Malware

Recentemente, o pacote npm ’nx’, amplamente utilizado para gerenciamento de código, foi alvo de um ataque cibernético que comprometeu a segurança de cerca de 100 mil contas. Os hackers exploraram uma vulnerabilidade na cadeia logística do pacote, permitindo a publicação de versões maliciosas que escaneavam sistemas de arquivos em busca de credenciais. Essas informações eram então enviadas para um repositório no GitHub sob a conta da vítima. O ataque afetou principalmente usuários de sistemas Linux e macOS, e as versões comprometidas foram rapidamente removidas do registro. A vulnerabilidade foi introduzida em um workflow do GitHub em 21 de agosto e, apesar de ter sido revertida, os criminosos conseguiram explorar um branch desatualizado. Pesquisadores de segurança alertam que este é o primeiro incidente conhecido a utilizar assistentes de desenvolvimento com IA, como Claude Code e Google Gemini CLI, para burlar a segurança. Os usuários afetados são aconselhados a alterar suas credenciais e verificar arquivos de configuração em busca de instruções maliciosas.

Especialistas em cibersegurança, como os da ThreatFabric, alertam sobre a evolução dos malwares para Android, que agora utilizam aplicativos do tipo dropper para instalar não apenas trojans bancários, mas também ladrões de SMS e spywares básicos. Apesar das recentes proteções implementadas pelo Google em mercados como Brasil, Cingapura, Índia e Tailândia, que visam impedir a instalação de aplicativos suspeitos fora da Play Store, os hackers estão se adaptando. Eles criam droppers que evitam a detecção ao baixar malwares após a instalação do aplicativo, contornando assim o Play Protect, que verifica os aplicativos antes de serem executados. Uma nova tática utilizada pelos criminosos é a exibição de telas de atualização que parecem inofensivas, mas que na verdade solicitam permissões para instalar malwares. Isso significa que, mesmo com as proteções, o usuário pode acabar aceitando a instalação de vírus, especialmente se ignorar os avisos do Google. O Google afirma que continua a melhorar suas proteções e que aplicativos maliciosos são constantemente removidos da Play Store. No entanto, a vulnerabilidade humana permanece um fator crítico na segurança dos dispositivos Android.

Um grupo de ciberespionagem vinculado ao Irã foi identificado como responsável por uma campanha de spear-phishing coordenada, visando embaixadas e consulados na Europa e em outras regiões do mundo. A empresa de cibersegurança israelense Dream atribuiu a atividade a operadores alinhados ao Irã, conectados a um esforço mais amplo de espionagem cibernética. Os ataques utilizaram e-mails que se disfarçavam como comunicações diplomáticas legítimas, explorando tensões geopolíticas entre o Irã e Israel. Os e-mails continham documentos do Microsoft Word maliciosos que, ao serem abertos, solicitavam aos destinatários que habilitassem macros, permitindo a execução de um código VBA que implantava um malware. Os alvos incluíram embaixadas, consulados e organizações internacionais em várias partes do mundo, com foco particular na Europa e na África. A campanha foi realizada a partir de 104 endereços de e-mail comprometidos, incluindo um que pertencia ao Ministério das Relações Exteriores de Omã. O objetivo final dos ataques era estabelecer persistência no sistema da vítima, contatar um servidor de comando e controle e coletar informações do sistema. A ClearSky, outra empresa de cibersegurança, também observou que técnicas semelhantes foram usadas em ataques anteriores, sugerindo uma continuidade nas táticas dos atores de ameaça iranianos.

Em agosto de 2025, a empresa de cibersegurança Cyfirma identificou o Inf0s3c Stealer, um malware baseado em Python que visa sistemas Windows e exfiltra dados através do Discord. O malware, um executável portátil de 64 bits, utiliza técnicas de empacotamento duplo com UPX e PyInstaller, dificultando a detecção por assinaturas e a engenharia reversa. Ao ser executado, ele coleta informações do sistema, como detalhes de hardware e parâmetros de rede, e realiza capturas de tela e imagens da webcam, se autorizado. A fase final do ataque foca no roubo de credenciais, extraindo dados de perfis de navegadores e senhas de Wi-Fi. Os dados coletados são organizados em pastas e enviados para um webhook malicioso no Discord, disfarçado em tráfego HTTPS legítimo. Para persistência, o malware se copia na pasta de Inicialização do Windows e pode desativar serviços antivírus. Para mitigar essa ameaça, recomenda-se a implementação de proteção de endpoint baseada em comportamento, filtragem de saída rigorosa e monitoramento de atividades suspeitas. A situação exige atenção, especialmente para organizações que utilizam o Discord e outras plataformas afetadas.

Pesquisadores de cibersegurança revelaram um novo backdoor chamado MystRodX, que se destaca por suas características furtivas e flexíveis, permitindo a captura de dados sensíveis de sistemas comprometidos. Desenvolvido em C++, o MystRodX, também conhecido como ChronosRAT, possui funcionalidades como gerenciamento de arquivos, redirecionamento de portas e shell reverso. A sua capacidade de se ocultar é aprimorada pelo uso de múltiplos níveis de criptografia, enquanto a flexibilidade permite a escolha entre diferentes protocolos de comunicação e métodos de criptografia para proteger o tráfego de rede.

O grupo de ameaças vinculado à Coreia do Norte, conhecido como Lazarus Group, foi associado a uma campanha de engenharia social que distribui três tipos diferentes de malware multiplataforma: PondRAT, ThemeForestRAT e RemotePE. A campanha, observada pela Fox-IT do NCC Group em 2024, visou uma organização do setor de finanças descentralizadas (DeFi), resultando na violação do sistema de um funcionário. O ataque começou com o ator se passando por um empregado de uma empresa de negociação no Telegram e utilizando sites falsos que imitam serviços como Calendly e Picktime para agendar uma reunião com a vítima. Embora o vetor de acesso inicial não seja conhecido, o acesso foi utilizado para implantar um loader chamado PerfhLoader, que, por sua vez, instala o PondRAT. Este malware permite ao operador ler e escrever arquivos, iniciar processos e executar shellcode. O PondRAT foi utilizado em conjunto com o ThemeForestRAT, que possui funcionalidades mais avançadas e opera de forma mais discreta. O ataque também envolveu o uso de um exploit zero-day no navegador Chrome, evidenciando a sofisticação da operação. O RemotePE, um RAT mais avançado, é reservado para alvos de alto valor e é carregado por um loader específico. A combinação de ferramentas e a abordagem furtiva do ataque indicam um nível elevado de planejamento e execução por parte do grupo.

O Google anunciou uma nova medida de segurança para a Play Store, chamada Verificação de Desenvolvedor, que entrará em vigor em 2026. Essa iniciativa visa impedir que aplicativos de terceiros, especialmente aqueles de desenvolvedores anônimos, sejam publicados na loja, reduzindo assim o risco de infecções por malware. Desde agosto de 2023, os desenvolvedores já precisam fornecer um número D-U-N-S para publicar aplicativos, o que já ajudou a diminuir a quantidade de malwares. A nova verificação exigirá que todos os aplicativos instalados em dispositivos Android venham de desenvolvedores com identidade verificada pelo Google. A medida é uma resposta ao aumento de malwares, que, segundo o Google, são 50 vezes mais comuns em aplicativos baixados da internet do que na Play Store. A partir de setembro de 2026, a verificação de identidade será obrigatória em países como Brasil, Indonésia, Cingapura e Tailândia, e se expandirá globalmente em 2027. Dispositivos Android certificados, que passaram pelo Teste de Compatibilidade da Google, serão os únicos a permitir a instalação de aplicativos verificados, enquanto dispositivos não certificados continuarão a operar com APKs de desenvolvedores anônimos.

Pesquisadores em cibersegurança descobriram um pacote npm malicioso chamado nodejs-smtp, que se disfarça como uma biblioteca de e-mail legítima (nodemailer) e tem como alvo aplicativos de desktop para carteiras de criptomoedas, como Atomic e Exodus, em sistemas Windows. Desde sua publicação em abril de 2025, o pacote teve 347 downloads antes de ser removido do registro npm. Ao ser importado, ele utiliza ferramentas do Electron para descompactar o arquivo app.asar da Atomic Wallet, substituindo um pacote legítimo por um payload malicioso e reempacotando o aplicativo, eliminando vestígios da operação. O principal objetivo é redirecionar transações de criptomoedas, como Bitcoin e Ethereum, para carteiras controladas pelo atacante, atuando como um ‘clipper’ de criptomoedas. Apesar de sua funcionalidade maliciosa, o pacote ainda opera como um mailer, o que reduz a suspeita dos desenvolvedores. Essa descoberta ressalta os riscos associados a importações rotineiras em estações de trabalho de desenvolvedores, que podem modificar silenciosamente aplicativos de desktop e persistir após reinicializações.

O grupo de cibercriminosos conhecido como Silver Fox tem utilizado um driver vulnerável, o “amsdk.sys”, associado ao WatchDog Anti-malware, em um ataque do tipo Bring Your Own Vulnerable Driver (BYOVD). Este driver, que é um dispositivo do kernel do Windows assinado pela Microsoft, apresenta falhas que permitem a desativação de soluções de segurança em sistemas comprometidos. A campanha, identificada pela Check Point, visa neutralizar produtos de proteção de endpoint, facilitando a instalação de malware sem acionar defesas baseadas em assinatura.

Pesquisadores da ESET, Anton Cherepanov e Peter Strycek, descobriram o PromptLock, o primeiro ransomware desenvolvido com a ajuda de inteligência artificial. Embora ainda não tenha sido visto em ação, a ESET alertou a comunidade de cibersegurança sobre essa nova ameaça. O PromptLock utiliza o modelo gpt-oss-20b da OpenAI, que é uma versão gratuita do ChatGPT, e opera localmente em dispositivos infectados através da API Ollama.

O ransomware é capaz de inspecionar arquivos, extrair dados e criptografá-los, podendo futuramente ser utilizado para extorsão. Ele é compatível com sistemas operacionais Windows, Linux e macOS. O código do malware indica que ele pode até destruir arquivos, embora essa funcionalidade ainda não esteja totalmente implementada. O PromptLock utiliza a encriptação SPECK de 128 bits e é escrito na linguagem Go. A ESET também observou que variantes do malware foram enviadas para a plataforma VirusTotal, que serve como repositório de vírus para especialistas em segurança.

Pesquisadores em cibersegurança alertam para uma nova tendência no cenário de malware para Android, onde aplicativos dropper, tradicionalmente usados para distribuir trojans bancários, agora também estão veiculando malwares mais simples, como ladrões de SMS e spyware básico. Essas campanhas estão sendo disseminadas por aplicativos que se disfarçam de aplicativos governamentais ou bancários, especialmente na Índia e em outras partes da Ásia. A ThreatFabric, empresa de segurança móvel, destacou que essa mudança é impulsionada pelas novas proteções de segurança que o Google implementou em mercados como Brasil, Índia, Singapura e Tailândia, visando bloquear a instalação de aplicativos suspeitos que solicitam permissões perigosas. Apesar das defesas do Google Play Protect, os atacantes estão adaptando suas táticas para contornar essas proteções, criando droppers que não solicitam permissões de alto risco e que exibem apenas uma tela de ‘atualização’ inofensiva. O verdadeiro payload é baixado apenas após o usuário clicar no botão de atualização. Um exemplo de dropper identificado é o RewardDropMiner, que tem sido utilizado para distribuir malwares direcionados a usuários na Índia. Além disso, uma nova campanha de malvertising está utilizando anúncios maliciosos no Facebook para disseminar um trojan bancário, atingindo usuários na União Europeia. Essa situação destaca a constante evolução das táticas dos cibercriminosos e a necessidade de vigilância contínua.

O macOS, apesar de suas robustas proteções nativas, continua sendo um alvo atrativo para cibercriminosos. Este artigo analisa três mecanismos de segurança fundamentais do sistema: Keychain, System Integrity Protection (SIP) e o framework Transparency, Consent, and Control (TCC). O Keychain, gerenciador de senhas do macOS, é vulnerável a ferramentas como Chainbreaker, que podem descriptografar arquivos de chave se o invasor obtiver a senha. O SIP protege diretórios críticos do sistema, mas pode ser desativado por administradores em modo de recuperação, o que não é registrado por monitores padrão, exigindo atenção especial. O TCC controla o acesso de aplicativos a recursos sensíveis, mas ataques de clickjacking podem enganar usuários a conceder permissões indevidas. Além disso, o Gatekeeper, que verifica a assinatura de código, pode ser contornado por técnicas de engenharia social. Para mitigar esses riscos, é essencial que as organizações adotem soluções avançadas de EDR, implementem logs detalhados de criação de processos e utilizem regras Sigma específicas para macOS, visando detectar roubo de credenciais e violações de integridade do sistema. A evolução constante das táticas dos atacantes exige uma resposta rápida e eficaz para proteger os usuários do macOS.

O uso crescente de ferramentas de inteligência artificial (IA) está transformando o desenvolvimento de aplicativos, mas também facilitando ataques cibernéticos mais sofisticados. Com a previsão de que, até 2028, 90% dos engenheiros de software utilizarão assistentes de código baseados em IA, a velocidade de produção de aplicativos está aumentando. No entanto, essa mesma tecnologia está sendo explorada por cibercriminosos, que agora podem reverter engenharia e analisar aplicativos com facilidade. O relatório de 2025 da Digital.ai revela que 83% dos aplicativos foram atacados em janeiro de 2025, destacando a vulnerabilidade das aplicações, especialmente as móveis, que são frequentemente menos monitoradas. Além disso, novas técnicas de ataque, como o uso de modelos de linguagem para criar malware, estão tornando a detecção de ameaças mais difícil. Para mitigar esses riscos, as empresas devem integrar a segurança diretamente no processo de desenvolvimento, utilizando controles como RASP e criptografia avançada. A proteção de aplicativos em produção é essencial, pois cada aplicativo representa uma superfície de ataque que pode ser explorada. A segurança moderna não é apenas uma necessidade, mas uma prioridade para garantir a inovação sem comprometer a proteção.

Pesquisadores de segurança descobriram o ‘AI Waifu RAT’, um Trojan de Acesso Remoto disfarçado como uma ferramenta de pesquisa em IA. Criado por um entusiasta de criptografia, o malware se apresenta como um personagem virtual, ‘Win11 Waifu’, que promete personalização ao acessar arquivos locais. No entanto, ele oferece uma porta dos fundos para os computadores dos usuários. O RAT opera com uma arquitetura simples de cliente-servidor, escutando comandos em texto simples e permitindo a execução de código arbitrário. O autor utiliza táticas de engenharia social, como sugerir que os usuários desativem suas proteções antivírus, explorando a confiança em comunidades online. A implementação rudimentar do RAT é ofuscada por uma narrativa sofisticada que apela ao desejo dos usuários por experiências inovadoras. Este incidente destaca a necessidade de vigilância em relação a ferramentas que prometem execução de código arbitrário e a importância de educar os usuários sobre engenharia social. A ameaça representa um novo vetor de ataque, utilizando IA como canal de comando e controle, e requer atenção especial de profissionais de segurança.

Pesquisadores de cibersegurança identificaram uma nova campanha de phishing atribuída ao grupo ScarCruft, vinculado à Coreia do Norte, com o objetivo de disseminar o malware RokRAT. Codificada como Operação HanKook Phantom, a campanha visa indivíduos associados à National Intelligence Research Association, incluindo acadêmicos e ex-oficiais do governo sul-coreano. Os ataques começam com um e-mail de spear-phishing que contém um anexo ZIP disfarçado de documento PDF, que, ao ser aberto, não só exibe um boletim informativo como também instala o RokRAT no sistema da vítima. Este malware é capaz de coletar informações do sistema, executar comandos arbitrários e capturar telas, além de exfiltrar dados através de serviços de nuvem como Dropbox e Google Cloud. Uma segunda fase da campanha utiliza um arquivo LNK para executar um script PowerShell, que também instala um documento Word falso e um script em lote ofuscado. A análise revela que o ScarCruft continua a empregar táticas de phishing altamente personalizadas, visando setores governamentais e acadêmicos da Coreia do Sul para espionagem e coleta de inteligência.

Pesquisadores em cibersegurança alertaram sobre um ataque cibernético que utiliza a ferramenta de monitoramento e forense digital de código aberto chamada Velociraptor. Os atacantes empregaram essa ferramenta para baixar e executar o Visual Studio Code, possivelmente com a intenção de criar um túnel para um servidor de comando e controle (C2) controlado por eles. O uso do Velociraptor representa uma evolução tática, onde programas de resposta a incidentes são utilizados para obter acesso e reduzir a necessidade de implantar malware próprio. A análise revelou que os atacantes usaram o utilitário msiexec do Windows para baixar um instalador MSI de um domínio da Cloudflare, que serve como base para outras ferramentas, incluindo um utilitário de administração remota. Além disso, a Sophos recomenda que as organizações monitorem o uso não autorizado do Velociraptor, pois isso pode ser um precursor de ataques de ransomware. O artigo também menciona campanhas maliciosas que exploram o Microsoft Teams para acesso inicial, refletindo um padrão crescente de uso de plataformas confiáveis para a implantação de malware. Os ataques se disfarçam como assistência técnica, dificultando a detecção. A situação é preocupante, pois os atacantes estão cada vez mais sofisticados em suas abordagens, utilizando técnicas que burlam as defesas tradicionais.

Uma vulnerabilidade crítica foi descoberta no AppSuite PDF Editor, um software amplamente utilizado para edição de PDFs, permitindo que atacantes executem comandos remotamente e comprometam sistemas de usuários. Pesquisadores de cibersegurança, Karsten Hahn e Louis Sorita, identificaram que a ameaça vai além de simples adware, expondo dezenas de milhares de usuários a uma campanha sofisticada de backdoor disfarçada em uma ferramenta aparentemente legítima.

Os atacantes manipularam motores de busca e portais de download para promover o AppSuite como uma ferramenta de produtividade. Usuários desavisados baixam um instalador MSI que, ao ser executado, baixa o editor real e o instala em diretórios do sistema, criando entradas de autorun para garantir persistência. O aplicativo, baseado em Electron, apresenta uma interface de edição de PDF que é, na verdade, uma janela de navegador disfarçada, enquanto mais de 99% do código JavaScript é dedicado ao payload malicioso.

Uma operação de espionagem cibernética sofisticada, conhecida como Operação HanKook Phantom, expôs usuários do Windows na Ásia e no Oriente Médio a uma ameaça avançada que utiliza PDFs e arquivos de atalho do Windows (LNK) como principais vetores de infecção. A campanha, descoberta por pesquisadores do Seqrite Lab, está ligada ao grupo patrocinado pelo Estado norte-coreano APT-37, famoso por ataques de spear-phishing. Os alvos incluem organizações governamentais, de defesa e acadêmicas, que recebem arquivos que aparentam ser boletins informativos legítimos, mas que contêm arquivos LNK maliciosos. Quando executados, esses arquivos não apenas abrem documentos, mas também extraem e executam cargas úteis maliciosas através do PowerShell. A operação se destaca pelo uso inovador de serviços de nuvem populares para comunicação de comando e controle, disfarçando o tráfego de exfiltração de dados como uploads normais de PDF. Essa abordagem minimiza a detecção por antivírus tradicionais e destaca a necessidade de monitoramento avançado por parte das organizações, especialmente em relação à atividade de arquivos LNK e tráfego anômalo em serviços de nuvem.

Uma nova campanha de cibercrime, chamada TAOTH, foi descoberta, utilizando um servidor de atualização do Sogou Zhuyin Input Method Editor (IME) descontinuado para infectar usuários com malwares avançados. Desde outubro de 2024, os atacantes exploraram o mecanismo de atualização do aplicativo Sogou Zhuyin, que permite a digitação em mandarim, para entregar cargas maliciosas. O domínio expirado ‘sogouzhuyin[.]com’ foi repurposto para disseminar instaladores de software legítimos que se tornaram maliciosos horas após a instalação, ativando uma atualização contaminada através do arquivo ‘ZhuyinUp.exe’. Os malwares observados incluem TOSHIS, DESFY, GTELAM e C6DOOR, que possibilitam vigilância extensiva e roubo de dados, especialmente entre usuários em Taiwan e na comunidade taiwanesa no exterior. Além disso, os atacantes usaram campanhas de spear-phishing para atingir dissidentes e líderes empresariais na China e em outros países da região. A análise técnica revelou que o TOSHIS atua como um carregador, enquanto o DESFY coleta informações de arquivos, e o GTELAM exfiltra nomes de documentos. A operação TAOTH é atribuída a grupos de ameaças que falam chinês, conhecidos por suas intrusões baseadas em cadeia de suprimentos e e-mail.

Uma campanha de espionagem cibernética, identificada como TAOTH, foi revelada por pesquisadores da Trend Micro, destacando o uso de um servidor de atualização abandonado do software Sogou Zhuyin para disseminar diversas famílias de malware, como C6DOOR e GTELAM. Os alvos principais incluem dissidentes, jornalistas e líderes de tecnologia na China, Taiwan, Hong Kong, Japão e Coreia do Sul. Os atacantes se apropriaram de um domínio que não recebia atualizações desde 2019, utilizando-o para distribuir atualizações maliciosas a partir de outubro de 2024. A cadeia de infecção começa quando usuários baixam o instalador legítimo do Sogou Zhuyin, que, após a instalação, busca atualizações maliciosas. As famílias de malware implantadas têm funções variadas, como acesso remoto e roubo de informações, utilizando serviços de nuvem para ocultar suas atividades. A Trend Micro recomenda que organizações realizem auditorias regulares em seus ambientes e revisem as permissões de aplicativos em nuvem para mitigar esses riscos.

Cibercriminosos estão utilizando a plataforma de anúncios do Facebook para disseminar malware avançado para dispositivos Android. Um estudo da Bitdefender Labs documentou uma série de ataques em 2025, onde anúncios falsos promovem versões gratuitas do TradingView Premium, levando usuários a sites fraudulentos. Esses sites imitam páginas legítimas e induzem os usuários a baixar um arquivo APK malicioso que solicita permissões avançadas, como acesso à acessibilidade. O malware, uma variante evoluída do Brokewell, utiliza técnicas de ofuscação para evitar detecção e, uma vez instalado, permite que atacantes tenham controle total sobre os dispositivos comprometidos. Isso inclui a capacidade de roubar dados financeiros, contornar autenticações de dois fatores e até mesmo ativar microfones e câmeras. A campanha é global, com anúncios localizados em várias línguas e direcionados a usuários de Android, enquanto usuários de outras plataformas veem conteúdo benigno. A Bitdefender recomenda que usuários móveis instalem aplicativos apenas de fontes confiáveis e revisem cuidadosamente as permissões solicitadas.

Em 26 de agosto de 2025, o popular ferramenta de construção Nx foi alvo de um ataque sofisticado de cadeia de suprimentos, resultando na exfiltração de milhares de credenciais de desenvolvedores. Pesquisadores de segurança da GitGuardian identificaram a campanha maliciosa, chamada ‘s1ngularity’, que infectou pacotes Nx no npm com malware projetado para roubar credenciais. Em poucos dias, os atacantes conseguiram coletar mais de 2.300 segredos, incluindo tokens do GitHub, chaves de autenticação do npm e credenciais da AWS.

Pesquisadores de cibersegurança descobriram uma campanha de cibercrime que utiliza técnicas de malvertising para direcionar vítimas a sites fraudulentos, onde é distribuído um novo malware chamado TamperedChef. O objetivo é enganar os usuários a baixarem e instalarem um editor de PDF trojanizado, que coleta dados sensíveis, incluindo credenciais e cookies de navegação. A campanha começou em 26 de junho de 2025, com vários sites falsos promovendo um instalador para um editor de PDF gratuito chamado AppSuite PDF Editor. Após a instalação, o programa faz alterações no registro do Windows para garantir que o executável malicioso seja iniciado automaticamente após a reinicialização do sistema. A partir de 21 de agosto de 2025, o malware se torna ativo, coletando informações e permitindo que o invasor execute comandos arbitrários. A análise revelou que o aplicativo malicioso atua como um backdoor, com várias funcionalidades, incluindo a capacidade de baixar malware adicional e manipular dados do navegador. A campanha é considerada uma ameaça significativa, com o editor de PDF sendo amplamente baixado e instalado por usuários desavisados.

A empresa de segurança mobile Zimperium alertou sobre uma nova variante do trojan bancário Hook, agora denominado Hook Versão 3, que se transformou em uma ameaça híbrida, atuando como spyware, ransomware e ferramenta de hacking. Este malware é capaz de executar 107 comandos remotos e possui 38 funções adicionais, aproveitando-se dos serviços de acessibilidade do Android para obter permissões irrestritas no dispositivo da vítima.

Uma das características mais preocupantes do Hook Versão 3 é sua capacidade de criar telas falsas transparentes, que imitam a tela de bloqueio e as telas de pagamento do Google Play, com o objetivo de roubar informações sensíveis, como PINs e dados de cartões de crédito. Além disso, o malware transmite a tela do celular em tempo real para os cibercriminosos, permitindo que eles monitorem as atividades da vítima. O ransomware também pode bloquear a tela do dispositivo, exigindo um pagamento em criptomoedas para a liberação.

Pesquisadores de cibersegurança descobriram uma falha no Marketplace do Visual Studio Code que permite a reutilização de nomes de extensões removidas, facilitando a criação de novas extensões maliciosas. A empresa ReversingLabs identificou uma extensão chamada ‘ahbanC.shiba’, que atua como downloader de um payload PowerShell, semelhante a extensões previamente removidas. Essas extensões maliciosas visam criptografar arquivos em pastas específicas e exigem pagamento em tokens Shiba Inu. A reutilização de nomes de extensões deletadas representa um risco significativo, pois qualquer um pode criar uma nova extensão com o mesmo nome de uma popular que foi removida. Além disso, a vulnerabilidade não é exclusiva do Visual Studio Code, já que repositórios como o Python Package Index (PyPI) também permitem essa prática. A situação é alarmante, pois os atacantes estão cada vez mais utilizando repositórios de código aberto como vetores de ataque, o que exige que organizações e desenvolvedores adotem práticas de desenvolvimento seguro e monitorem ativamente essas plataformas para evitar ameaças à cadeia de suprimentos de software.

Um novo relatório da equipe de segurança da Microsoft revela um ataque de engenharia social chamado ClickFix, que tem enganado usuários a executar comandos em seus computadores, resultando em invasões. O ataque se disfarça de CAPTCHA, uma verificação comum para distinguir humanos de bots, mas solicita que a vítima execute uma série de comandos que culminam na execução de códigos maliciosos. O processo envolve pressionar as teclas Windows + R, colar um comando fornecido pelos cibercriminosos e executá-lo, o que pode permitir acesso remoto ao dispositivo e roubo de informações sensíveis, como senhas e dados de cartões de crédito.

A empresa de segurança em nuvem Zscaler identificou 77 aplicativos maliciosos na Google Play Store, que juntos somavam 19 milhões de downloads. A maioria desses aplicativos se disfarçava como ferramentas utilitárias ou de personalização, mas continha malwares, incluindo o trojan Anatsa, que rouba dados bancários. Essa versão do Anatsa é capaz de detectar teclas digitadas, ler e enviar SMS, e evitar detecções. Além disso, 66% dos aplicativos eram adware, enquanto 25% continham o malware Joker, que pode acessar mensagens, tirar prints de tela e cadastrar usuários em serviços pagos sem autorização. Os aplicativos maliciosos afetaram até 831 instituições em todo o mundo, incluindo bancos e operadores de criptomoedas. Após a análise, a Google removeu os aplicativos da loja. Para se proteger, é recomendado ativar o Play Protect e ter cautela ao baixar aplicativos, confiando apenas em publicadores de boa reputação e limitando permissões desnecessárias.

Pesquisadores de segurança da Truesec descobriram uma campanha em larga escala que distribui um editor de PDF malicioso chamado AppSuite PDF Editor, que serve como mecanismo de entrega para o malware TamperedChef, que rouba informações. A operação utilizou táticas agressivas de publicidade, incluindo anúncios no Google, para atrair usuários desavisados a baixar o utilitário trojanizado. O instalador, disfarçado como PDF Editor.exe, possui assinaturas hash conhecidas e, ao ser executado, exibe um acordo de licença padrão antes de se conectar a um servidor remoto para buscar um executável secundário. Uma vez instalado, o malware coleta dados sensíveis, visando bancos de dados de credenciais de navegadores, e interrompe processos de navegadores como Chrome e Edge para acessar credenciais e cookies armazenados. A campanha destaca os riscos de baixar software aparentemente inofensivo de fornecedores desconhecidos, utilizando certificados digitais confiáveis para ocultar a intenção maliciosa. Especialistas em segurança recomendam vigilância na verificação de software e relatar campanhas suspeitas para mitigar futuros ataques.

O Departamento do Tesouro dos EUA anunciou novas sanções contra dois indivíduos e duas entidades ligadas ao esquema de trabalhadores de tecnologia da informação (TI) da Coreia do Norte, que visa gerar receitas ilícitas para programas de armas de destruição em massa. As sanções atingem Vitaliy Sergeyevich Andreyev, Kim Ung Sun, a Shenyang Geumpungri Network Technology Co., Ltd e a Korea Sinjin Trading Corporation. O esquema, que já é monitorado há anos, envolve a infiltração de trabalhadores de TI norte-coreanos em empresas legítimas nos EUA, utilizando documentos fraudulentos e identidades roubadas. Além disso, a operação tem se apoiado em ferramentas de inteligência artificial para criar perfis profissionais convincentes e realizar trabalhos técnicos. O Departamento do Tesouro destacou que Andreyev facilitou transferências financeiras significativas para a Chinyong Information Technology Cooperation Company, que já havia sido sancionada anteriormente. O uso de IA por esses atores levanta preocupações sobre a segurança cibernética, especialmente para empresas que podem ser alvos de fraudes e extorsões. O impacto dessas atividades é significativo, com lucros estimados em mais de um milhão de dólares desde 2021.

Recentemente, um fórum de hackers divulgou a venda de 15,8 milhões de logins e senhas do PayPal, com o responsável, identificado como Chucky_BF, chamando o conteúdo de “Depósito Global de Credenciais PayPal 2025”. O arquivo, que possui mais de 1,1 GB de dados, inclui não apenas e-mails e senhas, mas também endereços associados ao serviço de pagamento. Especialistas analisaram amostras dos dados e descobriram que eles consistem em uma mistura de contas reais e falsas, o que é comum em vazamentos de dados antigos. O preço pedido pelo acesso completo é de US$ 750, o que indica um mercado ativo para a revenda de credenciais. Embora o PayPal nunca tenha sofrido uma violação direta de dados, incidentes anteriores mostraram que dados de usuários podem ser coletados por malwares ladrões de dados. Até o momento, o PayPal não confirmou nenhuma invasão e recomenda que os usuários mudem suas senhas e ativem a autenticação em dois fatores (2FA) como precaução.

Pesquisadores da ESET descobriram o PromptLock, o primeiro ransomware conhecido a utilizar inteligência artificial. Este malware, que ainda é considerado um conceito em desenvolvimento, utiliza scripts em Lua gerados por prompts codificados para explorar sistemas de arquivos locais, inspecionar arquivos-alvo, exfiltrar dados selecionados e realizar criptografia. O PromptLock opera localmente através da API Ollama, utilizando o modelo gpt-oss:20b da OpenAI, lançado em agosto de 2025. A versatilidade dos scripts em Lua permite que o malware funcione em diferentes sistemas operacionais, como macOS, Linux e Windows. Embora o PromptLock ainda não tenha sido observado em ataques reais, especialistas alertam que a combinação de inteligência artificial e ransomware representa uma nova era de ameaças cibernéticas, tornando os ataques mais acessíveis e difíceis de detectar. A imprevisibilidade dos resultados gerados por modelos de linguagem torna a defesa contra esses ataques ainda mais desafiadora, aumentando a preocupação entre as equipes de segurança.

A empresa de cibersegurança ESET revelou a descoberta de um novo ransomware chamado PromptLock, que utiliza inteligência artificial para gerar scripts maliciosos em tempo real. Escrito em Golang, o PromptLock emprega o modelo gpt-oss:20b da OpenAI através da API Ollama para criar scripts em Lua que podem enumerar sistemas de arquivos, inspecionar arquivos-alvo, exfiltrar dados e criptografar informações. Este ransomware é compatível com Windows, Linux e macOS, e é capaz de gerar notas personalizadas para as vítimas, dependendo dos arquivos afetados. Embora ainda não se saiba quem está por trás do malware, a ESET identificou que artefatos do PromptLock foram enviados ao VirusTotal a partir dos Estados Unidos em 25 de agosto de 2025. A natureza do ransomware, que é considerada uma prova de conceito, utiliza o algoritmo de criptografia SPECK de 128 bits. A ESET alerta que a variabilidade dos indicadores de comprometimento (IoCs) torna a detecção mais desafiadora, complicando as tarefas de defesa. O surgimento do PromptLock destaca como a IA pode facilitar a criação de campanhas de malware, mesmo para criminosos com pouca experiência técnica.

Um novo grupo de ciberataques, conhecido como ShadowSilk, tem como alvo entidades governamentais na Ásia Central e na região Ásia-Pacífico. De acordo com a Group-IB, cerca de trinta vítimas foram identificadas, com as intrusões focadas principalmente na exfiltração de dados. O grupo compartilha ferramentas e infraestrutura com outros grupos de ameaças, como YoroTrooper e Silent Lynx. As vítimas incluem organizações governamentais de países como Uzbequistão, Quirguistão e Paquistão, além de setores como energia e transporte.

Pesquisadores de cibersegurança identificaram cinco grupos de atividades associados ao ator de ameaça persistente conhecido como Blind Eagle, que operou entre maio de 2024 e julho de 2025, principalmente visando entidades do governo colombiano. A empresa Recorded Future Insikt Group, que monitora essas atividades sob a designação TAG-144, observou que os ataques utilizam técnicas como trojans de acesso remoto (RATs) e engenharia social via phishing. Os alvos incluem autoridades judiciais e fiscais, além de setores como finanças, energia e saúde. Os ataques frequentemente utilizam e-mails fraudulentos que imitam agências governamentais locais, levando as vítimas a abrir documentos maliciosos. A infraestrutura de comando e controle do grupo é complexa, utilizando endereços IP de provedores colombianos e serviços de DNS dinâmico para ocultar suas operações. Recentemente, o grupo tem utilizado scripts em PowerShell para implantar RATs como Lime RAT e AsyncRAT. A análise indica que cerca de 60% das atividades do Blind Eagle focaram no setor governamental, levantando questões sobre suas motivações, que podem incluir espionagem estatal além de objetivos financeiros.

Pesquisadores de segurança da Zscaler ThreatLabs identificaram 77 aplicativos maliciosos na Google Play Store, que foram baixados mais de 19 milhões de vezes. A maioria desses aplicativos, cerca de 25%, estava associada ao malware Joker, que pode enviar mensagens de texto, capturar telas, fazer chamadas telefônicas e roubar informações sensíveis dos usuários. Além do Joker, variantes como Harly e o trojan bancário Anatsa também foram detectados, sendo que este último pode roubar credenciais de login de mais de 800 aplicativos bancários e de criptomoedas. Os aplicativos maliciosos, descritos como “maskware”, funcionam normalmente, mas em segundo plano realizam atividades prejudiciais. Para se proteger, os usuários devem baixar aplicativos apenas de fontes confiáveis, ativar o Play Protect, verificar as avaliações e permissões solicitadas pelos aplicativos antes da instalação. Essa situação evidencia que mesmo a Google Play Store, considerada uma fonte segura, não é imune a ameaças.

Um novo malware, conhecido como Shamos, está ameaçando usuários de MacBooks ao se disfarçar como uma solução de problemas para o sistema operacional da Apple. Desenvolvido pelo grupo hacker COOKIE SPIDER, o Shamos é uma variante do Atomic macOS Stealer (AMOS) e tem como objetivo roubar dados sensíveis, incluindo credenciais armazenadas em navegadores como Safari, itens do Keychain, notas do Apple Notes e informações de carteiras de criptomoedas.

As vítimas são atraídas por meio de malvertising, que apresenta anúncios maliciosos como se fossem links legítimos. Além disso, repositórios falsos no GitHub são utilizados para induzir os usuários a executar comandos no terminal do macOS, que, na verdade, instalam o malware. O processo envolve a execução de comandos que removem a sinalização de quarentena e tornam o arquivo executável, contornando o Gatekeeper, a ferramenta de segurança do macOS.

Pesquisadores da Trellix identificaram um novo ataque direcionado a usuários de Linux, que utiliza phishing por e-mail para disseminar malware. O ataque se destaca pelo uso de um arquivo RAR com um nome malicioso, que injeta comandos shell e arquivos bash codificados em Base64. O malware, denominado VShell, cria um backdoor que permite o controle remoto do sistema infectado. O ataque explora uma vulnerabilidade comum em scripts shell, onde os nomes de arquivos não são devidamente verificados pelos antivírus, permitindo que o malware passe despercebido. Os criminosos utilizam engenharia social, enviando e-mails que se disfarçam de pesquisas de produtos de beleza, oferecendo recompensas em dinheiro para atrair as vítimas a baixar o arquivo malicioso. Para se proteger, é recomendado desconfiar de recompensas financeiras em e-mails de remetentes desconhecidos e evitar baixar arquivos sem verificar sua origem e conteúdo.

A equipe de pesquisa zLabs da Zimperium revelou uma evolução significativa do trojan bancário Hook para Android, agora na versão Hook v3, que incorpora 107 comandos remotos, sendo 38 novos recursos que ampliam suas capacidades. Entre as inovações mais preocupantes estão as sobreposições de estilo ransomware, que exibem mensagens de extorsão em tela cheia com detalhes de pagamento em criptomoeda, e um mecanismo agressivo de bypass de tela de bloqueio, que engana as vítimas a inserirem suas credenciais. Além disso, o malware pode exibir uma tela de escaneamento NFC falsa para roubar dados de pagamento sensíveis.

O grupo de ameaças ligado à China, Mustang Panda, tem se destacado como uma sofisticada organização de espionagem, visando governos, ONGs e think tanks nos EUA, Europa e Ásia. Desde sua identificação pública em 2017, suas operações, que provavelmente começaram em 2014, têm se concentrado na coleta de inteligência. As campanhas de spear-phishing do grupo utilizam narrativas geopolíticas e documentos em língua local como iscas para disseminar malware avançado, como PlugX e Poison Ivy. Em uma operação conjunta em 2025, autoridades dos EUA e da França neutralizaram variantes do PlugX que estavam sendo espalhadas por drives USB infectados, afetando mais de 4.200 dispositivos globalmente.

A campanha de malware ZipLine, monitorada pela Check Point Research, está transformando o cenário de ataques de engenharia social contra organizações críticas de manufatura e cadeia de suprimentos nos Estados Unidos. Diferente do phishing convencional, a ZipLine inicia com os atacantes enviando consultas através de formulários de contato corporativos, permitindo que a vítima inicie trocas de e-mails sem suspeitas. Após estabelecer um relacionamento, os atacantes introduzem motivos comerciais plausíveis e enviam um arquivo ZIP que contém arquivos legítimos e um arquivo LNK malicioso. Este arquivo aciona uma cadeia de execução em PowerShell que busca uma string específica, extrai um script embutido e o executa na memória, evitando a detecção de endpoints. O MixShell, um implante em memória, realiza operações de comando e controle via registros DNS, utilizando subdomínios especialmente criados para minimizar a visibilidade do tráfego. A campanha visa empresas de manufatura, biotecnologia, eletrônicos e energia, destacando a necessidade de monitoramento rigoroso das comunicações de entrada e a adoção de estratégias de detecção em múltiplas camadas para prevenir esses ataques avançados.

Uma nova campanha de cibercrime, chamada ShadowCaptcha, foi identificada em agosto de 2025, explorando mais de 100 sites WordPress comprometidos. Os atacantes redirecionam visitantes para páginas falsas de verificação CAPTCHA, utilizando táticas de engenharia social para instalar malware, incluindo ladrões de informações, ransomware e mineradores de criptomoedas. A campanha combina engenharia social, uso de binários legítimos e entrega de payloads em múltiplas etapas, visando coletar dados sensíveis e gerar lucros ilícitos. Os ataques começam com a injeção de código JavaScript malicioso em sites WordPress, levando os usuários a páginas falsas que imitam serviços como Cloudflare ou Google. Dependendo das instruções exibidas, os usuários podem ser induzidos a executar comandos maliciosos que resultam na instalação de ransomware ou ladrões de dados. A maioria dos sites afetados está localizada em países como Brasil, Austrália e Itália, e os atacantes provavelmente exploraram vulnerabilidades conhecidas em plugins do WordPress. Para mitigar os riscos, é crucial treinar os usuários sobre campanhas de ClickFix, segmentar redes e manter os sites WordPress atualizados com autenticação multifatorial.

Pesquisadores em cibersegurança alertam sobre uma sofisticada campanha de engenharia social, denominada ZipLine, que visa empresas de manufatura críticas para a cadeia de suprimentos. Utilizando um malware em memória chamado MixShell, os atacantes iniciam contato por meio de formulários de ‘Contato’ em sites corporativos, enganando funcionários e estabelecendo conversas profissionais que podem durar semanas. Após esse período, enviam arquivos ZIP armados com o malware. Os alvos principais incluem empresas de manufatura industrial, biotecnologia e farmacêuticas, com foco em entidades baseadas nos EUA, mas também atingindo países como Singapura, Japão e Suíça. O ZipLine se destaca por evitar táticas de medo, utilizando uma abordagem paciente que se aproveita da confiança nas comunicações empresariais. O MixShell é projetado para executar comandos remotamente e infiltrar redes de forma discreta, utilizando técnicas avançadas de evasão. A campanha representa riscos significativos, incluindo roubo de propriedade intelectual e ataques de ransomware, exigindo que as empresas adotem defesas proativas e uma cultura de vigilância.

Em março de 2025, o Google Threat Intelligence Group (GTIG) revelou uma campanha de espionagem cibernética sofisticada atribuída ao grupo de hackers UNC6384, vinculado à República Popular da China (RPC). O foco principal da campanha foram diplomatas e setores governamentais no Sudeste Asiático, mas também afetou organizações globais. Os hackers exploraram uma funcionalidade legítima dos navegadores para detectar portais cativos, utilizando ataques do tipo adversário-no-meio (AitM) em dispositivos comprometidos. Isso permitiu que os atacantes redirecionassem os usuários para uma infraestrutura controlada por eles, onde eram apresentados a uma página de atualização falsa que disfarçava um instalador de malware como uma atualização de plugin do Adobe. O malware, denominado STATICPLUGIN, foi entregue como um instalador assinado digitalmente, levantando questões sobre a origem do certificado utilizado. Após a execução, o STATICPLUGIN baixou um pacote MSI que continha um backdoor chamado SOGU.SEC, permitindo que os hackers exfiltrassem arquivos e executassem comandos remotamente. O GTIG destacou que as táticas de UNC6384 refletem uma tendência mais ampla da RPC em usar malware assinado digitalmente e técnicas de engenharia social para espionagem estratégica. O Google já tomou medidas para bloquear domínios maliciosos e revogar certificados abusados, alertando usuários afetados. A situação destaca a necessidade de uma vigilância constante e de uma reavaliação das práticas de segurança em relação a certificados digitais.

A crescente popularidade de serviços de criação de sites por inteligência artificial, como a Lovable, trouxe à tona preocupações significativas de segurança cibernética. Um relatório da Proofpoint revelou que, desde fevereiro, dezenas de milhares de URLs geradas na plataforma têm sido utilizadas em campanhas de phishing, instalação de malwares e roubo de dados. Os sites fraudulentos imitam páginas de marcas conhecidas e utilizam mecanismos como captchas para evitar a detecção por bots. Quatro campanhas distintas foram identificadas, incluindo uma que visava roubar credenciais de login da Microsoft e outra que imitava a empresa de logística UPS para coletar dados pessoais e informações de pagamento. A Lovable implementou medidas de segurança em junho, mas a Proofpoint alerta que ainda é possível criar sites fraudulentos na plataforma. Essa situação evidencia como a tecnologia pode ser explorada para fins criminosos, exigindo atenção redobrada de empresas e usuários para evitar danos.

Um relatório da Microsoft revelou que hackers estão utilizando uma versão modificada do aplicativo desktop do ChatGPT para disseminar um trojan de acesso remoto conhecido como Pipemagic. Este malware, desenvolvido pelo grupo de cibercriminosos Storm-2460, tem como alvo setores como imobiliário, financeiro e tecnológico em várias regiões, incluindo América do Sul, América do Norte, Europa e Oriente Médio. A gravidade da situação é acentuada pela combinação de um backdoor modular, que permite acesso direto aos sistemas comprometidos, e uma vulnerabilidade zero-day (CVE-2025-29824) no Windows, que ainda não possui correção. A Kaspersky também alertou sobre a campanha, destacando casos na Arábia Saudita e na Ásia. Os ataques podem resultar no vazamento de dados pessoais, credenciais e informações financeiras, além da instalação de ransomware que criptografa arquivos e exige pagamento para recuperação. A recomendação é que os usuários evitem baixar arquivos ou executar programas de fontes desconhecidas, especialmente aqueles que imitam softwares populares como o ChatGPT.

Pesquisadores de cibersegurança identificaram uma nova campanha de phishing que utiliza mensagens de voz e ordens de compra falsas para disseminar um carregador de malware chamado UpCrypter. Os ataques têm como alvo setores como manufatura, tecnologia, saúde, construção e varejo, com maior incidência em países como Áustria, Canadá e Índia. A campanha se inicia com e-mails de phishing que induzem os destinatários a clicar em links que levam a páginas de phishing convincentes, onde são solicitados a baixar arquivos JavaScript maliciosos. O UpCrypter atua como um canal para ferramentas de acesso remoto, permitindo que atacantes assumam o controle total de sistemas comprometidos. O malware é distribuído em arquivos ZIP que contêm scripts ofuscados, que realizam verificações para evitar a detecção por ferramentas de análise forense. Além disso, a campanha se insere em um contexto mais amplo de ataques que exploram serviços legítimos, como o Google Classroom, para contornar protocolos de autenticação de e-mail. A situação destaca a necessidade de vigilância contínua e medidas de mitigação eficazes para proteger as organizações contra essas ameaças emergentes.

O grupo de ameaças conhecido como UNC6384, vinculado à China, tem sido responsável por uma série de ataques direcionados a diplomatas no Sudeste Asiático e outras entidades globais, com o objetivo de promover os interesses estratégicos de Pequim. A campanha, detectada em março de 2025, utiliza técnicas avançadas de engenharia social, incluindo certificados de assinatura de código válidos e ataques do tipo adversário-no-meio (AitM), para evitar a detecção. O ataque começa com um redirecionamento de portal cativo que desvia o tráfego da web para um site controlado pelo atacante, onde um downloader chamado STATICPLUGIN é baixado. Este downloader, que se disfarça como uma atualização de plugin da Adobe, instala um backdoor conhecido como SOGU.SEC, que permite a exfiltração de arquivos e o controle remoto do sistema. O uso de certificados válidos e técnicas de engenharia social sofisticadas demonstra a evolução das capacidades operacionais do UNC6384. Este tipo de ataque representa uma ameaça significativa, especialmente para organizações que operam em setores sensíveis, como diplomacia e segurança nacional.

O grupo de ameaças persistentes avançadas (APT) conhecido como Transparent Tribe, também chamado de APT36, tem direcionado ataques a sistemas Windows e Linux BOSS (Bharat Operating System Solutions) de entidades governamentais indianas. Os ataques são iniciados por meio de e-mails de spear-phishing que contêm arquivos de atalho de desktop maliciosos. Esses arquivos, disfarçados como documentos PDF, ao serem abertos, baixam e executam cargas maliciosas. O malware, que se comunica com um servidor de comando e controle, permite acesso remoto e coleta de dados. Além disso, o malware estabelece persistência através de um cron job, garantindo que a carga maliciosa seja executada automaticamente após reinicializações do sistema. A campanha também visa roubar credenciais e códigos de autenticação de dois fatores (2FA) de usuários, utilizando páginas falsas que imitam comunicações oficiais. A sofisticação do grupo, que adapta suas táticas conforme o ambiente da vítima, aumenta suas chances de sucesso e a dificuldade de detecção por controles de segurança tradicionais. Os ataques recentes têm como alvo organizações de defesa e entidades governamentais, utilizando domínios falsificados para enganar os usuários.

Pesquisadores de cibersegurança descobriram um módulo Go malicioso que se apresenta como uma ferramenta de brute-force para SSH, mas na verdade exfiltra credenciais para um bot do Telegram controlado pelo criador do malware. Nomeado ‘golang-random-ip-ssh-bruteforce’, o pacote foi publicado em 24 de junho de 2022 e está vinculado a uma conta do GitHub que foi removida, mas ainda está disponível em pkg.go.dev. O módulo escaneia endereços IPv4 aleatórios em busca de serviços SSH expostos na porta TCP 22, tentando logins com uma lista de nomes de usuário e senhas fracas. Após um login bem-sucedido, as credenciais são enviadas para um bot do Telegram. O malware desabilita a verificação de chave do host, permitindo conexões inseguras. A lista de senhas inclui combinações comuns como ‘root’, ‘admin’ e ‘12345678’. O código malicioso opera em um loop infinito, gerando endereços IPv4 e tentando logins simultâneos. O tráfego gerado parece normal, dificultando a detecção por controles de saída. Este incidente destaca a necessidade de vigilância e proteção contra ameaças emergentes na segurança da cadeia de suprimentos de software.

Uma nova análise revela que dezenas de milhares de servidores Redis em todo o mundo estão vulneráveis a uma campanha avançada de cryptojacking, orquestrada pelo grupo de ameaças TA-NATALSTATUS. Este ataque evoluiu para além da simples mineração de criptomoedas, visando a tomada de controle de infraestrutura de forma persistente e furtiva. A campanha explora instâncias Redis expostas para implantar malware sofisticado que oculta processos e ofusca comandos, mantendo persistência a longo prazo por meio de técnicas semelhantes a rootkits.