Credenciais Comprometidas

A Polícia Federal Australiana (AFP) acusou dois homens do Oeste da Austrália, Louis Michael Gaebler, de 23 anos, e Ruben Ian Thomson, de 21 anos, de 14 crimes relacionados ao grupo de cibercrime TeamPCP. O grupo é responsável pela violação de scanners de segurança de código aberto, como Trivy e Checkmarx KICS, além do gateway de IA LiteLLM, em março de 2026. As investigações revelaram que os acusados eram participantes principais do esquema e recebiam pagamentos em criptomoedas. A campanha comprometeu mais de mil organizações globalmente, resultando no roubo de mais de 500 mil credenciais e na exfiltração de pelo menos 300 gigabytes de dados. A FBI alertou que os dados e credenciais exfiltrados representam um risco contínuo, recomendando a rotação de segredos de integração e entrega contínuas. O ataque foi executado através do roubo de credenciais de projetos de código aberto confiáveis, permitindo que versões comprometidas fossem distribuídas pelos próprios canais de liberação dos projetos. A AFP e a polícia local realizaram buscas em várias propriedades e apreenderam dispositivos eletrônicos para análise forense.

Em março de 2026, duas versões maliciosas do pacote LiteLLM foram disponibilizadas no repositório PyPI por cerca de 40 minutos, contendo código projetado para roubar credenciais de sistemas que as instalassem. A empresa de inteligência de ameaças CloudSEK revelou que um conjunto de dados obtido, composto por aproximadamente 434.000 arquivos capturados, mapeia a exposição potencial de mais de 2.500 organizações. Embora esses números não representem o total de vítimas, eles indicam um risco significativo. As versões comprometidas, identificadas como 1.82.7 e 1.82.8, foram retiradas do PyPI após a detecção, mas a recomendação é que as organizações afetadas realizem a rotação de suas credenciais imediatamente. O FBI também alertou que as credenciais exfiltradas podem ser exploradas a longo prazo, enfatizando a necessidade de rotacionar segredos de CI/CD e credenciais de nuvem. O ataque está ligado a uma campanha maior, conhecida como TeamPCP, que comprometeu o scanner Trivy da Aqua Security. O incidente destaca a vulnerabilidade das cadeias de suprimento de software e a importância de práticas de segurança robustas para evitar a exploração de credenciais expostas.

A plataforma de inteligência artificial de código aberto Hugging Face revelou que foi alvo de um ataque cibernético realizado por um sistema de agente autônomo de IA. O incidente, detectado na semana passada, resultou em acesso não autorizado a um conjunto limitado de dados internos e credenciais de serviços. A investigação ainda está em andamento, mas a empresa afirmou que não há evidências de que o agente de IA tenha comprometido modelos públicos ou a cadeia de suprimentos de software da Hugging Face.

Um novo estudo revela que atores de ameaças estão comercializando abertamente o acesso a sites hackeados, com foco especial nas credenciais comprometidas do cPanel. O cPanel, um painel de controle amplamente utilizado para hospedagem de sites, permite que atacantes realizem uma série de atividades maliciosas, como implantar backdoors, criar novos usuários administrativos e disseminar campanhas de phishing. A pesquisa da Flare analisou mais de 200 mil postagens em grupos fraudulentos ao longo de uma semana, revelando um ecossistema estruturado que opera em larga escala. Os atacantes frequentemente obtêm acesso por meio de credenciais roubadas ou explorando vulnerabilidades em aplicações web. A venda de cPanels comprometidos é altamente commoditizada, com preços variando conforme a qualidade e a reputação da infraestrutura. A falta de autenticação multifatorial e senhas fracas são fatores que contribuem para a vulnerabilidade. Para mitigar esses riscos, as organizações devem implementar medidas de segurança robustas, como autenticação multifatorial e monitoramento contínuo de atividades suspeitas.

Os mantenedores do sistema de construção nx alertaram os usuários sobre um ataque à cadeia de suprimentos que permitiu a publicação de versões maliciosas de pacotes npm populares, incluindo o nx e plugins auxiliares. Essas versões continham código que escaneava o sistema de arquivos, coletava credenciais e as enviava para repositórios no GitHub sob as contas dos usuários. O ataque ocorreu devido a uma vulnerabilidade introduzida em um fluxo de trabalho em 21 de agosto de 2025, que permitiu a execução de código malicioso através de um pull request. Embora a vulnerabilidade tenha sido revertida rapidamente, um ator malicioso conseguiu explorar uma branch desatualizada. As versões comprometidas foram removidas do registro npm, mas os usuários são aconselhados a rotacionar suas credenciais e tokens do GitHub e npm, além de verificar arquivos de configuração do sistema para instruções suspeitas. O ataque destaca a crescente sofisticação dos ataques à cadeia de suprimentos, especialmente com o uso de assistentes de IA para exploração maliciosa.