8,3 bilhões de anúncios e suspendeu 24,9 milhões de contas de anunciantes, incluindo 602 milhões de anúncios relacionados a fraudes. O malvertising, que envolve anúncios que imitam marcas legítimas para disseminar malware ou realizar phishing, continua a ser um problema significativo. Os cibercriminosos estão utilizando IA generativa para criar anúncios enganosos em larga escala, o que torna a detecção mais desafiadora. O Google afirma que o Gemini permite a análise de bilhões de sinais, como comportamento do anunciante e histórico de contas, para identificar anúncios maliciosos. Nos EUA, 1,7 bilhão de anúncios foram removidos, e as principais violações de políticas foram abuso da rede de anúncios e má representação. A precisão aumentada dos modelos de IA reduziu em 80% as suspensões incorretas de anunciantes. O Google planeja expandir o uso do Gemini para mais formatos de anúncios, visando bloquear campanhas maliciosas no momento da submissão.

Hackers estão aproveitando uma vulnerabilidade crítica no notebook Python reativo Marimo para implantar uma nova variante do malware NKAbuse, hospedada na plataforma Hugging Face Spaces. As primeiras tentativas de exploração da falha de execução remota de código (CVE-2026-39987) começaram na semana passada, logo após a divulgação pública de detalhes técnicos. Pesquisadores da Sysdig monitoraram a atividade e identificaram uma campanha que começou em 12 de abril, utilizando a plataforma Hugging Face para demonstrar aplicações de inteligência artificial.

Uma nova campanha de engenharia social, identificada como REF6598, tem explorado o aplicativo de anotações Obsidian para distribuir um trojan de acesso remoto chamado PHANTOMPULSE, visando indivíduos nos setores financeiro e de criptomoedas. Os atacantes utilizam táticas elaboradas de engenharia social através de plataformas como LinkedIn e Telegram, apresentando-se como uma empresa de capital de risco. Após estabelecer contato, os alvos são direcionados a um grupo no Telegram, onde discutem tópicos relacionados a serviços financeiros e soluções de liquidez em criptomoedas. Os alvos são instruídos a usar o Obsidian para acessar um painel compartilhado, que na verdade é um cofre malicioso. Ao abrir o cofre, o usuário é solicitado a ativar a sincronização de plugins comunitários, o que permite a execução de código malicioso. O PHANTOMPULSE, uma backdoor gerada por inteligência artificial, utiliza a blockchain Ethereum para se conectar a servidores de comando e controle, permitindo acesso remoto completo ao sistema da vítima. Embora a campanha tenha sido detectada e bloqueada antes de causar danos, ela ilustra como os atacantes continuam a encontrar vetores de acesso criativos, explorando aplicativos confiáveis e técnicas de engenharia social.

O Computer Emergencies Response Team da Ucrânia (CERT-UA) revelou uma nova campanha de malware que visa governos e instituições de saúde municipais, especialmente clínicas e hospitais de emergência. Essa atividade, observada entre março e abril de 2026, foi atribuída ao grupo de ameaças UAC-0247, cujas origens permanecem desconhecidas. O ataque começa com um e-mail que finge ser uma proposta de ajuda humanitária, levando os destinatários a clicar em um link que redireciona para um site legítimo comprometido ou um site falso criado com ferramentas de inteligência artificial. O objetivo é baixar e executar um arquivo de atalho do Windows (LNK), que, por sua vez, executa um aplicativo HTML remoto (HTA) que desvia a atenção da vítima enquanto busca um binário para injetar código malicioso em processos legítimos. Entre as ferramentas utilizadas estão o ChromElevator, que contorna proteções de criptografia de navegadores, e o AGINGFLY, um malware que permite controle remoto dos sistemas afetados. As investigações indicam que também houve tentativas de atingir as Forças de Defesa da Ucrânia. Para mitigar os riscos, recomenda-se restringir a execução de arquivos LNK, HTA e JS, além de utilitários legítimos como ‘mshta.exe’ e ‘powershell.exe’.

Uma ferramenta de adware digitalmente assinada foi identificada como responsável por desativar proteções antivírus em milhares de dispositivos, afetando setores críticos como educação, utilidades, governo e saúde. Pesquisadores da Huntress descobriram a campanha em 22 de março, quando executáveis assinados, considerados programas indesejados (PUPs), geraram alertas em ambientes gerenciados. A empresa Dragon Boss Solutions LLC, envolvida em atividades de monetização de busca, é a responsável pela distribuição de ferramentas que, embora rotuladas como navegadores, são detectadas como PUPs. Além de exibir anúncios, essas ferramentas possuem um mecanismo de atualização avançado que implanta um ‘killer’ de antivírus. O processo de atualização é silencioso e executa payloads com privilégios elevados, desativando produtos de segurança como Malwarebytes e Kaspersky. A Huntress registrou um domínio de atualização não registrado, permitindo que eles monitorassem conexões de milhares de dispositivos comprometidos. A operação já afetou 23.500 hosts em 124 países, incluindo instituições acadêmicas e redes de infraestrutura crítica. A Huntress alerta que, embora a ferramenta atualmente utilize um desativador de antivírus, mecanismos para implantar payloads mais perigosos estão em vigor, representando um risco significativo para a segurança cibernética.

Recentemente, mais de 30 plugins do pacote EssentialPlugin foram comprometidos com um código malicioso que permite acesso não autorizado a sites que os utilizam. O código backdoor foi inserido no ano passado, mas começou a ser distribuído por meio de atualizações apenas recentemente, gerando páginas de spam e redirecionamentos, conforme as instruções de um servidor de comando e controle (C2). O problema foi identificado por Austin Ginder, fundador da Anchor Hosting, após receber uma dica sobre um dos plugins. Investigações subsequentes revelaram que o backdoor estava presente em todos os plugins do pacote desde agosto de 2025, após a aquisição do projeto por um novo proprietário. O código malicioso, que se mantinha inativo até então, foi ativado e começou a se comunicar com uma infraestrutura externa para baixar um arquivo que injeta malware no arquivo de configuração do WordPress. A equipe do WordPress.org agiu rapidamente, desativando os plugins e forçando uma atualização para neutralizar a comunicação do backdoor. No entanto, alertaram que a ação não limpa o arquivo de configuração principal, que contém configurações críticas do site. Administradores de sites que utilizam produtos EssentialPlugin devem estar atentos, pois o malware pode estar oculto em outros arquivos além do identificado.

Uma nova família de malware chamada ‘AgingFly’ foi identificada em ataques direcionados a governos locais e hospitais na Ucrânia, com o objetivo de roubar dados de autenticação de navegadores baseados em Chromium e do WhatsApp. Os ataques foram detectados pelo CERT-UA, que atribuiu a responsabilidade a um grupo de ameaças cibernéticas conhecido como UAC-0247. O vetor de ataque começa com um e-mail que simula uma oferta de ajuda humanitária, levando a vítima a clicar em um link que redireciona para um site legítimo comprometido ou um site falso gerado por uma ferramenta de IA. Após o download de um arquivo comprimido, o malware é executado, utilizando técnicas como injeção de shellcode e comunicação com um servidor de comando e controle (C2) via WebSockets. O AgingFly se destaca por compilar comandos em tempo real a partir de código-fonte recebido, o que dificulta a detecção. O CERT-UA recomenda que usuários bloqueiem a execução de arquivos LNK, HTA e JS para interromper a cadeia de ataque. Este incidente representa um risco significativo, especialmente para organizações que utilizam tecnologias semelhantes às atacadas.

Pesquisadores da empresa de segurança Socket identificaram mais de 100 extensões maliciosas na Chrome Web Store que tentam roubar tokens de autenticação do Google OAuth2, implantar backdoors e realizar fraudes publicitárias. Essas extensões fazem parte de uma campanha coordenada que utiliza a mesma infraestrutura de comando e controle (C2). Os atacantes publicaram as extensões sob cinco identidades diferentes, abrangendo categorias como clientes de Telegram, jogos de azar e ferramentas de tradução. A campanha utiliza um backend central hospedado em um VPS da Contabo, com subdomínios dedicados a roubo de sessões e coleta de dados. Entre as extensões, uma se destaca por roubar sessões do Telegram a cada 15 segundos, permitindo que os atacantes troquem a conta do Telegram do usuário sem seu conhecimento. A Socket notificou o Google sobre a campanha, mas as extensões ainda estão disponíveis na loja. Os usuários são aconselhados a verificar suas extensões instaladas e desinstalar qualquer correspondência com as IDs publicadas pela Socket.

O trojan de acesso remoto (RAT) Mirax, direcionado a dispositivos Android, tem sido identificado em campanhas que visam países de língua espanhola, alcançando mais de 220 mil contas em plataformas como Facebook e Instagram. Segundo a empresa de prevenção a fraudes online Cleafy, o Mirax permite que atacantes interajam em tempo real com dispositivos comprometidos, além de transformar esses dispositivos em nós de proxy residenciais, utilizando o protocolo SOCKS5. Essa funcionalidade permite que os criminosos contornem restrições geográficas e aumentem sua anonimidade durante atividades fraudulentas.

Pesquisadores de cibersegurança descobriram uma nova campanha envolvendo 108 extensões do Google Chrome que se comunicam com a mesma infraestrutura de comando e controle (C2) para coletar dados de usuários e permitir abusos no navegador. Essas extensões, publicadas sob cinco identidades distintas, acumulam cerca de 20.000 instalações na Chrome Web Store. A análise revelou que 54 extensões roubam identidades de contas do Google via OAuth2, enquanto 45 possuem uma porta dos fundos universal que abre URLs arbitrárias ao iniciar o navegador. Além disso, algumas extensões exfiltram sessões do Telegram a cada 15 segundos e injetam anúncios e scripts maliciosos em páginas visitadas. As extensões se disfarçam como ferramentas legítimas, como clientes do Telegram e jogos, mas na verdade capturam informações de sessão e injetam códigos maliciosos. Os usuários são aconselhados a remover essas extensões imediatamente e a desconectar suas sessões do Telegram. A análise de código revelou comentários em russo, sugerindo uma possível origem russa para os operadores.

A OpenAI anunciou a rotação de seus certificados de assinatura de código para macOS após um ataque à cadeia de suprimentos que comprometeu um pacote Axios. No dia 31 de março de 2026, um fluxo de trabalho legítimo da empresa baixou e executou uma versão comprometida do pacote Axios (1.14.1), que foi utilizada para implantar malware em dispositivos. Embora a investigação não tenha encontrado evidências de que o certificado de assinatura foi comprometido, a OpenAI decidiu tratá-lo como potencialmente vulnerável e revogá-lo por precaução. Os usuários de macOS devem atualizar seus aplicativos OpenAI para versões assinadas com o novo certificado, pois as versões antigas podem parar de funcionar a partir de 8 de maio de 2026. O ataque foi atribuído a atores de ameaças da Coreia do Norte, que usaram engenharia social para comprometer a conta de um mantenedor do projeto e publicar versões maliciosas do pacote. A OpenAI está colaborando com a Apple para garantir que nenhum software futuro possa ser notariado com o certificado antigo.

O malware JanelaRAT, uma variante modificada do BX RAT, tem se tornado uma ameaça crescente para bancos e instituições financeiras na América Latina, especialmente no Brasil e no México. Este trojan é projetado para roubar dados financeiros e de criptomoedas, monitorar entradas do mouse, registrar teclas digitadas, capturar telas e coletar metadados do sistema. A Kaspersky reportou que, em 2025, foram registrados 14.739 ataques no Brasil e 11.695 no México, embora o número de compromissos bem-sucedidos ainda seja desconhecido. O JanelaRAT utiliza um mecanismo de detecção de barra de título personalizado para identificar sites de interesse nos navegadores das vítimas e executar ações maliciosas. A distribuição do malware ocorre principalmente através de arquivos MSI falsificados que se disfarçam como software legítimo. Após a execução, o malware estabelece comunicação com um servidor de comando e controle (C2) e monitora as atividades da vítima, visando interações bancárias sensíveis. O JanelaRAT é capaz de realizar uma série de ações, como capturar telas, simular cliques e até mesmo manipular o Gerenciador de Tarefas do Windows para evitar detecção. Dada a sofisticação e a evolução contínua das campanhas de JanelaRAT, a ameaça representa um risco significativo para a segurança cibernética das instituições financeiras na região.

O infostealer Storm, que surgiu em redes de cibercrime em 2026, marca uma nova fase na evolução do roubo de credenciais. Por menos de mil dólares mensais, operadores podem acessar um software que coleta credenciais de navegadores, cookies de sessão e dados de carteiras de criptomoedas, enviando tudo para servidores controlados pelos atacantes. A mudança na abordagem se deve à introdução da App-Bound Encryption no Chrome, dificultando a decriptação local e levando os desenvolvedores a optar pela decriptação em servidores. O Storm é capaz de lidar com navegadores baseados em Chromium e Gecko, coletando dados essenciais para restaurar sessões comprometidas e acessar plataformas SaaS sem alertar sobre a violação. A coleta de dados inclui senhas salvas, cookies de sessão e informações de contas, permitindo que um único navegador comprometido forneça acesso a múltiplos serviços. O artigo destaca a automação do processo de restauração de sessões, que torna o ataque ainda mais eficiente. Com um modelo de assinatura acessível, o Storm representa uma ameaça significativa, especialmente para empresas que utilizam serviços amplamente adotados como Google e Microsoft 365.

O grupo de hackers norte-coreano APT37, também conhecido como ScarCruft, foi identificado em uma nova campanha de engenharia social que utiliza o Facebook como plataforma de ataque. Os cibercriminosos criaram contas falsas para se conectar com alvos, estabelecendo uma relação de confiança antes de mover a conversa para o Messenger. A estratégia inclui o uso de um software malicioso disfarçado de visualizador de PDF, alegando ser necessário para acessar documentos militares criptografados. O software comprometido é uma versão adulterada do Wondershare PDFelement, que, ao ser executado, ativa um código malicioso que permite o controle remoto do dispositivo da vítima. Além disso, a campanha utiliza uma infraestrutura legítima, mas comprometida, para comandos e controle, aproveitando um site de serviços imobiliários japonês. O malware, chamado RokRAT, é disfarçado como uma imagem JPG e permite que os atacantes capturem informações do sistema e realizem comandos remotamente, enquanto evita a detecção por programas de segurança. Essa abordagem sofisticada e evasiva destaca a evolução das táticas de ataque do APT37, que continua a adaptar suas estratégias de entrega e execução.

Um grupo de hackers desconhecidos comprometeu o site da CPUID, conhecido por hospedar ferramentas de monitoramento de hardware como CPU-Z e HWMonitor, por menos de 24 horas. O ataque ocorreu entre 9 e 10 de abril de 2026, quando os links para download dos instaladores foram substituídos por URLs maliciosas. A CPUID confirmou a violação, que foi atribuída a uma falha em uma API secundária, permitindo que o site exibisse links maliciosos. O malware distribuído incluía um trojan de acesso remoto chamado STX RAT, que possui capacidades de roubo de informações e controle remoto. Os atacantes utilizaram uma técnica de side-loading de DLL, onde um executável legítimo foi combinado com uma DLL maliciosa chamada ‘CRYPTBASE.dll’. A Kaspersky identificou mais de 150 vítimas, principalmente indivíduos, mas também organizações em setores como varejo e telecomunicações, com a maioria das infecções ocorrendo no Brasil, Rússia e China. O uso de uma cadeia de infecção já conhecida pelos atacantes foi considerado um erro grave, facilitando a detecção do comprometimento.

Recentemente, hackers conseguiram acessar a API do projeto CPUID, alterando os links de download no site oficial para direcionar usuários a executáveis maliciosos das populares ferramentas CPU-Z e HWMonitor. Essas utilidades, utilizadas por milhões para monitorar a saúde do hardware do computador, foram afetadas por um ataque que redirecionava downloads para uma versão trojanizada do HWiNFO, um software de diagnóstico de outro desenvolvedor. O arquivo malicioso, chamado HWiNFO_Monitor_Setup, apresenta um instalador russo, o que levanta suspeitas. Embora os arquivos originais ainda estivessem disponíveis através de URLs diretas, os links de distribuição estavam comprometidos. Pesquisadores confirmaram que o malware é sofisticado, utilizando técnicas avançadas para evitar detecções de antivírus e sistemas de resposta a incidentes. O CPUID informou que a violação ocorreu por cerca de seis horas entre 9 e 10 de abril, durante a ausência do desenvolvedor principal. Após a descoberta, a empresa corrigiu o problema e agora fornece versões limpas das ferramentas. Este incidente destaca a vulnerabilidade de softwares amplamente utilizados e a necessidade de vigilância constante na segurança cibernética.

Pesquisadores de cibersegurança identificaram uma nova evolução da campanha GlassWorm, que utiliza um dropper Zig para infectar ambientes de desenvolvimento integrados (IDEs) em máquinas de desenvolvedores. A técnica foi encontrada em uma extensão do Open VSX chamada ‘specstudio.code-wakatime-activity-tracker’, que se disfarça como uma ferramenta legítima, WakaTime, usada para monitorar o tempo de programação. A extensão, que já não está disponível para download, inclui um binário nativo compilado em Zig que, ao ser executado, busca IDEs compatíveis no sistema, como Microsoft Visual Studio Code e suas variantes.

Um incidente de segurança cibernética recente revelou que atacantes desconhecidos comprometeram o sistema de atualização do plugin Smart Slider 3 Pro, utilizado em sites WordPress e Joomla. A versão afetada, 3.5.1.35, foi lançada em 7 de abril de 2026 e, em um intervalo de aproximadamente seis horas, permitiu que uma versão maliciosa fosse instalada em mais de 800 mil sites. O malware incluía um backdoor que possibilitava a criação de contas de administrador ocultas e a execução remota de comandos no servidor. A empresa Nextend, responsável pelo plugin, agiu rapidamente para desativar seus servidores de atualização e remover a versão comprometida. Os usuários afetados foram aconselhados a atualizar para a versão 3.5.1.36 e realizar uma série de etapas de limpeza, incluindo a remoção de contas suspeitas e arquivos persistentes. Este incidente destaca a vulnerabilidade das cadeias de suprimento de software, onde um ataque pode ocorrer através de canais de atualização confiáveis, tornando as defesas tradicionais ineficazes.

A Google anunciou a implementação da proteção Device Bound Session Credentials (DBSC) na versão 146 do Chrome para Windows, com o objetivo de impedir que malwares que roubam informações, como os infostealers, capturem cookies de sessão. Essa nova funcionalidade, que será disponibilizada para usuários de macOS em uma versão futura ainda não anunciada, vincula criptograficamente a sessão do usuário ao hardware específico do dispositivo, utilizando chips de segurança como o Trusted Platform Module (TPM) no Windows e o Secure Enclave no macOS. Com isso, as chaves públicas e privadas geradas pelo chip de segurança não podem ser exportadas, tornando os dados de sessão roubados inúteis para os atacantes. A Google destaca que, sem a chave privada correspondente, qualquer cookie de sessão exfiltrado expira rapidamente, reduzindo significativamente o risco de acesso não autorizado. A empresa também observou uma diminuição notável nos eventos de roubo de sessão durante um ano de testes com o protocolo DBSC, desenvolvido em parceria com a Microsoft e outras plataformas da web. Os desenvolvedores web podem implementar essa nova proteção em seus sistemas, garantindo maior segurança sem comprometer a compatibilidade com as interfaces existentes.

Um novo malware baseado em Lua, chamado LucidRook, está sendo utilizado em campanhas de spear-phishing que visam organizações não governamentais e universidades em Taiwan. Pesquisadores da Cisco Talos atribuíram o malware a um grupo de ameaças conhecido internamente como UAT-10362, caracterizado como um adversário capaz com táticas operacionais maduras. O LucidRook foi observado em ataques em outubro de 2025, onde e-mails de phishing continham arquivos compactados protegidos por senha. Os pesquisadores identificaram duas cadeias de infecção: uma usando um arquivo de atalho LNK que entregou um dropper de malware chamado LucidPawn, e outra baseada em um executável falso de antivírus que se passava por um serviço da Trend Micro. O LucidPawn, por sua vez, descriptografa e implanta um executável legítimo renomeado para imitar o Microsoft Edge, juntamente com uma DLL maliciosa para carregar o LucidRook. O malware é notável por seu design modular e ambiente de execução Lua, permitindo que os operadores atualizem funcionalidades sem modificar o núcleo do malware, além de dificultar a visibilidade forense. Durante a execução, o LucidRook realiza reconhecimento do sistema, coletando informações como nomes de usuários e aplicativos instalados, que são criptografadas e exfiltradas para a infraestrutura controlada pelos atacantes. A Cisco Talos conclui que os ataques do LucidRook fazem parte de uma campanha de intrusão direcionada, embora não tenham conseguido capturar o bytecode Lua descriptografável, o que limita o conhecimento sobre as ações pós-infecção.

Um estudo recente revelou que grupos e canais no Telegram estão sendo utilizados por homens para vender ferramentas de hacking e espionagem com o objetivo de assediar mulheres. Pesquisadores do grupo AI Forensics analisaram 2,8 milhões de mensagens em 16 grupos italianos e espanhóis, identificando a troca de aproximadamente 82 mil conteúdos ilegais, incluindo imagens e vídeos de mulheres, muitas vezes sem o seu consentimento. As publicações variam desde ataques a celebridades até assédios a mulheres comuns, como amigas e esposas. Além disso, a pesquisa destacou a prática de doxing, onde informações pessoais são coletadas e utilizadas para intimidar as vítimas. O Telegram, por sua vez, afirmou que remove milhões de conteúdos nocivos diariamente, embora a eficácia dessas ações esteja sob questionamento, especialmente em meio a investigações sobre seu fundador na França. A situação levanta preocupações sobre a segurança digital e a proteção da privacidade das mulheres, além de implicações legais significativas, especialmente no contexto da Lei Geral de Proteção de Dados (LGPD) no Brasil.

Recentemente, hackers invadiram o sistema de atualização do plugin Smart Slider 3 Pro, utilizado em mais de 900 mil sites WordPress e Joomla, e distribuíram uma versão maliciosa que contém múltiplas portas dos fundos. O desenvolvedor do plugin confirmou que apenas a versão 3.5.1.35 está comprometida e recomenda que os usuários atualizem imediatamente para a versão 3.5.1.36 ou revertam para a versão 3.5.1.34 ou anterior. A atualização maliciosa não apenas instalou backdoors em várias localizações, mas também criou um usuário oculto com permissões de administrador e roubou dados sensíveis. A análise da empresa PatchStack revelou que o malware é um kit de ferramentas multi-camadas que permite a execução de comandos remotamente, sem autenticação, e inclui uma segunda porta dos fundos autenticada. Além disso, o malware cria um diretório ‘mu-plugins’ que carrega um plugin disfarçado, tornando-se invisível no painel do WordPress. O alerta se estende também para instalações Joomla, onde o código malicioso pode criar contas de administrador ocultas e roubar informações do site. Administradores são aconselhados a remover o plugin comprometido e seguir um guia de limpeza manual fornecido pelo desenvolvedor.

O cenário de cibersegurança continua a evoluir com novas ameaças e vulnerabilidades que merecem atenção. Um dos principais destaques é a variante do botnet Phorpiex, que utiliza um modelo híbrido de comunicação para garantir continuidade operacional, mesmo diante de desativação de servidores. Este malware tem como objetivos principais redirecionar transações de criptomoedas e disseminar spam de extorsão sexual, além de facilitar a implementação de ransomware.

Outra vulnerabilidade crítica identificada é a do Apache ActiveMQ Classic, que permitiu a execução remota de código (RCE) por 13 anos. Essa falha pode ser combinada com uma vulnerabilidade anterior para contornar autenticações, tornando-se uma ameaça significativa, especialmente em ambientes que utilizam credenciais padrão.

Um novo grupo de ameaças cibernéticas, denominado UAT-10362, foi identificado em campanhas de spear-phishing direcionadas a organizações não governamentais (ONGs) e universidades em Taiwan. O grupo utiliza um malware sofisticado chamado LucidRook, que incorpora um interpretador Lua e bibliotecas compiladas em Rust dentro de uma biblioteca de link dinâmico (DLL). A Cisco Talos, responsável pela descoberta, relatou que o ataque foi iniciado em outubro de 2025, utilizando arquivos compactados RAR ou 7-Zip para entregar um dropper chamado LucidPawn. Este dropper, por sua vez, executa um arquivo de disfarce e inicia o LucidRook. Existem duas cadeias de infecção distintas: uma baseada em arquivos de atalho do Windows (LNK) e outra envolvendo um executável que se apresenta como um programa antivírus da Trend Micro. O LucidRook é projetado para coletar informações do sistema e exfiltrá-las para um servidor externo, além de receber e executar cargas úteis em bytecode Lua. O uso de técnicas de geofencing permite que o malware opere apenas em ambientes de língua chinesa tradicional, limitando sua execução a Taiwan. A complexidade e a modularidade do malware indicam que UAT-10362 é um ator de ameaças altamente capacitado, com um foco em operações furtivas e específicas para suas vítimas.

Uma nova campanha de cibersegurança está afetando quase 100 lojas online que utilizam a plataforma de e-commerce Magento, inserindo um código malicioso para roubo de dados de cartões de crédito em uma imagem SVG de tamanho reduzido. Ao clicar no botão de checkout, os usuários são apresentados a uma sobreposição convincente que valida os dados do cartão e informações de cobrança. A empresa de segurança eCommerce Sansec identificou que o ataque provavelmente explorou a vulnerabilidade PolyShell, que permite a execução de código não autenticado e a tomada de controle de contas. O malware é injetado como um elemento SVG de 1x1 pixel com um manipulador ‘onload’ que contém o código do skimmer, evitando a detecção por scanners de segurança. Dados de pagamento submetidos são validados em tempo real e enviados ao atacante em um formato JSON ofuscado. A Sansec recomenda que os proprietários de sites verifiquem a presença de tags SVG ocultas e monitorem solicitações suspeitas. Até o momento, a Adobe não lançou uma atualização de segurança para corrigir a falha PolyShell em versões estáveis do Magento, o que aumenta o risco para os usuários da plataforma.

Uma nova campanha de cibersegurança está distribuindo o malware Atomic Stealer para usuários de macOS, utilizando o Script Editor em uma variação do ataque ClickFix. O Script Editor é um aplicativo confiável do macOS, que permite a execução de scripts, mas está sendo explorado por hackers para enganar as vítimas a executar comandos maliciosos sem interação manual com o Terminal. Os atacantes criam sites falsos com temas da Apple, que se apresentam como guias para liberar espaço em disco. Esses sites contêm instruções que, ao serem seguidas, abrem o Script Editor com um código executável pré-preenchido. O código malicioso executa um comando ofuscado que baixa e executa um script diretamente na memória do sistema, resultando na instalação do Atomic Stealer, um malware que visa roubar dados sensíveis, como informações do Keychain, senhas e dados de carteiras de criptomoedas. Os usuários de macOS devem tratar os prompts do Script Editor como de alto risco e evitar sua execução a menos que compreendam completamente o que estão fazendo. Para guias de solução de problemas, recomenda-se confiar apenas na documentação oficial da Apple.

Pesquisadores de cibersegurança identificaram uma nova variante de malware chamada Chaos, que está se expandindo para atingir implantações em nuvem mal configuradas, além de seu foco tradicional em roteadores e dispositivos de borda. O malware, que foi documentado pela primeira vez em setembro de 2022, é capaz de operar em ambientes Windows e Linux, permitindo a execução de comandos remotos, mineração de criptomoedas e ataques de negação de serviço distribuídos (DDoS).

Um novo malware denominado ‘NoVoice’ está causando sérios problemas em dispositivos Android, tendo sido baixado mais de 2,3 milhões de vezes na Play Store. O malware se esconde em mais de 50 aplicativos falsos, que incluem plataformas de limpeza de sistemas e jogos, levando os usuários a instalá-los sem perceber a ameaça. Especialistas da McAfee descobriram que o NoVoice explora vulnerabilidades do sistema Android para coletar informações sensíveis, como logins, senhas e dados de cartões de crédito. Além disso, o malware tem a capacidade de instalar ou desinstalar aplicativos sem o conhecimento do usuário. Um dos aplicativos identificados na operação criminosa é o SwiftClean, que promete otimizar o desempenho do dispositivo. Embora o Google tenha garantido que dispositivos atualizados desde maio de 2021 estão protegidos, é essencial que os usuários mantenham atenção redobrada ao instalar novos aplicativos, uma vez que os criminosos conseguem burlar os sistemas de segurança da Play Store.

O vazamento do código-fonte do Claude Code, uma ferramenta de inteligência artificial da Anthropic, resultou em uma campanha maliciosa que distribui um malware chamado ‘Vidar’, projetado para roubar dados sensíveis dos usuários. O incidente teve início no final de março de 2026, quando um arquivo JavaScript contendo o código vazado foi acidentalmente incluído em um pacote npm e posteriormente publicado no GitHub. Criminosos aproveitaram essa situação para criar um repositório falso, atraindo usuários interessados em obter o código original. O responsável pela disseminação do malware, identificado como ‘idbzoomh’, utilizou técnicas de SEO para garantir que seu repositório aparecesse nas primeiras posições dos resultados de busca do Google. O malware se instala como um dropper, utilizando uma ferramenta de proxy para roubar informações. Além disso, uma segunda versão do repositório foi encontrada, sugerindo que os atacantes estão testando diferentes métodos de distribuição. A análise da empresa de segurança Zscaler alerta para o risco que essa situação representa, especialmente para aqueles que buscam o código vazado, tornando-os alvos fáceis para os hackers.

O malware que afeta sistemas de controle industrial (ICS) representa uma ameaça significativa para indústrias essenciais, como energia e manufatura. Variedades como Industroyer e Stuxnet já demonstraram a capacidade de interromper processos industriais e causar danos físicos à infraestrutura crítica. Um relatório recente da Cyble Research & Intelligence Labs revelou que as divulgações de vulnerabilidades em ICS quase dobraram entre 2024 e 2025, em parte devido à exploração crescente por agentes de ameaça. Dispositivos ICS expostos à internet, especialmente aqueles que utilizam protocolos legados como Modbus, são alvos primários, pois carecem de autenticação e criptografia. Um escaneamento realizado identificou 179 dispositivos ICS suspeitos respondendo na porta 502, com os Estados Unidos liderando em exposição (57 dispositivos). A maioria dos dispositivos expostos pertence a fabricantes como Schneider e ABB, e a revelação de suas informações pode facilitar ataques, permitindo que invasores acessem registros sensíveis. Diante do crescimento do mercado de automação industrial, a proteção desses dispositivos se torna uma prioridade, pois cada novo dispositivo conectado representa uma nova superfície de ataque.

Uma campanha persistente de malware conhecida como Contagious Interview, associada à Coreia do Norte, está se expandindo ao publicar pacotes maliciosos que visam os ecossistemas Go, Rust e PHP. Os pacotes maliciosos, que se disfarçam como ferramentas legítimas para desenvolvedores, atuam como carregadores de malware, permitindo que a campanha realize operações coordenadas de cadeia de suprimentos. Os pacotes identificados incluem nomes como ‘dev-log-core’ e ’logutilkit’, que, uma vez instalados, buscam carregar cargas úteis específicas para cada plataforma, com capacidades de roubo de informações e acesso remoto. Um dos pacotes, ’license-utils-kit’, apresenta um implante completo que pode executar comandos de shell, registrar teclas, roubar dados de navegadores e gerenciar acesso remoto. A descoberta de mais de 1.700 pacotes maliciosos desde janeiro de 2025 indica que a campanha é bem financiada e persistentemente projetada para infiltrar ambientes de desenvolvedores. Além disso, a Microsoft alertou sobre a evolução das táticas de grupos de hackers norte-coreanos, que utilizam engenharia social para comprometer contas e distribuir malware através de links falsos de reuniões online. Essa situação representa um risco significativo para a segurança de desenvolvedores e empresas que utilizam essas tecnologias.

Um grupo de hackers vinculado à Coreia do Norte comprometeu a biblioteca JavaScript Axios, uma das mais populares do mundo, inserindo um código malicioso que pode roubar dados de sistemas operacionais como Windows, macOS e Linux. O ataque ocorreu entre 00h21 e 03h20 UTC do dia 31 de março de 2026, e as versões contaminadas foram removidas rapidamente. O Google atribuiu a ação ao grupo UNC1069, que tem um histórico de roubo de criptomoedas. Os invasores conseguiram acesso à conta do mantenedor do pacote npm do Axios, publicando duas versões adulteradas que incluíam uma dependência maliciosa chamada “plain-crypto-js”, que atuava como um dropper, baixando e executando outras ameaças. O ataque foi precedido por semanas de engenharia social, onde os hackers criaram perfis falsos e um workspace no Slack para enganar o mantenedor. O impacto do ataque é significativo, considerando que o Axios é utilizado em cerca de 80% dos ambientes de nuvem e desenvolvimento, com milhões de downloads semanais.