Uma grave vulnerabilidade foi identificada na imagem oficial do Docker para o Termix, permitindo acesso não autenticado a credenciais SSH sensíveis. A configuração incorreta do proxy reverso Nginx faz com que o backend do Termix reconheça todas as solicitações como originadas do localhost, resultando em acesso irrestrito ao endpoint interno que expõe informações de hosts SSH, incluindo endereços de servidores, nomes de usuários e senhas. Essa falha, classificada como CVE-2025-59951, é uma violação de controle de acesso e pode ser explorada por qualquer usuário que consiga alcançar o proxy. Para mitigar o problema, os mantenedores do Termix devem implementar validações adequadas para os cabeçalhos X-Real-IP ou X-Forwarded-For e reforçar controles de autenticação. Organizações que utilizam versões da imagem do Termix entre release-0.1.1-tag e release-1.6.0-tag estão em risco e devem auditar suas implementações, rotacionar chaves SSH expostas e atualizar para uma versão corrigida assim que disponível.

Pesquisadores de segurança identificaram três vulnerabilidades críticas no firmware do roteador TOTOLINK X6000R, versão V9.4.0cu.1360_B20241207, lançado em 28 de março de 2025. Essas falhas permitem que atacantes não autenticados provoquem condições de negação de serviço, corrompam arquivos do sistema e executem comandos arbitrários no dispositivo. As vulnerabilidades são: CVE-2025-52905, que permite injeção de argumentos e negação de serviço; CVE-2025-52906, uma vulnerabilidade crítica de injeção de comandos que possibilita a execução remota de comandos; e CVE-2025-52907, que permite a corrupção de arquivos do sistema devido a uma lista de bloqueio incompleta. Todas as falhas estão relacionadas à interface web do roteador, especificamente no endpoint /cgi-bin/cstecgi.cgi, que não valida adequadamente as entradas. A TOTOLINK já lançou uma atualização de firmware para corrigir essas falhas e recomenda que todos os usuários atualizem imediatamente. Além disso, práticas de segurança adicionais, como a mudança de credenciais padrão e a segmentação de dispositivos IoT, são aconselhadas para mitigar riscos futuros.

Pesquisadores de cibersegurança da ESET descobriram duas campanhas de spyware para Android, chamadas ProSpy e ToSpy, que se disfarçam de aplicativos legítimos como Signal e ToTok, visando usuários nos Emirados Árabes Unidos. As aplicações maliciosas são distribuídas por meio de sites falsos e engenharia social, enganando os usuários para que as baixem manualmente, uma vez que não estão disponíveis nas lojas oficiais de aplicativos.

A campanha ProSpy, identificada em junho de 2025, é considerada ativa desde 2024 e utiliza sites enganosos que imitam o Signal e o ToTok para hospedar arquivos APK maliciosos. O ToTok, que foi removido das lojas oficiais em 2019 por suspeitas de espionagem, é utilizado como isca. Os aplicativos maliciosos solicitam permissões para acessar contatos, mensagens SMS e arquivos, exfiltrando dados do dispositivo.

Com a implementação da Lei de Segurança Online no Reino Unido, o interesse em redes privadas virtuais (VPNs) aumentou, especialmente entre novos usuários. As novas regras de verificação de idade limitam o acesso a conteúdos online, como sites para adultos e aplicativos de namoro, levando muitos a buscar VPNs como uma solução. No entanto, especialistas alertam que nem todas as VPNs são confiáveis. O artigo destaca a importância de escolher uma VPN que tenha um histórico de auditoria transparente e protocolos de segurança robustos, como OpenVPN e WireGuard. VPNs como NordVPN e ExpressVPN se destacam por suas políticas rigorosas de não registro e auditorias independentes. Além disso, é crucial considerar a localização dos servidores, pois isso impacta a capacidade de contornar restrições geográficas. O uso de VPNs gratuitas é desaconselhado, pois muitas comprometem a privacidade do usuário. A escolha de uma VPN amigável ao usuário também é fundamental, especialmente para aqueles que não têm experiência técnica. O artigo conclui que, com as novas leis, a escolha de uma VPN confiável é mais importante do que nunca para proteger a privacidade online.

A Motility Software Solutions, empresa de software para concessionárias de automóveis, notificou 766.670 pessoas sobre um vazamento de dados ocorrido em agosto de 2025. O incidente, atribuído ao grupo de ransomware PEAR, comprometeu informações sensíveis, incluindo números de Seguro Social, endereços de e-mail e números de carteira de motorista. O grupo PEAR reivindicou a responsabilidade pelo ataque, alegando ter roubado 4,3 TB de dados, e publicou imagens de documentos supostamente obtidos durante o ataque. Embora a Motility tenha detectado atividade suspeita em seus servidores em 19 de agosto de 2025 e tomado medidas para isolar o incidente, não está claro se a empresa pagou um resgate ou como os atacantes conseguiram acessar sua rede. A Motility está oferecendo 12 meses de monitoramento de crédito gratuito para as vítimas. O grupo PEAR, que se destacou por focar em roubo de dados sem criptografá-los, já reivindicou outros ataques, aumentando a preocupação com a segurança cibernética em empresas de tecnologia nos EUA.

A automação impulsionada pela inteligência artificial (IA) está transformando a forma como as organizações operam, mas não sem desafios significativos. O artigo destaca que a busca por automação total pode resultar em sistemas frágeis, onde a intervenção humana excessiva atrasa respostas e a rigidez das regras não se adapta a novas ameaças. Além disso, o uso excessivo de IA pode gerar processos obscuros que comprometem a confiança e a conformidade. Para líderes de cibersegurança e operações, a necessidade de fluxos de trabalho rápidos, confiáveis e auditáveis é crucial. O webinar ‘Workflow Clarity: Where AI Fits in Modern Automation’, apresentado por Thomas Kinsella, Co-fundador e Diretor de Clientes da Tines, abordará como as equipes de segurança estão integrando pessoas, regras e agentes de IA de forma intencional para criar fluxos de trabalho eficazes. Os participantes aprenderão a identificar onde a IA é mais útil, como evitar a complexidade desnecessária e garantir a segurança e a auditabilidade dos processos. O evento é voltado para líderes que buscam estratégias práticas para implementar automação que fortaleça as defesas sem criar novos riscos.

Um estudo realizado por acadêmicos do Georgia Institute of Technology e da Purdue University revelou que as garantias de segurança do Intel Software Guard eXtensions (SGX) podem ser contornadas em sistemas DDR4, permitindo a descriptografia passiva de dados sensíveis. O SGX, que isola códigos e recursos confiáveis em um ambiente de execução confiável (TEE), foi projetado para proteger dados mesmo em sistemas comprometidos. No entanto, os pesquisadores demonstraram que um dispositivo interpositor pode ser utilizado para inspecionar fisicamente o tráfego de memória entre a CPU e o módulo de memória, extraindo chaves de atestação do SGX. Essa técnica, chamada WireTap, é semelhante ao ataque Battering RAM, mas foca na violação da confidencialidade. O ataque pode ser realizado com equipamentos acessíveis, embora o custo do setup do WireTap seja em torno de $1.000. A Intel respondeu afirmando que esse tipo de ataque está fora do escopo de seu modelo de ameaça, recomendando que servidores sejam operados em ambientes físicos seguros. A pesquisa levanta preocupações sobre a segurança de implementações de blockchain que utilizam SGX, como Phala Network e Secret Network, onde a confidencialidade e a integridade das transações podem ser comprometidas.

Um estudo da Trend Micro revelou que malwares estão se disfarçando como ferramentas de inteligência artificial para infectar empresas em diversas regiões do mundo, incluindo Brasil, Estados Unidos, França e Índia. O malware mais destacado na pesquisa é o EvilAI, que imita softwares legítimos, dificultando a detecção por parte dos usuários. Os alvos principais incluem indústrias, agências governamentais e setores de saúde e tecnologia. Os hackers utilizam certificados válidos de empresas descartáveis para aumentar a credibilidade dos programas maliciosos. Uma vez instalados, esses malwares conseguem extrair dados sensíveis dos navegadores das vítimas e enviá-los para servidores controlados pelos criminosos. A distribuição ocorre por meio de anúncios falsos, sites de venda fraudulentos e manipulação de SEO. A situação é alarmante, pois a popularidade das ferramentas de IA está sendo explorada para enganar usuários, e a criação de mercados de malware na dark web facilita ainda mais esses ataques. Especialistas alertam que a tendência pode se intensificar, exigindo atenção redobrada das empresas em relação à segurança cibernética.

O jornalista Joe Tidy, correspondente da seção de cibersegurança da BBC, recebeu uma proposta inusitada de um hacker que se identificou como Syn. Ele ofereceu 15% dos lucros de um resgate obtido em um ataque de ransomware à BBC, caso Tidy liberasse o acesso à sua conta corporativa. O caso destaca uma vulnerabilidade pouco discutida: a utilização de agentes internos para facilitar invasões. A comunicação ocorreu via Signal, um aplicativo de mensagens seguras, e foi precedida por um incidente em que um funcionário de TI no Brasil vendeu seu login a cibercriminosos, resultando em uma invasão que custou R$ 500 milhões à empresa. Tidy, que apenas buscava entender o golpe, foi alvo de tentativas de login e notificações de autenticação de dois fatores, uma técnica conhecida como MFA bombing. Após relatar o incidente à equipe de segurança da BBC, ele teve seus acessos revogados. Os hackers, que já atacaram mais de 300 vítimas, tentaram convencer Tidy de que não seriam descobertos, mas acabaram desistindo após dias sem resposta. O caso evidencia a necessidade de discutir as ameaças internas nas organizações, que podem ser tão perigosas quanto as externas.

Uma nova técnica de rootkit chamada FlipSwitch foi descoberta, permitindo que atacantes contornem as melhorias de segurança do kernel Linux 6.9. Essa técnica representa um retrocesso na proteção do sistema, pois os invasores agora visam a lógica do novo despachante de chamadas do kernel, em vez de sobrescrever a tabela de chamadas de sistema, uma abordagem que se tornou obsoleta. O FlipSwitch funciona ao localizar e reescrever o código de máquina do próprio kernel dentro do despachante de chamadas do sistema, redirecionando a execução para manipuladores maliciosos. Essa técnica é reversível, permitindo que os atacantes removam vestígios de sua presença. A detecção de rootkits de kernel é desafiadora, mas pesquisadores lançaram uma assinatura YARA para identificar o FlipSwitch, tanto em disco quanto na memória. Essa evolução nas técnicas de ataque destaca a constante luta entre o endurecimento do Linux e a adaptação dos invasores, mostrando que o progresso defensivo não elimina a ameaça, mas muda suas regras.

A companhia aérea canadense WestJet confirmou um incidente de cibersegurança que resultou na exposição não autorizada de informações pessoais de seus clientes. O ataque foi detectado em 13 de junho de 2025, quando a equipe de segurança da empresa identificou atividades incomuns em sua rede interna. Após a confirmação do acesso não autorizado por um terceiro criminoso, a WestJet isolou os servidores afetados e implementou medidas de segurança adicionais. Embora dados financeiros, como números de cartões de crédito e senhas, não tenham sido comprometidos, informações pessoais como nome completo, data de nascimento, endereço, detalhes de documentos de viagem e preferências de viagem foram expostas. A empresa notificou os clientes afetados e ofereceu serviços gratuitos de monitoramento de crédito e proteção contra roubo de identidade. A WestJet reforçou sua segurança com monitoramento em tempo real e auditorias regulares, reafirmando seu compromisso com a proteção das informações dos passageiros e a transparência com seus clientes.

Recentemente, a equipe de pesquisa de segurança da Frog revelou um pacote no PyPI chamado SoopSocks, que se disfarçava como um instalador simples de proxy SOCKS5, mas incorporava funcionalidades de backdoor em sistemas Windows. O pacote, que prometia criar serviços SOCKS5 e relatar dados via webhooks do Discord, foi retirado do PyPI em 29 de setembro após a divulgação de seu comportamento suspeito. As versões iniciais implementavam um servidor SOCKS5 básico, mas atualizações posteriores introduziram um executável compilado em Go, chamado autorun.exe, que se instalava como um serviço do Windows. O instalador executa rotinas silenciosas, eleva privilégios e garante persistência no sistema. O SoopSocks escuta na porta 1080 sem autenticação, permitindo o encaminhamento de tráfego TCP e UDP, enquanto coleta dados de rede e os envia a um webhook do Discord a cada 30 segundos. Os indicadores de comprometimento incluem o binário autorun.exe, o serviço SoopSocksSvc e regras de firewall para a porta 1080. A ameaça representa um alto risco para redes corporativas, exigindo ações imediatas de remediação, como isolamento de hosts infectados e bloqueio de conexões ao webhook do Discord.

Cibercriminosos têm utilizado campanhas de engenharia social sofisticadas para atacar idosos em diversos países, incluindo Brasil, através de grupos falsos no Facebook que promovem viagens para a terceira idade. O malware, conhecido como Datzbro, é um trojan bancário que se aproveita de serviços de acessibilidade do Android para realizar operações de controle remoto do dispositivo da vítima. Os criminosos atraem os usuários com conteúdos aparentemente legítimos sobre atividades sociais e, ao demonstrar interesse, enviam links maliciosos via Facebook Messenger ou WhatsApp.

Um relatório de inteligência consolidado revelou operações de espionagem sofisticadas realizadas por um grupo de hackers conhecido como Salt Typhoon, vinculado ao Ministério da Segurança do Estado da China. Desde 2019, o grupo tem explorado vulnerabilidades em dispositivos de rede, como roteadores e firewalls, para implantar rootkits personalizados. Utilizando técnicas como a execução de binários legítimos para baixar cargas úteis disfarçadas de atualizações de firmware, os hackers conseguem manter a persistência em sistemas comprometidos por longos períodos.

Desde fevereiro de 2022, um grupo de atacantes desconhecidos tem explorado vulnerabilidades em roteadores celulares industriais da Milesight para conduzir campanhas de smishing, principalmente em países europeus como Suécia, Itália e Bélgica. A empresa de cibersegurança SEKOIA identificou que os atacantes estão utilizando a API dos roteadores para enviar mensagens SMS maliciosas que contêm URLs de phishing, muitas vezes disfarçadas como plataformas governamentais ou serviços bancários. Dos 18.000 roteadores acessíveis na internet pública, 572 foram considerados potencialmente vulneráveis, com cerca de metade localizados na Europa. A vulnerabilidade explorada está relacionada a uma falha de divulgação de informações (CVE-2023-43261) que foi corrigida, mas que permitiu o acesso não autenticado a recursos SMS. Os URLs de phishing são projetados para enganar os usuários, solicitando que atualizem suas informações bancárias. Além disso, algumas páginas maliciosas tentam dificultar a análise ao desabilitar ferramentas de depuração do navegador. A natureza descentralizada dos ataques torna a detecção e a mitigação mais desafiadoras, o que representa um risco significativo para a segurança cibernética.

O Relatório de Avaliação de Cibersegurança de 2025 da Bitdefender apresenta um panorama alarmante sobre a defesa cibernética atual. A pesquisa, que envolveu mais de 1.200 profissionais de TI e segurança em seis países, revelou que 58% dos profissionais foram instruídos a manter a confidencialidade após uma violação, um aumento de 38% em relação a 2023. Essa pressão por silêncio pode comprometer a confiança dos stakeholders e a conformidade regulatória. Além disso, 84% dos ataques de alta severidade utilizam técnicas de ‘Living Off the Land’, que exploram ferramentas legítimas já presentes nas organizações, levando 68% das empresas a priorizarem a redução da superfície de ataque. A pesquisa também destaca um descompasso entre executivos e equipes operacionais, com 45% dos executivos se sentindo confiantes na gestão de riscos cibernéticos, enquanto apenas 19% dos gerentes de nível médio compartilham dessa confiança. O relatório conclui que a resiliência cibernética exige estratégias proativas, como a redução de superfícies de ataque e a melhoria da comunicação entre liderança e equipes de segurança.

Uma grave falha de segurança foi identificada no serviço Red Hat OpenShift AI, que pode permitir que atacantes escalem privilégios e assumam o controle total da infraestrutura sob certas condições. O OpenShift AI é uma plataforma que gerencia o ciclo de vida de modelos de inteligência artificial preditiva e generativa em ambientes de nuvem híbrida. A vulnerabilidade, identificada como CVE-2025-10725, possui uma pontuação CVSS de 9.9, sendo classificada como ‘Importante’ pela Red Hat, uma vez que requer que o atacante esteja autenticado para comprometer o ambiente. Um atacante com privilégios baixos, como um cientista de dados utilizando um Jupyter notebook, pode elevar seus privilégios a um administrador completo do cluster, comprometendo a confidencialidade, integridade e disponibilidade do cluster. Isso pode resultar no roubo de dados sensíveis e na interrupção de serviços. As versões afetadas incluem Red Hat OpenShift AI 2.19 e 2.21. A Red Hat recomenda que os usuários evitem conceder permissões amplas a grupos de sistema e que as permissões para criar jobs sejam concedidas de forma mais granular, seguindo o princípio do menor privilégio.

Uma vulnerabilidade de alta severidade foi identificada na solução de Gestão de Identidade e Acesso (IAM) One Identity OneLogin, que pode expor segredos de cliente de aplicações OpenID Connect (OIDC) se explorada com sucesso. A falha, registrada como CVE-2025-59363, recebeu uma pontuação CVSS de 7.7 em 10.0 e é classificada como uma transferência incorreta de recursos entre esferas (CWE-669). Isso permite que um programa ultrapasse limites de segurança e acesse dados ou funções confidenciais sem autorização. De acordo com a Clutch Security, a vulnerabilidade permite que atacantes com credenciais API válidas enumerem e recuperem segredos de cliente para todas as aplicações OIDC dentro de um inquilino OneLogin. O problema decorre da configuração inadequada do endpoint de listagem de aplicações, que retorna dados além do esperado, incluindo os valores de client_secret. A exploração bem-sucedida dessa falha pode permitir que um invasor se passe por aplicações e acesse serviços integrados. A falta de restrições de IP e o controle de acesso baseado em funções (RBAC) ampliam o risco, permitindo que atacantes explorem a vulnerabilidade de qualquer lugar do mundo. A falha foi corrigida na versão 2025.3.0 do OneLogin, lançada em agosto de 2025, que tornou os valores de client_secret invisíveis. Não há evidências de que a vulnerabilidade tenha sido explorada ativamente.

A partir de 29 de setembro de 2025, o Afeganistão sofreu um desligamento total da internet, uma medida justificada pelas autoridades como uma forma de ‘prevenir a imoralidade’. Especialistas, no entanto, acreditam que o verdadeiro objetivo é silenciar a dissidência e restringir a comunicação entre os cidadãos. A organização de monitoramento da internet, NetBlocks, observou uma queda drástica na conectividade desde o início de setembro, culminando em um apagão total de comunicação. Neste cenário, as VPNs, que normalmente ajudam a contornar restrições governamentais, não conseguem funcionar, pois dependem de uma conexão ativa à internet. A única alternativa viável para os afegãos são a internet via satélite e cartões SIM estrangeiros, que, no entanto, apresentam barreiras de custo e disponibilidade. A situação é alarmante, pois a falta de acesso à internet impacta negativamente todos os aspectos da vida dos cidadãos, incluindo educação, saúde e emprego. A especialista Felicia Anthonio, da Access Now, destaca que essa medida é uma tentativa de controle da informação e um ataque aos direitos humanos, especialmente para mulheres, jornalistas e comunidades marginalizadas. A comunidade internacional é chamada a agir em apoio aos direitos humanos no Afeganistão, onde o uso de desligamentos de internet se torna uma prática comum entre regimes autoritários.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) identificou uma vulnerabilidade crítica no Cisco IOS e IOS XE, classificada como CVE-2025-20352, que afeta o protocolo Simple Network Management Protocol (SNMP). Esta falha, resultante de um estouro de buffer baseado em pilha, está sendo ativamente explorada, permitindo que atacantes com acesso à rede provoquem condições de negação de serviço ou até mesmo execução remota de código. A CISA estabeleceu um prazo de remediação até 20 de outubro de 2025 para agências federais, enquanto empresas do setor privado são aconselhadas a acelerar a aplicação de patches para evitar interrupções. A vulnerabilidade pode ser explorada por atacantes de baixo privilégio para causar falhas nos equipamentos de rede, enquanto atacantes com privilégios elevados podem obter controle total do dispositivo afetado, possibilitando manipulação de tráfego e instalação de malware. A Cisco já disponibilizou medidas de mitigação e recomenda que os clientes apliquem atualizações de segurança imediatamente. A inclusão da CVE-2025-20352 no catálogo de vulnerabilidades conhecidas exploradas (KEV) da CISA indica que a exploração dessa falha pode se tornar uma prática comum entre cibercriminosos, tornando a rápida remediação essencial para a segurança das redes corporativas e governamentais.

A Cisco confirmou duas vulnerabilidades críticas em seus firewalls Adaptive Security Appliance (ASA) e Firepower Threat Defense (FTD), identificadas como CVE-2025-20333 e CVE-2025-20362. Ambas as falhas permitem que atacantes remotos executem código arbitrário em dispositivos não corrigidos. De acordo com relatórios, mais de 48.800 instâncias de ASA/FTD expostas permanecem sem patch, com os Estados Unidos liderando o número de dispositivos vulneráveis, seguidos por Alemanha, Brasil, Índia e Reino Unido. As vulnerabilidades comprometem a função de defesa de perímetro dos firewalls, permitindo que invasores contornem filtros de rede e acessem dados sensíveis. A Cisco recomenda que as organizações verifiquem suas versões de firewall e apliquem patches imediatamente, dado o alto risco associado, com pontuações CVSS de 9.8 e 9.1. As melhores práticas incluem restringir o acesso à interface de gerenciamento, reforçar credenciais e monitorar logs para atividades suspeitas. A falha em corrigir essas vulnerabilidades pode resultar em comprometimento total da rede e exfiltração de dados.

O Google, através de seu Grupo de Inteligência de Ameaças (GTIG), divulgou novas diretrizes técnicas para combater o grupo de ameaças UNC6040, que utiliza phishing por voz (vishing) para comprometer ambientes Salesforce. Em vez de explorar vulnerabilidades de aplicativos, os atacantes têm se baseado em engenharia social convincente para induzir funcionários a autorizarem aplicativos maliciosos conectados, obtendo acesso a dados corporativos valiosos. As operações do UNC6040 geralmente começam com chamadas que se fazem passar por suporte técnico, persuadindo os funcionários a autorizar ferramentas que parecem legítimas, como uma versão modificada do aplicativo Data Loader. Uma vez dentro, os atacantes podem acessar dados sensíveis rapidamente, incluindo informações de clientes e dados financeiros. O Google recomenda a implementação de autenticação multifatorial resistente a phishing, centralização de acessos via plataformas de Single Sign-On e verificação rigorosa em procedimentos de help desk. Além disso, sugere configurações rigorosas no Salesforce, como restrições de IP e permissões limitadas. O monitoramento em tempo real é essencial para detectar atividades suspeitas, e a correlação de dados entre plataformas como Salesforce, Okta e Microsoft 365 pode ajudar a identificar movimentos laterais de atacantes. Com a mudança de foco dos atacantes para manipulação baseada em confiança, as organizações são incentivadas a modernizar sua postura de segurança em SaaS.

Cibercriminosos estão intensificando suas táticas ao abusar de certificados de assinatura de código de Validação Estendida (EV) para evitar detecções de segurança no macOS. Uma nova campanha associada à família de malware Odyssey Stealer foi identificada, utilizando certificados de ID de desenvolvedor da Apple fraudulentamente emitidos, permitindo a distribuição de DMGs que passam despercebidos por verificações de segurança. Pesquisadores descobriram um arquivo DMG malicioso assinado com um certificado de ID de desenvolvedor suspeito, vinculado a um nome fabricado, ‘THOMAS BOULAY DUVAL’. O malware, uma vez executado, baixa um payload malicioso que exfiltra dados sensíveis, como credenciais de navegador e informações de carteiras de criptomoedas. O uso de certificados EV, que são caros e requerem validação rigorosa, permite que os atacantes distribuam malware que parece ser um aplicativo legítimo do macOS, contornando as verificações do Gatekeeper e ganhando a confiança do usuário. Embora o processo de revogação de assinatura de código da Apple ajude a mitigar esse abuso, o tempo entre a descoberta e a revogação oferece uma janela operacional valiosa para os atacantes. Essa campanha destaca a determinação dos cibercriminosos em minar os mecanismos de segurança baseados em confiança tanto no ecossistema Windows quanto no macOS.

A campanha ‘Detour Dog’, um ator de ameaças ativo desde fevereiro de 2020, lançou uma nova estratégia inovadora para distribuir o malware Strela Stealer. Utilizando consultas de registros DNS TXT, a campanha consegue redirecionar visitantes de sites comprometidos e entregar malware em múltiplas etapas, afetando dezenas de milhares de sites ao redor do mundo. Essa abordagem permite que o Detour Dog evite a detecção e mantenha controle sobre a infraestrutura infectada.

O Computer Emergency Response Team da Ucrânia (CERT-UA) emitiu um alerta sobre novos ataques cibernéticos direcionados no país, utilizando um backdoor denominado CABINETRAT. A atividade, atribuída ao grupo de ameaças UAC-0245, foi detectada em setembro de 2025, após a descoberta de arquivos XLL, que são complementos do Microsoft Excel. Esses arquivos estão sendo distribuídos em arquivos ZIP pelo aplicativo de mensagens Signal, disfarçados como documentos relacionados à detenção de indivíduos na fronteira ucraniana.

Um novo trojan bancário para Android, chamado Klopatra, foi descoberto e já comprometeu mais de 3.000 dispositivos, principalmente na Espanha e na Itália. Identificado pela empresa italiana Cleafy, o malware utiliza uma técnica avançada de controle remoto chamada VNC (Virtual Network Computing) e sobreposições dinâmicas para roubo de credenciais, facilitando transações fraudulentas. Os pesquisadores destacam que Klopatra representa uma evolução significativa na sofisticação do malware móvel, utilizando bibliotecas nativas e uma ferramenta de proteção de código comercial chamada Virbox, o que dificulta sua detecção.

Recentemente, a Microsoft conseguiu bloquear uma campanha de phishing que utilizava código gerado por inteligência artificial (IA) para ocultar um payload malicioso dentro de um arquivo SVG disfarçado como PDF. Os atacantes enviaram e-mails de contas de pequenas empresas comprometidas, utilizando campos BCC para esconder os alvos reais. O arquivo SVG continha elementos ocultos que simulavam um painel de negócios, enquanto um script transformava palavras relacionadas a negócios em código, levando os usuários a uma página de login falsa após um redirecionamento para um CAPTCHA. A análise do arquivo pelo Microsoft Security Copilot revelou características típicas de código gerado por IA, como identificadores longos e comentários genéricos, o que indicou que o código era mais polido do que prático. Embora a campanha tenha sido limitada e facilmente bloqueada, ela destaca como os atacantes estão cada vez mais utilizando IA para criar iscas convincentes e payloads complexos. A Microsoft enfatiza a importância de ferramentas de IA na detecção e resposta a ameaças em larga escala, tanto para defensores quanto para atacantes.

Pesquisadores da Bitdefender identificaram uma campanha de hackers que, desde 2024, utiliza canais verificados no YouTube para disseminar malware. Inicialmente, o golpe começou com anúncios no Facebook, prometendo acesso gratuito à versão premium da plataforma de trading TradingView. Recentemente, os criminosos invadiram a conta de um anunciante de uma agência de design na Noruega, substituindo o conteúdo do canal por uma identidade visual que imitava a TradingView, o que conferiu legitimidade ao golpe.

A Trend Micro identificou uma nova variante do ransomware LockBit, chamada LockBit 5.0, que se mostra significativamente mais perigosa do que suas versões anteriores. Lançado em setembro de 2025, o LockBit 5.0 apresenta uma interface aprimorada e capacidades furtivas inovadoras, além de uma encriptação mais rápida. Os pesquisadores observaram que o ransomware agora possui versões para Windows, Linux e ESXi, o que representa uma escalada crítica nas suas capacidades, especialmente na virtualização VMWare. O novo vírus permite que os atacantes escolham quais pastas encriptar ou ignorar e oferece modos de operação como “invisível” e “verbal”. Além disso, o LockBit 5.0 utiliza técnicas de evasão, como a substituição de APIs, dificultando a detecção pelo Windows. O grupo responsável pelo ransomware também implementou um sistema de suporte via chat para negociação de resgates, complicando ainda mais a recuperação dos dados para as vítimas. A nova versão mantém a geolocalização para evitar ataques em regiões onde a língua russa é detectada, o que demonstra uma evolução nas táticas do grupo criminoso. Com a continuidade das operações do LockBit, mesmo após ações de autoridades em 2024, a ameaça se torna cada vez mais relevante para empresas em todo o mundo, incluindo o Brasil.

Nos últimos dois anos e meio, organizações governamentais e de telecomunicações na África, Oriente Médio e Ásia têm sido alvo de um ator de ameaças de estado-nacional alinhado à China, conhecido como Phantom Taurus. O foco principal do grupo inclui ministérios das relações exteriores, embaixadas e operações militares, com o objetivo de coletar informações confidenciais e realizar espionagem. O grupo, que foi inicialmente identificado como CL-STA-0043, demonstrou uma capacidade notável de adaptação em suas táticas e técnicas, utilizando ferramentas personalizadas, como um malware chamado NET-STAR, desenvolvido em .NET para atacar servidores web IIS. As operações do Phantom Taurus frequentemente coincidem com eventos geopolíticos significativos, refletindo um interesse estratégico por informações de defesa e comunicações diplomáticas. A abordagem do grupo inclui a exploração de vulnerabilidades conhecidas, como ProxyLogon e ProxyShell, em servidores Microsoft Exchange e IIS, além de um método inovador que permite a extração de dados diretamente de bancos de dados SQL. A complexidade e a sofisticação das técnicas empregadas pelo Phantom Taurus representam uma ameaça significativa para servidores expostos à internet, exigindo atenção redobrada de profissionais de segurança cibernética.

Pesquisadores da KU Leuven e da Universidade de Birmingham descobriram uma nova vulnerabilidade chamada Battering RAM, que permite contornar as defesas mais recentes dos processadores em nuvem da Intel e AMD. Utilizando um interposer de baixo custo, que pode ser montado por menos de 50 dólares, o ataque redireciona endereços de memória protegidos para locais controlados por atacantes, comprometendo dados criptografados. Essa falha afeta todos os sistemas que utilizam memória DDR4, especialmente aqueles que dependem de computação confidencial em ambientes de nuvem pública. O ataque explora as extensões de segurança de hardware da Intel (SGX) e a virtualização criptografada segura da AMD (SEV-SNP), permitindo acesso não autorizado a regiões de memória protegidas. Embora a Intel e a AMD tenham sido notificadas sobre a vulnerabilidade, ambas consideram ataques físicos fora do escopo de suas defesas atuais. A descoberta destaca as limitações dos designs de criptografia de memória escaláveis utilizados atualmente, que não incluem verificações de frescor criptográfico, e sugere que uma reestruturação fundamental da criptografia de memória é necessária para mitigar essa ameaça.

Um novo ataque de phishing está disseminando o trojan de acesso remoto XWorm, conforme análise da Forcepoint X-Labs. Os e-mails maliciosos, enviados em espanhol com o assunto ‘Facturas pendientes de pago’, contêm anexos com a extensão .xlam. Ao serem abertos, esses arquivos podem parecer vazios, mas já iniciam a infecção no computador da vítima. O XWorm utiliza um dropper chamado oleObject1.bin, que baixa um executável malicioso (UXO.exe) de um servidor específico. Este executável instala uma DLL (DriverFixPro.dll) que opera diretamente na memória, evitando a detecção por antivírus. Desde janeiro, cerca de 18.459 dispositivos foram comprometidos, com o malware roubando senhas e tokens de contas, incluindo do Discord. Para se proteger, é essencial estar atento a anexos suspeitos e manter sistemas e aplicativos de segurança atualizados.

Em junho de 2025, a equipe de Detecção e Pesquisa de Ameaças da Sekoia.io identificou requisições POST anômalas em Roteadores Celulares Industriais Milesight, que resultaram na distribuição em massa de mensagens SMS de phishing. Os atacantes exploraram um ponto de extremidade de API não autenticado para enviar cargas JSON que ativavam funções de entrega de SMS. A análise revelou que mais de 19.000 roteadores Milesight estão acessíveis publicamente na internet, com 572 deles apresentando acesso não autenticado às suas APIs de SMS. A maioria dos dispositivos vulneráveis estava nas versões de firmware 32.2.x.x e 32.3.x.x, com uma concentração geográfica significativa na Europa, especialmente na França, Bélgica e Turquia. As campanhas de smishing variaram entre envios em massa e campanhas direcionadas, utilizando domínios maliciosos que se passavam por serviços confiáveis. A exploração desses roteadores destaca a necessidade urgente de proteger dispositivos IoT e de borda, recomendando auditorias de APIs, atualização de firmware e monitoramento contínuo do tráfego dos dispositivos.

Um novo ataque de phishing está direcionando usuários do Gmail, onde cibercriminosos se fazem passar por recrutadores do Google Careers. Desde setembro de 2025, essa campanha utiliza e-mails enganosos com cabeçalhos que parecem legítimos, vinculados a serviços como Salesforce e Cloudflare, para aumentar a confiança das vítimas. Os e-mails contêm um botão que redireciona para um portal falso do Google Careers, hospedado em um domínio que imita a página oficial, solicitando informações pessoais e credenciais do Gmail. O código JavaScript da página captura os dados e os envia para um servidor de comando e controle. Pesquisadores identificaram uma infraestrutura maior, com múltiplos domínios relacionados, sugerindo uma operação coordenada de phishing como serviço. Especialistas recomendam que os usuários estejam atentos a e-mails de recrutamento não solicitados e verifiquem sempre as comunicações através de portais oficiais. Essa onda de phishing demonstra a crescente sofisticação dos atacantes em combinar infraestrutura confiável e imitação de marcas para comprometer contas em larga escala.

A Asahi Group Holdings, gigante japonesa do setor de bebidas, suspendeu as operações em suas 30 fábricas no Japão devido a um ciberataque severo. O ataque, detectado na noite de domingo, comprometeu sistemas críticos de planejamento de recursos empresariais (ERP) e de execução de manufatura (MES), resultando na paralisação das linhas de engarrafamento e embalagem. A empresa confirmou que não há evidências de vazamento de dados pessoais de clientes ou funcionários, mas está avaliando a extensão dos danos. Especialistas em cibersegurança foram contratados para realizar uma análise forense do incidente. A interrupção da produção afeta marcas icônicas como Asahi Super Dry e Nikka Whisky, e pode levar a escassez de produtos no mercado. A Asahi planeja implementar medidas de segurança aprimoradas, incluindo monitoramento avançado e gerenciamento acelerado de patches, para evitar futuros incidentes. Este evento destaca a vulnerabilidade das cadeias de suprimento e da infraestrutura digital no setor de manufatura japonês, que já enfrentou uma série de ataques cibernéticos de alto perfil neste ano.

Um novo grupo de ameaças persistentes avançadas (APT) alinhado ao Estado chinês, denominado Phantom Taurus, foi identificado após três anos de monitoramento pela Palo Alto Networks. Este grupo tem como alvo principal entidades governamentais e provedores de telecomunicações na África, Oriente Médio e Ásia, e está vinculado a operações de espionagem de longo prazo que apoiam os interesses geopolíticos da República Popular da China.

O Phantom Taurus se destaca por sua combinação de técnicas de infiltração discretas e malware personalizado. Em 2025, o grupo alterou suas táticas, passando de ataques de exfiltração de e-mails para o direcionamento direto de bancos de dados sensíveis. O núcleo de suas operações é a suíte de malware NET-STAR, que inclui backdoors projetados para infectar servidores web Microsoft IIS. O malware utiliza técnicas avançadas de evasão e execução sem arquivos, dificultando a detecção por defesas tradicionais.

O grupo de ameaças Patchwork APT, também conhecido como Dropping Elephant, tem aprimorado suas técnicas de espionagem utilizando um carregador baseado em PowerShell. Este método envolve a criação de tarefas agendadas e ofuscação em múltiplas etapas para garantir persistência e furtividade. Desde 2015, o grupo tem como alvo organizações políticas e militares na Ásia, utilizando engenharia social em vez de exploits zero-day. O ataque começa com um documento de spear-phishing que ativa uma macro maliciosa, baixando um arquivo LNK que, ao ser executado, ativa um script PowerShell. Este script baixa um executável disfarçado de VLC e um DLL acompanhante, além de criar uma tarefa agendada para garantir que o carregador seja executado continuamente. O método fStage é utilizado para estabelecer comunicação criptografada com o servidor do atacante, coletando informações do sistema e enviando-as de volta. A exfiltração de dados é realizada através de técnicas de codificação e execução de comandos em um processo oculto. A arquitetura complexa deste ataque destaca a adaptabilidade do Patchwork, exigindo que as organizações mantenham suas soluções de segurança atualizadas e monitorem tarefas agendadas anômalas.

Pesquisadores de cibersegurança identificaram um novo trojan bancário para Android, chamado Datzbro, que realiza ataques de tomada de controle de dispositivos e transações fraudulentas, especialmente visando idosos. A empresa ThreatFabric, da Holanda, descobriu a campanha em agosto de 2025, após relatos de usuários na Austrália sobre golpistas que gerenciavam grupos no Facebook promovendo ‘viagens ativas para idosos’. Os criminosos também atuaram em países como Singapura, Malásia, Canadá, África do Sul e Reino Unido.

Uma nova vulnerabilidade de segurança, identificada como CVE-2025-41244, foi descoberta nas ferramentas VMware e no VMware Aria Operations, afetando diversas versões do VMware Cloud Foundation e VMware vSphere. Com um escore CVSS de 7.8, essa falha permite a escalada de privilégios locais, possibilitando que um usuário não privilegiado execute código em um contexto privilegiado, como o root, em máquinas virtuais (VMs) afetadas. A exploração da vulnerabilidade foi atribuída ao grupo de ameaças UNC5174, vinculado à China, que a utilizou desde outubro de 2024. A falha está relacionada a uma função chamada ‘get_version()’, que, devido a um padrão de expressão regular mal formulado, permite que binários maliciosos sejam executados em diretórios acessíveis a usuários não privilegiados. A VMware já lançou patches para mitigar a vulnerabilidade, mas a exploração em ambientes reais levanta preocupações sobre a segurança das infraestruturas que utilizam suas soluções. A situação exige atenção imediata de profissionais de segurança da informação, especialmente em contextos onde as tecnologias da VMware são amplamente utilizadas.

Os Centros de Operações de Segurança (SOCs) enfrentam um desafio crescente com a avalanche de alertas que chegam diariamente, resultando em um cenário caótico onde os analistas lutam para manter o controle. O modelo tradicional, que se baseia em regras e gera alertas sem contexto, muitas vezes resulta em atrasos na identificação de ameaças reais. Para superar essa situação, é essencial adotar uma abordagem que priorize o contexto em vez do caos. Ao normalizar e conectar dados de diferentes fontes, como logs de sistemas de identidade e cargas de trabalho em nuvem, os analistas podem obter uma visão mais clara das atividades suspeitas. Isso transforma tentativas de login em potencial em informações valiosas sobre um possível ataque em andamento.

No dia 30 de setembro de 2025, a Microsoft anunciou a expansão de sua solução de gerenciamento de incidentes e eventos de segurança (SIEM), o Sentinel, com a disponibilização geral do Sentinel data lake. Este novo recurso é uma ferramenta nativa da nuvem, projetada para ingerir, gerenciar e analisar dados de segurança, proporcionando melhor visibilidade e análises avançadas. O data lake permite que modelos de inteligência artificial, como o Security Copilot, tenham acesso ao contexto completo necessário para detectar padrões sutis e correlacionar sinais, facilitando a identificação de comportamentos de atacantes e a resposta a incidentes. Além disso, a Microsoft introduziu o Sentinel Graph e o Modelo de Contexto do Protocolo (MCP), que permitem uma orquestração mais eficiente e uma compreensão contextual mais rica dos dados de segurança. A empresa também destacou a importância de proteger plataformas de IA contra ataques de injeção de prompt, anunciando melhorias no Azure AI Foundry para aumentar a segurança dos agentes de IA. Com essas inovações, a Microsoft visa transformar a cibersegurança de um modelo reativo para um preditivo, permitindo que as equipes de segurança respondam mais rapidamente a eventos em larga escala.

Pesquisadores de cibersegurança revelaram três vulnerabilidades críticas no assistente de inteligência artificial Gemini do Google, que, se exploradas, poderiam comprometer a privacidade dos usuários e permitir o roubo de dados. As falhas, coletivamente chamadas de ‘Gemini Trifecta’, incluem: uma injeção de prompt no Gemini Cloud Assist, que poderia permitir que atacantes manipulassem serviços em nuvem; uma injeção de busca no modelo de Personalização de Busca do Gemini, que poderia vazar informações salvas e dados de localização ao manipular o histórico de busca do Chrome; e uma falha de injeção indireta no Gemini Browsing Tool, que poderia exfiltrar dados do usuário para servidores externos. Após a divulgação responsável, o Google implementou medidas de segurança, como a interrupção da renderização de hyperlinks nas respostas de resumo de logs. A Tenable, empresa de segurança, destacou que a situação evidencia que a IA pode ser utilizada como veículo de ataque, não apenas como alvo, enfatizando a necessidade de visibilidade e controle rigoroso sobre ferramentas de IA em ambientes corporativos.

Um erro de precificação regional em EA Sports FC 26 permitiu que jogadores utilizassem VPNs para comprar FC points a preços extremamente baixos. Ao se conectarem a servidores VPN na Indonésia, os usuários conseguiram adquirir 18.500 FC points, normalmente avaliados em mais de 120 dólares, por menos de 1 dólar. Essa prática, considerada uma exploração do sistema, levou a relatos de banimentos de contas por parte da EA. Embora o uso de VPNs possa oferecer benefícios legítimos, como maior privacidade e segurança, a utilização para manipular preços é vista como uma violação das regras do jogo. A EA ainda não confirmou oficialmente os banimentos, mas a recomendação é que jogadores desativem o crossplay para evitar interações com contas que possam ter se beneficiado do erro. O incidente destaca a necessidade de uma vigilância mais rigorosa sobre o uso de tecnologias que, embora úteis, podem ser mal utilizadas para obter vantagens injustas em jogos online.

A convergência de aprendizado de máquina avançado, automação e IA generativa está transformando rapidamente o cenário de ameaças cibernéticas. O surgimento da IA Agente, que pode aprender, tomar decisões e agir de forma autônoma, representa um novo desafio para a cibersegurança. Diferentemente da IA generativa, que apenas reage a entradas, a IA Agente é capaz de inferir e se adaptar independentemente, o que a torna atraente para adversários que buscam explorar suas capacidades. As organizações enfrentam riscos crescentes relacionados ao controle de acesso, vazamento de dados e exposição não intencional de informações sensíveis. Para se defender, as empresas devem adotar a IA Agente como uma extensão de suas equipes de segurança, utilizando-a para detectar vulnerabilidades e antecipar comportamentos de ameaças. No entanto, a implementação segura e estratégica dessa tecnologia é crucial, pois a falta de estruturas claras pode resultar em lacunas de segurança significativas. A adoção cautelosa e gradual da IA Agente, com um foco em governança e integração humano-máquina, é recomendada para mitigar riscos e maximizar benefícios.

Um vendedor conhecido como “SebastianPereiro” anunciou em um fórum da dark web a venda de um exploit de execução remota de código (RCE) para o Veeam Backup & Replication, identificado como o “Bug de Junho de 2025”. Este exploit afeta especificamente as versões 12.x do Veeam, incluindo 12, 12.1, 12.2, 12.3 e 12.3.1, e permite que qualquer conta válida do Active Directory acesse a vulnerabilidade. Uma vez autenticado, um atacante pode executar códigos arbitrários no servidor de backup, o que pode resultar em manipulação ou exclusão de backups, exfiltração de dados ou movimentação lateral na rede da organização. Até o momento, a Veeam não divulgou um aviso ou patch para a vulnerabilidade identificada como CVE-2025-23121, e não há provas de conceito disponíveis publicamente. A falta de medidas de segurança adequadas pode comprometer a recuperação de desastres e facilitar ataques de ransomware. As equipes de segurança devem verificar imediatamente suas versões do Veeam, aplicar princípios de menor privilégio e implementar autenticação multifatorial para mitigar riscos. A situação é crítica, e a vigilância contínua sobre as atualizações da Veeam é essencial.

O famoso departamento de luxo Harrods confirmou que cerca de 430 mil registros de clientes foram comprometidos em um recente incidente de segurança cibernética, resultante de um ataque que afetou informações de um fornecedor terceirizado. Os dados roubados incluem informações pessoais básicas, como nomes, endereços de e-mail e números de telefone, mas não envolvem senhas, informações de pagamento ou histórico de pedidos. A empresa enfatizou que a violação afetou apenas uma pequena parte de sua base de clientes, já que a maioria realiza compras em lojas físicas. Harrods não se envolveu em negociações com os responsáveis pelo ataque e está cooperando com as autoridades competentes. Este incidente segue uma série de ataques cibernéticos que atingiram grandes empresas no Reino Unido, levantando preocupações sobre a segurança de dados e a proteção de informações pessoais. Clientes preocupados foram orientados a entrar em contato com uma linha de apoio dedicada e a seguir orientações sobre como proteger suas informações pessoais.

Recentemente, a Broadcom divulgou o aviso VMSA-2025-0016, que aborda três vulnerabilidades significativas nos produtos VMware vCenter Server e NSX. Essas falhas, classificadas como importantes, permitem que atacantes maliciosos manipulem cabeçalhos SMTP e enumere nomes de usuários válidos, criando oportunidades para ataques direcionados, como phishing e movimentação lateral na rede.

As vulnerabilidades incluem: CVE-2025-41250, que permite a injeção de cabeçalhos SMTP por usuários com permissão para criar tarefas agendadas no vCenter; CVE-2025-41251, que expõe um mecanismo fraco de recuperação de senhas no NSX, permitindo que atacantes não autenticados verifiquem a existência de nomes de usuários; e CVE-2025-41252, que utiliza diferenças sutis no tempo de resposta do login do NSX para inferir nomes de usuários válidos.

A Apple lançou uma atualização de segurança para o macOS Sequoia 15.7.1, corrigindo uma vulnerabilidade crítica no sistema de parsing de fontes, identificada como CVE-2025-43400. Essa falha permite que arquivos de fontes maliciosos provoquem operações de escrita fora dos limites, resultando em corrupção de memória e possíveis crashes de aplicativos. Embora não haja relatos de exploração ativa até o momento, a vulnerabilidade afeta diversas plataformas da Apple, incluindo iOS e iPadOS, evidenciando a interconexão dos componentes do sistema operacional da empresa. A atualização foi disponibilizada em 29 de setembro de 2025 e é crucial que os usuários a instalem imediatamente, especialmente em ambientes corporativos onde arquivos de fontes podem ser processados automaticamente. A natureza da vulnerabilidade sugere que, se explorada, poderia ser utilizada como um ponto de partida para ataques mais sofisticados, como execução remota de código. Portanto, a Apple recomenda que todos os usuários verifiquem suas configurações de atualização para garantir que a correção seja aplicada.

Uma nova vulnerabilidade crítica, identificada como CVE-2025-41244, afeta o VMware Tools e o VMware Aria Operations, permitindo que usuários não privilegiados executem código com privilégios de root sem autenticação. Essa falha, explorada ativamente pelo grupo de ameaças UNC5174 desde outubro de 2024, resulta de padrões de expressão regular excessivamente amplos no componente get-versions.sh, que pode ser manipulado para executar binários maliciosos. O ataque ocorre em ambientes de nuvem híbrida, onde a execução de um binário malicioso em diretórios graváveis, como /tmp/httpd, pode levar a um shell de root. Para mitigar essa vulnerabilidade, recomenda-se que as organizações apliquem patches imediatamente, monitorem processos e restrinjam permissões de gravação em diretórios vulneráveis. A gravidade da situação exige uma resposta rápida para proteger as infraestruturas críticas contra ameaças persistentes avançadas.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma vulnerabilidade crítica no utilitário de linha de comando Sudo, que impacta sistemas Linux e Unix-like, em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). A falha, identificada como CVE-2025-32463, possui uma pontuação CVSS de 9.3 e afeta versões do Sudo anteriores à 1.9.17p1. A vulnerabilidade foi revelada pelo pesquisador Rich Mirch da Stratascale em julho de 2025 e permite que atacantes locais utilizem a opção -R (–chroot) do Sudo para executar comandos arbitrários como root, mesmo que não estejam listados no arquivo sudoers.