Exploit

Um pesquisador de cibersegurança divulgou um exploit de prova de conceito para uma vulnerabilidade zero-day no Windows, chamada MiniPlasma, que permite a atacantes obter privilégios de SYSTEM em sistemas Windows totalmente atualizados. O exploit foi publicado por Chaotic Eclipse, que alega que a Microsoft não corrigiu adequadamente uma vulnerabilidade reportada em 2020, identificada como CVE-2020-17103, que afeta o driver ‘cldflt.sys’. O pesquisador afirma que a falha ainda está presente e pode ser explorada, permitindo a criação de chaves de registro sem as devidas verificações de acesso. Testes realizados confirmaram que o exploit funciona em versões atualizadas do Windows 11, mas não na versão Insider Preview. Chaotic Eclipse também criticou o processo de recompensa por bugs da Microsoft, alegando que sua experiência com a empresa foi negativa. O MiniPlasma é o mais recente de uma série de divulgações de zero-days que incluem outras vulnerabilidades, como BlueHammer e RedSun, que já foram exploradas em ataques. A Microsoft foi contatada para comentar sobre a nova vulnerabilidade, mas ainda não respondeu.

Um pesquisador de cibersegurança, conhecido como Chaotic Eclipse, divulgou exploits de prova de conceito (PoC) para duas vulnerabilidades não corrigidas do Microsoft Windows, chamadas YellowKey e GreenPlasma. A vulnerabilidade YellowKey é um bypass do BitLocker, que permite acesso não autorizado a volumes protegidos, enquanto GreenPlasma é uma falha de escalonamento de privilégios que pode conceder permissões de sistema a usuários não privilegiados. O pesquisador alega que a vulnerabilidade YellowKey funciona como uma porta dos fundos, pois está presente apenas no Ambiente de Recuperação do Windows (WinRE). A divulgação pública dessas falhas foi motivada pela insatisfação com a forma como a Microsoft lida com relatórios de bugs. Chaotic Eclipse prometeu continuar vazando exploits para vulnerabilidades não documentadas, levantando preocupações sobre a segurança dos sistemas Windows, especialmente no Brasil, onde muitas empresas utilizam essas tecnologias. A Microsoft, por sua vez, afirmou estar comprometida em investigar problemas de segurança reportados e atualizar dispositivos afetados rapidamente.

Pesquisadores do Google Threat Intelligence Group (GTIG) relataram que um exploit de zero-day, que visa uma popular ferramenta de administração web de código aberto, foi provavelmente gerado com o auxílio de inteligência artificial (IA). Este exploit poderia contornar a proteção de autenticação de dois fatores (2FA) do sistema, que não foi nomeado. Embora o ataque tenha sido frustrado antes de uma exploração em massa, o incidente destaca a crescente dependência de atores maliciosos em ferramentas de IA para descobrir e explorar vulnerabilidades. A análise do código do exploit, escrito em Python, sugere que um modelo de linguagem de grande porte (LLM) foi utilizado, evidenciado pela presença de docstrings educacionais e um formato estruturado típico de dados de treinamento de LLMs. Além disso, o tipo de falha explorada é uma lógica semântica de alto nível, que sistemas de IA são particularmente bons em identificar. O Google também observou que grupos de hackers da China e da Coreia do Norte têm utilizado modelos de IA para desenvolvimento de exploits, enquanto atores ligados à Rússia têm empregado código gerado por IA para ofuscar malware. O relatório alerta que os atores de ameaças estão industrializando o acesso a modelos de IA premium, utilizando infraestrutura automatizada para criação de contas e proxies.

O Google anunciou a descoberta de um ator de ameaças desconhecido utilizando um exploit de zero-day, supostamente desenvolvido com um sistema de inteligência artificial (IA). Esta é a primeira vez que a tecnologia é empregada em um contexto malicioso para a descoberta e geração de exploits. A operação, descrita como uma “operação de exploração de vulnerabilidades em massa”, envolveu a colaboração de grupos de cibercrime. O exploit, que permite contornar a autenticação de dois fatores (2FA) em uma ferramenta de administração de sistemas web de código aberto, foi implementado em um script Python. O Google trabalhou com o fornecedor afetado para divulgar a falha de forma responsável e garantir sua correção. Embora não haja evidências de que o Google Gemini tenha sido usado, a análise sugere que um modelo de IA foi instrumental na descoberta da vulnerabilidade. Além disso, a IA está acelerando a descoberta de vulnerabilidades e permitindo o desenvolvimento de malware polimórfico, como o PromptSpy, que pode monitorar atividades do usuário e capturar dados biométricos. O uso de IA por grupos de ameaças, incluindo grupos ligados à China e à Coreia do Norte, tem se intensificado, levantando preocupações sobre a segurança cibernética em um cenário global cada vez mais complexo.

A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) alertou sobre a exploração da vulnerabilidade de segurança ‘Copy Fail’, identificada como CVE-2026-31431, que afeta o kernel do Linux. Essa falha permite que usuários locais não privilegiados obtenham privilégios de root em sistemas Linux não corrigidos, manipulando quatro bytes controlados na cache de páginas de arquivos legíveis. A vulnerabilidade foi divulgada por pesquisadores da Theori, que também disponibilizaram um exploit em Python considerado ‘100% confiável’ para diversas distribuições Linux, incluindo Ubuntu 24.04 LTS e Amazon Linux 2023. A CISA incluiu a falha em seu catálogo de Vulnerabilidades Conhecidas e ordenou que agências federais atualizassem seus sistemas em até duas semanas. Embora as principais distribuições Linux já tenham iniciado a distribuição de correções, a falta de atualizações oficiais no momento da divulgação da vulnerabilidade levanta preocupações sobre a segurança de sistemas em uso. A CISA enfatizou que esse tipo de vulnerabilidade é um vetor de ataque comum e representa riscos significativos para a segurança das agências federais.

Uma nova vulnerabilidade de escalonamento de privilégios local, chamada ‘Copy Fail’ e identificada como CVE-2026-31431, afeta kernels do Linux lançados desde 2017. Descoberta pela empresa de segurança Theori, a falha permite que um atacante local não privilegiado obtenha permissões de root. A vulnerabilidade foi encontrada após uma varredura de uma hora no subsistema criptográfico do Linux utilizando a plataforma de pentesting Xint Code. A falha é causada por um erro lógico no template criptográfico do kernel, que permite a escrita controlada de 4 bytes na cache de página de qualquer arquivo legível. Isso pode alterar o comportamento de binários setuid-root, concedendo privilégios de root ao atacante. A Theori desenvolveu um exploit em Python que funciona em várias distribuições Linux, incluindo Ubuntu, Amazon Linux, RHEL e SUSE. A correção foi disponibilizada rapidamente, revertendo uma otimização problemática introduzida em 2017. Embora as distribuições principais estejam implementando as correções, ainda não há atualizações oficiais para algumas versões. Como mitigação temporária, recomenda-se desabilitar a interface criptográfica vulnerável. A vulnerabilidade é considerada mais prática e portátil do que outras falhas similares, como a ‘Dirty Pipe’.

Recentemente, o pesquisador conhecido como ‘Chaotic Eclipse’ divulgou um exploit de prova de conceito para uma falha zero-day no Microsoft Defender, chamada ‘RedSun’. Essa vulnerabilidade permite a escalada de privilégios locais (LPE), concedendo privilégios de SYSTEM em sistemas operacionais Windows 10, Windows 11 e Windows Server, especialmente nas atualizações mais recentes do Patch Tuesday de abril. O exploit explora um comportamento peculiar do Windows Defender, que reescreve arquivos maliciosos com uma etiqueta de nuvem, permitindo que arquivos de sistema sejam sobrescritos e, assim, concedendo privilégios administrativos ao atacante. Will Dormann, analista de vulnerabilidades, confirmou que o exploit funciona em sistemas totalmente atualizados. O pesquisador também lançou um exploit anterior, chamado ‘BlueHammer’, em protesto contra a forma como a Microsoft lida com a divulgação de vulnerabilidades. A Microsoft, em resposta, afirmou que investiga questões de segurança relatadas e apoia a divulgação coordenada de vulnerabilidades. Essa situação levanta preocupações sobre a segurança de sistemas amplamente utilizados e a necessidade de uma resposta rápida por parte das empresas que utilizam essas tecnologias.

A Apple começou a enviar notificações na tela de bloqueio para usuários de iPhones e iPads que operam com versões antigas do iOS e iPadOS, alertando sobre ataques baseados na web e recomendando a atualização dos dispositivos. Essa ação surge após a descoberta de novos kits de exploração, como Coruna e DarkSword, que têm sido utilizados por diversos agentes de ameaças para entregar cargas maliciosas quando usuários acessam sites comprometidos. O kit Coruna visa versões do iOS entre 13.0 e 17.2.1, enquanto o DarkSword é direcionado a versões entre 18.4 e 18.7. A Kaspersky destacou que o Coruna é uma evolução do framework utilizado na Operação Triangulação, que explorava vulnerabilidades do iMessage. A crescente disponibilidade desses kits levanta preocupações sobre a democratização de exploits que antes eram restritos a estados-nação, aumentando o risco de exploração em massa. Para usuários que não podem atualizar, a Apple recomenda ativar o Modo de Bloqueio, disponível em dispositivos com iOS 16 ou superior, como uma medida de proteção contra conteúdos maliciosos.

O kit de exploração Coruna representa uma evolução do framework utilizado na campanha de espionagem Operation Triangulation, que em 2023 visou iPhones através de exploits zero-click no iMessage. Este novo software foi ampliado para atacar hardware moderno, incluindo os chips A17 e M3 da Apple, e sistemas operacionais até iOS 17.2. O Coruna contém cinco cadeias completas de exploits para iOS, aproveitando 23 vulnerabilidades, incluindo CVE-2023-32434 e CVE-2023-38606, que também foram utilizadas na Operation Triangulation. A análise da Kaspersky revelou que o Coruna é uma versão atualizada do exploit original, com melhorias que permitem a exploração de novas arquiteturas de processadores. Os ataques iniciam no Safari, onde um stager coleta informações do dispositivo e seleciona exploits adequados. A Kaspersky alerta que, além de espionagem, o Coruna tem sido usado em campanhas motivadas financeiramente, visando roubo de criptomoedas. A Apple já lançou atualizações de segurança para mitigar essas vulnerabilidades, mas a ameaça permanece significativa, especialmente com a disponibilidade pública de outros kits de exploração como o DarkSword.

Recentemente, a Kaspersky revelou que o kit de exploração Coruna, que afeta dispositivos Apple com iOS entre as versões 13.0 e 17.2.1, utiliza uma versão atualizada de um exploit previamente empregado na campanha de ciberespionagem Operation Triangulation, de 2023. O Coruna, inicialmente identificado por Google e iVerify, contém cinco cadeias completas de exploits para iOS e um total de 23 exploits, incluindo os CVEs 2023-32434 e 2023-38606. Esses exploits foram projetados para atacar vulnerabilidades do sistema operacional móvel da Apple, com um foco crescente em dispositivos mais recentes, como os processadores A17 e M3. O kit foi utilizado em ataques de watering hole na Ucrânia e em campanhas de exploração em massa através de sites falsos de jogos e criptomoedas. A Kaspersky alerta que, embora o Coruna tenha sido desenvolvido para fins de ciberespionagem, agora está sendo utilizado por cibercriminosos, colocando milhões de usuários em risco. O uso de exploits modulares e a facilidade de reutilização indicam que outros atores maliciosos podem adotar essa ferramenta em seus ataques.

Um novo kit de exploração, denominado DarkSword, está sendo utilizado por diversos atores de ameaças desde novembro de 2025, conforme relatórios do Google Threat Intelligence Group (GTIG), iVerify e Lookout. Este kit é projetado para roubar dados sensíveis de dispositivos Apple iOS, especificamente iPhones que operam entre as versões 18.4 e 18.7. O DarkSword foi associado a um grupo de espionagem suspeito, UNC6353, que tem como alvo usuários na Ucrânia, além de campanhas em países como Arábia Saudita, Turquia e Malásia.

Um novo exploit, denominado Coruna, foi identificado pelo Grupo de Inteligência de Ameaças da Google, visando iPhones. Este kit hacker, que contém 23 exploits, foi desenvolvido a partir de um framework do governo dos Estados Unidos e acabou sendo utilizado por cibercriminosos da China e Rússia. O Coruna é notável por sua complexidade, permitindo ataques em massa a dispositivos iOS, algo inédito até então. A vulnerabilidade abrange iPhones com iOS desde a versão 13.0 até a 17.2.1. A descoberta ocorreu após um hacker chinês utilizar o kit em sites de apostas e criptomoedas, levando à sua análise pela iVerify, que destacou que a documentação do malware foi redigida em inglês nativo. Para mitigar os riscos, usuários são aconselhados a atualizar seus dispositivos ou ativar o Modo Isolamento. O caso levanta preocupações sobre a segurança de dados pessoais e financeiros, especialmente em um contexto onde o uso de spyware por governos é comum, mas sua exposição a cibercriminosos é alarmante.

Um estudo da VulnCheck revelou que, embora milhares de falhas de segurança sejam registradas anualmente, apenas 1% delas é explorado por hackers, resultando em danos significativos. Em 2025, foram identificadas 48 mil vulnerabilidades, mas apenas algumas foram alvo de ciberataques, com destaque para o React2Shell, que permitiu a violação de sistemas de segurança em plataformas online. Além disso, vulnerabilidades no Microsoft SharePoint e no SAP NetWeaver também foram frequentemente exploradas. A pesquisa indicou que 56,4% das falhas estão relacionadas a ataques de ransomware, um dado alarmante para a segurança digital. O uso crescente de inteligência artificial (IA) para gerar códigos maliciosos tem contribuído para um aumento de 16,5% nos exploits em comparação ao ano anterior, tornando os ataques mais rápidos e eficazes. A situação exige atenção redobrada das empresas, especialmente em um cenário onde a maioria das falhas ainda é considerada de dia zero, aumentando o risco antes que correções sejam implementadas.

Um novo conjunto de 23 exploits para iOS, denominado ‘Coruna’, foi identificado em campanhas de espionagem e ataques financeiros. O kit inclui cinco cadeias de exploits sofisticados, que utilizam técnicas não documentadas para versões do iOS de 13.0 a 17.2.1. A primeira atividade relacionada ao Coruna foi observada em fevereiro de 2025, associada a um fornecedor de vigilância. Um exploit específico, CVE-2024-23222, permitiu a execução remota de código e foi corrigido pela Apple em janeiro de 2024. O kit foi utilizado em ataques direcionados a usuários de iPhone que acessavam sites comprometidos, especialmente na Ucrânia, e também em sites falsos de jogos e criptomoedas na China. O Coruna é capaz de identificar a versão do dispositivo e selecionar a cadeia de exploits adequada, parando se o Modo de Bloqueio estiver ativo. Após a exploração, um carregador chamado PlasmaLoader é injetado, visando aplicativos de carteira de criptomoedas. A análise sugere que o Coruna evoluiu de um uso em espionagem para atividades criminosas em larga escala, levantando preocupações sobre a segurança dos usuários comuns de iPhone. A Google recomenda que os usuários atualizem seus dispositivos e ativem o Modo de Bloqueio se a atualização não for possível.

Pesquisadores de segurança da Dark Web Informer descobriram que hackers estão vendendo um script malicioso em fóruns clandestinos, que explora vulnerabilidades do WhatsApp para roubar dados pessoais. O exploit, que custa cerca de R$ 160, é projetado para travar o aplicativo em dispositivos Android e iOS. No Android, o ataque provoca o travamento completo do WhatsApp, enquanto no iOS, além do travamento, ele congela conversas em grupos, dificultando o acesso do usuário. O script também possui funcionalidades que permitem bombardeios de chamadas de voz e vídeo, tornando o dispositivo inutilizável durante o ataque. O fato de o exploit ser de fácil execução, sem necessidade de configurações complexas, aumenta o risco, pois qualquer pessoa com um número de celular pode utilizá-lo. A situação é alarmante, considerando que o WhatsApp é amplamente utilizado no Brasil, e a possibilidade de ataques em massa pode afetar a privacidade e segurança de milhões de usuários.

O Google identificou um novo e poderoso kit de exploits chamado Coruna, que visa modelos de iPhone com versões do iOS entre 13.0 e 17.2.1. Este kit contém cinco cadeias completas de exploits e um total de 23 vulnerabilidades, sendo que não é eficaz contra a versão mais recente do iOS. O Coruna foi observado circulando entre diversos atores de ameaças desde fevereiro de 2025, começando em operações de vigilância comercial e evoluindo para ataques apoiados por governos e, finalmente, para grupos criminosos motivados financeiramente, especialmente da China. O kit utiliza técnicas de exploração não públicas e contorna mitigação de segurança, o que o torna altamente sofisticado. A primeira detecção de partes de uma cadeia de exploits do iOS ocorreu no início do ano passado, integrando um novo framework JavaScript que coleta informações do dispositivo antes de executar os exploits. O kit foi associado a campanhas de espionagem, incluindo um grupo russo, e é um exemplo significativo da proliferação de capacidades de spyware de fornecedores comerciais para atores de estados-nação e operações criminosas em larga escala. Para mitigar os riscos, usuários de iPhone são aconselhados a manter seus dispositivos atualizados e a ativar o Modo de Bloqueio para maior segurança.

Peter Williams, ex-gerente da Trenchant, uma unidade de cibersegurança da L3Harris, foi condenado a mais de sete anos de prisão federal por roubar e vender exploits de zero-day a um corretor russo, cujos clientes incluem o governo da Rússia. Entre 2022 e 2025, Williams furtou pelo menos oito componentes de exploits protegidos, destinados ao uso exclusivo do governo dos EUA e seus aliados, e os vendeu ao corretor Matrix, que se apresenta como revendedor de ferramentas de hacking para compradores não pertencentes à OTAN. O roubo causou perdas de aproximadamente 35 milhões de dólares à L3Harris, e as ferramentas roubadas poderiam ter possibilitado o acesso a milhões de dispositivos em todo o mundo. Williams se declarou culpado em outubro, recebendo 1,3 milhão de dólares em criptomoeda pela venda dos exploits. O juiz Loren AliKhan o sentenciou a 87 meses de prisão e à devolução de 1,3 milhão de dólares, além de bens de luxo. O Departamento do Tesouro dos EUA também impôs sanções ao corretor russo. Este caso destaca a gravidade da violação de segredos comerciais e suas implicações para a segurança nacional.

O Departamento do Tesouro dos EUA sancionou a empresa russa Matrix LLC, também conhecida como Operation Zero, e seu proprietário Sergey Sergeyevich Zelenyuk, por comprarem ferramentas de hacking roubadas de um ex-executivo da L3Harris, um contratante de defesa dos EUA. As sanções foram aplicadas sob a Lei de Proteção da Propriedade Intelectual Americana (PAIPA), a primeira vez que essa legislação foi utilizada desde sua promulgação. O ex-gerente da Trenchant, unidade de cibersegurança da L3Harris, Peter Williams, foi condenado a 87 meses de prisão por roubar e vender oito exploits de dia zero para a Operation Zero por cerca de US$ 1,3 milhão em criptomoeda. Esses exploits eram destinados exclusivamente ao uso do governo dos EUA e agências de inteligência aliadas. A Operation Zero oferece recompensas significativas para a aquisição de exploits que visam softwares amplamente utilizados, incluindo sistemas operacionais e aplicativos de mensagens criptografadas desenvolvidos nos EUA. As sanções congelam todos os ativos nos EUA pertencentes aos indivíduos e entidades designados, expondo empresas e indivíduos americanos a sanções secundárias.

Uma vulnerabilidade de alta severidade, identificada como CVE-2025-8088, no software WinRAR está sendo explorada por diversos grupos de ameaças, tanto patrocinados por estados quanto motivados financeiramente. Essa falha de segurança, que se trata de um erro de travessia de caminho, permite que atacantes escrevam arquivos maliciosos em locais arbitrários, utilizando Fluxos de Dados Alternativos (ADS). Pesquisadores da ESET descobriram a vulnerabilidade e relataram que o grupo RomCom, alinhado à Rússia, a estava explorando em ataques zero-day desde julho de 2025. O Google Threat Intelligence Group (GTIG) confirmou que a exploração da vulnerabilidade continua ativa, com grupos de espionagem e cibercriminosos utilizando-a para implantar malware em pastas de inicialização do Windows. Os atacantes frequentemente ocultam arquivos maliciosos dentro de arquivos de isca, como documentos PDF, que, ao serem abertos, extraem o payload malicioso. Entre os grupos observados estão UNC4895, APT44 e Turla, que utilizam a vulnerabilidade para distribuir uma variedade de malwares, incluindo ferramentas de acesso remoto e ladrões de informações. A exploração dessa vulnerabilidade reflete a crescente comercialização do desenvolvimento de exploits, facilitando ataques a sistemas não corrigidos.

Um novo exploit de prova de conceito, denominado Fenrir, foi divulgado, visando uma falha crítica de lógica no processo de inicialização segura dos dispositivos Nothing Phone (2a) e CMF Phone 1. A vulnerabilidade permite que um atacante contorne a autenticação da partição bl2_ext, quebrando a cadeia de confiança e possibilitando a execução de código arbitrário no nível de privilégio mais alto (EL3) em sistemas ARM. Essa falha ocorre devido a um erro na cadeia de inicialização segura da MediaTek, que faz com que o Preloader ignore a verificação da partição bl2_ext quando o bootloader está desbloqueado. Isso significa que qualquer imagem de inicialização pode ser carregada sem validação, permitindo que um invasor desative as proteções de inicialização segura e obtenha controle total do dispositivo. A pontuação CVSS 3.1 para essa vulnerabilidade é de 9.8, indicando um risco crítico. Os usuários afetados devem evitar desbloquear seus bootloaders até que correções oficiais sejam disponibilizadas, e os fabricantes devem atualizar a lógica de verificação de inicialização segura para reforçar as verificações da bl2_ext, mesmo em estado desbloqueado.

A NCC Group divulgou uma análise detalhada de uma vulnerabilidade crítica no VMware Workstation, que permite a exploração de uma máquina virtual (VM) comprometida para atacar o host. A falha está relacionada à lógica de manipulação do dispositivo virtual backdoor/RPC, onde entradas maliciosas podem causar corrupção de memória, possibilitando a execução de código controlado no processo do hipervisor do host. A vulnerabilidade é resultado de verificações de limites inadequadas no código de manipulação de sessões RPC, permitindo que um atacante, sem privilégios elevados, desencadeie uma escrita fora dos limites na memória do host. O exploit de prova de conceito (PoC) demonstra um caminho de exploração em quatro etapas, começando com a abertura de uma sessão RPC e culminando na execução de um payload malicioso. A VMware já lançou atualizações de segurança para corrigir essa falha, e é recomendado que administradores apliquem os patches imediatamente e restrinjam cargas de trabalho não confiáveis em instalações locais do Workstation. O monitoramento contínuo do processo do hipervisor é essencial para detectar tentativas de exploração em tempo real.

Um exploit armado visando a vulnerabilidade crítica da SAP, identificada como CVE-2025-31324, foi publicamente liberado, gerando preocupações imediatas para organizações que operam sistemas SAP não corrigidos. O exploit, divulgado em 15 de agosto de 2025, pelo VX Underground via X (anteriormente Twitter), foi supostamente distribuído pelo grupo de ameaças ‘Scattered LAPSUS$ Hunters – ShinyHunters’ através de um canal no Telegram.

A vulnerabilidade CVE-2025-31324, que afeta o SAP NetWeaver Visual Composer, possui uma pontuação máxima de severidade CVSS de 10.0, permitindo que atacantes não autenticados comprometam completamente o sistema. O exploit combina essa vulnerabilidade com a CVE-2025-42999, uma falha de desserialização descoberta pelos Onapsis Research Labs. O vetor de ataque utiliza um processo de exploração em duas etapas: primeiro, os atacantes aproveitam a vulnerabilidade de bypass de autenticação para contornar controles de segurança e, em seguida, exploram a falha de desserialização para executar cargas maliciosas com privilégios de administrador SAP.