Cibersegurança

O grupo de ransomware Akira adicionou a varejista canadense Ardene ao seu site de vazamento de dados, alegando ter roubado 58 GB de informações. Recentemente, Ardene notificou seus clientes sobre um “incidente cibernético” que afetou seus sistemas internos em janeiro, resultando em atrasos nas entregas. Embora a empresa tenha afirmado que não tem conhecimento de comprometimento de dados de clientes até o momento, Akira alega ter acessado informações financeiras, dados de clientes e funcionários, além de informações confidenciais. O grupo Akira, que surgiu em março de 2023, é considerado um dos mais ativos em 2025, com 769 ataques registrados, incluindo outros alvos como Zurflüh-Feller e Travelmarket A/S. No Canadá, dois ataques confirmados foram registrados em 2025, sendo o mais recente o de Ardene. A empresa, que opera mais de 300 lojas, está investigando o incidente e implementou medidas de segurança imediatas. O ataque destaca a crescente ameaça de ransomware no setor varejista canadense e a necessidade de vigilância constante contra tais incidentes.

A Coreia do Sul multou as marcas de moda de luxo Louis Vuitton, Christian Dior Couture e Tiffany em US$ 25 milhões por não implementarem medidas de segurança adequadas, resultando em acesso não autorizado e exposição de dados de mais de 5,5 milhões de clientes. As três marcas, parte do grupo LVMH, sofreram vazamentos de dados após hackers acessarem seu serviço de gerenciamento de clientes baseado em nuvem. O caso da Louis Vuitton envolveu um dispositivo de um funcionário infectado por malware, comprometendo dados de 3,6 milhões de clientes. A Dior foi alvo de um ataque de phishing, onde um funcionário foi enganado a conceder acesso ao sistema, expondo dados de 1,95 milhão de clientes. A Tiffany também enfrentou um ataque semelhante, mas com um impacto menor, afetando 4.600 clientes. A Comissão de Proteção de Informações Pessoais da Coreia do Sul (PIPC) destacou que as soluções SaaS não isentam as empresas de sua responsabilidade na gestão segura dos dados dos clientes. As multas foram de US$ 16,4 milhões para a Louis Vuitton, US$ 9,4 milhões para a Dior e US$ 1,85 milhão para a Tiffany.

A recente pesquisa revela que atores de ameaças estão explorando artefatos gerados pelo modelo de linguagem Claude, da Antropic, e anúncios do Google em campanhas ClickFix para distribuir malware infostealer a usuários de macOS. Observou-se pelo menos duas variantes dessa atividade maliciosa, com mais de 10.000 acessos a conteúdos que orientam os usuários a executar comandos perigosos no Terminal. Os artefatos, que podem incluir instruções e guias, não são verificados quanto à precisão, o que aumenta o risco. As campanhas maliciosas direcionam os usuários a executar comandos que baixam um loader de malware, o MacSync, que exfiltra informações sensíveis do sistema. O malware se comunica com a infraestrutura de comando e controle (C2) utilizando um token codificado e um key API, disfarçando-se como atividade normal do macOS. A pesquisa indica que a mesma ameaça pode estar por trás de outras campanhas semelhantes, ampliando a preocupação sobre o uso indevido de modelos de linguagem. Especialistas recomendam que os usuários evitem executar comandos desconhecidos e verifiquem a segurança das instruções antes de qualquer execução.

Um relatório do Google Threat Intelligence Group (GTIG) revela que diversos grupos patrocinados por estados, entidades hacktivistas e organizações criminosas de países como China, Irã, Coreia do Norte e Rússia estão focando suas atividades no setor de defesa industrial (DIB). As táticas observadas incluem a exploração de processos de contratação, ataques a dispositivos de ponta e riscos na cadeia de suprimentos. Os grupos têm demonstrado interesse crescente em veículos autônomos e drones, que são cada vez mais utilizados em conflitos modernos, como a guerra na Ucrânia. Entre os atores notáveis estão o APT44, que tentou extrair informações de aplicativos de mensagens criptografadas, e o UNC5125, que realizou campanhas direcionadas a operadores de drones na Ucrânia. O relatório destaca que o setor de defesa está sob um cerco constante, com intrusões frequentes e ameaças de extorsão, o que exige atenção redobrada dos profissionais de segurança cibernética.

Um novo ator de ameaças, ainda não documentado, foi identificado em ataques direcionados a organizações ucranianas, utilizando um malware chamado CANFAIL. O Google Threat Intelligence Group (GTIG) sugere que esse grupo pode estar associado a serviços de inteligência russos e tem como alvos principais instituições de defesa, governo e energia na Ucrânia. Recentemente, o grupo ampliou seu foco para incluir organizações de aeroespacial, manufatura militar, e até mesmo empresas de pesquisa nuclear e química.

Uma nova campanha de ransomware, identificada pelos especialistas da Forcepoint X-Labs, está causando preocupação global ao sequestrar computadores sem a necessidade de conexão com a internet. O ataque utiliza táticas de phishing, enviando e-mails com anexos que parecem legítimos, mas que na verdade são atalhos do Windows. Quando o usuário clica no arquivo, comandos maliciosos são executados em segundo plano, permitindo que o malware se infiltre no sistema. O ransomware, associado ao grupo Global Group, gera uma chave de criptografia local, bloqueando arquivos e dificultando a recuperação dos dados. O ataque é descrito como ‘silencioso’, pois não requer comunicação com servidores externos, o que aumenta a complexidade da detecção e mitigação. Além disso, um temporizador embutido no malware apaga os arquivos originais após três segundos, tornando a recuperação ainda mais desafiadora. Essa nova abordagem representa uma evolução nas técnicas de ciberataque, exigindo atenção redobrada de usuários e profissionais de segurança da informação.

Um novo relatório da Picus Security, intitulado The Red Report 2026, revela que malwares estão adotando técnicas sofisticadas para se infiltrar em sistemas e evitar detecções. A pesquisa analisou mais de 1,1 milhão de arquivos maliciosos e 15,5 milhões de ações hackers em 2025, destacando uma mudança de foco dos ransomwares para a extração silenciosa de dados. Os hackers estão utilizando serviços confiáveis, como OpenAI e AWS, para ocultar suas atividades, e em 25% dos ataques, senhas roubadas de navegadores são usadas para se passar por usuários legítimos. O cofundador da Picus, Süleyman Özarslan, descreve essa abordagem como a de um ‘parasita digital’, onde a permanência no sistema da vítima é mais lucrativa do que a destruição. Além disso, malwares como o LummaC2 estão utilizando trigonometria para detectar a movimentação do mouse, evitando ataques quando o usuário está em ambientes de segurança. O relatório também aponta que os malwares agora possuem em média 14 capacidades maliciosas e 12 técnicas anti-antivírus, exigindo que as empresas de segurança aprimorem suas defesas.

A plataforma brasileira Repediu, que atua no setor de delivery de alimentos, sofreu um vazamento significativo de dados, com informações de mais de 21,4 milhões de clientes expostas na dark web. Os hackers divulgaram amostras dos dados em fóruns clandestinos, revelando que informações sensíveis, como nomes completos, e-mails, números de telefone e histórico de compras, foram comprometidas. Além disso, 1,2 milhão de leads e dados de mais de 2.600 funcionários também foram afetados. O vazamento inclui arquivos com informações detalhadas que podem facilitar ataques de phishing, tornando as comunicações fraudulentas mais convincentes. O risco é elevado, pois os cibercriminosos podem usar esses dados para realizar ataques direcionados, como spear-phishing, que visam funcionários da empresa. Esse incidente destaca a vulnerabilidade das plataformas digitais e a necessidade de medidas de segurança robustas para proteger dados sensíveis dos usuários.

Grupos de cibercriminosos estão explorando ferramentas do Gemini para realizar ciberataques sofisticados, conforme revela uma análise do Google. Os hackers, que operam com apoio de governos como os da China, Irã, Coreia do Norte e Rússia, utilizam o Gemini para criar iscas de phishing, traduzir textos, programar e testar vulnerabilidades. Um caso notável envolveu o sequestro do perfil de um especialista em cibersegurança, que foi usado para automatizar análises de vulnerabilidades e desenvolver estratégias de ataque. Além disso, hackers iranianos têm utilizado o Gemini para criar ferramentas maliciosas personalizadas rapidamente. A automação de ataques e a personalização de malware são preocupações crescentes, pois permitem que os criminosos ampliem o alcance de suas campanhas, como as que induzem vítimas a executar comandos maliciosos através de anúncios. Embora o Gemini em si não represente uma ameaça direta, a utilização de suas ferramentas por hackers evidencia a evolução das táticas de cibercrime e a necessidade de vigilância constante por parte de usuários e empresas.

A plataforma Criminal IP, que utiliza inteligência artificial para identificar ameaças cibernéticas, agora está integrada ao IBM QRadar SIEM e QRadar SOAR. Essa integração permite que equipes de segurança acessem informações externas sobre ameaças baseadas em IP diretamente nas operações de detecção, investigação e resposta do QRadar, facilitando a identificação de atividades maliciosas e a priorização de ações de resposta. Com a análise de logs de tráfego de firewall, os endereços IP são classificados em níveis de risco (alto, médio ou baixo), permitindo que as equipes de SOC monitorem o tráfego de forma mais eficaz. Além disso, a funcionalidade de investigação interativa permite que analistas acessem relatórios detalhados sobre IPs suspeitos sem sair do ambiente QRadar, acelerando a tomada de decisões. A integração também se estende ao QRadar SOAR, onde a inteligência do Criminal IP enriquece automaticamente os artefatos de resposta a incidentes. Essa abordagem melhora a precisão da detecção e reduz o tempo de investigação, destacando a importância da inteligência em tempo real em ambientes de SOC modernos.

Em dezembro de 2025, o npm implementou uma reforma significativa em seu sistema de autenticação após o incidente Sha1-Hulud, visando reduzir ataques à cadeia de suprimentos. A mudança mais notável foi a revogação de tokens clássicos, que eram longos e permanentes, substituídos por tokens de sessão de curta duração, geralmente válidos por duas horas. Além disso, o npm agora prioriza a autenticação multifator (MFA) para operações sensíveis, como a publicação de pacotes. Apesar dessas melhorias, o npm ainda enfrenta riscos, como ataques de phishing direcionados a credenciais MFA e a possibilidade de desenvolvedores criarem tokens de 90 dias com bypass de MFA. Isso significa que, se um invasor obtiver acesso ao console de um mantenedor, ele pode publicar pacotes maliciosos. Para mitigar esses riscos, o artigo sugere que o uso de OIDC (OpenID Connect) se torne padrão e que a MFA seja obrigatória para uploads de pacotes. Além disso, construir pacotes a partir de código-fonte verificável, como faz a Chainguard, poderia reduzir significativamente a superfície de ataque, já que 98,5% dos pacotes maliciosos não continham malware no código-fonte original. Portanto, embora o npm tenha dado passos importantes, a segurança da cadeia de suprimentos ainda requer atenção contínua.

Pesquisadores de cibersegurança descobriram uma extensão maliciosa do Google Chrome chamada CL Suite, projetada para roubar dados do Meta Business Suite e do Facebook Business Manager. Lançada em março de 2025, a extensão, que possui apenas 33 usuários, promete facilitar a coleta de dados e a geração de códigos de autenticação de dois fatores (2FA). No entanto, ela também exfiltra códigos TOTP e informações sensíveis, como listas de contatos e dados analíticos, para servidores controlados por atacantes. A extensão solicita amplo acesso aos sites da Meta e Facebook, alegando que os dados permanecem locais, mas na prática, transmite informações para um backend malicioso. Embora não roube senhas diretamente, os atacantes podem usar códigos roubados de outras fontes para acessar contas. A situação é alarmante, pois mesmo com poucos usuários, a extensão pode identificar alvos valiosos para ataques subsequentes. Além disso, uma campanha separada afetou 500 mil usuários do VKontakte, com extensões que manipulam contas e forçam assinaturas em grupos maliciosos. Outra campanha, chamada AiFrame, envolve 32 extensões de IA que coletam dados sensíveis de mais de 260 mil usuários. Essas ameaças destacam a necessidade urgente de vigilância e proteção contra extensões maliciosas.

Um novo ator de ameaças, identificado como UAT-9921, tem utilizado um framework modular chamado VoidLink em campanhas direcionadas aos setores de tecnologia e serviços financeiros. De acordo com a Cisco Talos, essa ameaça pode estar ativa desde 2019, mas o uso do VoidLink parece ser recente. O malware, escrito em Zig, foi projetado para acesso furtivo a ambientes de nuvem baseados em Linux e é considerado o trabalho de um único desenvolvedor, possivelmente assistido por um modelo de linguagem grande (LLM). O VoidLink permite que os invasores instalem um comando e controle (C2) em hosts comprometidos, facilitando atividades de varredura e movimentação lateral na rede. Além disso, o framework possui mecanismos de furtividade que dificultam a detecção e a remoção. A análise sugere que o UAT-9921 pode ter conhecimento da língua chinesa, o que levanta preocupações sobre suas origens. A Cisco Talos também observou que o VoidLink pode ser utilizado para explorar vulnerabilidades em servidores internos, aumentando o risco para organizações que utilizam tecnologias vulneráveis. Com a capacidade de compilar plugins sob demanda, o VoidLink representa uma nova e significativa ameaça no cenário de cibersegurança.

A ExpressVPN, conhecida por sua política de ’no-logs’, conquistou quatro certificações ISO, incluindo a ISO/IEC 27001, que atesta a gestão de segurança da informação. Essas certificações visam aumentar a confiança dos usuários, demonstrando que a empresa não apenas realiza auditorias independentes, mas também adota um rigoroso framework de governança contínua. Em seu relatório de transparência referente ao segundo semestre de 2025, a ExpressVPN revelou ter recebido mais de 1,38 milhão de solicitações de dados, mas não divulgou nenhuma informação de usuários, reforçando suas alegações de proteção de privacidade. O COO da empresa, Shay Peretz, enfatizou que a segurança deve ser uma prática diária e não um evento isolado, o que é evidenciado pelas certificações obtidas. Além da ISO/IEC 27001, a empresa também recebeu certificações para gestão da qualidade (ISO 9001) e para operações de atendimento ao cliente (ISO 18295-1 e 18295-2), o que é crucial para um serviço que depende de suporte contínuo. Essas iniciativas não alteram a funcionalidade do aplicativo, mas oferecem maior tranquilidade aos usuários em um setor onde a confiança é fundamental.

A Microsoft anunciou a correção de um problema que afetava o serviço de controle parental Family Safety, impedindo usuários do Windows de abrir o Google Chrome e outros navegadores. O bug, identificado em junho de 2025, causava falhas no lançamento do Chrome em dispositivos com Windows 10 e 11, devido a uma ferramenta de filtragem da web que exigia aprovação dos pais para o uso de navegadores alternativos. Essa falha também bloqueava novas versões de navegadores previamente aprovados, resultando em encerramentos inesperados. A empresa confirmou que uma correção foi implementada em fevereiro de 2026, e os usuários afetados devem conectar seus dispositivos à internet para receber a atualização. Para aqueles sem acesso à internet, a ativação do recurso de ‘Relatório de Atividades’ no Family Safety permitirá que os pais aprovem novas versões de navegadores. A Microsoft está trabalhando para adicionar as versões mais recentes dos navegadores à lista de bloqueio, evitando problemas semelhantes no futuro.

Uma vulnerabilidade grave, identificada como CVE-2026-20841, foi descoberta no Bloco de Notas do Windows, permitindo que cibercriminosos assumam o controle total de computadores afetados. A falha, que se relaciona à execução remota de código, foi encontrada durante uma atualização de segurança em fevereiro de 2026, após a Microsoft ter implementado suporte ao Markdown no aplicativo. A exploração da vulnerabilidade ocorre quando um usuário abre um arquivo Markdown comprometido, que contém um link malicioso. Ao clicar nesse link, os hackers conseguem executar comandos não verificados, obtendo acesso a dados pessoais sem que o sistema emita alertas de segurança. A versão clássica do Bloco de Notas não foi afetada, mas as versões mais recentes, que possuem mais funcionalidades, estão em risco. A Microsoft já lançou uma atualização urgente para corrigir a falha, recomendando que os usuários atualizem suas versões para a 11.2510 ou superiores e mantenham cautela ao interagir com mensagens suspeitas.

A operadora de telecomunicações holandesa Odido anunciou que foi alvo de um ataque cibernético que comprometeu os dados pessoais de aproximadamente 6,2 milhões de clientes. O incidente foi detectado no final de semana de 7 de fevereiro, levando a empresa a iniciar uma investigação com especialistas em cibersegurança. Os atacantes conseguiram acessar o sistema de contato com o cliente da Odido, permitindo o download de informações sensíveis, como endereços, números de telefone, e-mails e dados de identificação, como números de passaporte ou carteira de motorista. A empresa garantiu que informações mais críticas, como senhas e dados de cobrança, não foram afetadas. Após a descoberta do ataque, a Odido bloqueou o acesso não autorizado e notificou a Autoridade de Proteção de Dados da Holanda. A empresa está em processo de informar todos os clientes impactados e implementou medidas adicionais de segurança. Até o momento, não há evidências de que os dados tenham sido divulgados publicamente. O incidente destaca a vulnerabilidade das empresas de telecomunicações e a necessidade de robustecer as medidas de segurança para proteger informações sensíveis dos clientes.

A operadora nacional de oleodutos da Romênia, Conpet S.A., confirmou que foi alvo de um ataque do grupo de ransomware Qilin, que resultou no roubo de dados da empresa. Em um comunicado, a Conpet informou que a infraestrutura de TI corporativa foi comprometida, mas as operações não foram afetadas. O grupo Qilin alegou ter extraído quase 1TB de documentos, incluindo informações financeiras e dados pessoais, como nomes e números de contas bancárias. A empresa está colaborando com a Direção Nacional de Segurança Cibernética da Romênia na investigação do incidente. Embora a quantidade exata de dados roubados ainda não tenha sido determinada, a Conpet alertou que as informações comprometidas podem ser utilizadas para fraudes. A empresa aconselha os indivíduos afetados a terem cautela com solicitações urgentes de informações pessoais, recomendando a verificação da legitimidade de tais pedidos através de canais oficiais. A Conpet S.A. é uma empresa estratégica controlada pelo Ministério da Energia da Romênia, responsável pelo transporte de petróleo e gás em uma rede de oleodutos de 3.800 km.

Durante o Wild West Hackin’ Fest, o pesquisador de segurança Wietze Beukema apresentou várias vulnerabilidades em arquivos de atalho (.LNK) do Windows, que permitem a execução de payloads maliciosos. Beukema documentou quatro técnicas desconhecidas que manipulam esses arquivos para ocultar alvos maliciosos, enganando os usuários que verificam as propriedades do arquivo. Os arquivos LNK, introduzidos no Windows 95, utilizam um formato binário complexo que possibilita a criação de arquivos enganosos que parecem legítimos no Windows Explorer, mas que executam programas diferentes ao serem abertos. As falhas exploram inconsistências na priorização de caminhos de destino conflitantes dentro dos arquivos de atalho. A técnica mais poderosa envolve a manipulação da estrutura EnvironmentVariableDataBlock, permitindo que um alvo falso, como “invoice.pdf”, seja exibido, enquanto comandos maliciosos são executados. Apesar da gravidade das falhas, a Microsoft não as classificou como vulnerabilidades de segurança, argumentando que a exploração requer interação do usuário. Beukema, por sua vez, destacou que os usuários frequentemente ignoram avisos de segurança, o que torna esses ataques viáveis. Ele também lançou uma ferramenta de código aberto chamada “lnk-it-up” para testar e identificar arquivos LNK potencialmente maliciosos.

Uma vulnerabilidade crítica de execução remota de código pré-autenticação foi identificada nos aparelhos BeyondTrust Remote Support e Privileged Remote Access, afetando versões 25.3.1 e anteriores do Remote Support e 24.3.4 e anteriores do Privileged Remote Access. A falha, rastreada como CVE-2026-1731 e com uma pontuação CVSS de 9.9, permite que atacantes não autenticados enviem solicitações de cliente especialmente elaboradas, possibilitando a execução de comandos do sistema operacional no contexto do usuário do site. A BeyondTrust divulgou a vulnerabilidade em 6 de fevereiro de 2026, alertando que a exploração bem-sucedida pode levar a compromissos de sistema, acesso não autorizado, exfiltração de dados e interrupção de serviços. Embora a BeyondTrust tenha aplicado patches automaticamente em suas instâncias SaaS, clientes on-premise devem instalar as correções manualmente. A exploração da vulnerabilidade já está em andamento, com cerca de 11.000 instâncias expostas online, das quais aproximadamente 8.500 são implementações on-premise. Especialistas recomendam que as organizações que utilizam essas soluções apliquem as correções disponíveis imediatamente.

A Bitwarden, conhecida por seu gerenciador de senhas de código aberto, lançou uma nova funcionalidade chamada ‘Cupid Vault’. Essa ferramenta permite que usuários da versão gratuita compartilhem senhas de forma segura com endereços de e-mail confiáveis. O Cupid Vault possibilita a criação de um cofre compartilhado entre duas pessoas, denominado ‘Organização’, onde os logins podem ser acessados por um segundo membro convidado pelo proprietário da conta. Para garantir a segurança, os proprietários podem verificar a identidade do membro convidado por meio de uma frase de verificação. O cofre compartilhado é isolado do cofre pessoal do usuário, e o acesso pode ser revogado a qualquer momento. Embora a funcionalidade seja gratuita, existem limitações, como o número de coleções e usuários permitidos. Para usuários dos planos pagos, como Família, Equipes e Empresas, já existem recursos de compartilhamento mais robustos, tornando o Cupid Vault uma opção redundante para esses grupos. A Bitwarden também disponibilizou um guia detalhado sobre como configurar e utilizar essa nova funcionalidade, que foi lançada em um momento estratégico próximo ao Dia dos Namorados.

Pesquisadores em cibersegurança identificaram uma nova campanha maliciosa ligada ao grupo Lazarus, da Coreia do Norte, que utiliza pacotes maliciosos no npm e no PyPI. Nomeada de ‘graphalgo’, a campanha tem como alvo desenvolvedores através de plataformas como LinkedIn e Reddit, oferecendo falsas oportunidades de emprego em uma empresa fictícia de blockchain. Os pacotes, como ‘bigmathutils’, atraíram mais de 10.000 downloads antes de serem atualizados com cargas maliciosas. A estratégia envolve a criação de repositórios no GitHub que parecem legítimos, mas que contêm dependências maliciosas. Uma vez instaladas, essas dependências permitem que um trojan de acesso remoto (RAT) colete informações do sistema e execute comandos. Além disso, outra descoberta revelou um pacote chamado ‘duer-js’, que rouba informações sensíveis e extorque pagamentos em criptomoedas. Essa situação destaca a crescente sofisticação das ameaças cibernéticas, especialmente em ecossistemas de código aberto, e a necessidade de vigilância constante por parte dos desenvolvedores e empresas.

O Google revelou que o grupo de hackers UNC2970, vinculado à Coreia do Norte, está utilizando seu modelo de inteligência artificial generativa, Gemini, para realizar atividades de reconhecimento em alvos estratégicos. De acordo com o relatório do Google Threat Intelligence Group (GTIG), o grupo tem se concentrado em mapear informações sobre empresas de cibersegurança e defesa, além de perfis de cargos técnicos e dados salariais. Essa prática, que mistura pesquisa profissional com reconhecimento malicioso, permite que o grupo crie personas de phishing personalizadas e identifique alvos vulneráveis para compromissos iniciais.

Um novo spyware, conhecido como ZeroDayRAT, está sendo comercializado no Telegram e visa dispositivos Android e iOS, permitindo que hackers tenham acesso remoto completo a câmeras, microfones e dados pessoais dos usuários. De acordo com a pesquisa da iVerify, o malware é capaz de gerenciar aparelhos comprometidos, coletando informações financeiras e espiando em tempo real. O spyware é descrito como um ‘kit de ferramentas completo’ que permite aos cibercriminosos monitorar as vítimas por meio de um painel de controle, que fornece dados sobre o modelo do dispositivo, versão do sistema operacional, status da bateria e localização geográfica. Além disso, o ZeroDayRAT pode ativar câmeras e microfones, registrar senhas e padrões de desbloqueio, e roubar informações de aplicativos financeiros, como Google Pay e Apple Pay. Especialistas alertam que a instalação de aplicativos fora das lojas oficiais aumenta o risco de infecção por esse tipo de malware.

Uma falha crítica de segurança foi identificada nas extensões do Claude, ferramenta de inteligência artificial da Anthropic, afetando mais de 10 mil usuários. Pesquisadores da LayerX descobriram uma vulnerabilidade de clique zero que permite a execução remota de códigos maliciosos. O problema está relacionado à forma como as extensões interagem com o Google Agenda, onde um evento corrompido pode ser utilizado para executar comandos sem a necessidade de autorização do usuário. Essa falha ocorre devido ao acesso total que as extensões têm ao sistema do dispositivo, permitindo ações automáticas que podem ser exploradas por atacantes. A execução de um simples comando, como a verificação de eventos, pode desencadear uma cadeia de ações prejudiciais, comprometendo a segurança do sistema. Até o momento, a Anthropic não divulgou uma correção para a vulnerabilidade, que é considerada complexa e relacionada à infraestrutura da ferramenta. A situação exige atenção, pois a falta de um patch pode deixar os usuários vulneráveis a ataques.

Com a aproximação do Dia dos Namorados nos Estados Unidos e na Europa, cibercriminosos estão intensificando suas atividades fraudulentas, aproveitando-se do clima romântico para enganar pessoas em busca de relacionamentos. Uma análise da NordVPN revelou que os golpistas estão utilizando redes sociais e aplicativos de namoro, como Tinder e Match, para criar perfis falsos com fotos roubadas ou geradas por inteligência artificial. Após estabelecer contato, os criminosos tentam construir uma relação de confiança, levando as vítimas a migrar a conversa para aplicativos de mensagens privadas. A partir daí, eles criam cenários fictícios que justificam pedidos de dinheiro, como emergências financeiras ou viagens. Além disso, há casos de sextorsão, onde ameaças são feitas para extorquir as vítimas. Embora o Dia dos Namorados no Brasil ocorra apenas em junho, é crucial que os usuários estejam atentos a essas táticas para evitar cair em golpes amorosos. Especialistas recomendam verificar perfis, desconfiar de mensagens urgentes e evitar clicar em links suspeitos.

O repositório clandestino Anna’s Archive, após enfrentar processos judiciais nos Estados Unidos movidos pelo Spotify, mudou seu domínio para a Groenlândia e começou a liberar músicas do serviço de streaming para download. O site, que anteriormente apenas indexava metadados das faixas, agora disponibiliza até 2,8 milhões de músicas, totalizando cerca de 6 terabytes de dados. A adição de 47 novos torrents, cada um contendo cerca de 60.000 arquivos, foi notada por usuários no último domingo (8). Embora o Anna’s Archive tenha removido temporariamente a seção dedicada ao Spotify após os processos, a nova listagem de downloads sugere que a plataforma pode continuar a expandir seu acervo. Até o momento, nem o Anna’s Archive nem o Spotify comentaram sobre a situação. Este incidente levanta questões sobre a legalidade do compartilhamento de conteúdo protegido por direitos autorais e os riscos associados ao uso de repositórios piratas.

Após o governo argentino bloquear permanentemente duas plataformas de streaming ilegal, o uso de serviços de VPN (Rede Privada Virtual) disparou no país. Provedores como Proton VPN e Windscribe relataram um aumento significativo no interesse e nas inscrições, conforme evidenciado por dados do Google Trends. A medida do governo, que incluiu o bloqueio de mais de 70 domínios relacionados a essas plataformas, visa combater a pirataria, mas também levanta preocupações sobre a liberdade na internet. Especialistas alertam que acessar essas plataformas ilegais não apenas representa um risco legal, mas também um potencial perigo cibernético, já que muitos aplicativos associados podem conter malware. Embora as VPNs não sejam atualmente um alvo das autoridades argentinas, a situação pode mudar, especialmente considerando precedentes em outros países, como a França, onde provedores de VPN foram obrigados a bloquear sites de streaming ilegal. A crescente popularidade das VPNs na Argentina reflete uma busca por privacidade e segurança online em um cenário de restrições governamentais.

Um conjunto de 30 extensões maliciosas do Chrome, que foram instaladas por mais de 300.000 usuários, se disfarça como assistentes de IA para roubar credenciais, conteúdo de e-mails e informações de navegação. A campanha, chamada AiFrame, foi descoberta pela plataforma de segurança de navegadores LayerX, que identificou que todas as extensões analisadas compartilham a mesma infraestrutura maliciosa, comunicando-se com o domínio tapnetic[.]pro. A extensão mais popular da campanha, chamada Gemini AI Sidebar, tinha 80.000 usuários, mas já não está mais disponível na Chrome Web Store. Outras extensões, como AI Sidebar e AI Assistant, ainda estão ativas e possuem dezenas de milhares de usuários. As extensões não implementam funcionalidades de IA localmente; em vez disso, carregam conteúdo de um domínio remoto, o que permite que os operadores alterem a lógica das extensões sem necessidade de atualização. Além disso, um subconjunto de 15 extensões visa especificamente dados do Gmail, extraindo conteúdo de e-mails e até mesmo rascunhos. LayerX alerta que, ao invocar funcionalidades relacionadas ao Gmail, o conteúdo extraído é enviado para servidores controlados pelos operadores das extensões. A pesquisa destaca a necessidade de os usuários verificarem suas contas e redefinirem senhas se forem afetados.

Os infostealers, como o Atomic MacOS Stealer (AMOS), são mais do que simples malwares; eles são componentes fundamentais de uma economia de cibercrime que se concentra na coleta e comercialização de identidades digitais roubadas. Esses malwares atuam como motores de coleta de dados em larga escala, alimentando mercados subterrâneos onde credenciais, sessões e dados financeiros são comprados e vendidos, facilitando fraudes e invasões subsequentes. A eficácia dessas campanhas se deve à sua abordagem oportunista de engenharia social, que se adapta constantemente às tendências tecnológicas e explora plataformas confiáveis e softwares populares para enganar os usuários. O relatório de 2026 sobre a exposição de identidade de infostealers destaca o crescente domínio desses malwares na economia do cibercrime e seu impacto nas organizações. O AMOS, que apareceu pela primeira vez em maio de 2023, utiliza técnicas de disseminação sofisticadas, como campanhas de phishing e a exploração de assistentes pessoais de IA, para infectar usuários e roubar dados sensíveis. A pesquisa revela que a distribuição de AMOS se aproveita da popularidade de softwares como o OpenClaw, demonstrando como a engenharia social e a monetização de dados se entrelaçam para criar um ambiente de cibercrime altamente eficaz.

Um estudo de inteligência de mercado de 2026, que entrevistou 128 tomadores de decisão em segurança de empresas, destaca uma divisão significativa entre organizações que adotam a Gestão Contínua de Exposição a Ameaças (CTEM) e aquelas que não o fazem. As empresas que implementaram o CTEM apresentam 50% mais visibilidade da superfície de ataque e 23 pontos percentuais a mais na adoção de soluções de segurança. Apesar de 87% dos líderes de segurança reconhecerem a importância do CTEM, apenas 16% o implementaram, evidenciando um desafio na transição da conscientização para a prática. A complexidade da superfície de ataque se torna um multiplicador de riscos, especialmente quando o número de domínios monitorados ultrapassa 100, aumentando exponencialmente as vulnerabilidades. O estudo também revela que, com o aumento dos custos médios de violação, que chegam a US$ 4,44 milhões, a gestão da superfície de ataque se tornou uma questão crítica para as lideranças empresariais. Portanto, a adoção do CTEM não é apenas uma questão técnica, mas uma necessidade estratégica para garantir a segurança organizacional em um cenário de crescente complexidade e riscos.

A atividade de ameaças cibernéticas nesta semana revela um padrão preocupante: os atacantes estão se concentrando em métodos já conhecidos, utilizando ferramentas confiáveis e explorando vulnerabilidades negligenciadas. A entrada inicial em sistemas está se tornando mais simples, enquanto as atividades pós-comprometimento estão mais estruturadas e persistentes, com o objetivo de permanecer infiltrado e extrair valor. Um exemplo é a falha de injeção de comando no Notepad da Microsoft (CVE-2026-20841), que permite a execução remota de código. Além disso, Taiwan se tornou um alvo frequente de ataques APT, com 173 operações registradas em 2025, refletindo sua importância geopolítica. Novos malwares, como LTX Stealer e Marco Stealer, estão sendo usados para roubo de credenciais e dados sensíveis. Uma campanha de engenharia social também está em andamento, visando contas do Telegram através do abuso de fluxos de autenticação. Por fim, a Discord anunciou um novo sistema de verificação de idade, levantando preocupações sobre a privacidade dos usuários após um incidente anterior que resultou no vazamento de dados de 70 mil usuários. Esses eventos destacam a necessidade urgente de vigilância e atualização das defesas cibernéticas.

Hackers apoiados por estados, incluindo grupos da China, Irã, Coreia do Norte e Rússia, estão utilizando o modelo de IA Gemini do Google para facilitar todas as etapas de ataques cibernéticos, desde a fase de reconhecimento até ações pós-comprometimento. O relatório do Google Threat Intelligence Group (GTIG) revela que esses atores maliciosos empregam a IA para criar perfis de alvos, gerar iscas de phishing, traduzir textos, realizar testes de vulnerabilidades e até desenvolver malware. Por exemplo, um ator da China simulou um cenário para automatizar a análise de vulnerabilidades, enquanto um grupo iraniano usou a IA para acelerar a criação de ferramentas maliciosas personalizadas. Além disso, a IA está sendo utilizada em campanhas de engenharia social, como as campanhas ClickFix, que distribuem malware para roubo de informações. O relatório também destaca tentativas de extração e destilação do modelo de IA, o que representa um risco significativo para a propriedade intelectual e o modelo de negócios de IA como serviço. O Google está tomando medidas para mitigar esses abusos, mas a ameaça continua crescente, especialmente com o aumento do interesse de cibercriminosos por ferramentas de IA.

A Apple lançou atualizações para iOS, iPadOS, macOS Tahoe, tvOS, watchOS e visionOS para corrigir uma vulnerabilidade zero-day, identificada como CVE-2026-20700, que está sendo explorada em ataques cibernéticos sofisticados. Essa falha, relacionada à corrupção de memória no dyld, o editor de links dinâmicos da Apple, permite que atacantes executem código arbitrário em dispositivos vulneráveis. O Google Threat Analysis Group (TAG) descobriu e reportou a vulnerabilidade. A Apple também emitiu correções para outras falhas, como CVE-2025-14174 e CVE-2025-43529, que foram abordadas em dezembro de 2025. As atualizações estão disponíveis para uma variedade de dispositivos, incluindo iPhones a partir do modelo 11 e Macs rodando macOS Tahoe. A empresa já havia corrigido nove vulnerabilidades zero-day em 2025, e essa nova atualização marca a primeira falha zero-day ativamente explorada em 2026. É crucial que os usuários atualizem seus dispositivos para evitar possíveis explorações.

Recentemente, uma falha de segurança crítica no Ivanti Endpoint Manager Mobile (EPMM), identificada como CVE-2026-1281, tem sido alvo de exploração ativa. A empresa de inteligência em segurança GreyNoise registrou 417 tentativas de exploração entre 1 e 9 de fevereiro de 2026, com 83% dessas tentativas originando-se de um único endereço IP, 193.24.123[.]42, associado a uma infraestrutura de hospedagem resistente a ações legais, conhecida como PROSPERO. Essa vulnerabilidade permite a execução remota de código não autenticado, colocando em risco a segurança de organizações que utilizam o EPMM. Além disso, a análise revelou que o mesmo IP está explorando outras vulnerabilidades em softwares não relacionados, o que sugere o uso de ferramentas automatizadas para esses ataques. Agências europeias, incluindo a Autoridade de Proteção de Dados da Holanda, confirmaram que foram alvos de ataques utilizando essas falhas. A Ivanti já reconheceu que um número limitado de clientes foi impactado. Especialistas recomendam que os usuários do EPMM apliquem patches de segurança, auditem suas infraestruturas e monitorem atividades suspeitas para mitigar riscos.

Pesquisadores de cibersegurança identificaram o primeiro add-in malicioso do Microsoft Outlook em operação, denominado AgreeToSteal. O ataque, classificado como um ataque à cadeia de suprimentos, ocorreu quando um invasor reivindicou um domínio associado a um add-in legítimo abandonado, criando uma página de login falsa da Microsoft e roubando mais de 4.000 credenciais. O add-in AgreeTo, que permitia a integração de calendários, foi abandonado em 2022, e o invasor aproveitou a falta de monitoramento contínuo do conteúdo do add-in para implantar um kit de phishing. A vulnerabilidade reside na forma como os add-ins do Office funcionam, onde o conteúdo é carregado em tempo real a partir de um URL que pode ser alterado após a aprovação inicial. A Koi Security, responsável pela descoberta, alerta que a falta de reavaliação e monitoramento contínuo de add-ins pode permitir que ataques semelhantes ocorram em outros marketplaces. A empresa recomenda que a Microsoft implemente revisões periódicas e verifique a propriedade dos domínios associados aos add-ins para mitigar esses riscos.

O artigo de Fábio Maia discute as tendências de cibersegurança para 2026, destacando a transição da Inteligência Artificial (IA) Generativa para a IA Agêntica, que executa ações com autonomia. Essa mudança traz desafios significativos, como a necessidade de governança da confiança digital e a mitigação de riscos associados ao uso de agentes de IA não homologados, que podem resultar em violações de dados. A implementação do princípio de ‘Mínima Agência’ é sugerida para limitar os privilégios dos agentes de IA, enquanto a Gestão de Risco Humano deve ser aprimorada para promover comportamentos seguros entre os colaboradores.

Recentemente, observou-se um aumento nas infecções por LummaStealer, um malware do tipo infostealer que opera como uma plataforma de malware-as-a-service (MaaS). Essa onda de infecções é impulsionada por campanhas de engenharia social que utilizam a técnica ClickFix para entregar o malware CastleLoader. O LummaStealer, que foi severamente interrompido em maio de 2025 após a apreensão de 2.300 domínios por autoridades, voltou a operar em julho do mesmo ano. O CastleLoader, que surgiu em 2025, é um loader de malware que distribui diversas famílias de infostealers e trojans de acesso remoto, utilizando um modelo de execução modular e ofuscação extensiva. Ele realiza verificações de ambiente para evitar detecções e garante persistência ao se instalar no sistema. As campanhas atuais de LummaStealer visam usuários em todo o mundo, utilizando métodos como instaladores de software trojanizados e arquivos de mídia falsos. A técnica ClickFix, que envolve a apresentação de páginas falsas de verificação, tem se mostrado um vetor de infecção eficaz. Para se proteger, especialistas recomendam evitar downloads de fontes não confiáveis e não executar comandos desconhecidos em PowerShell.

A resiliência cibernética é a capacidade de antecipar ameaças, resistir a ataques ativos, responder rapidamente a incidentes e recuperar operações com o mínimo de interrupção. Com a evolução constante das ameaças cibernéticas, as abordagens tradicionais reativas se mostram insuficientes. Organizações precisam adotar estratégias proativas para se manterem à frente. A plataforma de segurança de código aberto Wazuh combina capacidades de SIEM e XDR, permitindo a detecção precoce de ameaças e resposta eficaz a incidentes. A visibilidade abrangente em ambientes de TI, a detecção antecipada de atividades maliciosas e a resposta automatizada são fundamentais para a resiliência cibernética. Além disso, a melhoria contínua e a manutenção de uma boa higiene de TI são essenciais para reduzir a superfície de ataque. O Wazuh oferece ferramentas para monitoramento contínuo, detecção de vulnerabilidades e avaliação de conformidade, ajudando as organizações a fortalecerem suas defesas e a se adaptarem às ameaças em evolução.

A Polícia da Holanda prendeu um homem de 21 anos em Dordrecht, suspeito de vender acesso à ferramenta de automação de phishing JokerOTP, que intercepta senhas temporárias (OTP) para roubo de contas. Esta prisão é a terceira em uma investigação de três anos que resultou na desarticulação da operação JokerOTP em abril de 2025. O serviço malicioso causou perdas financeiras de pelo menos 10 milhões de dólares em mais de 28 mil ataques em 13 países. O suspeito anunciava o acesso à plataforma por meio de chaves de licença em uma conta do Telegram. Os cibercriminosos que se inscreviam no serviço podiam automatizar chamadas para as vítimas, solicitando OTPs e outros dados sensíveis, como PINs e informações de cartões. O bot JokerOTP visava usuários de serviços populares como PayPal e Amazon. A polícia continua a investigação e já identificou dezenas de compradores da ferramenta na Holanda, que serão processados. Especialistas alertam que as vítimas não devem se sentir envergonhadas por caírem em fraudes sofisticadas e devem estar atentas a sinais de golpe, como pedidos urgentes de informações sensíveis. Além disso, recomenda-se que os usuários verifiquem possíveis vazamentos de dados que possam afetá-los.

Pesquisadores da Huntress identificaram que membros do grupo de ransomware Crazy estão utilizando softwares legítimos de monitoramento de funcionários e ferramentas de suporte remoto, como o SimpleHelp, para manter acesso persistente em redes corporativas e se preparar para a implantação de ransomware. Os atacantes instalaram o Net Monitor for Employees Professional em sistemas comprometidos, permitindo acesso remoto completo, incluindo visualização de desktop e execução de comandos. Além disso, tentaram ativar a conta de administrador local e instalaram o cliente SimpleHelp para garantir acesso contínuo, mesmo que o software de monitoramento fosse removido. Os atacantes monitoraram atividades relacionadas a carteiras de criptomoedas e ferramentas de gerenciamento remoto, buscando detectar qualquer atividade suspeita. A Huntress alerta que a utilização de ferramentas de gerenciamento remoto legítimas tem se tornado comum em intrusões de ransomware, permitindo que os atacantes se misturem ao tráfego de rede normal. A recomendação é que as organizações monitorem de perto a instalação não autorizada de tais ferramentas e implementem autenticação multifator (MFA) em serviços de acesso remoto para proteger suas redes.

O add-in AgreeTo, originalmente uma ferramenta legítima de agendamento de reuniões para usuários do Outlook, foi sequestrado e transformado em um kit de phishing que roubou mais de 4.000 credenciais de contas da Microsoft. Desenvolvido por um editor independente e disponível na Microsoft Office Add-in Store desde dezembro de 2022, o add-in foi abandonado pelo desenvolvedor, permitindo que um ator de ameaças reivindicasse sua URL e implantasse uma página falsa de login da Microsoft. Essa página enganosa coletava credenciais e redirecionava os usuários para a página legítima da Microsoft, reduzindo a suspeita. Pesquisadores da Koi Security descobriram que, além das credenciais, também foram coletados números de cartões de crédito e respostas de segurança bancária. O add-in manteve permissões que permitiam ler e modificar e-mails dos usuários, embora não tenha sido confirmada atividade maliciosa nesse sentido. A Microsoft removeu o add-in da loja após a descoberta, mas o incidente destaca a falta de um processo de verificação contínua para add-ins já aprovados. Este caso é notável por ser o primeiro malware encontrado no Marketplace oficial da Microsoft, levantando preocupações sobre a segurança de add-ins em plataformas amplamente utilizadas.

Um recente incidente envolvendo o grupo hacker Nitrogen revelou um bug crítico em sua variante de ransomware direcionada a hipervisores VMware ESXi. Este erro na programação resultou na perda das chaves de encriptação, tornando os dados das vítimas completamente irrecuperáveis. O ransomware, que já afetou diversas instituições financeiras e empresas industriais desde 2023, agora apresenta um novo desafio para suas vítimas: mesmo que não sejam obrigadas a pagar resgates, a falta de backups significa que os dados roubados estão perdidos para sempre. O problema ocorre durante a encriptação, onde parte da chave pública é sobrescrita, impossibilitando a combinação com a chave privada correspondente. A empresa de segurança Veeam, que reportou o incidente, não revelou os nomes das vítimas, mas destacou a gravidade da situação, especialmente para organizações que não possuem políticas de segurança robustas. Este evento ressalta a importância de medidas preventivas e de backup eficazes para mitigar os riscos associados a ataques de ransomware.

Os aplicativos de stalkerware, utilizados para espionagem, representam uma ameaça significativa à privacidade e à segurança dos dados. Esses softwares permitem que usuários acessem informações pessoais de terceiros, como mensagens, chamadas e localização, muitas vezes sem o consentimento da vítima. Além do caráter ilegal e antiético, esses aplicativos apresentam vulnerabilidades que podem ser exploradas por hackers, resultando em vazamentos de dados sensíveis. Desde 2017, pelo menos 27 empresas que oferecem esses serviços foram alvo de ataques, expondo informações de mais de 500 mil usuários. Casos recentes, como o da Catwatchful, afetaram 26 mil pessoas, demonstrando a fragilidade da segurança desses sistemas. Mesmo que alguns pais utilizem esses aplicativos com a intenção de proteger seus filhos, a falta de segurança e a ilegalidade do monitoramento tornam essa prática arriscada. A recomendação é optar por ferramentas legítimas e sempre informar os jovens sobre a vigilância. O uso de stalkerware não só compromete a segurança dos dados, mas também pode levar a consequências legais severas.

Uma nova campanha de phishing está enganando brasileiros ao usar CPFs vazados para roubar dinheiro via Pix. Os cibercriminosos enviam mensagens SMS que aparentam ser do Tribunal de Justiça, alertando sobre irregularidades no CPF do destinatário. O tom de urgência é utilizado para induzir a vítima a clicar em um link que leva a uma página falsa, imitando o site oficial do Judiciário. Ao acessar essa página, a vítima é solicitada a inserir seu CPF, o que permite aos criminosos coletar informações sensíveis. O golpe inclui um falso número de processo judicial e um temporizador de 10 minutos para pressionar a vítima a realizar um pagamento de mais de R$ 800 via Pix. Para dificultar o rastreamento, os criminosos dividem os pagamentos entre diferentes localidades. Apesar das tentativas de ocultação, a operação foi exposta quando logs do servidor foram deixados acessíveis publicamente, permitindo que especialistas identificassem as fraudes em tempo real.

A Surfshark, em parceria com a Internews, lançou uma iniciativa para fornecer acesso gratuito a VPNs para jornalistas e ativistas em nove países de alto risco. Essa colaboração visa proteger a liberdade de imprensa em regiões afetadas por conflitos e repressão, oferecendo conexões criptografadas que ocultam endereços IP e permitem contornar bloqueios impostos por governos. A Surfshark fornecerá assinaturas do Surfshark One, que inclui ferramentas de segurança como antivírus e alertas de vazamento de dados, tudo protegido por criptografia AES de 256 bits. Além disso, a Internews organizou um treinamento em segurança digital para jornalistas sudaneses, capacitando-os a utilizar essas ferramentas em suas práticas diárias de reportagem. A VPN não apenas protege a identidade dos jornalistas, mas também garante a integridade das informações que eles transmitem, permitindo que verifiquem fatos e publiquem conteúdos sem medo de represálias. Essa iniciativa se junta a outros programas humanitários de VPN, como os da NordVPN e ExpressVPN, que também oferecem suporte a jornalistas em zonas de crise, reforçando a importância do acesso à internet segura e irrestrita para a liberdade de expressão.

Um estudo recente analisou mais de 100 aplicativos de namoro disponíveis na Google Play Store, revelando preocupações significativas sobre a privacidade dos dados dos usuários. Em média, cada aplicativo solicita acesso a mais de 30 permissões, sendo que cerca de 8 dessas permissões são classificadas como ‘perigosas’ pelo Android. Essas permissões incluem acesso à câmera, localização precisa, armazenamento externo e gravação de áudio. Embora algumas permissões sejam necessárias para o funcionamento dos aplicativos, a transparência nas políticas de privacidade é crucial. O estudo encontrou que apenas um aplicativo não mencionou o acesso à câmera, mas 13 não informaram claramente sobre a coleta da localização precisa. Além disso, 24% dos aplicativos analisados não estavam em conformidade com os padrões de privacidade do Google Play. A média de rastreadores por aplicativo foi de 8,7, com um aplicativo utilizando 28 rastreadores. Esses dados levantam questões sobre a segurança e a privacidade dos usuários, especialmente em um cenário onde esses aplicativos foram baixados mais de 1,2 bilhões de vezes. A falta de clareza nas políticas de privacidade pode resultar em riscos significativos para os usuários, tornando essencial que os desenvolvedores sejam mais transparentes sobre o uso de dados pessoais.

A cidade de Peabody, Massachusetts, notificou 48.004 residentes sobre um vazamento de dados ocorrido em junho de 2025, que comprometeu números de Seguro Social, informações financeiras e carteiras de motorista. O grupo de ransomware Interlock reivindicou a responsabilidade pelo ataque, alegando ter roubado 124 GB de dados da rede governamental de Peabody. Embora a cidade tenha confirmado o acesso não autorizado a seus sistemas entre 13 de junho e 8 de julho de 2025, não há confirmação se um resgate foi pago ou como os atacantes conseguiram invadir a rede. Para mitigar os danos, Peabody está oferecendo monitoramento de crédito gratuito aos afetados até 5 de maio de 2026. O Interlock, que começou a operar em outubro de 2024, já reivindicou 41 ataques confirmados, incluindo seis contra entidades governamentais em 2025. Os ataques de ransomware a entidades governamentais nos EUA têm aumentado, comprometendo dados pessoais de mais de 630.000 pessoas em 2025. O impacto desses ataques pode ser severo, resultando em perda de dados, interrupções em serviços essenciais e riscos aumentados de fraudes.

Pesquisadores de cibersegurança revelaram detalhes sobre uma nova operação de botnet chamada SSHStalker, que utiliza o protocolo de comunicação Internet Relay Chat (IRC) para fins de comando e controle. A operação combina técnicas de exploração de sistemas Linux mais antigos com ferramentas de automação para comprometer em massa servidores vulneráveis, principalmente aqueles que ainda operam com versões do kernel Linux 2.6.x. O SSHStalker se destaca por manter acesso persistente aos sistemas comprometidos sem realizar ações de exploração subsequentes, sugerindo que a infraestrutura comprometida pode ser utilizada para testes ou retenção estratégica de acesso.

Um estudo da Pentera Labs revelou que aplicações de treinamento intencionalmente vulneráveis, como OWASP Juice Shop e DVWA, estão frequentemente expostas à internet em ambientes de nuvem. Essas aplicações, projetadas para fins educacionais e testes, são frequentemente implantadas com configurações padrão e permissões excessivas, permitindo que atacantes acessem identidades de nuvem privilegiadas. A pesquisa identificou quase 2.000 instâncias de aplicações expostas, com 60% delas hospedadas em infraestruturas gerenciadas por clientes em plataformas como AWS, Azure e GCP. Além disso, cerca de 20% dessas instâncias apresentaram evidências de exploração ativa, incluindo atividades de mineração de criptomoedas e shells web. O estudo destaca que ambientes de treinamento são frequentemente considerados de baixo risco e, portanto, não recebem a devida atenção em termos de monitoramento e gestão de segurança. Essa situação é preocupante, pois um único aplicativo exposto pode servir como ponto de entrada para comprometer toda a infraestrutura de nuvem de uma organização. O artigo enfatiza que a rotulagem de um ambiente como ’treinamento’ não diminui seu risco, especialmente quando conectado a identidades privilegiadas na nuvem.