Malware

Pesquisadores de cibersegurança revelaram a atuação de um novo ator de ameaças, denominado Lurking Lizard, que opera um negócio de proxies residenciais maliciosos. Desde agosto de 2022, o grupo tem utilizado mais de 230 domínios semelhantes para recrutar dispositivos comprometidos como nós de proxy. Uma das campanhas observadas envolveu a distribuição de um instalador trojanizado do 7-Zip, hospedado em um domínio que imitava o original. O Lurking Lizard também se faz passar por provedores de proxy renomados e utiliza sites de revisão falsos para direcionar tráfego para suas plataformas fraudulentas. A análise sugere que o grupo é baseado na China e emprega técnicas como o ‘drop-catching’, adquirindo domínios expirados para herdar sua legitimidade. Além disso, a infraestrutura utilizada para a campanha do 7-Zip também serve para distribuir instaladores falsos de outros aplicativos populares. O impacto dessa operação é significativo, pois pode transformar dispositivos comuns em parte de uma botnet, expondo os usuários a riscos de segurança e possíveis ações maliciosas. A situação é agravada pelo fato de que a Google recentemente desmantelou outra rede de proxies residenciais, destacando a gravidade do problema.

Um novo grupo de ameaças, identificado como UNK_MassTraction, está explorando servidores vulneráveis do Roundcube em universidades dos Estados Unidos e Canadá, visando principalmente departamentos de física e engenharia, além de organizações de pesquisa em astrofísica e segurança nacional. Desde maio, a campanha tem sido rastreada pela empresa de cibersegurança Proofpoint, que relata que os ataques começam com e-mails maliciosos enviados de contas comprometidas ou domínios falsificados. Ao abrir esses e-mails em um cliente webmail Roundcube vulnerável, os usuários são afetados por uma falha de cross-site scripting (CVE-2024-42009), que executa um código JavaScript e carrega um payload chamado IceCube. Este malware é capaz de roubar credenciais, dados de autenticação de dois fatores e informações do navegador. Além disso, o malware tenta explorar uma falha de desserialização (CVE-2025-49113) para instalar um webshell PHP, SquareShell, que permite execução remota de código. A Proofpoint sugere que o UNK_MassTraction é um ator de espionagem alinhado à China, dado o uso de infraestrutura associada a grupos chineses e a tática de atacar servidores de e-mail. A empresa recomenda que administradores de sistemas Roundcube apliquem atualizações de segurança para mitigar essas vulnerabilidades.

Recentemente, pacotes maliciosos foram identificados no Node Package Manager (npm) e no Python Package Index (PyPI), direcionados a desenvolvedores e usuários dos aplicativos de pagamento Paysafe, Skrill e Neteller. Os atacantes publicaram pelo menos 17 pacotes maliciosos simultaneamente, com a finalidade de exfiltrar credenciais e tokens de acesso para um servidor de comando e controle hospedado na Amazon Web Services (AWS). Esses pacotes se disfarçam como SDKs legítimos de pagamento, mas na verdade retornam respostas falsas de sucesso, enquanto buscam por segredos como tokens, senhas e chaves de API. A análise da empresa de segurança Socket revela que os pacotes npm publicaram quatro versões maliciosas, enquanto os pacotes PyPI apresentaram apenas uma. Os dados exfiltrados incluem chaves de API do Paysafe, chaves da AWS e tokens do GitHub. Os desenvolvedores que instalaram esses pacotes são aconselhados a rotacionar imediatamente todas as credenciais em qualquer máquina que tenha importado ou executado esses pacotes. A capacidade do atacante de transitar entre diferentes ecossistemas pode dificultar a defesa, especialmente se houver visibilidade limitada em um único ecossistema.

Um novo esquema de fraude bancária está atacando clientes de bancos, fintechs e exchanges de criptomoedas no México, utilizando iscas ClickFix. A operação, identificada como REF6045 pelo Elastic Security Labs, envolve a infecção de vítimas através de páginas falsas de verificação CAPTCHA, que induzem os usuários a executar um comando malicioso que instala um toolkit PowerShell chamado SCMBANKER. Este malware é projetado especificamente para o ecossistema financeiro mexicano e possui capacidades como monitoramento de sessões bancárias, captura de telas e manipulação de área de transferência. O ataque começa com uma verificação CAPTCHA falsa que leva as vítimas a copiar e colar um comando malicioso. Após a instalação, o operador pode monitorar a atividade bancária da vítima, redirecionar navegadores e até mesmo bloquear a tela com avisos falsos. Os pesquisadores notaram que o SCMBANKER utiliza um modelo de linguagem para desenvolver suas ferramentas, evidenciando a utilização de inteligência artificial na criação do malware. A operação representa um risco significativo, pois já existem vítimas reais sendo monitoradas em tempo real pelos operadores. A descoberta de um diretório aberto permitiu a recuperação de informações detalhadas sobre a infraestrutura do ataque, revelando falhas de segurança operacional por parte dos criminosos.

O grupo de ameaças avançadas persistentes (APT) conhecido como UAT-7810, vinculado à China, está aprimorando seu malware personalizado para expandir sua rede de Operational Relay Box (ORB). De acordo com a Cisco Talos, o UAT-7810 é responsável pela manutenção e proliferação do LapDogs, uma rede ORB identificada pela primeira vez em junho de 2025. O objetivo do grupo é estabelecer redes ORB que possam ser utilizadas por outros atores de ameaças para realizar ataques cibernéticos a alvos de alto valor. Recentemente, o UAT-7810 desenvolveu uma nova versão de seu malware, chamada LONGLEASH, além de outras ferramentas como DOGLEASH e LEASHTEST, que são utilizadas para explorar vulnerabilidades em dispositivos de rede, como roteadores Ruckus e ASUS. As campanhas do grupo têm se concentrado em explorar falhas conhecidas, como CVE-2020-22653 e CVE-2023-25717, para comprometer dispositivos e estabelecer acesso persistente. A evolução do malware indica um ciclo ativo de desenvolvimento, com novas funcionalidades sendo testadas em dispositivos MIPS. A situação representa um risco significativo para a segurança de redes, especialmente para infraestruturas críticas.

Hackers chineses identificados como ‘UAT-7810’ estão aprimorando seu malware para expandir sua rede de infraestrutura de relé operacional (ORB), focando principalmente em dispositivos de rede expostos à internet, como roteadores Ruckus não atualizados. De acordo com pesquisadores da Cisco Talos, essa rede ORB serve como uma infraestrutura de relé segura para outras ameaças persistentes avançadas (APTs) alinhadas à China. O malware LONGLEASH, uma versão aprimorada do backdoor SHORTLEASH, foi identificado, oferecendo novas funcionalidades, como redirecionamento de tráfego e suporte a TLS. Além disso, foram descobertos outros malwares, como DOGLEASH, um backdoor leve para Linux, e JARLEASH, uma ferramenta administrativa em Java. Os pesquisadores destacam que UAT-7810 explora vulnerabilidades conhecidas em roteadores, como CVE-2020-22653 e CVE-2023-25717, para obter acesso inicial. A continuidade da expansão da infraestrutura ORB e a substituição do SHORTLEASH pelo LONGLEASH indicam um aumento na capacidade operacional dos atacantes. A lista completa de indicadores de comprometimento (IoCs) relacionados à atividade do UAT-7810 está disponível no relatório da Cisco Talos.

Um novo malware para Android, denominado RedWing, está sendo comercializado no Telegram como um serviço de fraude bancária acessível até para criminosos de baixa habilidade. De acordo com a Zimperium, que identificou a operação, o RedWing é uma variante do malware Oblivion, e é oferecido em pacotes de assinatura que incluem descontos por indicação, guias e vídeos explicativos, permitindo que qualquer comprador crie um aplicativo personalizado sob demanda.

O processo de infecção começa com um link de phishing que direciona a vítima a uma página falsa de loja de aplicativos. O malware solicita permissões de forma gradual, utilizando técnicas enganosas para obter acesso total ao dispositivo. Uma vez instalado, o RedWing pode criar telas de login falsas, ler mensagens de texto para capturar códigos de autenticação e redirecionar chamadas, além de permitir o controle remoto do dispositivo.

A Palo Alto Networks, através da sua unidade Unit 42, revelou uma nova campanha de ciberataques que explora chamadas de voz do Microsoft Teams. Os atacantes se passam por funcionários de suporte técnico para induzir colaboradores a instalar o malware EtherRAT, que concede acesso remoto a redes corporativas. O ataque começa com um e-mail de phishing disfarçado de ‘Pesquisa de Funcionários’, contendo um PDF malicioso. Após abrir o documento, a vítima recebe uma chamada de voz do Teams de uma conta externa que se faz passar por um ‘Administrador de Sistema’. Os pesquisadores notaram que a sessão do Teams exibia o rótulo ‘Externo desconhecido’, indicando que o chamador pertencia a um locatário diferente do Microsoft 365. Após convencer a vítima a conceder controle remoto, o atacante orienta a instalação de ferramentas legítimas de acesso remoto, como HopToDesk e AnyDesk, antes de baixar e executar um instalador MSI malicioso que carrega o EtherRAT. Este trojan de acesso remoto, escrito em Node.js, permite que os atacantes executem comandos, manipulem arquivos e roubem dados. A campanha destaca a crescente preocupação com a segurança do Microsoft Teams, levando a empresa a implementar novas proteções contra ataques de phishing e vishing.

Um grupo de hackers iranianos, vinculado ao Ministério da Inteligência e Segurança do Irã, tem utilizado um novo framework modular de comando e controle (C2) chamado Cavern, visando principalmente organizações israelenses, especialmente no setor de TI e governo. A pesquisa da Check Point identificou que o Cavern Manticore, como é conhecido o grupo, apresenta semelhanças táticas com outros grupos como MuddyWater e Lyceum. O framework é construído sobre uma base .NET e utiliza múltiplos formatos de compilação, dificultando a análise por parte de especialistas em segurança.

Pesquisadores de cibersegurança identificaram um novo trojan de acesso remoto, denominado QuimaRAT, que opera em ambientes Windows, Linux e macOS. Este malware é oferecido sob um modelo de malware como serviço (MaaS), com preços que variam de $150 a $1.200, dependendo do período de assinatura. O QuimaRAT possui uma arquitetura modular, permitindo a expansão dinâmica de suas capacidades por meio de plugins criptografados. Os criadores do malware também disponibilizam um construtor que gera arquivos em diversos formatos, facilitando a personalização para diferentes ambientes. Embora o QuimaRAT prometa total furtividade em Windows e Linux, no macOS, algumas funcionalidades exigem permissões administrativas do usuário. O malware é projetado para executar uma variedade de ações maliciosas, incluindo execução remota de comandos, roubo de credenciais e vigilância por webcam. Além disso, ele utiliza técnicas avançadas para evitar detecções, como a execução de shellcode sem arquivos e um framework de comunicação resiliente. A análise sugere que o QuimaRAT é uma plataforma modular, o que representa um desafio significativo para a segurança cibernética, especialmente em um cenário onde a proteção de dados é crucial.

Pesquisadores da Universidade de Shandong desenvolveram uma nova técnica chamada TrojPix, que permite a extração de dados de computadores desconectados de redes. A técnica modifica pixels na tela de forma imperceptível, fazendo com que o cabo de vídeo emita um sinal de rádio que pode ser decodificado por um receptor próximo. Embora TrojPix exija que o malware já esteja presente na máquina alvo, sua capacidade de transferir dados a uma taxa de até 8,1 Mbps representa um avanço significativo em relação a métodos anteriores, que operavam em velocidades muito mais lentas. A técnica pode transmitir arquivos de 100 MB em menos de dois minutos, o que transforma a ameaça de vazamento de senhas em uma possibilidade de transferência de arquivos inteiros enquanto o monitor parece desligado. Os pesquisadores testaram a técnica em nove marcas de monitores e quinze tipos de cabos de vídeo, demonstrando sua versatilidade. Apesar de ser uma inovação promissora, a técnica ainda enfrenta desafios práticos, como a necessidade de superar barreiras físicas e interferências. As medidas de mitigação incluem o uso de cabos de fibra óptica e a proteção física de ambientes sensíveis, além da prevenção de infecções por malware.

Um novo grupo de ameaças cibernéticas, supostamente ligado à China, está atacando contribuintes, profissionais de contabilidade e equipes financeiras corporativas na Índia. A campanha, chamada de Operação DragonReturn, foi identificada pela Seqrite Labs e começou em 18 de maio de 2026, coincidindo com a temporada de declaração de impostos no país. Os ataques utilizam e-mails de phishing que se disfarçam como comunicações do Departamento de Impostos da Índia, induzindo os usuários a clicarem em links maliciosos. O objetivo final é implantar um trojan de acesso remoto para roubar dados sensíveis. A técnica envolve o uso de documentos falsos, citações legais reais e conteúdo bilíngue para aumentar a credibilidade. Após a infecção, o malware garante acesso persistente ao sistema, utilizando técnicas de ocultação e injeção de payloads. A análise da infraestrutura sugere que os atacantes estão utilizando endereços IP associados à China, levantando suspeitas sobre a origem da operação. Essa ameaça representa um risco significativo, especialmente considerando a possibilidade de roubo de dados financeiros e credenciais. A situação é um alerta para empresas e profissionais que lidam com informações fiscais e financeiras, destacando a necessidade de vigilância e proteção contra ataques cibernéticos.

O cenário de cibersegurança apresentou eventos significativos na última semana, destacando a vulnerabilidade de dispositivos comuns e a exploração de falhas em sistemas amplamente utilizados. A ação conjunta do Google e do FBI resultou na desativação da rede de proxies residenciais NetNut, que utilizava dispositivos domésticos, como TVs inteligentes, para mascarar atividades maliciosas. Estima-se que a rede envolva cerca de 2 milhões de dispositivos globalmente. Além disso, o WhatsApp introduziu um sistema de nomes de usuário, levantando preocupações sobre possíveis abusos para impersonificação. Outro incidente relevante foi a descoberta do trojan bancário Ousaban, que ataca usuários na Espanha e Portugal através de documentos PDF falsos. Por fim, um novo ransomware gerado por IA foi identificado, explorando a API de Acesso a Arquivos do Chromium, embora ainda não tenha sido observado em ataques reais. Esses eventos ressaltam a necessidade de uma abordagem proativa em cibersegurança, especialmente em um ambiente onde a confiança é frequentemente mal colocada.

Um estudo da Universidade de Ciência e Tecnologia de Hong Kong revelou que scanners projetados para detectar habilidades maliciosas em agentes de codificação de IA falham em mais de 90% dos casos. Os pesquisadores desenvolveram uma ferramenta chamada SKILLCLOAK, que reescreve habilidades maliciosas para parecerem inofensivas, utilizando técnicas como a troca de caracteres e o empacotamento autoextraível. Essas habilidades podem roubar credenciais, copiar códigos-fonte ou instalar backdoors, operando com o mesmo acesso que o agente. A pesquisa também introduziu o SKILLDETONATE, um verificador de comportamento que analisa o que uma habilidade faz em um ambiente controlado, conseguindo detectar 97% dos ataques. Embora essa abordagem seja mais lenta que os scanners tradicionais, ela é mais eficaz na identificação de ameaças ocultas. O estudo destaca a crescente preocupação com a segurança em marketplaces públicos, onde habilidades maliciosas são frequentemente encontradas. A situação é crítica, pois a confiança nas habilidades deve ser transferida do marketplace para o ambiente de execução, onde o comportamento malicioso se revela. Os pesquisadores alertam que a instalação deve ser feita apenas de fontes confiáveis e que o acesso dos agentes deve ser minimizado.

O artigo aborda os sinais que indicam que um celular pode ter sido hackeado, destacando nove comportamentos suspeitos, como o envio de mensagens não autorizadas, consumo excessivo de dados e instalação de aplicativos desconhecidos. O texto também orienta sobre as ações imediatas a serem tomadas, como encerrar sessões desconhecidas em aplicativos e ativar a autenticação em duas etapas. Além disso, apresenta ferramentas gratuitas para verificar se o dispositivo foi comprometido e desmistifica alguns mitos comuns sobre segurança móvel. A importância de proteger contas de e-mail e redes sociais é enfatizada, pois são portas de entrada para acessos não autorizados. O artigo conclui com recomendações sobre como agir em caso de roubo ou uso indevido de dados pessoais.

A campanha de cibersegurança conhecida como Contagious Interview, ligada a atores de ameaça da Coreia do Norte, tem se intensificado com a publicação de 108 pacotes e extensões de navegador maliciosos em plataformas como npm, Packagist, Go e Google Chrome. Os atacantes utilizam táticas de recrutamento para enganar desenvolvedores de software e profissionais do setor de criptomoedas, persuadindo-os a executar códigos maliciosos disfarçados. Desde 2023, a atividade tem se mostrado ativa, comprometendo 1.951 repositórios públicos do GitHub. Os atacantes não utilizam credenciais roubadas, mas sim exploram extensões maliciosas do VS Code ou pacotes npm para comprometer as contas dos mantenedores. O malware, uma variante do BeaverTail, busca arquivos específicos no computador da vítima e insere código JavaScript malicioso, além de modificar o histórico do Git para ocultar suas ações. A última onda de ataques envolve um carregador de malware que se conecta a infraestruturas de blockchain para baixar um segundo estágio de payloads maliciosos. Especialistas recomendam que usuários que instalaram esses pacotes tratem seus ambientes como comprometidos e realizem auditorias em seus repositórios e estações de trabalho.

Pesquisadores de cibersegurança identificaram um novo framework de malware modular, denominado Avalon, que utiliza uma cadeia de phishing em múltiplas etapas para contornar controles de segurança tradicionais. O ataque inicia com um e-mail que simula um documento legal, levando o destinatário a um arquivo protegido por senha no Proton Drive. Dentro desse arquivo, um atalho do Windows aciona uma sequência de malware que culmina na execução do Avalon, que combina funções de coleta de credenciais, movimentação lateral, acesso remoto e execução de ransomware, conhecido internamente como CrownX.

Um novo ator de ameaças cibernéticas, conhecido como Armored Likho, foi identificado como responsável por ataques direcionados a agências governamentais e ao setor de energia elétrica na Rússia, Brasil e Cazaquistão. Segundo a Kaspersky, esse grupo combina campanhas motivadas financeiramente com espionagem cibernética, utilizando um conjunto de ferramentas sofisticadas, como RATs (Remote Access Trojans) e infostealers, projetados para evitar análises dinâmicas. Os ataques começam com e-mails de spear-phishing que distribuem arquivos maliciosos disfarçados de notificações oficiais. O malware BusySnake, uma das ferramentas utilizadas, é um stealer em Python que coleta dados sensíveis, como credenciais e cookies de navegadores, e se comunica com servidores de comando e controle (C2). Além disso, o grupo tem laços com outra ameaça conhecida, chamada Eagle Werewolf, que também visa organizações governamentais e de defesa. A complexidade e a evolução das técnicas utilizadas pelo Armored Likho indicam um aumento na maturidade técnica do grupo, representando um risco significativo para a segurança cibernética, especialmente em setores críticos como energia e governo.

Recentemente, a empresa de cibersegurança JFrog identificou uma nova campanha de ataque envolvendo pacotes npm maliciosos associados a atores de ameaças da Coreia do Norte. Os pacotes, que se disfarçam como ferramentas de polifil para o Rollup, têm como objetivo facilitar o acesso remoto e o roubo de dados. Os pacotes ‘rollup-packages-polyfill-core’ e ‘rollup-runtime-polyfill-core’ imitam o projeto legítimo ‘rollup-plugin-polyfill-node’, o que pode enganar desenvolvedores durante uma revisão rápida de dependências. Além desses, outros quatro pacotes também foram removidos do registro npm, incluindo ‘quirky-token’ e ‘react-icon-svgs’.

Pesquisadores de cibersegurança identificaram um novo malware para macOS chamado PamStealer, que utiliza técnicas sofisticadas para infectar sistemas e roubar dados sensíveis. Distribuído como um arquivo AppleScript disfarçado de Maccy, um gerenciador de área de transferência legítimo, o PamStealer valida a senha de login da vítima através dos Módulos de Autenticação Pluggable (PAM) do macOS antes de capturá-la. O malware é entregue em duas etapas: um AppleScript que baixa um segundo payload, um infostealer baseado em Rust, capaz de roubar credenciais, coletar dados de navegadores e persistir no sistema. O vetor de ataque inicial é um site falso que imita o Maccy, e o script executa um downloader que busca o payload malicioso. O malware também possui características que evitam a execução em ambientes de análise e sistemas fora do Apple Silicon. Após a captura da senha, o malware exibe um alerta falso, enganando a vítima para descartar o aplicativo malicioso. O desenvolvedor do Maccy já emitiu um alerta sobre sites fraudulentos que distribuem essa ameaça. Essa evolução dos stealers para macOS destaca a necessidade de vigilância constante e medidas de segurança robustas.

O grupo de ameaças avançadas conhecido como ToddyCat desenvolveu um novo malware chamado Umbrij, que visa comprometer o acesso a e-mails corporativos hospedados no Gmail por meio da API do Google. Segundo um relatório da Kaspersky, o Umbrij utiliza o protocolo OAuth 2.0 para obter tokens de autorização, permitindo que os atacantes acessem recursos de e-mail de forma furtiva. O malware opera em navegadores baseados em Chromium, explorando sessões ativas do Gmail. Ao lançar o navegador em modo headless e se conectar a uma porta de depuração remota, o Umbrij consegue capturar o código de autorização OAuth e trocá-lo por um token de acesso, comprometendo assim as comunicações de e-mail corporativas. O ataque é facilitado por técnicas como DLL side-loading, onde executáveis legítimos são abusados para iniciar o malware. A Kaspersky recomenda que as organizações revisem os códigos de autorização concedidos a aplicações e revoguem acessos não utilizados para mitigar os riscos. A automação do Umbrij aumenta a escala e a frequência dos ataques, evidenciando as habilidades técnicas avançadas do grupo ToddyCat.

Nesta semana, diversas vulnerabilidades e campanhas de phishing foram destacadas no cenário de cibersegurança. Uma campanha de phishing está atacando pequenas empresas em várias regiões, incluindo a Europa e os EUA, utilizando e-mails falsos que se passam por investigações da INTERPOL, levando à instalação de ransomware. Além disso, uma pesquisa revelou uma falha no serviço ‘Hide My Email’ da Apple, que permite que endereços de e-mail reais sejam expostos. Outra descoberta alarmante envolve um novo Trojan de Acesso Remoto (RAT) chamado BeepRAT, que se infiltra em sistemas através de um utilitário de gerenciamento de números de telefone, demonstrando um sofisticado encadeamento de infecção. Por fim, a avaliação do modelo GPT-5.6 da OpenAI mostrou que, apesar de suas capacidades ofensivas, ainda enfrenta limitações em alvos bem defendidos. Essas questões ressaltam a necessidade de vigilância constante e atualização de sistemas para mitigar riscos.

Pesquisadores de segurança alertaram sobre um novo malware chamado ChocoPoC, que se disfarça em repositórios de código falso no GitHub, direcionado a caçadores de bugs. O malware é um trojan que rouba dados sensíveis, como senhas salvas e cookies de navegadores, e oferece acesso remoto ao computador da vítima. O ataque ocorre quando os pesquisadores clonam repositórios e instalam dependências, levando à instalação de um pacote malicioso chamado ‘skytext’. Este pacote, ao detectar a execução de um código de prova de conceito (PoC), ativa o malware, que permanece oculto durante uma análise superficial. O ChocoPoC já foi encontrado em pelo menos sete repositórios falsos relacionados a vulnerabilidades conhecidas, como CVEs de produtos populares. A campanha é uma evolução de táticas anteriores, onde grupos maliciosos tentam explorar a pressa dos pesquisadores em testar novas falhas. A recomendação é que os pesquisadores tratem qualquer PoC como potencialmente hostil e verifiquem cuidadosamente as dependências antes de executá-las.

Pesquisadores de segurança identificaram uma nova campanha de malware que utiliza exploits de prova de conceito (PoC) no GitHub para disseminar um trojan de acesso remoto (RAT) chamado ChocoPoC. Este malware se destaca por não estar embutido diretamente nos arquivos de exploit, mas sim por meio de pacotes Python maliciosos adicionados à lista de dependências do PoC. Os pacotes, hospedados no Python Package Index (PyPI), são instalados automaticamente quando a vítima clona um repositório malicioso. O ChocoPoC é capaz de executar comandos arbitrários, coletar dados sensíveis como senhas de navegadores e histórico de navegação, e até mesmo exfiltrar dados através de conjuntos de dados do Mapbox. A campanha já foi associada a pelo menos sete repositórios no GitHub, explorando vulnerabilidades conhecidas. A instalação do pacote malicioso ‘frint’ puxa uma dependência adicional chamada ‘skytext’, que contém um código Python embutido que baixa o payload final. Com mais de 2.400 downloads, a maioria em sistemas Linux, a campanha se aproveita da curiosidade de pesquisadores e testadores de segurança. Especialistas recomendam que esses profissionais nunca confiem cegamente em repositórios do GitHub e executem códigos não verificados em ambientes isolados.

Pesquisadores de cibersegurança identificaram uma nova cadeia de ataque de malware em múltiplas etapas, chamada VEIL#DROP, que utiliza engenharia social e páginas do Blogger para disseminar um ladrão de informações conhecido como PureLogs. O ataque começa com um arquivo JavaScript disfarçado, que executa comandos PowerShell para baixar um payload adicional hospedado em um blog. Esse método permite que os atacantes contornem defesas baseadas em reputação, aproveitando a infraestrutura confiável do Google. O payload baixado cria a ilusão de que um documento PDF está sendo aberto, enquanto a infecção ocorre em segundo plano. O malware é projetado para ser altamente evasivo, utilizando técnicas como mutação em tempo de execução e geração dinâmica de estágios, dificultando a detecção por soluções antivírus tradicionais. Além disso, o uso de binários assinados pela Microsoft permite que os atacantes realizem suas atividades sem levantar suspeitas. A infecção pode ter consequências graves, permitindo que dados sensíveis sejam extraídos e utilizados para comprometer ainda mais o ambiente alvo. Essa combinação de técnicas demonstra um esforço deliberado para evitar a detecção e manter a furtividade durante todo o ciclo de infecção.

Um novo ataque cibernético está utilizando a ferramenta de acesso remoto ScreenConnect para implantar o malware AsyncRAT. A Kaspersky identificou uma campanha massiva que distribui arquivos de instalação maliciosos disfarçados de softwares populares, como OBS Studio e Bandicam, em mais de 90 domínios falsificados em 10 idiomas, incluindo português. Esses arquivos maliciosos contêm um executável legítimo da Microsoft e uma biblioteca DLL maliciosa, que, ao serem carregados, ativam o serviço ScreenConnect. Isso permite que os atacantes mantenham controle sobre os dispositivos comprometidos, que podem incluir tanto usuários individuais quanto organizações. O malware realiza diversas ações, como desativar o Controle de Conta de Usuário e criar scripts que extraem e executam o módulo AsyncRAT. A conexão com um servidor remoto permite que os invasores monitorem atividades e roubem dados sensíveis. A persistência do malware é garantida por uma tarefa agendada que executa scripts a cada dois minutos, mesmo após reinicializações do sistema. A Kaspersky alerta que os atacantes utilizam técnicas de SEO para posicionar seus sites fraudulentos nos resultados de busca, aumentando a probabilidade de infecção.

Pesquisadores de cibersegurança identificaram um novo artefato de malware que utiliza a tecnologia DeepSeek para criar um caminho de ataque inovador, combinando conceitos teóricos de ransomware em navegadores com capacidades reais. Este ataque, documentado pela primeira vez, ocorre inteiramente dentro do navegador, afetando dispositivos Windows e Android. O malware, denominado InfernoGrabber v9.0, é uma aplicação Python Flask que opera como um servidor web malicioso, atraindo vítimas com um falso aprimorador de avatar do Discord. Ele realiza uma série de ações prejudiciais, como roubo de tokens do Discord, números de cartões de crédito e frases-semente de criptomoedas, além de capturar feeds de webcam e microfone. O ataque utiliza uma técnica de ransomware que não requer a instalação de um payload nativo, explorando vulnerabilidades do navegador. A pesquisa destaca que a IA está redefinindo o cenário de ameaças cibernéticas, permitindo que atores maliciosos desenvolvam malware com menos expertise técnica. A abordagem é limitada a navegadores que expõem a API de Acesso ao Sistema de Arquivos, como o Google Chrome. Embora não haja evidências de que essa técnica tenha sido utilizada em campanhas reais, a descoberta representa uma mudança significativa na forma como ataques cibernéticos podem ser concebidos e executados.

O trojan bancário brasileiro Ousaban está direcionando ataques a usuários do Windows que realizam transações bancárias na Espanha e em Portugal. Identificado pelo Fortinet’s FortiGuard Labs em maio de 2026, o ataque começa com um PDF de phishing disfarçado como um arquivo corrompido. Ao abrir o PDF, a vítima é induzida a clicar em um botão de ‘Atualizar’, que a redireciona para uma página maliciosa. Ousaban utiliza técnicas de geofencing para garantir que apenas usuários localizados em Espanha ou Portugal sejam afetados, bloqueando acessos de VPNs e ferramentas de segurança automatizadas. Uma vez instalado, o malware monitora mais de duas dezenas de bancos, incluindo Banco Santander e BBVA, capturando capturas de tela, teclas digitadas e manipulando a área de transferência para roubar credenciais bancárias. Ousaban é parte de um grupo de trojans brasileiros conhecidos como ‘Tetrade’, que têm um histórico de resiliência e adaptação. A detecção é dificultada por técnicas como esteganografia e a mudança diária de endereços de comando. O artigo alerta para a necessidade de cautela ao abrir PDFs ou e-mails suspeitos, especialmente aqueles que solicitam atualizações ou comandos para corrigir erros.

Um novo estudo da Palo Alto Networks revela uma técnica emergente chamada ‘phantom squatting’, onde cibercriminosos registram domínios fictícios gerados por modelos de linguagem de inteligência artificial (IA) antes que possam ser identificados como maliciosos. Esses domínios, que não têm reputação, são utilizados para criar páginas de phishing que enganam usuários que confiam em links gerados por IA. A pesquisa analisou 685.339 perguntas feitas a dois modelos de IA, resultando em 2,1 milhões de links, dos quais 13.229 foram identificados como maliciosos. O estudo destaca que, devido à falta de histórico de reputação, esses domínios recém-registrados não são bloqueados por sistemas de segurança até que seja tarde demais. Dois casos específicos mostraram como atacantes registraram domínios gerados por IA e criaram kits de phishing que imitam serviços legítimos, resultando em roubo de dados sensíveis. Essa nova abordagem de ataque representa um risco significativo, pois a confiança em links gerados por IA pode levar a consequências graves para usuários e organizações.

O ClickFix, uma técnica de engenharia social que induz usuários a executar malware, evoluiu significativamente, utilizando servidores API para entregar comandos maliciosos disfarçados. A pesquisa do especialista em segurança Bert-Jan Pals revelou que as páginas fraudulentas, que simulam CAPTCHAs ou erros, agora extraem comandos de servidores backend, oferecendo a cada visitante um malware diferente. Essa abordagem, que evita a detecção por antivírus tradicionais, resultou em um aumento de 517% nos casos de acesso inicial entre 2024 e 2025, conforme medido pela ESET. Além disso, uma nova técnica permite que o malware seja baixado silenciosamente para a pasta de Downloads, utilizando um comando aparentemente inofensivo que contorna a varredura de scripts do Windows. O ClickFix não é mais uma ferramenta exclusiva de criminosos, tendo sido associado a grupos apoiados por estados, como APT28 e MuddyWater. A pesquisa destaca a importância de monitorar cadeias de processos e não apenas o texto da área de transferência para detectar essas ameaças. O ClickFix representa um risco crescente, especialmente com sua capacidade de se adaptar rapidamente às defesas dos usuários.

Desde novembro de 2025, uma campanha de cibersegurança tem como alvo desenvolvedores de bots do Telegram que utilizam forks trojanizados do Pyrogram, permitindo que atacantes leiam arquivos arbitrários em servidores comprometidos. O Pyrogram, um framework popular para a criação de bots, não é mais mantido, mas ainda conta com cerca de 350.000 downloads mensais. Pesquisadores da Checkmarx identificaram pelo menos oito pacotes maliciosos publicados no Python Package Index (PyPI), que incluem um backdoor ativado por módulos auxiliares ao importar o Pyrogram ou ao iniciar o bot. O backdoor, chamado secret.py, registra manipuladores de comandos ocultos no Telegram, permitindo que os atacantes executem código Python ou comandos de shell no servidor da vítima. Isso possibilita o acesso a dados sensíveis, como chats do Telegram e variáveis de ambiente. A campanha, denominada ‘Operação Navy Ghost’, é atribuída a um único ator de ameaças, evidenciado pela lista de ‘OWNERS’ codificada nos pacotes. Os desenvolvedores que possam ter instalado esses pacotes devem removê-los imediatamente e rotacionar todas as credenciais do servidor afetado.

Uma nova família de malware chamada RustDuck está comprometendo roteadores domésticos, câmeras IP, caixas Android e servidores mal protegidos, formando uma botnet destinada a realizar ataques de negação de serviço distribuída (DDoS). Pesquisadores da QiAnXin’s XLab monitoram essa ameaça desde fevereiro de 2026, destacando sua rápida evolução e a complexidade de suas técnicas de evasão. RustDuck se espalha por meio de senhas fracas, bugs não corrigidos e vulnerabilidades conhecidas em dispositivos, como CVE-2017-17215 e CVE-2025-29635. O malware é notável por ser reescrito em Rust, o que dificulta a análise e a desativação. Ele opera em duas etapas, começando com um carregador que descompacta um módulo central mais robusto. Além disso, RustDuck realiza verificações para evitar ser detectado em ambientes de pesquisa, utilizando criptografia avançada para suas comunicações. Embora atualmente seja uma botnet pequena, sua capacidade de adaptação e as técnicas que está testando podem representar uma ameaça crescente no futuro. Para mitigar os riscos, recomenda-se desativar interfaces de gerenciamento remoto, corrigir vulnerabilidades conhecidas e monitorar indicadores técnicos associados ao malware.

Pesquisadores da Trend Micro identificaram uma nova campanha de ataque que explora uma vulnerabilidade crítica no Langflow, especificamente a CVE-2026-33017, que permite execução remota de código (RCE) sem autenticação. O ataque, que ocorreu entre 27 de março e 15 de abril de 2026, utiliza um simples código Python para baixar e executar um minerador de criptomoedas Monero. O malware não apenas desativa processos concorrentes de mineração, mas também remove logs do sistema e altera atributos de arquivos para garantir sua persistência. Além disso, ele se propaga para outros sistemas através de chaves SSH reutilizadas, transformando uma instância exposta do Langflow em um ponto de entrada para compromissos mais amplos. Essa situação destaca a crescente exploração de endpoints de aplicações de inteligência artificial como vetores de ataque em ambientes corporativos. A vulnerabilidade do Langflow, que já foi alvo de outras explorações, como a distribuição do malware Flodrix, evidencia a necessidade urgente de monitoramento e mitigação em sistemas que utilizam essa tecnologia.

Um ator de ameaça desconhecido está explorando uma vulnerabilidade crítica no software SimpleHelp, identificada como CVE-2026-48558, que permite a um atacante não autenticado obter uma sessão de ‘Técnico’ autenticada. Essa falha, com uma pontuação CVSS de 10.0, afeta o fluxo de autenticação OpenID Connect (OIDC) e permite que o invasor contorne mecanismos de autenticação multifatorial (MFA). A exploração dessa vulnerabilidade resultou na entrega de duas novas famílias de malware: TaskWeaver e Djinn Stealer.

Hackers estão aproveitando uma vulnerabilidade crítica (CVE-2026-48558) recentemente divulgada no SimpleHelp, uma plataforma utilizada para monitoramento e gerenciamento remoto, para implantar o Djinn Stealer, um malware de roubo de informações que atinge sistemas operacionais como Windows, macOS e Linux. A falha permite a criação de contas de técnico altamente privilegiadas sem autenticação, afetando cerca de 1.000 servidores expostos online. A empresa de segurança Blackpoint investigou um incidente onde um ator malicioso explorou essa vulnerabilidade para estabelecer uma sessão autenticada em um servidor SimpleHelp, utilizando o malware TaskWeaver para instalar o Djinn Stealer. Este último é projetado para coletar dados sensíveis, incluindo credenciais de ferramentas de desenvolvimento de IA, chaves SSH, e informações de carteiras de criptomoedas. Os pesquisadores alertam que a exploração ativa dessa vulnerabilidade deve levar os administradores de sistemas a priorizar atualizações e a invalidar sessões de técnicos não reconhecidas, além de rotacionar credenciais comprometidas.

Recentemente, novas vulnerabilidades de cibersegurança foram identificadas, destacando a importância de manter sistemas atualizados e seguros. A falha DirtyClone, uma variante do problema Dirty Frag no kernel Linux, permite que usuários locais adquiram privilégios de root em sistemas Debian, Ubuntu e Fedora. Essa vulnerabilidade é especialmente crítica em ambientes de nuvem multi-inquilinos e clusters Kubernetes. Além disso, uma falha crítica no software PTC Windchill PDMlink e FlexPLM está sendo ativamente explorada para execução remota de código, permitindo que atacantes implantem shells web maliciosos. O OpenAI também lançou novos modelos de IA que podem auxiliar na cibersegurança, mas alertou sobre o potencial de uso indevido dessa tecnologia por agentes maliciosos. Outro ponto alarmante é a descoberta do malware Gaslight, que confunde ferramentas de análise de malware, dificultando a detecção. As operações de desmantelamento de infraestruturas criminosas, como a de Amadey e StealC, mostraram resultados significativos, mas a ameaça continua. É crucial que as empresas brasileiras estejam atentas a essas vulnerabilidades e adotem medidas proativas para proteger seus sistemas.

O grupo de espionagem alinhado à China, Mustang Panda, está conduzindo campanhas contra o governo indiano e alvos do setor de hidrelétricas, utilizando novos malwares e uma plataforma de nuvem legítima como canal de comando. A Acronis Threat Research Unit identificou comprometimentos ativos nas redes do governo indiano, incluindo máquinas de funcionários administrativos seniores, e colaborou com o CERT-In para notificação e limpeza. O malware explora o Zoho WorkDrive, um serviço de armazenamento em nuvem comum no setor governamental da Índia, para enviar comandos e exfiltrar dados, disfarçando o tráfego como atividade normal da nuvem. Entre as ferramentas identificadas estão o SHARDLOADER, que carrega um DLL malicioso, o MINIRECON, uma variante do backdoor Toneshell, e o ZOHOMURK, que utiliza credenciais OAuth do Zoho para operar uma conta controlada pelo atacante. As campanhas foram entregues via spear-phishing, com temas relacionados a propostas de cooperação em hidrelétricas e memorandos entre instituições indianas e taiwanesas. O objetivo é obter informações sobre os planos hidrelétricos da Índia e suas relações de defesa com Taiwan. A Acronis recomenda que organizações governamentais e do setor energético fiquem atentas a iscas geopolíticas e ao uso indevido de serviços em nuvem.

A Microsoft encerrou uma operação de extensão maliciosa no Edge Add-ons store, conhecida como StegoAd, que utilizava esteganografia para ocultar códigos maliciosos em arquivos de imagem e fonte. Essa operação, que se estende desde 2021, envolveu 119 extensões, incluindo bloqueadores de anúncios e tradutores, que foram instaladas por até 2,6 milhões de usuários. O código malicioso permanecia inativo até que a extensão superasse verificações de evasão, permitindo sua permanência na loja por anos. A técnica de esteganografia permitiu que o código fosse escondido em arquivos PNG e WOFF2, evitando a detecção por scanners. Além de fraudes publicitárias, a operação também visava o roubo de credenciais, incluindo logins do Google e do WordPress. A Microsoft removeu todas as extensões e suspendeu mais de 90 contas de desenvolvedores associadas. Os usuários devem verificar suas extensões instaladas e alterar senhas de contas sensíveis, além de ativar autenticação em dois fatores para maior segurança.

O grupo russo de ameaças persistentes avançadas (APT) Gamaredon tem ampliado seu arsenal de malware e intensificado suas campanhas de spear-phishing contra a Ucrânia ao longo de 2025. A empresa de cibersegurança ESET identificou 35 campanhas distintas, com foco em instituições governamentais e militares ucranianas. O objetivo principal do grupo é a exfiltração de informações sensíveis que possam ser utilizadas para apoiar os interesses russos na guerra em curso. As campanhas utilizam anexos maliciosos e técnicas de HTML smuggling para implantar downloaders HTA, que, por sua vez, instalam outros malwares, como o PteroSand. Além disso, o grupo explorou uma vulnerabilidade no WinRAR (CVE-2025-8088) para garantir a persistência do malware. Gamaredon também introduziu novas ferramentas PowerShell e aumentou sua dependência de serviços de terceiros para ocultar sua infraestrutura. Apesar de uma pausa operacional em janeiro, o grupo continuou a desenvolver e atualizar suas ferramentas, utilizando serviços legítimos para exfiltração de dados. A evolução das táticas do Gamaredon destaca a necessidade de vigilância contínua e atualização das defesas cibernéticas, especialmente em um cenário de conflito ativo.

Pesquisadores de cibersegurança descobriram pacotes npm e Go sequestrados que implantam um infostealer baseado em Python em sistemas Windows, Linux e macOS. O ataque, identificado pela JFrog, utiliza uma tarefa oculta do Visual Studio Code (VS Code) chamada ’eslint-check’, que é ativada automaticamente ao abrir a pasta do projeto. O malware se conecta a uma infraestrutura controlada por atacantes, lançando um backdoor Socket.io e, em seguida, um infostealer Python. Os pacotes npm afetados, ‘html-to-gutenberg’ e ‘fetch-page-assets’, foram enviados ao registro npm em 25 de maio de 2026 e já foram removidos. Além disso, 16 pacotes Go também foram comprometidos, com a maioria sendo pacotes legítimos que incluíam o malware. O infostealer é capaz de roubar credenciais de navegadores, carteiras de criptomoedas e informações de desenvolvedores. Os usuários que instalaram esses pacotes devem removê-los imediatamente e revisar suas credenciais. O ataque é atribuído a uma campanha conhecida como ‘Fake Font’, que visa desenvolvedores por meio de processos de entrevistas fraudulentos.

Uma nova campanha de phishing está utilizando notificações falsas de avaliação de impostos para disseminar malware perigoso na Índia. Pesquisadores da CYFIRMA identificaram que os atacantes criaram um site fraudulento que imita a comunicação oficial do Departamento de Impostos da Índia. O portal apresenta uma ordem de avaliação convincente, com referências legais e linguagem que pressiona os destinatários a agir rapidamente. Ao interagir com a notificação falsa, as vítimas são levadas a baixar um arquivo ZIP disfarçado como documentação oficial. Dentro desse arquivo, encontra-se um programa carregador que ativa um arquivo DLL malicioso, camuflado como um serviço legítimo do Windows. Esse malware permite acesso remoto persistente ao computador infectado, coletando detalhes do sistema e monitorando a atividade do usuário. A comunicação com o servidor do atacante ocorre por meio de um canal criptografado, apontando para uma operação motivada financeiramente. A campanha destaca a exploração da ansiedade relacionada à temporada de impostos, sugerindo que os atacantes podem variar suas táticas dependendo do alvo. Para se proteger, é recomendado que os usuários verifiquem qualquer correspondência fiscal diretamente com canais oficiais e que as organizações restrinjam a execução de arquivos desconhecidos.

O lançamento de Grand Theft Auto VI (GTA VI) está gerando uma onda de fraudes online, com criminosos criando sites falsos que prometem acesso antecipado ao jogo. Apesar de o jogo só ser lançado em 19 de novembro de 2026, sites fraudulentos já estão operando, oferecendo chaves beta e acesso VIP em troca de dinheiro ou informações pessoais. Especialistas da Malwarebytes e NordVPN alertam que esses sites utilizam inteligência artificial para imitar a marca da Rockstar, enganando até os jogadores mais cautelosos. Os golpistas exigem pagamentos em criptomoedas, dificultando reembolsos e a recuperação de valores. Além disso, alguns sites oferecem downloads de arquivos maliciosos que podem comprometer dispositivos e expor dados bancários. Os alvos principais são jogadores jovens e inexperientes, que estão ansiosos por novidades. A recomendação é que os jogadores verifiquem a autenticidade de qualquer site antes de fornecer informações pessoais ou financeiras. Aqueles que já foram vítimas devem alterar suas senhas e contatar seus bancos imediatamente.

Pesquisadores da Mozilla, através da plataforma 0DIN, revelaram uma nova técnica de ataque que pode comprometer desenvolvedores ao clonar repositórios aparentemente inofensivos no GitHub. O ataque ocorre sem a necessidade de código malicioso explícito, explorando um fluxo de execução que engana tanto ferramentas de segurança quanto usuários. A técnica envolve três componentes principais: um repositório limpo com instruções padrão, um pacote Python que gera um erro ao ser executado e um script que, quando chamado, busca uma configuração em um registro DNS controlado pelo atacante. Isso resulta na execução de um shell interativo com privilégios do desenvolvedor, permitindo acesso a variáveis de ambiente e chaves de API. Embora a técnica ainda seja conceitual, a 0DIN alerta que atores maliciosos podem disseminar esses repositórios por meio de postagens de emprego falsas e tutoriais. Para mitigar esses riscos, recomenda-se que agentes de IA revelem toda a cadeia de execução dos comandos de configuração, incluindo scripts dinâmicos.

Uma nova campanha de ciberataque, identificada pela Kaspersky como StrikeShark, está utilizando um malware inédito chamado SharkLoader, que serve como carregador para implantar o Cobalt Strike Beacon em sistemas comprometidos. Os alvos incluem uma organização diplomática na Indonésia, entidades governamentais em Taiwan e empresas de desenvolvimento de software em diversos países, como Hong Kong, Colômbia e Sérvia. A campanha se destaca pela sua abrangência geográfica e diversidade de alvos, sem vínculos diretos a grupos de ameaças conhecidos. Os atacantes exploram vulnerabilidades conhecidas, como falhas no Exchange Server e no Openfire, para obter acesso inicial. Após a invasão, eles estabelecem persistência através de shells web e técnicas de hijacking de DLLs. Embora não haja evidências claras de exfiltração de dados, a natureza dos alvos sugere um possível interesse em espionagem cibernética. A utilização de ferramentas de código aberto e a exploração de aplicações públicas indicam que os atacantes podem estar visando sistemas vulneráveis de forma oportunista.

Um ator de ameaça persistente avançada (APT) de língua chinesa, identificado como CL-STA-1062, está vinculado a uma nova backdoor personalizada chamada TinyRCT, que tem como alvo entidades governamentais e infraestrutura crítica no Sudeste Asiático. A Palo Alto Networks, através da sua unidade Unit 42, observou que esse grupo tem se concentrado em empresas estatais nos setores de energia e governo desde março de 2022. O TinyRCT permite a execução de comandos arbitrários, exfiltração de arquivos e captura de tela, além de se autodeletar do sistema comprometido. Durante uma campanha em setembro de 2025, o grupo infiltrou uma entidade governamental e utilizou um web shell para extrair dados de um servidor MS SQL. A análise técnica revelou que os atacantes utilizam uma combinação de ferramentas, incluindo o TinyRCT, que estabelece comunicação com um servidor remoto e utiliza criptografia AES-128 para proteger os dados trocados. A atividade do CL-STA-1062 representa uma ameaça significativa à infraestrutura crítica da região, com potencial para se expandir para outros alvos estratégicos.

O grupo de ameaças patrocinado pelo Estado russo, conhecido como Turla, foi associado a um novo backdoor .NET chamado STOCKSTAY, que tem como alvo organizações governamentais e militares na Ucrânia, além de entidades ligadas à política externa italiana. O STOCKSTAY é um malware multifuncional que se comunica com seu servidor de comando e controle (C2) por meio de uma conexão WebSocket segura. O Google Threat Intelligence Group (GTIG) identificou que o STOCKSTAY compartilha semelhanças significativas com o Kazuar, um implante utilizado pelo grupo desde 2017. O malware é projetado para se disfarçar como ferramentas comuns, como visualizadores de PDF e utilitários de calculadora, e é composto por vários módulos que permitem a coleta de informações e a execução de comandos no sistema comprometido. As campanhas de distribuição do STOCKSTAY frequentemente utilizam iscas relacionadas a temas acadêmicos ou diplomáticos, visando organizações na Ucrânia e em outros países europeus. O GTIG observou que o STOCKSTAY foi utilizado em ataques que empregaram e-mails de phishing com arquivos maliciosos, explorando vulnerabilidades conhecidas, como a do WinRAR. A arquitetura do malware sugere que ele pode ter sido desenvolvido por uma equipe com experiência em operações cibernéticas, levantando preocupações sobre a segurança de sistemas críticos em várias nações.

Desde abril de 2026, uma campanha ativa de phishing tem como alvo organizações hoteleiras na Europa e na Ásia, utilizando arquivos ZIP com temas fotográficos para implantar um malware conhecido como TonRAT. Os e-mails de phishing, que se apresentam como notificações do ‘Booking Manager (via Calendly)’, abordam questões comuns em hotéis, como reclamações de hóspedes e inspeções de saúde, e são enviados em várias línguas, sendo o japonês o mais frequente. A técnica de entrega é sofisticada, utilizando o sistema de notificações do Calendly e serviços de redirecionamento do Google, o que permite que os e-mails passem por verificações de autenticação como SPF, DKIM e DMARC. Ao clicar no link, os usuários baixam um arquivo que, ao ser aberto, executa um script PowerShell que baixa e executa o Node.js, permitindo a instalação do malware. O TonRAT se comunica com servidores de comando e controle (C2) através de canais criptografados, dificultando a detecção. Embora não haja confirmação de roubo de dados até o momento, a natureza persistente do malware e a facilidade de remoção incorreta representam um risco significativo. A campanha não é nova, com registros anteriores de ataques semelhantes, mas a motivação final dos operadores ainda é desconhecida.

Pesquisadores em cibersegurança identificaram uma nova evolução dos ataques à cadeia de suprimentos, associada às famílias de malware Mini Shai-Hulud, Miasma e Hades, que comprometeram pacotes npm e se espalharam para o ecossistema Go. Os ataques recentes afetaram pacotes como LeoPlatform e RStreams, além de abusos em fluxos de trabalho do GitHub Actions e compromissos relacionados ao projeto Verana Blockchain. O objetivo principal é roubar credenciais de desenvolvedores e mantenedores, utilizando dados roubados para se infiltrar em repositórios e fluxos de trabalho confiáveis.

Um novo malware para macOS, denominado ‘Gaslight’, foi descoberto e tem como objetivo confundir ferramentas de análise de malware assistidas por inteligência artificial (IA). Desenvolvido por um ator de ameaça vinculado à Coreia do Norte, o malware apresenta uma funcionalidade de backdoor e roubo de informações, características comuns em malwares semelhantes. O que diferencia o ‘Gaslight’ é seu payload de 3,5 KB, que contém 38 mensagens falsas de ‘sistema’ embutidas diretamente no binário. Essas mensagens simulam logs de desenvolvedor, relatórios de falhas e alertas de programa, utilizando formatação Markdown para parecerem dados de análise legítimos. Exemplos incluem mensagens sobre expiração de tokens, falhas de conexão e vulnerabilidades de injeção SQL. O objetivo dessas mensagens enganosas é induzir as ferramentas de análise a duvidar da validade de suas próprias sessões, levando-as a abortar ou truncar a análise. Embora não tenha sido demonstrado que essa técnica consiga contornar plataformas de análise de malware baseadas em IA, os pesquisadores sugerem que os atores de ameaça estão experimentando métodos de anti-análise específicos para essas ferramentas. A descoberta destaca a evolução das táticas de malware e a necessidade de vigilância contínua por parte das equipes de segurança.

O cenário de cibersegurança apresenta uma série de incidentes preocupantes, incluindo a colaboração da Cloudflare com navegadores para implementar um protocolo de controle de acesso privado (PACT), visando proteger a privacidade dos usuários ao evitar captchas e rastreamento invasivo. Além disso, foram descobertas seis vulnerabilidades críticas no curl, uma biblioteca amplamente utilizada, que afetam versões desde 2001, com a correção já disponível na versão 8.21.0.

Um bug severo no Hoppscotch permite que atacantes não autenticados comprometam completamente servidores, explorando falhas na validação de dados. A pesquisa também revelou que muitos aplicativos de smart TVs da LG e Samsung contêm proxyware, permitindo que tráfego de terceiros seja redirecionado pela conexão do usuário sem seu pleno conhecimento.