Malware

Pesquisadores de cibersegurança revelaram uma nova campanha que utiliza sites de distribuição de software crackeado como vetor para uma versão modular e furtiva do loader conhecido como CountLoader. Essa campanha inicia-se quando usuários desavisados tentam baixar versões piratas de softwares legítimos, como o Microsoft Word, sendo redirecionados para links maliciosos que hospedam arquivos ZIP contendo um interpretador Python renomeado. O malware, uma vez instalado, estabelece persistência no sistema e pode baixar e executar outros malwares, como o ACR Stealer, que coleta dados sensíveis. CountLoader é projetado para contornar ferramentas de segurança, como o Falcon da CrowdStrike, e possui capacidades de propagação via dispositivos USB. Além disso, a Check Point revelou um loader JavaScript chamado GachiLoader, distribuído por meio de contas comprometidas do YouTube, que também implanta malwares adicionais. Essa evolução das técnicas de malware destaca a necessidade de estratégias de defesa em camadas e detecção proativa.

Um novo malware, identificado como Cellik, está causando sérios problemas em dispositivos Android. Este trojan de acesso remoto (RAT) é capaz de clonar aplicativos legítimos da Play Store, permitindo que hackers obtenham controle total dos aparelhos das vítimas. O Cellik é comercializado em fóruns da dark web e oferece uma gama de ferramentas para comprometer sistemas, criando uma falsa sensação de legitimidade. Ao instalar o aplicativo comprometido, a vítima permite que o malware acesse a tela do dispositivo, registre teclas digitadas, intercepte notificações e navegue de forma oculta na internet. O Cellik também consegue acessar o sistema de arquivos do aparelho e utilizar cookies armazenados para roubar credenciais de login. O que torna esse malware particularmente perigoso é sua capacidade de se integrar à Play Store, burlando sistemas de segurança como o Google Play Protect, que não consegue detectar a presença do trojan. Essa situação levanta preocupações significativas sobre a segurança dos usuários e a eficácia das medidas de proteção atualmente disponíveis.

Um novo grupo de ameaças cibernéticas, conhecido como LongNosedGoblin, foi identificado como responsável por uma série de ataques direcionados a entidades governamentais no Sudeste Asiático e no Japão. O objetivo principal dessas ações é a espionagem cibernética, conforme relatado pela empresa de cibersegurança ESET. As atividades do grupo foram detectadas desde setembro de 2023 e utilizam o mecanismo de Group Policy para implantar malware em redes comprometidas, além de serviços de nuvem como Microsoft OneDrive e Google Drive como servidores de comando e controle.

O SantaStealer é um novo malware do tipo ladrão de informações (infostealer) que está sendo comercializado em fóruns de hackers e no Telegram. Ele é uma versão rebranded do BluelineStealer e foi identificado por pesquisadores da Rapid7. O malware opera diretamente na memória do sistema, dificultando sua detecção. Com uma assinatura básica custando US$ 175 por mês, o SantaStealer oferece 14 módulos de coleta de dados, permitindo o roubo de informações de navegadores, senhas, cookies, histórico, contas de aplicativos como Telegram e Discord, além de documentos e dados de criptomoedas. Os dados são enviados para um servidor de comando e controle em pacotes de 10 MB. Embora tenha capacidades avançadas, o malware ainda não está totalmente operacional e não é amplamente distribuído. Os pesquisadores alertam sobre métodos de ataque como phishing e comandos colados no terminal do Windows, recomendando cautela ao abrir links e anexos suspeitos.

O boletim semanal de ameaças cibernéticas destaca a evolução das táticas de ataque, com um foco em um esquema de fraude internacional desmantelado na Ucrânia, onde mais de 400 vítimas perderam mais de €10 milhões. As autoridades europeias, em colaboração com a Eurojust, prenderam 12 suspeitos envolvidos em call centers que enganavam vítimas, utilizando técnicas como a simulação de policiais para obter informações bancárias. Além disso, o governo do Reino Unido está pressionando a Apple e o Google a implementar sistemas de bloqueio de nudez em dispositivos móveis, visando proteger crianças. Outra ameaça emergente é o malware SantaStealer, que coleta dados sensíveis e opera de forma modular, dificultando a detecção. O artigo também menciona a resiliência de provedores de Bulletproof Hosting, que permitem que criminosos cibernéticos operem com agilidade. Por fim, novas técnicas de engenharia social, como o ataque GhostPairing, estão sendo utilizadas para sequestrar contas do WhatsApp, destacando a necessidade de vigilância constante. O cenário cibernético continua a se transformar rapidamente, exigindo atenção das organizações para mitigar riscos.

As equipes de segurança cibernética enfrentam um cenário desafiador, onde a quantidade de alertas e a velocidade das ameaças dificultam a identificação dos riscos mais relevantes. O artigo destaca a importância de uma postura proativa em vez de reativa, enfatizando que a defesa reativa resulta em investigações longas, desperdício de recursos e maior probabilidade de violações. A inteligência de ameaças (TI) é apresentada como uma solução para preencher as lacunas deixadas por operações reativas, fornecendo dados atualizados sobre as atividades dos atacantes. A ferramenta ANY.RUN’s Threat Intelligence Lookup permite que analistas enriqueçam alertas com informações contextuais, identifiquem campanhas de malware e ajustem suas defesas de forma mais eficaz. O artigo também ressalta a necessidade de entender o contexto específico de cada setor e região, já que as ameaças não estão distribuídas uniformemente. A visibilidade aprimorada e a capacidade de antecipar ataques são cruciais para que as equipes de segurança se mantenham à frente dos criminosos cibernéticos.

A botnet Kimwolf, identificada pela QiAnXin XLab, já infectou cerca de 1,8 milhão de dispositivos, incluindo TVs Android e set-top boxes. Entre 19 e 22 de novembro de 2025, a botnet emitiu 1,7 bilhão de comandos de ataque DDoS, destacando-se no ranking da Cloudflare. Os principais alvos são dispositivos de TV em redes residenciais, com infecções concentradas em países como Brasil, Índia e EUA. A botnet utiliza técnicas avançadas, como o uso de ENS (Ethereum Name Service) para dificultar sua desativação. A pesquisa sugere que Kimwolf pode estar associada à botnet AISURU, conhecida por ataques DDoS recordes. A malware é projetada para operar de forma discreta, garantindo que apenas uma instância do processo seja executada e utilizando criptografia TLS para comunicação. Com 13 métodos de ataque DDoS suportados, a botnet visa maximizar o uso da largura de banda dos dispositivos comprometidos, indicando um foco em monetização através de serviços de proxy. Este incidente destaca a crescente ameaça que botnets de grande escala representam para dispositivos IoT, especialmente em um cenário onde a segurança cibernética é cada vez mais crítica.

Uma nova campanha de cibersegurança está ameaçando usuários do Microsoft Teams e do Google Meet no Brasil, com downloads falsos que disseminam malware. Especialistas da CyberProof identificaram que cibercriminosos estão utilizando técnicas de envenenamento de SEO para manipular resultados de busca, fazendo com que sites fraudulentos apareçam no topo. Ao acessar esses sites, os usuários acreditam estar baixando as plataformas legítimas, mas, na verdade, estão instalando o backdoor Oyster, um malware que cria uma porta de entrada oculta no sistema. Esse malware instala um arquivo malicioso chamado ‘AlphaSecurity.dll’, que é executado a cada 18 minutos, mesmo após reinicializações do sistema. A campanha é particularmente preocupante para o setor financeiro, onde o uso do Teams e Meet é elevado, aumentando o risco de sequestro de dados por grupos de ransomware. Especialistas recomendam que os usuários evitem clicar em anúncios de download e busquem sempre canais oficiais para evitar infecções.

A Seqrite Labs, empresa de cibersegurança, identificou uma nova campanha de phishing chamada Operação MoneyMount-ISO, que visa instituições financeiras e contábeis, principalmente na Rússia. Os atacantes enviam e-mails que aparentam ser confirmações de pagamento, mas contêm arquivos ISO disfarçados. Esses arquivos, ao serem abertos, instalam um malware conhecido como Phantom Stealer, que é capaz de roubar informações sensíveis, como dados de carteiras de criptomoeda, senhas, cookies e detalhes de cartões de crédito. O malware também monitora a área de transferência do usuário e as teclas pressionadas, além de evitar a execução em ambientes virtuais. Os dados coletados são enviados aos criminosos via Telegram ou Discord, e um servidor FTP é utilizado para transferir arquivos. Recentemente, outra campanha semelhante afetou setores de recursos humanos e pagamentos, utilizando um malware diferente chamado DUPERUNNER. A Intrinsec, uma empresa de cibersegurança, sugere que muitos desses ataques estão relacionados a hackativistas ucranianos visando o setor financeiro russo, em meio ao conflito entre os dois países.

Desde julho de 2025, o grupo de cibercriminosos conhecido como Jewelbug tem direcionado suas atividades principalmente a alvos governamentais na Europa, enquanto ainda mantém ataques em regiões da Ásia e América do Sul. A Check Point Research, que monitora essa ameaça sob o nome Ink Dragon, descreve a atuação do grupo como altamente eficaz e discreta, utilizando engenharia de software avançada e ferramentas nativas de plataformas para se camuflar no tráfego normal das empresas. Entre suas táticas, destacam-se o uso de backdoors como FINALDRAFT e NANOREMOTE, que permitem controle remoto e exfiltração de dados. O grupo também explorou vulnerabilidades em serviços da ASP.NET e SharePoint para comprometer servidores e estabelecer uma infraestrutura de comando e controle (C2). As intrusões têm resultado em acesso a informações sensíveis, incluindo credenciais administrativas e dados de registro. A Check Point alerta que a arquitetura de relé do Ink Dragon permite que um único comprometimento se torne um nó em uma rede de ataques mais ampla, exigindo que as defesas considerem a possibilidade de uma rede de cibercriminosos interconectada.

A Kaspersky revelou uma nova onda de ataques de phishing, atribuídos ao ator de ameaças ligado à Operação ForumTroll, que tem como alvo acadêmicos na Rússia, especialmente nas áreas de ciência política, relações internacionais e economia global. Detectados em outubro de 2025, esses ataques utilizam uma vulnerabilidade zero-day no Google Chrome (CVE-2025-2783) para implantar o backdoor LeetAgent e um spyware chamado Dante. Os e-mails fraudulentos se disfarçam como comunicações da eLibrary, uma biblioteca científica russa, e são enviados de um domínio registrado seis meses antes do início da campanha, indicando um planejamento cuidadoso. Os alvos são instruídos a clicar em links maliciosos para baixar um relatório de plágio, resultando no download de um arquivo ZIP que contém um atalho do Windows. Ao ser executado, esse atalho ativa um script PowerShell que baixa um payload malicioso, permitindo acesso remoto ao dispositivo da vítima. A Kaspersky alerta que a Operação ForumTroll tem um histórico de ataques a organizações e indivíduos na Rússia e Belarus desde 2022, sugerindo que a ameaça continuará a se expandir.

Uma nova campanha chamada GhostPoster explorou arquivos de logotipo associados a 17 extensões do navegador Mozilla Firefox para embutir código JavaScript malicioso. Esse código é projetado para sequestrar links de afiliados, injetar códigos de rastreamento e cometer fraudes de cliques e anúncios. As extensões, que foram baixadas mais de 50.000 vezes, foram retiradas do ar após a descoberta pela Koi Security. Entre elas, estavam programas que prometiam funcionalidades como VPNs e bloqueadores de anúncios. O ataque se inicia quando o arquivo de logotipo é carregado, permitindo que o código malicioso busque um servidor externo para obter um payload principal. O malware é capaz de realizar diversas atividades fraudulentas, como desviar comissões de afiliados e injetar códigos de rastreamento em páginas visitadas. Além disso, técnicas de evasão foram implementadas para dificultar a detecção, como a ativação do malware apenas após seis dias da instalação. A campanha destaca a vulnerabilidade de extensões de navegador, que podem ser utilizadas para atividades maliciosas, colocando em risco a privacidade e a segurança dos usuários.

Um novo ataque cibernético tem se espalhado por meio de um torrent fraudulento que promete conter o filme “One Battle After Another”, estrelado por Leonardo DiCaprio. Ao clicar em um atalho disfarçado como lançador do filme, os usuários inadvertidamente executam um script PowerShell malicioso que se oculta em arquivos de legenda. Esse script extrai e executa outros scripts maliciosos, resultando na instalação do AgentTesla, um trojan de acesso remoto que rouba credenciais de navegadores, clientes de e-mail e ferramentas de FTP. A campanha, observada por pesquisadores, destaca a vulnerabilidade dos usuários que, atraídos pela curiosidade por novos lançamentos, ignoram os riscos de segurança. O ataque não depende de falhas de software, mas sim da execução do usuário, o que permite contornar defesas básicas de antivírus. A disseminação de torrents por publicadores anônimos continua a ser um método comum para a entrega de malware, reforçando a necessidade de cautela ao baixar conteúdos não verificados.

O grupo de hackers pró-Rússia conhecido como CyberVolk lançou um novo ransomware chamado VolkLocker, que encripta arquivos e exige pagamento em bitcoin para a recuperação. No entanto, uma falha crítica na implementação do malware permite que as vítimas recuperem seus arquivos sem pagar o resgate. A pesquisa da SentinelOne revelou que a chave-mestra do ransomware está hard-coded nos arquivos binários e também é armazenada em texto claro na pasta temporária do sistema, facilitando a recuperação dos dados. O VolkLocker afeta sistemas operacionais Windows e Linux e utiliza o algoritmo de encriptação AES-256. Após a infecção, o ransomware tenta evitar a detecção, desativando o Microsoft Defender e excluindo arquivos de backup. O grupo CyberVolk, que começou suas operações em 2024, também oferece outros serviços maliciosos, como trojans e keyloggers. Este incidente destaca a importância de medidas de segurança robustas e a necessidade de conscientização sobre as vulnerabilidades que podem ser exploradas por ransomware.

Pesquisadores de cibersegurança descobriram um novo pacote NuGet malicioso que utiliza typosquatting para se passar pela popular biblioteca de rastreamento .NET, introduzindo um ladrão de carteiras de criptomoedas. Nomeado ‘Tracer.Fody.NLog’, o pacote foi publicado em 26 de fevereiro de 2020 e permaneceu no repositório por quase seis anos, sendo baixado mais de 2.000 vezes. O pacote se disfarça como ‘Tracer.Fody’, que é mantido por um autor legítimo, mas contém um código que escaneia diretórios de carteiras Stratis no Windows, extrai dados de carteiras e senhas, enviando essas informações para um servidor controlado por criminosos na Rússia. O ataque utiliza táticas sofisticadas para evitar detecções, como a imitação do nome do mantenedor legítimo e a ocultação de funções maliciosas em códigos comuns. O mesmo endereço IP já havia sido utilizado em um ataque anterior, demonstrando um padrão de comportamento de ameaças que pode se repetir em outras bibliotecas populares. A descoberta ressalta a importância da segurança na cadeia de suprimentos de software, especialmente em ambientes de código aberto.

Uma nova campanha de cibersegurança está atacando clientes da Amazon Web Services (AWS) utilizando credenciais comprometidas de Gerenciamento de Identidade e Acesso (IAM) para realizar mineração de criptomoedas. Detectada pela primeira vez em 2 de novembro de 2025 pelo serviço de detecção de ameaças GuardDuty da Amazon, a atividade emprega técnicas de persistência inovadoras para dificultar a resposta a incidentes. Os atacantes, operando de um provedor de hospedagem externo, rapidamente enumeraram recursos e permissões antes de implantar recursos de mineração em ECS e EC2. Em menos de 10 minutos após o acesso inicial, os mineradores estavam operacionais.

A vulnerabilidade conhecida como React2Shell está sendo explorada por grupos de ameaças para implantar malwares como KSwapDoor e ZnDoor, conforme relatórios da Palo Alto Networks e NTT Security. O KSwapDoor é uma ferramenta de acesso remoto projetada para operar de forma furtiva, utilizando criptografia de nível militar e um modo ‘sleeper’ que permite contornar firewalls. Por outro lado, o ZnDoor, que já está ativo desde dezembro de 2023, é um trojan de acesso remoto que executa comandos em sistemas comprometidos. As campanhas de ataque têm como alvo organizações no Japão e utilizam comandos bash para baixar e executar cargas maliciosas. A vulnerabilidade, classificada como CVE-2025-55182, possui uma pontuação CVSS de 10.0, indicando um risco crítico. Diversos grupos de ameaças, incluindo aqueles com vínculos com a China, têm explorado essa falha para executar comandos arbitrários e implantar ferramentas de monitoramento remoto. Além disso, a Shadowserver Foundation identificou mais de 111.000 endereços IP vulneráveis a ataques relacionados ao React2Shell, com a maioria localizada nos Estados Unidos. Este cenário representa um risco significativo para a segurança cibernética, exigindo atenção imediata das organizações.

Uma pesquisa da ReversingLabs revelou uma campanha de ciberataques direcionada a desenvolvedores que utilizam o Marketplace do Visual Studio Code (VS Code). Desde fevereiro de 2025, 19 extensões maliciosas foram identificadas, ocultando um trojan. O vetor de ataque foi descoberto em 2 de dezembro e envolve a manipulação de uma dependência popular chamada ‘path-is-absolute’, que possui mais de 9 bilhões de downloads. As extensões falsas, como uma versão adulterada do Prettier, foram projetadas para parecerem legítimas, mas continham código malicioso que se ativava ao abrir o VS Code. O malware se disfarça como uma imagem PNG, mas na verdade, é um arquivo que gera um erro ao ser aberto, revelando binários maliciosos. O trojan resultante, ainda em análise, utiliza a ferramenta nativa do Windows, cmstp.exe, para executar suas funções. Os usuários são aconselhados a inspecionar suas extensões, especialmente aquelas com poucos downloads ou avaliações, para evitar infecções.

Especialistas da Bitdefender alertaram sobre um arquivo torrent do filme ‘Uma Batalha Após a Outra’, estrelado por Leonardo DiCaprio, que está sendo utilizado como isca por hackers para disseminar um malware conhecido como Agent Tesla. Este software malicioso, que atua como um trojan de acesso remoto, compromete o sistema operacional Windows ao explorar programas legítimos para contornar medidas de segurança.

O ataque ocorre quando o usuário tenta abrir o arquivo torrent, que na verdade contém uma série de comandos maliciosos ocultos nas legendas do filme. Ao clicar no atalho ‘CD.lnk’, scripts do PowerShell são executados, permitindo que o malware se instale e ganhe controle sobre o dispositivo. O Agent Tesla é projetado para roubar informações pessoais e dados bancários, além de transformar o computador da vítima em um ‘agente zumbi’ para futuros ataques. Desde 2014, milhares de downloads comprometidos foram identificados, expondo muitos usuários a esse risco.

O grupo de hacktivistas pró-Rússia, conhecido como CyberVolk, lançou um ransomware chamado VolkLocker, que opera exclusivamente pelo Telegram. Este modelo de ransomware como serviço (RaaS) foi projetado para facilitar a venda de códigos maliciosos, permitindo que até mesmo usuários sem conhecimentos técnicos possam utilizá-lo. No entanto, uma falha crítica foi descoberta: as chaves mestras de criptografia estão incluídas nos arquivos executáveis, permitindo que as vítimas recuperem seus dados sem pagar o resgate. O especialista Jim Walter, da SentinelOne, destacou que essa contradição revela dificuldades na operação do grupo, que, apesar de sua automação sofisticada, cometeu um erro ao deixar as chaves acessíveis. O ransomware utiliza escalonamento de privilégios para obter controle total das máquinas infectadas, mas a falta de geração dinâmica das chaves pode ser uma vantagem para as vítimas. Apesar dessa falha, o CyberVolk continua a ser uma ameaça significativa, com recursos adicionais como keyloggers e trojans de acesso remoto. A situação exige atenção, pois o ransomware pode impactar usuários desavisados e organizações em geral.

Em dezembro de 2025, pesquisadores de segurança revelaram uma campanha de cibercrime que comprometeu extensões populares dos navegadores Chrome e Edge. O grupo de ameaças conhecido como ShadyPanda passou sete anos publicando ou adquirindo extensões inofensivas, acumulando milhões de instalações antes de transformá-las em malware por meio de atualizações silenciosas. Aproximadamente 4,3 milhões de usuários foram afetados, com as extensões se tornando um framework de execução remota de código (RCE) que permitia o roubo de dados, como cookies de sessão e tokens de autenticação. Essa tática representa um ataque à cadeia de suprimentos de extensões de navegador, onde a confiança do usuário foi explorada. Para as equipes de segurança de SaaS, o incidente destaca a necessidade de uma abordagem integrada entre segurança de endpoints e identidade, já que as extensões podem comprometer contas corporativas sem disparar alarmes de segurança tradicionais. Medidas recomendadas incluem a implementação de listas de permissões de extensões, auditorias regulares e monitoramento de comportamentos suspeitos para mitigar riscos futuros.

Pesquisadores de cibersegurança revelaram uma campanha de phishing ativa, denominada Operação MoneyMount-ISO, que está atacando diversos setores na Rússia, especialmente entidades financeiras e contábeis. Os e-mails de phishing se disfarçam como comunicações financeiras legítimas, solicitando a confirmação de transferências bancárias. Os anexos contêm arquivos ZIP que, ao serem abertos, revelam uma imagem ISO maliciosa, que, quando montada, executa o malware Phantom Stealer. Este malware é projetado para roubar dados de carteiras de criptomoedas, senhas de navegadores e tokens de autenticação do Discord, além de monitorar o conteúdo da área de transferência e registrar teclas digitadas. A exfiltração de dados é realizada através de um bot do Telegram ou um webhook do Discord controlado pelo atacante.

Recentemente, os desenvolvedores do Notepad++, um popular editor de código-fonte, emitiram um alerta sobre uma vulnerabilidade crítica em seu atualizador, o WinGUp. Hackers têm explorado essa falha para redirecionar o tráfego do atualizador para servidores maliciosos, resultando no download de malware nos computadores das vítimas. Essa exploração ocorre quando um atacante consegue interromper a comunicação entre o WinGUp e a infraestrutura de atualização, fazendo com que o software baixe arquivos infectados em vez de atualizações legítimas. Embora os ataques tenham sido direcionados e em número limitado, a situação é preocupante. Para mitigar o risco, os desenvolvedores lançaram uma atualização (v8.8.9) que corrige a falha, recomendando que os usuários a instalem manualmente. Além disso, é aconselhável realizar uma verificação completa com antivírus e, para empresas, restringir o acesso à internet durante o processo de atualização. A situação destaca a importância de manter softwares atualizados e de estar atento a potenciais ameaças cibernéticas.

Pesquisadores de cibersegurança alertam para uma nova campanha que utiliza repositórios Python hospedados no GitHub para distribuir um Trojan de Acesso Remoto (RAT) baseado em JavaScript, denominado PyStoreRAT. Esses repositórios, que se apresentam como ferramentas de desenvolvimento ou de inteligência de código aberto (OSINT), contêm apenas algumas linhas de código que baixam e executam um arquivo HTA remotamente. O PyStoreRAT é um implante modular que pode executar diversos tipos de arquivos, incluindo EXE, DLL e scripts em PowerShell. Além disso, ele implanta um ladrão de informações chamado Rhadamanthys como carga adicional. A campanha começou em junho de 2025 e se espalhou por meio de contas do GitHub, muitas vezes inativas, que foram reativadas para publicar os repositórios maliciosos. Os atacantes utilizam técnicas para aumentar artificialmente a popularidade dos repositórios, como inflar métricas de estrelas e forks. O malware é projetado para evitar a detecção de soluções de EDR, utilizando lógica de evasão e executando comandos que podem roubar informações sensíveis, especialmente relacionadas a carteiras de criptomoedas. A origem dos atacantes sugere um grupo de língua russa, e a campanha representa uma evolução nas técnicas de infecção, utilizando implantes baseados em scripts que se adaptam às medidas de segurança existentes.

Pesquisadores da Doctor Web identificaram um novo trojan chamado ChimeraWire, que afeta o ranqueamento de resultados no Google Chrome. Este malware não se limita ao roubo de dados, mas simula a atividade de usuários reais para aumentar a visibilidade de sites específicos, manipulando o SEO através de buscas automatizadas e cliques falsos. O ChimeraWire opera em duas cadeias de instalação: a primeira envolve a instalação de um programa que verifica a legitimidade do sistema e, se aprovado, instala um script malicioso. A segunda cadeia utiliza um instalador que simula processos legítimos do Windows, explorando vulnerabilidades para obter acesso ao sistema. Uma vez instalado, o trojan adiciona extensões que burlam CAPTCHAs e se conecta a um servidor de comando, permitindo a manipulação de tráfego falso. Além disso, o malware possui recursos adicionais, como leitura de conteúdo de páginas e captura de tela, que podem ser utilizados pelos operadores. A detecção do ChimeraWire é complicada, pois até o momento, 66 antivírus não conseguiram identificá-lo.

Uma nova ameaça de cibersegurança, identificada como DroidLock, está afetando dispositivos Android na Espanha, sequestrando celulares e espionando usuários através da câmera frontal. Detectado pela empresa Zimperium’s zLabs, o malware se espalha por meio de sites falsos, enganando as vítimas com telas de atualização falsas que as levam a entrar em contato com os hackers. Embora se assemelhe a um ransomware, o DroidLock não criptografa arquivos, mas utiliza permissões do dispositivo para alterar senhas e reconfigurar o aparelho, permitindo controle total aos criminosos. Através de uma tecnologia chamada VNC (Virtual Network Computing), os hackers conseguem acessar remotamente o dispositivo, coletando informações sensíveis, como logins e códigos de autenticação, que são enviadas para servidores controlados por eles. A situação é alarmante, especialmente para empresas, onde um simples clique em um link malicioso pode comprometer dados corporativos e a segurança de informações confidenciais. Especialistas alertam que a natureza agressiva do DroidLock pode causar danos significativos, tornando essencial que usuários e empresas adotem medidas de proteção adequadas.

Pesquisadores de cibersegurança identificaram quatro novos kits de phishing: BlackForce, GhostFrame, InboxPrime AI e Spiderman, que facilitam o roubo de credenciais em grande escala. O BlackForce, detectado pela primeira vez em agosto de 2025, é projetado para realizar ataques Man-in-the-Browser (MitB) e capturar senhas de uso único (OTPs), burlando a autenticação multifatorial (MFA). Vendido em fóruns do Telegram, o kit já foi utilizado para se passar por marcas renomadas como Disney e Netflix. O GhostFrame, descoberto em setembro de 2025, utiliza um iframe oculto para redirecionar vítimas a páginas de phishing, enquanto o InboxPrime AI automatiza campanhas de e-mail malicioso usando inteligência artificial, permitindo que atacantes simulem comportamentos humanos reais. Por fim, o Spiderman replica páginas de login de bancos europeus, oferecendo uma plataforma completa para gerenciar campanhas de phishing. Esses kits representam uma ameaça crescente, especialmente para empresas que dependem de autenticação digital, exigindo atenção redobrada das equipes de segurança.

Um novo malware, denominado Shai Hulud 2.0, foi identificado por especialistas da Kaspersky e está causando preocupação no cenário de cibersegurança. Distribuído através do Node Package Manager (npm), esse worm apresenta um funcionamento em dois estágios. Na primeira fase, ele compromete pacotes npm, enquanto na segunda, se não conseguir roubar dados, apaga arquivos do usuário. Desde sua descoberta em setembro de 2025, mais de 800 pacotes npm foram infectados, afetando principalmente desenvolvedores no Brasil, mas também em países como China, Índia, Rússia, Turquia e Vietnã.

A empresa de cibersegurança Sophos revelou que grupos de cibercriminosos estão utilizando a plataforma Shanya, que oferece um serviço de empacotamento de malware, conhecido como packer-as-a-service. Essa ferramenta permite que códigos maliciosos sejam ofuscados, dificultando sua detecção por antivírus e outras soluções de segurança. O uso do Shanya tem crescido desde o final de 2024, sendo empregado por grupos como Medusa, Qilin, Crytox e Akira, com foco em ransomwares que desativam soluções de detecção e resposta (EDR).

O grupo de ameaças persistentes avançadas (APT) conhecido como WIRTE tem sido responsável por ataques direcionados a entidades governamentais e diplomáticas no Oriente Médio desde 2020, utilizando uma nova suíte de malware chamada AshTag. A Palo Alto Networks está monitorando essa atividade sob o nome de Ashen Lepus, que recentemente ampliou seu foco para países como Omã e Marrocos, além de já ter atuado na Autoridade Palestina, Jordânia, Iraque, Arábia Saudita e Egito. Durante o conflito Israel-Hamas, o Ashen Lepus manteve suas operações, ao contrário de outros grupos que diminuíram suas atividades. O malware AshTag, um backdoor modular em .NET, permite execução remota de comandos e coleta de informações, disfarçando-se como uma ferramenta legítima. As táticas incluem o uso de e-mails de phishing com documentos relacionados a assuntos geopolíticos, levando a downloads de arquivos maliciosos que instalam o malware. A exfiltração de dados foi observada, com documentos diplomáticos sendo transferidos para servidores controlados pelos atacantes. A continuidade das operações do Ashen Lepus destaca a determinação do grupo em coletar inteligência, mesmo em tempos de conflito.

Pesquisadores de cibersegurança revelaram detalhes sobre um novo backdoor para Windows chamado NANOREMOTE, que utiliza a API do Google Drive para suas operações de comando e controle (C2). De acordo com o Elastic Security Labs, o malware apresenta semelhanças de código com outro implante conhecido como FINALDRAFT, que utiliza a API do Microsoft Graph. O NANOREMOTE é projetado para facilitar o roubo de dados e a transferência de arquivos de forma discreta, utilizando um sistema de gerenciamento de tarefas que permite pausar, retomar e cancelar transferências de arquivos. Acredita-se que o grupo por trás do NANOREMOTE, conhecido como REF7707, esteja vinculado a atividades de espionagem cibernética, com alvos em setores como governo, defesa e telecomunicações na Ásia e América do Sul. O vetor de acesso inicial para o NANOREMOTE ainda não é conhecido, mas um loader chamado WMLOADER foi identificado como parte da cadeia de ataque. O malware é escrito em C++ e possui funcionalidades que incluem execução de arquivos e coleta de informações do host. A utilização de uma chave de criptografia comum entre NANOREMOTE e FINALDRAFT sugere uma possível conexão entre os dois malwares, indicando um ambiente de desenvolvimento compartilhado.

O cenário de cibersegurança apresenta um aumento significativo nas ameaças digitais, com hackers infiltrando malware em downloads de filmes, extensões de navegador e atualizações de software. Um novo botnet, Broadside, baseado na variante Mirai, está explorando uma vulnerabilidade crítica em dispositivos TBK DVR, visando o setor de logística marítima. Além disso, o Centro Nacional de Cibersegurança do Reino Unido alertou que falhas em aplicações de inteligência artificial generativa podem nunca ser totalmente mitigadas. Em uma operação da Europol, 193 indivíduos foram presos por envolvimento em redes de ‘violência como serviço’, enquanto na Polônia, três ucranianos foram detidos por tentativas de sabotagem de sistemas de TI. Na Espanha, um jovem hacker foi preso por roubar 64 milhões de registros de dados. A Rússia desmantelou uma operação que utilizava malware para roubar milhões de clientes bancários. Por fim, uma nova backdoor chamada GhostPenguin foi descoberta, capaz de coletar informações de sistemas Linux. Esses eventos destacam a necessidade urgente de medidas de segurança robustas e vigilância contínua.

Uma vulnerabilidade crítica, identificada como React2Shell (CVE-2025-55182), foi recentemente explorada por grupos de hackers patrocinados pelo Estado norte-coreano, além de grupos chineses. Essa falha afeta várias versões do React Server Components (RSC), uma biblioteca amplamente utilizada na construção de aplicações web. A vulnerabilidade permite que atacantes executem código malicioso antes da autenticação, o que representa um risco significativo para a segurança de sistemas que utilizam essas versões. As versões afetadas incluem 19.0, 19.1.0, 19.1.1 e 19.2.0, e os especialistas recomendam que as atualizações sejam feitas imediatamente para as versões corrigidas 19.0.1, 19.1.2 e 19.2.1.

A vulnerabilidade CVE-2025-55182, presente nos React Server Components (RSC), está sendo amplamente explorada por cibercriminosos para implantar mineradores de criptomoedas e diversas famílias de malware, segundo a Huntress. As ameaças incluem um backdoor Linux chamado PeerBlight, um túnel proxy reverso denominado CowTunnel e um implante pós-exploração chamado ZinFoq. Desde o início de dezembro de 2025, ataques têm sido direcionados a setores como construção e entretenimento, com o primeiro registro de exploração em um endpoint Windows em 4 de dezembro. Os atacantes utilizam ferramentas automatizadas para explorar a vulnerabilidade, que permite a execução remota de código não autenticado. Os payloads observados incluem scripts que baixam mineradores de criptomoedas e backdoors que se disfarçam como processos legítimos do sistema. A Huntress recomenda que organizações que utilizam pacotes vulneráveis atualizem imediatamente seus sistemas, dado o alto potencial de exploração e a gravidade da falha. A Shadowserver Foundation identificou mais de 165 mil endereços IP e 644 mil domínios com código vulnerável, destacando a urgência da situação.

Uma análise da Trend Micro revelou a evolução da campanha maliciosa Water Saci, que utiliza o malware SORVEPOTEL para se propagar através do WhatsApp Web, especialmente entre usuários brasileiros. Os hackers mudaram suas táticas, substituindo o código PowerShell por Python, o que aumentou a compatibilidade com navegadores e a eficiência na automação do ataque. A campanha se baseia em engenharia social, induzindo os usuários a interagir com conteúdos maliciosos, como arquivos ZIP e PDF, além de mensagens fraudulentas que simulam atualizações do Adobe Acrobat.

Um novo relatório da Recorded Future revela que o grupo de cibercriminosos conhecido como GrayBravo, anteriormente identificado como TAG-150, está utilizando um carregador de malware chamado CastleLoader em quatro clusters de atividade distintos. Este grupo é caracterizado por sua sofisticação técnica e rápida adaptação às reportagens públicas. O CastleLoader é um componente central de uma infraestrutura de malware como serviço (MaaS), permitindo que outros atores do crime cibernético o utilizem. Entre as ferramentas associadas ao GrayBravo estão o trojan de acesso remoto CastleRAT e o framework de malware CastleBot, que é responsável por injetar módulos maliciosos em sistemas vulneráveis. Os ataques são direcionados a setores específicos, como logística e transporte, utilizando técnicas de phishing e malvertising. A análise também destaca a utilização de contas fraudulentas em plataformas de correspondência de frete para aumentar a credibilidade das campanhas de phishing. A crescente adoção do CastleLoader por diversos grupos de ameaças indica uma proliferação rápida de ferramentas avançadas no ecossistema cibernético, o que representa um risco significativo para empresas em diversos setores.

Um novo malware chamado EtherRAT, vinculado a atores de ameaças da Coreia do Norte, está explorando uma vulnerabilidade crítica recentemente divulgada no React Server Components (RSC). Essa falha, identificada como CVE-2025-55182, possui uma pontuação CVSS de 10.0, indicando sua gravidade máxima. O EtherRAT utiliza contratos inteligentes do Ethereum para resolver comandos de controle e possui cinco mecanismos independentes de persistência no Linux, o que permite que ele mantenha acesso contínuo aos sistemas infectados. O ataque geralmente começa com uma abordagem de engenharia social, onde os desenvolvedores de blockchain e Web3 são alvos de entrevistas de emprego falsas. Após a exploração da vulnerabilidade, um script shell é baixado e executado, instalando o malware. O EtherRAT se destaca por sua capacidade de se atualizar e por usar um mecanismo de votação de consenso entre nove endpoints RPC do Ethereum para obter URLs de servidores de comando e controle, dificultando a detecção e a neutralização. Essa evolução na exploração da vulnerabilidade do React representa um desafio significativo para as defesas tradicionais, exigindo atenção especial dos profissionais de segurança cibernética.

Um estudante universitário de Bangladesh está vendendo acesso a sites vulneráveis, incluindo páginas de governos e universidades, através do Telegram. O acesso a sites menores é comercializado por preços que variam de US$ 3 a US$ 4, enquanto sites de instituições renomadas podem custar até US$ 200. A pesquisa da empresa de segurança Cyderes revelou que o estudante vende mais de 5.200 sites, sendo a maioria localizada na Ásia, com destaque para a Indonésia e Índia. Os compradores, que incluem tanto indivíduos em busca de lucro financeiro quanto aqueles interessados em espionagem internacional, utilizam uma ferramenta de comando e controle chamada Beima, que é sofisticada e furtiva. O malware Beima é projetado para roubar dados e se esconder no sistema, sendo considerado indetectável por ferramentas de segurança modernas. O artigo destaca a vulnerabilidade de sites mal configurados, especialmente aqueles que utilizam WordPress e cPanel, e a necessidade urgente de medidas de segurança para proteger informações sensíveis.

Pesquisadores de cibersegurança descobriram duas extensões maliciosas no Marketplace do Microsoft Visual Studio Code (VS Code) que visam infectar máquinas de desenvolvedores com malware do tipo stealer. As extensões, que se apresentavam como um tema escuro premium e um assistente de codificação baseado em inteligência artificial, na verdade, possuíam funcionalidades ocultas para baixar cargas adicionais, capturar telas e roubar dados. As informações coletadas eram enviadas a um servidor controlado por atacantes. As extensões identificadas foram ‘BigBlack.bitcoin-black’, que teve 16 instalações, e ‘BigBlack.codo-ai’, com 25 instalações, ambas removidas pela Microsoft em dezembro de 2025. O malware era capaz de roubar senhas de Wi-Fi, acessar o conteúdo da área de transferência e sequestrar sessões de navegador. Além disso, versões anteriores das extensões permitiam a execução de scripts PowerShell para baixar arquivos maliciosos. O ataque destaca a vulnerabilidade de ferramentas amplamente utilizadas por desenvolvedores e a necessidade de vigilância constante em relação a pacotes de software. O incidente é um alerta sobre a segurança na cadeia de suprimentos de software, especialmente em um cenário onde pacotes maliciosos também foram identificados em outras plataformas como Go e npm.

Organizações canadenses estão sendo alvo de uma campanha cibernética direcionada, orquestrada pelo grupo de ameaças STAC6565, conforme relatado pela empresa de cibersegurança Sophos. Entre fevereiro de 2024 e agosto de 2025, foram investigadas quase 40 intrusões ligadas a esse ator, que também é associado ao grupo de hackers Gold Blade. Inicialmente focado em espionagem cibernética, o grupo evoluiu para uma operação híbrida que combina roubo de dados com ataques de ransomware, utilizando um malware personalizado chamado QWCrypt.

Pesquisadores de segurança da Malanta.ai descobriram uma vasta infraestrutura de cibercrime na Indonésia, que operava há mais de 14 anos, com características que lembram operações patrocinadas por estados. A rede controlava mais de 320 mil domínios, incluindo 90 mil subdomínios hackeados, e estava envolvida na distribuição de milhares de aplicativos Android maliciosos. Esses aplicativos, disfarçados como plataformas de jogos, permitiam acesso total aos dispositivos comprometidos. A operação resultou no roubo de mais de 50 mil credenciais de jogos e levantou suspeitas sobre a possível ligação com atores estatais, dada a sofisticação e o financiamento da infraestrutura. Os pesquisadores alertam que a utilização de serviços como AWS e Firebase para comando e controle (C2) pode indicar um nível de organização além do que se espera de criminosos comuns.

Pesquisadores de cibersegurança identificaram uma nova campanha chamada JS#SMUGGLER, que utiliza sites comprometidos para distribuir um trojan de acesso remoto conhecido como NetSupport RAT. A análise da Securonix revela que a cadeia de ataque envolve um carregador JavaScript ofuscado injetado em um site, um aplicativo HTML (HTA) que executa estagiários PowerShell criptografados via ‘mshta.exe’, e um payload PowerShell que baixa e executa o malware principal. O NetSupport RAT permite controle total do host comprometido, incluindo acesso remoto, operações de arquivos e roubo de dados. A campanha, que ainda não está ligada a nenhum grupo de ameaças conhecido, visa usuários empresariais e utiliza técnicas sofisticadas de evasão, como iframes ocultos e execução em camadas de scripts. Os pesquisadores recomendam a implementação de medidas de segurança robustas, como monitoramento de scripts e restrições ao mshta.exe, para detectar e mitigar esses ataques.

Um novo spyware chamado Predator, desenvolvido pela empresa de vigilância Intellexa, está gerando preocupações entre especialistas em cibersegurança. Este software malicioso utiliza um mecanismo de ‘clique zero’, permitindo que dispositivos sejam infectados apenas pela visualização de anúncios maliciosos. O spyware, identificado como Aladdin, foi descoberto em uma investigação que revelou como empresas ao redor do mundo serviam como fachada para a disseminação do malware. Os anúncios maliciosos são exibidos em sites e aplicativos confiáveis, disfarçados entre propagandas legítimas. A técnica utilizada pelo Aladdin força a exibição de anúncios direcionados a alvos específicos, identificados por seus endereços IP, através de uma Plataforma de Demanda (DSP) que automatiza a compra de publicidade digital. Isso levanta um alerta significativo, pois o usuário não precisa interagir com o anúncio para ser afetado; a simples visualização é suficiente para comprometer o dispositivo. Até o momento, não há informações detalhadas sobre como o spyware compromete os sistemas, mas especula-se que isso possa ocorrer por meio de redirecionamentos para servidores de exploração da Intellexa.

Pesquisadores de cibersegurança revelaram detalhes sobre duas novas famílias de malware Android, FvncBot e SeedSnatcher, além de uma versão aprimorada do ClayRat. O FvncBot, disfarçado como um aplicativo de segurança do mBank, visa usuários de bancos na Polônia e é desenvolvido do zero, sem inspiração em trojans anteriores. Ele utiliza serviços de acessibilidade do Android para realizar fraudes financeiras, incluindo keylogging e injeções de web. O SeedSnatcher, distribuído via Telegram, tem como alvo frases-semente de carteiras de criptomoedas e intercepta mensagens SMS para roubar códigos de autenticação de dois fatores. Já o ClayRat, atualizado, abusa de permissões de SMS e acessibilidade, permitindo o controle total do dispositivo. As técnicas de evasão de detecção utilizadas por esses malwares incluem injeção de conteúdo em WebView e carregamento dinâmico de classes. A distribuição do FvncBot e do SeedSnatcher ainda não é clara, mas trojans bancários costumam usar phishing via SMS e lojas de aplicativos de terceiros como vetores de propagação. A crescente sofisticação desses malwares representa uma ameaça significativa para a segurança dos usuários de dispositivos Android, especialmente em um contexto onde a proteção de dados é crucial.

Recentemente, o cenário de cibersegurança tem sido marcado por uma série de incidentes alarmantes. Um dos destaques é a exploração de uma falha crítica no React Server Components, conhecida como CVE-2025-55182, que permite a execução remota de código por atacantes não autenticados. Essa vulnerabilidade foi rapidamente explorada por grupos de hackers, especialmente da China, resultando em quase 29 mil endereços IP vulneráveis detectados. Além disso, mais de 30 falhas em ambientes de desenvolvimento integrados (IDEs) alimentados por inteligência artificial foram reveladas, permitindo a exfiltração de dados e execução remota de código. Outro ponto preocupante é o uso de aplicativos bancários falsos por grupos criminosos, como o GoldFactory, que têm atacado usuários na Indonésia, Tailândia e Vietnã, utilizando engenharia social para disseminar malware. No Brasil, campanhas de malware bancário estão sendo disseminadas via WhatsApp, com variantes como Casbaneiro e Astaroth, que exploram a confiança dos usuários em contatos conhecidos. Por fim, a Cloudflare conseguiu mitigar um ataque DDoS recorde de 29,7 Tbps, evidenciando a crescente sofisticação das ameaças. O cenário exige atenção redobrada das organizações para proteger suas infraestruturas e dados.

O grupo de hackers iraniano MuddyWater foi identificado utilizando uma nova backdoor chamada UDPGangster, que opera através do protocolo UDP para fins de comando e controle (C2). A atividade de ciberespionagem tem como alvo usuários na Turquia, Israel e Azerbaijão, conforme relatado pelo Fortinet FortiGuard Labs. O malware permite o controle remoto de sistemas comprometidos, possibilitando a execução de comandos, exfiltração de arquivos e implantação de cargas adicionais, tudo isso através de canais UDP que visam evitar defesas de rede tradicionais.

Uma falha de segurança crítica foi identificada no plugin Sneeit Framework para WordPress, afetando todas as versões até a 8.3, com uma pontuação CVSS de 9.8. Essa vulnerabilidade, classificada como CVE-2025-6389, permite a execução remota de código, possibilitando que atacantes não autenticados executem funções PHP arbitrárias no servidor. O Wordfence, empresa de segurança, relatou que a exploração da falha começou em 24 de novembro de 2025, com mais de 131.000 tentativas de ataque bloqueadas, sendo 15.381 apenas nas últimas 24 horas. Os atacantes têm utilizado requisições HTTP maliciosas para criar contas de administrador e carregar arquivos PHP maliciosos, que podem ser usados para injetar backdoors e redirecionar visitantes para sites maliciosos. O plugin Sneeit Framework possui mais de 1.700 instalações ativas, o que aumenta a urgência para que os administradores atualizem para a versão 8.4, que corrige a vulnerabilidade. Além disso, o artigo menciona outra exploração em andamento, relacionada ao ICTBroadcast, que também apresenta riscos significativos.

Um estudo da Surfshark revelou que muitos aplicativos de compartilhamento de arquivos gratuitos, como Dropbox, Box e WeTransfer, não oferecem proteção adequada contra malware. Box e WeTransfer disponibilizam a verificação de vírus apenas em planos pagos, enquanto Dropbox e iCloud não realizam nenhuma verificação, dependendo da segurança dos dispositivos Apple. Isso representa um risco significativo para os usuários, que podem inadvertidamente baixar arquivos infectados. A análise destaca que, embora esses serviços sejam amplamente utilizados, a segurança não é uma prioridade, especialmente nas versões gratuitas. A Surfshark alerta que a confiança excessiva nesses aplicativos pode comprometer a segurança dos dados dos usuários. Além disso, a discussão sobre a regulamentação no Reino Unido, que visa aumentar a responsabilidade das plataformas de compartilhamento de arquivos, levanta preocupações sobre privacidade e vigilância em massa. A utilização de antivírus e VPNs é recomendada para mitigar esses riscos. Por fim, apenas Google Drive e OneDrive oferecem verificação de vírus para usuários gratuitos, mas com limitações. Essa situação exige que os usuários façam escolhas informadas sobre os riscos que estão dispostos a correr ao compartilhar arquivos online.

Pesquisadores da Fable Security identificaram uma nova ameaça que utiliza uma versão falsa do ChatGPT Atlas para roubar senhas de usuários em navegadores. Denominada ‘ataque ClickFix’, essa campanha de cibercrime cresceu 517% recentemente, explorando um truque de ‘copia e cola’ para disseminar instaladores maliciosos. Os hackers criam sites falsos que imitam o layout e o design do verdadeiro ChatGPT Atlas, enganando usuários desatentos. Ao acessar o instalador falso, a vítima é instruída a copiar um comando e colá-lo em um terminal, como o PowerShell, o que ativa um script que solicita repetidamente a senha do usuário. Esse método permite que os criminosos escalem privilégios e obtenham acesso total ao dispositivo, coletando credenciais sensíveis. A situação é alarmante, pois os hackers conseguem contornar ferramentas de segurança robustas. Especialistas recomendam que os usuários sejam cautelosos ao instalar ferramentas e evitem executar comandos de fontes suspeitas.

Duas novas campanhas de malware estão ameaçando usuários brasileiros, com foco em um trojan bancário que ataca o WhatsApp e um malware que compromete pagamentos NFC em dispositivos Android. Pesquisadores da Trend Micro identificaram que o grupo Water Saci está por trás do trojan, que se espalha através de arquivos HTA e PDFs maliciosos. Os cibercriminosos utilizam contatos confiáveis para enganar as vítimas, aumentando a probabilidade de que elas baixem os arquivos infectados. Uma vez instalado, o trojan rouba informações sensíveis, como senhas e dados de cartões de crédito. Além disso, o malware RelayNFC, que afeta pagamentos NFC, permite que hackers realizem transações fraudulentas ao interceptar dados do cartão da vítima quando este é encostado no dispositivo. Essa nova era de ameaças digitais no Brasil destaca a vulnerabilidade dos usuários e a necessidade de medidas de segurança mais robustas, especialmente em plataformas amplamente utilizadas como o WhatsApp.