No cenário atual de cibersegurança, o modelo tradicional de segurança baseado em perímetro se mostra insuficiente. O conceito de segurança Zero Trust, que se baseia na premissa de ’nunca confiar, sempre verificar’, ganha destaque, especialmente em um mundo cada vez mais conectado e centrado na nuvem. Este artigo apresenta as 10 melhores empresas de segurança Zero Trust para 2025, que oferecem soluções abrangentes para gerenciar identidades, segmentar redes e proteger dados. Entre as principais tendências que impulsionam a adoção do Zero Trust estão o trabalho remoto, a migração para a nuvem, as ameaças internas e a sofisticação crescente dos ataques cibernéticos. As empresas listadas, como Zscaler, Palo Alto Networks e Microsoft, se destacam por suas plataformas que garantem acesso seguro e contínuo, além de monitoramento e prevenção de ameaças. A escolha de fornecedores adequados é crucial para a construção de uma infraestrutura resiliente e segura, especialmente em um contexto onde a conformidade com regulamentações, como a LGPD, se torna cada vez mais importante.

No cenário atual de cibersegurança, as soluções de Detecção e Resposta de Endpoint (EDR) se tornaram essenciais para proteger as organizações contra ameaças cibernéticas sofisticadas. O artigo destaca as dez melhores empresas de EDR em 2025, que se destacam por suas capacidades de monitoramento contínuo, análise avançada e resposta automatizada a incidentes. As soluções EDR vão além da proteção tradicional, utilizando inteligência artificial e aprendizado de máquina para detectar comportamentos anômalos e ameaças zero-day. Além disso, a arquitetura nativa em nuvem e a evolução para Detecção e Resposta Estendida (XDR) são tendências importantes no mercado. Entre as empresas mencionadas, CrowdStrike, Microsoft Defender e SentinelOne se destacam por suas inovações e eficácia na proteção de endpoints. A demanda por plataformas EDR robustas está crescendo, impulsionada pelo aumento de ataques de ransomware e crimes cibernéticos patrocinados por estados-nação. Para os CISOs brasileiros, a escolha de uma solução EDR adequada é crucial para garantir a segurança dos dados e a continuidade dos negócios.

Com o aumento das ameaças cibernéticas e a complexidade dos ataques, as empresas estão cada vez mais buscando soluções de Managed Detection and Response (MDR). Essas empresas oferecem monitoramento contínuo e resposta a incidentes, atuando como centros de operações de segurança (SOC) completos. O artigo destaca as 10 melhores empresas de MDR para 2025, considerando fatores como a escassez de talentos em cibersegurança, a fadiga de alertas e a necessidade de uma resposta rápida a ameaças sofisticadas. Entre as empresas mencionadas, estão a SentinelOne, Arctic Wolf e CrowdStrike, cada uma com suas características únicas, como velocidade de resposta, personalização do serviço e integração com ferramentas de terceiros. A demanda por serviços de MDR está em alta, pois muitas organizações não conseguem manter equipes de segurança internas adequadas. O artigo também discute a importância de uma abordagem proativa na detecção de ameaças, que é essencial para proteger ativos digitais em um cenário de ameaças em constante evolução.

Pesquisadores de cibersegurança descobriram um módulo Go malicioso que se apresenta como uma ferramenta de brute-force para SSH, mas na verdade exfiltra credenciais para um bot do Telegram controlado pelo criador do malware. Nomeado ‘golang-random-ip-ssh-bruteforce’, o pacote foi publicado em 24 de junho de 2022 e está vinculado a uma conta do GitHub que foi removida, mas ainda está disponível em pkg.go.dev. O módulo escaneia endereços IPv4 aleatórios em busca de serviços SSH expostos na porta TCP 22, tentando logins com uma lista de nomes de usuário e senhas fracas. Após um login bem-sucedido, as credenciais são enviadas para um bot do Telegram. O malware desabilita a verificação de chave do host, permitindo conexões inseguras. A lista de senhas inclui combinações comuns como ‘root’, ‘admin’ e ‘12345678’. O código malicioso opera em um loop infinito, gerando endereços IPv4 e tentando logins simultâneos. O tráfego gerado parece normal, dificultando a detecção por controles de saída. Este incidente destaca a necessidade de vigilância e proteção contra ameaças emergentes na segurança da cadeia de suprimentos de software.

As ferramentas de monitoramento de rede são essenciais para a infraestrutura de TI moderna, garantindo a operação confiável dos ativos digitais de uma organização. Elas monitoram o desempenho, a disponibilidade e a saúde de dispositivos de rede, como roteadores, switches e servidores. Com a crescente adoção de ambientes híbridos e trabalho remoto, a demanda por soluções de monitoramento sofisticadas aumentou. As melhores ferramentas de 2025 não se limitam a verificações simples de disponibilidade; elas utilizam recursos avançados, como análises impulsionadas por IA e inspeção profunda de pacotes, para oferecer uma visão abrangente da saúde da rede. O artigo destaca ferramentas como Datadog, SolarWinds e Zabbix, que se destacam por suas funcionalidades, escalabilidade e facilidade de uso. A seleção das melhores ferramentas foi baseada em características abrangentes, desempenho, facilidade de uso, feedback de usuários e inovação. Com a complexidade crescente das redes, a escolha da ferramenta certa é crucial para que as equipes de TI possam identificar e resolver problemas proativamente, evitando interrupções críticas nos negócios.

Pesquisadores em cibersegurança alertam sobre campanhas que exploram vulnerabilidades conhecidas, expondo servidores Redis a atividades maliciosas, como botnets IoT e mineração de criptomoedas. A exploração da vulnerabilidade CVE-2024-36401, com uma pontuação CVSS de 9.8, permite que criminosos implantem kits de desenvolvimento de software (SDKs) legítimos ou aplicativos modificados para gerar renda passiva através do compartilhamento de rede. Os atacantes têm acessado instâncias do GeoServer expostas na internet desde março de 2025, utilizando um servidor de compartilhamento de arquivos privado para distribuir executáveis personalizados. Esses aplicativos consomem poucos recursos e monetizam a largura de banda dos usuários sem a necessidade de malware tradicional.

Recentemente, a China experimentou uma interrupção em sua conexão com a internet global, que durou 74 minutos, afetando especificamente o tráfego no TCP port 443, utilizado para HTTPS. O incidente ocorreu entre 00:34 e 01:48, horário de Pequim, quando a maioria dos cidadãos estava dormindo, levantando questões sobre se foi um erro ou uma ação intencional. Durante a interrupção, o Grande Firewall da China bloqueou o acesso a sites externos e interrompeu serviços de empresas como Apple e Tesla. Curiosamente, apenas o port 443 foi afetado, enquanto outros, como 22 (SSH) e 80 (HTTP), permaneceram operacionais. A análise sugere que o dispositivo responsável pela interrupção não correspondia aos equipamentos conhecidos do Grande Firewall, o que pode indicar um novo dispositivo de censura ou uma configuração incorreta. Além disso, não houve eventos políticos significativos que pudessem justificar a ação, tornando a situação ainda mais enigmática. Coincidentemente, horas antes, o Paquistão também enfrentou uma queda significativa no tráfego da internet, o que pode indicar uma possível conexão entre os dois eventos, dado o histórico de censura em ambos os países.

Um estudo da empresa de cibersegurança Guardio revela que navegadores de internet que utilizam inteligência artificial (IA) ainda não estão prontos para realizar tarefas sensíveis, como compras online e gerenciamento de e-mails, devido a vulnerabilidades que podem ser exploradas por golpistas. Tecnologias como Comet, do Perplexity, Copilot, do Microsoft Edge, e Aura, da OpenAI, foram testadas e mostraram-se suscetíveis a ataques de phishing e engenharia social. Em um dos testes, a IA Comet completou uma compra em um site falso sem solicitar confirmação do usuário, expondo dados sensíveis como informações de cartão de crédito. Outro teste demonstrou que a IA foi enganada por um e-mail de phishing que parecia legítimo, resultando no fornecimento de credenciais do usuário. A Guardio alerta que esses testes preliminares indicam que há mais problemas em potencial, sugerindo que os usuários evitem delegar tarefas críticas à IA e adotem medidas de segurança, como a autenticação de dois fatores. O estudo destaca a necessidade de cautela ao usar navegadores com IA para evitar o roubo de dados e outras fraudes.

Recentemente, o estúdio de design Nissan Creative Box, parte da rede global de design da montadora japonesa Nissan, foi alvo de um ataque de ransomware que resultou no roubo de mais de 4TB de dados sensíveis. O grupo de hackers Qilin, que se destacou por sua atividade em 2025, afirmou ter copiado mais de 400 mil arquivos, incluindo dados de design 3D, relatórios, fotos e vídeos relacionados a automóveis da Nissan. Os especialistas alertam que a divulgação desses dados pode prejudicar a competitividade da empresa, comparando o roubo a ‘furtar uma invenção de um inventor’. O grupo ameaçou liberar os dados se a Nissan não responder, o que poderia permitir que concorrentes tivessem acesso a informações detalhadas sobre projetos da empresa. Este incidente destaca a crescente ameaça de ransomware, com o Qilin tendo atacado quase 500 organizações no último ano, sendo 401 apenas em 2025. A situação levanta preocupações sobre a segurança de dados em um setor tão inovador e competitivo como o automotivo.

Uma nova análise revela que dezenas de milhares de servidores Redis em todo o mundo estão vulneráveis a uma campanha avançada de cryptojacking, orquestrada pelo grupo de ameaças TA-NATALSTATUS. Este ataque evoluiu para além da simples mineração de criptomoedas, visando a tomada de controle de infraestrutura de forma persistente e furtiva. A campanha explora instâncias Redis expostas para implantar malware sofisticado que oculta processos e ofusca comandos, mantendo persistência a longo prazo por meio de técnicas semelhantes a rootkits.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma vulnerabilidade crítica da Apple em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). A falha, identificada como CVE-2025-43300, afeta iOS, iPadOS e macOS, permitindo que atacantes executem código arbitrário ou provoquem falhas no sistema. Essa vulnerabilidade é classificada como uma escrita fora dos limites (CWE-787) dentro do framework Image I/O, que é responsável pelo processamento de dados de imagem nos sistemas da Apple. A exploração pode ocorrer através de arquivos de imagem maliciosos enviados por e-mail ou acessados em sites comprometidos. A CISA recomenda que as organizações apliquem as correções fornecidas pela Apple e monitorem atividades suspeitas relacionadas ao processamento de arquivos de imagem. A inclusão dessa vulnerabilidade no catálogo KEV indica que é uma preocupação de segurança de alta prioridade, exigindo atenção imediata das equipes de segurança em todos os setores.

Pesquisadores de segurança da GoDaddy revelaram uma operação sofisticada de um Sistema de Direcionamento de Tráfego (TDS) que utiliza sites WordPress comprometidos para distribuir fraudes de suporte técnico desde 2017. Nomeada Help TDS, essa operação infectou cerca de 10.000 sites WordPress globalmente por meio de um plugin malicioso disfarçado de uma extensão legítima do WooCommerce. A operação se especializa na criação de alertas de segurança falsos do Microsoft Windows, utilizando técnicas avançadas de manipulação de navegador para prender as vítimas em páginas de golpe. Esses alertas falsos empregam funções JavaScript em tela cheia para ocultar elementos de navegação e implementar mecanismos de prevenção de saída, criando a ilusão de avisos de segurança legítimos. O plugin malicioso, denominado ‘woocommerce_inputs’, evoluiu rapidamente, introduzindo funcionalidades de coleta de credenciais e filtragem avançada de tráfego. A versão mais recente, 2.0.0, apresenta um design orientado a objetos e capacidades de atualização autônoma, permitindo que os atacantes mantenham operações persistentes. A operação exemplifica a evolução dos serviços cibernéticos criminosos, que se tornam cada vez mais sofisticados e orientados a serviços, maximizando as taxas de conversão de vítimas por meio de técnicas comprovadas de engenharia social.

Uma nova campanha de ciberataques foi identificada pela empresa de cibersegurança Darktrace, onde hackers utilizaram a infraestrutura de Servidores Privados Virtuais (VPS) para comprometer contas de Software como Serviço (SaaS) em diversos ambientes de clientes. A investigação, realizada em maio de 2025, revelou que os atacantes se aproveitaram de provedores de VPS, como Hyonix e Host Universal, para contornar controles de segurança tradicionais e manter acesso persistente a contas de e-mail comprometidas.

O grupo de ciberespionagem MURKY PANDA, vinculado à China, tem intensificado suas atividades de ataque, focando em setores governamentais, tecnológicos, acadêmicos e de serviços profissionais na América do Norte desde o final de 2024. Este adversário sofisticado demonstrou habilidades avançadas em exploração de ambientes em nuvem e na rápida utilização de vulnerabilidades conhecidas e zero-day, como a CVE-2023-3519, que afeta sistemas Citrix NetScaler, e a CVE-2025-3928, recentemente divulgada.

MURKY PANDA utiliza técnicas de exploração avançadas e um arsenal de malware personalizado, incluindo o CloudedHope, um executável desenvolvido em Golang que visa sistemas Linux. O malware possui medidas anti-análise e foi ofuscado para evitar detecções. O grupo também se destaca por comprometer relacionamentos de confiança em ambientes de nuvem, explorando vulnerabilidades em provedores de Software como Serviço (SaaS) para acessar dados de clientes downstream.

A empresa de recrutamento de TI The Computer Merchant confirmou que notificou 34.127 pessoas sobre uma violação de dados ocorrida em julho de 2024, que comprometeu nomes e números de Seguro Social. O grupo de ransomware Play reivindicou a responsabilidade pelo ataque, alegando ter roubado dados confidenciais, incluindo documentos de clientes, orçamentos, folhas de pagamento e contratos. A empresa não confirmou se pagou o resgate exigido, nem como a violação ocorreu, e levou mais de um ano para notificar algumas das vítimas. Em resposta ao incidente, a The Computer Merchant está oferecendo monitoramento de crédito gratuito e uma apólice de seguro de até US$ 1 milhão. O grupo Play, ativo desde junho de 2022, utiliza um modelo de dupla extorsão, exigindo pagamento tanto para a recuperação de sistemas quanto para evitar a divulgação dos dados roubados. Em 2024, foram registrados 854 ataques de ransomware nos EUA, comprometendo mais de 276,5 milhões de registros, e o Play já reivindicou 20 ataques confirmados em 2025. Este incidente destaca a crescente ameaça de ransomware e a necessidade de medidas de segurança robustas para proteger dados sensíveis.

Em uma operação coordenada pela INTERPOL, 1.209 cibercriminosos foram presos em 18 países africanos, com foco em crimes cibernéticos como ransomware e fraudes online. A operação, chamada de Serengeti 2.0, resultou na recuperação de US$ 97,4 milhões e na desarticulação de 11.432 infraestruturas maliciosas. Entre os destaques, estão a desativação de 25 centros de mineração de criptomoedas em Angola, onde 60 cidadãos chineses estavam envolvidos, e a interrupção de uma operação de fraude de investimento online na Zâmbia, que enganou 65.000 vítimas, resultando em perdas de cerca de US$ 300 milhões. Além disso, uma rede de fraude de herança transnacional originada na Alemanha foi desmantelada. A operação ressalta a necessidade urgente de cooperação internacional no combate ao cibercrime, que não respeita fronteiras. A INTERPOL enfatizou que a colaboração entre países é essencial para aumentar a eficácia das ações contra esse tipo de crime.

Pesquisadores de cibersegurança alertam sobre atividades maliciosas do grupo de espionagem cibernética Murky Panda, vinculado à China, que utiliza relacionamentos de confiança na nuvem para invadir redes empresariais. O grupo é conhecido por explorar vulnerabilidades de dia zero e dia N, frequentemente obtendo acesso inicial por meio de dispositivos expostos à internet. Murky Panda, que já atacou servidores Microsoft Exchange em 2021, agora foca na cadeia de suprimentos de TI para acessar redes corporativas. Recentemente, o grupo comprometeu um fornecedor de uma entidade norte-americana, utilizando o acesso administrativo para criar uma conta de backdoor no Entra ID da vítima, visando principalmente o acesso a e-mails. Outro ator relacionado, Genesis Panda, tem explorado sistemas de nuvem para exfiltração de dados, enquanto Glacial Panda ataca o setor de telecomunicações, visando registros de chamadas e dados de comunicação. A crescente sofisticação desses grupos destaca a necessidade de vigilância contínua e medidas de segurança robustas para proteger ambientes de nuvem.

Pesquisadores em cibersegurança identificaram uma nova cadeia de ataque que utiliza e-mails de phishing para entregar um backdoor de código aberto chamado VShell. O ataque começa com um e-mail contendo um arquivo RAR malicioso, que inclui um nome de arquivo projetado para executar comandos no shell. O nome do arquivo contém código compatível com Bash, que é ativado quando o shell tenta interpretar o nome do arquivo. Essa técnica de injeção de comandos se aproveita de uma falha comum em scripts shell, permitindo que o malware seja executado sem ser detectado por antivírus, já que esses geralmente não escaneiam nomes de arquivos. Após a execução, o malware se comunica com um servidor de comando e controle para baixar um binário ELF, que então executa o VShell, um poderoso malware de acesso remoto. O ataque é disfarçado como um convite para uma pesquisa de produtos de beleza, atraindo vítimas com uma recompensa monetária. A análise destaca a evolução perigosa na entrega de malware Linux, onde um simples nome de arquivo pode ser usado para executar comandos arbitrários, representando uma ameaça significativa para dispositivos Linux em geral.

A Colt Technology Services, uma empresa de telecomunicações do Reino Unido, confirmou que dados sensíveis de seus clientes foram roubados em um recente ataque cibernético. O grupo de ransomware conhecido como Warlock reivindicou a responsabilidade pelo ataque e está leiloando um banco de dados com um milhão de arquivos na dark web por US$ 200.000. A empresa enfrentou interrupções em seus serviços, levando à necessidade de desativar partes de sua infraestrutura. A Colt está atualmente investigando a natureza exata dos dados comprometidos, que, segundo o Warlock, incluem informações financeiras, dados de arquitetura de rede e informações de clientes. A situação representa um risco significativo para os clientes, pois esses dados podem ser utilizados para fraudes, phishing e roubo de identidade. A Colt disponibilizou um canal para que os clientes solicitem uma lista dos arquivos expostos na dark web. Especialistas acreditam que o ataque pode ter sido direcionado a servidores SharePoint da empresa, que têm se mostrado alvos atraentes para hackers. Após o ataque, a Colt implementou medidas de segurança adicionais, como firewalls, para proteger seus servidores.

Pesquisadores de segurança identificaram que 12 aplicativos de VPN gratuitos disponíveis nas lojas Google Play e Apple App Store possuem impressões digitais de redes russas, enquanto seis têm traços chineses. Entre esses, cinco VPNs estão associadas a uma empresa baseada em Xangai, supostamente ligada ao exército chinês. Embora essas impressões não confirmem necessariamente a propriedade russa ou chinesa, especialistas recomendam cautela em relação à privacidade dos dados. Os aplicativos afetados incluem Turbo VPN e VPN Proxy Master, que utilizam kits de desenvolvimento de software (SDKs) de origem russa ou chinesa, indicando uma possível intenção de controle. A análise revela que a maioria dos aplicativos que se comunicam com domínios russos não está listada na App Store da Apple, sugerindo uma abordagem mais rigorosa da empresa em relação a VPNs ligadas à Rússia. O uso de VPNs não verificadas pode expor os usuários a riscos de privacidade, como rastreamento invasivo e vigilância estrangeira. Para uma navegação segura, recomenda-se considerar VPNs confiáveis como Privado VPN, Proton VPN e Windscribe VPN.

Recentemente, a Microsoft Threat Intelligence relatou um aumento significativo em ataques de engenharia social conhecidos como ClickFix, que visam usuários de Windows e Mac em todo o mundo. Esses ataques exploram a tendência dos usuários de resolver problemas técnicos menores, enganando-os para que executem comandos maliciosos disfarçados de etapas legítimas de solução de problemas. O ciclo típico de um ataque ClickFix começa com e-mails de phishing ou anúncios maliciosos que redirecionam os usuários para páginas de captura que imitam serviços confiáveis, como Google reCAPTCHA.

Uma campanha de espionagem cibernética sofisticada, atribuída ao grupo UAC-0057, vinculado ao governo da Bielorrússia, tem como alvo organizações na Ucrânia e na Polônia desde abril de 2025. Os atacantes utilizam arquivos comprimidos armados que contêm convites em PDF que parecem legítimos e planilhas Excel maliciosas. Os documentos de disfarce são projetados para parecer autênticos, como um convite oficial para uma assembleia geral da União de Municípios Rurais da Polônia e um documento sobre serviços do Ministério da Transformação Digital da Ucrânia. Após a execução de macros ofuscadas em arquivos XLS, os atacantes conseguem instalar DLLs maliciosas que coletam informações do sistema. A infraestrutura de suporte do UAC-0057 demonstra técnicas de imitação sofisticadas, registrando domínios que se assemelham a sites legítimos. A persistente mira na Ucrânia e na Polônia reflete os interesses geopolíticos do grupo, alinhados com o governo bielorrusso.

Um grupo avançado de ameaças persistentes (APT) sul-asiático está realizando uma campanha de espionagem direcionada a indivíduos ligados a forças militares em países como Sri Lanka, Bangladesh, Paquistão e Turquia. A operação combina técnicas tradicionais de phishing com a implantação de malware móvel, comprometendo smartphones de pessoas próximas ao setor militar e extraindo comunicações sensíveis, listas de contatos e documentos operacionais. Os atacantes utilizaram documentos PDF com temas militares como vetores de acesso inicial, redirecionando as vítimas para uma infraestrutura sofisticada de domínios de phishing. Mais de 40 domínios falsos foram identificados, imitando organizações de defesa da região. O componente móvel da APT é centrado em uma versão modificada do Rafel RAT, disfarçada como aplicativos legítimos, que solicita permissões extensivas para comprometer completamente os dispositivos. A análise dos dados comprometidos revelou uma coleta de inteligência significativa, incluindo mensagens SMS e documentos operacionais, com a maioria das vítimas localizadas no Sul da Ásia, especialmente em Bangladesh e Paquistão. A persistência e sofisticação da campanha indicam que se trata de um ator estatal ou próximo a um estado, realizando operações estratégicas de coleta de inteligência no setor de defesa sul-asiático.

Uma vulnerabilidade crítica na arquitetura de Conexão de API do Microsoft Azure permitiu a completa exploração de recursos em múltiplos tenants na nuvem. A falha, descoberta por um pesquisador, foi corrigida pela Microsoft em uma semana após sua divulgação. O problema estava relacionado à infraestrutura compartilhada do Azure, que processa trocas de tokens de autenticação entre aplicações e serviços de backend. A vulnerabilidade permitia que atacantes acessassem serviços conectados, como Azure Key Vaults e bancos de dados, em diferentes tenants. O exploit utilizou um endpoint não documentado chamado DynamicInvoke, que permitia chamadas arbitrárias em Conexões de API, possibilitando acesso administrativo a serviços conectados globalmente. A falha foi classificada como uma séria ameaça, especialmente para organizações que armazenam credenciais sensíveis no Azure Key Vault. A descoberta ressalta os riscos de segurança em arquiteturas de nuvem compartilhadas, onde sistemas multi-tenant podem criar vetores de ataque inesperados.

Um novo ataque cibernético sofisticado foi descoberto, visando profissionais de segurança através de um pacote Go malicioso chamado golang-random-ip-ssh-bruteforce. Este pacote, que se disfarça como uma ferramenta legítima de teste de força bruta SSH, exfiltra secretamente credenciais de login bem-sucedidas para um ator de ameaça de língua russa via Telegram. O funcionamento do pacote envolve um loop infinito que gera endereços IPv4 aleatórios e verifica o acesso ao serviço SSH na porta TCP 22. Ao encontrar um servidor SSH acessível, ele tenta autenticações usando uma lista de senhas padrão, desabilitando a verificação de chaves de host, o que permite conexões inseguras. As credenciais roubadas são enviadas para um bot do Telegram, transformando os usuários em coletadores involuntários de dados para operações cibernéticas criminosas. O pacote foi publicado em junho de 2022 por um usuário do GitHub identificado como IllDieAnyway, que é avaliado como um ator de ameaça de língua russa. A recomendação é tratar todas as ferramentas ofensivas de fontes não confiáveis como hostis e implementar controles rigorosos para APIs de mensagens.

O Aspire Rural Health System, localizado em Michigan, está notificando 138.386 pessoas sobre uma violação de dados resultante de um ataque cibernético que começou em novembro de 2024 e foi descoberto em janeiro de 2025. O grupo de ransomware BianLian reivindicou a responsabilidade pelo ataque, que comprometeu informações sensíveis, incluindo nomes, datas de nascimento, números de Seguro Social, informações financeiras, dados médicos e muito mais. A violação foi detectada após uma interrupção técnica em 6 de janeiro de 2025, e as investigações continuaram até julho de 2025. Os indivíduos afetados estão sendo oferecidos serviços gratuitos de monitoramento de crédito, especialmente aqueles cujos números de Seguro Social foram comprometidos. Este incidente destaca a crescente ameaça de ataques de ransomware no setor de saúde, que já sofreu 171 ataques em 2024, afetando cerca de 28,4 milhões de registros. O grupo BianLian, ativo desde 2021, já foi responsável por 88 ataques, com um foco significativo em empresas de saúde, o que levanta preocupações sobre a segurança de dados nesse setor crítico.

Davis Lu, um cidadão chinês de 55 anos, foi condenado a quatro anos de prisão por sabotagem em sua antiga empresa, onde atuava como desenvolvedor de software. Lu introduziu malware personalizado que causou falhas nos sistemas e implementou um ‘kill switch’ que bloqueava o acesso de outros funcionários quando sua conta era desativada. O ataque ocorreu após uma reestruturação em 2018 que reduziu suas responsabilidades e acesso ao sistema. Lu criou loops infinitos em código Java, resultando em quedas de servidores e impediu logins de usuários. Além disso, ele deletou perfis de colegas e tentou apagar dados críticos no dia em que foi instruído a devolver seu laptop. As ações de Lu resultaram em perdas estimadas em centenas de milhares de dólares para a empresa. O caso destaca a importância de identificar ameaças internas precocemente, conforme ressaltado pelo FBI.

O hacker ético Marek Tóth revelou vulnerabilidades críticas em gerenciadores de senha populares, como Dashlane, Nordpass e 1Password, durante a conferência DEF CON 33. As falhas, relacionadas ao clickjacking, permitem que elementos invisíveis sejam sobrepostos na tela, levando os usuários a fornecerem dados sensíveis, como números de cartões de crédito e credenciais de acesso. Tóth testou 11 gerenciadores de senha e encontrou que a maioria não implementou proteções adequadas contra essas técnicas de invasão. Apesar de algumas empresas terem atualizado suas extensões para corrigir as falhas, versões anteriores ainda podem estar vulneráveis. O hacker alertou as empresas sobre as vulnerabilidades meses antes de sua divulgação pública, mas algumas, como 1Password e LastPass, minimizaram a gravidade do problema. Tóth recomenda que os usuários desativem o preenchimento manual de senhas e mantenham suas extensões atualizadas para evitar ataques. Estima-se que até 40 milhões de pessoas possam ter sido afetadas por essas vulnerabilidades.

Um novo tipo de fraude conhecido como “ghost tapping” está se espalhando rapidamente, especialmente no Sudeste Asiático, desde 2020. Essa prática envolve o uso de dados de cartões de pagamento roubados, frequentemente obtidos por meio de phishing e engenharia social, que são carregados em celulares descartáveis, conhecidos como “burner phones”. Os criminosos conseguem contornar a segurança interceptando senhas de uso único enviadas às vítimas e, em seguida, utilizam esses dados para realizar compras em lojas ou retirar dinheiro de caixas eletrônicos. As mercadorias adquiridas, como joias e eletrônicos, são rapidamente revendidas em canais clandestinos, como o Telegram. Apesar das ações policiais, as redes de fraude se adaptaram, migrando para plataformas alternativas que continuam a facilitar essas transações fraudulentas. A falta de verificações rigorosas de identidade em muitos estabelecimentos torna a detecção de fraudes no ponto de venda extremamente difícil. Em Cingapura, por exemplo, a polícia registrou centenas de incidentes relacionados a dados de cartões de pagamento, resultando em perdas significativas. A situação exige que bancos, varejistas e provedores de pagamento adotem medidas mais robustas de segurança e autenticação para proteger os consumidores e mitigar os riscos associados a essa nova onda de fraudes.

Os ataques de phishing utilizando QR codes, conhecidos como ‘quishing’, estão se tornando cada vez mais sofisticados, com hackers empregando técnicas avançadas para contornar medidas de segurança tradicionais. Pesquisadores de segurança identificaram dois métodos inovadores: os QR codes divididos e os QR codes aninhados. No primeiro método, os códigos maliciosos são fragmentados em duas imagens distintas, dificultando a detecção por scanners de segurança que reconhecem apenas imagens isoladas. Um exemplo recente envolve um golpe de redefinição de senha da Microsoft, onde os atacantes usaram mensagens personalizadas para enganar as vítimas. O segundo método, os QR codes aninhados, apresenta um código malicioso dentro de um código legítimo, criando ambiguidade na detecção. Isso pode confundir tanto os sistemas de segurança quanto os usuários, pois um código aponta para um URL malicioso enquanto o outro leva a um site legítimo. Diante da evolução dessas táticas, é crucial que as organizações adotem estratégias de defesa em múltiplas camadas, incluindo treinamento de conscientização em segurança e autenticação multifatorial. A implementação de sistemas de IA multimodal também é recomendada para melhorar a detecção de phishing baseado em imagens, especialmente aqueles que utilizam QR codes.

Cibercriminosos estão explorando uma vulnerabilidade crítica em bancos de dados GeoServer para sequestrar máquinas de vítimas e monetizar sua largura de banda. Desde março de 2025, essa operação sofisticada utiliza a vulnerabilidade CVE-2024-36401, que permite a execução remota de código, com um CVSS de 9.8, destacando sua gravidade. Os atacantes injetam comandos através de consultas JXPath, permitindo a execução de código arbitrário. A análise revelou mais de 7.000 instâncias de GeoServer expostas publicamente em 99 países, com a maioria localizada na China. O objetivo principal da campanha é implantar kits de desenvolvimento de software (SDKs) legítimos e aplicativos modificados que compartilham os recursos de rede das vítimas por meio de proxies residenciais, gerando renda passiva. A operação é realizada em três fases, com os atacantes mudando rapidamente de infraestrutura após serem detectados. Para mitigar esses riscos, as organizações devem corrigir imediatamente as instâncias do GeoServer e implementar monitoramento de rede para conexões suspeitas.

Recentemente, a Mandiant, empresa de cibersegurança pertencente ao Google, revelou que um grupo de ameaças, identificado como UNC5518, está utilizando uma técnica de engenharia social chamada ClickFix para implantar um backdoor versátil conhecido como CORNFLAKE.V3. O ataque começa quando usuários são atraídos para páginas falsas de verificação CAPTCHA, onde são induzidos a executar um script PowerShell malicioso. Este script permite que os atacantes acessem os sistemas das vítimas e implantem cargas adicionais. O CORNFLAKE.V3, que é uma versão atualizada de um backdoor anterior, suporta a execução de diversos tipos de payloads e coleta informações do sistema, transmitindo-as para servidores externos através de túneis do Cloudflare, dificultando a detecção. Além disso, a Mandiant também destacou uma campanha em andamento que utiliza drives USB infectados para implantar mineradores de criptomoedas, demonstrando a eficácia contínua desse vetor de ataque. Para mitigar esses riscos, recomenda-se que as organizações desativem o diálogo de execução do Windows e realizem simulações regulares de engenharia social.

A Commvault lançou atualizações para corrigir quatro vulnerabilidades de segurança que poderiam ser exploradas para execução remota de código em instâncias vulneráveis. As falhas, identificadas nas versões anteriores à 11.36.60, incluem: CVE-2025-57788, que permite a atacantes não autenticados executar chamadas de API sem credenciais; CVE-2025-57789, que permite o uso de credenciais padrão para obter controle administrativo; CVE-2025-57790, uma vulnerabilidade de travessia de caminho que possibilita acesso não autorizado ao sistema de arquivos; e CVE-2025-57791, que permite a injeção de argumentos de linha de comando devido à validação insuficiente de entradas. Pesquisadores da watchTowr Labs descobriram e relataram essas falhas em abril de 2025. As vulnerabilidades foram resolvidas nas versões 11.32.102 e 11.36.60, e a solução SaaS da Commvault não foi afetada. O artigo destaca que as falhas podem ser combinadas em cadeias de exploração para execução de código, especialmente se a senha do administrador não tiver sido alterada desde a instalação. Essa divulgação ocorre após a identificação de uma falha crítica anterior na Commvault, que foi adicionada ao catálogo de vulnerabilidades exploradas ativamente pela CISA.

Em um incidente de segurança significativo, o Google confirmou que o grupo hacker ShinyHunters acessou uma base de dados corporativa da empresa, especificamente uma instância da Salesforce, expondo informações de 2,5 bilhões de usuários. Os dados acessados incluem nomes, informações de contato e descrições de pequenos e médios negócios. Embora senhas e dados sensíveis não tenham sido comprometidos, a invasão aumenta a vulnerabilidade dos usuários a ataques de phishing. O Google agiu rapidamente para mitigar os danos e analisou o impacto do ataque. Os usuários estão sendo alertados sobre tentativas de phishing, onde golpistas se passam por funcionários da empresa para roubar informações. Para se proteger, o Google recomenda a ativação da Verificação de Segurança e do Programa de Proteção Avançada, além do uso de métodos de autenticação mais seguros, como chaves de acesso. Este incidente destaca a importância da segurança cibernética e a necessidade de vigilância constante por parte dos usuários e das empresas.

Uma hacker ética, conhecida como Bobdahacker, descobriu várias falhas críticas nos sistemas do McDonald’s, incluindo o aplicativo de delivery e sites de parceiros. A primeira vulnerabilidade identificada permitia que usuários fizessem pedidos de comida gratuitamente, pois as checagens de segurança eram realizadas apenas no lado do cliente, sem validações no servidor. Além disso, a empresa não possuía um arquivo security.txt, dificultando a comunicação sobre vulnerabilidades. Outras falhas incluíam a possibilidade de criar contas no site de marketing da empresa sem ser funcionário, senhas em texto claro e chaves de API expostas. Apesar de algumas correções terem sido feitas, a segurança do site ainda é considerada insuficiente. A hacker também encontrou problemas em um chatbot de IA usado para contratações, que tinha uma senha extremamente fraca. A falta de um canal claro para reportar vulnerabilidades e a resposta lenta da empresa levantam preocupações sobre a segurança dos dados e a possibilidade de ataques de phishing.

A Apple lançou um patch de segurança para corrigir uma falha de zero-day identificada como CVE-2025-43300, que afeta dispositivos com iOS e iPadOS. Essa vulnerabilidade, que permite a execução remota de código, foi explorada em ataques sofisticados direcionados a indivíduos específicos. O problema reside em um erro de escrita fora dos limites no framework ImageIO, que gerencia arquivos de imagem. A falha possibilita que imagens maliciosas enviadas por e-mail ou mensagens causem corrupção de memória, levando a possíveis crashes ou execução de malware. A Apple implementou melhorias nos checagens de limites nas versões iOS 18.6.2 e iPadOS 18.6.2, entre outras atualizações. É importante que os usuários atualizem seus dispositivos imediatamente, pois há evidências de que a vulnerabilidade está sendo explorada ativamente. A falha afeta uma ampla gama de dispositivos, incluindo iPhones a partir do modelo XS e diversos modelos de iPads. Este é o sexto zero-day corrigido pela Apple em 2025, destacando a necessidade de vigilância constante em relação à segurança dos dispositivos.

A Microsoft decidiu restringir o acesso de algumas empresas chinesas ao seu sistema de alerta antecipado sobre vulnerabilidades cibernéticas, conhecido como MAPP (Microsoft Active Protections Program). Essa decisão foi tomada após uma série de ataques que exploraram falhas na plataforma SharePoint da empresa, afetando até 400 organizações. Suspeitas de envolvimento do governo chinês nos ataques levaram a Microsoft a acreditar que houve um vazamento de informações dentro do programa MAPP, que é utilizado para alertar empresas de segurança sobre ameaças e permitir que elas se preparem para possíveis ataques. As vulnerabilidades já foram corrigidas, mas foram utilizadas anteriormente para implantar ransomware, permitindo que atacantes extraíssem chaves criptográficas de servidores da Microsoft. A empresa confirmou que não enviará mais códigos de prova de conceito para empresas chinesas, uma medida que visa evitar que informações sobre as defesas dos sistemas sejam usadas por atacantes. A Microsoft continua a revisar os participantes do MAPP e pode suspender ou remover aqueles que violarem os termos do contrato, que proíbe a participação em ataques ofensivos.

O FBI emitiu um alerta sobre hackers russos, associados ao Centro 16 do FSB, que estão explorando uma vulnerabilidade antiga da Cisco, identificada como CVE-2018-0171. Essa falha, que afeta o protocolo SNMP e o recurso Smart Install do software Cisco IOS, permite que adversários não autenticados realizem ações maliciosas, como a execução de código arbitrário ou a negação de serviço (DoS). A vulnerabilidade impacta uma variedade de dispositivos, incluindo switches da série Catalyst, muitos dos quais já atingiram o fim de vida e não receberam patches. O FBI relatou que esses hackers conseguiram coletar arquivos de configuração de milhares de dispositivos de rede em entidades dos EUA, especialmente no setor de infraestrutura crítica, e modificaram configurações para obter acesso não autorizado. A agência recomenda que as organizações atualizem seus sistemas e considerem a substituição de dispositivos obsoletos para mitigar os riscos associados a essa vulnerabilidade.

Pesquisas recentes da Proofpoint revelam que criminosos cibernéticos estão explorando construtores de sites impulsionados por inteligência artificial, como o Lovable, para criar campanhas de phishing e redes de distribuição de malware. O Lovable permite que usuários gerem sites a partir de descrições em linguagem natural, o que facilitou a criação de sites de phishing profissionais em questão de minutos. Em fevereiro de 2025, uma operação de phishing afetou mais de 5.000 organizações, utilizando e-mails maliciosos que redirecionavam vítimas para páginas falsas de autenticação da Microsoft. Além disso, campanhas de fraude financeira e ataques focados em criptomoedas também foram documentados, com criminosos criando réplicas convincentes de plataformas de finanças descentralizadas. Após a divulgação das vulnerabilidades, o Lovable implementou sistemas de detecção em tempo real e planos para aumentar a segurança, mas a pesquisa destaca a crescente preocupação com o abuso de ferramentas de IA no cibercrime. Organizações devem considerar políticas de lista de permissões para plataformas de IA frequentemente abusadas, enquanto os fornecedores de segurança monitoram esses vetores de ameaça emergentes.

Pesquisadores de cibersegurança da Resecurity revelaram uma técnica de ataque sofisticada que explora configurações padrão de redes Windows, permitindo a compromissão total de domínios. O ataque MITM6 + NTLM Relay combina a auto-configuração IPv6 maliciosa com técnicas de retransmissão de credenciais, escalando privilégios e comprometendo ambientes do Active Directory. O método não depende de vulnerabilidades zero-day ou malware, mas sim de configurações frequentemente negligenciadas pelos administradores. Ao se conectar a redes, máquinas Windows enviam automaticamente solicitações DHCPv6, que podem ser respondidas por atacantes usando a ferramenta mitm6, redirecionando as máquinas vítimas para servidores DNS maliciosos. Uma vez que o tráfego DNS é comprometido, os atacantes podem interceptar solicitações WPAD e capturar credenciais de autenticação. A gravidade do ataque aumenta com a configuração padrão do Active Directory, que permite que qualquer usuário autenticado adicione até 10 contas de máquina ao domínio. Medidas de mitigação recomendadas incluem desativar o IPv6 quando não utilizado, implementar DHCPv6 Guard e reforçar a assinatura SMB e LDAP. A pesquisa destaca a importância de endurecer configurações padrão e minimizar suposições de confiança em ambientes de rede.

A Mozilla lançou a versão 142 do Firefox, que corrige nove vulnerabilidades de segurança, incluindo falhas de alta gravidade que podem permitir a execução remota de código. O aviso de segurança, divulgado em 19 de agosto de 2025, destaca problemas que vão desde corrupção de memória até bypass de políticas de mesma origem, que podem comprometer dados do usuário e a segurança do sistema.

A vulnerabilidade mais crítica, identificada como CVE-2025-9179, envolve uma falha de escape de sandbox no componente Audio/Video GMP (Gecko Media Plugin), permitindo que atacantes realizem corrupção de memória em um processo que lida com conteúdo de mídia criptografada. Outra falha significativa, CVE-2025-9180, permite o bypass da política de mesma origem no componente Graphics Canvas2D, o que pode facilitar ataques cross-site e acesso não autorizado a dados.

A distribuição Linux Kali, voltada para cibersegurança, anunciou uma mudança significativa em sua infraestrutura de criação de imagens de máquinas virtuais (VMs) Vagrant. A partir de agora, o Kali deixará de usar o HashiCorp Packer e adotará o DebOS, visando simplificar o desenvolvimento e melhorar a consistência nas construções das VMs. Anteriormente, o Kali utilizava sistemas separados para VMs padrão e caixas Vagrant, o que complicava o pipeline de desenvolvimento. Com a nova abordagem, todos os tipos de VMs serão gerados de forma uniforme sob o DebOS, que já era utilizado para automação de VMs. Essa mudança também traz requisitos simplificados para as caixas Vagrant, como um nome de usuário fixo e chaves SSH padrão. Contudo, usuários do Windows que utilizam Hyper-V devem estar atentos, pois versões do Vagrant anteriores à 2.4.8 não funcionarão com as novas versões do Kali. A equipe do Kali também renomeou seu repositório Git para refletir essa nova arquitetura, mantendo suporte para scripts de construção do Packer para a comunidade. Essas alterações demonstram o compromisso do Kali em otimizar sua infraestrutura de desenvolvimento, embora exijam que os usuários atualizem suas ferramentas para evitar problemas de compatibilidade.

Um relatório do Tech Transparency Project revelou que mais de 20 das 100 principais VPNs gratuitas nas lojas de aplicativos dos EUA têm indícios de propriedade chinesa, sem divulgações claras sobre esses vínculos. Após a publicação do relatório, a Apple removeu alguns aplicativos suspeitos, mas muitos permanecem disponíveis. A Comparitech analisou 24 aplicativos de VPN, tanto para Android quanto para iOS, e encontrou que seis deles se comunicam com domínios chineses, enquanto oito se conectam a IPs russos. Esses sinais não confirmam a propriedade, mas levantam preocupações sobre a privacidade dos usuários, já que as leis da China e da Rússia podem forçar VPNs a monitorar dados. A análise também revelou que algumas VPNs utilizam SDKs chineses ou russos, o que pode indicar controle ou desenvolvimento por entidades desses países. A Comparitech recomenda que os usuários verifiquem a origem de suas VPNs, já que a falta de transparência pode ser um sinal de alerta. VPNs baseadas na China ou na Rússia não podem garantir serviços de ‘sem registros’, o que é essencial para a proteção da privacidade do usuário.

O Distrito Escolar do Condado de Muscogee, na Geórgia, notificou 34.056 pessoas sobre um vazamento de dados ocorrido em dezembro de 2024, que comprometeu nomes, números de Seguro Social e dados bancários de funcionários atuais e antigos. O grupo de ransomware SafePay reivindicou a responsabilidade pelo ataque em janeiro de 2025, alegando ter roubado 382 GB de dados da instituição. Embora a escola tenha começado a emitir notificações sobre o vazamento em fevereiro de 2025, não foi revelado se um resgate foi pago ou como a rede foi comprometida. SafePay, que utiliza um esquema de dupla extorsão, já atacou diversas instituições educacionais e é responsável por 35 ataques confirmados. Em 2024, foram registrados 83 ataques de ransomware em escolas dos EUA, comprometendo mais de 3 milhões de registros, com o ataque ao Distrito Escolar do Condado de Muscogee sendo o décimo maior em termos de dados comprometidos. A escola está oferecendo monitoramento de crédito gratuito e restauração de identidade para as vítimas afetadas.

Pesquisadores de cibersegurança revelaram detalhes sobre um novo carregador de malware chamado QuirkyLoader, utilizado em campanhas de spam por e-mail desde novembro de 2024. Este malware tem sido responsável pela entrega de diversos tipos de payloads, incluindo ladrões de informações e trojans de acesso remoto, como Agent Tesla e AsyncRAT. As campanhas envolvem o envio de e-mails maliciosos que contêm arquivos compactados com um DLL, um payload criptografado e um executável legítimo. A técnica de side-loading de DLL é utilizada para carregar o malware, injetando-o em processos legítimos como AddInProcess32.exe e InstallUtil.exe. Em julho de 2025, duas campanhas foram observadas, uma direcionada a funcionários da Nusoft Taiwan e outra aleatória no México. Além disso, novas táticas de phishing, como o uso de QR codes maliciosos, estão sendo empregadas para contornar medidas de segurança. Essas ameaças representam um risco significativo, especialmente para organizações que utilizam serviços de e-mail comuns, pois podem comprometer dados sensíveis e a segurança da informação.

O relatório Blue Report 2025 da Picus Security revela que 46% das tentativas de quebra de senhas foram bem-sucedidas em ambientes testados, quase o dobro do ano anterior. Essa estatística alarmante destaca a fragilidade das políticas de gerenciamento de senhas nas organizações, que ainda utilizam senhas fracas e algoritmos de hash desatualizados. O relatório enfatiza que a falta de medidas adequadas, como a autenticação multifator (MFA) e a validação regular das defesas de credenciais, contribui para a vulnerabilidade das contas válidas, que são o vetor de ataque mais explorado, com uma taxa de sucesso de 98%. Além disso, os ataques baseados em credenciais permitem que invasores se movam lateralmente na rede, comprometendo sistemas críticos sem serem detectados. Para mitigar esses riscos, as organizações devem adotar políticas de senhas mais rigorosas, implementar MFA e realizar simulações de ataques para identificar vulnerabilidades. O relatório serve como um alerta para a necessidade urgente de focar na segurança de identidade e na validação de credenciais.

No dia 19 de agosto de 2025, a Cybersecurity and Infrastructure Security Agency (CISA) divulgou quatro novos avisos sobre Sistemas de Controle Industrial (ICS), abordando vulnerabilidades em componentes de infraestrutura crítica de grandes fornecedores, como Siemens, Tigo Energy e EG4 Electronics. Os avisos destacam os desafios de segurança contínuos em ambientes de tecnologia operacional que suportam serviços essenciais em diversos setores da indústria.

Dentre os avisos, dois focam em produtos da Siemens, que são amplamente utilizados em infraestrutura crítica. O primeiro, ICSA-25-231-01, trata de vulnerabilidades na família de produtos Desigo CC e nos sistemas SENTRON Powermanager, comuns em instalações comerciais e hospitais. O segundo, ICSA-25-231-02, aborda o módulo SAML da Mendix, que lida com protocolos de autenticação, permitindo acesso não autorizado a sistemas críticos.

Noah Michael Urban, um jovem de 20 anos da Flórida, conhecido como “King Bob” nas comunidades de música online, foi condenado a 10 anos de prisão federal após se declarar culpado por conspiração, fraude eletrônica e roubo de identidade agravado. Além da pena de prisão, Urban foi condenado a pagar US$ 13 milhões em restituição a 59 vítimas de roubo de criptomoedas, ligadas à sua participação na organização criminosa “Scattered Spider”. Urban ganhou notoriedade por vazar músicas não lançadas de artistas renomados, utilizando táticas de cibercrime sofisticadas, como ataques de troca de SIM, que lhe permitiram acessar contas de executivos da indústria musical. Sua atuação não se limitou à pirataria musical; ele também foi um membro chave do Scattered Spider, que se especializa em ataques de engenharia social contra grandes corporações, incluindo ataques a cassinos em Las Vegas que resultaram em milhões de dólares em danos. A investigação federal que levou à sua prisão revelou que Urban e seus cúmplices roubaram pelo menos US$ 800 mil de cinco vítimas na Flórida, utilizando técnicas de troca de SIM para obter informações pessoais e contornar autenticações de dois fatores. O caso destaca a interseção entre pirataria na indústria do entretenimento e crimes cibernéticos graves, evidenciando como indivíduos podem transitar de atividades aparentemente inofensivas para empreendimentos criminosos internacionais.

No atual cenário de ameaças cibernéticas, o gerenciamento eficaz de patches é fundamental para a segurança da informação. Ferramentas de gerenciamento de patches são essenciais para que equipes de TI automatizem a distribuição, instalação e verificação de atualizações de software e patches de segurança em todos os pontos finais. Uma solução robusta não apenas corrige vulnerabilidades conhecidas, mas também ajuda a manter a conformidade e reduzir a superfície de ataque, protegendo as organizações contra uma variedade de ameaças cibernéticas, como ransomware e exploits de zero-day.

Um grupo de hackers vinculado ao FSB da Rússia, conhecido como Static Tundra, está explorando uma vulnerabilidade de sete anos na Cisco, especificamente a CVE-2018-0171, para comprometer infraestruturas críticas em setores como telecomunicações, educação superior e manufatura. Essa falha, que permite que atacantes remotos não autenticados reiniciem dispositivos ou executem códigos arbitrários, foi corrigida pela Cisco em 2018, mas muitos dispositivos ainda permanecem desatualizados. O Static Tundra utiliza ferramentas automatizadas para escanear dispositivos vulneráveis em várias regiões do mundo, incluindo América do Norte, Ásia, África e Europa. Após obter acesso inicial, o grupo implementa técnicas sofisticadas para manter uma presença de longo prazo, como a modificação de configurações de dispositivos e a utilização de implantes de firmware. A campanha tem se intensificado desde o início do conflito entre Rússia e Ucrânia, com organizações ucranianas sendo alvos frequentes. Especialistas alertam que é crucial que as organizações apliquem imediatamente os patches de segurança ou desativem a funcionalidade Smart Install em dispositivos que não podem ser atualizados.