Eset

As equipes de TI e segurança corporativa enfrentam o desafio de proteger suas organizações contra adversários cada vez mais sofisticados, com recursos limitados e superfícies de ataque em expansão. A construção de um Centro de Operações de Segurança (SOC) interno é inviável para muitas empresas, especialmente as menores. Para mitigar esses riscos, é essencial adotar uma abordagem proativa que combine prevenção, detecção e resposta a incidentes, além de inteligência de ameaças precisa e oportuna. Nesse contexto, os serviços de Detecção e Resposta Gerenciados (MDR) surgem como uma solução viável, oferecendo monitoramento e caça a ameaças de forma escalável e com suporte de especialistas. A ESET, por exemplo, disponibiliza uma equipe de pesquisa de ameaças que fornece informações valiosas sobre atores maliciosos e suas táticas, ajudando as empresas a se protegerem de brechas. A colaboração entre as equipes de MDR e os clientes permite uma compreensão mais profunda das ameaças e uma resposta mais ágil a incidentes, o que é crucial em um cenário onde ataques cibernéticos estão em ascensão, especialmente em setores vulneráveis como o de serviços terceirizados.

Um pesquisador independente de malware documentou um backdoor inédito para Windows, chamado SLEEPWALKER, que permanece inativo na memória até receber um pacote de rede especificamente elaborado. Este malware, uma biblioteca de link dinâmico (DLL) de 64 bits, é projetado para ser carregado no executável ERAAgent.exe, utilizado pelo ESET Management Agent. O SLEEPWALKER se disfarça como a biblioteca legítima dpapi.dll, exportando funções de proteção de dados semelhantes.

O backdoor não possui conexões de saída e não contém domínios ou endereços IP, o que o torna difícil de detectar por ferramentas de segurança. Ele utiliza um conjunto de 23 instruções em um formato próprio, permitindo a execução de comandos diretamente na memória. O malware escuta pacotes em todas as interfaces de rede, podendo capturar tráfego destinado a outras máquinas.

Pesquisadores de segurança descobriram um novo tipo de malware chamado SLEEPWALKER, que se destaca por sua capacidade de permanecer inativo até ser ativado por um comando específico. Diferente da maioria dos malwares, que possuem um conjunto predefinido de ferramentas maliciosas, o SLEEPWALKER não contém código malicioso ativo e se disfarça como um componente legítimo do Windows, especificamente o agente de gerenciamento da ESET. Isso permite que ele opere a partir de um aplicativo confiável, evitando a detecção por softwares de segurança.

O ClickFix, uma técnica de engenharia social que induz usuários a executar malware, evoluiu significativamente, utilizando servidores API para entregar comandos maliciosos disfarçados. A pesquisa do especialista em segurança Bert-Jan Pals revelou que as páginas fraudulentas, que simulam CAPTCHAs ou erros, agora extraem comandos de servidores backend, oferecendo a cada visitante um malware diferente. Essa abordagem, que evita a detecção por antivírus tradicionais, resultou em um aumento de 517% nos casos de acesso inicial entre 2024 e 2025, conforme medido pela ESET. Além disso, uma nova técnica permite que o malware seja baixado silenciosamente para a pasta de Downloads, utilizando um comando aparentemente inofensivo que contorna a varredura de scripts do Windows. O ClickFix não é mais uma ferramenta exclusiva de criminosos, tendo sido associado a grupos apoiados por estados, como APT28 e MuddyWater. A pesquisa destaca a importância de monitorar cadeias de processos e não apenas o texto da área de transferência para detectar essas ameaças. O ClickFix representa um risco crescente, especialmente com sua capacidade de se adaptar rapidamente às defesas dos usuários.

Pesquisadores de segurança digital identificaram uma nova campanha de phishing que utiliza falsas vagas de emprego da L’Oréal para roubar credenciais de e-mail de candidatos. O golpe se desenrola em duas etapas: inicialmente, os criminosos coletam dados pessoais dos candidatos, como nome, telefone e histórico profissional. Em seguida, solicitam a senha do e-mail sob a justificativa de que isso é necessário para validar a candidatura. A L’Oréal já confirmou que não está envolvida com essas mensagens fraudulentas. A ESET, empresa que detectou a fraude, alerta que outras marcas conhecidas, como Coca-Cola e RedBull, também foram alvo de golpes semelhantes. O primeiro contato com a vítima ocorre via e-mail, onde mensagens se disfarçam como comunicações de recrutadores. Ao clicar em links, as vítimas são direcionadas a páginas que imitam plataformas de recrutamento, onde são solicitadas informações pessoais. Após o envio, a página exibe o e-mail da vítima e pede a senha, aumentando a probabilidade de sucesso do golpe. Caso a senha seja fornecida, os criminosos podem acessar a conta de e-mail e comprometer outros serviços conectados. A ESET recomenda que as empresas nunca solicitem senhas de e-mail em processos seletivos e sugere medidas de proteção, como verificar o domínio do remetente e ativar a autenticação multifator.

Um novo spyware para Android, codinome Asin, tem como alvo usuários de língua árabe, conforme revelado pela empresa de cibersegurança ESET. O malware foi detectado pela primeira vez em campanhas de ataque no início de 2025, utilizando sites fraudulentos que imitam serviços úteis e fontes de notícias governamentais. Entre os sites identificados estão govlens[.]net, que finge ser uma fonte de notícias do governo, e live-war-map[.]com, que promete atualizações sobre incidentes militares. Esses sites distribuem aplicativos maliciosos que combinam funcionalidades legítimas com capacidades de spyware. A ESET observou que as campanhas parecem ter como alvo jornalistas e pesquisadores de OSINT (inteligência de fontes abertas) na região árabe, com três dos cinco aplicativos fraudulentos identificados sendo direcionados a esse público. Os usuários precisam instalar manualmente os aplicativos e conceder permissões para que o spyware funcione. Embora a origem das campanhas ainda não tenha sido atribuída, a natureza dos alvos sugere um foco em indivíduos envolvidos em investigações abertas. A situação é preocupante, pois o spyware pode comprometer a segurança e a privacidade de informações sensíveis.

Pesquisadores de cibersegurança descobriram 28 aplicativos fraudulentos na Google Play Store que prometiam acesso a históricos de chamadas de qualquer número, mas apenas enganavam os usuários para que se inscrevessem em serviços que forneciam dados falsos. Esses aplicativos, que acumulam mais de 7,3 milhões de downloads, foram identificados pela empresa ESET e visavam principalmente usuários na Índia e na região Ásia-Pacífico. Os aplicativos solicitavam pagamento para desbloquear funcionalidades que, na verdade, não existiam, entregando apenas dados aleatórios gerados. Um dos aplicativos foi publicado sob o nome de um desenvolvedor que imitava uma entidade governamental, aumentando a confiança do usuário. Os pagamentos eram realizados através do sistema oficial da Google Play ou de aplicativos de pagamento de terceiros, como Google Pay e Paytm. Embora os aplicativos tenham sido removidos, usuários que pagaram por assinaturas podem ter direito a reembolsos, mas aqueles que usaram métodos de pagamento de terceiros podem não ter essa opção. Este incidente destaca a vulnerabilidade de plataformas populares a fraudes e a importância de uma vigilância constante por parte dos usuários e das autoridades de segurança.

Pesquisadores da ESET identificaram o PromptSpy, o primeiro malware para Android que utiliza inteligência artificial generativa para aprimorar suas capacidades de ataque. Embora ainda seja uma prova de conceito, o malware é projetado para fornecer controle remoto sobre dispositivos infectados, utilizando um módulo de computação de rede virtual (VNC). O PromptSpy interage com o chatbot Gemini da Google, enviando comandos em linguagem natural para manipular o dispositivo atacado. Isso permite que os hackers adaptem seus ataques a diferentes versões do sistema operacional Android.

Pesquisadores da ESET identificaram o primeiro malware Android conhecido a utilizar IA generativa em sua execução, denominado ‘PromptSpy’. Este malware se aproveita do modelo Gemini da Google para adaptar sua persistência em diferentes dispositivos. A descoberta ocorreu em fevereiro de 2026, com a primeira versão, chamada VNCSpy, sendo detectada em janeiro do mesmo ano. O PromptSpy utiliza a IA para enviar comandos que permitem ’travar’ aplicativos na lista de aplicativos recentes, dificultando sua remoção. Essa técnica é especialmente eficaz, pois varia entre fabricantes, e a IA ajuda a automatizar o processo. Além de sua capacidade de persistência, o PromptSpy atua como spyware, permitindo acesso remoto completo aos dispositivos infectados, podendo capturar senhas, gravar a tela e interceptar informações sensíveis. Para dificultar a desinstalação, o malware sobrepõe botões invisíveis sobre a interface do usuário. Embora a ESET ainda não tenha observado o PromptSpy em sua telemetria, a presença de domínios dedicados para distribuição sugere que ele pode ter sido utilizado em ataques reais. Essa nova abordagem de malware destaca como a IA generativa pode ser utilizada para aprimorar a eficácia de ataques cibernéticos, representando uma preocupação crescente para a segurança digital.

Com o aumento das ameaças digitais, a proteção básica já não é suficiente. O ESET Home Security Ultimate, disponível por $89,99 (50% de desconto), oferece uma solução abrangente de segurança digital. Este pacote inclui proteção avançada contra malware, detecção de ameaças baseada em IA, um firewall robusto e uma rede de proteção para dispositivos inteligentes. Além disso, oferece uma VPN ilimitada, proteção de identidade com monitoramento da dark web, alertas de ameaças à identidade e assistência para recuperação de carteiras perdidas, tudo isso com um seguro de até $1 milhão. O plano Ultimate é ideal para quem busca a melhor proteção, superando as opções Essential e Premium. A oferta é válida até 21 de março, destacando a urgência em garantir a segurança digital. Com ferramentas como modos de navegação e banco seguros, o ESET Home Security Ultimate se posiciona como uma solução completa para proteger a vida online dos usuários.

Um relatório da ESET revela que o ecossistema Android na América Latina, especialmente no Brasil e México, continua sendo um alvo preferencial para cibercriminosos. Em 2025, três famílias de malware se destacaram entre as mais detectadas: Trojan.Android/Exploit.CVE-2012-6636, Trojan.Android/Exploit.Lotoor e Trojan.Android/Pandora. A primeira, com mais de uma década, explora vulnerabilidades em aplicativos desatualizados, enquanto a segunda se aproveita de falhas em dispositivos com acesso root. A terceira, uma variante do malware Mirai, transforma dispositivos em botnets para ataques DDoS. A ESET alerta que a fragmentação do sistema Android e o uso prolongado de aparelhos sem atualização contribuem para a persistência dessas ameaças. Recomendações incluem manter o sistema e aplicativos atualizados e evitar downloads de fontes não confiáveis.

Um levantamento da ESET, empresa de cibersegurança, revelou as principais ameaças digitais enfrentadas no Brasil em 2025, destacando a prevalência dos trojans bancários e ataques de phishing. Os trojans bancários, representados por 11,47% das detecções, são malwares que visam sistemas financeiros, explorando a crescente digitalização das transações. O phishing, em segundo lugar com 7,49%, continua a ser uma técnica comum, utilizando engenharia social para enganar as vítimas. Outras ameaças notáveis incluem o Downloader Rugmi (6,48%), que prepara o terreno para a instalação de malwares, e o Guildma (5,8%), um trojan que finge ser um aplicativo seguro para roubar informações financeiras. O Kryptik (5,08%) fecha a lista, sendo utilizado para propagar outros malwares. Para se proteger, a ESET recomenda o uso de antivírus atualizados, cautela com comunicações suspeitas e programas de conscientização em empresas. O estudo ressalta a importância da conscientização e da proteção contra essas ameaças em um cenário digital em constante evolução.

Um novo grupo de ameaças, identificado como InedibleOchotense, foi observado realizando ataques de phishing que se disfarçam como a empresa de cibersegurança ESET, visando entidades ucranianas. A campanha, detectada em maio de 2025, utiliza e-mails e mensagens no Signal para enviar links para um instalador trojanizado da ESET. O e-mail, escrito em ucraniano, contém um erro de tradução que sugere uma origem russa. O instalador malicioso não apenas entrega o ESET AV Remover legítimo, mas também uma variante de um backdoor chamado Kalambur, que utiliza a rede Tor para controle remoto. Além disso, o grupo Sandworm, associado à Rússia, continua a realizar ataques destrutivos na Ucrânia, utilizando malware de limpeza de dados. Outro ator, RomCom, também explorou uma vulnerabilidade do WinRAR para realizar campanhas de phishing, visando setores financeiros e de defesa na Europa e Canadá. Esses incidentes destacam a crescente complexidade e a interconexão das ameaças cibernéticas na região, com implicações diretas para a segurança de dados e operações de empresas que utilizam tecnologias amplamente adotadas, como as da ESET.

Pesquisadores de cibersegurança da ESET descobriram duas campanhas de spyware para Android, chamadas ProSpy e ToSpy, que se disfarçam de aplicativos legítimos como Signal e ToTok, visando usuários nos Emirados Árabes Unidos. As aplicações maliciosas são distribuídas por meio de sites falsos e engenharia social, enganando os usuários para que as baixem manualmente, uma vez que não estão disponíveis nas lojas oficiais de aplicativos.

A campanha ProSpy, identificada em junho de 2025, é considerada ativa desde 2024 e utiliza sites enganosos que imitam o Signal e o ToTok para hospedar arquivos APK maliciosos. O ToTok, que foi removido das lojas oficiais em 2019 por suspeitas de espionagem, é utilizado como isca. Os aplicativos maliciosos solicitam permissões para acessar contatos, mensagens SMS e arquivos, exfiltrando dados do dispositivo.

O HybridPetya é um novo tipo de ransomware que explora uma vulnerabilidade na Interface Unificada do Firmware Extensível (UEFI), permitindo que o malware tome controle do computador antes mesmo de sua inicialização completa. Identificado por pesquisadores da ESET, esse bootkit é o quarto a conseguir burlar as defesas do sistema operacional Windows, similar a vírus anteriores como Petya e NotPetya. Embora o HybridPetya ainda seja uma prova de conceito e não tenha sido amplamente disseminado, ele representa uma ameaça significativa, pois pode criptografar a Master File Table (MFT) dos discos rígidos, exigindo um resgate de US$ 1.000 em Bitcoin para a recuperação dos arquivos. A vulnerabilidade explorada, CVE-2024-7344, já foi corrigida pela Microsoft em atualizações recentes. Apesar de não estar ativo, especialistas alertam para a necessidade de monitoramento contínuo, dado o potencial de evolução de ameaças semelhantes. O impacto do NotPetya em 2017, que causou prejuízos de mais de R$ 50 bilhões globalmente, serve como um alerta sobre os riscos associados a esse novo ransomware.

Pesquisadores de cibersegurança identificaram uma nova variante de ransomware chamada HybridPetya, que se assemelha ao famoso malware Petya/NotPetya, mas com a capacidade de contornar o mecanismo Secure Boot em sistemas UEFI. A empresa ESET, da Eslováquia, revelou que amostras do malware foram enviadas à plataforma VirusTotal em fevereiro de 2025. O HybridPetya criptografa a Master File Table (MFT), que contém metadados cruciais sobre arquivos em partições formatadas em NTFS. Diferente de suas versões anteriores, ele instala um aplicativo EFI malicioso na partição do sistema EFI, permitindo a criptografia da MFT. O ransomware possui dois componentes principais: um bootkit e um instalador, sendo o bootkit responsável por verificar o status de criptografia e executar o processo de criptografia. Caso o sistema já esteja criptografado, uma nota de resgate é apresentada ao usuário, exigindo o pagamento de $1.000 em Bitcoin. Embora não haja evidências de que o HybridPetya esteja sendo utilizado ativamente, a descoberta destaca a crescente complexidade e sofisticação dos ataques de ransomware, especialmente em relação a sistemas UEFI. A ESET também observou que variantes do HybridPetya exploram vulnerabilidades conhecidas, como a CVE-2024-7344, que permite a execução remota de código e a violação do Secure Boot.

Pesquisadores da ESET, Anton Cherepanov e Peter Strycek, descobriram o PromptLock, o primeiro ransomware desenvolvido com a ajuda de inteligência artificial. Embora ainda não tenha sido visto em ação, a ESET alertou a comunidade de cibersegurança sobre essa nova ameaça. O PromptLock utiliza o modelo gpt-oss-20b da OpenAI, que é uma versão gratuita do ChatGPT, e opera localmente em dispositivos infectados através da API Ollama.

O ransomware é capaz de inspecionar arquivos, extrair dados e criptografá-los, podendo futuramente ser utilizado para extorsão. Ele é compatível com sistemas operacionais Windows, Linux e macOS. O código do malware indica que ele pode até destruir arquivos, embora essa funcionalidade ainda não esteja totalmente implementada. O PromptLock utiliza a encriptação SPECK de 128 bits e é escrito na linguagem Go. A ESET também observou que variantes do malware foram enviadas para a plataforma VirusTotal, que serve como repositório de vírus para especialistas em segurança.

Pesquisadores da ESET descobriram o PromptLock, o primeiro ransomware conhecido a utilizar inteligência artificial. Este malware, que ainda é considerado um conceito em desenvolvimento, utiliza scripts em Lua gerados por prompts codificados para explorar sistemas de arquivos locais, inspecionar arquivos-alvo, exfiltrar dados selecionados e realizar criptografia. O PromptLock opera localmente através da API Ollama, utilizando o modelo gpt-oss:20b da OpenAI, lançado em agosto de 2025. A versatilidade dos scripts em Lua permite que o malware funcione em diferentes sistemas operacionais, como macOS, Linux e Windows. Embora o PromptLock ainda não tenha sido observado em ataques reais, especialistas alertam que a combinação de inteligência artificial e ransomware representa uma nova era de ameaças cibernéticas, tornando os ataques mais acessíveis e difíceis de detectar. A imprevisibilidade dos resultados gerados por modelos de linguagem torna a defesa contra esses ataques ainda mais desafiadora, aumentando a preocupação entre as equipes de segurança.