Defesa Cibernética

O conceito de ’ecossistema de espionagem’ refere-se a organizações complexas, geralmente patrocinadas por estados autoritários, que utilizam tecnologias sofisticadas para realizar atividades de espionagem. Essas entidades visam desde a interrupção de cadeias de suprimento até o roubo de informações sensíveis, como planos de produtos e estratégias legais. Ao contrário de ataques rápidos, essas operações buscam acesso profundo e de longo prazo às redes críticas das organizações, muitas vezes infiltrando-se através de funcionários desprevenidos.

A OpenAI alertou que seus futuros Modelos de Linguagem de Grande Escala (LLMs) podem representar riscos cibernéticos significativos, potencialmente facilitando o desenvolvimento de exploits zero-day e campanhas de ciberespionagem avançadas. Em um recente comunicado, a empresa destacou que as capacidades cibernéticas de seus modelos estão evoluindo rapidamente, o que, embora possa parecer preocupante, também traz benefícios para a defesa cibernética. Para mitigar esses riscos, a OpenAI está investindo em ferramentas de defesa, controles de acesso e um programa de cibersegurança em camadas. A empresa planeja introduzir um programa que oferecerá aos usuários acesso a capacidades aprimoradas para tarefas de cibersegurança. Além disso, a OpenAI formará um conselho consultivo, o Frontier Risk Council, composto por especialistas em cibersegurança, que ajudará a definir limites entre capacidades úteis e potenciais abusos. A OpenAI também participa do Frontier Model Forum, onde compartilha conhecimentos e melhores práticas com parceiros da indústria, visando identificar como as capacidades de IA podem ser potencialmente armadas e como mitigar esses riscos.

Um grupo de ameaças cibernéticas suspeito de espionagem, atribuído ao Irã, tem utilizado backdoors como TWOSTROKE e DEEPROOT para atacar indústrias de defesa e aviação no Oriente Médio. O grupo, identificado como UNC1549, foi monitorado entre 2023 e 2025, empregando técnicas sofisticadas para obter acesso inicial, como o abuso de relacionamentos com terceiros e campanhas de phishing direcionadas. Recentemente, a empresa PRODAFT associou o grupo a uma campanha que comprometeu 11 empresas de telecomunicações na Europa, utilizando engenharia social via LinkedIn. As cadeias de infecção incluem phishing para roubo de credenciais e exploração de vulnerabilidades em serviços como Citrix e Azure. Após a infiltração, as atividades dos atacantes incluem reconhecimento, movimentação lateral e roubo de informações sensíveis. Ferramentas personalizadas, como MINIBIKE e TWOSTROKE, são utilizadas para coletar dados do sistema e manter a persistência na rede alvo. O grupo se destaca por sua capacidade de evitar detecções e garantir acesso contínuo, utilizando técnicas como shells reversos SSH e domínios que imitam a indústria das vítimas.

Um estudo recente revela que entre 50% e 61% das vulnerabilidades recém-divulgadas têm seu código de exploração desenvolvido em até 48 horas. Com base no catálogo de vulnerabilidades conhecidas da CISA, centenas de falhas de software são rapidamente alvo de ataques após sua divulgação. Essa dinâmica cria uma corrida global entre atacantes e defensores, onde os primeiros operam em velocidade de máquina, enquanto as equipes de TI e segurança atuam em ritmo humano. A automação se tornou essencial, pois a tradicional abordagem de patching mensal ou trimestral já não é suficiente. Os atacantes, que operam com scripts automatizados e inteligência artificial, conseguem explorar vulnerabilidades críticas antes que as organizações tenham tempo de analisá-las ou aplicar correções. Além disso, os atacantes podem se dar ao luxo de falhar em suas tentativas, enquanto os defensores precisam garantir uma estabilidade quase perfeita. Para enfrentar essa nova realidade, as organizações devem adotar sistemas de resposta automatizados e políticas de remediação ágeis, que permitam uma defesa mais rápida e eficaz. A automação não apenas reduz a carga de trabalho das equipes de segurança, mas também melhora a eficiência na aplicação de patches e na resposta a incidentes, tornando a defesa cibernética um processo adaptativo e autossustentável.

Os ataques de cadeia de suprimentos habilitados por inteligência artificial (IA) cresceram 156% no último ano, evidenciando a falência das defesas tradicionais. O malware gerado por IA apresenta características inovadoras, como ser polimórfico, consciente do contexto e camuflado semanticamente, o que dificulta sua detecção. Casos reais, como a violação da 3CX que afetou 600 mil empresas, demonstram a gravidade da situação. O tempo médio para identificar uma violação aumentou para 276 dias, e as ferramentas de segurança tradicionais falham em responder a ameaças que se adaptam ativamente. Novas estratégias de defesa estão sendo implementadas, incluindo a segurança ciente de IA e a análise de comportamento. Além disso, a conformidade regulatória, como a Lei de IA da UE, impõe penalidades severas por violações. A situação exige ação imediata das organizações para se protegerem contra essas ameaças emergentes.

O Picus Breach and Simulation (BAS) Summit deste ano destacou uma mudança significativa na abordagem da cibersegurança, enfatizando que a defesa não se trata mais de prever ataques, mas de provar a eficácia das defesas existentes. Com a velocidade com que novos exploits surgem e se espalham, a necessidade de testar controles em tempo real se torna crucial. O BAS evoluiu de uma atividade anual de conformidade para uma prática diária que valida se as defesas estão realmente funcionando. A simulação de comportamentos adversariais em ambientes controlados permite que as equipes de segurança entendam como suas defesas reagem a ataques, focando em resultados e não apenas em inventários de vulnerabilidades. Além disso, a integração da inteligência artificial no processo de cibersegurança se mostrou mais eficaz na organização de dados do que na criação de novos, permitindo uma resposta mais rápida e precisa a ameaças. O evento também evidenciou que a validação contínua das defesas pode transformar a abordagem de ‘corrigir tudo’ para ‘corrigir o que realmente importa’, priorizando as vulnerabilidades que representam riscos reais. Essa mudança de paradigma é essencial para que as organizações se mantenham à frente das ameaças cibernéticas.

Um estudo da Coveware revelou que apenas 23% das empresas vítimas de ataques de ransomware pagaram os resgates exigidos no terceiro trimestre de 2025, a menor taxa já registrada. Essa queda reflete uma mudança significativa na postura das organizações, que estão investindo mais em defesas contra ataques cibernéticos em vez de ceder às exigências dos criminosos. A média dos valores pagos também caiu drasticamente, com uma redução de 66% em relação ao trimestre anterior, totalizando US$ 376 mil. A evolução dos ataques de ransomware, que agora frequentemente incluem a exfiltração de dados, tem levado as empresas a reconsiderarem suas estratégias de pagamento. Especialistas apontam que cada pagamento evitado limita os recursos dos cibercriminosos, dificultando suas operações. Além disso, a conscientização sobre os riscos e a pressão regulatória têm contribuído para essa resistência crescente. As empresas estão adotando medidas de segurança mais robustas, como autenticação multifator e treinamento de funcionários, para prevenir ataques. A tendência é que os grupos de ransomware se tornem mais seletivos em seus alvos, focando em grandes corporações que possam pagar resgates elevados, enquanto tentam adaptar suas táticas para se manterem lucrativos.

Grupos de ransomware têm utilizado ferramentas de acesso remoto (RATs) legítimas, como AnyDesk e UltraViewer, para estabelecer pontos de acesso furtivos e evitar detecções. Ao abusar de versões gratuitas ou empresariais dessas ferramentas, os atacantes conseguem contornar controles de segurança tradicionais, aproveitando assinaturas digitais confiáveis e canais criptografados para manter a persistência e movimentar-se lateralmente na rede.

Após o acesso inicial, geralmente por meio de força bruta em RDP ou reutilização de credenciais, os operadores exploram serviços RAT pré-instalados. Técnicas como ‘sequestro’ de serviços e instalação silenciosa são comuns, permitindo que os atacantes evitem alertas de segurança. Uma vez que os serviços RAT estão ativos, eles escalam privilégios e manipulam políticas de segurança do Windows para excluir diretórios RAT de varreduras de antivírus.