Malware

Pesquisadores de cibersegurança da CyberArk conseguiram acessar o painel de controle do malware StealC, um infostealer amplamente utilizado por cibercriminosos. Essa invasão foi possível devido a uma falha de vazamento de código-fonte e uma vulnerabilidade de cross-site scripting (XSS). O StealC é capaz de coletar dados sensíveis, como credenciais de navegadores, cookies e informações de carteiras de criptomoedas. Durante a investigação, os pesquisadores identificaram um ator de ameaças conhecido como ‘YouTubeTA’, que utilizou credenciais roubadas para invadir canais legítimos do YouTube, resultando na coleta de 390 mil senhas e 30 milhões de cookies. A análise revelou detalhes sobre o dispositivo utilizado pelo atacante, que não utilizou uma VPN em uma de suas sessões, expondo seu endereço IP vinculado a um provedor de internet na Ucrânia. A divulgação dessas informações pode atrair mais atenção sobre o StealC, potencialmente interrompendo suas operações. Essa situação destaca a importância de monitorar e mitigar ameaças emergentes no cenário de cibersegurança.

Feras Khalil Ahmad Albashiti, um homem de 40 anos da Jordânia, se declarou culpado por atuar como um ‘access broker’, vendendo acesso a redes de computadores de pelo menos 50 empresas. A extradição de Albashiti foi realizada pelo Departamento de Justiça dos EUA, após sua prisão na Geórgia em julho de 2024. Ele foi acusado de fraude envolvendo credenciais de acesso e sua sentença está marcada para 11 de maio de 2026, podendo enfrentar até 10 anos de prisão e multas que podem chegar a $250.000. A investigação começou em maio de 2023, quando agentes de segurança identificaram Albashiti em um fórum online que vendia malware. Ele foi preso após vender acesso a redes de empresas para um agente disfarçado em troca de criptomoedas. O papel de ‘initial access brokers’ é crucial no ecossistema do cibercrime, pois eles fornecem credenciais que permitem que outros criminosos realizem ataques, como roubo de dados e ransomware. Recentemente, a Microsoft alertou sobre um broker que está abusando de ferramentas do Windows para carregar malware, destacando a crescente ameaça que esses intermediários representam.

Pesquisadores de cibersegurança revelaram uma campanha ativa chamada KongTuke, que utiliza uma extensão maliciosa do Google Chrome disfarçada de bloqueador de anúncios. Essa extensão, chamada ‘NexShield – Advanced Web Guardian’, foi projetada para travar o navegador e enganar as vítimas a executar comandos arbitrários. A extensão, que teve mais de 5.000 downloads, simula um alerta de segurança falso, levando os usuários a realizar uma ‘varredura’ que resulta em um ataque de negação de serviço (DoS) que causa o congelamento do navegador. Após a instalação, a extensão envia um ID único para um servidor controlado por atacantes, permitindo o rastreamento das vítimas. O ataque culmina na instalação de um trojan de acesso remoto (RAT) chamado ModeloRAT, que permite que os atacantes controlem os sistemas comprometidos. A campanha KongTuke destaca a evolução das táticas de engenharia social, explorando a frustração do usuário para criar um ciclo de infecção autossustentável.

O cenário de cibersegurança está em constante evolução, com a linha entre atualizações normais e incidentes graves se tornando cada vez mais tênue. Recentemente, uma vulnerabilidade crítica no Fortinet FortiSIEM, identificada como CVE-2025-64155, foi explorada ativamente, permitindo que atacantes não autenticados executassem códigos maliciosos. Essa falha, com um escore CVSS de 9.4, compromete o serviço phMonitor, que opera com privilégios elevados, possibilitando controle total do sistema. Além disso, um novo malware chamado VoidLink, voltado para ambientes Linux, foi desenvolvido para garantir acesso de longo prazo e coleta de dados, utilizando técnicas de evasão sofisticadas para evitar detecção.

Pesquisadores de cibersegurança revelaram uma vulnerabilidade de cross-site scripting (XSS) no painel de controle web utilizado pelos operadores do malware StealC, um ladrão de informações que surgiu em janeiro de 2023. Essa falha permitiu a coleta de dados críticos sobre os usuários do malware, incluindo impressões digitais do sistema e cookies de sessão. O StealC opera sob um modelo de malware como serviço (MaaS), utilizando plataformas como o YouTube para distribuir o software malicioso disfarçado de cracks de programas populares. O painel atualizado, conhecido como StealC V2, foi comprometido após o vazamento do código-fonte, permitindo que pesquisadores identificassem detalhes sobre os computadores dos operadores, como localização e hardware. A vulnerabilidade XSS é uma injeção de código JavaScript malicioso que pode ser explorada para roubar cookies e acessar informações sensíveis. O caso destaca a ironia de um grupo especializado em roubo de cookies não ter implementado medidas básicas de segurança. Além disso, um cliente do StealC, identificado como YouTubeTA, utilizou a plataforma para distribuir o malware, acumulando um grande número de credenciais roubadas. A pesquisa também revelou falhas na segurança operacional do ator, que expôs sua localização ao não usar uma VPN. Isso evidencia os riscos que os operadores de malware enfrentam, mesmo em suas próprias infraestruturas.

Uma falha de cross-site scripting (XSS) no painel de controle web do malware StealC permitiu que pesquisadores observassem sessões ativas e coletassem informações sobre o hardware dos atacantes. O StealC, que surgiu em 2023, ganhou notoriedade por suas capacidades de evasão e roubo de dados. Com a versão 2.0, lançada em abril, o desenvolvedor introduziu suporte para bots do Telegram e um novo construtor que gera versões personalizadas do malware. A falha XSS descoberta pela CyberArk possibilitou a coleta de impressões digitais de navegadores e hardware dos operadores, além de permitir o sequestro de sessões. Um caso notável envolveu um cliente do StealC, conhecido como ‘YouTubeTA’, que comprometeu canais legítimos do YouTube e coletou mais de 5.000 logs de vítimas, resultando no roubo de aproximadamente 390.000 senhas e 30 milhões de cookies. A localização do atacante foi revelada quando ele não utilizou uma VPN, expondo seu IP real vinculado a um provedor de internet ucraniano. A CyberArk optou por não divulgar detalhes da vulnerabilidade para evitar que os operadores do StealC a corrigissem rapidamente, visando causar interrupções nas operações do malware.

O GootLoader, um carregador de malware em JavaScript, tem utilizado um arquivo ZIP malformado para escapar de detecções de segurança. Esse arquivo é criado por meio da concatenação de 500 a 1.000 arquivos ZIP, dificultando a extração por ferramentas comuns como WinRAR e 7-Zip, mas sendo compatível com a ferramenta padrão do Windows. Essa técnica de anti-análise impede que muitos fluxos de trabalho automatizados consigam analisar o conteúdo do arquivo. O GootLoader é frequentemente distribuído por meio de táticas de SEO e malvertising, visando usuários que buscam templates legais e os redirecionando para sites WordPress comprometidos. Recentemente, novas técnicas foram observadas, como o uso de fontes WOFF2 personalizadas para ofuscar nomes de arquivos e a exploração do endpoint de comentários do WordPress para entregar os arquivos ZIP. O malware, que está ativo desde 2020, é projetado para entregar cargas secundárias, incluindo ransomware. Para mitigar essa ameaça, recomenda-se que as organizações bloqueiem a execução de ‘wscript.exe’ e ‘cscript.exe’ para conteúdos baixados, além de configurar políticas para abrir arquivos JavaScript no Notepad por padrão.

Uma nova campanha de cibercriminosos está explorando a operação militar dos Estados Unidos para capturar Nicolás Maduro, presidente da Venezuela, como uma isca para distribuir malware. Especialistas em segurança cibernética identificaram que hackers, associados ao grupo Mustang Panda, estão utilizando táticas de spear phishing para atacar entidades políticas americanas. O malware, chamado LOTUSLITE, é um backdoor que se infiltra em dispositivos governamentais através de um arquivo ZIP malicioso intitulado ‘EUA decidem agora o que vem a seguir para a Venezuela.zip’.

Especialistas em segurança revelaram uma nova campanha de malware que visa entidades governamentais e políticas dos Estados Unidos, utilizando iscas temáticas relacionadas a desenvolvimentos geopolíticos entre os EUA e a Venezuela. O malware, conhecido como LOTUSLITE, é um backdoor que se infiltra em sistemas através de um arquivo ZIP malicioso intitulado ‘US now deciding what’s next for Venezuela.zip’, que contém uma DLL maliciosa lançada por técnicas de DLL side-loading. A atividade foi atribuída a um grupo patrocinado pelo Estado chinês, conhecido como Mustang Panda, que é reconhecido por utilizar extensivamente essas técnicas para implantar suas ferramentas. O LOTUSLITE, um implante em C++, se comunica com um servidor de comando e controle (C2) e permite atividades como execução remota de comandos e exfiltração de dados. Embora a campanha não tenha sido confirmada como bem-sucedida, ela destaca a eficácia de técnicas de phishing direcionado em um contexto geopolítico. A análise sugere que, apesar da falta de recursos avançados de evasão, a confiabilidade operacional do malware é uma preocupação significativa.

O malware Gootloader, que tem sido utilizado para acesso inicial em ataques cibernéticos, agora emprega um arquivo ZIP malformado que concatena até 1.000 arquivos para evitar a detecção. Essa técnica causa falhas em diversas ferramentas de análise, enquanto o arquivo malicioso, que é um arquivo JScript arquivado, pode ser descompactado com a ferramenta padrão do Windows. Pesquisadores notaram que ferramentas como 7-Zip e WinRAR falham ao tentar processar esses arquivos. Os operadores do Gootloader implementaram mecanismos de ofuscação mais complexos, como a concatenação de arquivos ZIP, a utilização de um End of Central Directory truncado e a randomização de campos de número de disco. Após a execução, o malware ativa um JScript que estabelece persistência no sistema, criando atalhos que são executados a cada inicialização. Para mitigar essa ameaça, recomenda-se que os defensores alterem a aplicação padrão para abrir arquivos JScript e bloqueiem a execução de wscript.exe e cscript.exe. A pesquisa também fornece uma regra YARA para ajudar na identificação desses arquivos ZIP malformados.

O LinkedIn se tornou alvo de uma nova campanha de phishing que utiliza comentários na plataforma para espalhar malware. De acordo com uma reportagem do Bleeping Computer, usuários relataram comentários suspeitos que aparentam ser legítimos, vindo do próprio LinkedIn. Os hackers criam mensagens falsas que alertam sobre uma suposta violação das políticas da plataforma, levando ao bloqueio temporário da conta do usuário. Após essa notificação, um link é compartilhado para reativar a conta, direcionando a vítima a uma página semelhante à de login do LinkedIn. Nesse momento, os criminosos conseguem coletar informações sensíveis, pois os usuários, acreditando na legitimidade do aviso, inserem suas credenciais na página maliciosa.

O cenário de cibersegurança continua a evoluir rapidamente, com novas vulnerabilidades e ataques emergindo semanalmente. Um dos destaques é uma falha crítica no Redis (CVE-2025-62507), que permite execução remota de código devido a um estouro de buffer. Essa vulnerabilidade, que afeta 2.924 servidores, foi corrigida na versão 8.3.2, mas a falta de autenticação no Redis torna a exploração ainda mais preocupante.

Além disso, o malware BaoLoader, que utiliza certificados de assinatura válidos para se disfarçar, tem se tornado uma ameaça significativa, permitindo que os atacantes operem sem serem detectados. Campanhas de phishing também estão em alta, com e-mails disfarçados de convites e alertas que instalam ferramentas de gerenciamento remoto (RMM).

Pesquisadores da Check Point Research (CPR) descobriram o VoidLink, um novo framework de malware projetado especificamente para ambientes de nuvem que operam com Linux. Este malware, que se infiltra silenciosamente nas infraestruturas digitais, representa uma evolução nos ataques cibernéticos, focando em compromissos de longo prazo e ocultos. O VoidLink é escrito na linguagem Zig e é capaz de identificar plataformas como Kubernetes e Docker, ajustando seu comportamento conforme o ambiente. Além disso, ele coleta credenciais de sistemas de controle de versão, como o Git, o que sugere que desenvolvedores de software podem ser alvos de espionagem ou ataques futuros. O malware possui características semelhantes a rootkits, permitindo a expansão de suas funções através de um sistema de plugins em memória. Embora ainda não haja evidências de infecções ativas, o framework pode ser oferecido como um serviço no futuro. Para mitigar essas ameaças, é essencial que as organizações adotem uma abordagem de segurança que inclua visibilidade contínua e inteligência de ameaças em tempo real, especialmente em ambientes de nuvem e Linux.

Uma nova campanha de ciberataque, chamada SHADOW#REACTOR, está afetando usuários do Windows ao disseminar um malware de acesso remoto. Detectado por pesquisadores da Securonix, o ataque utiliza a ferramenta Remcos RAT para obter acesso remoto aos sistemas, estabelecendo uma persistência silenciosa. O processo inicia-se com um VBS Launcher, que se disfarça no Windows e executa um script para recuperar payloads fragmentados de um servidor remoto. Esses fragmentos são então reconstruídos em loaders, que são decodificados na memória do dispositivo. A execução final do malware é realizada através do MSBuild.exe, um processo legítimo do Windows, que permite ao Remcos RAT comprometer o sistema operacional. Os principais alvos são pequenas e médias empresas, com os hackers buscando vender o acesso a esses sistemas a outros agentes maliciosos. A disseminação do malware ocorre principalmente por meio de links maliciosos, que atraem as vítimas sem que elas percebam. A utilização de processos legítimos para a infecção torna o Remcos RAT resiliente e difícil de ser detectado por soluções de segurança.

Especialistas em segurança revelaram uma campanha ativa de malware que explora uma vulnerabilidade de side-loading de DLL em um binário legítimo associado à biblioteca open-source c-ares. Os atacantes utilizam uma versão maliciosa da libcares-2.dll em conjunto com qualquer versão assinada do ahost.exe, frequentemente renomeada, para executar seu código e contornar defesas de segurança tradicionais. A campanha tem distribuído uma variedade de malwares, incluindo trojans como Agent Tesla e CryptBot, visando principalmente funcionários de setores como finanças e cadeia de suprimentos, com iscas em vários idiomas, incluindo português. O ataque se aproveita da técnica de hijacking da ordem de busca, permitindo que o malware execute o conteúdo da DLL maliciosa em vez da legítima. Além disso, a Trellix reportou um aumento em fraudes de phishing no Facebook, utilizando a técnica Browser-in-the-Browser para enganar usuários e roubar credenciais. A análise destaca a crescente sofisticação dos ataques que abusam de softwares legítimos e serviços de nuvem para evitar detecções e garantir acesso remoto persistente.

O Computer Emergency Response Team da Ucrânia (CERT-UA) revelou detalhes sobre uma série de ciberataques direcionados às suas forças de defesa, utilizando um malware chamado PLUGGYAPE entre outubro e dezembro de 2025. A atividade foi atribuída com média confiança a um grupo de hackers russo conhecido como Void Blizzard. Os ataques empregaram aplicativos de mensagens como Signal e WhatsApp, onde os invasores se disfarçaram de organizações de caridade para induzir as vítimas a clicarem em links maliciosos que levavam ao download de arquivos comprimidos protegidos por senha. Esses arquivos continham um executável criado com PyInstaller que, ao ser executado, implantava o PLUGGYAPE. Este malware, escrito em Python, estabelece comunicação com servidores remotos via WebSocket ou MQTT, permitindo que os operadores executem códigos arbitrários nas máquinas comprometidas. Além disso, os endereços de comando e controle (C2) são obtidos de serviços externos, o que aumenta a segurança operacional dos atacantes. O CERT-UA também destacou que a interação inicial com as vítimas está sendo realizada com contas legítimas e na língua ucraniana, demonstrando um conhecimento detalhado sobre os alvos. Essa situação evidencia a crescente utilização de mensageiros como vetores de entrega de ferramentas de ciberameaças, representando um risco significativo para a segurança cibernética na região.

Um relatório da ESET revela que o ecossistema Android na América Latina, especialmente no Brasil e México, continua sendo um alvo preferencial para cibercriminosos. Em 2025, três famílias de malware se destacaram entre as mais detectadas: Trojan.Android/Exploit.CVE-2012-6636, Trojan.Android/Exploit.Lotoor e Trojan.Android/Pandora. A primeira, com mais de uma década, explora vulnerabilidades em aplicativos desatualizados, enquanto a segunda se aproveita de falhas em dispositivos com acesso root. A terceira, uma variante do malware Mirai, transforma dispositivos em botnets para ataques DDoS. A ESET alerta que a fragmentação do sistema Android e o uso prolongado de aparelhos sem atualização contribuem para a persistência dessas ameaças. Recomendações incluem manter o sistema e aplicativos atualizados e evitar downloads de fontes não confiáveis.

O artigo destaca que, apesar da segurança cibernética frequentemente discutir novas ameaças, os ataques mais eficazes em 2025 são semelhantes aos de 2015. Os invasores continuam a explorar pontos de entrada conhecidos, mas com maior eficiência. A cadeia de suprimentos é um foco crítico, como demonstrado pela campanha Shai Hulud NPM, onde um único pacote comprometido pode afetar milhares de projetos. A inteligência artificial facilitou a execução de ataques, permitindo que até indivíduos realizem operações complexas que antes exigiam grandes equipes. O phishing permanece uma ameaça significativa, pois os humanos continuam sendo o elo mais fraco, exemplificado por um ataque recente que comprometeu pacotes com milhões de downloads. Além disso, extensões de navegador maliciosas continuam a contornar os mecanismos de segurança das lojas oficiais. O artigo conclui que, em vez de buscar novas estratégias de defesa, é essencial corrigir os modelos de permissão e fortalecer a verificação da cadeia de suprimentos, priorizando a segurança básica.

Pesquisadores de cibersegurança revelaram detalhes sobre a campanha SHADOW#REACTOR, que utiliza uma cadeia de ataque em múltiplas etapas para implantar uma ferramenta de administração remota chamada Remcos RAT. O processo de infecção começa com um script em Visual Basic ofuscado, que é executado via wscript.exe e invoca um downloader em PowerShell. Este downloader busca fragmentos de carga útil em um servidor remoto e os reconstrói em carregadores codificados. A execução final é realizada através do MSBuild.exe, um binário legítimo do Windows, que permite a instalação do backdoor Remcos RAT no sistema comprometido.

Pesquisadores de cibersegurança revelaram detalhes sobre o VoidLink, um novo e sofisticado framework de malware projetado para acesso prolongado e furtivo a ambientes de nuvem baseados em Linux. Descoberto em dezembro de 2025, o VoidLink é uma ferramenta modular que inclui carregadores personalizados, implantes, rootkits e plugins, permitindo que seus operadores adaptem suas capacidades ao longo do tempo. O framework é escrito na linguagem Zig e é capaz de detectar e se adaptar a ambientes de nuvem como AWS, Google Cloud e Microsoft Azure, além de coletar credenciais de sistemas de controle de versão como Git.

Recentemente, um conjunto de oito pacotes maliciosos foi identificado no registro npm, disfarçados como integrações para a plataforma de automação de workflows n8n. Esses pacotes, como ’n8n-nodes-hfgjf-irtuinvcm-lasdqewriit’, imitam integrações legítimas, como a do Google Ads, e têm como objetivo roubar credenciais OAuth dos desenvolvedores. A campanha representa uma escalada nas ameaças à cadeia de suprimentos, explorando plataformas de automação que atuam como cofres centralizados de credenciais, armazenando tokens OAuth e chaves de API de diversos serviços em um único local. Os pacotes maliciosos foram baixados milhares de vezes antes de serem removidos. A análise revelou que, embora alguns pacotes não apresentem problemas de segurança, outros têm histórico de malware. A n8n alertou sobre os riscos de usar nós comunitários do npm, que podem executar ações maliciosas na máquina onde o serviço está rodando. Os desenvolvedores são aconselhados a auditar pacotes antes da instalação e a usar integrações oficiais para mitigar riscos. A situação destaca a necessidade de vigilância constante e práticas de segurança rigorosas na integração de workflows não confiáveis.

Uma nova onda de ataques conhecidos como GoBruteforcer está direcionando suas ações contra bancos de dados de projetos de criptomoedas e blockchain, com o objetivo de cooptá-los em uma botnet capaz de realizar ataques de força bruta em senhas de serviços como FTP, MySQL e phpMyAdmin em servidores Linux. Segundo a Check Point Research, essa campanha é impulsionada pela reutilização em massa de exemplos de implantação de servidores gerados por inteligência artificial, que propagam nomes de usuários comuns e configurações padrão fracas. O GoBruteforcer, documentado pela primeira vez em março de 2023, tem se mostrado eficaz em plataformas Unix-like, utilizando um bot IRC e um shell web para acesso remoto. A análise mais recente revelou uma versão mais sofisticada do malware, que inclui um bot IRC ofuscado e listas dinâmicas de credenciais. Os atacantes utilizam uma combinação de nomes de usuários e senhas comuns, muitos dos quais são encontrados em tutoriais e documentação de fornecedores, o que facilita a exploração. Além disso, a campanha também visa endereços de blockchain, indicando um esforço coordenado para atacar projetos nesse setor. A Check Point destaca que a combinação de infraestrutura exposta, credenciais fracas e ferramentas automatizadas representa um problema persistente na segurança cibernética.

Recentemente, a cibersegurança enfrentou desafios significativos, destacando como pequenas falhas podem resultar em grandes consequências. Um exemplo alarmante é a vulnerabilidade crítica na plataforma de automação n8n, identificada como CVE-2026-21858, que permite execução remota de código sem autenticação, potencialmente comprometendo sistemas inteiros. Essa falha, que afeta versões anteriores à 1.121.0, é particularmente preocupante para organizações que utilizam n8n para automatizar fluxos de trabalho sensíveis.

Além disso, o botnet Kimwolf, uma variante do malware Aisuru, infectou mais de dois milhões de dispositivos Android, explorando vulnerabilidades em redes de proxy residenciais. O malware utiliza o Android Debug Bridge (ADB) exposto para executar comandos remotamente, aumentando o risco de comprometimento de dispositivos em redes internas.

Pesquisadores em cibersegurança revelaram a existência de dois provedores de serviços que sustentam redes criminosas online, especialmente no modelo conhecido como pig butchering-as-a-service (PBaaS). Desde 2016, grupos criminosos de língua chinesa têm estabelecido centros de fraude em larga escala no Sudeste Asiático, onde milhares de pessoas são forçadas a realizar golpes sob ameaça de violência. Esses centros operam com ferramentas fornecidas por serviços que facilitam operações de engenharia social e lavagem de dinheiro. Um dos principais atores, conhecido como Penguin Account Store, oferece kits de fraude e dados pessoais roubados, permitindo que qualquer um inicie operações fraudulentas com baixo custo e sem necessidade de expertise técnica. Além disso, a pesquisa destaca o uso crescente de domínios estacionados para redirecionar usuários a sites maliciosos. A situação é agravada por ferramentas como Evilginx, que permite ataques de phishing sofisticados, visando instituições educacionais nos EUA. A combinação desses fatores representa um risco significativo para a segurança cibernética global, incluindo o Brasil.

O artigo de Jaqueline Sousa explora as diferenças entre vírus, worms e trojans, três tipos de malware que ameaçam a segurança digital. Embora o termo ‘vírus’ seja frequentemente utilizado de forma genérica, ele se refere a um código malicioso que precisa de um hospedeiro, como um arquivo legítimo, para se propagar. Os worms, por outro lado, são autônomos e se replicam sem a necessidade de interação humana, explorando vulnerabilidades de rede. Já os trojans se disfarçam como softwares legítimos para enganar os usuários, permitindo que hackers acessem os dispositivos sem serem percebidos. O artigo também discute a origem do uso do termo ‘vírus’ e como ele se tornou uma metonímia para todas as ameaças digitais. Para se proteger, recomenda-se manter sistemas atualizados, evitar clicar em links suspeitos e verificar a veracidade das informações recebidas. A compreensão dessas diferenças é crucial para a segurança cibernética, especialmente em um cenário onde as ameaças estão em constante evolução.

O grupo de ciberespionagem iraniano conhecido como MuddyWater está por trás de uma nova campanha de spear-phishing que visa entidades diplomáticas, marítimas, financeiras e de telecomunicações no Oriente Médio. A campanha utiliza um implante baseado em Rust, denominado RustyWater, que é entregue através de documentos do Microsoft Word maliciosos que solicitam ao usuário habilitar conteúdo para ativar uma macro VBA. Essa macro é responsável por implantar o malware, que possui capacidades de controle remoto, persistência no registro do Windows e coleta de informações do sistema da vítima. MuddyWater, que opera desde 2017 e é vinculado ao Ministério da Inteligência e Segurança do Irã, tem evoluído suas táticas, reduzindo a dependência de softwares de acesso remoto legítimos em favor de um arsenal diversificado de malware. A atividade recente também foi observada em ataques a empresas de tecnologia e recursos humanos em Israel, destacando a relevância da ameaça. A introdução de implantes baseados em Rust representa uma evolução significativa nas capacidades do grupo, tornando suas operações mais estruturadas e discretas.

O grupo hacker chinês UAT-7290 tem se destacado por suas atividades de invasão a instituições no sul da Ásia e sudeste da Europa, utilizando malwares como RushDrop, DriveSwitch e SilentRaid. Desde 2022, o grupo tem se concentrado em realizar um reconhecimento técnico detalhado de seus alvos antes de executar os ataques, que incluem a instalação de centros de Operação de Caixa de Retransmissão (ORB) para garantir anonimato e facilitar a espionagem. Os malwares utilizados são predominantemente baseados em Linux e permitem uma série de atividades maliciosas, como execução de shellcode, gerenciamento de arquivos e keylogging. Os hackers estão associados a outros grupos chineses, como Stone Panda e RedFoxTrot, e utilizam vulnerabilidades zero-day e força bruta SSH para comprometer dispositivos. A maioria das vítimas está localizada no sul da Ásia, mas também há registros de ataques na Europa. A situação é preocupante, pois a infraestrutura de telecomunicações pode ser um alvo estratégico para espionagem e ataques cibernéticos em larga escala.

Pesquisadores de segurança da Group-IB identificaram uma nova campanha de malware chamada Ghost Tap, que visa fraudar transações de pagamento por aproximação (NFC) sem a necessidade de acessar fisicamente o cartão bancário das vítimas. O malware se disfarça como aplicativos legítimos de pagamento ou serviços financeiros, permitindo que os atacantes realizem transações fraudulentas remotamente. As vítimas são geralmente convencidas a instalar o aplicativo malicioso por meio de técnicas de smishing e vishing. Uma vez instalado, o malware transmite os dados do cartão para um servidor controlado pelos golpistas, que completam as transações usando terminais de ponto de venda (POS) obtidos ilegalmente. Entre novembro de 2024 e agosto de 2025, aproximadamente R$ 1,9 milhão foram roubados através de um terminal POS promovido no Telegram. Grupos como TX-NFC e X-NFC estão envolvidos na venda do malware, que já resultou em prisões em vários países. Para combater essa ameaça, é essencial unir a educação do usuário com um monitoramento mais rigoroso das fraudes.

Pesquisadores da Zscaler identificaram três pacotes npm maliciosos que distribuem um malware de acesso remoto chamado NodeCordRAT, disfarçado como bibliotecas relacionadas à criptomoeda Bitcoin. Os pacotes, bitcoin-main-lib, bitcoin-lib-js e bip40, foram removidos em novembro de 2025 após serem enviados por um usuário identificado como wenmoonx. Durante a instalação, os pacotes executam um script que instala o bip40, que contém o payload malicioso. O NodeCordRAT é um trojan que pode roubar dados sensíveis, como credenciais do Chrome e tokens de API, além de utilizar servidores do Discord para comunicação de comando e controle. O malware é capaz de executar comandos na máquina da vítima, tirar capturas de tela e enviar arquivos para o Discord. Embora os pacotes maliciosos tenham sido removidos, é essencial que os desenvolvedores permaneçam vigilantes ao baixar pacotes, verificando sua popularidade e comentários antes da instalação.

Uma nova campanha de malware, chamada ‘Boto Cor-de-Rosa’, foi identificada por especialistas da Acronis, utilizando o WhatsApp como meio para disseminar um software malicioso com foco em roubo de dados financeiros. O golpe se inicia quando a vítima recebe uma mensagem com um arquivo ZIP infectado, disfarçado de solicitação amigável. A mensagem é elaborada com uma linguagem casual e adaptada ao horário local, aumentando a probabilidade de que a vítima clique no arquivo. Uma vez extraído, o malware instala um payload bancário e um módulo de propagação que coleta automaticamente os contatos da vítima, enviando o mesmo arquivo malicioso para eles. O malware também monitora seu desempenho em tempo real, registrando estatísticas sobre a disseminação. Embora a ameaça tenha sido bloqueada, especialistas alertam para a necessidade de cautela ao abrir arquivos não solicitados, mesmo que enviados por contatos conhecidos, pois podem ser a porta de entrada para o roubo de informações sigilosas.

Pesquisadores de cibersegurança descobriram três pacotes npm maliciosos que visam distribuir um malware inédito chamado NodeCordRAT. Os pacotes, que foram removidos em novembro de 2025, são ‘bitcoin-main-lib’, ‘bitcoin-lib-js’ e ‘bip40’, todos enviados por um usuário identificado como ‘wenmoonx’. Os dois primeiros pacotes executam um script de pós-instalação que instala o pacote ‘bip40’, que contém o payload malicioso. O NodeCordRAT é um trojan de acesso remoto (RAT) que possui a capacidade de roubar credenciais do Google Chrome, tokens de API e frases-semente de carteiras de criptomoedas como a MetaMask. O malware utiliza servidores do Discord para comunicação de comando e controle, permitindo que o invasor execute comandos arbitrários, capture screenshots e exfiltre arquivos. A ameaça é considerada significativa, pois o ator por trás da campanha nomeou os pacotes de forma semelhante a repositórios legítimos do projeto bitcoinjs, o que pode enganar desenvolvedores. A Zscaler, empresa de cibersegurança que identificou a ameaça, alerta para a necessidade de vigilância em relação a pacotes npm e suas dependências.

O grupo de ameaças UAT-7290, vinculado à China, tem sido associado a intrusões focadas em espionagem contra entidades na Ásia do Sul e no Sudeste Europeu desde pelo menos 2022. De acordo com um relatório da Cisco Talos, a atividade deste ator é caracterizada por uma extensa fase de reconhecimento técnico das organizações-alvo antes de iniciar os ataques, que frequentemente resultam na implantação de malwares como RushDrop, DriveSwitch e SilentRaid.

Uma nova campanha de phishing, identificada em dezembro de 2025, está atacando o setor de hotelaria na Europa, utilizando uma falsa tela azul da morte do Windows para disseminar malware. Especialistas da Securonix alertam que os criminosos se disfarçam como hóspedes do Booking, enviando e-mails que simulam cancelamentos de reservas. Esses e-mails geram pânico nas vítimas ao prometer reembolsos altos, levando-as a clicar em links que direcionam a páginas fraudulentas. Uma vez na página falsa, um erro de carregamento é apresentado, incentivando o usuário a clicar em um botão de atualização. Nesse momento, a tela azul do Windows aparece, fazendo com que a vítima acredite que seu sistema está com problemas. O ataque ClickFix se concretiza quando a vítima é instruída a abrir a janela de ‘Executar’ e colar um comando malicioso, que instala um trojan de acesso remoto. Esse malware permite que os hackers controlem o dispositivo da vítima, roubando dados e comprometendo sistemas sem que a pessoa perceba. A falta de conhecimento sobre a tela azul da morte torna os usuários mais vulneráveis a esse tipo de golpe.

Um recente incidente de cibersegurança revelou que a Polícia Militar do Brasil teve dados sensíveis comprometidos devido à falta de autenticação de dois fatores (2FA) em sistemas utilizados por diversas empresas. O hacker conhecido como Zestix, ou Sentap, explorou credenciais de nuvem comprometidas, obtidas através de malwares de infostealing, para acessar portais de compartilhamento de arquivos. Entre as 50 empresas afetadas, estavam organizações de setores críticos, como saúde e aviação, com dados sendo vendidos por milhões de reais em bitcoin. O caso da Maida Health, que teve 2,3 TB de dados vazados, destaca a gravidade do problema, evidenciando a necessidade urgente de implementar medidas de segurança robustas, como o 2FA, para proteger informações sensíveis. O relatório da Hudson Rock, que analisou o incidente, enfatiza que a maioria das empresas invadidas não havia adotado a autenticação multifatorial, permitindo que os hackers utilizassem senhas vazadas sem a necessidade de ataques mais complexos. Este incidente serve como um alerta para a importância de fortalecer a segurança cibernética em todas as organizações.

Uma nova ameaça de cibersegurança, conhecida como VVS Stealer, foi identificada como um malware que utiliza técnicas avançadas de ofuscamento para roubar dados sensíveis de usuários do Discord. Desenvolvido em Python, o VVS Stealer é distribuído como um pacote PyInstaller, o que permite sua execução sem dependências adicionais. O malware é capaz de se esconder no sistema da vítima, copiando seu código para a pasta de inicialização do Windows e utilizando mensagens de erro falsas para evitar detecção. Além de focar no Discord, ele também coleta informações de navegadores baseados em Chromium e Firefox, como senhas e cookies, comprimindo esses dados em arquivos ZIP. O uso de Pyarmor, uma ferramenta legítima, para proteger o código do malware dificulta a análise por antivírus. A Unit 42 da Palo Alto Networks, que estuda a ameaça, alerta que o malware faz requisições a APIs do Discord para coletar dados do usuário sem necessidade de autenticação. O VVS Stealer está em desenvolvimento ativo desde abril de 2025 e é comercializado em plataformas como o Telegram. Os especialistas recomendam que as plataformas monitorem o roubo de credenciais para evitar incidentes semelhantes.

A gangue de cibercrime conhecida como Black Cat está por trás de uma campanha de envenenamento de SEO que utiliza sites fraudulentos para enganar usuários a baixarem um backdoor capaz de roubar dados sensíveis. Segundo um relatório do CNCERT/CC e da ThreatBook, a estratégia envolve posicionar sites falsos no topo dos resultados de busca em motores como o Bing, visando usuários que procuram por softwares populares como Google Chrome e Notepad++. Ao acessar essas páginas de phishing, os usuários são levados a baixar pacotes de instalação que contêm programas maliciosos. Uma vez instalado, o malware cria uma porta dos fundos no sistema, permitindo que os atacantes acessem informações privadas. A gangue está ativa desde 2022 e, em 2023, teria roubado cerca de $160.000 em criptomoedas. Recentemente, cerca de 277.800 dispositivos foram comprometidos na China, com um pico de 62.167 máquinas comprometidas em um único dia. Para se proteger, os usuários devem evitar clicar em links de fontes desconhecidas e utilizar apenas fontes confiáveis para downloads.

O grupo hacker DarkSpectre, conhecido por suas campanhas maliciosas, lançou uma nova iniciativa chamada Zoom Stealer, que já afetou mais de 2,2 milhões de usuários dos navegadores Google Chrome, Microsoft Edge e Mozilla Firefox. De acordo com a Koi Security, os ataques, que têm origem na China, também incluem as campanhas ShadyPanda e GhostPoster, totalizando mais de 8,8 milhões de vítimas ao longo de sete anos.

As extensões comprometidas, como New Tab - Customized Dashboard e várias ferramentas de download de vídeo, foram projetadas para parecer inofensivas, mas na verdade, escondem códigos maliciosos que podem roubar dados sensíveis, como credenciais de acesso e informações de reuniões online. O ataque Zoom Stealer, em particular, foca no roubo de dados de plataformas de videoconferência, utilizando conexões WebSocket para coletar informações em tempo real.

Pesquisadores de segurança da Koi alertaram sobre um risco significativo em forks populares do Microsoft Visual Studio Code (VS Code), como Cursor e Windsurf. Esses ambientes de desenvolvimento integrados (IDEs) recomendam extensões que não estão registradas no Open VSX, o que pode permitir que atacantes publiquem pacotes maliciosos sob esses nomes. A recomendação de extensões pode ocorrer de duas formas: notificações quando arquivos específicos são abertos ou sugestões baseadas em programas já instalados. O problema é que as extensões recomendadas não existem no Open VSX, e qualquer um pode registrar esses nomes e carregar o que quiser. Um exemplo é a extensão PostgreSQL, que atraiu mais de 500 instalações, levando a um risco de roubo de dados sensíveis. Após a divulgação responsável, algumas plataformas já implementaram correções, e o Eclipse Foundation removeu contribuições não oficiais do Open VSX. Este incidente destaca a necessidade de cautela ao baixar pacotes e a importância de verificar a origem das extensões recomendadas.

Pesquisadores de cibersegurança revelaram detalhes sobre a campanha PHALT#BLYX, que utiliza iscas no estilo ClickFix para enganar vítimas com falsas mensagens de erro de tela azul da morte (BSoD). O alvo principal são organizações do setor hoteleiro na Europa, com o objetivo de instalar um trojan de acesso remoto conhecido como DCRat. A campanha foi detectada no final de dezembro de 2025 e começa com um e-mail de phishing que se disfarça como uma notificação de cancelamento de reserva do Booking.com. Ao clicar em um link para um site falso, as vítimas são levadas a uma página que simula um BSoD, onde são instruídas a executar comandos maliciosos em PowerShell. Isso resulta na execução de um arquivo MSBuild que baixa e executa o DCRat, que pode roubar informações sensíveis e executar comandos arbitrários. A campanha destaca o uso de técnicas de living-off-the-land, abusando de binários de sistema confiáveis para evitar detecções de segurança. A presença de detalhes em euros e o uso da língua russa no código indicam que o ataque é direcionado a organizações europeias, possivelmente ligadas a atores de ameaças russos.

A botnet Kimwolf, que já infectou mais de 2 milhões de dispositivos Android, tem se destacado por sua capacidade de explorar redes de proxy residenciais para disseminar malware. De acordo com a Synthient, a botnet monetiza suas operações através da instalação de aplicativos, venda de largura de banda de proxy residencial e funcionalidade de DDoS. Desde sua primeira documentação pública em dezembro de 2025, Kimwolf tem sido associada a ataques DDoS recordes, principalmente em países como Vietnã, Brasil, Índia e Arábia Saudita. A maioria das infecções ocorre em dispositivos Android que têm o Android Debug Bridge (ADB) exposto, com 67% dos dispositivos conectados à botnet sendo não autenticados e com ADB habilitado por padrão. Além disso, a botnet utiliza endereços IP de proxies alugados, como os oferecidos pela empresa chinesa IPIDEA, para infiltrar-se em redes locais e instalar o malware. A Synthient alerta que a vulnerabilidade expõe milhões de dispositivos a ataques, e recomenda que provedores de proxy bloqueiem solicitações a endereços IP privados para mitigar os riscos.

O grupo de hackers alinhado à Rússia, conhecido como UAC-0184 ou Hive0156, tem intensificado suas atividades de espionagem cibernética contra entidades militares e governamentais da Ucrânia, utilizando a plataforma de mensagens Viber para disseminar arquivos ZIP maliciosos. Segundo o 360 Threat Intelligence Center, em 2025, a organização continuou a realizar campanhas de coleta de inteligência em alta intensidade. Os ataques frequentemente empregam iscas temáticas de guerra em e-mails de phishing para entregar o malware Hijack Loader, que posteriormente facilita infecções por Remcos RAT.

O início de 2026 trouxe à tona uma série de ameaças cibernéticas que exploram a confiança dos usuários em sistemas considerados estáveis. Um dos principais focos é a botnet RondoDox, que utiliza a vulnerabilidade React2Shell (CVE-2025-55182) para comprometer dispositivos da Internet das Coisas (IoT) e aplicações web. Com um CVSS de 10.0, essa falha ainda afeta cerca de 84 mil dispositivos, principalmente nos EUA.

Além disso, o Trust Wallet sofreu um ataque na sua extensão do Chrome, resultando na perda de aproximadamente 8,5 milhões de dólares. O ataque foi atribuído a uma brecha na cadeia de suprimentos, onde segredos do GitHub foram expostos. Outro grupo, DarkSpectre, foi identificado como responsável por uma campanha de malware em extensões de navegador, afetando mais de 8,8 milhões de usuários ao longo de sete anos.

Pesquisadores de cibersegurança revelaram detalhes sobre um novo malware chamado VVS Stealer, que utiliza Python para roubar credenciais e tokens do Discord. O VVS Stealer, que está à venda no Telegram desde abril de 2025, é descrito como um ‘stealer’ acessível, com preços que variam de €10 por uma assinatura semanal a €199 por uma licença vitalícia. O código do malware é ofuscado com a ferramenta Pyarmor, dificultando a análise e detecção. Após ser instalado, o VVS Stealer se torna persistente, adicionando-se à pasta de inicialização do Windows e exibindo mensagens de erro falsas para enganar os usuários. Além de roubar dados do Discord, ele também coleta informações de navegadores como Chromium e Firefox, incluindo cookies, histórico e senhas. O malware é capaz de realizar ataques de injeção no Discord, interrompendo a aplicação e baixando um payload JavaScript ofuscado para monitorar o tráfego de rede. Essa nova ameaça destaca a crescente sofisticação dos malwares, que utilizam técnicas avançadas de ofuscação para evitar a detecção por ferramentas de segurança.

O Stuxnet é considerado um marco na cibersegurança, sendo o primeiro malware a causar danos físicos em instalações industriais. Desenvolvido em 2010, o worm foi projetado para atacar o programa nuclear do Irã, especificamente uma rede de enriquecimento de urânio em Natanz. O malware explorou vulnerabilidades zero-day em sistemas de controle industrial da Siemens, permitindo que se espalhasse por redes isoladas, mesmo aquelas desconectadas da internet. A infecção inicial ocorria através de dispositivos USB, e o Stuxnet utilizava certificados digitais roubados para se disfarçar como software legítimo.

O artigo explora as diferenças entre rootkits e bootkits, dois tipos de malware que operam de forma furtiva e são extremamente perigosos. Um rootkit é um software que permite ao hacker obter acesso privilegiado a um sistema, ocultando sua presença e atividades maliciosas, podendo infectar tanto o modo de usuário quanto o núcleo do sistema operacional. Já o bootkit é uma versão mais agressiva, que consegue infectar o sistema antes mesmo de ele ser carregado, atacando o bootloader ou o MBR. Essa capacidade de operar antes do sistema torna o bootkit mais difícil de ser detectado e removido, podendo até sobreviver a uma formatação do disco rígido. O artigo também menciona casos famosos de infecções por esses malwares, como o escândalo da Sony BMG e o worm Stuxnet. Para se proteger, recomenda-se ativar a inicialização segura, usar antivírus com escaneamento de boot e manter o firmware atualizado. A vigilância constante é essencial, pois novas ameaças estão sempre surgindo.

O primeiro boletim de ameaças de 2026 revela um cenário alarmante de cibersegurança, onde novas brechas e táticas de ataque estão emergindo rapidamente. Um caso notável envolve a prisão de um cidadão lituano que infectou 2,8 milhões de sistemas com malware disfarçado de ferramenta de ativação do Windows, resultando em um roubo de ativos virtuais avaliado em cerca de 1,2 milhão de dólares. Além disso, uma campanha coordenada tem como alvo servidores Adobe ColdFusion, explorando mais de 10 vulnerabilidades conhecidas. A descoberta de malware pré-instalado em tablets Android, denominado Keenadu, também destaca a crescente preocupação com backdoors que permitem acesso remoto a dados. Outro ponto crítico é o fechamento do subreddit r/ChatGPTJailbreak, que promovia métodos para contornar filtros de segurança em modelos de linguagem, refletindo a luta contínua contra a exploração de IA. Por fim, a campanha GlassWorm voltou a atacar usuários de macOS, visando roubar credenciais e dados de carteiras digitais. O cenário é um lembrete de que as ameaças cibernéticas estão se tornando cada vez mais sofisticadas e diversificadas, exigindo vigilância constante das organizações.

Em 2 de novembro de 1988, a internet, então conhecida como ARPANET, enfrentou um dos primeiros grandes incidentes de segurança cibernética com o surgimento do Morris Worm, criado por Robert Tappan Morris. O worm, que tinha como objetivo medir o tamanho da rede, acabou causando a negação de serviço (DoS) em cerca de 6.000 computadores, o que representava aproximadamente 10% da internet da época. O programa explorava vulnerabilidades em sistemas de e-mail e protocolos de identificação de usuários, além de adivinhar senhas comuns. A replicação agressiva do worm dificultou sua erradicação, levando universidades a desconectar fisicamente suas redes para conter a propagação. O incidente resultou em prejuízos estimados em até US$ 10 milhões e levou à criação do CERT/CC, um time de resposta a emergências cibernéticas. Morris foi processado e se tornou a primeira pessoa condenada sob a lei de Abuso e Fraude Computacional dos EUA, recebendo uma pena leve. O caso destacou a necessidade de segurança em software e a importância de protocolos de resposta a incidentes, influenciando o desenvolvimento de melhores práticas de segurança na internet.

Um levantamento da ESET, empresa de cibersegurança, revelou as principais ameaças digitais enfrentadas no Brasil em 2025, destacando a prevalência dos trojans bancários e ataques de phishing. Os trojans bancários, representados por 11,47% das detecções, são malwares que visam sistemas financeiros, explorando a crescente digitalização das transações. O phishing, em segundo lugar com 7,49%, continua a ser uma técnica comum, utilizando engenharia social para enganar as vítimas. Outras ameaças notáveis incluem o Downloader Rugmi (6,48%), que prepara o terreno para a instalação de malwares, e o Guildma (5,8%), um trojan que finge ser um aplicativo seguro para roubar informações financeiras. O Kryptik (5,08%) fecha a lista, sendo utilizado para propagar outros malwares. Para se proteger, a ESET recomenda o uso de antivírus atualizados, cautela com comunicações suspeitas e programas de conscientização em empresas. O estudo ressalta a importância da conscientização e da proteção contra essas ameaças em um cenário digital em constante evolução.

Um novo relatório da Koi Security revelou que o ator de ameaças por trás das campanhas de extensões de navegador maliciosas ShadyPanda e GhostPoster também está vinculado a uma terceira campanha chamada DarkSpectre, que impactou 2,2 milhões de usuários dos navegadores Google Chrome, Microsoft Edge e Mozilla Firefox. Ao longo de mais de sete anos, essas campanhas afetaram mais de 8,8 milhões de usuários. A ShadyPanda, que visa roubo de dados e fraudes de afiliados, foi identificada como responsável por 5,6 milhões de vítimas, enquanto a GhostPoster foca em usuários do Firefox, injetando códigos maliciosos em ferramentas aparentemente inofensivas. A campanha DarkSpectre, por sua vez, utiliza 18 extensões para coletar informações de reuniões corporativas, como URLs e senhas. As extensões maliciosas foram projetadas para parecer legítimas, acumulando confiança dos usuários antes de ativar comportamentos prejudiciais. A operação está ligada a um ator de ameaças chinês, com indícios de espionagem corporativa e coleta sistemática de inteligência de reuniões.

Pesquisadores de cibersegurança identificaram uma nova variante do malware Shai Hulud no registro npm, que apresenta modificações em relação à versão anterior detectada em novembro de 2025. O pacote malicioso, intitulado ‘@vietmoney/react-big-calendar’, foi publicado em março de 2021 e atualizado pela primeira vez em dezembro de 2025. Desde sua publicação, o pacote foi baixado 698 vezes, com 197 downloads da versão mais recente. Aikido, a empresa que fez a descoberta, não observou uma disseminação significativa ou infecções até o momento, sugerindo que os atacantes podem estar testando sua carga útil. As alterações no código indicam que a nova variante foi ofuscada a partir do código-fonte original, o que sugere que o autor tinha acesso ao código original do worm. Além disso, um pacote malicioso foi encontrado no Maven Central, disfarçado como uma extensão legítima da biblioteca Jackson JSON, que também incorpora um ataque em múltiplas etapas. Essa situação destaca a vulnerabilidade das cadeias de suprimento de software e a necessidade de vigilância constante por parte dos desenvolvedores e empresas para evitar a exploração de pacotes maliciosos.