Linux

A nova versão 5.0 do ransomware LockBit representa um avanço significativo em suas operações de ransomware como serviço (RaaS). Pela primeira vez, o LockBit oferece binários totalmente suportados para Windows, diversas distribuições Linux e hipervisores VMware ESXi, permitindo que atacantes comprometam simultaneamente endpoints, servidores e hosts de virtualização. Essa capacidade de ataque multiplataforma reduz drasticamente o tempo de impacto, afetando tanto as camadas de produção quanto de virtualização. Após a desarticulação da infraestrutura do LockBit em fevereiro de 2024, seus afiliados rapidamente migraram para novos canais de comando e controle, demonstrando resiliência e inovação. A versão 5.0 introduz técnicas avançadas de evasão e criptografia, como execução em memória e rotinas de criptografia paralela, dificultando a resposta a incidentes e a recuperação baseada em backups. Para se proteger contra essa ameaça, as organizações devem adotar uma estratégia de defesa em profundidade, que inclua segmentação de rede, controles de acesso, proteção de endpoints e servidores, segurança de hipervisores e rigor na recuperação de dados.

Uma vulnerabilidade crítica foi identificada no componente de compartilhamento de arquivos ksmbd do Kernel Linux, permitindo que atacantes remotos executem código arbitrário com privilégios totais do kernel. Classificada como CVE-2025-38561, a falha afeta distribuições Linux que utilizam a implementação do servidor SMB ksmbd. Embora a autenticação válida seja necessária, a exploração bem-sucedida pode levar a uma completa compromissão do sistema, tornando a aplicação de patches urgente para administradores e fornecedores.

O ransomware BlackLock, uma ameaça sofisticada que opera em múltiplas plataformas, foi identificado como um risco significativo para organizações que utilizam sistemas Windows, Linux e VMware ESXi. Desenvolvido na linguagem Go, BlackLock possui um design modular e um modelo de Ransomware-as-a-Service (RaaS), permitindo que seus operadores personalizem ataques de acordo com as necessidades. Desde sua primeira aparição em junho de 2024, o grupo por trás do ransomware, inicialmente chamado El Dorado, rebatizou-se como BlackLock em setembro do mesmo ano. O ransomware é capaz de criptografar arquivos em diferentes sistemas, utilizando rotinas avançadas de criptografia, como o algoritmo ChaCha20, e técnicas de troca de chaves como o ECDH para proteger os metadados. Após a criptografia, o BlackLock apaga cópias de sombra e limpa a lixeira para dificultar a recuperação dos dados. O grupo tem como alvo setores variados, incluindo instituições públicas, educação, transporte e manufatura, com operações registradas nos EUA, Coreia do Sul e Japão. Dada sua capacidade de afetar ambientes críticos, as equipes de segurança devem adotar estratégias rigorosas de backup e proteção de endpoints para mitigar os riscos associados a esse ransomware.

Uma vulnerabilidade recentemente divulgada no módulo KSMBD do Kernel Linux permite a execução remota de código (RCE) não autenticada em sistemas que utilizam a versão 6.1.45 do Linux com KSMBD ativado. O KSMBD, que serve como um servidor SMB3 em espaço de kernel para compartilhamento de arquivos em rede, foi considerado mais eficiente em comparação com alternativas em espaço de usuário. No entanto, pesquisadores de segurança demonstraram um exploit estável que não requer interação do usuário, explorando duas vulnerabilidades conhecidas (CVE-2023-52440 e CVE-2023-4130) que foram corrigidas pela Zero Day Initiative no final de 2023 e início de 2024. O ataque começa com um estouro de heap não autenticado durante a autenticação NTLM, permitindo que um invasor manipule a memória do kernel. A exploração é facilitada por uma série de técnicas que burlam a aleatorização do espaço de endereçamento do kernel (KASLR), culminando na execução de um shell reverso em modo usuário, mantendo a estabilidade do kernel. Apesar de o KSMBD ser frequentemente desativado em ambientes de produção, sistemas que operam com o kernel 6.1.x não corrigido e expostos a redes não confiáveis permanecem vulneráveis. Administradores são aconselhados a atualizar para a versão 6.1.46 ou posterior, onde as vulnerabilidades foram corrigidas.

O ZynorRAT, um novo Trojan de Acesso Remoto (RAT), está gerando preocupações entre pesquisadores de segurança devido às suas capacidades multiplataforma e à infraestrutura de comando e controle (C2) furtiva. Lançado em julho de 2025, o ZynorRAT utiliza binários em Go para Linux e Windows, permitindo uma gama de funções controladas por atacantes através de um bot no Telegram. O RAT estabelece seu canal C2 por meio do Telegram, incorporando o token do bot e o identificador de chat diretamente no binário. Ao ser executado, ele consulta a API do Telegram para comandos, executando instruções reconhecidas ou revertendo para a execução de shell. Entre as funções disponíveis estão exfiltração de arquivos, listagem de diretórios e processos, captura de tela e instalação de persistência. O ZynorRAT também demonstra um desenvolvimento ativo, com uma redução nas taxas de detecção em uploads sucessivos ao VirusTotal. A detecção e mitigação são possíveis através de regras específicas e assinaturas YARA, com recomendações para monitoramento contínuo e auditoria de diretórios de serviços de usuário. Dada a sua evolução e potencial de exploração, as organizações devem atualizar suas regras de detecção e reforçar controles de saída de rede.

Pesquisadores de cibersegurança identificaram duas novas famílias de malware: CHILLYHELL, um backdoor modular para macOS, e ZynorRAT, um trojan de acesso remoto (RAT) baseado em Go que ataca sistemas Windows e Linux. O CHILLYHELL, atribuído ao grupo de hackers UNC4487, é projetado para arquiteturas Intel e foi descoberto em uma amostra enviada ao VirusTotal em maio de 2025. Este malware se destaca por suas múltiplas técnicas de persistência e pela capacidade de modificar timestamps para evitar detecções. Ele se comunica com servidores de comando e controle (C2) e pode executar uma variedade de comandos, incluindo a coleta de informações do sistema e ataques de força bruta. Por outro lado, o ZynorRAT utiliza um bot do Telegram para gerenciar máquinas infectadas, permitindo exfiltração de arquivos e execução de comandos arbitrários. Embora o ZynorRAT tenha sido submetido ao VirusTotal em julho de 2025, ele ainda está em desenvolvimento, especialmente na versão para Windows. Ambas as ameaças ressaltam a evolução das técnicas de malware, exigindo atenção redobrada de profissionais de segurança da informação.

Uma nova técnica de exploração foi desenvolvida para a vulnerabilidade crítica do kernel Linux, identificada como CVE-2024-50264, que afeta o subsistema AF_VSOCK em versões do kernel a partir da 4.8. Essa vulnerabilidade permite que atacantes não privilegiados provoquem uma condição de uso após a liberação (UAF) no objeto virtio_vsock_sock durante operações de conexão de socket. Embora defesas anteriores, como a aleatorização de caches e o endurecimento de buckets SLAB, tenham dificultado a exploração, pesquisadores demonstraram que uma combinação de novos métodos e temporização precisa pode contornar essas mitigativas. Utilizando o framework de teste open-source kernel-hack-drill, os pesquisadores criaram uma cadeia de exploração que interrompe a chamada de sistema connect() com um sinal POSIX ‘imortal’, permitindo a exploração sem encerrar o processo. Após a liberação do objeto vulnerável, o ataque utiliza uma abordagem de alocação cruzada para recuperar o objeto e corromper estruturas críticas do kernel, permitindo a elevação de privilégios. Com a CVE-2024-50264 agora considerada explorável em kernels endurecidos, é crucial que as equipes de segurança priorizem a implementação de patches e reavaliem as estratégias de endurecimento de objetos do kernel.

Pesquisadores da Trellix identificaram um novo ataque direcionado a usuários de Linux, que utiliza phishing por e-mail para disseminar malware. O ataque se destaca pelo uso de um arquivo RAR com um nome malicioso, que injeta comandos shell e arquivos bash codificados em Base64. O malware, denominado VShell, cria um backdoor que permite o controle remoto do sistema infectado. O ataque explora uma vulnerabilidade comum em scripts shell, onde os nomes de arquivos não são devidamente verificados pelos antivírus, permitindo que o malware passe despercebido. Os criminosos utilizam engenharia social, enviando e-mails que se disfarçam de pesquisas de produtos de beleza, oferecendo recompensas em dinheiro para atrair as vítimas a baixar o arquivo malicioso. Para se proteger, é recomendado desconfiar de recompensas financeiras em e-mails de remetentes desconhecidos e evitar baixar arquivos sem verificar sua origem e conteúdo.

O Linux, que celebra seu 34º aniversário, é um pilar da infraestrutura de computação moderna, abrangendo desde smartphones até supercomputadores. Criado por Linus Torvalds em 1991 como um projeto pessoal, o sistema operacional evoluiu para um ecossistema de bilhões de dólares, com mais de 34 milhões de linhas de código e contribuições diárias de milhares de desenvolvedores. Atualmente, o Linux é responsável por 100% dos 500 supercomputadores mais poderosos do mundo e alimenta mais de 90% das cargas de trabalho em nuvem pública, além de ser a base do Android, que domina o mercado de smartphones com 72% das vendas globais. O modelo de desenvolvimento aberto do Linux é sua maior força, atraindo empresas que buscam segurança e inovação. Com a crescente demanda por habilidades em Linux, o mercado global de Linux para empresas deve alcançar US$ 14,4 bilhões até 2025. À medida que o Linux se aproxima de seu 35º ano, ele continua a ser fundamental em áreas emergentes como inteligência artificial e computação quântica, destacando a importância da colaboração aberta na tecnologia.

Pesquisadores em cibersegurança identificaram uma nova cadeia de ataque que utiliza e-mails de phishing para entregar um backdoor de código aberto chamado VShell. O ataque começa com um e-mail contendo um arquivo RAR malicioso, que inclui um nome de arquivo projetado para executar comandos no shell. O nome do arquivo contém código compatível com Bash, que é ativado quando o shell tenta interpretar o nome do arquivo. Essa técnica de injeção de comandos se aproveita de uma falha comum em scripts shell, permitindo que o malware seja executado sem ser detectado por antivírus, já que esses geralmente não escaneiam nomes de arquivos. Após a execução, o malware se comunica com um servidor de comando e controle para baixar um binário ELF, que então executa o VShell, um poderoso malware de acesso remoto. O ataque é disfarçado como um convite para uma pesquisa de produtos de beleza, atraindo vítimas com uma recompensa monetária. A análise destaca a evolução perigosa na entrega de malware Linux, onde um simples nome de arquivo pode ser usado para executar comandos arbitrários, representando uma ameaça significativa para dispositivos Linux em geral.

O RingReaper é uma nova variante de malware que ataca ambientes Linux, apresentando capacidades avançadas de evasão que desafiam as soluções tradicionais de detecção e resposta em endpoints (EDR). Identificado como um agente pós-exploração, o malware utiliza a interface de entrada/saída assíncrona moderna do kernel Linux, chamada io_uring, para realizar operações encobertas sem ser detectado por ferramentas de monitoramento de segurança. Ao invés de utilizar chamadas de sistema convencionais, o RingReaper emprega primitivas do io_uring, o que reduz sua visibilidade nos dados de telemetria que as ferramentas de segurança analisam.

Um recente vazamento de dados, publicado na revista Phrack, revelou um conjunto de malware sofisticado para Linux, associado a um grupo de ameaças supostamente alinhado ao governo norte-coreano. O vazamento, que parece ter origem em uma violação da infraestrutura dos atacantes, expõe táticas operacionais avançadas utilizadas contra organizações governamentais e do setor privado da Coreia do Sul e Taiwan. O malware em questão é um rootkit baseado em um módulo de kernel carregável (LKM), projetado para evitar a detecção tradicional e garantir acesso persistente e oculto a sistemas Linux. Entre suas características estão a ocultação de módulos, evasão de processos e redes, e técnicas anti-forense que dificultam a reconstrução de atividades. Os pesquisadores de segurança alertam que as defesas tradicionais são insuficientes para detectar tais ameaças, e recomendam que, se um sistema for comprometido a nível de kernel, ele deve ser isolado e reconstruído imediatamente. Este incidente destaca a crescente sofisticação das operações ligadas ao estado norte-coreano, que utilizam técnicas de stealth em nível de kernel para infiltrar redes sem serem detectados.

O Centro de Coordenação de Resposta a Incidentes de Segurança do Japão (JPCERT/CC) divulgou que entre setembro e dezembro de 2024, foram observados ataques utilizando um framework de comando e controle (C2) chamado CrossC2. Este framework expande a funcionalidade do Cobalt Strike para plataformas como Linux e macOS, permitindo controle cruzado de sistemas. Os atacantes usaram ferramentas como PsExec e Plink, além de um malware personalizado denominado ReadNimeLoader, que atua como carregador para o Cobalt Strike. O ReadNimeLoader, escrito na linguagem Nim, executa código diretamente na memória para evitar rastros no disco. Os ataques visaram servidores Linux, que frequentemente não possuem sistemas de detecção e resposta a ameaças (EDR), tornando-os alvos vulneráveis. A campanha de ataque também mostrou sobreposição com atividades de ransomware BlackSuit/Black Basta, indicando um cenário de ameaça crescente. JPCERT/CC enfatiza a necessidade de maior atenção a esses servidores, dada a falta de proteção adequada e o potencial de comprometimento adicional.