Malware

Pesquisadores de segurança da Group-IB identificaram uma nova campanha de malware chamada Ghost Tap, que visa fraudar transações de pagamento por aproximação (NFC) sem a necessidade de acessar fisicamente o cartão bancário das vítimas. O malware se disfarça como aplicativos legítimos de pagamento ou serviços financeiros, permitindo que os atacantes realizem transações fraudulentas remotamente. As vítimas são geralmente convencidas a instalar o aplicativo malicioso por meio de técnicas de smishing e vishing. Uma vez instalado, o malware transmite os dados do cartão para um servidor controlado pelos golpistas, que completam as transações usando terminais de ponto de venda (POS) obtidos ilegalmente. Entre novembro de 2024 e agosto de 2025, aproximadamente R$ 1,9 milhão foram roubados através de um terminal POS promovido no Telegram. Grupos como TX-NFC e X-NFC estão envolvidos na venda do malware, que já resultou em prisões em vários países. Para combater essa ameaça, é essencial unir a educação do usuário com um monitoramento mais rigoroso das fraudes.

Pesquisadores da Zscaler identificaram três pacotes npm maliciosos que distribuem um malware de acesso remoto chamado NodeCordRAT, disfarçado como bibliotecas relacionadas à criptomoeda Bitcoin. Os pacotes, bitcoin-main-lib, bitcoin-lib-js e bip40, foram removidos em novembro de 2025 após serem enviados por um usuário identificado como wenmoonx. Durante a instalação, os pacotes executam um script que instala o bip40, que contém o payload malicioso. O NodeCordRAT é um trojan que pode roubar dados sensíveis, como credenciais do Chrome e tokens de API, além de utilizar servidores do Discord para comunicação de comando e controle. O malware é capaz de executar comandos na máquina da vítima, tirar capturas de tela e enviar arquivos para o Discord. Embora os pacotes maliciosos tenham sido removidos, é essencial que os desenvolvedores permaneçam vigilantes ao baixar pacotes, verificando sua popularidade e comentários antes da instalação.

Uma nova campanha de malware, chamada ‘Boto Cor-de-Rosa’, foi identificada por especialistas da Acronis, utilizando o WhatsApp como meio para disseminar um software malicioso com foco em roubo de dados financeiros. O golpe se inicia quando a vítima recebe uma mensagem com um arquivo ZIP infectado, disfarçado de solicitação amigável. A mensagem é elaborada com uma linguagem casual e adaptada ao horário local, aumentando a probabilidade de que a vítima clique no arquivo. Uma vez extraído, o malware instala um payload bancário e um módulo de propagação que coleta automaticamente os contatos da vítima, enviando o mesmo arquivo malicioso para eles. O malware também monitora seu desempenho em tempo real, registrando estatísticas sobre a disseminação. Embora a ameaça tenha sido bloqueada, especialistas alertam para a necessidade de cautela ao abrir arquivos não solicitados, mesmo que enviados por contatos conhecidos, pois podem ser a porta de entrada para o roubo de informações sigilosas.

Pesquisadores de cibersegurança descobriram três pacotes npm maliciosos que visam distribuir um malware inédito chamado NodeCordRAT. Os pacotes, que foram removidos em novembro de 2025, são ‘bitcoin-main-lib’, ‘bitcoin-lib-js’ e ‘bip40’, todos enviados por um usuário identificado como ‘wenmoonx’. Os dois primeiros pacotes executam um script de pós-instalação que instala o pacote ‘bip40’, que contém o payload malicioso. O NodeCordRAT é um trojan de acesso remoto (RAT) que possui a capacidade de roubar credenciais do Google Chrome, tokens de API e frases-semente de carteiras de criptomoedas como a MetaMask. O malware utiliza servidores do Discord para comunicação de comando e controle, permitindo que o invasor execute comandos arbitrários, capture screenshots e exfiltre arquivos. A ameaça é considerada significativa, pois o ator por trás da campanha nomeou os pacotes de forma semelhante a repositórios legítimos do projeto bitcoinjs, o que pode enganar desenvolvedores. A Zscaler, empresa de cibersegurança que identificou a ameaça, alerta para a necessidade de vigilância em relação a pacotes npm e suas dependências.

O grupo de ameaças UAT-7290, vinculado à China, tem sido associado a intrusões focadas em espionagem contra entidades na Ásia do Sul e no Sudeste Europeu desde pelo menos 2022. De acordo com um relatório da Cisco Talos, a atividade deste ator é caracterizada por uma extensa fase de reconhecimento técnico das organizações-alvo antes de iniciar os ataques, que frequentemente resultam na implantação de malwares como RushDrop, DriveSwitch e SilentRaid.

Uma nova campanha de phishing, identificada em dezembro de 2025, está atacando o setor de hotelaria na Europa, utilizando uma falsa tela azul da morte do Windows para disseminar malware. Especialistas da Securonix alertam que os criminosos se disfarçam como hóspedes do Booking, enviando e-mails que simulam cancelamentos de reservas. Esses e-mails geram pânico nas vítimas ao prometer reembolsos altos, levando-as a clicar em links que direcionam a páginas fraudulentas. Uma vez na página falsa, um erro de carregamento é apresentado, incentivando o usuário a clicar em um botão de atualização. Nesse momento, a tela azul do Windows aparece, fazendo com que a vítima acredite que seu sistema está com problemas. O ataque ClickFix se concretiza quando a vítima é instruída a abrir a janela de ‘Executar’ e colar um comando malicioso, que instala um trojan de acesso remoto. Esse malware permite que os hackers controlem o dispositivo da vítima, roubando dados e comprometendo sistemas sem que a pessoa perceba. A falta de conhecimento sobre a tela azul da morte torna os usuários mais vulneráveis a esse tipo de golpe.

Um recente incidente de cibersegurança revelou que a Polícia Militar do Brasil teve dados sensíveis comprometidos devido à falta de autenticação de dois fatores (2FA) em sistemas utilizados por diversas empresas. O hacker conhecido como Zestix, ou Sentap, explorou credenciais de nuvem comprometidas, obtidas através de malwares de infostealing, para acessar portais de compartilhamento de arquivos. Entre as 50 empresas afetadas, estavam organizações de setores críticos, como saúde e aviação, com dados sendo vendidos por milhões de reais em bitcoin. O caso da Maida Health, que teve 2,3 TB de dados vazados, destaca a gravidade do problema, evidenciando a necessidade urgente de implementar medidas de segurança robustas, como o 2FA, para proteger informações sensíveis. O relatório da Hudson Rock, que analisou o incidente, enfatiza que a maioria das empresas invadidas não havia adotado a autenticação multifatorial, permitindo que os hackers utilizassem senhas vazadas sem a necessidade de ataques mais complexos. Este incidente serve como um alerta para a importância de fortalecer a segurança cibernética em todas as organizações.

Uma nova ameaça de cibersegurança, conhecida como VVS Stealer, foi identificada como um malware que utiliza técnicas avançadas de ofuscamento para roubar dados sensíveis de usuários do Discord. Desenvolvido em Python, o VVS Stealer é distribuído como um pacote PyInstaller, o que permite sua execução sem dependências adicionais. O malware é capaz de se esconder no sistema da vítima, copiando seu código para a pasta de inicialização do Windows e utilizando mensagens de erro falsas para evitar detecção. Além de focar no Discord, ele também coleta informações de navegadores baseados em Chromium e Firefox, como senhas e cookies, comprimindo esses dados em arquivos ZIP. O uso de Pyarmor, uma ferramenta legítima, para proteger o código do malware dificulta a análise por antivírus. A Unit 42 da Palo Alto Networks, que estuda a ameaça, alerta que o malware faz requisições a APIs do Discord para coletar dados do usuário sem necessidade de autenticação. O VVS Stealer está em desenvolvimento ativo desde abril de 2025 e é comercializado em plataformas como o Telegram. Os especialistas recomendam que as plataformas monitorem o roubo de credenciais para evitar incidentes semelhantes.

A gangue de cibercrime conhecida como Black Cat está por trás de uma campanha de envenenamento de SEO que utiliza sites fraudulentos para enganar usuários a baixarem um backdoor capaz de roubar dados sensíveis. Segundo um relatório do CNCERT/CC e da ThreatBook, a estratégia envolve posicionar sites falsos no topo dos resultados de busca em motores como o Bing, visando usuários que procuram por softwares populares como Google Chrome e Notepad++. Ao acessar essas páginas de phishing, os usuários são levados a baixar pacotes de instalação que contêm programas maliciosos. Uma vez instalado, o malware cria uma porta dos fundos no sistema, permitindo que os atacantes acessem informações privadas. A gangue está ativa desde 2022 e, em 2023, teria roubado cerca de $160.000 em criptomoedas. Recentemente, cerca de 277.800 dispositivos foram comprometidos na China, com um pico de 62.167 máquinas comprometidas em um único dia. Para se proteger, os usuários devem evitar clicar em links de fontes desconhecidas e utilizar apenas fontes confiáveis para downloads.

O grupo hacker DarkSpectre, conhecido por suas campanhas maliciosas, lançou uma nova iniciativa chamada Zoom Stealer, que já afetou mais de 2,2 milhões de usuários dos navegadores Google Chrome, Microsoft Edge e Mozilla Firefox. De acordo com a Koi Security, os ataques, que têm origem na China, também incluem as campanhas ShadyPanda e GhostPoster, totalizando mais de 8,8 milhões de vítimas ao longo de sete anos.

As extensões comprometidas, como New Tab - Customized Dashboard e várias ferramentas de download de vídeo, foram projetadas para parecer inofensivas, mas na verdade, escondem códigos maliciosos que podem roubar dados sensíveis, como credenciais de acesso e informações de reuniões online. O ataque Zoom Stealer, em particular, foca no roubo de dados de plataformas de videoconferência, utilizando conexões WebSocket para coletar informações em tempo real.

Pesquisadores de segurança da Koi alertaram sobre um risco significativo em forks populares do Microsoft Visual Studio Code (VS Code), como Cursor e Windsurf. Esses ambientes de desenvolvimento integrados (IDEs) recomendam extensões que não estão registradas no Open VSX, o que pode permitir que atacantes publiquem pacotes maliciosos sob esses nomes. A recomendação de extensões pode ocorrer de duas formas: notificações quando arquivos específicos são abertos ou sugestões baseadas em programas já instalados. O problema é que as extensões recomendadas não existem no Open VSX, e qualquer um pode registrar esses nomes e carregar o que quiser. Um exemplo é a extensão PostgreSQL, que atraiu mais de 500 instalações, levando a um risco de roubo de dados sensíveis. Após a divulgação responsável, algumas plataformas já implementaram correções, e o Eclipse Foundation removeu contribuições não oficiais do Open VSX. Este incidente destaca a necessidade de cautela ao baixar pacotes e a importância de verificar a origem das extensões recomendadas.

Pesquisadores de cibersegurança revelaram detalhes sobre a campanha PHALT#BLYX, que utiliza iscas no estilo ClickFix para enganar vítimas com falsas mensagens de erro de tela azul da morte (BSoD). O alvo principal são organizações do setor hoteleiro na Europa, com o objetivo de instalar um trojan de acesso remoto conhecido como DCRat. A campanha foi detectada no final de dezembro de 2025 e começa com um e-mail de phishing que se disfarça como uma notificação de cancelamento de reserva do Booking.com. Ao clicar em um link para um site falso, as vítimas são levadas a uma página que simula um BSoD, onde são instruídas a executar comandos maliciosos em PowerShell. Isso resulta na execução de um arquivo MSBuild que baixa e executa o DCRat, que pode roubar informações sensíveis e executar comandos arbitrários. A campanha destaca o uso de técnicas de living-off-the-land, abusando de binários de sistema confiáveis para evitar detecções de segurança. A presença de detalhes em euros e o uso da língua russa no código indicam que o ataque é direcionado a organizações europeias, possivelmente ligadas a atores de ameaças russos.

A botnet Kimwolf, que já infectou mais de 2 milhões de dispositivos Android, tem se destacado por sua capacidade de explorar redes de proxy residenciais para disseminar malware. De acordo com a Synthient, a botnet monetiza suas operações através da instalação de aplicativos, venda de largura de banda de proxy residencial e funcionalidade de DDoS. Desde sua primeira documentação pública em dezembro de 2025, Kimwolf tem sido associada a ataques DDoS recordes, principalmente em países como Vietnã, Brasil, Índia e Arábia Saudita. A maioria das infecções ocorre em dispositivos Android que têm o Android Debug Bridge (ADB) exposto, com 67% dos dispositivos conectados à botnet sendo não autenticados e com ADB habilitado por padrão. Além disso, a botnet utiliza endereços IP de proxies alugados, como os oferecidos pela empresa chinesa IPIDEA, para infiltrar-se em redes locais e instalar o malware. A Synthient alerta que a vulnerabilidade expõe milhões de dispositivos a ataques, e recomenda que provedores de proxy bloqueiem solicitações a endereços IP privados para mitigar os riscos.

O grupo de hackers alinhado à Rússia, conhecido como UAC-0184 ou Hive0156, tem intensificado suas atividades de espionagem cibernética contra entidades militares e governamentais da Ucrânia, utilizando a plataforma de mensagens Viber para disseminar arquivos ZIP maliciosos. Segundo o 360 Threat Intelligence Center, em 2025, a organização continuou a realizar campanhas de coleta de inteligência em alta intensidade. Os ataques frequentemente empregam iscas temáticas de guerra em e-mails de phishing para entregar o malware Hijack Loader, que posteriormente facilita infecções por Remcos RAT.

O início de 2026 trouxe à tona uma série de ameaças cibernéticas que exploram a confiança dos usuários em sistemas considerados estáveis. Um dos principais focos é a botnet RondoDox, que utiliza a vulnerabilidade React2Shell (CVE-2025-55182) para comprometer dispositivos da Internet das Coisas (IoT) e aplicações web. Com um CVSS de 10.0, essa falha ainda afeta cerca de 84 mil dispositivos, principalmente nos EUA.

Além disso, o Trust Wallet sofreu um ataque na sua extensão do Chrome, resultando na perda de aproximadamente 8,5 milhões de dólares. O ataque foi atribuído a uma brecha na cadeia de suprimentos, onde segredos do GitHub foram expostos. Outro grupo, DarkSpectre, foi identificado como responsável por uma campanha de malware em extensões de navegador, afetando mais de 8,8 milhões de usuários ao longo de sete anos.

Pesquisadores de cibersegurança revelaram detalhes sobre um novo malware chamado VVS Stealer, que utiliza Python para roubar credenciais e tokens do Discord. O VVS Stealer, que está à venda no Telegram desde abril de 2025, é descrito como um ‘stealer’ acessível, com preços que variam de €10 por uma assinatura semanal a €199 por uma licença vitalícia. O código do malware é ofuscado com a ferramenta Pyarmor, dificultando a análise e detecção. Após ser instalado, o VVS Stealer se torna persistente, adicionando-se à pasta de inicialização do Windows e exibindo mensagens de erro falsas para enganar os usuários. Além de roubar dados do Discord, ele também coleta informações de navegadores como Chromium e Firefox, incluindo cookies, histórico e senhas. O malware é capaz de realizar ataques de injeção no Discord, interrompendo a aplicação e baixando um payload JavaScript ofuscado para monitorar o tráfego de rede. Essa nova ameaça destaca a crescente sofisticação dos malwares, que utilizam técnicas avançadas de ofuscação para evitar a detecção por ferramentas de segurança.

O Stuxnet é considerado um marco na cibersegurança, sendo o primeiro malware a causar danos físicos em instalações industriais. Desenvolvido em 2010, o worm foi projetado para atacar o programa nuclear do Irã, especificamente uma rede de enriquecimento de urânio em Natanz. O malware explorou vulnerabilidades zero-day em sistemas de controle industrial da Siemens, permitindo que se espalhasse por redes isoladas, mesmo aquelas desconectadas da internet. A infecção inicial ocorria através de dispositivos USB, e o Stuxnet utilizava certificados digitais roubados para se disfarçar como software legítimo.

O artigo explora as diferenças entre rootkits e bootkits, dois tipos de malware que operam de forma furtiva e são extremamente perigosos. Um rootkit é um software que permite ao hacker obter acesso privilegiado a um sistema, ocultando sua presença e atividades maliciosas, podendo infectar tanto o modo de usuário quanto o núcleo do sistema operacional. Já o bootkit é uma versão mais agressiva, que consegue infectar o sistema antes mesmo de ele ser carregado, atacando o bootloader ou o MBR. Essa capacidade de operar antes do sistema torna o bootkit mais difícil de ser detectado e removido, podendo até sobreviver a uma formatação do disco rígido. O artigo também menciona casos famosos de infecções por esses malwares, como o escândalo da Sony BMG e o worm Stuxnet. Para se proteger, recomenda-se ativar a inicialização segura, usar antivírus com escaneamento de boot e manter o firmware atualizado. A vigilância constante é essencial, pois novas ameaças estão sempre surgindo.

O primeiro boletim de ameaças de 2026 revela um cenário alarmante de cibersegurança, onde novas brechas e táticas de ataque estão emergindo rapidamente. Um caso notável envolve a prisão de um cidadão lituano que infectou 2,8 milhões de sistemas com malware disfarçado de ferramenta de ativação do Windows, resultando em um roubo de ativos virtuais avaliado em cerca de 1,2 milhão de dólares. Além disso, uma campanha coordenada tem como alvo servidores Adobe ColdFusion, explorando mais de 10 vulnerabilidades conhecidas. A descoberta de malware pré-instalado em tablets Android, denominado Keenadu, também destaca a crescente preocupação com backdoors que permitem acesso remoto a dados. Outro ponto crítico é o fechamento do subreddit r/ChatGPTJailbreak, que promovia métodos para contornar filtros de segurança em modelos de linguagem, refletindo a luta contínua contra a exploração de IA. Por fim, a campanha GlassWorm voltou a atacar usuários de macOS, visando roubar credenciais e dados de carteiras digitais. O cenário é um lembrete de que as ameaças cibernéticas estão se tornando cada vez mais sofisticadas e diversificadas, exigindo vigilância constante das organizações.

Em 2 de novembro de 1988, a internet, então conhecida como ARPANET, enfrentou um dos primeiros grandes incidentes de segurança cibernética com o surgimento do Morris Worm, criado por Robert Tappan Morris. O worm, que tinha como objetivo medir o tamanho da rede, acabou causando a negação de serviço (DoS) em cerca de 6.000 computadores, o que representava aproximadamente 10% da internet da época. O programa explorava vulnerabilidades em sistemas de e-mail e protocolos de identificação de usuários, além de adivinhar senhas comuns. A replicação agressiva do worm dificultou sua erradicação, levando universidades a desconectar fisicamente suas redes para conter a propagação. O incidente resultou em prejuízos estimados em até US$ 10 milhões e levou à criação do CERT/CC, um time de resposta a emergências cibernéticas. Morris foi processado e se tornou a primeira pessoa condenada sob a lei de Abuso e Fraude Computacional dos EUA, recebendo uma pena leve. O caso destacou a necessidade de segurança em software e a importância de protocolos de resposta a incidentes, influenciando o desenvolvimento de melhores práticas de segurança na internet.

Um levantamento da ESET, empresa de cibersegurança, revelou as principais ameaças digitais enfrentadas no Brasil em 2025, destacando a prevalência dos trojans bancários e ataques de phishing. Os trojans bancários, representados por 11,47% das detecções, são malwares que visam sistemas financeiros, explorando a crescente digitalização das transações. O phishing, em segundo lugar com 7,49%, continua a ser uma técnica comum, utilizando engenharia social para enganar as vítimas. Outras ameaças notáveis incluem o Downloader Rugmi (6,48%), que prepara o terreno para a instalação de malwares, e o Guildma (5,8%), um trojan que finge ser um aplicativo seguro para roubar informações financeiras. O Kryptik (5,08%) fecha a lista, sendo utilizado para propagar outros malwares. Para se proteger, a ESET recomenda o uso de antivírus atualizados, cautela com comunicações suspeitas e programas de conscientização em empresas. O estudo ressalta a importância da conscientização e da proteção contra essas ameaças em um cenário digital em constante evolução.

Um novo relatório da Koi Security revelou que o ator de ameaças por trás das campanhas de extensões de navegador maliciosas ShadyPanda e GhostPoster também está vinculado a uma terceira campanha chamada DarkSpectre, que impactou 2,2 milhões de usuários dos navegadores Google Chrome, Microsoft Edge e Mozilla Firefox. Ao longo de mais de sete anos, essas campanhas afetaram mais de 8,8 milhões de usuários. A ShadyPanda, que visa roubo de dados e fraudes de afiliados, foi identificada como responsável por 5,6 milhões de vítimas, enquanto a GhostPoster foca em usuários do Firefox, injetando códigos maliciosos em ferramentas aparentemente inofensivas. A campanha DarkSpectre, por sua vez, utiliza 18 extensões para coletar informações de reuniões corporativas, como URLs e senhas. As extensões maliciosas foram projetadas para parecer legítimas, acumulando confiança dos usuários antes de ativar comportamentos prejudiciais. A operação está ligada a um ator de ameaças chinês, com indícios de espionagem corporativa e coleta sistemática de inteligência de reuniões.

Pesquisadores de cibersegurança identificaram uma nova variante do malware Shai Hulud no registro npm, que apresenta modificações em relação à versão anterior detectada em novembro de 2025. O pacote malicioso, intitulado ‘@vietmoney/react-big-calendar’, foi publicado em março de 2021 e atualizado pela primeira vez em dezembro de 2025. Desde sua publicação, o pacote foi baixado 698 vezes, com 197 downloads da versão mais recente. Aikido, a empresa que fez a descoberta, não observou uma disseminação significativa ou infecções até o momento, sugerindo que os atacantes podem estar testando sua carga útil. As alterações no código indicam que a nova variante foi ofuscada a partir do código-fonte original, o que sugere que o autor tinha acesso ao código original do worm. Além disso, um pacote malicioso foi encontrado no Maven Central, disfarçado como uma extensão legítima da biblioteca Jackson JSON, que também incorpora um ataque em múltiplas etapas. Essa situação destaca a vulnerabilidade das cadeias de suprimento de software e a necessidade de vigilância constante por parte dos desenvolvedores e empresas para evitar a exploração de pacotes maliciosos.

Os infostealers são malwares projetados para roubar informações sensíveis de sistemas infectados, operando de forma discreta e silenciosa. Ao contrário de ransomwares, que sequestram dados, os infostealers se concentram em coletar credenciais, como nomes de usuário e senhas, armazenadas em navegadores como Google Chrome e Firefox. Esses dados são enviados para servidores controlados por cibercriminosos, permitindo acesso a contas de e-mail e redes sociais sem a necessidade de autenticação adicional.

Um homem lituano de 29 anos foi preso por sua suposta participação na infecção de 2,8 milhões de sistemas com um malware disfarçado de KMSAuto, uma ferramenta popular para ativar o Windows e o Microsoft Office sem custos. As autoridades coreanas relataram que o criminoso enganou as vítimas a baixarem um ativador malicioso, que escaneava a área de transferência em busca de credenciais de criptomoeda, substituindo-as por endereços controlados por ele. O ataque resultou em um roubo de 1,7 bilhão de won coreano, equivalente a milhões de reais, através de 8,4 mil transações online. A investigação começou em agosto de 2020, após uma denúncia de cryptojacking, onde o malware alterava endereços de carteiras de criptomoeda sem o conhecimento dos usuários. O caso destaca a crescente ameaça de malware escondido em ferramentas piratas e a necessidade de conscientização sobre os riscos associados ao uso de software não autorizado.

Um novo golpe de cibersegurança tem chamado a atenção ao utilizar um pacote de API falso do WhatsApp, conhecido como ’lotusbail’, que já foi baixado mais de 56 mil vezes desde seu lançamento em maio de 2025. Especialistas da Koi Security alertam que, embora o pacote pareça funcional, ele é projetado para roubar credenciais do WhatsApp, interceptar mensagens e instalar um backdoor persistente no dispositivo da vítima. O ataque se concretiza através da captura de tokens de autenticação, permitindo que os hackers vinculem seu dispositivo à conta da vítima sem que esta perceba. Mesmo após a desinstalação do pacote, o acesso à conta permanece, pois a vinculação não é removida automaticamente. O malware utiliza técnicas de antidepuração para evitar ser detectado, tornando-se um risco significativo para os usuários do WhatsApp. Este incidente destaca a necessidade urgente de conscientização e proteção contra ameaças digitais, especialmente em plataformas amplamente utilizadas como o WhatsApp.

Um novo golpe está afetando usuários de Android na Turquia, onde criminosos estão utilizando aplicativos relacionados ao sistema jurídico para disseminar um trojan chamado Frogblight, que tem como objetivo roubar dados bancários. O malware foi identificado pela primeira vez em agosto de 2025 e é propagado por meio de smishing, uma técnica de phishing que utiliza mensagens SMS fraudulentas. As vítimas recebem mensagens que alegam envolvimento em processos judiciais ou a possibilidade de receber auxílio financeiro, levando-as a clicar em links que baixam aplicativos maliciosos.

O grupo de cibercrime conhecido como Silver Fox, originário da China, está direcionando suas campanhas de phishing para a Índia, utilizando iscas relacionadas a impostos de renda para disseminar um trojan modular de acesso remoto chamado ValleyRAT. A análise da CloudSEK revela que esses ataques sofisticados empregam uma cadeia de ataque complexa, incluindo o sequestro de DLLs e a persistência do malware. Os e-mails de phishing contêm PDFs falsos que, ao serem abertos, redirecionam os usuários para um domínio malicioso onde um arquivo ZIP é baixado. Este arquivo contém um instalador que, por sua vez, utiliza um executável legítimo para instalar o ValleyRAT, que se comunica com um servidor externo e pode realizar atividades como registro de teclas e coleta de credenciais. A campanha também se beneficia de técnicas de SEO para distribuir instaladores de backdoor de aplicativos populares, visando principalmente indivíduos e organizações de língua chinesa. A NCC Group identificou um painel de gerenciamento exposto que rastreia a atividade de downloads relacionados a esses instaladores maliciosos, revelando que a maioria dos cliques nos links de download se originou da China, seguida por outros países. Essa situação destaca a necessidade de vigilância e medidas de segurança robustas para mitigar os riscos associados a esses ataques.

O grupo de hackers conhecido como Mustang Panda, vinculado à China, utilizou um driver de rootkit em modo kernel não documentado para implantar uma nova variante de backdoor chamada TONESHELL. Essa atividade foi detectada em meados de 2025, com foco em entidades governamentais na Ásia, especialmente em Myanmar e Tailândia. O driver malicioso, assinado com um certificado digital roubado, atua como um minifiltro, injetando o trojan TONESHELL nos processos do sistema e protegendo arquivos maliciosos e chaves de registro. O TONESHELL possui capacidades de shell reverso e downloader, permitindo que os atacantes baixem malware adicional em máquinas comprometidas. A infraestrutura de comando e controle (C2) foi estabelecida em setembro de 2024, e o ataque pode ter explorado máquinas previamente comprometidas. A detecção do shellcode injetado é crucial para identificar a presença do backdoor. A Kaspersky destacou que a evolução das operações do Mustang Panda mostra um uso crescente de injetores em modo kernel, aumentando a furtividade e a resiliência das suas atividades maliciosas.

Um novo golpe de cibersegurança está em andamento, onde hackers estão utilizando um domínio falso do Microsoft Activation Scripts (MAS) para disseminar malware, especificamente o Cosmali Loader. Esse malware é ativado quando usuários digitam incorretamente o comando ‘get.activated.win’ no PowerShell, substituindo por ‘get.activate[.]win’, um domínio malicioso. Os usuários afetados relataram receber pop-ups informando sobre a infecção, que pode incluir um trojan de acesso remoto e funcionalidades de mineração de criptomoedas. Especialistas em cibersegurança alertam que a utilização de scripts de ativação não oficiais do Windows pode ser arriscada e recomendam cautela ao inserir comandos desconhecidos. A situação destaca a importância de verificar a autenticidade de ferramentas de ativação e a necessidade de educação contínua sobre segurança digital para evitar tais armadilhas.

Criminosos digitais estão utilizando o Telegram como plataforma para disseminar aplicativos clonados que roubam dados de usuários de dispositivos Android. Especialistas do Group-IB identificaram uma campanha de phishing que se aproveita da confiança em aplicativos legítimos, como os disponíveis na Play Store. Os hackers criam versões falsas de aplicativos populares e, ao serem instalados, esses aplicativos maliciosos atuam como droppers, implantando um payload agressivo sem necessidade de conexão com a internet. A infecção ocorre através do sequestro de SMS, utilizando um malware chamado Wonderland, que permite a execução de comandos maliciosos em tempo real. Até o momento, a campanha foi observada principalmente no Uzbequistão, mas a técnica pode ser facilmente replicada em outros locais. O malware intercepta senhas de uso único e informações sensíveis, como credenciais bancárias, e se propaga entre os contatos da vítima. Para que o malware funcione, o usuário deve permitir a instalação de fontes desconhecidas, o que facilita o sequestro do número de celular e a continuidade da infecção. A estratégia dos hackers é criar uma aparência de legitimidade para enganar as vítimas e burlar verificações de segurança.

Uma nova campanha de malware, chamada GhostPoster, tem afetado usuários do navegador Firefox ao utilizar logos de 17 extensões legítimas para disseminar um software malicioso. Segundo a Koi Security, essas extensões foram baixadas mais de 50 mil vezes antes de serem desativadas. O malware é projetado para rastrear as atividades dos usuários e realizar fraudes, como sequestrar links de afiliados e injetar códigos de rastreamento. Os hackers se aproveitam de ícones de VPNs, bloqueadores de anúncios e ferramentas populares, como versões falsas do Google Tradutor, para enganar os usuários. Após a instalação, o malware analisa o sistema em busca de um marcador específico e se conecta a um servidor externo, iniciando uma série de ações maliciosas, como a interceptação de links de e-commerce e a criação de perfis falsos no Google Analytics. O software malicioso opera de forma furtiva, com um loader que espera até 48 horas entre as tentativas de busca, dificultando sua detecção. Essa situação levanta preocupações sobre a segurança dos dados dos usuários e a eficácia das medidas de proteção existentes.

O cenário de cibersegurança em 2025 foi marcado por uma série de incidentes que revelaram a vulnerabilidade de ferramentas amplamente utilizadas. Entre os principais eventos, destaca-se a exploração da vulnerabilidade CVE-2025-14847 no MongoDB, que afeta mais de 87 mil instâncias globalmente, permitindo que atacantes não autenticados acessem dados sensíveis. Além disso, um ataque à extensão do Chrome do Trust Wallet resultou em perdas de aproximadamente US$ 7 milhões, após a publicação de uma versão maliciosa da extensão. Outro incidente significativo foi a campanha de espionagem cibernética do grupo Evasive Panda, que utilizou envenenamento de DNS para implantar o malware MgBot em alvos na Turquia, China e Índia. A violação de dados da LastPass em 2022 também teve consequências prolongadas, com a exploração de senhas fracas resultando em um roubo de criptomoedas de pelo menos US$ 35 milhões. Por fim, um pacote malicioso no repositório npm, que se passava por uma API do WhatsApp, foi baixado mais de 56 mil vezes, permitindo que atacantes interceptassem mensagens dos usuários. Esses eventos ressaltam a necessidade urgente de atualizações e monitoramento contínuo das infraestruturas de TI.

A Trust Wallet, serviço de carteira de criptomoedas, está alertando seus usuários para atualizarem a extensão do Google Chrome após um incidente de segurança que resultou na perda de aproximadamente US$ 7 milhões. O problema afeta a versão 2.68 da extensão, que possui cerca de um milhão de usuários. A empresa recomenda a atualização imediata para a versão 2.69. O ataque, conforme relatado pela SlowMist, introduziu um código malicioso que acessava as carteiras armazenadas na extensão e solicitava a frase mnemônica de cada uma. Essa informação era então enviada para um servidor controlado pelo atacante. Até o momento, cerca de US$ 3 milhões em Bitcoin, US$ 431 em Solana e mais de US$ 3 milhões em Ethereum foram drenados. A Trust Wallet afirmou que está trabalhando para reembolsar todos os usuários afetados e pediu que os usuários evitem interagir com mensagens que não venham de seus canais oficiais. A possibilidade de que o ataque tenha sido realizado por um ator de estado-nação foi levantada, e o cofundador da Binance, Changpeng Zhao, sugeriu que o ataque pode ter sido realizado por um insider.

Um grupo de ameaça persistente avançada (APT) vinculado à China, conhecido como Evasive Panda, está por trás de uma campanha de espionagem cibernética altamente direcionada, que utiliza envenenamento de DNS para implantar o backdoor MgBot. Os ataques, que ocorreram entre novembro de 2022 e novembro de 2024, visaram principalmente vítimas na Turquia, China e Índia. A técnica de ataque envolve a manipulação de respostas DNS para redirecionar usuários a servidores controlados pelos atacantes, onde são entregues atualizações maliciosas disfarçadas de softwares legítimos, como o SohuVA.

O cenário da cibersegurança está se tornando cada vez mais complexo, com atacantes utilizando ferramentas comuns e interfaces familiares para realizar suas atividades maliciosas. Recentemente, foi identificado um padrão de ataques que se destaca pela precisão, paciência e persuasão, onde os invasores não se destacam, mas se camuflam em atividades normais. Um exemplo é o uso do Nezha, uma ferramenta de monitoramento de código aberto, que está sendo explorada por cibercriminosos para obter acesso remoto a sistemas comprometidos. Além disso, a Coreia do Sul implementou uma nova política que exige reconhecimento facial para a ativação de novos números de telefone, visando combater fraudes e roubo de identidade. Por outro lado, a detecção de malware que explora NFC em dispositivos Android aumentou em 87% na segunda metade de 2025, demonstrando a crescente sofisticação das ameaças. Outro ponto alarmante é a distribuição de exploits falsos que visam profissionais inexperientes em segurança da informação, levando à instalação de backdoors como o WebRAT. Esses incidentes ressaltam a importância de uma conscientização mais aguda sobre as ameaças cibernéticas e a necessidade de estratégias de defesa mais eficazes, que vão além de simplesmente construir muros de proteção.

Pesquisadores de cibersegurança descobriram uma nova variante do malware MacSync, um ladrão de informações para macOS, que é distribuído por meio de um aplicativo Swift assinado digitalmente e notariado, disfarçado como instalador de um aplicativo de mensagens. Essa abordagem visa contornar as verificações de segurança da Apple, como o Gatekeeper. Ao contrário de variantes anteriores que utilizavam técnicas de arrastar para o terminal, esta versão adota uma abordagem mais enganosa e automatizada. O instalador, nomeado ‘zk-call-messenger-installer-3.9.2-lts.dmg’, foi encontrado em um site específico e, apesar de ser assinado, exibe instruções para que os usuários abram o aplicativo manualmente, uma tática comum para evitar bloqueios. O dropper em Swift realiza várias verificações antes de baixar e executar um script codificado, incluindo a validação da conectividade com a internet e a remoção de atributos de quarentena. Além disso, a nova variante apresenta mudanças significativas na forma como o payload é recuperado, utilizando comandos que visam melhorar a confiabilidade e evitar detecções. A inclusão de documentos PDF irrelevantes no DMG também serve como uma técnica de evasão, aumentando o tamanho do arquivo para 25,5 MB. O MacSync, uma versão rebranded do Mac.c, possui capacidades de controle remoto além do roubo de dados, refletindo uma tendência crescente de malware que se disfarça como aplicativos legítimos.

Recentemente, duas campanhas de malware têm se destacado por enganar usuários e comprometer dispositivos. A primeira, identificada pela Cyderes, envolve a distribuição de software pirata, especificamente um loader chamado CountLoader. Este malware é instalado quando a vítima tenta baixar versões crackeadas de programas legítimos, como o Microsoft Word, através de links em sites falsos. O arquivo ZIP corrompido contém um documento que, ao ser aberto, executa comandos maliciosos, criando uma tarefa agendada que permite ao malware coletar dados sensíveis do usuário, burlando até mesmo a detecção de antivírus.

Pesquisadores de cibersegurança revelaram um novo pacote malicioso no repositório npm, chamado ’lotusbail’, que se disfarça como uma API funcional do WhatsApp. Desde sua publicação em maio de 2025, o pacote foi baixado mais de 56.000 vezes, com 711 downloads apenas na última semana. O malware é capaz de interceptar mensagens, roubar credenciais do WhatsApp e instalar um backdoor persistente no dispositivo da vítima. Ele captura tokens de autenticação, histórico de mensagens, listas de contatos e arquivos de mídia, enviando esses dados para um servidor controlado pelo atacante de forma criptografada. Além disso, o pacote permite que o dispositivo do invasor se conecte à conta do WhatsApp da vítima, garantindo acesso contínuo mesmo após a desinstalação do pacote. A técnica utilizada envolve um wrapper malicioso de WebSocket que redireciona informações de autenticação e mensagens. O ’lotusbail’ também possui funcionalidades anti-debugging que dificultam a detecção. Este incidente destaca a crescente sofisticação dos ataques à cadeia de suprimentos, onde pacotes maliciosos se disfarçam como ferramentas legítimas, representando um risco significativo para desenvolvedores e usuários do WhatsApp.

Pesquisadores da Zimperium identificaram duas novas campanhas de phishing que utilizam arquivos PDF maliciosos para infectar dispositivos iPhone e Android, visando roubar dados dos usuários. O malware se disfarça como documentos legítimos, sendo disseminado através de mensagens de texto que enganam as vítimas, aproveitando-se da confiança que elas depositam em comunicações aparentemente oficiais. Uma das campanhas finge ser uma notificação de pagamento de pedágio eletrônico no estado de Massachusetts, enquanto a outra se apresenta como uma fatura falsa do PayPal relacionada a criptomoedas. Os criminosos criaram cerca de 2.145 domínios falsos para espalhar esses links maliciosos, aumentando a eficácia do ataque. A engenharia social é uma tática central, pois os hackers exploram a vulnerabilidade dos usuários em relação a comunicações que parecem vir de autoridades. É crucial que os usuários mantenham um nível elevado de desconfiança ao receber documentos inesperados, especialmente aqueles que solicitam ações imediatas, como pagamentos. A situação ressalta a importância de medidas de segurança cibernética robustas para proteger dados sensíveis contra essas ameaças.

Recentemente, as ameaças cibernéticas demonstraram que os atacantes não precisam de grandes invasões para causar danos significativos. Eles estão mirando em ferramentas cotidianas, como firewalls e extensões de navegador, transformando pequenas falhas em brechas sérias. A verdadeira ameaça não é apenas um ataque de grande escala, mas sim centenas de ataques silenciosos que exploram sistemas confiáveis dentro das redes. Na última semana, produtos de segurança de empresas como Fortinet, SonicWall e Cisco foram alvo de ataques que exploraram vulnerabilidades críticas, como a CVE-2025-20393, que permite a execução remota de código. Além disso, uma extensão do Chrome chamada Urban VPN Proxy foi flagrada coletando dados de usuários de chatbots de IA, afetando mais de 8 milhões de instalações. Outro ataque significativo foi o da botnet Kimwolf, que comprometeu 1,8 milhão de TVs Android em todo o mundo. Esses incidentes ressaltam a importância de manter sistemas atualizados e monitorar continuamente as redes para evitar que falhas não corrigidas se tornem pontos de entrada para invasores.

Um novo malware chamado Wonderland, que se disfarça como aplicativos legítimos, está sendo utilizado por grupos de ameaças para roubar mensagens SMS de usuários de Android no Uzbequistão. Anteriormente, os atacantes usavam APKs de trojans que atuavam como malware imediatamente após a instalação. Agora, eles estão utilizando aplicativos dropper, que parecem inofensivos, mas contêm um payload malicioso que é ativado localmente após a instalação, mesmo sem conexão com a internet. O Wonderland permite comunicação bidirecional com o servidor de comando e controle (C2), possibilitando o roubo de SMS e a execução de comandos em tempo real. Os atacantes, conhecidos como TrickyWonders, utilizam o Telegram para coordenar suas operações e distribuem o malware através de páginas falsas do Google Play, campanhas publicitárias e contas falsas em aplicativos de namoro. Uma vez instalado, o malware pode interceptar senhas de uso único (OTPs) e acessar informações bancárias dos usuários. A evolução do malware na região mostra um aumento na sofisticação das técnicas utilizadas, tornando a detecção e mitigação mais desafiadoras para os usuários e profissionais de segurança.

Pesquisadores de segurança identificaram novas atividades do grupo de hackers iraniano Infy, também conhecido como Príncipe da Pérsia, quase cinco anos após suas últimas ações. O grupo, um dos mais antigos atores de ameaças persistentes avançadas (APT), é considerado ativo e perigoso, com operações que datam de 2004. Recentemente, foram descobertas campanhas que visam vítimas em países como Irã, Iraque, Turquia, Índia, Canadá e na Europa, utilizando versões atualizadas de dois malwares: Foudre e Tonnerre. Foudre, um downloader, é distribuído por meio de e-mails de phishing e é responsável por instalar o Tonnerre, que extrai dados de máquinas de alto valor. A análise revelou uma mudança nas táticas, com o uso de arquivos executáveis em documentos do Excel para instalar o malware. Além disso, o grupo utiliza um algoritmo de geração de domínio (DGA) para fortalecer sua infraestrutura de comando e controle (C2). O Tonnerre, em sua versão mais recente, também se conecta a um grupo no Telegram, o que é uma abordagem inovadora para comunicação entre o malware e seus operadores. Apesar de parecer inativo em 2022, o grupo continua a operar de forma discreta, levantando preocupações sobre suas capacidades e intenções futuras.

O malware fileless é uma nova forma de ataque cibernético que opera diretamente na memória RAM dos dispositivos, evitando a detecção por ferramentas tradicionais de segurança. Diferente dos vírus convencionais, que se instalam no disco rígido, esse tipo de malware utiliza técnicas conhecidas como ‘Living off the Land’, que aproveitam ferramentas legítimas do sistema, como PowerShell e macros do Office, para realizar ações maliciosas. O ataque geralmente começa com e-mails de phishing ou documentos comprometidos, que, ao serem abertos, executam comandos ocultos que não deixam vestígios permanentes no sistema. Isso torna a detecção extremamente difícil, pois não há arquivos maliciosos a serem escaneados. Casos como o da Equifax, onde dados de 147,9 milhões de pessoas foram expostos, ilustram a gravidade dessa ameaça. Para se proteger, é essencial atualizar softwares, ter cuidado com macros, usar ferramentas que monitoram comportamentos suspeitos e desativar funções desnecessárias. A vigilância constante e a higiene digital são fundamentais para evitar infecções por esse tipo de malware.

O Departamento de Justiça dos EUA anunciou o indiciamento de 54 indivíduos envolvidos em um esquema de jackpotting que resultou em milhões de dólares em fraudes em caixas eletrônicos (ATMs). O grupo, associado à gangue venezuelana Tren de Aragua, utilizou um malware chamado Ploutus para hackear ATMs e forçá-los a liberar dinheiro. As investigações revelaram que os membros do grupo realizaram vigilância metódica e técnicas de arrombamento para instalar o malware, que permite comandos não autorizados para saques. Desde 2021, foram registrados 1.529 incidentes de jackpotting nos EUA, resultando em perdas de aproximadamente 40,73 milhões de dólares. O uso do Ploutus, que foi detectado pela primeira vez no México em 2013, destaca a vulnerabilidade de ATMs, especialmente aqueles que operam com sistemas mais antigos, como o Windows XP. O impacto financeiro e a conexão com atividades terroristas tornam este caso alarmante, exigindo atenção das autoridades e da indústria financeira.

Uma nova campanha de malware, identificada como parte da operação ClickFix, está enganando usuários com alertas falsos de extensão no navegador. Especialistas da Point Wild alertam que o ataque utiliza engenharia social para induzir as vítimas a instalar manualmente um software malicioso chamado DarkGate. O golpe simula o desaparecimento de uma extensão do Word, levando o usuário a clicar em um botão de ‘como corrigir’, que promete restaurar o acesso ao documento. Ao clicar, um comando do PowerShell é inserido na área de transferência do navegador, permitindo que os hackers conduzam o ataque sem que a vítima perceba. Uma vez instalado, o DarkGate pode baixar arquivos maliciosos e se camuflar em scripts codificados, tornando-se persistente mesmo após reinicializações do sistema. O malware coleta informações sensíveis e as envia para os servidores dos criminosos, explorando a confiança do usuário e a falta de atenção para os riscos online. Este tipo de ataque representa um desafio significativo para a segurança cibernética, pois pode passar despercebido até mesmo por sistemas de antivírus.

A vulnerabilidade React2Shell (CVE-2025-55182), classificada como crítica, está sendo explorada por grupos de hackers ligados à China e à Coreia do Norte, comprometendo centenas de sistemas em todo o mundo. A falha, que afeta os Componentes de Servidor do React (RCS), permite a execução de comandos arbitrários e a instalação de malware, incluindo mineradores de criptomoedas. A Microsoft alertou que a exploração da vulnerabilidade se intensificou após a divulgação pública, com ataques direcionados a setores variados, como serviços financeiros, logística, varejo e instituições governamentais. Os atacantes buscam estabelecer persistência e realizar espionagem cibernética. A Coreia do Norte, em particular, está utilizando um malware sofisticado chamado EtherRAT, que combina técnicas de várias campanhas anteriores. É crucial que as organizações atualizem suas versões do React para 19.0.1, 19.1.2 ou 19.2.1 imediatamente para mitigar os riscos associados a essa vulnerabilidade.

Pesquisadores de cibersegurança alertaram sobre o surgimento do malware SantaStealer, que opera sob um modelo de malware como serviço. Este novo software malicioso, uma versão rebranded do BluelineStealer, é acessível a cibercriminosos de baixo nível por meio de assinaturas mensais que variam de $175 a $300. SantaStealer possui quatorze módulos distintos que coletam dados simultaneamente, incluindo credenciais de navegadores, cookies, histórico de navegação, informações de carteiras de criptomoedas e dados de aplicativos de mensagens. Os dados roubados são comprimidos e enviados para um servidor de comando e controle. O malware também captura capturas de tela e tem a capacidade de contornar a criptografia de aplicativos do Chrome. Embora atualmente não esteja amplamente distribuído, os pesquisadores notaram que as táticas de ataque incluem phishing e downloads de software pirata. A proteção apenas por firewall pode não ser suficiente para evitar esses vetores de ataque, e a detecção de antivírus continua sendo eficaz contra as amostras observadas. Apesar de sua capacidade técnica, SantaStealer é mais notável por sua estratégia de marketing do que por sua maturidade técnica.

Um novo malware, identificado como NANOREMOTE, está utilizando a API do Google Drive para controlar sistemas operacionais Windows de forma discreta. A descoberta foi realizada por especialistas da Elastic Security Labs, que relataram que o malware funciona como um backdoor, permitindo que os cibercriminosos acessem o centro de comando da plataforma para transferir dados entre o dispositivo da vítima e seus servidores. O NANOREMOTE é capaz de roubar informações, executar comandos e manipular arquivos, tudo isso sem que o usuário perceba. O malware também possui um gerenciador de tarefas que automatiza downloads e uploads, facilitando a ação criminosa. Embora os pesquisadores ainda não tenham identificado como o NANOREMOTE é distribuído, acredita-se que um grupo chinês de ciberataques esteja por trás da campanha, visando setores estratégicos como governo, defesa, telecomunicações, educação e aviação, principalmente no sudeste asiático e na América do Sul desde 2023. O malware se comunica com um endereço IP fixo e não roteável, utilizando solicitações HTTP para enviar e receber dados, o que aumenta sua furtividade. Essa situação levanta preocupações sobre a segurança de dados e a necessidade de vigilância constante em ambientes corporativos.

Pesquisadores de cibersegurança revelaram uma nova campanha que utiliza sites de distribuição de software crackeado como vetor para uma versão modular e furtiva do loader conhecido como CountLoader. Essa campanha inicia-se quando usuários desavisados tentam baixar versões piratas de softwares legítimos, como o Microsoft Word, sendo redirecionados para links maliciosos que hospedam arquivos ZIP contendo um interpretador Python renomeado. O malware, uma vez instalado, estabelece persistência no sistema e pode baixar e executar outros malwares, como o ACR Stealer, que coleta dados sensíveis. CountLoader é projetado para contornar ferramentas de segurança, como o Falcon da CrowdStrike, e possui capacidades de propagação via dispositivos USB. Além disso, a Check Point revelou um loader JavaScript chamado GachiLoader, distribuído por meio de contas comprometidas do YouTube, que também implanta malwares adicionais. Essa evolução das técnicas de malware destaca a necessidade de estratégias de defesa em camadas e detecção proativa.