Cibersegurança

Pesquisadores da Palo Alto Networks identificaram um grupo hacker chamado Jingle Thief, que tem como alvo empresas do varejo e serviços ao consumidor, focando na fraude de vale-presentes. Após invadir os sistemas, os cibercriminosos buscam obter acesso para emitir vale-presentes sem autorização, que são posteriormente vendidos no mercado cinza, dificultando a rastreabilidade. O grupo, que se destaca especialmente durante a temporada de festas, é associado a outras organizações criminosas e tem demonstrado a capacidade de manter acesso aos sistemas das vítimas por longos períodos, chegando a 10 meses. Utilizando técnicas como phishing e smishing, os hackers conseguem acessar credenciais de serviços como Microsoft 365 e SharePoint, além de roubar informações financeiras. A situação é alarmante, pois os invasores criam regras de e-mail para redirecionar comunicações e utilizam aplicativos clandestinos para contornar autenticação em dois fatores, aumentando a dificuldade de detecção. A atividade dos Jingle Thieves representa uma ameaça significativa para empresas brasileiras, especialmente em um cenário onde a segurança digital é cada vez mais crítica.

Pesquisadores da ESET identificaram uma série de ataques cibernéticos, conhecidos como Operação Dream Job, realizados por hackers norte-coreanos, que visam empresas do setor de defesa na Europa, especialmente aquelas envolvidas com drones. Desde março de 2025, o grupo Lazarus, responsável por esses ataques, utiliza táticas de engenharia social, oferecendo falsas oportunidades de emprego que, na verdade, instalam malwares como ScoringMathTea e MISTPEN nos sistemas das vítimas. Esses malwares são projetados para roubar informações sensíveis e podem executar comandos que permitem o controle total das máquinas comprometidas. A ESET já havia observado o ScoringMathTea em ataques anteriores a empresas de tecnologia na Índia e na Polônia. A MISTPEN também foi associada a campanhas em setores críticos como aeroespacial e energia. A descoberta desses ataques ressalta a crescente preocupação com a segurança cibernética em indústrias estratégicas e a necessidade de vigilância constante contra ameaças emergentes.

Um coletivo de hackers marroquinos, conhecido como Atlas Lion, tem atacado empresas que emitem cartões-presente, utilizando técnicas de phishing para infiltrar seus sistemas. A campanha, chamada de ‘Jingle Thief’, é mais ativa durante a temporada de festas. Os atacantes realizam um mapeamento detalhado da infraestrutura de TI das empresas, focando em plataformas como SharePoint e OneDrive, antes de se passarem por funcionários autorizados para solicitar ou aprovar transações de cartões-presente. Essa abordagem evita o uso de malware, o que poderia acionar alarmes de segurança. Os cartões-presente são alvos atrativos para cibercriminosos, pois são rápidos, fungíveis e difíceis de rastrear, permitindo que os criminosos os revendam facilmente no mercado negro. A pesquisa da Unit 42, da Palo Alto Networks, revelou que os hackers mantiveram acesso aos sistemas por quase um ano, comprometendo mais de 60 contas de usuários em uma única empresa global. Embora o valor total roubado não tenha sido divulgado, a natureza dos cartões-presente torna a recuperação e a atribuição de responsabilidade extremamente desafiadoras.

Pesquisadores de segurança da Wordfence analisaram uma nova cepa de malware que utiliza a capacidade de funções variáveis do PHP e cookies para obfuscação sofisticada, dificultando a detecção. Embora a técnica não seja nova, ela evolui constantemente e é prevalente em ataques direcionados a ambientes WordPress. Em setembro de 2025, foram registradas mais de 30.000 detecções desse tipo de malware, todas bloqueadas pelas assinaturas de malware da Wordfence.

O malware se aproveita da funcionalidade de ‘funções variáveis’ do PHP, permitindo que nomes de funções sejam armazenados em variáveis e executados dinamicamente. Isso facilita a execução de comandos arbitrários, tornando a detecção mais difícil, especialmente quando os nomes das funções são construídos de forma dinâmica. Além disso, a análise revelou que esses malwares frequentemente utilizam cookies para acionar a execução de scripts, dependendo da presença de um número específico de cookies e marcadores.

A Atlassian revelou uma vulnerabilidade crítica de travessia de caminho no Jira Software Data Center e Server, identificada como CVE-2025-22167. Essa falha permite que atacantes autenticados modifiquem arquivos acessíveis ao processo da Máquina Virtual Java (JVM) do Jira, apresentando um risco significativo para organizações que utilizam essa plataforma para gerenciamento de projetos e rastreamento de problemas. Com uma pontuação CVSS de 8.7, a vulnerabilidade pode comprometer a integridade do sistema, permitindo que arquivos críticos, como arquivos de configuração e dados de aplicação, sejam alterados. A falha é especialmente preocupante em ambientes multi-inquilinos, onde várias organizações compartilham a mesma instância do Jira. A Atlassian já lançou patches para corrigir a vulnerabilidade, e as organizações afetadas devem priorizar a atualização imediata para as versões mais recentes. As versões vulneráveis incluem a 9.12.0 e outras variantes, com recomendações específicas de atualização para cada ramo de versão. A transparência da Atlassian em divulgar essa falha oferece às organizações tempo suficiente para aplicar as correções antes que a exploração ocorra.

Uma vulnerabilidade crítica, identificada como CVE-2025-54236 e chamada de SessionReaper, está sendo explorada ativamente por hackers em plataformas de comércio eletrônico como Adobe Commerce e Magento. Essa falha permite a execução remota de código e a tomada de controle de contas de clientes em milhares de lojas online. Detectada pela primeira vez em 22 de outubro de 2025, a vulnerabilidade combina uma sessão maliciosa com um bug de desserialização na API REST do Magento, permitindo que atacantes façam upload de backdoors PHP disfarçados. Apesar de um patch de emergência ter sido lançado pela Adobe em 9 de setembro, a adoção do mesmo foi lenta, com menos de 40% das lojas afetadas aplicando a correção até a data da descoberta. A situação é agravada pelo fato de que a Adobe inicialmente minimizou a gravidade da vulnerabilidade em seu aviso oficial. Com 62% das lojas ainda sem correção, a ameaça continua a evoluir, exigindo ações imediatas por parte dos administradores de sistemas para evitar compromissos.

Pesquisadores de segurança da Brave descobriram uma vulnerabilidade crítica no navegador Comet da Perplexity, que permite a injeção de comandos maliciosos por meio de texto oculto em capturas de tela. Essa falha explora a esteganografia para esconder instruções perigosas em conteúdos da web. Ao tirar uma captura de tela de uma página comprometida, o navegador utiliza tecnologia de reconhecimento óptico de caracteres (OCR) para extrair todo o texto, incluindo os comandos maliciosos ocultos. O problema crítico é que essas instruções são enviadas diretamente para o sistema de IA sem qualquer filtragem, permitindo que atacantes manipulem o navegador para realizar ações não autorizadas. As consequências para os usuários são graves, especialmente para aqueles que mantêm sessões ativas em contas sensíveis, pois um ataque bem-sucedido pode resultar em acesso não autorizado a contas bancárias, roubo de e-mails e comprometimento de sistemas corporativos. Os pesquisadores da Brave relataram a vulnerabilidade à Perplexity em 1º de outubro de 2025, dando tempo para a empresa corrigir o problema antes da divulgação pública. Até que medidas de segurança adequadas sejam implementadas, os especialistas recomendam que os usuários evitem manter contas sensíveis logadas ao usar recursos de navegação do Comet.

Cibercriminosos estão cada vez mais direcionando suas operações fraudulentas a populações vulneráveis, especialmente idosos, utilizando táticas sofisticadas de engenharia social. Em 2024, o Centro de Queixas de Crimes na Internet do FBI (IC3) registrou perdas de US$ 4,8 bilhões entre vítimas com 60 anos ou mais, quase o dobro de qualquer outro grupo etário. Um relatório da Graphika destaca uma rede internacional de fraudadores ativos em plataformas de mídia social, como Facebook e Instagram, que utilizam sites clonados, vozes geradas por IA e credenciais fabricadas para dar credibilidade a esquemas fraudulentos. Os golpistas frequentemente se passam por entidades conhecidas, como agências governamentais e organizações de caridade, para atrair vítimas. Uma vez estabelecida a confiança, os alvos são direcionados para portais de phishing que solicitam informações pessoais e financeiras. As campanhas fraudulentas, que se disfarçam como ‘ajudas financeiras’ ou ‘programas de verificação de beneficiários’, exploram as ansiedades financeiras das vítimas. A análise da Graphika revela que esses golpistas utilizam automação e campanhas publicitárias de curta duração para manter suas operações. A natureza multifacetada desses golpes aumenta sua persistência e alcance, levando a uma necessidade urgente de conscientização e educação sobre fraudes online, especialmente entre os idosos.

O grupo de ransomware Qilin, baseado na Rússia, alcançou um marco alarmante ao reivindicar seu 700º ataque em 2025, superando o total de vítimas do ano anterior do grupo RansomHub. Desde sua aparição em 2022, Qilin ganhou notoriedade em 2023 e, em 2024, registrou 179 vítimas, número que quadruplicou neste ano. O modelo de negócios Ransomware-as-a-Service (RaaS) tem impulsionado sua atividade, especialmente após o desaparecimento do RansomHub, que levou seus afiliados a se unirem ao Qilin. Os principais alvos incluem setores críticos como manufatura, finanças, varejo, saúde e agências governamentais, onde a criptografia de sistemas e o roubo de dados podem causar grandes interrupções. Até agora, Qilin já comprometeu 788.377 registros e roubou 116 TB de dados. Os Estados Unidos são o país mais afetado, seguido por França, Canadá e Coreia do Sul. O aumento de ataques no setor educacional, com um crescimento de 420% em relação ao ano anterior, é particularmente preocupante, assim como os ataques a entidades governamentais, que subiram 344%. O impacto financeiro e a conformidade com a LGPD são preocupações significativas para as organizações brasileiras.

Com o aumento exponencial de identidades de máquina em ambientes de nuvem, as empresas estão experimentando ganhos significativos de produtividade ao eliminar credenciais estáticas, como chaves de API e senhas. Embora soluções de gerenciamento de segredos, como HashiCorp Vault e CyberArk, tenham sido adotadas, elas ainda dependem de segredos estáticos que requerem gerenciamento cuidadoso. A transição para identidades gerenciadas, que emitem credenciais temporárias e rotacionadas automaticamente, representa uma mudança de paradigma. Provedores de nuvem como AWS, Azure e Google Cloud estão liderando essa transformação, oferecendo soluções que simplificam a autenticação e a autorização entre diferentes plataformas. No entanto, a realidade é complexa, pois APIs de terceiros e sistemas legados ainda exigem segredos compartilhados. A falta de visibilidade sobre o uso atual de credenciais é um desafio significativo, e plataformas como GitGuardian ajudam as organizações a mapear suas identidades não humanas antes da implementação de sistemas modernos. A redução do uso de segredos estáticos pode melhorar a segurança e a eficiência operacional, mas requer uma abordagem estratégica para a migração e gerenciamento de segredos remanescentes.

O artigo destaca como cibercriminosos aproveitam vulnerabilidades em sistemas e na confiança dos usuários para realizar ataques. Um exemplo é a queda na atividade do malware Lumma Stealer, que ocorreu após a exposição de identidades de seus desenvolvedores, resultando na migração de clientes para outras ferramentas como Vidar Stealer 2.0. Este novo malware, reescrito em C, apresenta técnicas avançadas de extração de credenciais e evasão de detecções. Além disso, um esquema de fraude em larga escala em Cingapura utilizou imagens de autoridades locais para enganar cidadãos em uma plataforma de investimentos falsa, demonstrando como a confiança em instituições pode ser manipulada. Outro ponto crítico é a descoberta de um pacote npm malicioso que comprometeu a cadeia de suprimentos de software, reforçando a necessidade de cautela ao instalar pacotes de código aberto. O artigo também menciona a multa de $176 milhões imposta ao Cryptomus, uma plataforma de pagamentos digitais, por não reportar transações suspeitas ligadas a crimes graves. A SpaceX desativou dispositivos Starlink usados em centros de fraude na região do Sudeste Asiático, evidenciando a resposta a crimes cibernéticos em escala global.

Um novo ciclo de ataques cibernéticos, atribuído a atores de ameaças ligados à Coreia do Norte, está visando empresas europeias do setor de defesa, conforme relatado pela ESET. Esta campanha, conhecida como Operação Dream Job, tem como alvo empresas envolvidas na fabricação de veículos aéreos não tripulados (UAVs), sugerindo uma conexão com os esforços da Coreia do Norte para expandir seu programa de drones. Os ataques utilizam malwares como ScoringMathTea e MISTPEN para roubar informações proprietárias e know-how de fabricação. A ESET observou o início desta campanha em março de 2025, com alvos que incluem uma empresa de engenharia metalúrgica e um fabricante de componentes aeronáuticos na Europa Central e Sudeste. A Operação Dream Job, exposta pela ClearSky em 2020, é conduzida pelo grupo de hackers Lazarus, que utiliza engenharia social para atrair vítimas com ofertas de emprego falsas, levando à infecção de sistemas com malware. A estratégia do grupo é caracterizada por um padrão previsível, mas eficaz, que permite a evasão de detecções de segurança, embora não esconda sua identidade.

Pesquisas de segurança da Trail of Bits revelam que agentes de inteligência artificial modernos estão vulneráveis a ataques de injeção de argumentos, permitindo a execução remota de código (RCE). Essa vulnerabilidade explora uma falha arquitetônica fundamental na forma como esses agentes lidam com a execução de comandos do sistema. Ao utilizar utilitários de linha de comando como find, grep e git, os sistemas se tornam mais rápidos, mas também expõem uma superfície de ataque perigosa quando a entrada do usuário influencia os parâmetros dos comandos.

O Centro de Pesquisa Avançada da Trellix revelou uma nova campanha do grupo APT SideWinder, que utiliza um encadeamento de infecção baseado em PDF e ClickOnce para atacar alvos governamentais na Ásia do Sul. A campanha, ocorrida em setembro de 2025, visou diplomatas de países como Sri Lanka, Paquistão e Bangladesh, utilizando e-mails de phishing com documentos que pareciam legítimos. Ao clicar em um botão malicioso no PDF, as vítimas baixaram um aplicativo ClickOnce disfarçado de instalador do Adobe Reader, que, na verdade, carregava um DLL malicioso. Essa DLL, assinada com um certificado legítimo, permitiu a instalação de um malware chamado StealerBot. A análise da Trellix destacou que o SideWinder explorou uma vulnerabilidade no processo de instalação do ClickOnce, permitindo que dependências maliciosas fossem baixadas sem verificação de assinatura. O ataque demonstrou um nível elevado de sofisticação, com técnicas de evasão e obfuscação para dificultar a análise por pesquisadores fora da região. A campanha reflete a evolução das táticas do grupo, que agora utiliza métodos mais complexos para contornar defesas tradicionais e realizar espionagem.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma falha de segurança crítica no Motex Lanscope Endpoint Manager em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). A vulnerabilidade, identificada como CVE-2025-61932, possui uma pontuação CVSS v4 de 9.3 e afeta versões locais do Lanscope, especificamente o programa Cliente e o Agente de Detecção. Essa falha permite que atacantes executem código arbitrário em sistemas vulneráveis ao enviar pacotes especialmente elaborados. A CISA recomenda que as agências do Federal Civilian Executive Branch (FCEB) remedeiem essa vulnerabilidade até 12 de novembro de 2025, a fim de proteger suas redes. Embora ainda não se saiba como a vulnerabilidade está sendo explorada em ataques reais, o portal japonês Japan Vulnerability Notes (JVN) informou que um cliente da Motex recebeu um pacote malicioso suspeito de visar essa falha. As versões afetadas são as 9.4.7.1 e anteriores, enquanto as versões corrigidas incluem a 9.4.6.3.

Pesquisadores de cibersegurança identificaram um grupo de cibercriminosos chamado Jingle Thief, que tem como alvo ambientes de nuvem de organizações nos setores de varejo e serviços ao consumidor, visando fraudes com cartões-presente. Os atacantes utilizam técnicas de phishing e smishing para roubar credenciais e comprometer organizações que emitem esses cartões. Após obter acesso, eles buscam maximizar seu nível de acesso para emitir cartões não autorizados, que são revendidos em mercados paralelos, devido à sua natureza de difícil rastreamento.

No último domingo (19), a fintech brasileira FictorPay sofreu um ciberataque que resultou no desvio de R$ 26 milhões de seus clientes. O ataque foi possível devido a um vazamento de credenciais da empresa de software Dilleta Solutions, que confirmou a invasão e está colaborando com as autoridades para investigar o caso. Os hackers realizaram 282 transferências via Pix para 271 contas laranjas, utilizando um modelo de operação que não respeitava os limites de transações impostos pelo Banco Central (BC). Embora a FictorPay não tenha seus sistemas diretamente comprometidos, a situação levantou preocupações sobre a segurança do sistema Pix, especialmente em relação a limites de transações. O BC já havia imposto um limite de R$ 15 mil para transações de instituições não autorizadas, e agora considera estender essa limitação para instituições autorizadas, dada a gravidade do incidente. O ataque também afetou outros parceiros da Dilleta, totalizando um desvio de até R$ 40 milhões. A Celcoin, que integra a FictorPay ao sistema Pix, negou invasões diretas em seus sistemas, mas foi alertada sobre movimentações atípicas pelo BC.

Cibercriminosos têm explorado uma vulnerabilidade no ToolShell do Microsoft SharePoint, identificada como CVE-2025-53770, para invadir instituições governamentais em diversos continentes. Apesar de um patch ter sido lançado em julho de 2025 para corrigir a falha, ataques foram registrados em agências de telecomunicações no Oriente Médio, departamentos governamentais na África, agências estatais na América do Sul e uma universidade nos Estados Unidos. A vulnerabilidade permitia burlar a autenticação e executar códigos remotamente, sendo utilizada em conjunto com outras falhas, como CVE-2025-49704 e CVE-2025-49706, por grupos hackers chineses. Esses grupos, como Linen Typhoon e Violet Typhoon, têm utilizado malwares zero-day para realizar suas invasões. Além disso, técnicas de evasão de DLL foram empregadas para entregar malwares em servidores SQL e Apache HTTP. Os ataques visam roubar credenciais e garantir acesso persistente aos sistemas das vítimas, sugerindo um interesse em espionagem. A situação destaca a necessidade de vigilância contínua e atualização de sistemas para mitigar riscos de segurança.

O grupo de ransomware Genesis reivindicou ataques a nove empresas nos Estados Unidos, incluindo Healthy Living Market & Café e River City Eye Care, que já relataram vazamentos de dados. O ataque a Healthy Living, ocorrido em setembro de 2025, comprometeu informações sensíveis como nomes, números de Seguro Social, dados de depósitos diretos e registros médicos. Já o ataque a River City Eye Care expôs nomes, números de telefone, datas de nascimento e informações de identificação de alguns pacientes. Genesis afirma ter roubado 400 GB de dados da Healthy Living e 200 GB da River City Eye. Embora as empresas não tenham confirmado as alegações do grupo, a situação destaca a crescente ameaça de ransomware nos EUA, com 381 ataques confirmados em 2025 até agora, afetando mais de 15,2 milhões de registros. O valor médio do resgate exigido é de aproximadamente $984,600. A falta de ofertas de monitoramento de crédito ou proteção contra roubo de identidade para as vítimas é uma preocupação adicional. O aumento de ataques de ransomware, especialmente em setores críticos como saúde e alimentação, levanta questões sobre a segurança cibernética e a proteção de dados pessoais.

Pesquisadores de cibersegurança revelaram uma campanha de spear-phishing chamada PhantomCaptcha, que visa organizações envolvidas em esforços de ajuda à Ucrânia. O ataque, ocorrido em 8 de outubro de 2025, afetou membros da Cruz Vermelha Internacional, do Conselho Norueguês para Refugiados, da UNICEF e administrações regionais ucranianas. Os e-mails de phishing se disfarçaram como comunicações do Escritório do Presidente da Ucrânia, contendo um PDF malicioso que redirecionava as vítimas para um site falso do Zoom. Ao clicar, os usuários eram induzidos a executar um comando PowerShell malicioso através de uma página falsa de verificação de navegador. O malware resultante, um trojan de acesso remoto (RAT) baseado em WebSocket, permite a execução de comandos remotos e exfiltração de dados. A infraestrutura do ataque foi registrada em março de 2025, demonstrando planejamento sofisticado. Embora não tenha sido atribuído a um grupo específico, a técnica utilizada tem semelhanças com ataques de grupos de hackers associados à Rússia. A campanha destaca a necessidade de vigilância contínua e medidas de segurança robustas para organizações que operam em contextos de crise.

O grupo de ciberespionagem iraniano MuddyWater está por trás de uma nova campanha que utiliza uma conta de e-mail comprometida para distribuir um backdoor chamado Phoenix. Este ataque visa mais de 100 entidades governamentais na região do Oriente Médio e Norte da África (MENA), com foco em embaixadas, ministérios de Relações Exteriores e organizações internacionais. A campanha se destaca pelo uso de e-mails de phishing que parecem autênticos, aumentando a probabilidade de que os destinatários abram anexos maliciosos. Os pesquisadores de segurança da Group-IB relataram que o ataque envolve documentos do Microsoft Word que, ao serem abertos, solicitam que os usuários ativem macros, permitindo a execução de código VBA malicioso que instala o backdoor Phoenix. Este backdoor é carregado por um loader chamado FakeUpdate, que contém um payload criptografado. MuddyWater, que opera desde 2017 e está associado ao Ministério da Inteligência e Segurança do Irã, demonstrou uma capacidade aprimorada de integrar código personalizado com ferramentas comerciais para aumentar a furtividade e a persistência do ataque. A campanha representa um risco significativo para a segurança cibernética, especialmente para organizações governamentais e diplomáticas na região.

Um relatório da Microsoft revelou que, entre janeiro e julho de 2025, mais de 200 casos de hackers estrangeiros utilizaram inteligência artificial (IA) para criar e disseminar conteúdo falso e realizar ataques diretos a governos. Este número representa um aumento significativo em relação aos anos anteriores, com mais do que o dobro de casos registrados em 2024 e mais de dez vezes em comparação a 2023. Os cibercriminosos estão utilizando IA para automatizar ataques, como a tradução de e-mails de phishing, tornando-os mais convincentes e difíceis de identificar. Além disso, a criação de clones digitais de altos funcionários governamentais tem sofisticado as táticas de engenharia social, visando a obtenção de dados confidenciais e a desestabilização de serviços essenciais. A vice-presidente de Segurança e Confiança do Cliente da Microsoft, Amy Hogan-Buney, destacou que os EUA são o país mais visado, seguido por Israel e Ucrânia. Apesar das evidências, países como Rússia e China negam envolvimento em operações cibernéticas de espionagem. A Coreia do Norte, por sua vez, tem utilizado IA para criar identidades falsas, permitindo acesso a segredos comerciais e a instalação de malwares em empresas de tecnologia.

Uma investigação realizada pelo Varonis Threat Labs revelou uma vulnerabilidade crítica que permitiu a hackers criar aplicativos maliciosos no Azure utilizando nomes reservados da Microsoft. Ao contornar as salvaguardas, os atacantes conseguiram registrar nomes enganosos, como ‘Azure Portal’, induzindo os usuários a conceder permissões perigosas. Essa falha possibilitou que cibercriminosos obtivessem acesso inicial, mantivessem persistência e escalassem privilégios em ambientes Microsoft 365, expondo organizações a riscos de perda de dados e danos à reputação.

A Microsoft Threat Intelligence emitiu um alerta urgente sobre o aumento de atividades maliciosas direcionadas ao Azure Blob Storage. Essas campanhas exploram configurações inadequadas, assinaturas de acesso compartilhado (SAS) excessivamente permissivas e credenciais comprometidas para infiltrar, persistir e exfiltrar dados sensíveis de empresas armazenados em repositórios na nuvem. O Azure Blob Storage, que suporta operações críticas como inteligência artificial e análises, tornou-se um alvo atraente devido à sua capacidade de gerenciar grandes volumes de dados não estruturados.

Pesquisadores da CyberProof identificaram um aumento significativo nas infecções pelo Trojan de Acesso Remoto (RAT) Remcos entre setembro e outubro de 2025. Essa campanha de malware, que se espalha principalmente por meio de anexos de e-mail e engenharia social, representou cerca de 11% de todos os incidentes de roubo de informações no trimestre. Embora seja comercializado como uma ferramenta legítima de administração remota, o Remcos é frequentemente utilizado por cibercriminosos para roubo de credenciais e operações de persistência. Em um ataque recente, os alvos receberam e-mails de phishing com um arquivo compactado que, ao ser extraído, executou um script PowerShell ofuscado. Este script estabeleceu conexões web seguras e baixou um payload codificado, que foi executado diretamente na memória, confirmando a técnica de execução fileless. A injeção de código malicioso ocorreu em um processo legítimo, o RmClient.exe, dificultando a detecção por sistemas de defesa como EDRs. A análise revelou que os atacantes estavam focados em roubar credenciais armazenadas em navegadores, levando a alertas parciais de EDR. A campanha destaca a necessidade de as organizações reforçarem suas camadas de detecção e vigilância contra iscas de phishing direcionadas.

Pesquisadores de cibersegurança identificaram um novo ataque à cadeia de suprimentos que visa o gerenciador de pacotes NuGet, utilizando typosquats maliciosos da plataforma Nethereum, que integra o Ethereum com .NET. O pacote malicioso, denominado Netherеum.All, foi projetado para decodificar um ponto de controle e comando (C2) e exfiltrar frases mnemônicas, chaves privadas e dados de armazenamento de carteiras. O pacote foi carregado por um usuário chamado ’nethereumgroup’ em 16 de outubro de 2025 e removido quatro dias depois por violar os termos de uso do NuGet. O ataque se destaca pelo uso de um homoglyph cirílico que substitui a letra ’e’, enganando desenvolvedores desavisados. Além disso, os atacantes inflaram artificialmente as contagens de download, alegando 11,7 milhões de downloads, o que é um sinal de alerta, já que é improvável que uma nova biblioteca alcance tal número rapidamente. A principal funcionalidade maliciosa está em uma função chamada EIP70221TransactionService.Shuffle, que extrai dados sensíveis da carteira do usuário. Este incidente ressalta a vulnerabilidade do NuGet, que não impõe restrições rigorosas sobre esquemas de nomenclatura, ao contrário de outros repositórios de código aberto. Para mitigar riscos, os usuários devem verificar cuidadosamente as bibliotecas antes de baixá-las e monitorar o tráfego de rede anômalo.

Recentemente, grupos de ameaças ligados à China exploraram a vulnerabilidade ToolShell no Microsoft SharePoint para invadir uma empresa de telecomunicações no Oriente Médio, após a falha ter sido divulgada e corrigida em julho de 2025. Além da telecomunicação, alvos incluíram departamentos governamentais em um país africano, agências governamentais na América do Sul, uma universidade nos EUA e uma empresa de finanças na Europa. A vulnerabilidade CVE-2025-53770 permitiu a execução remota de código e foi utilizada por diversos grupos, como Linen Typhoon e Violet Typhoon, além do Salt Typhoon, que implementaram ferramentas como Zingdoor e ShadowPad. Os ataques também envolveram a exploração de servidores SQL e Apache, utilizando técnicas de side-loading de DLLs. A análise da Symantec indica que os atacantes estavam interessados em roubar credenciais e estabelecer acesso persistente às redes das vítimas, sugerindo um objetivo de espionagem. A situação destaca a necessidade de vigilância contínua e atualização de sistemas para mitigar riscos semelhantes.

Com a aceleração da transformação digital, o tráfego de bots representa mais da metade do tráfego na internet, com bots maliciosos sendo responsáveis pela maioria das ameaças. Esses ataques automatizados se tornaram uma das maiores ameaças para empresas online, pois os bots evoluíram para imitar o comportamento humano e se adaptar a medidas de segurança. As defesas tradicionais, como firewalls de aplicações web (WAFs) e detecções baseadas em JavaScript, são reativas e dependem de padrões conhecidos, tornando-se ineficazes contra bots modernos que mudam rapidamente. Além disso, as defesas do lado do cliente introduzem riscos adicionais, pois o código pode ser manipulado por atacantes. O artigo destaca que a detecção do lado do servidor, que analisa o comportamento e a intenção do tráfego, é a única estratégia eficaz para enfrentar essas novas ameaças. Essa abordagem permite que as empresas detectem bots que se disfarçam como usuários legítimos, aumentando a eficácia da segurança em até 33 vezes. A evolução dos bots exige uma defesa igualmente inteligente, pois os danos vão além das perdas financeiras, afetando a integridade dos dados e a competitividade das empresas.

A disputa entre provedores de VPN ganhou um novo capítulo quando a Windscribe, conhecida por seu serviço de VPN gratuito, afirmou que sua solução é mais rápida que a NordVPN, uma das líderes do setor. Em um post nas redes sociais, a Windscribe compartilhou um teste de velocidade que mostrava sua VPN gratuita superando a NordVPN em termos de velocidade de download. O teste foi realizado em um servidor da Surfshark, outro competidor de peso no mercado. Embora a postagem tenha gerado burburinho, especialistas alertam que um único teste de velocidade não é conclusivo. A velocidade de uma VPN pode ser influenciada por diversos fatores, como a localização do servidor, a carga de usuários, a hora do dia e o protocolo utilizado. Portanto, sem detalhes adicionais sobre as condições do teste, é difícil validar a alegação de forma científica. A Windscribe se posiciona como uma opção robusta no mercado de VPNs gratuitas, oferecendo 10GB de dados mensais e acesso a servidores em mais de 10 países. Em contraste, a NordVPN é vista como uma opção premium, com uma vasta rede de servidores e recursos avançados de segurança. Apesar do tom humorístico da provocação, os usuários devem considerar uma variedade de fatores antes de escolher um serviço de VPN, incluindo análises detalhadas e garantias de devolução de dinheiro.

O primeiro dia do Pwn2Own Ireland 2025 foi marcado por um sucesso notável, com pesquisadores de segurança demonstrando 34 vulnerabilidades zero-day em dispositivos de consumo, totalizando ganhos de $522.500. A competição, que visa identificar falhas de segurança em produtos reais, teve uma taxa de sucesso de 100%, sem tentativas falhas. As equipes focaram em dispositivos como impressoras, dispositivos de casa inteligente e sistemas de armazenamento conectados à rede. A equipe DDOS se destacou ao explorar oito vulnerabilidades em um roteador e um dispositivo de armazenamento QNAP, arrecadando $100.000. Outras equipes também conseguiram explorar dispositivos populares, como o Philips Hue Bridge e impressoras da Canon e HP. As metodologias de ataque incluíram estouros de buffer, injeções de comando e bypass de autenticação. Com mais dois dias de competição pela frente, espera-se que o total de prêmios aumente significativamente. As vulnerabilidades descobertas serão divulgadas de forma responsável aos fabricantes para correção, melhorando a segurança de milhões de usuários de dispositivos de consumo em todo o mundo.

Em meados de outubro de 2025, o site oficial do Xubuntu foi comprometido por atacantes que alteraram os links de download de torrents. Em vez de fornecer os arquivos .torrent legítimos, os visitantes foram direcionados para um arquivo ZIP malicioso intitulado ‘Xubuntu-Safe-Download.zip’. Dentro deste arquivo, encontrava-se um executável do Windows, ‘TestCompany.SafeDownloader.exe’, acompanhado de um arquivo ’tos.txt’ que continha uma falsa declaração de direitos autorais de 2026. O ataque, descoberto em 18 de outubro, destaca os riscos crescentes enfrentados por sites de distribuições Linux mantidos pela comunidade, especialmente com a migração de usuários do Windows 10, que chegou ao fim do suporte. O malware, projetado para roubar criptomoedas, foi identificado por membros das comunidades r/xubuntu e r/Ubuntu, que alertaram sobre a anomalia. Após a confirmação do ataque, os mantenedores do Xubuntu desativaram rapidamente a página comprometida e recomendaram que os usuários verificassem as somas de verificação dos arquivos ISO. Até o momento, não foram relatadas infecções confirmadas ou perdas de criptomoedas, mas o incidente serve como um lembrete da importância de práticas rigorosas de segurança em projetos de código aberto.

A Meta lançou um conjunto de novas ferramentas de segurança para o Messenger e WhatsApp, com o objetivo de proteger contas e ajudar especialmente os idosos a evitar fraudes comuns. Essas funcionalidades foram introduzidas durante o Mês de Conscientização sobre Cibersegurança e fazem parte de uma campanha global contra fraudes. Desde o início do ano, as equipes de segurança da Meta identificaram e interromperam quase 8 milhões de contas no Facebook e Instagram ligadas a centros de fraudes que visam pessoas em todo o mundo, incluindo idosos. Os novos recursos permitirão que os usuários relatem mensagens suspeitas com mais facilidade e bloqueiem automaticamente contas que apresentem comportamentos fraudulentos. Além disso, a Meta firmou parceria com o National Elder Fraud Coordination Center, uma organização sem fins lucrativos que reúne bancos, autoridades policiais e grupos de defesa para combater fraudes direcionadas a idosos. As fraudes mais comuns incluem serviços de reforma de casas falsos e serviços de recuperação de dinheiro que imitam sites oficiais, como o do FBI. O relatório de Crimes na Internet de 2024 do FBI revelou que americanos com 60 anos ou mais perderam cerca de 4,8 bilhões de dólares devido a fraudes no ano passado. As novas ferramentas e dicas visam tornar o Messenger e o WhatsApp mais seguros, especialmente para os idosos, que são mais vulneráveis a esses golpes.

Um novo malware baseado em Rust, chamado ChaosBot, foi descoberto utilizando a plataforma Discord para suas operações de Comando e Controle (C2). Diferente de botnets tradicionais, o ChaosBot oculta suas atividades maliciosas atrás do tráfego legítimo do Discord, criando canais de comunicação encobertos entre máquinas infectadas e atacantes. O malware valida seu acesso através da API do Discord, criando um canal privado que serve como um shell interativo, onde comandos como ‘shell’, ‘download’ e ‘scr’ (screenshot) podem ser executados. A infecção inicial ocorre por meio de credenciais comprometidas de VPN e Active Directory ou por e-mails de phishing disfarçados. O ChaosBot apresenta mecanismos avançados de evasão, como a desativação de rastreamento de eventos do Windows e a detecção de ambientes virtualizados, dificultando a identificação por ferramentas de segurança. A comunicação com a infraestrutura controlada pelos atacantes é realizada através de ferramentas legítimas, como o Fast Reverse Proxy (FRP) e o Visual Studio Code Tunnels, o que aumenta sua furtividade. Especialistas alertam que o uso de plataformas confiáveis para operações maliciosas representa uma tendência crescente entre famílias de malware em Rust, e recomendam que as organizações implementem autenticação multifator (MFA) e monitorem o tráfego da API do Discord.

A Kaspersky identificou uma nova campanha de ciberespionagem chamada PassiveNeuron, que visa organizações governamentais, financeiras e industriais na Ásia, África e América Latina. Os ataques foram inicialmente detectados em novembro de 2024, com foco em entidades governamentais na América Latina e na Ásia Oriental. Os invasores utilizam malwares sofisticados, como Neursite e NeuralExecutor, que permitem movimentação lateral na infraestrutura das vítimas e exfiltração de dados. A campanha se destaca pelo uso de servidores internos comprometidos como infraestrutura de comando e controle, dificultando a detecção. Os atacantes têm explorado vulnerabilidades em servidores Windows, possivelmente através de injeções SQL ou força bruta, para implantar backdoors e ferramentas como Cobalt Strike. Desde dezembro de 2024, novas infecções foram observadas, com indícios de que os autores sejam falantes de chinês. A Kaspersky alerta que a campanha é particularmente perigosa devido ao foco em servidores expostos à internet, que são alvos atrativos para ameaças persistentes avançadas (APTs).

Pesquisadores da Socket identificaram uma campanha de spamware que afeta usuários brasileiros do WhatsApp Web, envolvendo 131 extensões maliciosas do Google Chrome. Essas extensões, que compartilham o mesmo código-fonte e design, têm como objetivo contornar as restrições de envio de mensagens da plataforma, permitindo o envio em massa de spam. Com cerca de 20.905 usuários ativos, as extensões se disfarçam como ferramentas de automação para ajudar empresas a maximizar vendas. A campanha está em operação há pelo menos nove meses, com atualizações frequentes. A DBX Tecnologia, responsável pela extensão original, oferece um programa white-label que permite rebranding e revenda das extensões, prometendo lucros significativos. Essa prática viola as políticas da Chrome Web Store e levanta preocupações sobre a segurança e privacidade dos usuários, especialmente em relação à conformidade com a LGPD. Além disso, a Socket alerta que a DBX Tecnologia também promove vídeos que ensinam a burlar os algoritmos anti-spam do WhatsApp.

Pesquisadores da empresa de segurança cibernética Solo Iron, no Brasil, desmontaram uma campanha de malware conhecida como Maverick, que se espalha pelo WhatsApp Web. O vírus, que opera como um trojan, infecta computadores e rouba dados bancários. A investigação revelou que a operação dos hackers começou em 1º de outubro e utilizava técnicas de engenharia social para disseminar arquivos maliciosos disfarçados de documentos financeiros. O malware, que funciona na memória da máquina, evita a detecção por antivírus tradicionais ao não gravar arquivos em disco. A equipe da Solo Iron conseguiu acessar a infraestrutura dos cibercriminosos, revelando a escala da operação e os domínios envolvidos. O ataque é caracterizado por um alto nível de automação e permite que os criminosos monitorem a disseminação do trojan através de um painel administrativo. A análise detalhada do malware e suas implicações estão disponíveis no blog da Solo Iron.

Uma vulnerabilidade crítica de execução remota de código foi identificada na edição on-premise do LANSCOPE Endpoint Manager, permitindo que atacantes não autenticados executem comandos arbitrários com altos privilégios nos sistemas afetados. A falha, rastreada como CVE-2025-61932, afeta tanto o Programa Cliente (MR) quanto o Agente de Detecção (DA) nas versões 9.4.7.1 e anteriores. Pesquisadores de segurança descobriram que pacotes de rede especialmente elaborados podem acionar um erro severo no cliente MR e no agente DA, contornando todos os requisitos de interação do usuário, como cliques ou abertura de e-mails. Tentativas de exploração no mundo real já foram observadas, tornando a aplicação de patches urgente. A edição on-premise é a única afetada, enquanto a edição em nuvem permanece segura. Um patch já está disponível no portal de suporte oficial da LANSCOPE, e é crucial que todas as máquinas que executam a edição on-premise sejam atualizadas imediatamente para mitigar o risco de exploração.

O Apache Syncope revelou uma vulnerabilidade crítica, identificada como CVE-2025-57738, que permite que administradores autenticados executem código arbitrário em sistemas afetados. Essa falha afeta todas as versões do Apache Syncope 3.x anteriores à 3.0.14 e 4.x anteriores à 4.0.2, expondo as organizações a riscos significativos de comprometimento do sistema por meio da injeção de código Groovy malicioso.

A vulnerabilidade reside na implementação personalizada do Syncope, que permite que administradores estendam a funcionalidade central ao enviar código Java ou Groovy. Enquanto as extensões Java requerem arquivos JAR pré-compilados, os scripts Groovy podem ser enviados como código-fonte simples e compilados em tempo de execução, sem restrições de segurança. Isso significa que qualquer administrador com permissão para criar ou atualizar implementações Groovy pode injetar scripts que o servidor executa com privilégios totais.

Uma nova investigação da equipe de pesquisa de ameaças da Sekoia.io trouxe à tona a função do campo UserAuthenticationMethod nos logs de auditoria do Microsoft 365. Este campo, que antes era uma incógnita, é na verdade um bitfield que representa diferentes métodos de autenticação, permitindo uma análise mais clara dos eventos de login na plataforma. A pesquisa revelou que valores numéricos como 16, 272 ou 33554432 correspondem a métodos específicos de autenticação, como ‘Senha na Nuvem’ e ‘Login sem Senha’. Essa descoberta é crucial para analistas de segurança, pois permite monitorar a adoção de métodos de autenticação mais seguros e identificar fraquezas nas práticas de login. A equipe da Sekoia conseguiu mapear esses métodos ao correlacionar logs do Microsoft 365 com logs de login do Microsoft Entra ID, decifrando a lógica binária por trás dos valores. A decodificação do bitfield não só fecha uma lacuna significativa na visibilidade para os respondentes a incidentes, mas também destaca a evolução contínua das tecnologias de autenticação da Microsoft, com bits ainda não mapeados indicando futuras inovações. Essa pesquisa é um chamado para que os defensores contribuam com novas descobertas, fortalecendo o entendimento coletivo sobre a telemetria de autenticação do Microsoft 365.

O Luma Infostealer, um malware sofisticado, está ressurgindo como uma ameaça cibernética significativa, focando em credenciais de alto valor e ativos sensíveis em sistemas Windows. Distribuído através de um modelo de Malware-as-a-Service (MaaS), permite que até mesmo atacantes com pouca habilidade realizem campanhas complexas de roubo de dados. O malware é frequentemente disseminado em campanhas de phishing disfarçadas como softwares piratas, hospedados em plataformas legítimas como o MEGA Cloud, para evitar detecções. Ao ser executado, o Luma realiza uma decriptação em múltiplas etapas e injeção de processos para ativar seu payload, ocultando seu comportamento de soluções antivírus tradicionais.

A inteligência artificial (IA) tem um grande potencial para aprimorar a defesa cibernética, facilitando o trabalho dos profissionais de segurança. Ela pode ajudar a reduzir a fadiga de alertas, identificar padrões rapidamente e escalar operações de segurança de forma que os analistas humanos não conseguem. No entanto, a adoção de IA também amplia a superfície de ataque das organizações, exigindo governança clara, controles de identidade robustos e visibilidade nas decisões tomadas pela IA. Para garantir a segurança, é fundamental estabelecer confiança nos dados que a IA utiliza, responsabilidade pelas ações que executa e supervisão dos resultados que produz. O artigo destaca a importância de tratar sistemas de IA como identidades críticas dentro do gerenciamento de identidade e acesso (IAM), aplicando controles rigorosos como credenciais limitadas, autenticação forte e monitoramento contínuo. Além disso, sugere práticas recomendadas para proteger modelos de IA, incluindo controles de acesso, validação de dados e segurança na inferência. A integração responsável da IA nas operações de segurança pode permitir que as equipes trabalhem de maneira mais inteligente e eficaz, mas é essencial encontrar um equilíbrio entre automação e supervisão humana.

Pesquisadores em cibersegurança identificaram o malware PolarEdge, um botnet que visa roteadores de marcas como Cisco, ASUS, QNAP e Synology. Documentado pela primeira vez em fevereiro de 2025, o PolarEdge utiliza uma falha de segurança conhecida (CVE-2023-20118) para se infiltrar nos dispositivos, baixando um script shell que executa um backdoor. Este backdoor, implementado em ELF e baseado em TLS, monitora conexões de clientes e pode executar comandos recebidos de um servidor de comando e controle (C2). PolarEdge opera em dois modos: um modo de conexão reversa e um modo de depuração, permitindo modificações em sua configuração. Além disso, o malware emprega técnicas de anti-análise para ocultar suas operações e não garante persistência após reinicializações, embora utilize processos filhos para reativar-se. A descoberta do PolarEdge é relevante, especialmente considerando a crescente integração de dispositivos IoT e a vulnerabilidade de roteadores, que são alvos comuns de ataques. A situação é agravada pela possibilidade de que o malware tenha começado a operar desde junho de 2023, indicando um período prolongado de atividade maliciosa.

No dia 21 de outubro de 2025, a Meta anunciou novas ferramentas para proteger os usuários do Messenger e do WhatsApp contra possíveis fraudes. No WhatsApp, serão introduzidos avisos quando os usuários tentarem compartilhar a tela com contatos desconhecidos durante chamadas de vídeo, prevenindo a exposição de informações sensíveis, como dados bancários e códigos de verificação. No Messenger, uma nova configuração chamada ‘Detecção de Fraudes’ permitirá que os usuários recebam alertas sobre mensagens suspeitas de contatos desconhecidos. A detecção ocorre no dispositivo do usuário, garantindo que as conversas com criptografia de ponta a ponta permaneçam seguras. Caso uma mensagem seja identificada como potencialmente fraudulenta, os usuários poderão optar por enviar as mensagens para uma revisão por inteligência artificial, embora isso desative a criptografia. A Meta também relatou ter tomado medidas contra mais de 21 mil páginas e contas no Facebook que se passavam por suporte ao cliente, além de ter desativado cerca de 8 milhões de contas associadas a centros de fraudes. Esses esquemas, frequentemente relacionados a fraudes de investimento, manipulam emocionalmente as vítimas, levando-as a perder grandes quantias de dinheiro. A empresa continua a trabalhar para combater esses crimes, especialmente aqueles que visam populações vulneráveis, como os idosos.

Em outubro de 2025, pesquisadores da Kaspersky identificaram um ataque sofisticado à cadeia de suprimentos que visava o ecossistema npm, utilizando um pacote malicioso chamado https-proxy-utils. Este pacote se disfarçava como uma ferramenta de proxy legítima, mas tinha como objetivo entregar o AdaptixC2, um framework de pós-exploração que começou a ser observado em campanhas maliciosas desde a primavera de 2025. Os atacantes usaram uma técnica clássica de typosquatting, criando um nome de pacote que se assemelhava a pacotes npm populares e legítimos, como http-proxy-agent e https-proxy-agent, que recebem milhões de downloads semanalmente. O pacote malicioso incluía um script pós-instalação que baixava e executava automaticamente o agente AdaptixC2, adaptando-se a diferentes sistemas operacionais, como Windows, Linux e macOS. Uma vez instalado, o AdaptixC2 oferece aos atacantes acesso remoto, execução de comandos e gerenciamento de arquivos, permitindo que mantenham acesso contínuo a sistemas comprometidos. Este incidente destaca a crescente ameaça de ataques à cadeia de suprimentos em ecossistemas de software de código aberto, exigindo que organizações e desenvolvedores verifiquem cuidadosamente os nomes dos pacotes antes da instalação.

Entre maio e agosto de 2025, o grupo de ameaça persistente avançada (APT) conhecido como Cavalry Werewolf, também rastreado como YoroTrooper e Silent Lynx, conduziu uma campanha de ciberataques sofisticada, visando o setor público e a infraestrutura crítica da Rússia. As indústrias de energia, mineração e manufatura foram os principais alvos, com o uso de malwares personalizados, como FoalShell e StallionRAT, através de operações de spear-phishing altamente direcionadas, disfarçadas como correspondências oficiais do governo.

O malware GlassWorm representa uma nova ameaça no cenário de ataques à cadeia de suprimentos, sendo o primeiro worm a atacar extensões do VS Code no marketplace OpenVSX. Detectado inicialmente na ferramenta de produtividade CodeJoy, o malware utiliza caracteres especiais de Unicode que aparecem como espaços em branco, tornando o código invisível tanto para revisores humanos quanto para ferramentas de análise automática. Após a instalação, o GlassWorm coleta credenciais sensíveis, como tokens do NPM e credenciais do GitHub, além de escanear extensões de carteiras de criptomoedas para drenar fundos. O malware opera com uma infraestrutura de comando e controle descentralizada, utilizando a blockchain Solana para comunicação, o que torna sua remoção extremamente difícil. Além disso, ele emprega eventos do Google Calendar para garantir a persistência de sua operação. Com mais de 35 mil instalações detectadas, o GlassWorm exemplifica os riscos exponenciais que os worms modernos representam para desenvolvedores e usuários. A situação exige atenção redobrada das equipes de segurança, especialmente em um ambiente onde a revisão de código se mostrou insuficiente para detectar tais ameaças.

Um novo e sofisticado kit de ferramentas de ransomware, chamado Monolock, foi identificado em fóruns da dark web, gerando preocupação nas comunidades de cibersegurança. Este ransomware é projetado para campanhas de ataque rápidas e automatizadas, apresentando capacidades técnicas avançadas. O Monolock oferece um pacote completo para operações de ransomware, incluindo módulos para automação de comando e controle, escalonamento de privilégios e técnicas de evasão persistente. Além disso, possui ferramentas para deletar cópias de sombra em sistemas-alvo, dificultando estratégias comuns de recuperação de desastres. O kit também conta com recursos anti-análise que evitam a execução em ambientes de segurança. Os operadores do Monolock estão recrutando afiliados com experiência em implantação de malware, oferecendo um programa de afiliados que inclui taxas de registro e uma divisão de lucros. A emergência do Monolock se alinha com a tendência de ransomware como serviço (RaaS), permitindo que grupos criminosos menores tenham acesso a ferramentas avançadas. Especialistas em segurança recomendam que as organizações monitorem indicadores de comprometimento relacionados ao Monolock e mantenham backups offline para se protegerem contra essa nova ameaça.

Um grupo de ciberespionagem vinculado à China, conhecido como Salt Typhoon, atacou uma organização de telecomunicações na Europa na primeira semana de julho de 2025. Os invasores exploraram uma vulnerabilidade em um dispositivo Citrix NetScaler Gateway para obter acesso inicial. Salt Typhoon, ativo desde 2019, é conhecido por suas táticas de persistência e exfiltração de dados sensíveis em mais de 80 países, incluindo os EUA. Durante o ataque, os hackers utilizaram o Citrix Virtual Delivery Agent (VDA) para se mover lateralmente na rede da vítima, além de empregar o SoftEther VPN para ocultar suas origens. Um dos malwares utilizados foi o Snappybee, que se aproveita de uma técnica chamada DLL side-loading, onde arquivos DLL maliciosos são carregados junto a executáveis legítimos de software antivírus. A atividade maliciosa foi identificada e mitigada antes que pudesse causar danos maiores. A natureza furtiva e a capacidade de reutilizar ferramentas confiáveis tornam o Salt Typhoon um adversário desafiador para as defesas cibernéticas.

Pesquisadores de cibersegurança da Socket descobriram uma campanha sofisticada de spam que envolve 131 extensões do Chrome, direcionadas a usuários do WhatsApp. Essas extensões, que compartilham códigos e infraestrutura idênticos, afetam pelo menos 20.905 usuários ativos, violando as políticas do Chrome Web Store e do WhatsApp. A operação é conduzida pela DBX Tecnologia, uma empresa brasileira que licencia versões personalizadas das extensões para revendedores, prometendo margens de lucro significativas. Apesar da diversidade de marcas, todas as extensões foram publicadas por apenas duas contas de desenvolvedor. As extensões utilizam métodos técnicos avançados para injetar código malicioso na interface do WhatsApp Web, permitindo o envio automatizado de mensagens em massa, o que contraria as políticas de consentimento do WhatsApp. A Socket já solicitou a remoção das extensões e a suspensão das contas dos desenvolvedores. A empresa recomenda que organizações adotem ferramentas de proteção para extensões do Chrome e monitorem as permissões e atualizações das extensões em uso.

O Gabinete de Segurança Institucional (GSI) do Brasil anunciou um acordo com a Amazon para a hospedagem de dados governamentais, incluindo informações classificadas e sigilosas, na Amazon Web Services (AWS). A nova normativa, que substitui uma proibição anterior de 2021, permite que dados sejam armazenados em nuvens de empresas privadas, desde que os data centers estejam localizados no Brasil. Especialistas levantam preocupações sobre a segurança e a soberania dos dados, citando legislações americanas, como o Cloud Act, que podem exigir que empresas entreguem dados sob ordens judiciais, mesmo que estejam fora dos EUA. A AWS, por sua vez, afirma que os clientes têm controle total sobre seus dados e que não pode acessá-los sem autorização. A Agência Nacional de Proteção de Dados (ANPD) não participou da elaboração do acordo, mas poderá intervir para garantir a conformidade com a legislação brasileira. Além disso, um recente apagão nos servidores da AWS levantou questões sobre a confiabilidade do serviço, o que poderia afetar a segurança de informações sensíveis do governo brasileiro.