Inteligência De Ameaças

Pesquisadores de cibersegurança identificaram uma nova campanha de ataques cibernéticos, atribuída a um ator de ameaças com vínculos na Ásia Oriental, que está visando entidades governamentais no Oriente Médio. A empresa Zscaler ThreatLabz detectou a atividade maliciosa, que utiliza três novas famílias de malware: TELESHIM, MIXEDKEY e BINDCLOAK. O ataque começa com um arquivo ISO que contém um executável legítimo, que é usado para carregar uma DLL maliciosa, TELESHIM, que se comunica via API do Telegram para evitar detecção.

A inteligência de ameaças cibernéticas ganha valor quando os indicadores são enriquecidos com contexto que apoia investigações e decisões. A integração entre Criminal IP e OpenCTI permite que equipes de segurança transformem endereços IP, domínios e URLs em inteligência estruturada dentro do gráfico de conhecimento do OpenCTI. Essa integração enriquece automaticamente os indicadores com dados como pontuação de reputação, inteligência de infraestrutura e análise de phishing.

Um dos destaques é a pontuação de risco contextual, que oferece uma visão mais detalhada do comportamento de um IP, permitindo que analistas priorizem indicadores de alto risco. Além disso, a inteligência de infraestrutura é estruturada em entidades e relacionamentos, facilitando a investigação de componentes compartilhados e a identificação de superfícies de ataque potenciais.

O phishing se tornou uma ameaça crescente para as empresas, especialmente devido à sua capacidade de se disfarçar como comunicações legítimas. Um único clique em um e-mail malicioso pode resultar em exposição de identidade, acesso remoto e comprometimento de dados. A detecção precoce de phishing é crucial para mitigar esses riscos, permitindo que as equipes de segurança cibernética (SOCs) respondam rapidamente a incidentes. O uso de sandboxes interativas é uma estratégia eficaz para analisar e validar o comportamento de links suspeitos, revelando a verdadeira natureza das ameaças. Além disso, a contextualização das ameaças permite que as equipes compreendam se um ataque é isolado ou parte de uma campanha mais ampla, facilitando a priorização das respostas. A integração de inteligência de ameaças em ferramentas de segurança existentes é fundamental para detectar e bloquear atividades relacionadas, reduzindo a exposição operacional. Com a crescente sofisticação dos ataques de phishing, é essencial que as empresas adotem essas práticas para proteger suas operações e dados.

A parceria entre Criminal IP e Securonix visa integrar a inteligência de ameaças da Criminal IP ao ThreatQ, permitindo que organizações incorporem dados de IP externos em seus fluxos de trabalho existentes. Essa integração oferece uma visão mais clara sobre como ativos e infraestruturas estão expostos na internet, enriquecendo as investigações com dados atualizados e contextuais. Através de APIs, a Criminal IP enriquece indicadores de IP com informações como pontuação de maliciosidade, detecção de VPNs e proxies, exposição de acesso remoto, portas abertas e vulnerabilidades conhecidas. Isso facilita a triagem e priorização de ameaças, permitindo que as equipes de segurança respondam de forma mais ágil e informada. A interface do ThreatQ permite que analistas realizem buscas em tempo real, melhorando a visibilidade e a compreensão das relações entre endereços IP e atividades de ataque. A integração destaca a importância da inteligência baseada em exposição na análise de ameaças, ajudando as organizações a tomar decisões mais informadas sem adicionar complexidade operacional.

O artigo destaca a importância de identificar sinais precoces de ataques cibernéticos, que muitas vezes são negligenciados. Em um webinar promovido pela BleepingComputer, em parceria com a Flare e a pesquisadora Tammy Harper, serão discutidas estratégias para que equipes de segurança possam detectar esses sinais antes que se tornem incidentes. Os atacantes frequentemente revelam suas intenções em espaços públicos e semi-públicos, como fóruns da dark web e canais do Telegram. Esses sinais, que incluem pedidos de credenciais e discussões sobre novas vulnerabilidades, podem oferecer insights valiosos sobre ameaças emergentes e padrões de ataque.

As equipes de segurança frequentemente utilizam o MTTR (Mean Time to Recovery) como um KPI interno, mas a liderança vê isso de forma diferente: cada hora em que uma ameaça permanece no ambiente é uma hora de potencial exfiltração de dados, interrupção de serviços e danos à marca. O artigo destaca que a causa raiz do MTTR lento não é a falta de analistas, mas sim a inteligência sobre ameaças que existe fora do fluxo de trabalho. Para melhorar a eficiência, os Centros de Operações de Segurança (SOCs) maduros integram a inteligência diretamente em seus processos.

O webinar “Do ruído ao sinal: O que os atores de ameaças estão mirando a seguir”, promovido pela BleepingComputer, abordará como equipes de segurança podem monitorar sinais de alerta precoce em comunidades underground e traduzi-los em defesas acionáveis. A apresentação, que contará com a participação de Tammy Harper, pesquisadora de inteligência de ameaças da RansomLook, examinará o uso de fóruns da dark web, canais do Telegram e marketplaces de corretores de acesso por parte de atores de ameaças para coordenar ataques e compartilhar vulnerabilidades. Esses sinais, embora frequentemente fragmentados e difíceis de interpretar, podem revelar intenções semanas antes de um ataque. A Flare Systems, uma empresa especializada em inteligência de ameaças, ajudará as organizações a detectar esses sinais iniciais, permitindo que as equipes de segurança adotem uma abordagem proativa em vez de reativa. Os participantes aprenderão a identificar sinais significativos na comunicação online, acompanhar as táticas dos adversários e transformar a inteligência em ações defensivas priorizadas. O evento é uma oportunidade valiosa para profissionais de segurança que desejam aprimorar suas estratégias de defesa.

A segurança cibernética é uma preocupação crescente para as organizações, mas muitas vezes as equipes acreditam que suas defesas estão funcionando apenas porque os alertas estão ativos e os painéis de controle parecem em ordem. No entanto, um aspecto crucial frequentemente negligenciado é a validação da eficácia dessas defesas em situações reais de ataque. O webinar “Exposure-Driven Resilience: Automate Testing to Validate & Improve Your Security Posture” aborda essa lacuna, enfatizando a importância de parar de adivinhar e começar a provar a eficácia das medidas de segurança.

Os Centros de Operações de Segurança (SOC) enfrentam um desafio crítico: os analistas de nível 1, responsáveis pela detecção de ameaças em tempo real, são frequentemente os menos experientes e mais sobrecarregados. Este artigo destaca como a alta rotatividade, a pressão cognitiva e a fadiga de alertas prejudicam o desempenho desses profissionais. A performance do nível 1 é fundamental para a eficácia do SOC, mas, paradoxalmente, eles são os menos apoiados e mais vulneráveis. A falta de inteligência contextual e a dependência de regras de detecção desatualizadas aumentam o tempo de resposta e os custos de incidentes. Para mitigar esses problemas, é essencial integrar feeds de inteligência de ameaças em tempo real, que fornecem dados acionáveis e contexto para os analistas. Isso não apenas melhora a precisão na detecção, mas também reduz o tempo de inatividade e aumenta a confiança na segurança. A implementação de ferramentas como sandboxes interativas permite que os analistas avaliem rapidamente a natureza de arquivos suspeitos, melhorando a triagem e a resposta a incidentes.

Um relatório do Google Threat Intelligence Group (GTIG) revela que diversos grupos patrocinados por estados, entidades hacktivistas e organizações criminosas de países como China, Irã, Coreia do Norte e Rússia estão focando suas atividades no setor de defesa industrial (DIB). As táticas observadas incluem a exploração de processos de contratação, ataques a dispositivos de ponta e riscos na cadeia de suprimentos. Os grupos têm demonstrado interesse crescente em veículos autônomos e drones, que são cada vez mais utilizados em conflitos modernos, como a guerra na Ucrânia. Entre os atores notáveis estão o APT44, que tentou extrair informações de aplicativos de mensagens criptografadas, e o UNC5125, que realizou campanhas direcionadas a operadores de drones na Ucrânia. O relatório destaca que o setor de defesa está sob um cerco constante, com intrusões frequentes e ameaças de extorsão, o que exige atenção redobrada dos profissionais de segurança cibernética.

Um novo ator de ameaças, ainda não documentado, foi identificado em ataques direcionados a organizações ucranianas, utilizando um malware chamado CANFAIL. O Google Threat Intelligence Group (GTIG) sugere que esse grupo pode estar associado a serviços de inteligência russos e tem como alvos principais instituições de defesa, governo e energia na Ucrânia. Recentemente, o grupo ampliou seu foco para incluir organizações de aeroespacial, manufatura militar, e até mesmo empresas de pesquisa nuclear e química.

O Escritório Federal para a Proteção da Constituição da Alemanha (BfV) e o Escritório Federal de Segurança da Informação (BSI) emitiram um alerta conjunto sobre uma campanha de ciberataques, provavelmente patrocinada por um Estado, que utiliza o aplicativo de mensagens Signal para realizar ataques de phishing. O foco principal são alvos de alto escalão na política, nas forças armadas e na diplomacia, além de jornalistas investigativos na Alemanha e na Europa. A campanha se destaca por não utilizar malware ou explorar vulnerabilidades do Signal, mas sim por manipular suas funcionalidades legítimas para obter acesso clandestino às conversas e listas de contatos das vítimas. Os atacantes se passam por suporte do Signal, solicitando que as vítimas forneçam um PIN ou código de verificação recebido via SMS. Se a vítima ceder, os atacantes podem registrar a conta e acessar informações confidenciais. Além disso, a campanha pode se estender ao WhatsApp, que possui características semelhantes. As autoridades alertam que o acesso não autorizado a contas de mensageiros pode comprometer não apenas comunicações individuais, mas também redes inteiras. Os usuários são aconselhados a não interagir com contas de suporte e a habilitar o bloqueio de registro para proteger suas contas.

O artigo destaca a importância da inteligência de ameaças na cibersegurança, especialmente para Chief Information Security Officers (CISOs). Em 2026, as empresas enfrentam riscos operacionais significativos devido a ciberataques, que vão além dos danos diretos. Para mitigar esses riscos, o texto sugere três passos estratégicos. Primeiro, é essencial focar nas ameaças reais que afetam o negócio atualmente, utilizando feeds de inteligência de ameaças atualizados e relevantes, como os oferecidos pela ANY.RUN, que permitem uma detecção precoce de ameaças e minimizam o risco de incidentes. Em segundo lugar, é crucial proteger os analistas de falsos positivos, que podem levar ao burnout e à ineficiência. A utilização de feeds com baixa taxa de falsos positivos melhora a produtividade da equipe de segurança. Por fim, o artigo enfatiza a necessidade de encurtar o tempo entre a detecção e a resposta a incidentes, utilizando informações contextuais que aceleram as investigações. Ao priorizar a inteligência de ameaças acionável, as empresas podem reduzir o tempo de resposta e melhorar a continuidade operacional.

As equipes de cibersegurança estão se afastando da análise isolada de ameaças e vulnerabilidades, buscando entender como essas interagem em seu ambiente real. A Gestão Contínua de Exposição a Ameaças (CTEM) é uma abordagem que se destaca nesse contexto, promovendo um ciclo contínuo de identificação, priorização e remediação de exposições exploráveis. Definida pela Gartner, a CTEM envolve cinco etapas: escopo, descoberta, priorização, validação e mobilização, visando melhorar a postura de segurança das organizações.

Recentemente, atores de ameaça associados ao governo russo, identificados como APT28 (também conhecido como BlueDelta), foram vinculados a uma série de ataques de coleta de credenciais. Os alvos incluem indivíduos ligados a uma agência de pesquisa energética e nuclear da Turquia, além de funcionários de um think tank europeu e organizações na Macedônia do Norte e Uzbequistão. Os ataques, que ocorreram entre fevereiro e setembro de 2025, utilizaram páginas de login falsas que imitavam serviços populares como Microsoft Outlook e Google, redirecionando os usuários para sites legítimos após a inserção de credenciais, o que dificultou a detecção. A campanha se destacou pelo uso de documentos PDF legítimos como iscas, incluindo publicações relacionadas a conflitos geopolíticos. A APT28 demonstrou uma dependência contínua de serviços de internet legítimos para hospedar suas páginas de phishing, o que ressalta a eficácia e a sofisticação de suas táticas. A empresa Recorded Future destacou que esses ataques refletem o interesse da inteligência russa em organizações ligadas à pesquisa energética e à cooperação em defesa.

As equipes de segurança cibernética enfrentam um cenário desafiador, onde a quantidade de alertas e a velocidade das ameaças dificultam a identificação dos riscos mais relevantes. O artigo destaca a importância de uma postura proativa em vez de reativa, enfatizando que a defesa reativa resulta em investigações longas, desperdício de recursos e maior probabilidade de violações. A inteligência de ameaças (TI) é apresentada como uma solução para preencher as lacunas deixadas por operações reativas, fornecendo dados atualizados sobre as atividades dos atacantes. A ferramenta ANY.RUN’s Threat Intelligence Lookup permite que analistas enriqueçam alertas com informações contextuais, identifiquem campanhas de malware e ajustem suas defesas de forma mais eficaz. O artigo também ressalta a necessidade de entender o contexto específico de cada setor e região, já que as ameaças não estão distribuídas uniformemente. A visibilidade aprimorada e a capacidade de antecipar ataques são cruciais para que as equipes de segurança se mantenham à frente dos criminosos cibernéticos.

A equipe de inteligência de ameaças da Amazon revelou detalhes sobre uma campanha de ciberataques patrocinada pelo Estado russo, que visou a infraestrutura crítica ocidental entre 2021 e 2025. Os alvos incluíram organizações do setor de energia e provedores de infraestrutura crítica na América do Norte e Europa, além de entidades com infraestrutura de rede hospedada em nuvem. A atividade foi atribuída com alta confiança ao Diretório Principal de Inteligência da Rússia (GRU), destacando a exploração de dispositivos de rede mal configurados como vetor inicial de acesso.

O grupo de ameaças persistentes avançadas (APT) conhecido como WIRTE tem sido responsável por ataques direcionados a entidades governamentais e diplomáticas no Oriente Médio desde 2020, utilizando uma nova suíte de malware chamada AshTag. A Palo Alto Networks está monitorando essa atividade sob o nome de Ashen Lepus, que recentemente ampliou seu foco para países como Omã e Marrocos, além de já ter atuado na Autoridade Palestina, Jordânia, Iraque, Arábia Saudita e Egito. Durante o conflito Israel-Hamas, o Ashen Lepus manteve suas operações, ao contrário de outros grupos que diminuíram suas atividades. O malware AshTag, um backdoor modular em .NET, permite execução remota de comandos e coleta de informações, disfarçando-se como uma ferramenta legítima. As táticas incluem o uso de e-mails de phishing com documentos relacionados a assuntos geopolíticos, levando a downloads de arquivos maliciosos que instalam o malware. A exfiltração de dados foi observada, com documentos diplomáticos sendo transferidos para servidores controlados pelos atacantes. A continuidade das operações do Ashen Lepus destaca a determinação do grupo em coletar inteligência, mesmo em tempos de conflito.

Um recente relatório da equipe de inteligência de ameaças da Amazon revela que atores de ameaças ligados ao Irã estão utilizando operações cibernéticas para facilitar ataques físicos, uma prática que a empresa chama de ‘alvo cinético habilitado por ciber’. O relatório destaca que as linhas entre ataques cibernéticos patrocinados por estados e a guerra cinética estão se tornando cada vez mais tênues. O CISO da Amazon, CJ Moses, afirma que essas operações não são meros ataques cibernéticos que causam danos físicos, mas sim campanhas coordenadas onde operações digitais são projetadas para apoiar objetivos militares físicos. Exemplos incluem o grupo Imperial Kitten, que realizou reconhecimento digital de sistemas de identificação automática de navios, e o grupo MuddyWater, que acessou câmeras de vigilância em tempo real para coletar inteligência visual. Esses casos demonstram como a espionagem cibernética pode servir como um trampolim para ataques físicos direcionados, ressaltando a necessidade de uma nova abordagem na segurança cibernética que integre ameaças digitais e físicas. A Amazon alerta que essa evolução na guerra representa um desafio significativo para a segurança global e a infraestrutura crítica.

O burnout nas equipes de Segurança da Informação (SOC) é um problema crescente, causado principalmente pela sobrecarga de alertas e pela falta de ferramentas adequadas. O artigo apresenta três passos práticos para mitigar esse desgaste e melhorar a eficiência das equipes. O primeiro passo é reduzir a sobrecarga de alertas, utilizando análises em tempo real que oferecem contexto completo sobre as ameaças, permitindo que os analistas priorizem e ajam com confiança. O segundo passo envolve a automação de tarefas repetitivas, liberando os analistas para se concentrarem em investigações mais complexas. A combinação de automação com análise interativa pode aumentar significativamente a eficiência das operações. Por fim, a integração de inteligência de ameaças em tempo real ajuda a minimizar o trabalho manual, permitindo que os analistas acessem dados atualizados sem precisar alternar entre várias ferramentas. Essas melhorias não apenas ajudam a prevenir o burnout, mas também tornam as equipes mais ágeis e focadas em suas atividades principais.

Os Centros de Operações de Segurança (SOC) estão sobrecarregados, com analistas lidando com milhares de alertas diariamente, muitos dos quais são falsos positivos. A falta de contexto ambiental e inteligência de ameaças relevantes dificulta a verificação rápida dos alertas realmente maliciosos. Embora as ferramentas tradicionais sejam precisas, elas falham em fornecer uma visão abrangente, permitindo que atacantes sofisticados explorem vulnerabilidades invisíveis. Para mitigar essa situação, as plataformas de gerenciamento de exposição podem transformar as operações dos SOCs, integrando inteligência de exposição diretamente nos fluxos de trabalho dos analistas. Isso melhora a visibilidade da superfície de ataque e permite uma priorização mais eficaz dos ativos críticos. A gestão contínua de exposições fornece contexto em tempo real sobre sistemas e vulnerabilidades, tornando a triagem de alertas mais eficiente. Além disso, a integração com ferramentas como EDRs e SIEMs permite que os analistas correlacionem exposições descobertas com técnicas específicas de ataque, criando uma inteligência acionável. Essa abordagem não apenas melhora a resposta a incidentes, mas também promove uma redução sistemática das exposições, contribuindo para um ambiente de segurança mais robusto.

No cenário atual de cibersegurança, a velocidade na detecção de ameaças é crucial para a proteção dos negócios. O artigo destaca que a detecção precoce não apenas minimiza os custos associados a incidentes, mas também fortalece a confiança dos clientes e permite um crescimento sustentável. Quando uma violação é detectada logo no acesso inicial, os custos são significativamente menores em comparação com a detecção em estágios mais avançados, como a exfiltração de dados. Além disso, uma resposta rápida às ameaças transforma a segurança em um facilitador de crescimento, permitindo que as empresas lancem novas funcionalidades e realizem transformações digitais sem interrupções. A maturidade em cibersegurança também abre portas para novas oportunidades de negócios, especialmente em mercados que exigem conformidade e certificações. O uso de inteligência de ameaças (TI) é destacado como uma ferramenta essencial para a detecção precoce, fornecendo dados em tempo real sobre campanhas de malware e permitindo que as organizações prevejam ataques. O artigo conclui que a detecção precoce de ameaças não é apenas uma questão de segurança, mas uma vantagem competitiva que pode garantir a estabilidade e o crescimento das empresas.

Com a crescente sofisticação das operações cibernéticas, as organizações precisam de estratégias robustas de defesa que vão além do firewall corporativo. O uso do dark web por cibercriminosos para negociar credenciais roubadas e planejar ataques torna essencial a adoção de ferramentas de monitoramento avançadas. O artigo destaca as dez melhores ferramentas de monitoramento da dark web para 2025, enfatizando a importância da Inteligência de Ameaças Cibernéticas (CTI) e da Proteção de Riscos Digitais (DRP). A seleção das ferramentas foi baseada em critérios como cobertura de dados, capacidade de análise, integração com fluxos de trabalho de segurança e especialização. Entre as ferramentas destacadas estão Recorded Future, DarkOwl, Digital Shadows e Flashpoint, cada uma oferecendo características únicas, como alertas em tempo real, análise humana e serviços de remediação automatizados. A evolução do mercado é impulsionada pela integração de análises baseadas em IA e pela necessidade de alertas de ameaças contextualizados e de alta fidelidade, tornando a escolha da plataforma certa crucial para os profissionais de segurança em 2025.

No contexto da economia digital do Reino Unido, a confiança é fundamental para operações como bancos online e comunicações do NHS. No entanto, essa confiança está sendo ameaçada por domínios semelhantes, que imitam endereços legítimos e são usados em ataques de impersonação via e-mail. Um exemplo notável envolve um domínio falso que se assemelhava a uma plataforma de logística conhecida, resultando em perdas financeiras significativas, estimadas entre £40.000 e £160.000 por incidente. Os atacantes exploram variações sutis nos nomes de domínio, como troca de caracteres ou alteração de domínios de nível superior, para contornar defesas tradicionais. Esses ataques são particularmente perigosos em setores como logística e finanças, onde a comunicação por e-mail é comum e urgente. Além disso, os domínios semelhantes são utilizados em fraudes de faturas e na impersonação de executivos, levando a transferências de fundos não autorizadas. A detecção desses domínios é desafiadora, pois muitas vezes não acionam filtros de segurança convencionais. Para mitigar esses riscos, as empresas precisam adotar uma postura proativa, investindo em inteligência de ameaças e promovendo a conscientização entre os funcionários sobre a verificação de solicitações inesperadas.

O VirusTotal, plataforma colaborativa de análise de malware, anunciou uma atualização significativa que visa simplificar o acesso para pesquisadores individuais e recompensar parceiros que enriquecem o ecossistema de detecção. As melhorias incluem uma nova estrutura de preços com quatro níveis: Community, Lite, Contributor e Duet, cada um adaptado a diferentes grupos de usuários. O nível Community permanece gratuito, oferecendo recursos básicos de escaneamento. O Lite, a partir de USD 5.000 por ano, é voltado para pequenas equipes e startups, enquanto o Contributor é um novo nível que reconhece parceiros que contribuem com motores de detecção e inteligência de ameaças, oferecendo acesso gratuito a feeds exclusivos e suporte prioritário. O Duet, por sua vez, é destinado a grandes organizações, oferecendo um conjunto completo de recursos e suporte personalizado. O fundador do VirusTotal, Bernardo Quintero, destacou a importância da colaboração e da transparência, reafirmando que a contribuição de fornecedores de segurança é essencial para fortalecer a defesa pública contra malware. Com essas atualizações, o VirusTotal busca unir a comunidade de segurança na luta contra ameaças emergentes.

Com a crescente presença digital das organizações, o monitoramento da pegada digital se tornou essencial para a cibersegurança e a proteção da marca. Em 2025, as ferramentas de monitoramento não apenas garantem a segurança, mas também ajudam na gestão da reputação, detecção de ameaças e conformidade. Essas soluções inteligentes permitem que as empresas acompanhem onde sua marca, funcionários e dados sensíveis aparecem na web aberta, redes sociais e dark web. O artigo apresenta as 10 melhores ferramentas de monitoramento da pegada digital, destacando suas especificações, razões para compra e funcionalidades. A demanda por essas ferramentas aumentou devido à alta taxa de vazamentos de dados, roubo de identidade e danos à reputação online. As ferramentas analisadas oferecem valor em áreas como inteligência de ameaças cibernéticas e gestão da reputação da marca. A escolha da plataforma certa pode reduzir riscos de negócios e melhorar a credibilidade da marca.

As ferramentas de Orquestração, Automação e Resposta em Segurança (SOAR) estão transformando a forma como as organizações enfrentam ameaças cibernéticas, otimizando fluxos de trabalho de segurança e automatizando respostas a incidentes. Em um cenário de superfícies de ataque complexas e fadiga de alertas, as soluções SOAR permitem que as equipes de segurança respondam mais rapidamente, reduzam a carga de trabalho manual e mantenham a conformidade em ambientes híbridos. Este guia abrangente analisa as 10 principais plataformas SOAR, destacando especificações, recursos únicos, prós e contras, além de razões práticas para adoção.

O artigo destaca as 50 melhores empresas de cibersegurança em 2025, enfatizando a crescente necessidade de soluções robustas em um mundo digital cada vez mais interconectado. À medida que empresas e indivíduos dependem de serviços em nuvem, trabalho remoto e dispositivos inteligentes, a superfície de ataque se expande, criando novas oportunidades para ameaças cibernéticas. As empresas listadas estão na vanguarda dessa batalha, desenvolvendo soluções inovadoras para proteger dados, redes e identidades. O foco está em uma abordagem proativa e integrada, que vai além da simples proteção de endpoints, oferecendo soluções abrangentes. A seleção das empresas levou em conta critérios como liderança de mercado, inovação, portfólio abrangente, reconhecimento de clientes e analistas, visão estratégica e saúde financeira. Entre as empresas destacadas estão Palo Alto Networks, Microsoft Security e CrowdStrike, que se destacam por suas soluções de segurança em nuvem, inteligência de ameaças e arquitetura de Zero Trust. O artigo serve como um guia para organizações que buscam fortalecer sua postura de segurança digital.

Em um cenário de ciberataques constantes, a capacidade de detectar, conter e recuperar-se de incidentes de segurança é crucial para as organizações. O artigo destaca as dez melhores empresas de resposta a incidentes de 2025, que oferecem serviços abrangentes, incluindo forense digital, inteligência de ameaças e suporte em comunicação de crise. Entre as principais empresas estão a Mandiant, conhecida por sua experiência em investigações de alto risco, e a CrowdStrike, que se destaca pela rapidez e eficiência de sua plataforma Falcon. A Rapid7 combina resposta a incidentes com serviços proativos, permitindo que as organizações não apenas se recuperem de ataques, mas também fortaleçam suas defesas. A escolha de uma empresa de resposta a incidentes não é mais um luxo, mas uma necessidade crítica em uma estratégia moderna de cibersegurança, especialmente com a crescente lacuna de habilidades na área. O artigo fornece uma tabela comparativa que avalia as ofertas de serviços, disponibilidade e integração de inteligência de ameaças das principais empresas, ajudando os líderes de segurança a tomar decisões informadas.

Com a guerra entre Rússia e Ucrânia se arrastando para o final de 2024, o ciberespaço se tornou um campo de batalha crucial, com grupos de hackers pró-russos intensificando suas operações contra indústrias globais. Um grupo identificado como SectorJ149, também conhecido como UAC-0050, está vinculado a ataques sofisticados nos setores de manufatura, energia e semicondutores da Coreia do Sul. As investigações revelaram que esses ataques utilizam malware personalizado adquirido em mercados da dark web, evidenciando a crescente conexão entre conflitos geopolíticos e a interrupção econômica habilitada por ciberataques.

Entre junho e julho de 2025, uma campanha coordenada de ataques de força bruta e password-spraying visou dispositivos SSL VPN e RDP em todo o mundo, com foco em sistemas interconectados registrados na Ucrânia e nas Seychelles. Analistas de segurança identificaram a atividade como sendo atribuída ao FDN3 (AS211736), controlado por Dmytro Nedilskyi, que realizou centenas de milhares de tentativas de login em um curto período. Os ataques utilizaram listas de credenciais conhecidas e visaram portas RDP e SSL VPN, com uma taxa de tentativas de 5.000 a 10.000 por hora. A infraestrutura dos atacantes é altamente evasiva, utilizando trocas de prefixos para evitar bloqueios e manter a pressão sobre os alvos. As organizações são aconselhadas a adotar estratégias proativas de detecção e resposta, utilizando serviços de inteligência de ameaças para mitigar esses ataques antes que ocorram. A situação representa um risco significativo para empresas que utilizam essas tecnologias, especialmente em um cenário onde a proteção de dados é crucial.

No dia 29 de agosto de 2025, a Amazon anunciou a interrupção de uma campanha de phishing conhecida como “watering hole”, atribuída ao grupo de hackers APT29, vinculado à inteligência russa. Essa campanha utilizou sites comprometidos para redirecionar visitantes a uma infraestrutura maliciosa, enganando usuários a autorizarem dispositivos controlados pelos atacantes através do fluxo de autenticação de código de dispositivo da Microsoft. APT29, também conhecido como Cozy Bear, tem sido ativo em ataques direcionados a entidades ucranianas e na coleta de dados sensíveis. Recentemente, o grupo adotou métodos de phishing, como o phishing de código de dispositivo, para obter acesso não autorizado a contas do Microsoft 365. A campanha da Amazon destacou a evolução das táticas do APT29, que agora inclui técnicas de evasão, como a codificação Base64 para ocultar código malicioso. Apesar das tentativas do grupo de mudar para novas infraestruturas, a equipe de inteligência da Amazon continuou a rastrear e interromper suas operações, evidenciando a persistência da ameaça. O ataque redirecionou cerca de 10% dos visitantes de sites legítimos para domínios controlados pelos atacantes, que imitavam páginas de verificação da Cloudflare, visando coletar códigos de dispositivo legítimos dos usuários.