Eset

Um novo grupo de ameaças, identificado como InedibleOchotense, foi observado realizando ataques de phishing que se disfarçam como a empresa de cibersegurança ESET, visando entidades ucranianas. A campanha, detectada em maio de 2025, utiliza e-mails e mensagens no Signal para enviar links para um instalador trojanizado da ESET. O e-mail, escrito em ucraniano, contém um erro de tradução que sugere uma origem russa. O instalador malicioso não apenas entrega o ESET AV Remover legítimo, mas também uma variante de um backdoor chamado Kalambur, que utiliza a rede Tor para controle remoto. Além disso, o grupo Sandworm, associado à Rússia, continua a realizar ataques destrutivos na Ucrânia, utilizando malware de limpeza de dados. Outro ator, RomCom, também explorou uma vulnerabilidade do WinRAR para realizar campanhas de phishing, visando setores financeiros e de defesa na Europa e Canadá. Esses incidentes destacam a crescente complexidade e a interconexão das ameaças cibernéticas na região, com implicações diretas para a segurança de dados e operações de empresas que utilizam tecnologias amplamente adotadas, como as da ESET.

Pesquisadores de cibersegurança da ESET descobriram duas campanhas de spyware para Android, chamadas ProSpy e ToSpy, que se disfarçam de aplicativos legítimos como Signal e ToTok, visando usuários nos Emirados Árabes Unidos. As aplicações maliciosas são distribuídas por meio de sites falsos e engenharia social, enganando os usuários para que as baixem manualmente, uma vez que não estão disponíveis nas lojas oficiais de aplicativos.

A campanha ProSpy, identificada em junho de 2025, é considerada ativa desde 2024 e utiliza sites enganosos que imitam o Signal e o ToTok para hospedar arquivos APK maliciosos. O ToTok, que foi removido das lojas oficiais em 2019 por suspeitas de espionagem, é utilizado como isca. Os aplicativos maliciosos solicitam permissões para acessar contatos, mensagens SMS e arquivos, exfiltrando dados do dispositivo.

O HybridPetya é um novo tipo de ransomware que explora uma vulnerabilidade na Interface Unificada do Firmware Extensível (UEFI), permitindo que o malware tome controle do computador antes mesmo de sua inicialização completa. Identificado por pesquisadores da ESET, esse bootkit é o quarto a conseguir burlar as defesas do sistema operacional Windows, similar a vírus anteriores como Petya e NotPetya. Embora o HybridPetya ainda seja uma prova de conceito e não tenha sido amplamente disseminado, ele representa uma ameaça significativa, pois pode criptografar a Master File Table (MFT) dos discos rígidos, exigindo um resgate de US$ 1.000 em Bitcoin para a recuperação dos arquivos. A vulnerabilidade explorada, CVE-2024-7344, já foi corrigida pela Microsoft em atualizações recentes. Apesar de não estar ativo, especialistas alertam para a necessidade de monitoramento contínuo, dado o potencial de evolução de ameaças semelhantes. O impacto do NotPetya em 2017, que causou prejuízos de mais de R$ 50 bilhões globalmente, serve como um alerta sobre os riscos associados a esse novo ransomware.

Pesquisadores de cibersegurança identificaram uma nova variante de ransomware chamada HybridPetya, que se assemelha ao famoso malware Petya/NotPetya, mas com a capacidade de contornar o mecanismo Secure Boot em sistemas UEFI. A empresa ESET, da Eslováquia, revelou que amostras do malware foram enviadas à plataforma VirusTotal em fevereiro de 2025. O HybridPetya criptografa a Master File Table (MFT), que contém metadados cruciais sobre arquivos em partições formatadas em NTFS. Diferente de suas versões anteriores, ele instala um aplicativo EFI malicioso na partição do sistema EFI, permitindo a criptografia da MFT. O ransomware possui dois componentes principais: um bootkit e um instalador, sendo o bootkit responsável por verificar o status de criptografia e executar o processo de criptografia. Caso o sistema já esteja criptografado, uma nota de resgate é apresentada ao usuário, exigindo o pagamento de $1.000 em Bitcoin. Embora não haja evidências de que o HybridPetya esteja sendo utilizado ativamente, a descoberta destaca a crescente complexidade e sofisticação dos ataques de ransomware, especialmente em relação a sistemas UEFI. A ESET também observou que variantes do HybridPetya exploram vulnerabilidades conhecidas, como a CVE-2024-7344, que permite a execução remota de código e a violação do Secure Boot.

Pesquisadores da ESET, Anton Cherepanov e Peter Strycek, descobriram o PromptLock, o primeiro ransomware desenvolvido com a ajuda de inteligência artificial. Embora ainda não tenha sido visto em ação, a ESET alertou a comunidade de cibersegurança sobre essa nova ameaça. O PromptLock utiliza o modelo gpt-oss-20b da OpenAI, que é uma versão gratuita do ChatGPT, e opera localmente em dispositivos infectados através da API Ollama.

O ransomware é capaz de inspecionar arquivos, extrair dados e criptografá-los, podendo futuramente ser utilizado para extorsão. Ele é compatível com sistemas operacionais Windows, Linux e macOS. O código do malware indica que ele pode até destruir arquivos, embora essa funcionalidade ainda não esteja totalmente implementada. O PromptLock utiliza a encriptação SPECK de 128 bits e é escrito na linguagem Go. A ESET também observou que variantes do malware foram enviadas para a plataforma VirusTotal, que serve como repositório de vírus para especialistas em segurança.

Pesquisadores da ESET descobriram o PromptLock, o primeiro ransomware conhecido a utilizar inteligência artificial. Este malware, que ainda é considerado um conceito em desenvolvimento, utiliza scripts em Lua gerados por prompts codificados para explorar sistemas de arquivos locais, inspecionar arquivos-alvo, exfiltrar dados selecionados e realizar criptografia. O PromptLock opera localmente através da API Ollama, utilizando o modelo gpt-oss:20b da OpenAI, lançado em agosto de 2025. A versatilidade dos scripts em Lua permite que o malware funcione em diferentes sistemas operacionais, como macOS, Linux e Windows. Embora o PromptLock ainda não tenha sido observado em ataques reais, especialistas alertam que a combinação de inteligência artificial e ransomware representa uma nova era de ameaças cibernéticas, tornando os ataques mais acessíveis e difíceis de detectar. A imprevisibilidade dos resultados gerados por modelos de linguagem torna a defesa contra esses ataques ainda mais desafiadora, aumentando a preocupação entre as equipes de segurança.