Malware

Pesquisadores da Check Point Research alertaram sobre uma campanha de ciberespionagem, denominada ‘Silver Dragon’, que visa instituições governamentais na Europa e no Sudeste Asiático. O grupo hacker APT41, associado à China, utiliza um backdoor chamado GearDoor, que explora a API do Google Drive para roubar dados. Os atacantes empregam táticas de phishing, enviando documentos maliciosos que simulam comunicações oficiais. Após a instalação do malware, ele cria uma pasta na nuvem para ocultar suas atividades, enviando arquivos comuns para não levantar suspeitas. Além disso, o malware utiliza um sistema de monitoramento chamado SilverScreen para capturar imagens da tela das vítimas sem sobrecarregar o sistema. A operação se aproveita de recursos legítimos do Windows para garantir sua permanência e dificultar a detecção por redes governamentais. Essa situação representa um risco significativo para a segurança de dados sensíveis, especialmente considerando a crescente dependência de plataformas de armazenamento em nuvem por entidades governamentais.

O aplicativo de mensagens Telegram tem se tornado um ponto central para atividades criminosas, com hackers utilizando a plataforma para vender acessos corporativos, dados roubados e serviços de malware. Pesquisadores da CYFIRMA identificaram um aumento na utilização do Telegram para operações ilegais, que antes eram realizadas principalmente em fóruns da dark web. Essa mudança se deve à facilidade de uso e à resistência da plataforma a desativações frequentes por parte das autoridades. Os grupos criminosos no Telegram operam como um ‘shopping center automatizado’, utilizando bots para encontrar senhas roubadas e processar pagamentos rapidamente. Além disso, o Telegram serve como um canal de suporte para esses criminosos, oferecendo ferramentas e recursos para facilitar suas atividades. Apesar de o Telegram ter colaborado com autoridades, atendendo a 900 solicitações de dados nos EUA, essa ação não tem sido suficiente para conter o crescimento desses grupos. A situação exige uma resposta mais robusta, já que a simples vigilância após incidentes não tem se mostrado eficaz para mitigar os danos causados por essas comunidades criminosas.

Um grupo de ameaças ligado ao Irã, identificado como Dust Specter, está sendo responsabilizado por uma campanha de ciberataques direcionada a autoridades governamentais do Iraque. A campanha, observada pela Zscaler ThreatLabz em janeiro de 2026, utiliza técnicas de engenharia social para se passar pelo Ministério das Relações Exteriores do Iraque e distribuir um conjunto de malwares inéditos, incluindo SPLITDROP, TWINTASK, TWINTALK e GHOSTFORM.

Os ataques começam com um arquivo RAR protegido por senha, que contém um dropper .NET chamado SPLITDROP. Este dropper carrega o módulo TWINTASK, que é um DLL malicioso que se infiltra em um processo legítimo do VLC Media Player para executar comandos a partir de um arquivo de texto. O módulo TWINTALK, por sua vez, atua como um orquestrador de comando e controle (C2), permitindo a comunicação com o servidor C2.

Recentes desenvolvimentos em cibersegurança revelam uma rápida evolução no cenário de ameaças. A equipe de resposta a emergências cibernéticas da Ucrânia (CERT-UA) alertou sobre uma campanha de phishing que visa instituições governamentais, utilizando e-mails maliciosos para disseminar malwares como SHADOWSNIFF e SALATSTEALER. Além disso, um novo serviço de malware como serviço (MaaS) chamado TrustConnect está sendo utilizado para distribuir um RAT (Remote Access Trojan) disfarçado de ferramenta legítima de gerenciamento remoto.

Uma operação conjunta de agências de segurança desmantelou o LeakBase, um dos maiores fóruns online para cibercriminosos, que contava com mais de 142 mil membros e 215 mil mensagens. O fórum, que estava ativo desde junho de 2021, era um mercado para a compra e venda de dados roubados e ferramentas de cibercrime, incluindo credenciais de contas e informações financeiras. O FBI e a Europol lideraram a operação, que ocorreu nos dias 3 e 4 de março de 2026, resultando em buscas, prisões e a apreensão de dados dos usuários, como contas, mensagens privadas e logs de IP. O LeakBase tinha uma política que proibia a venda de bancos de dados russos, possivelmente para evitar a atenção das autoridades. A operação foi parte de um esforço internacional para combater o cibercrime, com ações em vários países, incluindo EUA, Austrália e Reino Unido. O impacto da operação é significativo, pois o LeakBase era uma plataforma central para a troca de informações que poderiam ser usadas em fraudes e invasões de contas.

Um novo conjunto de 23 exploits para iOS, denominado ‘Coruna’, foi identificado em campanhas de espionagem e ataques financeiros. O kit inclui cinco cadeias de exploits sofisticados, que utilizam técnicas não documentadas para versões do iOS de 13.0 a 17.2.1. A primeira atividade relacionada ao Coruna foi observada em fevereiro de 2025, associada a um fornecedor de vigilância. Um exploit específico, CVE-2024-23222, permitiu a execução remota de código e foi corrigido pela Apple em janeiro de 2024. O kit foi utilizado em ataques direcionados a usuários de iPhone que acessavam sites comprometidos, especialmente na Ucrânia, e também em sites falsos de jogos e criptomoedas na China. O Coruna é capaz de identificar a versão do dispositivo e selecionar a cadeia de exploits adequada, parando se o Modo de Bloqueio estiver ativo. Após a exploração, um carregador chamado PlasmaLoader é injetado, visando aplicativos de carteira de criptomoedas. A análise sugere que o Coruna evoluiu de um uso em espionagem para atividades criminosas em larga escala, levantando preocupações sobre a segurança dos usuários comuns de iPhone. A Google recomenda que os usuários atualizem seus dispositivos e ativem o Modo de Bloqueio se a atualização não for possível.

Pesquisadores de segurança da Dark Web Informer descobriram que hackers estão vendendo um script malicioso em fóruns clandestinos, que explora vulnerabilidades do WhatsApp para roubar dados pessoais. O exploit, que custa cerca de R$ 160, é projetado para travar o aplicativo em dispositivos Android e iOS. No Android, o ataque provoca o travamento completo do WhatsApp, enquanto no iOS, além do travamento, ele congela conversas em grupos, dificultando o acesso do usuário. O script também possui funcionalidades que permitem bombardeios de chamadas de voz e vídeo, tornando o dispositivo inutilizável durante o ataque. O fato de o exploit ser de fácil execução, sem necessidade de configurações complexas, aumenta o risco, pois qualquer pessoa com um número de celular pode utilizá-lo. A situação é alarmante, considerando que o WhatsApp é amplamente utilizado no Brasil, e a possibilidade de ataques em massa pode afetar a privacidade e segurança de milhões de usuários.

Recentemente, a empresa de segurança Malwarebytes identificou uma nova campanha de phishing que utiliza chamadas falsas em plataformas como Zoom e Google Meet para instalar um aplicativo de monitoramento malicioso no Windows. Os hackers criaram um processo que simula a instalação do aplicativo legítimo Teramind, utilizado por empresas para monitorar dispositivos. O golpe começa com um link aparentemente inofensivo que leva a uma página falsa de videochamada, onde o usuário é induzido a baixar um arquivo de atualização. Esse arquivo, na verdade, instala um malware que coleta informações sensíveis, como teclas pressionadas, capturas de tela e histórico de navegação. A campanha também se aproveita da familiaridade dos usuários com essas plataformas de videoconferência, tornando o ataque mais eficaz. Para se proteger, é recomendado verificar o domínio dos links recebidos e evitar instalar atualizações de fontes desconhecidas.

Pesquisadores de cibersegurança revelaram detalhes sobre o grupo de ameaças persistentes avançadas (APT) conhecido como Silver Dragon, que está vinculado a ataques cibernéticos direcionados a entidades na Europa e no Sudeste Asiático desde meados de 2024. O grupo, associado ao APT41, uma notória facção de hackers chineses, utiliza técnicas sofisticadas para obter acesso inicial, como a exploração de servidores expostos na internet e o envio de e-mails de phishing com anexos maliciosos.

Pesquisadores de cibersegurança identificaram pacotes PHP maliciosos no Packagist, que se apresentam como utilitários do Laravel, mas atuam como um trojan de acesso remoto (RAT) em sistemas Windows, macOS e Linux. Os pacotes em questão são ’nhattuanbl/lara-helper’, ’nhattuanbl/simple-queue’ e ’nhattuanbl/lara-swagger’. O pacote ’lara-swagger’ não contém código malicioso diretamente, mas depende do ’lara-helper’, que instala o RAT. Os pacotes ainda estão disponíveis para download. O RAT, uma vez carregado, se conecta a um servidor de comando e controle (C2) e permite que o operador tenha acesso total ao sistema comprometido, incluindo a capacidade de executar comandos, capturar telas e manipular arquivos. Embora o servidor C2 esteja inativo no momento, o RAT tenta se reconectar a cada 15 segundos, representando um risco contínuo. Os usuários que instalaram esses pacotes devem considerar suas aplicações comprometidas, removê-los e auditar o tráfego de saída. Além dos pacotes maliciosos, o autor publicou outras bibliotecas limpas para ganhar credibilidade. A situação é crítica, pois qualquer aplicação Laravel que tenha instalado os pacotes mencionados está sob risco de controle remoto.

Pesquisadores da Microsoft Defender alertam sobre uma nova técnica de ataque que abusa do mecanismo de redirecionamento legítimo do OAuth para contornar as proteções contra phishing em e-mails e navegadores. Os ataques têm como alvo organizações governamentais e do setor público, utilizando links de phishing que induzem os usuários a autenticar-se em aplicativos maliciosos. Os criminosos criam aplicativos OAuth maliciosos em um tenant que controlam, configurando um URI de redirecionamento que aponta para sua infraestrutura. Mesmo que os URLs pareçam legítimos, eles são manipulados para forçar redirecionamentos silenciosos, levando os usuários a páginas de phishing. Em alguns casos, os atacantes utilizam frameworks como EvilProxy para interceptar cookies de sessão válidos, burlando a autenticação multifator (MFA). Além disso, os atacantes podem entregar arquivos ZIP maliciosos que, ao serem abertos, executam scripts PowerShell para realizar reconhecimento e carregar cargas úteis finais. A Microsoft recomenda que as organizações reforcem as permissões para aplicativos OAuth e implementem políticas de Acesso Condicional para mitigar esses riscos.

Recentemente, pesquisadores da Huntress identificaram uma nova campanha de ciberataque onde criminosos se passam por suporte técnico para implantar o framework de comando e controle (C2) Havoc, visando a exfiltração de dados ou ataques de ransomware. A intrusão foi observada em cinco organizações parceiras, onde os atacantes utilizaram e-mails de spam como iscas, seguidos de ligações telefônicas que ativaram um complexo pipeline de entrega de malware.

Em uma das organizações, os atacantes conseguiram se mover lateralmente para nove endpoints em apenas 11 horas, utilizando uma combinação de payloads personalizados do Havoc e ferramentas legítimas de gerenciamento remoto (RMM) para garantir persistência. A técnica de engenharia social, que inclui a criação de páginas falsas que imitam serviços da Microsoft, foi fundamental para o sucesso do ataque, permitindo que os criminosos coletassem credenciais dos usuários.

Pesquisadores de segurança da Microsoft alertaram sobre uma nova tática de hackers que utilizam instaladores falsos de jogos populares, como Xeno e Roblox, para disseminar trojans de acesso remoto (RATs). Os arquivos maliciosos, disfarçados como executáveis legítimos, empregam técnicas furtivas para se manterem ocultos no sistema da vítima. Após a instalação, um Java runtime portátil é utilizado para executar um arquivo malicioso, que se conecta a servidores remotos e permite o controle do computador da vítima. Os hackers aproveitam ferramentas já existentes no Windows, conhecidas como LOLbins, para evitar a detecção, fazendo com que suas atividades pareçam normais. A Microsoft já atualizou seu Defender para detectar esses malwares, mas recomenda que os usuários monitorem o tráfego de saída e bloqueiem conexões suspeitas. A orientação é que os jogadores evitem baixar ferramentas de fontes não oficiais, pois a probabilidade de contaminação por malware é alta. Este incidente destaca a importância de se manter vigilante ao baixar softwares, especialmente em ambientes de jogos.

A Microsoft alertou sobre novas campanhas de phishing que utilizam e-mails maliciosos e mecanismos de redirecionamento de URLs OAuth para contornar defesas tradicionais de segurança em e-mails e navegadores. Essas campanhas visam organizações governamentais e do setor público, redirecionando as vítimas para infraestruturas controladas pelos atacantes sem a necessidade de roubar tokens de autenticação. Os ataques se aproveitam do comportamento padrão do OAuth, permitindo que os invasores criem URLs que parecem benignas, mas que levam a páginas maliciosas.

Pesquisadores de cibersegurança revelaram detalhes sobre uma nova suíte de phishing chamada Starkiller, que utiliza páginas de login legítimas para contornar as proteções de autenticação multifator (MFA). O grupo de ameaças Jinkusu promove essa plataforma como um serviço de cibercrime, permitindo que usuários escolham marcas para imitar ou insiram URLs reais. A técnica de proxy de páginas de login permite que os atacantes atualizem suas páginas de phishing em tempo real, sem a necessidade de modificar templates. Isso é feito através de uma instância do Chrome sem interface gráfica, que atua como um proxy reverso entre o usuário e o site legítimo, capturando todas as entradas do usuário. Além disso, a evolução de kits de phishing, como o 1Phish, mostra um aumento na sofisticação das ameaças, com a capacidade de capturar códigos de autenticação de um único uso (OTPs) e implementar lógica de impressão digital do navegador para filtrar bots. As campanhas de phishing estão se tornando mais complexas, com ataques direcionados a empresas e instituições financeiras, utilizando técnicas avançadas para evitar a detecção. Essa situação representa um risco significativo para a segurança cibernética, especialmente para empresas que dependem de MFA para proteger suas contas.

O grupo de cibercriminosos conhecido como SloppyLemming está por trás de uma nova onda de ataques direcionados a entidades governamentais e operadores de infraestrutura crítica em países como Paquistão e Bangladesh, conforme relatado pela Arctic Wolf. As atividades ocorreram entre janeiro de 2025 e janeiro de 2026 e envolveram duas cadeias de ataque distintas que utilizam malwares conhecidos como BurrowShell e um keylogger baseado em Rust. A utilização da linguagem de programação Rust representa uma evolução nas ferramentas do grupo, que anteriormente utilizava apenas linguagens compiladas tradicionais e frameworks de simulação de adversários. Os ataques foram iniciados por meio de e-mails de spear-phishing que continham iscas em PDF e documentos do Excel com macros maliciosas. O BurrowShell, um backdoor completo, permite ao atacante manipular o sistema de arquivos, capturar telas e executar comandos remotamente, disfarçando seu tráfego de comando e controle como comunicações do serviço de atualização do Windows. A análise também revelou um aumento significativo na infraestrutura do grupo, com 112 domínios do Cloudflare Workers registrados em um ano, indicando uma escalada em suas operações. O foco em entidades críticas, como órgãos reguladores nucleares e instituições financeiras, sugere um alinhamento com prioridades de coleta de inteligência na competição estratégica regional.

Uma nova campanha de phishing está utilizando uma página falsa de segurança de conta do Google para distribuir um aplicativo web malicioso. Este aplicativo, que se aproveita de recursos de Progressive Web App (PWA), é capaz de roubar códigos de verificação de uso único (OTP), coletar endereços de carteiras de criptomoedas e redirecionar o tráfego do atacante através dos navegadores das vítimas. Os criminosos cibernéticos utilizam o domínio google-prism[.]com, que simula um serviço legítimo do Google, e enganam os usuários a conceder permissões arriscadas sob a falsa promessa de aumentar a segurança de seus dispositivos. O aplicativo malicioso pode exfiltrar dados de contatos, informações de localização em tempo real e conteúdos da área de transferência. Além disso, ele atua como um proxy de rede, permitindo que os atacantes realizem requisições através do navegador da vítima. A campanha também inclui um APK para Android que promete proteção adicional, mas que na verdade compromete ainda mais a segurança do dispositivo. Especialistas alertam que o Google não realiza verificações de segurança através de pop-ups e que todas as ferramentas de segurança estão disponíveis no site oficial da conta do Google. A remoção do aplicativo malicioso é recomendada, e os usuários devem estar atentos a sinais de comprometimento.

O arquivo com extensão .scr, que remete a protetores de tela no Windows, é frequentemente utilizado por cibercriminosos para disseminar malware. Em 2026, a probabilidade de receber um arquivo .scr malicioso por e-mail é de 99,9%. Isso ocorre porque o Windows trata arquivos .scr da mesma forma que arquivos executáveis (.exe), permitindo que um malware se disfarce como um documento legítimo, como um PDF. Os golpistas costumam usar camuflagens, como nomes de arquivos que parecem inofensivos, mas que na verdade contêm a extensão .scr oculta. Para se proteger, é recomendado ativar a exibição de extensões de arquivos no Windows Explorer, o que ajuda a identificar arquivos suspeitos. Além disso, uma solução prática é criar um arquivo .scr que abra no Bloco de Notas, impedindo a execução de qualquer código malicioso. Para usuários mais avançados, é aconselhável bloquear a execução de arquivos .scr fora da pasta do sistema. Essas medidas são essenciais para evitar que usuários desavisados sejam vítimas de ataques cibernéticos.

Pesquisadores de cibersegurança revelaram uma nova fase da campanha Contagious Interview, atribuída a atores de ameaças da Coreia do Norte, que publicaram 26 pacotes maliciosos no registro npm. Esses pacotes se disfarçam como ferramentas de desenvolvimento, mas contêm funcionalidades para extrair URLs de comando e controle (C2) usando conteúdo aparentemente inofensivo do Pastebin. A infraestrutura C2 está hospedada na Vercel, com 31 implantações. Os pacotes incluem um script de instalação que executa um payload malicioso, que utiliza esteganografia para decodificar URLs C2 ocultas em ensaios de ciência da computação. O malware, uma combinação de um ladrão de credenciais e um trojan de acesso remoto, é projetado para operar em múltiplas plataformas, incluindo Windows, macOS e Linux. A campanha demonstra um esforço refinado para evitar detecções automatizadas e revisões humanas, utilizando técnicas de evasão sofisticadas. Os pesquisadores alertam que essa abordagem pode ter implicações significativas para desenvolvedores e empresas que utilizam o npm, especialmente no Brasil, onde tecnologias semelhantes são amplamente adotadas.

O proxyware é um tipo de malware que transforma dispositivos infectados em ’laranjas digitais’, permitindo que hackers utilizem o endereço IP da vítima para realizar atividades criminosas, como ataques DDoS e fraudes financeiras. Ao contrário de vírus comuns, o proxyware redireciona o tráfego da internet da vítima sem que ela perceba, colocando sua integridade e reputação em risco. Recentemente, um caso envolvendo um site falso do 7-Zip demonstrou como usuários desavisados podem ser enganados e ter seus dispositivos infectados. Os sinais de infecção incluem lentidão na internet, ventoinhas do PC funcionando em alta velocidade e bloqueios de acesso a determinados sites. Para se proteger, é essencial que os usuários verifiquem processos suspeitos em seus sistemas e utilizem ferramentas de segurança confiáveis. O proxyware representa uma ameaça significativa, pois pode levar a consequências legais para as vítimas, que podem ser erroneamente associadas a atividades ilícitas.

O cenário da cibersegurança está em constante evolução, e novos tipos de malware têm se tornado cada vez mais sofisticados. Ao contrário do ransomware, que caiu em 38% segundo o relatório The Red Report 2026, as novas ameaças se infiltram silenciosamente nos sistemas, visando roubar dados e realizar atividades maliciosas sem serem detectadas. Esses malwares, como o LummaC2, utilizam técnicas avançadas, como o ’teste de Turing reverso’, para identificar se estão operando em um ambiente real ou em uma sandbox de antivírus. Eles monitoram o movimento do mouse e aplicam trigonometria para distinguir entre ações humanas e robóticas, evitando assim a detecção. Além disso, esses malwares camuflam o tráfego de dados, utilizando domínios legítimos para enviar informações roubadas, o que dificulta a identificação por firewalls. Embora os antivírus tradicionais estejam perdendo a batalha contra essas ameaças, soluções comportamentais como EDR e XDR estão surgindo como alternativas promissoras para detectar anomalias. A crescente complexidade dos malwares exige que as empresas adotem medidas proativas para proteger seus dados e sistemas.

O malware Oblivion é um novo Trojan de Acesso Remoto (RAT) que afeta dispositivos Android, especialmente aqueles que operam entre as versões 8 e 16. Este software malicioso, que pode ser adquirido por assinatura a partir de US$ 300, permite que atacantes assumam o controle total dos dispositivos, interceptando mensagens SMS, notificações e códigos de autenticação de dois fatores sem que o usuário perceba. O Oblivion contorna as proteções do Android, utilizando a Accessibility Service de forma abusiva para automatizar a aprovação de permissões, o que facilita a instalação de aplicativos maliciosos fora das lojas oficiais. Uma vez ativo, o malware pode monitorar atividades em tempo real, lançar ou remover aplicativos remotamente e ocultar sua presença através de sobreposições enganosas. Os pesquisadores de segurança alertam que a instalação de aplicativos de fontes não confiáveis e a concessão desnecessária de permissões de acessibilidade aumentam o risco de infecção. Medidas de proteção incluem a realização de varreduras de segurança, uso de proteção de endpoint e auditoria regular das permissões de aplicativos.

A extensão do Chrome chamada ‘QuickLens - Search Screen with Google Lens’ foi removida da Chrome Web Store após ser comprometida para distribuir malware e tentar roubar criptomoedas de milhares de usuários. Originalmente, a extensão permitia que os usuários realizassem buscas com o Google Lens diretamente no navegador e contava com cerca de 7.000 usuários. No entanto, em 17 de fevereiro de 2026, uma nova versão foi lançada, contendo scripts maliciosos que introduziram ataques ClickFix e funcionalidades de roubo de informações. Pesquisadores de segurança relataram que a extensão mudou de propriedade e, em seguida, recebeu uma atualização que solicitava novas permissões de navegador e removia cabeçalhos de segurança, facilitando a execução de scripts maliciosos. A extensão se comunicava com um servidor de comando e controle, coletando dados do usuário e tentando roubar informações de carteiras de criptomoedas. Os usuários afetados foram aconselhados a remover a extensão, escanear seus dispositivos em busca de malware e redefinir senhas. Este incidente destaca a vulnerabilidade de extensões populares e a necessidade de vigilância constante por parte dos usuários e administradores de segurança.

As Smart TVs e TVs Box se tornaram populares no Brasil, oferecendo comodidade e acesso a conteúdos de streaming. No entanto, esses dispositivos estão vulneráveis a ataques cibernéticos, especialmente quando conectados à internet sem as devidas precauções. Os hackers exploram brechas de segurança, muitas vezes em TVs Box que não recebem atualizações de software, tornando-as alvos fáceis. Para proteger esses aparelhos, é essencial manter sistemas e aplicativos atualizados, evitar a instalação de aplicativos de fontes não oficiais e garantir a segurança da rede Wi-Fi. A falta de certificação em muitos modelos de TV Box aumenta o risco de infecções por malware, que podem comprometer não apenas o dispositivo, mas toda a rede doméstica. Além disso, é importante estar atento à privacidade, desativando rastreamentos indesejados. Caso a TV seja infectada, é necessário identificar sinais de comprometimento e tomar medidas para mitigar o problema. A conscientização sobre esses riscos é fundamental para garantir a segurança e a privacidade dos usuários.

Hackers da Coreia do Norte, atribuídos ao grupo APT37, estão utilizando uma nova campanha maliciosa chamada Ruby Jumper, que visa transferir dados entre sistemas conectados à internet e sistemas isolados (air-gapped). Essa técnica é comum em setores críticos, como infraestrutura e militar, onde a transferência de dados é feita por meio de dispositivos de armazenamento removíveis. A campanha foi analisada pela Zscaler, que identificou um conjunto de cinco ferramentas maliciosas: RESTLEAF, SNAKEDROPPER, THUMBSBD, VIRUSTASK e FOOTWINE.

Pesquisadores de cibersegurança revelaram um módulo Go malicioso que visa coletar senhas, criar acesso persistente via SSH e instalar um backdoor Linux conhecido como Rekoobe. O módulo, que se disfarça como parte do repositório legítimo ‘golang.org/x/crypto’, injeta código malicioso que exfiltra informações sensíveis inseridas em prompts de senha do terminal para um servidor remoto. Ao ser executado, o código baixa um script que adiciona a chave SSH do invasor ao arquivo ‘authorized_keys’ do usuário, altera as políticas do iptables para aceitar conexões e busca mais cargas úteis disfarçadas com a extensão .mp5. Entre essas cargas, uma é um trojan conhecido, Rekoobe, que permite ao invasor receber comandos e executar ações maliciosas no sistema. O Go security team já tomou medidas para bloquear o módulo, mas a natureza do ataque sugere que campanhas semelhantes podem ocorrer no futuro, visando bibliotecas de alta relevância. Defensores devem estar atentos a ataques de cadeia de suprimentos que possam afetar outras bibliotecas críticas de autenticação e conexão em sistemas Linux.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) divulgou novas informações sobre o RESURGE, um implante malicioso utilizado em ataques de zero-day que exploram a vulnerabilidade CVE-2025-0282, visando dispositivos Ivanti Connect Secure. O RESURGE é descrito como um arquivo de objeto compartilhado Linux de 32 bits que permite comunicação encoberta com o atacante, utilizando técnicas sofisticadas de evasão e autenticação em nível de rede. O malware pode sobreviver a reinicializações, criar webshells para roubo de credenciais, criar contas, redefinir senhas e escalar privilégios. A vulnerabilidade crítica foi explorada desde dezembro de 2024 por um ator de ameaças vinculado à China, conhecido internamente como UNC5221. O RESURGE se destaca por sua capacidade de permanecer latente em sistemas até que um ator remoto tente se conectar ao dispositivo comprometido, o que o torna uma ameaça ativa e difícil de detectar. A CISA recomenda que administradores de sistemas utilizem os indicadores de comprometimento (IoCs) atualizados para identificar e remover infecções do RESURGE em dispositivos Ivanti.

Recentemente, atores de ameaças têm atraído usuários a executarem utilitários de jogos trojanizados, distribuídos por navegadores e plataformas de chat, com o objetivo de implantar um Trojan de Acesso Remoto (RAT). Segundo a equipe de Inteligência de Ameaças da Microsoft, um downloader malicioso utilizou um ambiente Java portátil para executar um arquivo JAR malicioso, denominado jd-gui.jar. O ataque se destaca pela utilização de PowerShell e binários de living-off-the-land (LOLBins) como cmstp.exe, permitindo uma execução furtiva.

O grupo de ameaças cibernéticas norte-coreano conhecido como ScarCruft foi associado a uma nova campanha de malware chamada Ruby Jumper, que utiliza ferramentas sofisticadas para vigilância e controle de sistemas. A campanha, descoberta pela Zscaler ThreatLabz em dezembro de 2025, envolve o uso de um backdoor que se comunica via Zoho WorkDrive, além de implantes que utilizam mídias removíveis para transmitir comandos e invadir redes isoladas.

Quando um usuário abre um arquivo LNK malicioso, um comando PowerShell é executado, permitindo que o malware extraia múltiplos payloads embutidos. Entre os payloads estão o RESTLEAF, que utiliza Zoho WorkDrive para comunicação de comando e controle, e o THUMBSBD, que se disfarça como um arquivo Ruby e pode coletar informações do sistema, exfiltrar arquivos e executar comandos arbitrários. O THUMBSBD também distribui o FOOTWINE, que possui capacidades de keylogging e captura de áudio e vídeo.

Uma nova campanha de cibercrime está ameaçando a segurança dos brasileiros, conforme relatado pela empresa de segurança ZenoX. Hackers estão explorando domínios do Gov.br para roubar dados bancários, utilizando duas táticas principais: comprometer sites legítimos do governo e criar URLs falsas que imitam portais oficiais. No primeiro caso, um site do governo do estado de Goiás foi encontrado com um malware escondido, que passa despercebido por antivírus devido à sua origem em um domínio considerado seguro. No segundo caso, hackers criam links falsos que se parecem com portais governamentais, levando as vítimas a baixar um software malicioso disfarçado de um aplicativo comum. Após a instalação, o infostealer permite que os criminosos monitorem atividades online, capturem credenciais e acessem informações sensíveis. A recomendação para os usuários é evitar clicar em links desconhecidos e acessar portais governamentais apenas por meio de aplicativos oficiais ou URLs verificadas. A situação ainda está em investigação, e não há informações sobre a extensão da operação criminosa.

Pesquisadores de cibersegurança revelaram um novo loader de botnet chamado Aeternum C2, que utiliza uma infraestrutura de comando e controle (C2) baseada em blockchain para resistir a tentativas de derrubada. Ao invés de depender de servidores tradicionais, o Aeternum armazena suas instruções na blockchain pública Polygon, tornando sua infraestrutura de C2 praticamente permanente. Essa abordagem já foi observada em outras botnets, como a Glupteba, que usava a blockchain do Bitcoin como mecanismo de backup.

Pesquisadores da Veracode identificaram um novo malware, o trojan de acesso remoto (RAT) Pulsar, que se disfarça em pacotes npm maliciosos, utilizando imagens PNG para ocultar seu código. Este malware é projetado para evitar a detecção de antivírus e enganar os usuários, dando a impressão de ser um repositório comum. O processo de instalação é complexo e inicia-se quando um usuário executa um comando npm install, que baixa um downloader que se conecta à pasta de inicialização do Windows. O código do malware é ofuscado, dificultando sua identificação, e utiliza esteganografia para esconder comandos maliciosos em pixels de imagens. O RAT é capaz de obter privilégios de administrador e manipular processos do Windows, fazendo com que pareçam legítimos. A Veracode recomenda que desenvolvedores fiquem atentos ao pacote buildrunner-dev e bloqueiem a URL associada ao malware. Este incidente destaca a necessidade de vigilância constante e atualização de medidas de segurança em ambientes de desenvolvimento.

O Google, em colaboração com a Mandiant e outros parceiros, desmantelou uma rede de espionagem global conhecida como UNC2814, que visava organizações governamentais e de telecomunicações em mais de 40 países. A campanha, que começou em 2023, utilizou um malware inédito chamado GridTide, que explorava a API do Google Sheets para comunicação de comando e controle (C2). Em vez de se conectar a servidores remotos, o malware fazia requisições HTTPS para a infraestrutura legítima do Google, disfarçando-se no tráfego normal das empresas. Os comandos eram armazenados em células de planilhas controladas pelos atacantes, que inseriam instruções codificadas. O Google conseguiu interromper a campanha desativando todos os projetos do Google Cloud controlados pelos hackers e revogando o acesso à API do Google Sheets. A operação afetou pelo menos 53 organizações em 42 países, com a suspeita de que o grupo esteja presente em mais 20 países. A maioria das regiões afetadas inclui a América Latina, Europa Oriental, Rússia, partes da África e do Sul da Ásia, enquanto a Europa Ocidental e os EUA não foram impactados.

Pesquisadores de cibersegurança revelaram a descoberta de um novo pacote malicioso no NuGet Gallery, que se disfarça como uma biblioteca legítima da Stripe, visando o setor financeiro. O pacote, denominado StripeApi.Net, foi criado para imitar o Stripe.net, uma biblioteca autêntica com mais de 75 milhões de downloads. Carregado por um usuário chamado StripePayments em 16 de fevereiro de 2026, o pacote foi rapidamente removido após a denúncia. O site do pacote malicioso foi projetado para se assemelhar ao original, utilizando o mesmo ícone e uma descrição quase idêntica, apenas alterando referências de ‘Stripe.net’ para ‘Stripe-net’. Para aumentar sua credibilidade, o autor do ataque inflacionou artificialmente a contagem de downloads para mais de 180.000, distribuídos em 506 versões. Embora o pacote replicasse algumas funcionalidades da biblioteca legítima, ele modificava métodos críticos para coletar e transferir dados sensíveis, como o token da API da Stripe, para o atacante. A ReversingLabs, que identificou e reportou o pacote rapidamente, destacou que essa atividade representa uma mudança em relação a campanhas anteriores que visavam o ecossistema de criptomoedas. O incidente ressalta a necessidade de vigilância constante em bibliotecas de código aberto, especialmente em um cenário onde desenvolvedores podem inadvertidamente integrar pacotes comprometidos sem perceber.

Uma nova campanha de cibersegurança está atacando desenvolvedores por meio de repositórios maliciosos disfarçados de projetos legítimos do Next.js. De acordo com a equipe de pesquisa da Microsoft Defender, essa atividade se alinha a uma série de ameaças que utilizam iscas relacionadas a empregos para se integrar aos fluxos de trabalho dos desenvolvedores, aumentando a probabilidade de execução de código malicioso. Os atacantes criam repositórios falsos em plataformas confiáveis como o Bitbucket, usando nomes enganosos para atrair desenvolvedores em busca de oportunidades de trabalho.

Recentemente, diversas ameaças cibernéticas têm se intensificado, muitas vezes iniciando com interações comuns como anúncios ou convites de reuniões. Um destaque é a integração do assistente de IA Claude ao Kali Linux, que permite a execução de comandos em linguagem natural, facilitando o trabalho de hackers éticos. Além disso, o spyware ResidentBat, vinculado a autoridades bielorrussas, tem sido utilizado para monitorar jornalistas e a sociedade civil, acessando dados sensíveis como registros de chamadas e mensagens. Campanhas de phishing também estão em alta, com criminosos se passando por serviços de corretagem de criptomoedas, como a Bitpanda, para roubar informações pessoais. O relatório da CrowdStrike de 2026 revela que o tempo médio para um ataque cibernético se expandir de um acesso inicial para um movimento lateral caiu para 29 minutos, um aumento de 65% em relação ao ano anterior. Isso é impulsionado pelo uso de credenciais legítimas e pela adoção de tecnologias de IA por atacantes. Outro ponto crítico é a exploração de falhas em servidores Apache ActiveMQ, que têm sido utilizadas para implantar ransomware LockBit. Esses dados ressaltam a necessidade urgente de vigilância e atualização das defesas cibernéticas.

Um novo grupo de atividades maliciosas, identificado como UAT-10027, está atacando os setores de educação e saúde nos Estados Unidos desde dezembro de 2025. A campanha, monitorada pela Cisco Talos, visa implantar um backdoor inédito chamado Dohdoor, que utiliza a técnica DNS-over-HTTPS (DoH) para comunicação de comando e controle. Os pesquisadores de segurança Alex Karkins e Chetan Raghuprasad relataram que a campanha pode ter iniciado através de técnicas de phishing, levando à execução de um script PowerShell que baixa um script em lote do Windows. Este script, por sua vez, baixa uma biblioteca dinâmica maliciosa (DLL) chamada “propsys.dll” ou “batmeter.dll”. O Dohdoor é ativado por executáveis legítimos do Windows, utilizando a técnica de DLL side-loading, permitindo que o acesso backdoor seja utilizado para baixar e executar cargas adicionais diretamente na memória da vítima. A comunicação do malware é disfarçada como tráfego HTTPS legítimo, dificultando a detecção por sistemas de segurança tradicionais. Embora não se saiba quem está por trás do UAT-10027, há semelhanças táticas com o grupo Lazarus, conhecido por suas atividades de hacking, especialmente em setores como criptomoedas e defesa. No entanto, o foco atual em educação e saúde destaca uma nova abordagem que pode ter implicações significativas para a segurança cibernética.

O Google, por meio de seu Grupo de Inteligência de Ameaças (GTIG) e em parceria com a Mandiant, interrompeu uma campanha de espionagem global atribuída a um ator de ameaça suspeito de ser da China, que utilizava chamadas de API de SaaS para ocultar tráfego malicioso em ataques direcionados a redes de telecomunicações e governamentais. A campanha, que estava ativa desde pelo menos 2023, afetou 53 organizações em 42 países, com suspeitas de infecções em pelo menos 20 outros países. O vetor de acesso inicial é desconhecido, mas acredita-se que o grupo, identificado internamente como UNC2814, tenha explorado falhas em servidores web e sistemas de borda. A nova ferramenta utilizada, chamada ‘GRIDTIDE’, é um backdoor em C que abusa da API do Google Sheets para operações de comando e controle (C2) evasivas. O GRIDTIDE autentica-se em uma Conta de Serviço do Google usando uma chave privada codificada e realiza reconhecimento do host, coletando informações como nome de usuário e detalhes do sistema. Apesar de a Google não ter observado diretamente a exfiltração de dados, foi confirmado que o GRIDTIDE foi implantado em um sistema que continha informações pessoais sensíveis. A campanha foi desmantelada com a desativação de projetos do Google Cloud controlados pelo UNC2814 e a revogação do acesso à API do Google Sheets. Embora a interrupção tenha sido abrangente, espera-se que o grupo retome suas atividades em breve.

Uma nova campanha de cibersegurança está direcionada a desenvolvedores de software, utilizando iscas temáticas de emprego para disseminar repositórios maliciosos que se disfarçam como projetos legítimos do Next.js e materiais de avaliação técnica. O objetivo dos atacantes é obter execução remota de código (RCE) nas máquinas dos desenvolvedores, exfiltrar dados sensíveis e implantar cargas adicionais em sistemas comprometidos.

O Next.js, um framework popular de JavaScript, é utilizado para construir aplicações web e, ao clonar repositórios maliciosos, os desenvolvedores acionam scripts JavaScript que se executam automaticamente, baixando um backdoor do servidor do atacante. Os pesquisadores da Microsoft identificaram múltiplos gatilhos de execução, como arquivos de configuração do VS Code e scripts que são ativados ao iniciar o servidor.

O Google anunciou, em 25 de fevereiro de 2026, que colaborou com parceiros da indústria para desmantelar a infraestrutura de um grupo de espionagem cibernética suspeito de estar vinculado à China, identificado como UNC2814. Este grupo é responsável por violações em pelo menos 53 organizações em 42 países, com um histórico de ataques a governos e empresas de telecomunicações em diversas regiões do mundo. O relatório, elaborado pelo Google Threat Intelligence Group e pela Mandiant, destaca o uso de uma nova backdoor chamada GRIDTIDE, que utiliza a API do Google Sheets para ocultar o tráfego malicioso e facilitar a transferência de dados. Embora a forma de acesso inicial do grupo ainda esteja sendo investigada, há indícios de que eles exploram servidores web e sistemas de borda. O Google tomou medidas significativas, encerrando todos os projetos do Google Cloud controlados pelos atacantes e desativando a infraestrutura conhecida do UNC2814. A atividade global deste grupo, que se estende por mais de 70 países, representa uma séria ameaça para os setores de telecomunicações e governamentais, evidenciando a necessidade de vigilância contínua e medidas de segurança robustas.

Um relatório da empresa de cibersegurança ReliaQuest revela que o tempo médio para iniciar um ataque digital caiu para apenas 34 minutos em 2025, uma redução de 29% em relação ao ano anterior. O dado mais alarmante é que o tempo mínimo registrado para o início de um ataque foi de apenas quatro minutos, uma velocidade 85% maior do que em 2024. Essa aceleração nos ataques é atribuída ao uso crescente de ferramentas de inteligência artificial (IA) pelos cibercriminosos, que agora conseguem automatizar processos como reconhecimento de perfis em redes sociais e criação de roteiros mais convincentes para engenharia social. Grupos de ransomware são os principais usuários dessas tecnologias, com 80% deles utilizando IA para potencializar suas operações. Apesar desse cenário preocupante, especialistas em cibersegurança também podem se beneficiar da IA para detectar e mitigar ameaças rapidamente, adaptando informações às realidades específicas de suas organizações. O relatório destaca a importância de as empresas se prepararem para essa nova realidade, onde a velocidade e sofisticação dos ataques estão em constante evolução.

Pesquisadores de cibersegurança descobriram quatro pacotes NuGet maliciosos que visam desenvolvedores de aplicações web ASP.NET, com o objetivo de roubar dados sensíveis. A campanha, identificada pela empresa Socket, exfiltra dados de identidade do ASP.NET, como contas de usuários e atribuições de papéis, além de manipular regras de autorização para criar backdoors persistentes nas aplicações das vítimas. Os pacotes, publicados entre 12 e 21 de agosto de 2024, foram baixados mais de 4.500 vezes antes de serem removidos. O pacote NCryptYo atua como um dropper de primeira fase, estabelecendo um proxy local que redireciona o tráfego para um servidor de comando e controle (C2) controlado pelo atacante. Os pacotes DOMOAuth2_ e IRAOAuth2.0 são responsáveis por roubar dados de identidade e backdoor, enquanto o SimpleWriter_ permite a execução de processos ocultos. A análise sugere que todos os pacotes foram criados pelo mesmo ator de ameaça, visando comprometer as aplicações em vez das máquinas dos desenvolvedores. A continuidade da exfiltração de dados ocorre mesmo após a implantação das aplicações maliciosas em produção, permitindo que atacantes obtenham acesso administrativo. Este incidente destaca a vulnerabilidade da cadeia de suprimentos de software e a necessidade de vigilância constante na segurança de pacotes de código aberto.

Um novo serviço de cibercrime chamado 1Campaign está permitindo que criminosos cibernéticos executem anúncios maliciosos no Google que permanecem online por longos períodos, evitando a detecção de pesquisadores de segurança. O 1Campaign é um serviço de camuflagem que passa pelo processo de triagem do Google, mostrando conteúdo malicioso apenas para vítimas reais, enquanto pesquisadores e scanners automáticos são redirecionados para páginas inofensivas. A operação, que está ativa há pelo menos três anos, é gerida por um desenvolvedor conhecido como ‘DuppyMeister’. O sistema filtra visitantes em tempo real, direcionando o tráfego para páginas de destino com base em critérios como geografia e características do dispositivo. Em um caso, 99,4% dos visitantes foram bloqueados, resultando em uma taxa de sucesso de apenas 0,6%. O 1Campaign também oferece uma ferramenta para lançar campanhas maliciosas e benignas, permitindo que os operadores contornem as limitações das políticas do Google. Apesar das várias salvaguardas implementadas pelo Google, a plataforma ainda é utilizada para promover fraudes e malware, destacando a necessidade de vigilância contínua e práticas de segurança rigorosas.

Um ator de ameaça alinhado à Rússia foi identificado atacando uma instituição financeira europeia, utilizando engenharia social para potencialmente coletar informações ou realizar roubo financeiro. O ataque, atribuído ao grupo de cibercrime UAC-0050 (também conhecido como DaVinci Group), foi descrito como uma tentativa de expandir o foco das operações além da Ucrânia, atingindo entidades que apoiam o país em guerra.

O ataque começou com um e-mail de spear-phishing que simulava um domínio judicial ucraniano, levando o destinatário a baixar um arquivo malicioso. Este arquivo ZIP continha um arquivo RAR protegido por senha, que, por sua vez, continha um executável disfarçado de documento PDF. A execução do arquivo resultou na instalação de um software de acesso remoto, o Remote Manipulator System (RMS), que permite controle remoto e compartilhamento de arquivos.

Uma nova campanha de phishing está explorando uma vulnerabilidade do Excel para disseminar um trojan de acesso remoto (RAT) conhecido como ‘XWorm 7.2’. O malware é disfarçado como um arquivo JPEG, que na verdade contém um código malicioso. Ao abrir um arquivo Excel enviado por e-mail, a vítima é levada a executar um script que instala o malware, permitindo que os hackers tenham controle total sobre a máquina. Essa técnica utiliza engenharia social, com mensagens que parecem legítimas, solicitando pagamentos ou documentos que não existem. O XWorm 7.2, que já existe desde 2022, teve sua versão mais recente identificada em lojas do Telegram, mostrando uma evolução em sua sofisticação. O malware é capaz de roubar senhas, chaves de Wi-Fi e até mesmo coletar cookies do navegador. Além disso, ele pode espionar a vítima através da webcam e lançar ataques de negação de serviço (DDoS). A complexidade do XWorm 7.2 torna sua remoção extremamente difícil, pois ele se oculta em processos legítimos do Windows, dificultando a detecção por antivírus.

Especialistas da Kaspersky identificaram uma nova ameaça para usuários de dispositivos Android: um malware chamado Keenadu, que pode vir pré-instalado no sistema operacional. Este software malicioso é capaz de roubar dados sensíveis, como senhas e informações bancárias, sem que o usuário perceba. O Keenadu se infiltra no firmware dos dispositivos através de pacotes de atualização OTA e também pode ser instalado por meio de fontes não oficiais, incluindo a Play Store. A Kaspersky alerta que a remoção do malware é extremamente difícil e requer ajuda especializada. Até o momento, mais de 13 mil dispositivos foram afetados, com vítimas localizadas em países como Brasil, Japão, Rússia, Holanda e Alemanha. O Keenadu tem acesso completo aos dados do dispositivo, permitindo que atacantes realizem operações ilegais, como a instalação de aplicativos sem consentimento do usuário. A origem do malware ainda é desconhecida, mas ele tem sido utilizado principalmente para fraudes publicitárias.

O grupo de ciberameaças conhecido como UnsolicitedBooker tem direcionado suas atividades para empresas de telecomunicações no Quirguistão e no Tajiquistão, após uma série de ataques anteriores a entidades na Arábia Saudita. Os ataques utilizam duas backdoors distintas, chamadas LuciDoor e MarsSnake, conforme relatado pela Positive Technologies. A UnsolicitedBooker, que foi documentada pela primeira vez pela ESET em maio de 2025, é considerada ativa desde março de 2023 e tem um histórico de ataques a organizações na Ásia, África e Oriente Médio. Recentemente, os ataques foram realizados através de e-mails de phishing que continham documentos do Microsoft Office, que, ao serem abertos, solicitavam que os usuários ‘ativassem o conteúdo’ para executar macros maliciosas. Essas macros implantavam um carregador de malware chamado LuciLoad, que, por sua vez, instalava a backdoor LuciDoor. Em um ataque posterior, o grupo utilizou um carregador diferente, o MarsSnakeLoader, para implantar a backdoor MarsSnake. A Positive Technologies também observou que o MarsSnake foi utilizado em ataques direcionados à China. O uso de ferramentas raras de origem chinesa e a possibilidade de um roteador hackeado servir como servidor de comando e controle destacam a sofisticação das operações do grupo.

Pesquisadores de cibersegurança revelaram uma nova campanha de cryptojacking que utiliza pacotes de software pirata como iscas para implantar um programa minerador XMRig em sistemas comprometidos. A análise do malware indica uma infecção sofisticada em múltiplas etapas, priorizando a maximização da taxa de hash de mineração de criptomoedas, o que pode desestabilizar o sistema da vítima. O ataque começa com engenharia social, onde usuários são enganados a baixar executáveis maliciosos disfarçados de softwares legítimos. O malware possui capacidades semelhantes a vermes, espalhando-se por dispositivos de armazenamento externo e permitindo movimento lateral, mesmo em ambientes isolados. Além disso, ele utiliza um driver vulnerável para escalar privilégios e garantir persistência. A campanha foi projetada para operar até uma data limite específica, 23 de dezembro de 2025, sugerindo um planejamento estratégico por parte dos atacantes. A atividade de mineração foi observada em novembro de 2025, com um pico em dezembro. Este caso destaca a inovação contínua do malware comercial, combinando engenharia social, disfarces de software legítimo e exploração de vulnerabilidades de kernel.

O grupo de ameaças patrocinado pelo Estado russo, conhecido como APT28, lançou uma nova campanha chamada Operação MacroMaze, visando entidades específicas na Europa Central e Ocidental. De acordo com a equipe de inteligência de ameaças LAB52, a atividade ocorreu entre setembro de 2025 e janeiro de 2026. A campanha utiliza e-mails de spear-phishing para distribuir documentos maliciosos que contêm macros projetadas para explorar serviços legítimos para a exfiltração de dados.

Pesquisadores da ESET identificaram o PromptSpy, o primeiro malware para Android que utiliza inteligência artificial generativa para aprimorar suas capacidades de ataque. Embora ainda seja uma prova de conceito, o malware é projetado para fornecer controle remoto sobre dispositivos infectados, utilizando um módulo de computação de rede virtual (VNC). O PromptSpy interage com o chatbot Gemini da Google, enviando comandos em linguagem natural para manipular o dispositivo atacado. Isso permite que os hackers adaptem seus ataques a diferentes versões do sistema operacional Android.