A Microsoft Threat Intelligence identificou uma nova variante do malware XCSSET, que representa riscos significativos para desenvolvedores de aplicativos macOS que utilizam o Xcode. Esta versão aprimorada introduz técnicas de ofuscação avançadas, capacidades expandidas de exfiltração de dados e mecanismos de persistência que evoluíram desde sua documentação inicial em março de 2025. O malware opera por meio de uma cadeia de infecção em quatro etapas, inserindo código malicioso em arquivos de projeto. Quando os desenvolvedores constroem projetos infectados, o XCSSET é executado silenciosamente em segundo plano, explorando a confiança que os desenvolvedores depositam em repositórios de código compartilhados. Uma característica preocupante é o módulo de monitoramento da área de transferência, que pode substituir endereços de carteiras de criptomoedas, redirecionando transações. Além disso, o malware agora também coleta dados do navegador Firefox, aumentando seu potencial de coleta de informações. O XCSSET desativa recursos críticos de segurança do macOS, deixando sistemas infectados vulneráveis a outras ameaças. Para mitigar esses riscos, recomenda-se que as organizações implementem procedimentos rigorosos de verificação de projetos no Xcode e utilizem o Microsoft Defender para Endpoint.

A Cloudflare, empresa de segurança e redes, conseguiu mitigar um ataque DDoS que atingiu o pico recorde de 22,2 terabits por segundo (Tbps) e 10,6 bilhões de pacotes por segundo (Bpps). O ataque, que durou apenas 40 segundos, é considerado o maior já registrado na história da internet. Este tipo de ataque visa sobrecarregar sistemas e recursos de rede, tornando serviços lentos ou indisponíveis. A Cloudflare já havia neutralizado um ataque anterior de 11,5 Tbps há três semanas, e um de 7,3 Tbps dois meses antes. O tráfego gerado pelo ataque recente foi comparado a transmitir um milhão de vídeos em 4K simultaneamente. A identidade da vítima não foi divulgada, mas a botnet AISURU, que infectou mais de 300.000 dispositivos, é apontada como responsável pelos ataques. Essa botnet tem como alvo dispositivos como câmeras IP e roteadores, aumentando sua atividade desde abril de 2025, após uma atualização comprometida de firmware de roteadores Totolink. O aumento de 358% nos ataques DDoS em 2025 destaca a crescente preocupação com a segurança cibernética.

Na última quarta-feira (25), a Agência Nacional de Crimes do Reino Unido (NCA) prendeu um homem de aproximadamente 40 anos, suspeito de estar envolvido na invasão aos sistemas da Collins Aerospace, que ocorreu na semana anterior. O ataque, identificado como ransomware, causou o cancelamento e atraso de voos em diversos aeroportos europeus, incluindo os de Bruxelas, Berlim, Cork, Dublin e Heathrow. O software MUSE, utilizado para unificar check-in e marcação de bagagens, foi diretamente afetado, resultando em perturbações significativas nas operações aéreas. O delegado-chefe Paul Foster destacou que, embora a prisão seja um passo positivo, a investigação ainda está em estágios iniciais e o cibercrime continua a ser uma ameaça global. Até o momento, não foram encontradas ligações com grupos hackers conhecidos. O homem foi liberado sob fiança condicional enquanto as investigações prosseguem.

As autoridades de Union County, Ohio, confirmaram um incidente de cibersegurança que afetou 45.487 pessoas devido a uma violação de dados ocorrida entre 6 e 18 de maio de 2025. O ataque, classificado como um sequestro de dados (ransomware), resultou no comprometimento de informações sensíveis, incluindo números de Seguro Social, dados de cartões de pagamento, informações financeiras, impressões digitais, dados médicos e números de identificação emitidos pelo estado, como carteiras de motorista e passaportes. Embora o grupo responsável pelo ataque ainda não tenha se manifestado publicamente, a investigação revelou que os criminosos acessaram a rede do condado durante um período de 12 dias. Union County está oferecendo monitoramento de identidade gratuito e um seguro contra roubo de identidade de até US$ 1 milhão para as vítimas afetadas, com prazo para inscrição até 31 de dezembro de 2025. Este incidente é um dos maiores vazamentos de dados de 2025, destacando a crescente ameaça de ataques de ransomware a entidades governamentais nos Estados Unidos, que já registraram 61 ataques confirmados até o momento, comprometendo mais de 431.000 registros.

O ator de ameaças conhecido como Vane Viper foi identificado como um fornecedor de tecnologia publicitária maliciosa, utilizando uma rede complexa de empresas de fachada para evitar responsabilidades. De acordo com um relatório técnico da Infoblox, em colaboração com Guardio e Confiant, Vane Viper tem fornecido infraestrutura para malvertising, fraudes publicitárias e proliferação de ciberameaças por pelo menos uma década. O grupo não apenas intermedia tráfego para distribuidores de malware e phishers, mas também realiza suas próprias campanhas. Uma técnica notável utilizada por Vane Viper é o abuso de permissões de notificações push, permitindo que anúncios sejam exibidos mesmo após o usuário sair da página inicial. A análise revelou que Vane Viper é responsável por cerca de 1 trilhão de consultas DNS em redes de clientes, explorando centenas de milhares de sites comprometidos. Além disso, a operação registra um grande número de novos domínios mensalmente, com picos de até 3.500 domínios em um único mês. A empresa PropellerAds, que nega qualquer envolvimento em atividades maliciosas, está ligada a Vane Viper, levantando preocupações sobre a segurança das plataformas de publicidade digital. Este cenário representa um risco significativo para a segurança cibernética, especialmente em um contexto onde a conformidade com a LGPD é crucial.

A Cisco emitiu um alerta sobre duas vulnerabilidades críticas em seu software de firewall, afetando o Cisco Secure Firewall Adaptive Security Appliance (ASA) e o Cisco Secure Firewall Threat Defense (FTD). As falhas, identificadas como CVE-2025-20333 e CVE-2025-20362, têm pontuações CVSS de 9.9 e 6.5, respectivamente. A primeira permite que um atacante remoto autenticado execute código arbitrário como root, enquanto a segunda possibilita que um atacante não autenticado acesse endpoints restritos. Ambas as vulnerabilidades estão sendo ativamente exploradas, com a CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) emitindo uma diretiva de emergência para que agências federais identifiquem e mitiguem possíveis compromissos. A CISA também associou a exploração a um ator de ameaças conhecido como ArcaneDoor, que já demonstrou capacidade de manipular a memória ROM dos dispositivos. A Cisco recomenda que os usuários apliquem patches imediatamente para evitar compromissos em suas redes.

Uma pesquisa realizada pelo Gartner Security revelou que cerca de 62% das empresas já foram alvo de ataques utilizando deepfake, uma tecnologia que combina engenharia social e phishing para roubar dados ou dinheiro. Os ataques frequentemente envolvem a imitação de executivos por meio de vídeos ou áudios falsificados, além da exploração de ferramentas de verificação automatizadas, como reconhecimento facial e de voz. O diretor sênior do Gartner, Akif Khan, destacou que a engenharia social continua sendo uma ferramenta eficaz para golpistas, tornando difícil a identificação de fraudes por parte de funcionários comuns. Para mitigar esses riscos, Khan sugere que as organizações implementem soluções técnicas inovadoras, como ferramentas de detecção de deepfakes em plataformas de videoconferência, e promovam treinamentos de conscientização para os colaboradores. Além disso, recomenda a revisão de processos de negócios, como a autorização de pagamentos, utilizando autenticação multi-fator (MFA) para aumentar a segurança. O relatório também aponta que 32% das organizações enfrentaram ataques envolvendo inteligência artificial nos últimos 12 meses, evidenciando a crescente sofisticação das ameaças. Apesar de ⅔ dos clientes da Gartner não terem relatado ataques, a necessidade de atenção a essas ameaças é evidente, especialmente considerando as implicações de conformidade com a LGPD.

Recentemente, o LastPass, um popular gerenciador de senhas, alertou sobre uma campanha de phishing que visa usuários do macOS. Criminosos estão se passando pela marca para instalar malwares que roubam credenciais através de um método chamado ClickFix. O aplicativo falso, que tenta se disfarçar como LastPass, é encontrado em buscas em motores como Google e Bing, e pode incluir capacidades de backdoor, permitindo acesso oculto aos dispositivos das vítimas. Além do LastPass, mais de 100 outros aplicativos, como 1Password e Dropbox, também estão sendo imitados. Os golpistas utilizam repositórios do GitHub para distribuir o malware, que é baixado após o usuário executar comandos no terminal do Mac. Este malware, conhecido como AMOS, é um serviço de malware que custa cerca de US$ 1.000 por mês para os criminosos. A LastPass está monitorando e reportando essas páginas falsas, mas a criação de novos repositórios é rápida, dificultando a remoção completa do malware. Especialistas recomendam que os usuários confiem apenas em sites oficiais para downloads e estejam atentos a possíveis imitações.

Um projeto de lei em Michigan, conhecido como ‘Anticorruption of Public Morals Act’, propõe a proibição do uso e promoção de ferramentas de contorno, como VPNs, para acessar conteúdos restritos. Essa legislação, que visa a verificação de idade para acesso a conteúdos adultos, pode transformar provedores de serviços de internet (ISPs) em responsáveis por monitorar e bloquear o acesso a essas ferramentas, resultando em multas de até $500.000 por não conformidade. A proposta gera preocupações sobre a segurança na internet e a liberdade de expressão, pois pode criar um precedente perigoso para a censura online nos Estados Unidos. A Proton VPN expressou sua preocupação, afirmando que a medida pode prejudicar a privacidade e segurança dos usuários, além de potencialmente abrir caminho para legislações mais restritivas em outros estados. Embora a proposta ainda não tenha sido aprovada, seu impacto pode ser significativo, afetando a forma como os cidadãos acessam informações e se comunicam online.

Uma vulnerabilidade crítica foi identificada na ferramenta de compartilhamento de arquivos ZendTo, permitindo que usuários autenticados realizem a travessia de caminhos do sistema e acessem ou modifiquem arquivos sensíveis de outros usuários. A falha, rastreada como CVE-2025-34508, afeta as versões 6.15-7 e anteriores do ZendTo. Um atacante pode explorar essa vulnerabilidade para ler logs do servidor, dados de usuários ou arquivos críticos da aplicação. A ZendTo lançou um patch na versão 6.15-8, e os administradores são aconselhados a atualizar imediatamente para evitar acessos não autorizados. A vulnerabilidade ocorre devido à falta de sanitização adequada dos parâmetros ‘chunkName’ e ’tmp_name’, permitindo que um invasor forneça um ’tmp_name’ malicioso que redireciona arquivos do servidor para seu diretório pessoal. Isso pode resultar em roubo de dados e até mesmo em condições de negação de serviço, caso arquivos essenciais sejam removidos ou corrompidos. A situação destaca a importância de validar e sanitizar entradas de usuários, além de implementar um controle rigoroso de permissões de arquivos.

O Volvo Group anunciou um vazamento de dados resultante de um ataque de ransomware direcionado à Miljödata, seu fornecedor de software de recursos humanos. O ataque, que criptografou sistemas críticos e interrompeu os serviços de gestão de RH, foi detectado em 23 de agosto, quando alertas de tráfego de rede irregular levaram a uma investigação. A análise forense realizada até 2 de setembro confirmou que os atacantes conseguiram exfiltrar arquivos contendo nomes e números de Seguro Social de funcionários da operação norte-americana da Volvo. Embora a infraestrutura de TI da Volvo não tenha sido comprometida, o incidente levanta preocupações sobre a segurança de fornecedores terceirizados. Para mitigar os riscos de roubo de identidade, a Volvo está oferecendo um serviço de proteção à identidade aos funcionários afetados. A empresa também está revisando seus procedimentos de gestão de fornecedores, implementando avaliações de risco mais rigorosas e atualizando contratos para reforçar a segurança. Este incidente destaca a crescente vulnerabilidade de ecossistemas de terceiros a ataques cibernéticos.

Uma vulnerabilidade crítica nas plataformas Cisco IOS e IOS XE permite que um atacante remoto não autenticado contorne a autenticação TACACS+, potencialmente concedendo controle administrativo total sobre roteadores e switches afetados. Identificada como CVE-2025-20160, a falha possui uma pontuação CVSS 3.1 de 8.1 e resulta de uma validação inadequada da configuração do segredo compartilhado do TACACS+. A vulnerabilidade se manifesta quando o TACACS+ é ativado sem um segredo compartilhado, permitindo que um invasor, posicionado na rede, leia pacotes TACACS+ não criptografados ou se faça passar pelo servidor TACACS+ enviando respostas manipuladas. Isso pode levar à divulgação não autorizada de credenciais e dados de configuração, além de permitir o controle total do dispositivo, o que representa riscos severos à segurança da rede e à continuidade operacional. Embora a Cisco não tenha observado exploração ativa, recomenda a atualização imediata para versões corrigidas do software. Administradores devem auditar suas configurações TACACS+ para garantir que cada entrada de servidor inclua um segredo válido e programar uma atualização para uma versão corrigida conforme sua janela de manutenção.

Desde 2019, o grupo de hackers APT Salt Typhoon, apoiado pelo Estado chinês, tem conduzido uma campanha de espionagem altamente direcionada contra redes de telecomunicações globais. Este grupo, alinhado ao Ministério da Segurança do Estado da China, utiliza implantes de firmware personalizados e rootkits em roteadores para manter acesso persistente e discreto em ambientes de telecomunicações nos EUA, Reino Unido, Taiwan e na União Europeia.

As operações começam com a exploração de vulnerabilidades conhecidas em dispositivos de rede, como roteadores e firewalls. Após a invasão, o grupo implanta ferramentas que sobrevivem a atualizações de software, permitindo a coleta de dados sensíveis, como registros de chamadas e informações de roteamento SS7. Um ataque em 2024 resultou no roubo de terabytes de metadados de operadoras como AT&T e Verizon.

O ransomware BQTLOCK, identificado recentemente, opera sob o modelo Ransomware-as-a-Service (RaaS) desde julho de 2025. Associado ao grupo hacktivista pro-Palestina Liwaa Mohammed, o malware utiliza uma metodologia de dupla extorsão, exigindo pagamentos que variam de 13 a 40 XMR (aproximadamente R$ 18.000 a R$ 54.000). Os atacantes impõem um prazo de 48 horas para que as vítimas entrem em contato, com a ameaça de dobrar o valor do resgate se não houver resposta. Após sete dias, as chaves de descriptografia são excluídas permanentemente, e os dados roubados são vendidos em um site controlado pelos criminosos.

O grupo de ransomware Qilin adicionou a cidade de Waxhaw, na Carolina do Norte, ao seu site de vazamento de dados após alegadamente roubar 619 GB de informações. Em um comunicado emitido em 14 de setembro de 2025, a cidade confirmou que sofreu um ataque cibernético na madrugada de 12 de setembro, que causou ‘irregularidades’ nos sistemas, mas garantiu que os serviços de emergência permaneceram operacionais. Embora a cidade tenha reconhecido que os criminosos conseguiram acessar alguns servidores, não houve confirmação de que dados pessoais foram comprometidos. O Qilin, que opera desde agosto de 2022 e já reivindicou 130 ataques confirmados, utiliza e-mails de phishing para disseminar seu ransomware. Este ataque é parte de uma onda crescente de ataques a organizações governamentais nos EUA, com 61 incidentes confirmados em 2025, destacando a vulnerabilidade do setor público a tais ameaças. A cidade de Waxhaw, que abriga cerca de 21.700 habitantes, continua suas operações normais, embora alguns serviços possam ser afetados.

O relatório Gcore Radar, publicado em setembro de 2025, revela um aumento alarmante de 41% no volume total de ataques DDoS em comparação ao ano anterior, com um pico de ataque atingindo 2,2 Tbps. O número total de ataques subiu de 969 mil no segundo semestre de 2024 para 1,17 milhão no primeiro semestre de 2025. Além do aumento em volume, os ataques estão se tornando mais sofisticados, com durações mais longas e estratégias em múltiplas camadas, refletindo uma mudança nos setores-alvo. O setor de tecnologia agora é o mais atacado, superando o de jogos, enquanto os serviços financeiros continuam a ser alvos frequentes devido ao seu alto potencial de interrupção. Os ataques de camada de aplicação também estão em ascensão, representando 38% do total, um aumento significativo em relação a 28% no final de 2024. O relatório destaca a necessidade urgente de defesas proativas e adaptativas para enfrentar essa nova realidade de cibersegurança.

O boletim semanal de cibersegurança destaca as últimas ameaças digitais, incluindo a atualização de firmware da SonicWall para remover malware rootkit em dispositivos SMA 100, após a descoberta de ataques por um ator identificado como UNC6148. Além disso, uma vulnerabilidade crítica (CVE-2025-10184) foi encontrada em smartphones OnePlus, permitindo que aplicativos maliciosos acessem mensagens de texto sem permissão do usuário. O CISA também relatou uma violação em uma agência federal dos EUA, onde hackers exploraram uma falha no GeoServer para comprometer a rede. A prisão de membros do grupo Scattered Spider, que usou engenharia social para realizar ataques, e o uso de arquivos SVG maliciosos em campanhas de phishing na América Latina, como AsyncRAT, também foram abordados. Essas informações ressaltam a necessidade de atualização constante e vigilância em cibersegurança, especialmente para empresas que operam em ambientes digitais complexos.

O grupo de ameaças associado à Coreia do Norte, conhecido como Contagious Interview, foi vinculado a uma nova backdoor chamada AkdoorTea, além de outras ferramentas como TsunamiKit e Tropidoor. A campanha, monitorada pela empresa de cibersegurança ESET sob o nome DeceptiveDevelopment, visa desenvolvedores de software em diversas plataformas, especialmente aqueles envolvidos com criptomoedas e projetos Web3. Os atacantes se fazem passar por recrutadores, oferecendo vagas atraentes em plataformas como LinkedIn e Upwork. Após o contato inicial, os alvos são solicitados a realizar uma avaliação em vídeo ou um exercício de programação que, na verdade, instala malware em seus sistemas. Os malwares identificados incluem BeaverTail, que exfiltra dados sensíveis, e WeaselStore, que atua como um RAT (trojan de acesso remoto). A campanha utiliza técnicas de engenharia social e ferramentas de código aberto, demonstrando um modelo de operação distribuído e criativo. Além disso, há uma conexão com um esquema de fraude de trabalhadores de TI da Coreia do Norte, que visa infiltrar agentes em empresas utilizando identidades roubadas. Essa situação representa um risco significativo para a segurança cibernética, especialmente para empresas que operam no setor de tecnologia e criptomoedas.

Pesquisadores de cibersegurança revelaram uma falha crítica no Salesforce Agentforce, uma plataforma para criação de agentes de inteligência artificial (IA), que pode permitir que atacantes exfiltratem dados sensíveis do sistema de gerenciamento de relacionamento com o cliente (CRM) da empresa. Nomeada de ForcedLeak, a vulnerabilidade possui uma pontuação CVSS de 9.4 e afeta organizações que utilizam a funcionalidade Web-to-Lead do Salesforce. O ataque ocorre por meio de uma injeção de prompt indireta, onde instruções maliciosas são inseridas em campos de dados externos, levando o sistema a gerar conteúdos proibidos ou a realizar ações não intencionais. O processo envolve cinco etapas, começando com o envio de um formulário Web-to-Lead contendo uma descrição maliciosa, seguido pelo processamento desse lead por um funcionário interno que utiliza um comando padrão de IA. A falha permite que dados sensíveis sejam transmitidos para um domínio controlado pelo atacante. A Salesforce já tomou medidas para mitigar a vulnerabilidade, resegurando o domínio expirado e implementando um mecanismo de lista de URLs confiáveis. Os usuários são aconselhados a auditar dados existentes e implementar validações rigorosas de entrada para detectar possíveis injeções de prompt.

Em setembro de 2025, o Zscaler ThreatLabz revelou uma campanha sofisticada do grupo APT COLDRIVER, vinculado à Rússia, que utiliza a técnica de engenharia social ClickFix. Tradicionalmente focado em phishing de credenciais, o grupo agora mira ONGs, jornalistas e defensores dos direitos humanos. A campanha começa com um site malicioso que imita um recurso informativo e induz a vítima a executar um comando malicioso que baixa o backdoor BAITSWITCH. Este backdoor estabelece persistência e se comunica com um servidor de comando e controle (C2) para baixar um segundo payload, o backdoor SIMPLEFIX. O SIMPLEFIX opera em um ciclo de três minutos, permitindo que os atacantes executem comandos e exfiltrarem dados. A campanha destaca a eficácia de vetores de ataque simples e a necessidade de controles de acesso rigorosos e soluções de segurança como o Windows AppLocker. O Zscaler classifica o BAITSWITCH como Win64.Downloader.BAITSWITCH e o SIMPLEFIX como PS.Backdoor.SIMPLEFIX, oferecendo cobertura contra essa ameaça em evolução.

Pesquisadores de cibersegurança descobriram uma campanha sofisticada de malware direcionada ao WordPress, que utiliza dois arquivos backdoor complementares para garantir acesso administrativo persistente a sites comprometidos. O primeiro componente, disfarçado como um plugin legítimo chamado ‘DebugMaster Pro’, cria uma conta de administrador não autorizada com credenciais fixas. Este malware oculta sua presença removendo-se das listagens de plugins e escondendo a nova conta de administrador. O segundo componente, um script chamado ‘wp-user.php’, atua como um mecanismo de segurança que monitora a conta de administrador criada, recriando-a sempre que for removida, garantindo assim o acesso contínuo. Os especialistas recomendam que os administradores de sites WordPress realizem verificações de integridade de arquivos, auditem contas de usuários e implementem sistemas de monitoramento de arquivos para detectar e mitigar essa ameaça. A descoberta ressalta a importância de varreduras de segurança regulares, que devem incluir componentes disfarçados que imitam funcionalidades legítimas do WordPress.

Uma vulnerabilidade crítica foi identificada no componente de compartilhamento de arquivos ksmbd do Kernel Linux, permitindo que atacantes remotos executem código arbitrário com privilégios totais do kernel. Classificada como CVE-2025-38561, a falha afeta distribuições Linux que utilizam a implementação do servidor SMB ksmbd. Embora a autenticação válida seja necessária, a exploração bem-sucedida pode levar a uma completa compromissão do sistema, tornando a aplicação de patches urgente para administradores e fornecedores.

A comunidade de cibersegurança está em alerta devido a uma vulnerabilidade em câmeras da Hikvision, que tem sido explorada por atacantes para acessar informações sensíveis. Nos últimos dias, registros de honeypots mostraram um aumento nas tentativas de acesso ao endpoint /System/deviceInfo, utilizando um parâmetro ‘auth’ com credenciais codificadas em Base64. O valor decodificado, ‘admin:11’, sugere o uso de técnicas de força bruta para explorar senhas fracas, permitindo que invasores acessem informações críticas do dispositivo.

O SetupHijack é uma nova ferramenta de pesquisa em segurança de código aberto que explora condições de corrida e manipulação insegura de arquivos em processos de instalação do Windows para obter escalonamento de privilégios. A ferramenta monitora diretórios graváveis, como %TEMP%, %APPDATA% e %USERPROFILE%\Downloads, substituindo executáveis de instaladores por cargas úteis fornecidas pelo atacante, que são executadas com direitos elevados antes que as verificações de integridade sejam concluídas.

Os instaladores do Windows frequentemente colocam temporariamente executáveis em locais graváveis antes da execução. O SetupHijack opera no contexto de um usuário não privilegiado, escaneando continuamente esses diretórios. Quando um arquivo alvo aparece, a ferramenta rapidamente o substitui por uma carga útil personalizada, criando uma janela de corrida (TOCTOU). Se o processo privilegiado executar o arquivo sequestrado antes de verificar sua autenticidade, a carga útil do atacante é executada com privilégios de SYSTEM ou Administrador.

A Cisco emitiu um alerta sobre uma vulnerabilidade de alta severidade, identificada como CVE-2025-20352, que afeta o software IOS e IOS XE. Com uma pontuação CVSS de 7.7, essa falha pode permitir que um atacante remoto execute código arbitrário ou cause uma condição de negação de serviço (DoS) em dispositivos afetados. A vulnerabilidade está relacionada ao protocolo SNMP (Simple Network Management Protocol) e foi descoberta após a violação de credenciais de administrador local. Para explorar a falha, um atacante precisa enviar um pacote SNMP malicioso a um dispositivo vulnerável, sendo que as condições para a exploração variam conforme o nível de privilégios do atacante. A Cisco recomenda que apenas usuários confiáveis tenham acesso SNMP e sugere a execução do comando “show snmp host” para monitoramento. A falha afeta todas as versões do SNMP e dispositivos como os switches Meraki MS390 e Cisco Catalyst 9300. A correção já está disponível na versão 17.15.4a do Cisco IOS XE, e a empresa alerta que não há soluções alternativas para mitigar a vulnerabilidade.

Pesquisadores de cibersegurança descobriram dois crates maliciosos escritos em Rust, chamados faster_log e async_println, que se disfarçam como uma biblioteca legítima chamada fast_log. Esses crates foram publicados por um ator de ameaça sob os pseudônimos rustguruman e dumbnbased em 25 de maio de 2025, acumulando 8.424 downloads. O código malicioso embutido nos crates é projetado para escanear arquivos de código-fonte em busca de chaves privadas de carteiras Solana e Ethereum, enviando as informações coletadas para um servidor de comando e controle (C2) via HTTP POST. A vulnerabilidade foi identificada após uma divulgação responsável, levando os mantenedores do crates.io a remover os pacotes e desativar as contas dos autores. O ataque, classificado como typosquatting, utiliza um logger funcional com um nome familiar, o que pode passar despercebido em revisões superficiais. A campanha destaca como uma pequena quantidade de código malicioso pode representar um risco significativo na cadeia de suprimentos de software, especialmente em ambientes de desenvolvimento e integração contínua.

Pesquisadores de cibersegurança alertam usuários de Mac sobre uma campanha que utiliza repositórios fraudulentos no GitHub para disseminar malware, especificamente o infostealer conhecido como Atomic Stealer. Os atacantes criam contas falsas no GitHub, imitando empresas confiáveis para induzir os usuários a baixar softwares falsos. Um exemplo recente envolveu páginas que se passavam pelo LastPass, levando os usuários a executar comandos no terminal do Mac que baixavam e instalavam o malware. Essa técnica de engenharia social é potencializada por estratégias de SEO, que fazem com que os links maliciosos apareçam nas primeiras posições dos resultados de busca. Embora algumas páginas tenham sido removidas, os atacantes frequentemente retornam com novos perfis, levantando preocupações sobre a eficácia das plataformas em proteger os usuários. Para se proteger, recomenda-se baixar softwares apenas de fontes verificadas, evitar comandos de sites desconhecidos e manter o sistema atualizado.

O Madison Elementary School District 38, localizado em Phoenix, Arizona, notificou cerca de 35 mil pessoas sobre uma violação de dados resultante de um ataque de ransomware realizado pelo grupo Interlock em abril de 2025. O ataque, que ocorreu em 7 de abril, foi facilitado por engenharia social, onde um funcionário da escola foi enganado. Embora a escola não tenha especificado quais dados foram comprometidos, a oferta de serviços de proteção de identidade sugere que informações sensíveis, como números de Seguro Social e dados financeiros, podem estar envolvidas. O grupo Interlock, ativo desde outubro de 2024, já realizou 29 ataques confirmados, sendo nove deles em instituições educacionais nos EUA. O ataque à Madison é o segundo maior em termos de registros afetados, com mais de 150 mil registros comprometidos em ataques confirmados no setor educacional dos EUA em 2025. A escola contratou a Arete para investigar a extensão da violação, que custou mais de 21 mil dólares. Até o momento, não está claro se um resgate foi exigido ou pago.

O grupo de ransomware Rhysida reivindicou a responsabilidade por um incidente de segurança cibernética que afetou a Administração de Trânsito de Maryland (MTA) em agosto de 2025. O ataque resultou em acesso não autorizado aos sistemas da MTA, causando a perda de dados e interrupções nos serviços de paratransito. Rhysida exigiu um resgate de 30 bitcoins, equivalente a aproximadamente 3,4 milhões de dólares, e publicou imagens de documentos supostamente roubados, incluindo cartões de Seguro Social e passaportes. A MTA confirmou a perda de dados, mas não divulgou detalhes específicos devido à sensibilidade da investigação em andamento. Até o momento, não está claro quantas pessoas foram afetadas ou se o resgate será pago. Rhysida, que opera um modelo de ransomware como serviço, já realizou 91 ataques confirmados desde sua fundação em 2023, comprometendo cerca de 5,5 milhões de registros. Este incidente destaca a crescente ameaça de ataques de ransomware a entidades governamentais nos Estados Unidos, com 59 ataques confirmados em 2025, afetando mais de 386 mil registros.

Um novo relatório da Recorded Future revela que um grupo de ciberespionagem, anteriormente conhecido como TAG-100, foi reclassificado como RedNovember, supostamente patrocinado pelo Estado chinês. Entre junho de 2024 e julho de 2025, o grupo atacou organizações governamentais e do setor privado em várias regiões, incluindo América do Norte, América do Sul e Ásia. Utilizando ferramentas como o backdoor Pantegana e Cobalt Strike, RedNovember explorou vulnerabilidades em dispositivos de segurança de grandes empresas, como Check Point e Cisco. O foco do grupo inclui setores sensíveis, como defesa, aeroespacial e organizações de segurança. Recentemente, o grupo foi associado a ataques a contratantes de defesa dos EUA e a um ministério de relações exteriores na Ásia Central. A utilização de ferramentas de código aberto e serviços de VPN para ocultar suas atividades é uma estratégia comum entre grupos de espionagem, dificultando a atribuição de suas ações. O relatório destaca a necessidade de vigilância contínua e medidas de mitigação para proteger as organizações contra essas ameaças emergentes.

Uma vulnerabilidade na ferramenta Deep Research do ChatGPT, descoberta pela Radware, permitia que dados do Gmail de usuários fossem coletados sem que eles precisassem clicar em qualquer link. O recurso, lançado em fevereiro, foi projetado para realizar pesquisas mais robustas e rápidas, mas, ao se conectar às contas do Gmail, expôs informações pessoais como nome e endereço. A Radware testou a falha enviando e-mails a si mesmos com instruções ocultas, que permitiram que a IA coletasse dados e os enviasse a um endereço controlado pelos pesquisadores. A OpenAI, responsável pelo ChatGPT, corrigiu a falha em 3 de setembro e afirmou que não há evidências de que a vulnerabilidade tenha sido explorada por hackers. No entanto, a possibilidade de uso de dados para ataques de phishing no futuro permanece. A empresa ressaltou que a segurança é uma prioridade e que a análise da Radware contribuiu para a melhoria das ferramentas. Este incidente destaca a necessidade de vigilância contínua em relação à segurança de ferramentas de IA, especialmente aquelas que interagem com dados sensíveis dos usuários.

Um novo agente malicioso, denominado TA558, está por trás de uma série de ataques a hotéis no Brasil e na América Latina, com o objetivo de roubar dados de cartões de crédito de hóspedes. Os ataques, conhecidos como RevengeHotels, utilizam e-mails de phishing que imitam documentos legítimos, como recibos de reservas, para disseminar o malware VenomRAT. Este trojan de acesso remoto é capaz de evitar a detecção por antivírus e se propaga através de scripts em JavaScript e PowerShell, muitos dos quais apresentam características que sugerem a utilização de inteligência artificial na sua criação.

A empresa de segurança Point Wild identificou um novo malware chamado Raven Stealer, que ataca navegadores populares como Google Chrome e Microsoft Edge. O vírus, que se espalha principalmente por meio de fóruns obscuros e programas piratas, é desenvolvido em Delphi e C++. Ele se instala como um programa aparentemente inofensivo e, em seguida, executa um payload malicioso diretamente na memória do computador, evitando a detecção por antivírus. O Raven Stealer é capaz de roubar senhas, cookies e informações de pagamento, enviando esses dados para cibercriminosos via bots de mensagem no Telegram. A equipe de pesquisa recomenda o uso de antivírus atualizados e a cautela ao baixar programas piratas ou clicar em links suspeitos. O ataque destaca a evolução das técnicas de hackers, que agora utilizam ferramentas que podem ser operadas por indivíduos com pouco conhecimento técnico. Apesar de um problema de token no Telegram ter dificultado o envio de dados em alguns testes, o risco de roubo de informações permanece alto.

Um novo golpe digital está circulando no Brasil, onde golpistas se passam pelo iFood para enganar usuários com a oferta de um cupom de R$ 2 mil. Mensagens de texto com um link encurtado estão sendo enviadas a diversas pessoas, direcionando-as a uma página falsa que imita o site oficial do iFood. Ao acessar, os usuários são incentivados a baixar um aplicativo malicioso em formato APK, que pode comprometer a segurança de seus dispositivos. O aplicativo, que se apresenta como ‘ifood.apk’, pode ser utilizado para bombardear os celulares com anúncios, roubar dados pessoais ou até mesmo permitir acesso remoto aos aparelhos. O iFood já se manifestou, alertando que não realiza sorteios ou promoções dessa natureza e que todas as comunicações legítimas são feitas por canais oficiais. Para se proteger, os usuários devem evitar clicar em links suspeitos, não compartilhar informações pessoais e denunciar mensagens como spam. O golpe destaca a importância da conscientização sobre segurança digital e a necessidade de cautela ao lidar com ofertas que parecem boas demais para ser verdade.

A Libraesva, fornecedora de soluções de segurança de e-mail, emitiu um aviso de segurança alertando sobre uma vulnerabilidade de execução remota de comandos (CVE-2025-59689) que foi explorada por atores de ameaças patrocinados por estados. A falha, classificada como de severidade média (6.1/10), permite a execução de comandos arbitrários em sistemas afetados através de e-mails maliciosos com anexos comprimidos especialmente elaborados. A vulnerabilidade afeta todas as versões do Libraesva Email Security Gateway (ESG) a partir da versão 4.5, e a empresa já disponibilizou patches para as versões 5.0 a 5.5. As versões anteriores a 5.0 não são mais suportadas e precisam ser atualizadas manualmente. Até o momento, um ataque foi documentado, e os responsáveis são considerados uma entidade estatal hostil. A Libraesva enfatiza a importância de uma rápida implementação de patches para mitigar riscos, especialmente em um cenário onde a segurança de e-mails é crucial para organizações em setores como educação, finanças e governo.

Um novo ataque cibernético em larga escala tem como alvo usuários de macOS, utilizando o GitHub Pages para distribuir malware disfarçado de softwares confiáveis, como Malwarebytes e LastPass. Os criminosos criam repositórios falsos com nomes enganosos, otimizando-os para aparecer nas primeiras posições dos resultados de busca. O principal malware utilizado é o Atomic Stealer (AMOS), que rouba credenciais, dados de navegadores e informações de carteiras de criptomoedas sem o conhecimento do usuário. O ataque se aproveita de técnicas de SEO para atrair vítimas, levando-as a executar scripts de instalação maliciosos. Uma vez instalado, o AMOS se torna persistente, criando arquivos que garantem sua execução em logins e inicializações do sistema. Além disso, o malware manipula o conteúdo da área de transferência para redirecionar endereços de carteiras de criptomoedas. Para se proteger, os usuários devem evitar comandos de instalação de fontes não verificadas e utilizar soluções de anti-malware em tempo real. Em caso de infecção, recomenda-se a remoção de arquivos suspeitos e a reinstalação completa do macOS a partir de backups verificados.

Pesquisadores demonstraram, durante os eventos Black Hat e DEF CON, como a técnica de domain fronting pode ser utilizada para ocultar tráfego malicioso por meio de plataformas populares como Google Meet, YouTube e servidores de atualização do Chrome. Essa técnica explora a discrepância entre os cabeçalhos Server Name Indication (SNI) e HTTP Host em requisições HTTPS, permitindo que atacantes disfarcem suas atividades como chamadas legítimas a domínios confiáveis. Em testes de prova de conceito, foi possível invocar funções maliciosas em infraestrutura controlada por atacantes dentro do Google Cloud Platform (GCP) ao manipular esses cabeçalhos. Essa abordagem representa uma nova forma de ataque, especialmente relevante para equipes de segurança, que agora precisam desenvolver capacidades de inspeção mais profundas para identificar padrões de roteamento incomuns, mesmo em tráfego que parece legítimo. A liberação de um redirecionador de código aberto para facilitar a adoção dessa técnica por equipes vermelhas destaca a necessidade urgente de vigilância e mitigação por parte das organizações, que devem equilibrar a utilização de serviços do Google com a detecção de anomalias para evitar que atacantes se escondam em tráfego aparentemente seguro.

As autoridades do Reino Unido prenderam um homem suspeito de ser o responsável por um ataque de ransomware que afetou operações em aeroportos europeus, incluindo o Heathrow, em Londres. A prisão ocorreu na terça-feira, em West Sussex, e o suspeito foi liberado sob fiança enquanto a investigação prossegue. O ataque, que atingiu os sistemas de manuseio de bagagens e check-in da Collins Aerospace, causou atrasos e cancelamentos de voos em aeroportos como Heathrow, Bruxelas, Dublin e Berlim. A empresa, que fornece software para várias companhias aéreas, teve que recorrer a processos manuais, resultando em grandes transtornos para os passageiros. O ataque foi confirmado como um caso de ransomware, onde arquivos críticos foram criptografados e um pagamento em criptomoeda foi exigido para a recuperação. A situação destaca a crescente vulnerabilidade do setor de aviação a ataques cibernéticos, com um aumento de 600% nos ataques contra entidades do setor no último ano. Especialistas pedem uma maior colaboração entre aeroportos, reguladores e fornecedores de software para mitigar riscos futuros.

Pesquisadores de segurança revelaram uma nova técnica de ataque que permite a invasores contornar soluções de Detecção e Resposta em Endpoint (EDR) ao executar arquivos executáveis portáteis (PE) diretamente na memória, sem gravá-los no disco. Essa técnica, conhecida como carregador PE em memória, possibilita a injeção e execução de binários maliciosos em processos considerados benignos. O método utiliza APIs do WinINet para baixar o arquivo PE de repositórios remotos e alocar memória virtual para executar o código malicioso. Durante testes, soluções como Microsoft Defender XDR e Sophos XDR não conseguiram detectar essa execução em memória, evidenciando uma falha crítica nas defesas tradicionais. Para mitigar esses riscos, as equipes de segurança devem implementar análises comportamentais e monitoramento de alocação de memória, além de reforçar políticas de whitelist de aplicativos e auditar requisições HTTP de processos críticos. A crescente adoção de métodos sem arquivo exige que as organizações evoluam suas abordagens de segurança, garantindo visibilidade abrangente tanto em operações de sistema de arquivos quanto em memória.

Uma análise de segurança revelou que mais de 150 aplicativos móveis populares estão expondo inadvertidamente dados sensíveis dos usuários devido a configurações inadequadas nos serviços do Google Firebase. A pesquisa, conduzida pelo especialista Icex0, auditou cerca de 1.200 aplicativos e descobriu que aproximadamente 80% deles utilizam serviços do Firebase. Entre os aplicativos vulneráveis, cerca de 150 apresentaram regras de segurança mal configuradas, permitindo acesso não autenticado a repositórios de dados críticos. As informações expostas incluem detalhes de pagamento, credenciais de usuários, mensagens privadas, senhas em texto claro, coordenadas de localização e chaves de acesso a serviços como AWS e GitHub. Um caso alarmante envolveu um aplicativo com mais de 100 milhões de downloads que armazenava fotos de documentos de identidade emitidos pelo governo, acessíveis sem autenticação. As falhas de segurança são atribuídas a quatro serviços do Firebase: Realtime Databases, Cloud Storage Buckets, Firestore e Remote Configuration. O problema é exacerbado por desenvolvedores que mantêm o modo de teste ou configuram regras de segurança excessivamente permissivas. Para mitigar essas vulnerabilidades, foi desenvolvido o OpenFirebase, um scanner de segurança automatizado que analisa arquivos APK para identificar configurações vulneráveis do Firebase, revelando uma quantidade significativa de dados expostos que ferramentas existentes não detectam.

Um novo artigo destaca a vulnerabilidade dos iframes de pagamento, que estão sendo explorados por atacantes através de técnicas de sobreposição maliciosa para roubar dados de cartões de crédito. A campanha de skimming do Stripe, ocorrida em agosto de 2024, exemplifica essa ameaça, onde 49 comerciantes foram comprometidos. Os atacantes injetam JavaScript malicioso em plataformas vulneráveis, como o WordPress, para substituir iframes legítimos por réplicas perfeitas que capturam informações do usuário sem que ele perceba.

Pesquisadores de cibersegurança revelaram detalhes sobre uma nova família de malware chamada YiBackdoor, que apresenta ‘significativas’ semelhanças de código com os malwares IcedID e Latrodectus. Identificado pela primeira vez em junho de 2025, o YiBackdoor é capaz de executar comandos arbitrários, coletar informações do sistema, capturar screenshots e implantar plugins que ampliam suas funcionalidades. Embora a conexão exata entre YiBackdoor, IcedID e Latrodectus ainda não esteja clara, acredita-se que o novo malware possa ser utilizado em ataques de ransomware, servindo como um precursor para exploração adicional. O malware utiliza técnicas rudimentares de anti-análise para evitar ambientes virtualizados e incorpora a capacidade de injetar sua funcionalidade principal no processo ‘svchost.exe’. A persistência no sistema é alcançada através da chave de registro Run do Windows. Até o momento, as implantações do YiBackdoor são limitadas, sugerindo que ainda está em desenvolvimento ou em fase de testes. Além disso, novas versões do ZLoader foram identificadas, apresentando melhorias em ofuscação de código e técnicas de evasão, o que indica uma evolução contínua das ameaças no cenário de cibersegurança.

O caso da KNP Logistics Group, que operou por 158 anos, ilustra a fragilidade da segurança cibernética em empresas, mesmo as mais estabelecidas. Em junho de 2025, a empresa foi alvo do grupo de ransomware Akira, que acessou seus sistemas ao adivinhar uma senha fraca de um funcionário. A falta de autenticação multifatorial (MFA) permitiu que os hackers se infiltrassem facilmente, criptografando dados críticos e destruindo backups, resultando em uma demanda de resgate de £5 milhões. Apesar de ter seguro contra ataques cibernéticos e conformidade com normas de TI, a KNP não conseguiu se recuperar e acabou entrando em administração, resultando na demissão de 700 funcionários. O incidente destaca a importância de políticas de senhas robustas e da implementação de MFA, além de um plano de recuperação de desastres eficaz. Com 19.000 empresas no Reino Unido atacadas por ransomware no último ano, a situação é alarmante e exige atenção urgente das organizações para evitar consequências devastadoras.

Pesquisadores de cibersegurança da Trend Micro revelaram duas vulnerabilidades críticas no software Wondershare RepairIt, que podem comprometer dados privados dos usuários e permitir ataques à cadeia de suprimentos. As falhas, identificadas como CVE-2025-10643 e CVE-2025-10644, têm pontuações CVSS de 9.1 e 9.4, respectivamente, e permitem que atacantes contornem a autenticação do sistema. Isso pode resultar na execução de código arbitrário nos dispositivos dos clientes. Além disso, a aplicação coleta e armazena dados de forma inadequada, sem criptografia, expondo imagens e vídeos dos usuários. A Trend Micro alertou que o armazenamento em nuvem exposto contém não apenas dados dos usuários, mas também modelos de IA e códigos-fonte da empresa, o que pode facilitar a manipulação de modelos de IA e a realização de ataques à cadeia de suprimentos. A empresa divulgou as vulnerabilidades em abril de 2025, mas não recebeu resposta da Wondershare. Os especialistas recomendam que os usuários limitem a interação com o produto até que uma solução seja implementada.

Um grupo de espionagem cibernética suspeito de estar vinculado à China, identificado como UNC5221, tem como alvo empresas dos setores de serviços jurídicos, provedores de software como serviço (SaaS), terceirização de processos de negócios (BPOs) e tecnologia nos Estados Unidos. O grupo utiliza um backdoor conhecido como BRICKSTORM, que permite acesso persistente às organizações atacadas por mais de um ano. O objetivo principal é acessar dados de clientes e informações relacionadas à segurança nacional e propriedade intelectual. O BRICKSTORM, documentado pela primeira vez no ano passado, explora vulnerabilidades zero-day em dispositivos Ivanti Connect Secure e tem sido utilizado em ambientes Windows na Europa desde novembro de 2022. Este malware, desenvolvido em Go, possui funcionalidades avançadas, como manipulação de arquivos e execução de comandos shell, e se comunica com um servidor de comando e controle via WebSockets. A campanha é caracterizada por sua capacidade de permanecer indetectável, com um tempo médio de permanência nas redes das vítimas de 393 dias. A Google desenvolveu um scanner para ajudar potenciais vítimas a identificar a presença do BRICKSTORM em seus sistemas. A complexidade e a furtividade dessa campanha representam uma ameaça significativa para organizações que utilizam tecnologias vulneráveis.

O Google lançou uma atualização para o Chrome, versão 140.0.7339.207/.208, que corrige três vulnerabilidades de alta severidade no motor JavaScript V8. A mais crítica, identificada como CVE-2025-10890, é uma falha de vazamento de informações que permite a um atacante inferir dados sensíveis da memória, como chaves criptográficas e credenciais de usuários, através de diferenças sutis de tempo. Embora a exploração exija uma página ou script malicioso, uma vez ativada, a vulnerabilidade pode exfiltrar dados rapidamente sem causar falhas no processo de renderização.

A Jaguar Land Rover (JLR), pertencente ao grupo Tata, anunciou um novo adiamento na reabertura de suas fábricas no Reino Unido devido a um ciberataque sofisticado que interrompeu suas operações de manufatura. As plantas de Solihull, Castle Bromwich e Halewood permanecerão fechadas até 1º de outubro de 2025, enquanto a empresa intensifica sua investigação e análise forense, além de reforçar suas defesas contra possíveis novas ameaças. O ataque explorou uma vulnerabilidade zero-day em uma ferramenta de acesso remoto de terceiros, permitindo que os invasores penetrassem em sistemas críticos. Embora a JLR não tenha confirmado a violação de dados de clientes, padrões de tráfego anômalos indicam tentativas de exfiltração de dados. Durante a paralisação, equipes de cibersegurança internas e especialistas externos trabalharão para reconstruir a linha do tempo do ataque e validar a integridade dos sistemas. A empresa também está auditando as credenciais de seus fornecedores e reforçando as obrigações contratuais de cibersegurança. Apesar da interrupção, a rede de varejo global da JLR continua operando normalmente, e a empresa garantiu que os serviços de pós-venda e pedidos em andamento não serão afetados.

A SonicWall anunciou uma atualização de segurança urgente para seus dispositivos Secure Mobile Access (SMA) da série 100, visando eliminar um rootkit persistente conhecido como ‘OVERSTEP’. A atualização, identificada como versão 10.2.2.2-92sv, introduz verificações de integridade de arquivos aprimoradas, capazes de detectar e remover componentes maliciosos implantados por essa ameaça. Organizações que utilizam os modelos SMA 210, 410 e 500v são fortemente aconselhadas a aplicar o patch imediatamente para mitigar riscos de exploração. O rootkit OVERSTEP foi identificado pela Google Threat Intelligence Group (GTIG) como uma ameaça sofisticada, capaz de estabelecer acesso encoberto e persistente a redes corporativas, permitindo que atacantes se movam lateralmente, exfiltrando dados e implantando cargas adicionais. A SonicWall enfatiza que a única forma de eliminar a ameaça é atualizar para a versão corrigida, pois não há soluções alternativas viáveis. O não cumprimento dessa recomendação pode expor as redes a acessos não autorizados e vigilância persistente. O patch não afeta as appliances da série SMA1000 e as funcionalidades SSL-VPN em produtos de firewall da SonicWall.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta urgente sobre uma vulnerabilidade zero-day no Google Chrome, identificada como CVE-2025-10585. Essa falha, localizada no motor V8 do JavaScript e WebAssembly, representa um risco significativo para usuários em todo o mundo, pois permite que atacantes manipulem estruturas de memória e executem código arbitrário ao visitar páginas da web maliciosas. A CISA incluiu essa vulnerabilidade em seu catálogo de Vulnerabilidades Conhecidas e Explotadas, exigindo que agências federais apliquem correções ou suspendam o uso das versões afetadas até 14 de outubro de 2025. Embora a Google tenha lançado patches para resolver o problema, a CISA recomenda que usuários e administradores verifiquem manualmente a instalação das atualizações. A natureza crítica da falha, que pode ser explorada sem interação adicional do usuário, torna essencial que organizações, tanto públicas quanto privadas, adotem medidas de mitigação, como a aplicação de atualizações e o monitoramento de tráfego de rede para sinais de comprometimento.

A versão 2025.3 do Kali Linux foi lançada, trazendo melhorias significativas e a adição de dez novas ferramentas de segurança. Esta atualização, que segue a versão anterior de junho de 2025, aprimora fluxos de trabalho essenciais e expande as capacidades sem fio, além de preparar o sistema para novas arquiteturas. A equipe de desenvolvimento reformulou a criação de imagens de máquinas virtuais, integrando os padrões mais recentes do Packer e Vagrant, o que garante uma geração consistente de templates de VM. Os pentesters sem fio agora podem contar com o suporte restaurado do Nexmon para chipsets Broadcom e Cypress, estendido ao Raspberry Pi 5. A versão também aposentou a arquitetura ARMel, redirecionando recursos para o suporte ao RISC-V. Entre as novas ferramentas, destacam-se o Caido para auditoria de segurança web e o krbrelayx para ataques de relé Kerberos. No âmbito móvel, o Kali NetHunter recebeu atualizações significativas, incluindo suporte a modo monitor interno em dispositivos de baixo custo. Com essas melhorias, o Kali Linux continua a ser uma escolha relevante para profissionais de segurança.