Malware

Um novo malware chamado Storm está revolucionando a forma como os hackers comprometem contas online, permitindo o acesso total a perfis sem a necessidade de senhas ou autenticação multifatorial. De acordo com a Varonis Threat Labs, o Storm se concentra em cookies de sessão, que mantêm os usuários logados em suas contas. Ao roubar esses cookies, os atacantes podem acessar contas como se fossem os usuários legítimos, evitando assim os alertas de segurança comuns. O malware coleta dados do navegador, incluindo credenciais salvas e tokens de autenticação, e processa essas informações em servidores controlados pelos atacantes, o que dificulta a detecção por ferramentas de segurança. O Storm é oferecido como um serviço de assinatura, com preços que variam de $300 por uma demonstração de sete dias a $900 por mês, tornando o cibercrime mais acessível. Os dados coletados incluem informações de contas de grandes plataformas como Google, Facebook e várias exchanges de criptomoedas. Essa nova abordagem representa um risco significativo para organizações que dependem apenas de proteções tradicionais, destacando a necessidade de monitoramento de tráfego e análises comportamentais para detectar atividades suspeitas.

Uma campanha de cibersegurança tem como alvo instâncias expostas do ComfyUI, uma plataforma popular de difusão estável, para integrá-las em uma botnet de mineração de criptomoedas e proxy. Um scanner em Python varre continuamente os principais intervalos de IP na nuvem em busca de alvos vulneráveis, instalando automaticamente nós maliciosos via ComfyUI-Manager. A exploração se baseia em uma má configuração que permite a execução remota de código em implantações não autenticadas. Após a exploração bem-sucedida, os hosts comprometidos são utilizados para minerar Monero e Conflux, além de serem integrados a uma botnet chamada Hysteria V2. A pesquisa da Censys revelou mais de 1.000 instâncias do ComfyUI acessíveis publicamente, o que é suficiente para que agentes de ameaça realizem campanhas oportunistas. O ataque utiliza scripts que exploram nós personalizados do ComfyUI, permitindo a execução de código arbitrário sem autenticação. A persistência do malware é garantida por mecanismos que reinstalam o código a cada inicialização do ComfyUI, além de técnicas para ocultar a atividade maliciosa. Este incidente destaca a necessidade de vigilância contínua e medidas de segurança robustas para proteger serviços expostos na nuvem.

Uma nova campanha de malware direcionada a usuários do WhatsApp foi descoberta por pesquisadores do Microsoft Defender. O ataque, que começou em fevereiro de 2026, utiliza arquivos maliciosos no formato Visual Basic Script (VBS) enviados por meio de mensagens no aplicativo. Quando o arquivo é aberto, ele instala um script que cria pastas ocultas no sistema Windows, disfarçando-se como componentes legítimos. Essa técnica de engenharia social permite que o malware se instale sem acionar sistemas de segurança, já que suas atividades se misturam ao tráfego normal do dispositivo.

Em março de 2026, um ataque à cadeia de suprimentos realizado pelo grupo TeamPCP comprometeu pacotes da biblioteca de desenvolvimento de IA LiteLLM, resultando em uma operação sistemática de coleta de credenciais a partir de estações de trabalho de desenvolvedores. O malware, que foi injetado nas versões 1.82.7 e 1.82.8 do LiteLLM disponíveis no PyPI, ativou-se quando os desenvolvedores instalavam ou atualizavam o pacote, coletando chaves SSH, credenciais de nuvem e outras informações sensíveis. Apesar da remoção rápida dos pacotes maliciosos, a análise da GitGuardian revelou que 1.705 pacotes do PyPI estavam configurados para puxar as versões comprometidas como dependências, expondo ainda mais sistemas a riscos.

Recentemente, grupos de ameaças associados à Coreia do Norte têm utilizado o GitHub como infraestrutura de comando e controle (C2) em ataques direcionados a organizações na Coreia do Sul. Segundo a Fortinet, a cadeia de ataque começa com arquivos de atalho do Windows (LNK) ofuscados, que são distribuídos por meio de e-mails de phishing. Esses arquivos iniciam o download de um documento PDF falso e um script PowerShell que opera em segundo plano. O script realiza verificações para evitar a análise, terminando sua execução se detectar processos relacionados a máquinas virtuais ou ferramentas forenses. Caso contrário, ele extrai um script Visual Basic e estabelece persistência, garantindo que o payload do PowerShell seja executado automaticamente a cada 30 minutos. Além disso, o script coleta informações do sistema comprometido e as exfiltra para um repositório do GitHub, utilizando um token de acesso codificado. Essa técnica de usar plataformas confiáveis como o GitHub para controle de malware é uma estratégia que permite aos atacantes se camuflar e manter controle sobre os sistemas infectados. O uso de ferramentas nativas do Windows, em vez de malware personalizado, aumenta a eficácia dos ataques, reduzindo a taxa de detecção. A situação é preocupante, pois demonstra a evolução das táticas de grupos patrocinados pelo estado, como o Kimsuky, que também têm explorado outras técnicas de infecção baseadas em LNK.

O malware SparkCat, um infostealer focado em criptomoedas, está de volta com novas atualizações que dificultam sua detecção. Pesquisadores da Kaspersky identificaram aplicativos maliciosos disfarçados em plataformas populares como a Apple App Store e o Google Play Store. O SparkCat, que foi detectado pela primeira vez em 2025, tem como alvo as frases mnemônicas usadas para acessar carteiras de criptomoedas. Recentemente, o malware aprimorou suas técnicas, utilizando reconhecimento óptico de caracteres (OCR) para extrair essas informações de fotos e capturas de tela. Embora inicialmente focado em usuários asiáticos, a nova versão também busca alvos ocidentais, incluindo palavras-chave em inglês. As técnicas de ofuscação foram aprimoradas, tornando a detecção ainda mais desafiadora. A Kaspersky informou que algumas das aplicações maliciosas já foram removidas das lojas, mas o risco persiste, especialmente para usuários que não mantêm vigilância sobre os aplicativos que instalam.

Pesquisadores de cibersegurança identificaram 36 pacotes maliciosos na registry npm, disfarçados como plugins do Strapi CMS. Esses pacotes, que não possuem descrição ou repositório, foram projetados para facilitar a exploração de Redis e PostgreSQL, implantar shells reversos, coletar credenciais e instalar um implante persistente. Todos os pacotes seguem a convenção de nomenclatura ‘strapi-plugin-’ e foram enviados por contas falsas em um curto período de tempo. A análise revelou que o código malicioso está embutido no script postinstall, que é executado automaticamente durante a instalação, permitindo que o código seja executado com os mesmos privilégios do usuário. Os ataques incluem a injeção de comandos para execução remota de código, coleta de informações sensíveis e exploração de bancos de dados. A descoberta coincide com uma série de ataques à cadeia de suprimentos no ecossistema de código aberto, levantando preocupações sobre a segurança de desenvolvedores e empresas que utilizam essas tecnologias. Os usuários que instalaram os pacotes devem considerar suas contas comprometidas e trocar todas as credenciais.

Com o aumento das ameaças digitais, usuários de iPhones antigos precisam estar atentos à segurança de seus dispositivos. À medida que as versões do iOS se tornam obsoletas, os aparelhos mais antigos se tornam alvos preferenciais para ataques, como o recente malware DarkSword, que compromete informações sensíveis através de links maliciosos. Para mitigar esses riscos, o artigo apresenta cinco passos essenciais: 1) Atualizar o iPhone para a versão mais recente disponível; 2) Verificar se o dispositivo ainda recebe atualizações de segurança; 3) Evitar clicar em links suspeitos e instalar aplicativos fora da App Store; 4) Reforçar as proteções do aparelho, como ativar a autenticação de dois fatores e o Face ID ou Touch ID; e 5) Revisar permissões de aplicativos e monitorar comportamentos estranhos. Essas medidas são cruciais para garantir a segurança dos dados e a integridade do dispositivo, especialmente em um cenário onde ataques cibernéticos estão em ascensão.

Desde meados de 2025, um ator de ameaças alinhado à China, identificado como TA416, intensificou suas atividades contra organizações governamentais e diplomáticas na Europa, após um período de dois anos com pouca atividade na região. Pesquisadores da Proofpoint relataram que as campanhas de TA416 incluem múltiplas ondas de entrega de malware e web bugs direcionadas a missões diplomáticas da União Europeia e da OTAN. O grupo tem utilizado técnicas sofisticadas, como o abuso de páginas de desafio do Cloudflare e redirecionamentos OAuth, além de atualizar frequentemente seu payload PlugX. Além disso, TA416 também tem realizado campanhas no Oriente Médio, possivelmente para coletar informações sobre o conflito entre EUA, Israel e Irã. As táticas observadas incluem o uso de arquivos de projeto C# para facilitar a entrega do malware, que é conhecido por estabelecer canais de comunicação criptografados com servidores de comando e controle. A evolução das operações cibernéticas chinesas, que se tornaram mais adaptativas e centradas na identidade, destaca a necessidade de vigilância constante por parte das organizações, especialmente aquelas que operam em setores críticos.

O mantenedor do pacote Axios, Jason Saayman, confirmou que o comprometimento da cadeia de suprimentos foi resultado de uma campanha de engenharia social altamente direcionada, orquestrada por atores de ameaças da Coreia do Norte, identificados como UNC1069. Os atacantes se apresentaram como o fundador de uma empresa legítima, criando um espaço no Slack que parecia autêntico, onde interagiram com Saayman. Durante uma reunião falsa no Microsoft Teams, ele recebeu uma mensagem de erro que o levou a baixar um trojan de acesso remoto. Com isso, os atacantes conseguiram roubar as credenciais da conta npm de Saayman e publicaram versões comprometidas do pacote Axios, que é amplamente utilizado na comunidade JavaScript, com quase 100 milhões de downloads semanais. O ataque destaca a vulnerabilidade dos mantenedores de projetos de código aberto e o potencial de impacto em larga escala, afetando usuários downstream. Saayman implementou medidas preventivas, como redefinir dispositivos e credenciais e adotar práticas recomendadas para publicações. O incidente ressalta a necessidade de vigilância constante em um ambiente de desenvolvimento cada vez mais complexo.

Pesquisadores de cibersegurança descobriram uma nova versão do malware SparkCat nas lojas de aplicativos da Apple e Google, mais de um ano após sua primeira detecção. Este trojan se disfarça em aplicativos aparentemente inofensivos, como mensageiros corporativos e serviços de entrega de alimentos, enquanto escaneia silenciosamente as galerias de fotos das vítimas em busca de frases de recuperação de carteiras de criptomoedas. A empresa russa Kaspersky identificou dois aplicativos infectados na App Store e um no Google Play, com foco em usuários de criptomoedas na Ásia. A variante para iOS se destaca por buscar frases mnemônicas em inglês, o que amplia seu alcance potencial. A versão para Android, por sua vez, apresenta várias camadas de ofuscação e busca palavras-chave em japonês, coreano e chinês. O SparkCat utiliza um modelo de reconhecimento óptico de caracteres (OCR) para extrair imagens que contêm frases de recuperação de carteiras e enviá-las a servidores controlados por atacantes. As melhorias recentes indicam que o malware está em evolução contínua, reforçando a necessidade de soluções de segurança para dispositivos móveis.

Pesquisadores de segurança da Kaspersky alertam sobre o CrystalX RAT, um novo malware como serviço (MaaS) que combina funcionalidades avançadas de espionagem com recursos de ‘prankware’. Este malware permite acesso remoto a sistemas, execução de comandos, roubo de dados e até captura de áudio e vídeo. Além disso, possui características que visam perturbar as vítimas, como alterar papéis de parede e esconder ícones da área de trabalho. O CrystalX RAT é promovido principalmente através do Telegram e YouTube, visando novatos na área de hacking. A Kaspersky observa que o malware já afetou dezenas de vítimas, principalmente na Rússia, e prevê um aumento significativo no número de afetados devido à sua campanha de marketing agressiva. O uso de engenharia social para disseminação do malware, como cracks de software e serviços premium falsos, é uma preocupação crescente. O impacto potencial inclui não apenas o roubo de credenciais, mas também o uso de dados para chantagem, o que representa uma ameaça significativa à privacidade e segurança dos usuários.

Recentemente, o vazamento do código-fonte do Claude Code, uma ferramenta de IA da Anthropic, expôs 513 mil linhas de código TypeScript, permitindo que cibercriminosos explorassem essa brecha. O incidente ocorreu em 31 de março de 2023, quando um mapa de origem JavaScript foi acidentalmente incluído em um pacote npm. Após a divulgação, o código foi rapidamente baixado e publicado em repositórios do GitHub, onde um usuário malicioso criou um repositório falso que prometia acesso a recursos ‘desbloqueados’ do Claude Code. Esse repositório, otimizado para mecanismos de busca, atraiu usuários curiosos, que acabaram baixando um arquivo malicioso contendo um executável que instala o malware Vidar, um ladrão de informações, junto com a ferramenta GhostSocks. Os pesquisadores da Zscaler alertam que o repositório malicioso é atualizado frequentemente, o que pode indicar a adição de novos payloads. Apesar das defesas do GitHub, a plataforma tem sido um canal recorrente para a distribuição de malware disfarçado. O incidente destaca a necessidade de vigilância constante e de ações proativas para mitigar riscos associados a vazamentos de código e à exploração de vulnerabilidades.

Um novo malware chamado NoVoice foi descoberto em mais de 50 aplicativos disponíveis na Google Play Store, afetando aproximadamente 2,3 milhões de dispositivos Android. Este malware é particularmente perigoso, pois se instala como um rootkit altamente persistente, o que significa que uma simples redefinição de fábrica não é suficiente para removê-lo. Os pesquisadores da McAfee identificaram que o NoVoice explora vulnerabilidades antigas no kernel do Android e em drivers de GPU, visando dispositivos que não recebem atualizações regulares.

Desde novembro de 2023, uma operação de cibersegurança chamada REF1695 tem explorado instaladores falsos para implantar trojans de acesso remoto (RATs) e mineradores de criptomoedas. Os pesquisadores da Elastic Security Labs identificaram que, além do cryptomining, os atacantes monetizam as infecções através de fraudes CPA (Custo Por Ação), redirecionando as vítimas para páginas de bloqueio de conteúdo sob a aparência de registro de software. As versões mais recentes da campanha também entregaram um implante .NET inédito, denominado CNB Bot, que utiliza um arquivo ISO como vetor de infecção. Este loader invoca o PowerShell para configurar exclusões amplas no Microsoft Defender, permitindo que o CNB Bot opere em segundo plano, enquanto o usuário é enganado por uma mensagem de erro. O CNB Bot é capaz de baixar e executar cargas adicionais, atualizar-se e realizar ações de limpeza para ocultar suas atividades. A operação já acumulou 27,88 XMR (aproximadamente R$ 9.392) em quatro carteiras rastreadas, evidenciando o retorno financeiro consistente para os atacantes. Além disso, a infraestrutura de comando e controle (C2) dos atacantes abusa do GitHub como uma rede de entrega de conteúdo, hospedando binários em contas confiáveis, o que dificulta a detecção.

O WhatsApp, plataforma de mensagens pertencente ao Meta, notificou cerca de 200 usuários que foram enganados a instalar uma versão falsa de seu aplicativo para iOS, que estava infectada com spyware. A maioria dos alvos está localizada na Itália, onde os atacantes utilizaram táticas de engenharia social para induzir os usuários a baixar o software malicioso que imitava o WhatsApp. Todos os usuários afetados foram desconectados e orientados a desinstalar os aplicativos comprometidos, além de baixar a versão oficial do WhatsApp. A empresa também está tomando medidas legais contra a Asigint, uma subsidiária italiana da empresa de spyware SIO, que supostamente criou a versão falsa do aplicativo. Este incidente segue uma série de alertas anteriores do WhatsApp sobre spyware, incluindo um caso em que 90 usuários foram notificados sobre a ameaça de um spyware chamado Graphite. A crescente utilização de ferramentas de vigilância na Itália e na Grécia levanta preocupações sobre a privacidade e a segurança dos dados dos cidadãos, especialmente em um contexto onde o uso de tecnologia de espionagem por governos está sob escrutínio.

O CrystalRAT, um novo malware como serviço (MaaS), está sendo promovido no Telegram e no YouTube, oferecendo funcionalidades como acesso remoto, roubo de dados, keylogging e sequestro de área de transferência. Lançado em janeiro, o CrystalRAT apresenta um modelo de assinatura em camadas e possui semelhanças com o WebRAT, incluindo design de painel e código baseado em Go. O malware conta com um painel de controle amigável e uma ferramenta de construção automatizada que permite personalizações, como geoblocking e recursos anti-análise. Os payloads gerados são comprimidos e criptografados para proteção. O componente de roubo de informações do CrystalRAT, que está temporariamente desativado para atualização, visa navegadores baseados em Chromium e coleta dados de aplicativos de desktop como Steam e Discord. Além disso, o malware possui um módulo de acesso remoto que permite executar comandos, transferir arquivos e controlar a máquina em tempo real. O CrystalRAT também inclui funcionalidades de prankware, como alterar a imagem de fundo da área de trabalho e forçar o desligamento do sistema, o que pode distrair as vítimas enquanto os módulos de roubo de dados operam em segundo plano. Para mitigar o risco de infecções, recomenda-se cautela ao interagir com conteúdos online e evitar downloads de fontes não confiáveis.

Um novo malware para Android, chamado NoVoice, foi descoberto na Google Play, oculto em mais de 50 aplicativos que foram baixados mais de 2,3 milhões de vezes. Os aplicativos infectados incluíam ferramentas de limpeza, galerias de imagens e jogos, e não exigiam permissões suspeitas. Após o lançamento de um aplicativo infectado, o malware tentava obter acesso root ao dispositivo explorando vulnerabilidades antigas do Android que foram corrigidas entre 2016 e 2021. Pesquisadores da McAfee identificaram a operação NoVoice, que compartilha semelhanças com o trojan Android Triada. O malware oculta componentes maliciosos em pacotes legítimos do Facebook e utiliza esteganografia para extrair um payload criptografado. Ele evita infectar dispositivos em regiões específicas, como Beijing e Shenzhen, e realiza verificações para detectar emuladores e VPNs. Após a infecção, o malware coleta informações do dispositivo e se conecta a um servidor de comando e controle (C2) para baixar componentes adicionais. O NoVoice é capaz de roubar dados do WhatsApp, permitindo que atacantes clonar sessões de usuários. Embora os aplicativos maliciosos tenham sido removidos da Google Play, usuários que os instalaram devem considerar seus dispositivos comprometidos. Atualizar para dispositivos com patches de segurança mais recentes é recomendado para mitigar essa ameaça.

A Microsoft alertou sobre uma nova campanha de cibersegurança que utiliza mensagens do WhatsApp para disseminar arquivos maliciosos em formato de Visual Basic Script (VBS). Iniciada no final de fevereiro de 2026, essa atividade emprega uma cadeia de infecção em múltiplas etapas, visando estabelecer persistência e permitir acesso remoto aos sistemas das vítimas. Os atacantes distribuem arquivos VBS que, ao serem executados, criam pastas ocultas e instalam versões renomeadas de utilitários legítimos do Windows, como ‘curl.exe’ e ‘bitsadmin.exe’, camuflando suas ações. Após obter acesso inicial, os invasores tentam escalar privilégios e instalar pacotes MSI maliciosos, utilizando serviços de nuvem confiáveis como AWS e Tencent Cloud para hospedar os arquivos maliciosos. A campanha combina engenharia social e técnicas de stealth, tornando-se uma ameaça significativa, pois permite que os atacantes manipulem configurações de controle de conta de usuário (UAC) e mantenham controle sobre os sistemas comprometidos. A utilização de ferramentas legítimas e plataformas confiáveis aumenta a eficácia dos ataques, destacando a necessidade de vigilância constante e medidas de proteção adequadas.

Recentemente, hackers invadiram a conta npm do pacote Axios, um cliente HTTP para JavaScript com mais de 100 milhões de downloads semanais, para disseminar trojans de acesso remoto (RATs) em sistemas Linux, Windows e macOS. De acordo com relatórios de empresas de segurança, como Endor Labs e Socket, duas versões maliciosas do pacote foram publicadas no registro npm: axios@1.14.1 e axios@0.30.4. A invasão ocorreu após a violação da conta de Jason Saayman, o principal mantenedor do Axios, e as versões maliciosas foram publicadas sem a origem automatizada do OpenID Connect, o que deveria ter acionado um alerta. O ataque foi cuidadosamente planejado, com a injeção de uma dependência maliciosa chamada plain-crypto-js@^4.2.1 no arquivo package.json, que executa um script pós-instalação para baixar e executar um payload específico para cada sistema operacional. O impacto potencial é significativo, dado que o Axios possui cerca de 400 milhões de downloads mensais. Os usuários são aconselhados a reverter para as versões limpas axios@1.14.0 e axios@0.30.3 e a tomar medidas de segurança adicionais, como a rotação de credenciais.

Uma campanha ativa de ciberataques tem como alvo usuários de língua chinesa, utilizando domínios com erros de digitação que imitam marcas de software confiáveis para disseminar um novo trojan de acesso remoto chamado AtlasCross RAT. A empresa de cibersegurança Hexastrike identificou que a operação abrange clientes de VPN, mensageiros criptografados, ferramentas de videoconferência e aplicativos de e-commerce, com onze domínios confirmados que se passam por marcas como Surfshark VPN, Signal e Microsoft Teams. A campanha é atribuída ao grupo de cibercrime chinês conhecido como Silver Fox, que evoluiu suas táticas a partir de variantes do Gh0st RAT. Os atacantes criam sites falsos para enganar usuários a baixarem arquivos ZIP que contêm instaladores trojanizados. O AtlasCross RAT possui capacidades avançadas, incluindo injeção de DLL em WeChat e manipulação de sessões RDP, além de técnicas de evasão de segurança. A descoberta deste malware destaca a crescente sofisticação das ameaças cibernéticas, com implicações significativas para a segurança de dados e a conformidade com a LGPD no Brasil.

O malware RoadK1ll, um novo implante malicioso identificado, permite que atacantes se movimentem discretamente de um host comprometido para outros sistemas na rede. Desenvolvido em Node.js, ele se comunica por meio de um protocolo WebSocket personalizado, mantendo o acesso contínuo do invasor e facilitando operações adicionais. Descoberto pela Blackpoint, uma provedora de resposta e detecção gerenciada, o RoadK1ll é descrito como um implante leve de tunelamento reverso que se integra à atividade normal da rede, transformando uma máquina infectada em um ponto de retransmissão para o atacante.

Uma nova campanha de cibersegurança está utilizando a tática de engenharia social conhecida como ClickFix para distribuir um malware loader inédito chamado DeepLoad. De acordo com pesquisadores da ReliaQuest, o DeepLoad emprega técnicas avançadas de ofuscação assistida por inteligência artificial (IA) e injeção de processos para evitar detecções. O ataque começa com um engodo que induz os usuários a executar comandos do PowerShell, que, por sua vez, baixa e executa um loader ofuscado. O malware se disfarça como um processo legítimo do Windows, ocultando suas atividades e desabilitando o histórico de comandos do PowerShell para evitar monitoramento. Além disso, o DeepLoad é capaz de roubar credenciais de navegadores e se propaga através de dispositivos de mídia removível. Ele também utiliza o Windows Management Instrumentation (WMI) para reinfectar sistemas sem interação do usuário. Essa nova ameaça representa um risco significativo, pois combina várias técnicas de evasão e pode comprometer a segurança de sistemas em larga escala.

Um novo esquema de malware para macOS, conhecido como Infiniti Stealer, foi descoberto pela Malwarebytes. Este infostealer é distribuído através de um ataque de engenharia social chamado ClickFix, que engana as vítimas a executarem um código malicioso no Terminal do macOS. O ataque começa com um redirecionamento para um site que simula uma atualização de software, onde as vítimas são levadas a completar um CAPTCHA que, na verdade, é um código que instala o malware. O Infiniti Stealer é notável por ser escrito em Python e compilado com Nuitka, o que resulta em um executável nativo do macOS, dificultando sua detecção. O malware é capaz de roubar credenciais de navegadores, dados do Keychain do macOS, informações de carteiras de criptomoedas e até capturas de tela. A Malwarebytes alerta que, devido à natureza do ataque, muitas defesas tradicionais são contornadas, tornando os usuários vulneráveis. Para se proteger, recomenda-se cautela com comunicações recebidas, verificação de links e a utilização de autenticação multifator.

A Apple lançou uma nova funcionalidade de segurança na versão 26.4 do macOS Tahoe, que visa proteger os usuários contra ataques do tipo ClickFix. Essa técnica de engenharia social engana os usuários a colar comandos maliciosos no Terminal, acreditando que estão resolvendo um problema. A nova mecânica do sistema impede a execução imediata de comandos potencialmente prejudiciais, exibindo um alerta que informa sobre os riscos associados. O alerta é acionado quando comandos são copiados de navegadores, como o Safari, e colados no Terminal. Embora os usuários possam optar por ignorar o aviso, a Apple recomenda cautela, especialmente se a origem do comando for desconhecida. A funcionalidade foi relatada por usuários desde a versão candidata do sistema, mas não foi mencionada nas notas de lançamento oficiais. A Apple ainda não divulgou documentação de suporte sobre esse novo sistema de alertas, e a eficácia do mecanismo em identificar comandos arriscados permanece incerta. Especialistas em segurança recomendam que usuários de qualquer sistema operacional evitem executar comandos encontrados online sem total compreensão de suas funções.

Pesquisadores de cibersegurança descobriram um toolkit de acesso remoto de origem russa, denominado CTRL, que é distribuído por meio de arquivos de atalho (LNK) maliciosos disfarçados como pastas de chaves privadas. O toolkit, desenvolvido em .NET, inclui executáveis que facilitam phishing de credenciais, keylogging, sequestro de sessões RDP e tunelamento reverso via Fast Reverse Proxy (FRP). O ataque começa com um arquivo LNK que, ao ser clicado, inicia um processo em múltiplas etapas, levando à implantação do toolkit. O arquivo dropper aciona um comando PowerShell oculto que remove mecanismos de persistência existentes e baixa cargas úteis adicionais de um servidor remoto. O componente de coleta de credenciais simula uma janela de verificação de PIN do Windows, capturando informações sensíveis enquanto bloqueia tentativas de escape. O toolkit também permite o envio de notificações que imitam navegadores para roubo adicional de credenciais. A arquitetura do CTRL prioriza a segurança operacional, evitando padrões de comunicação detectáveis, o que representa um risco significativo para organizações que utilizam tecnologias Windows. A descoberta deste toolkit destaca a necessidade de vigilância contínua e medidas de segurança robustas para mitigar riscos associados a ataques de malware sofisticados.

Um novo malware de roubo de informações, chamado Infinity Stealer, está direcionando ataques a sistemas macOS utilizando um payload em Python, que é empacotado como um executável com o compilador Nuitka. Este ataque emprega a técnica ClickFix, que apresenta um CAPTCHA falso semelhante ao verificador humano da Cloudflare, enganando os usuários para que executem código malicioso. Segundo pesquisadores da Malwarebytes, esta é a primeira campanha documentada no macOS que combina a entrega via ClickFix com um infostealer baseado em Python compilado com Nuitka. O uso do Nuitka resulta em um binário nativo que é mais resistente à análise estática, tornando a engenharia reversa mais difícil em comparação com ferramentas como PyInstaller. O ataque começa com um isco ClickFix no domínio update-check[.]com, que solicita que o usuário cole um comando obfuscado no Terminal do macOS, contornando defesas do sistema operacional. O malware é capaz de coletar dados sensíveis, como credenciais de navegadores, entradas do Keychain do macOS e segredos em arquivos de desenvolvedor, exfiltrando essas informações via requisições HTTP POST. A Malwarebytes alerta que a evolução de ameaças como o Infinity Stealer demonstra que os riscos para usuários de macOS estão se tornando mais sofisticados e direcionados.

A Proofpoint revelou uma campanha de e-mails direcionados atribuída ao grupo de ameaças TA446, vinculado ao governo russo, que está utilizando o kit de exploits DarkSword para atacar dispositivos iOS. A campanha, que começou em 26 de março de 2026, envolveu e-mails falsos que simulavam convites para discussões do Atlantic Council, com o objetivo de entregar o malware GHOSTBLADE. Este ataque é notável, pois o TA446 não havia atacado dispositivos Apple anteriormente. A Proofpoint observou um aumento significativo no volume de e-mails maliciosos nas últimas semanas, com a utilização de arquivos ZIP protegidos por senha para implantar um backdoor conhecido como MAYBEROBOT. A empresa também destacou que a nova capacidade de ataque do DarkSword permite ao grupo ampliar seu alcance, visando uma variedade de entidades, incluindo governos e instituições financeiras. A Apple, por sua vez, começou a enviar notificações de segurança para usuários de iPhones e iPads, alertando sobre ataques baseados na web e incentivando a atualização do sistema operacional. A situação é preocupante, especialmente com a democratização do acesso a exploits de estado-nação, o que pode alterar significativamente o cenário de ameaças móveis.

Hackers do grupo TeamPCP comprometeram o pacote Telnyx no Python Package Index (PyPI), carregando versões maliciosas que distribuem malware projetado para roubar credenciais, oculto dentro de um arquivo WAV. O ataque à cadeia de suprimentos foi detectado por empresas de segurança como Aikido, Socket e Endor Labs, que associaram a ação ao TeamPCP, conhecido por ataques anteriores a sistemas iranianos e por comprometer ferramentas populares como o scanner de vulnerabilidades Trivy. As versões maliciosas 4.87.1 e 4.87.2 do pacote Telnyx foram publicadas, com a segunda versão corrigindo um erro na primeira. O malware, que se ativa automaticamente ao importar o pacote, é capaz de roubar chaves SSH, credenciais e tokens de nuvem em sistemas Linux e macOS, enquanto no Windows, ele se instala na pasta de inicialização para persistência. Pesquisadores alertam que a versão 4.87.0 é a única limpa e recomendam que os desenvolvedores revertam para ela imediatamente. Sistemas que importaram as versões comprometidas devem ser considerados totalmente comprometidos, com a necessidade urgente de rotação de segredos.

O grupo de cibercriminosos TeamPCP comprometeu o pacote Python telnyx, publicando duas versões maliciosas (4.87.1 e 4.87.2) no repositório PyPI, com o objetivo de roubar dados sensíveis. As versões maliciosas, lançadas em 27 de março de 2026, utilizam esteganografia em arquivos .WAV para ocultar suas capacidades de coleta de credenciais. Usuários são aconselhados a reverter para a versão 4.87.0 imediatamente, uma vez que o projeto PyPI está em quarentena. O código malicioso foi injetado no arquivo ’telnyx/_client.py’, sendo ativado ao importar o pacote em aplicações Python, afetando sistemas Windows, Linux e macOS. No Windows, o malware persiste através de um arquivo chamado ‘msbuild.exe’ na pasta de inicialização, enquanto em Linux e macOS, ele realiza uma coleta rápida de dados antes de se autodestruir. O ataque destaca uma nova abordagem dos cibercriminosos, que agora visam pacotes legítimos amplamente utilizados, em vez de publicar diretamente versões maliciosas. Para mitigar a ameaça, desenvolvedores devem auditar seus ambientes Python, rotacionar segredos e bloquear o domínio de exfiltração. Este incidente é parte de uma campanha mais ampla do TeamPCP, que colabora com outros grupos de cibercrime.

Criminosos estão explorando a credibilidade do portal gov.br para disseminar malware que captura senhas e dados bancários. Segundo Rodolfo Almeida, cofundador da ViperX, o ataque se diferencia dos golpes tradicionais, pois induz a vítima a baixar um arquivo malicioso em vez de coletar dados por meio de formulários falsos. O golpe começa com um link enviado via SMS, WhatsApp ou e-mail, que redireciona para uma página idêntica ao gov.br, onde a vítima é instruída a baixar um arquivo. Uma vez executado, o malware, conhecido como ‘infostealer’, se camufla em aplicativos legítimos do Windows e opera em segundo plano, registrando digitações e capturando telas. A eficácia desse golpe está ligada à confiança que o público deposita nas instituições governamentais, aumentando a taxa de conversão do ataque. Para se proteger, Almeida recomenda verificar o endereço do link, desconfiar de downloads, ativar a autenticação em dois fatores e manter sistemas atualizados. Caso alguém suspeite de infecção, deve encerrar sessões abertas e notificar o banco imediatamente.

O kit de exploração Coruna representa uma evolução do framework utilizado na campanha de espionagem Operation Triangulation, que em 2023 visou iPhones através de exploits zero-click no iMessage. Este novo software foi ampliado para atacar hardware moderno, incluindo os chips A17 e M3 da Apple, e sistemas operacionais até iOS 17.2. O Coruna contém cinco cadeias completas de exploits para iOS, aproveitando 23 vulnerabilidades, incluindo CVE-2023-32434 e CVE-2023-38606, que também foram utilizadas na Operation Triangulation. A análise da Kaspersky revelou que o Coruna é uma versão atualizada do exploit original, com melhorias que permitem a exploração de novas arquiteturas de processadores. Os ataques iniciam no Safari, onde um stager coleta informações do dispositivo e seleciona exploits adequados. A Kaspersky alerta que, além de espionagem, o Coruna tem sido usado em campanhas motivadas financeiramente, visando roubo de criptomoedas. A Apple já lançou atualizações de segurança para mitigar essas vulnerabilidades, mas a ameaça permanece significativa, especialmente com a disponibilidade pública de outros kits de exploração como o DarkSword.

Recentemente, a Kaspersky revelou que o kit de exploração Coruna, que afeta dispositivos Apple com iOS entre as versões 13.0 e 17.2.1, utiliza uma versão atualizada de um exploit previamente empregado na campanha de ciberespionagem Operation Triangulation, de 2023. O Coruna, inicialmente identificado por Google e iVerify, contém cinco cadeias completas de exploits para iOS e um total de 23 exploits, incluindo os CVEs 2023-32434 e 2023-38606. Esses exploits foram projetados para atacar vulnerabilidades do sistema operacional móvel da Apple, com um foco crescente em dispositivos mais recentes, como os processadores A17 e M3. O kit foi utilizado em ataques de watering hole na Ucrânia e em campanhas de exploração em massa através de sites falsos de jogos e criptomoedas. A Kaspersky alerta que, embora o Coruna tenha sido desenvolvido para fins de ciberespionagem, agora está sendo utilizado por cibercriminosos, colocando milhões de usuários em risco. O uso de exploits modulares e a facilidade de reutilização indicam que outros atores maliciosos podem adotar essa ferramenta em seus ataques.

Nesta semana, o boletim de segurança destaca uma série de ameaças cibernéticas e inovações tecnológicas. A Google anunciou um cronograma acelerado para a migração para a criptografia pós-quântica (PQC), visando proteger dados contra futuros ataques de computadores quânticos. A atualização inclui a integração do algoritmo de assinatura digital ML-DSA no Android 17, aumentando a segurança durante o processo de inicialização. Além disso, o GitHub introduziu detecções de segurança impulsionadas por IA para identificar vulnerabilidades em códigos, melhorando a cobertura de segurança em diversas linguagens e frameworks.

Pesquisadores de cibersegurança descobriram um novo skimmer de pagamento que utiliza canais de dados WebRTC para receber cargas maliciosas e exfiltrar dados, contornando controles de segurança tradicionais. Em um ataque recente, um site de e-commerce de um fabricante de automóveis foi comprometido devido à vulnerabilidade PolyShell, que afeta o Magento Open Source e o Adobe Commerce. Essa falha permite que atacantes não autenticados carreguem executáveis arbitrários via API REST, resultando em execução de código. Desde 19 de março de 2026, a PolyShell tem sido amplamente explorada, com mais de 50 endereços IP envolvidos na atividade de varredura, afetando 56,7% das lojas vulneráveis. O skimmer estabelece uma conexão peer-to-peer WebRTC com um endereço IP específico e injeta código JavaScript na página da web para roubar informações de pagamento. A utilização de WebRTC representa uma evolução significativa nos ataques de skimmer, pois contorna as diretrizes de Política de Segurança de Conteúdo (CSP), dificultando a detecção do tráfego malicioso. A Adobe lançou uma correção para a vulnerabilidade, mas ainda não está disponível nas versões de produção. Os proprietários de sites são aconselhados a bloquear o acesso a diretórios específicos e a escanear suas lojas em busca de shells web e outros malwares.

Um novo malware de roubo de informações, chamado Torg Grabber, está comprometendo dados sensíveis de 850 extensões de navegador, sendo mais de 700 delas voltadas para carteiras de criptomoedas. O acesso inicial é realizado através da técnica ClickFix, que sequestra a área de transferência e engana o usuário para executar um comando PowerShell malicioso. Pesquisadores da Gen Digital relatam que o Torg Grabber está em desenvolvimento ativo, com 334 amostras únicas compiladas em apenas três meses e novos servidores de comando e controle (C2) sendo registrados semanalmente. Além de carteiras de criptomoedas, o malware também rouba dados de 103 gerenciadores de senhas e ferramentas de autenticação de dois fatores. O Torg Grabber evoluiu rapidamente, abandonando métodos anteriores de exfiltração de dados em favor de uma conexão HTTPS, e implementou mecanismos de anti-análise e ofuscação para evitar detecções. O malware é capaz de roubar credenciais, cookies e dados de preenchimento automático, além de coletar informações de aplicativos populares como Discord, Telegram e Steam. A Gen Digital alerta que o Torg Grabber continua a se desenvolver, com uma base de operadores em expansão e um potencial impacto significativo na segurança de dados dos usuários.

Um novo malware chamado ‘DarkSword’ foi identificado, afetando iPhones com versões antigas do iOS, especificamente entre 18.4 e 18.7. O software malicioso é instalado remotamente através de um link em um site comprometido, permitindo que hackers coletem dados sensíveis dos usuários. A descoberta do malware ocorreu após o vazamento de seu código-fonte no GitHub, o que gerou preocupações entre especialistas em segurança. Embora os dispositivos com iOS 26 estejam protegidos, há indícios de que o desenvolvedor do malware esteja tentando criar uma versão que ataque também as versões mais recentes do sistema operacional da Apple. A Apple já recomendou que os usuários atualizem seus dispositivos para a versão mais recente do iOS e lançou atualizações para iOS 15 e 16, visando proteger aparelhos mais antigos. A situação destaca a importância de manter os sistemas operacionais atualizados para evitar a exploração de vulnerabilidades.

Pesquisadores de cibersegurança identificaram uma nova evolução da campanha GlassWorm, que agora utiliza um framework de múltiplas etapas para roubo de dados e instalação de um trojan de acesso remoto (RAT). Este malware se disfarça como uma extensão offline do Google Docs e é capaz de registrar teclas, capturar cookies, tokens de sessão e tirar screenshots. A campanha se infiltra em sistemas através de pacotes maliciosos publicados em repositórios como npm e PyPI, e compromete contas de mantenedores de projetos para disseminar atualizações contaminadas.

Uma campanha de malvertising em larga escala, ativa desde janeiro de 2026, está direcionada a indivíduos nos EUA que buscam documentos fiscais, utilizando anúncios fraudulentos para instalar o ConnectWise ScreenConnect. Essa instalação entrega uma ferramenta chamada HwAudKiller, que utiliza a técnica de ‘bring your own vulnerable driver’ (BYOVD) para desativar programas de segurança. A pesquisa da Huntress identificou mais de 60 sessões maliciosas do ScreenConnect ligadas a essa campanha. O ataque se destaca por empregar serviços de camuflagem comercial para evitar a detecção e por abusar de um driver de áudio da Huawei, que é legítimo e assinado, para desarmar soluções de segurança. Embora os objetivos exatos da campanha não sejam claros, há indícios de que o ator da ameaça busca implantar ransomware ou monetizar o acesso obtido. O ataque começa quando usuários clicam em resultados de busca patrocinados que os direcionam a sites falsos, onde o instalador do ScreenConnect é entregue. A complexidade da campanha, que combina ferramentas comerciais e técnicas sofisticadas, destaca a crescente acessibilidade de ataques cibernéticos avançados.

O grupo de ameaças TeamPCP comprometeu o pacote Python litellm, publicando versões maliciosas (1.82.7 e 1.82.8) que contêm um coletor de credenciais, um kit de ferramentas para movimentação lateral no Kubernetes e um backdoor persistente. As versões comprometidas foram removidas do PyPI após a descoberta por empresas de segurança como Endor Labs e JFrog. O ataque é descrito como uma operação em três etapas, começando com a coleta de chaves SSH, credenciais de nuvem e segredos do Kubernetes. O código malicioso é executado automaticamente quando o pacote é importado, e a versão 1.82.8 introduz um vetor mais agressivo que permite a execução em segundo plano. Os dados coletados são enviados para um domínio de comando e controle. A campanha do TeamPCP é uma escalada deliberada de ataques à cadeia de suprimentos, afetando várias ecossistemas, incluindo GitHub Actions e Docker Hub. Especialistas alertam que a situação pode se agravar, com o grupo se comprometendo a continuar suas atividades maliciosas. Usuários são aconselhados a auditar ambientes, isolar hosts afetados e reverter para versões limpas do pacote.

Pesquisadores de cibersegurança descobriram uma nova campanha maliciosa, chamada Ghost, que utiliza pacotes npm para roubar carteiras de criptomoedas e dados sensíveis. Os pacotes, publicados por um usuário identificado como ‘mikilanjillo’, incluem nomes como ‘react-performance-suite’ e ‘coinbase-desktop-sdk’. Esses pacotes enganam os usuários ao solicitar a senha sudo durante a instalação, enquanto ocultam suas verdadeiras intenções. O processo de instalação é disfarçado com logs falsos e atrasos aleatórios, criando a ilusão de que a instalação está em andamento. Ao inserir a senha, o malware é ativado, permitindo o download de um trojan de acesso remoto que coleta dados e aguarda instruções de um servidor externo. A campanha Ghost apresenta semelhanças com outra atividade chamada GhostClaw, que também utiliza repositórios do GitHub para disseminar malware, disfarçado como ferramentas legítimas. Ambas as campanhas destacam uma nova abordagem dos atacantes, que exploram ecossistemas confiáveis para introduzir código malicioso. A situação é preocupante, pois pode impactar desenvolvedores e empresas que utilizam essas bibliotecas, especialmente no Brasil, onde o uso de tecnologias como Node.js e npm é comum.

Recentemente, dois workflows do GitHub Actions, mantidos pela empresa de segurança da cadeia de suprimentos Checkmarx, foram comprometidos por um malware conhecido como ‘TeamPCP Cloud stealer’. Este ataque, que segue a violação do scanner de vulnerabilidades Trivy, permite que os atacantes roubem credenciais e segredos relacionados a serviços como AWS, Google Cloud e Azure. O malware foi identificado como parte de um ataque em cadeia, onde as credenciais roubadas são utilizadas para comprometer ações adicionais em repositórios afetados. O CVE associado ao ataque é o CVE-2026-33634, com uma pontuação CVSS de 9.4, indicando um risco crítico. Os atacantes utilizam técnicas de engano, como domínios semelhantes aos de fornecedores legítimos, para evitar a detecção. Além disso, o malware pode se instalar de forma persistente em sistemas não-CI, aumentando o risco de novos ataques. Para mitigar essa ameaça, recomenda-se a rotação imediata de segredos e tokens, auditoria de logs e monitoramento de conexões de rede suspeitas. A situação destaca a importância da segurança em ambientes de CI/CD e a necessidade de vigilância constante contra ameaças emergentes.

O grupo de hackers TeamPCP está direcionando ataques a clusters Kubernetes com um script malicioso que apaga todos os dados de máquinas configuradas para o Irã. Este grupo é responsável por um recente ataque à cadeia de suprimentos no scanner de vulnerabilidades Trivy e por uma campanha baseada em NPM chamada ‘CanisterWorm’, que começou em 20 de março. A nova campanha utiliza o mesmo código de comando e controle (C2) e o mesmo caminho de instalação do backdoor que foram observados nos incidentes anteriores do CanisterWorm, mas com uma diferença significativa: um payload destrutivo que visa especificamente sistemas iranianos. O malware é projetado para destruir qualquer máquina que corresponda ao fuso horário e à localidade do Irã, independentemente da presença do Kubernetes. Em sistemas identificados como iranianos, o script apaga todos os diretórios principais do sistema, enquanto em outros locais, ele instala um backdoor. A Aikido, empresa de segurança de aplicações, destaca que a nova versão do malware também utiliza propagação via SSH, buscando credenciais válidas em logs de autenticação. Os pesquisadores identificaram indicadores de atividade maliciosa, como conexões SSH de saída com configurações específicas e conexões ao Docker API. Este cenário representa uma ameaça significativa, especialmente para organizações que operam em ambientes Kubernetes.

O grupo de ameaças da Coreia do Norte, conhecido como WaterPlum, está por trás da campanha Contagious Interview, que utiliza uma nova técnica de distribuição de malware chamada StoatWaffle. Essa técnica envolve o uso de projetos maliciosos do Microsoft Visual Studio Code (VS Code), especificamente através do arquivo ’tasks.json’, que ativa a execução do malware sempre que um arquivo na pasta do projeto é aberto. O malware verifica se o Node.js está instalado e, se não estiver, o baixa e instala. Em seguida, ele se conecta a um servidor externo para baixar um downloader que executa comandos maliciosos. O StoatWaffle possui dois módulos principais: um stealer que captura credenciais de navegadores e um trojan de acesso remoto (RAT) que permite o controle do sistema infectado. A campanha também inclui a distribuição de pacotes npm maliciosos e a inserção de código JavaScript em repositórios públicos do GitHub. Os atacantes utilizam processos de recrutamento falsos para enganar desenvolvedores, visando profissionais seniores em setores como criptomoedas. A Microsoft implementou medidas de mitigação para proteger os usuários do VS Code contra essa ameaça. Essa situação destaca a necessidade de vigilância constante e medidas de segurança robustas para proteger sistemas de desenvolvimento.

O RPG gacha free-to-play Duet Night Abyss sofreu um ataque cibernético na última atualização, resultando na distribuição de um malware conhecido como Umbral Stealer. Este trojan é capaz de registrar teclas pressionadas, capturar imagens da webcam e roubar credenciais e criptomoedas dos jogadores. O incidente ocorreu no dia 18 de março de 2026, e a equipe do Pan Studio, responsável pelo jogo, agiu rapidamente para corrigir a vulnerabilidade, lançando uma atualização duas horas e meia após a infecção. O malware, que é uma versão antiga de 2023, foi automaticamente detectado e isolado por muitos antivírus. Como forma de compensação, a desenvolvedora ofereceu aos jogadores lootboxes, que incluem recompensas dentro do jogo. A equipe também se comprometeu a revisar a segurança do título e pediu paciência aos usuários enquanto implementam melhorias. Este incidente destaca a importância da segurança em jogos online, especialmente em plataformas populares como a Steam.

O FBI dos EUA emitiu um alerta sobre hackers iranianos associados ao Ministério da Inteligência e Segurança do Irã, que estão utilizando o Telegram como infraestrutura de comando e controle em ataques de malware. Esses ataques visam jornalistas críticos ao governo iraniano, dissidentes e grupos opositores em todo o mundo. O FBI relacionou essas atividades ao grupo hacktivista Handala e ao grupo de ameaças Homeland Justice, ambos apoiados pelo estado iraniano. Os hackers empregam engenharia social para infectar dispositivos com malware para Windows, permitindo a exfiltração de capturas de tela e arquivos de computadores comprometidos. O alerta foi emitido em um contexto de tensão geopolítica no Oriente Médio e destaca a necessidade de conscientização sobre as atividades cibernéticas maliciosas iranianas. O FBI também confiscou quatro domínios utilizados por esses grupos para vazar documentos sensíveis. Além disso, o FBI advertiu sobre campanhas de phishing direcionadas a usuários do Signal e WhatsApp por atores ligados à inteligência russa, que já comprometeram milhares de contas. Essas ameaças ressaltam a crescente sofisticação dos ataques cibernéticos e a necessidade de vigilância contínua.

O VoidStealer é um novo infostealer que utiliza uma abordagem inovadora para contornar a Application-Bound Encryption (ABE) do Google Chrome, permitindo a extração da chave mestra necessária para decifrar dados sensíveis armazenados no navegador. Essa técnica, que se baseia em breakpoints de hardware, permite que o malware acesse diretamente a memória do navegador sem necessidade de elevação de privilégios ou injeção de código. O ABE foi introduzido na versão 127 do Chrome, em junho de 2024, como uma proteção para cookies e dados sensíveis, mas já foi burlado por diversas famílias de malware. O VoidStealer, que opera como uma plataforma de malware como serviço (MaaS) desde dezembro de 2025, é o primeiro a adotar essa técnica de bypass em um ambiente real. O ataque ocorre durante a inicialização do navegador, quando a chave mestra é temporariamente acessível em texto claro. Embora a técnica tenha sido inspirada em um projeto de código aberto, sua implementação no VoidStealer representa um avanço significativo na capacidade de roubo de dados. A situação é preocupante, pois o malware pode afetar uma ampla gama de usuários do Chrome, exigindo atenção redobrada das equipes de segurança.

O scanner de vulnerabilidades Trivy, amplamente utilizado por desenvolvedores e equipes de segurança, foi alvo de um ataque supply-chain realizado pelo grupo de ameaças conhecido como TeamPCP. O ataque resultou na distribuição de malware que rouba credenciais através de versões oficiais e ações do GitHub. A vulnerabilidade foi inicialmente divulgada pelo pesquisador de segurança Paul McCarty, que alertou sobre a versão 0.69.4 do Trivy, que havia sido comprometida. Análises posteriores revelaram que quase todas as tags do repositório trivy-action no GitHub foram afetadas, permitindo que o código malicioso fosse executado automaticamente em fluxos de trabalho externos. Os atacantes conseguiram comprometer o processo de construção do GitHub, substituindo scripts legítimos por versões maliciosas. O malware coletou dados sensíveis, incluindo chaves SSH, credenciais de nuvem e arquivos de configuração, armazenando-os em um arquivo que era enviado para um servidor de comando e controle. O ataque, que durou cerca de 12 horas, expôs a necessidade urgente de as organizações que utilizaram as versões afetadas tratarem seus ambientes como totalmente comprometidos, rotacionando todas as credenciais e analisando sistemas para possíveis compromissos.

Os roteadores, muitas vezes negligenciados pelos usuários, são alvos preferenciais para hackers devido à sua posição central na rede doméstica. Ao comprometer um roteador, os cibercriminosos podem monitorar e manipular todo o tráfego de dados que passa por ele, sem a necessidade de invadir cada dispositivo individualmente. Um exemplo recente é o malware DKnife, que opera silenciosamente desde 2019, permitindo que hackers interceptem conexões e redirecionem usuários para sites falsos, como páginas de bancos, onde podem roubar credenciais. Além disso, o malware pode substituir downloads legítimos por versões infectadas, aumentando ainda mais o risco. A falta de proteção nos roteadores, que não possuem antivírus ou alertas visíveis, torna essa vulnerabilidade ainda mais crítica. Para proteger sua rede, é essencial que os usuários atualizem regularmente o firmware do roteador, alterem senhas padrão e utilizem firewalls adequados. A segurança da rede depende da proteção do elo mais fraco, que neste caso é o roteador.

Um ataque à cadeia de suprimentos visando o popular scanner Trivy resultou na infecção de diversos pacotes npm por um novo malware chamado CanisterWorm. Este worm se propaga automaticamente e utiliza um canister da Internet Computer blockchain como ponto de controle. O ataque foi atribuído ao grupo criminoso TeamPCP, que publicou versões maliciosas do Trivy contendo um ladrão de credenciais. A infecção ocorre através de um hook postinstall que executa um loader, instalando um backdoor em Python que se conecta ao canister para buscar novos payloads. O malware é projetado para ser resiliente, utilizando um serviço systemd que reinicia automaticamente o backdoor. Além disso, uma nova variante do CanisterWorm foi identificada, que se propaga sem intervenção manual, coletando tokens npm do ambiente do desenvolvedor. A situação é crítica, pois cada desenvolvedor que instala pacotes infectados pode se tornar um vetor de propagação, ampliando o alcance do ataque. Este incidente destaca a vulnerabilidade dos sistemas de gerenciamento de pacotes e a necessidade urgente de medidas de segurança mais robustas.