Dados

Um novo conjunto de 60 pacotes maliciosos foi descoberto atacando o ecossistema RubyGems, disfarçando-se como ferramentas de automação para redes sociais e serviços de mensagens, com o objetivo de roubar credenciais de usuários desavisados e possivelmente revendê-las em fóruns da dark web. A atividade está ativa desde pelo menos março de 2023, com mais de 275.000 downloads registrados. Os pacotes foram publicados por um ator de ameaças que usa os pseudônimos zon, nowon, kwonsoonje e soonje, e visam plataformas como Instagram, Twitter/X, TikTok e WordPress. Embora os pacotes ofereçam funcionalidades legítimas, como postagem em massa, também possuem um recurso oculto que exfiltra nomes de usuário e senhas para servidores controlados pelos atacantes. Entre os alvos estão profissionais de marketing que utilizam esses pacotes para campanhas de spam e otimização de mecanismos de busca (SEO). Além disso, a GitLab detectou pacotes de typosquatting no Python Package Index (PyPI), que visam roubar criptomoedas de carteiras Bittensor, ocultando código malicioso em funções de estaca aparentemente legítimas. O PyPI anunciou novas restrições para proteger instaladores de pacotes Python contra ataques de confusão, prometendo rejeitar pacotes que não coincidam com os metadados incluídos após um período de advertências. Essas descobertas ressaltam a necessidade de vigilância contínua na segurança da cadeia de suprimentos de software.

Nos últimos anos, a segurança das credenciais tem se tornado uma preocupação crescente para organizações em todo o mundo. Um relatório da Verizon de 2025 revelou que 22% das violações de dados em 2024 foram causadas por credenciais vazadas, superando técnicas de phishing e exploração de software. Em 2025, a Cyberint, uma empresa de gestão de riscos, registrou um aumento de 160% nas credenciais vazadas em comparação ao ano anterior. Este cenário é agravado pela facilidade de roubo de credenciais, com malwares como infostealers permitindo que atacantes de baixa qualificação coletem dados de login de forma automatizada. As credenciais vazadas não só são utilizadas para invasões diretas de contas, mas também podem resultar em fraudes financeiras, campanhas de spam e extorsão. A Cyberint utiliza sistemas automatizados para monitorar uma ampla variedade de fontes e detectar essas exposições em larga escala, correlacionando padrões de domínio e reutilização de senhas. A falta de monitoramento em dispositivos pessoais de funcionários representa um desafio adicional, pois 46% das credenciais vazadas estavam associadas a dispositivos desprotegidos. Apesar de políticas de senhas e autenticação de múltiplos fatores, o roubo de credenciais continua sendo uma probabilidade real. Portanto, a capacidade de detectar e remediar rapidamente exposições é crucial para a defesa cibernética das organizações. O relatório completo oferece insights sobre como as empresas podem operacionalizar essa inteligência para proteger suas credenciais e reduzir riscos.

Pesquisadores de cibersegurança estão alertando sobre uma nova campanha que utiliza ferramentas legítimas de construção de sites com inteligência artificial generativa, como DeepSite AI e BlackBox AI, para criar páginas de phishing que imitam agências governamentais brasileiras. Essas páginas falsas visam enganar usuários desavisados a realizarem pagamentos indevidos através do sistema de pagamento PIX, conforme reportado pela Zscaler ThreatLabz. Os sites fraudulentos imitam o Departamento de Trânsito e o Ministério da Educação, coletando informações pessoais sensíveis, como CPF e endereços residenciais, sob o pretexto de realizar exames psicométricos ou garantir uma oferta de emprego. Para aumentar a legitimidade, as páginas de phishing coletam dados de forma progressiva, imitando o comportamento de sites autênticos. Análises do código fonte revelaram características de ferramentas de IA, como comentários excessivamente explicativos e elementos não funcionais. Além disso, a campanha de phishing valida os CPFs por meio de uma API controlada pelos atacantes. Em outra frente, o Brasil enfrenta uma campanha de malspam que distribui o trojan Efimer, disfarçado como comunicações de advogados, para roubar criptomoedas. O malware propaga-se por sites WordPress comprometidos e e-mails falsos, utilizando técnicas variadas para coletar informações e infectar dispositivos. Com cerca de 5.015 usuários afetados, a maioria das infecções está concentrada no Brasil e em outros países. Os pesquisadores alertam que, embora os ataques atuais estejam gerando quantias relativamente pequenas, eles podem resultar em danos mais significativos no futuro.