Malware

Hackers estão explorando chaves de máquina ASP.NET expostas para injetar um módulo malicioso sofisticado conhecido como “HijackServer” em servidores do Internet Information Services (IIS). Essa vulnerabilidade, que afeta centenas de servidores web globalmente, permite a execução remota de código e compromete a segurança de organizações de todos os tamanhos. Os atacantes identificam aplicações ASP.NET com chaves fracas ou publicamente divulgadas, o que facilita a manipulação do viewstate e a execução de código arbitrário no servidor. Uma vez dentro, eles utilizam técnicas de escalonamento de privilégios para obter controle administrativo e implantam ferramentas de acesso remoto. O HijackServer, um módulo nativo do IIS, não apenas serve como uma porta dos fundos não autenticada, mas também gera páginas de investimento falsas para enganar usuários. Os administradores são aconselhados a rotacionar suas chaves de máquina ASP.NET e a monitorar seus ambientes IIS em busca de módulos suspeitos, uma vez que a exposição de segredos pode deixar as organizações vulneráveis, mesmo que as falhas sejam corrigidas.

Um novo relatório do Google Threat Intelligence Group (GTIG) revelou uma campanha cibernética de criminosos vietnamitas, identificada como UNC6229, que utiliza anúncios de emprego falsos para comprometer profissionais de marketing digital e sequestrar contas corporativas de publicidade. Os atacantes empregam táticas avançadas de engenharia social e entrega de malware, infiltrando-se em ambientes empresariais através de dispositivos pessoais e credenciais online das vítimas.

Os golpistas publicam vagas fraudulentas em plataformas legítimas, como LinkedIn, e em sites controlados por eles, atraindo candidatos desavisados. Após a aplicação, coletam informações pessoais que são utilizadas para ataques de phishing personalizados ou distribuição de malware. As técnicas incluem o envio de arquivos ZIP protegidos por senha que, ao serem abertos, instalam trojans de acesso remoto (RATs) ou redirecionam as vítimas para portais de login falsos que imitam serviços corporativos, capturando credenciais mesmo com autenticação multifatorial.

O grupo de ameaças Vault Viper, recentemente identificado pela Infoblox Threat Intelligence, está focado na indústria de apostas online na Ásia, utilizando um navegador personalizado para distribuir malware. O navegador, chamado Universe Browser, é uma versão modificada do Chromium, promovida como uma solução de privacidade para apostadores, permitindo o acesso a plataformas de apostas em países onde o jogo é ilegal. No entanto, análises técnicas revelam que o navegador possui características de malware, como o redirecionamento de tráfego por servidores proxy controlados pelos atacantes e a instalação de programas persistentes em segundo plano.

Uma nova ameaça cibernética chamada RedTiger está circulando, visando gamers em todo o mundo, especialmente aqueles que utilizam o Discord. Este infostealer foi projetado para roubar credenciais do Discord, contas de jogos e informações financeiras sensíveis. Inicialmente, RedTiger era uma ferramenta legítima de red-teaming lançada em 2024, mas agora foi adaptada por cibercriminosos para fins maliciosos. O malware injeta código malicioso diretamente no aplicativo Discord, além de coletar senhas salvas no navegador, informações de cartões de pagamento e credenciais de carteiras de criptomoedas. O RedTiger utiliza um processo de roubo de dados em duas etapas, enviando as informações roubadas para um serviço de armazenamento em nuvem, o que dificulta a rastreabilidade dos atacantes. Com mecanismos de persistência sofisticados, o malware pode reiniciar automaticamente após a inicialização do sistema, garantindo acesso contínuo ao dispositivo infectado. A natureza de código aberto do RedTiger permite que qualquer um modifique a ferramenta, criando variações que dificultam a detecção por softwares antivírus. Diante disso, é crucial que os gamers adotem práticas de segurança, como evitar downloads de fontes não confiáveis e utilizar senhas fortes e únicas.

Pesquisadores de segurança da Proofpoint desenvolveram uma ferramenta inovadora de código aberto chamada PDF Object Hashing, que auxilia equipes de segurança na detecção e rastreamento de arquivos maliciosos disfarçados como documentos PDF. Disponível no GitHub, essa ferramenta representa um avanço significativo na identificação de documentos suspeitos frequentemente utilizados em campanhas de phishing, distribuição de malware e ataques de comprometimento de e-mail corporativo.

Os PDFs se tornaram a escolha preferida dos cibercriminosos, pois parecem legítimos para os usuários comuns. Os atacantes frequentemente enviam PDFs contendo URLs maliciosas, códigos QR ou informações bancárias falsas para enganar as pessoas. No entanto, ferramentas de segurança tradicionais costumam falhar em detectar essas ameaças, uma vez que os PDFs podem ser modificados de várias maneiras, mantendo a aparência idêntica para os usuários.

Uma rede maliciosa de contas do YouTube, chamada de YouTube Ghost Network, tem sido utilizada para publicar e promover vídeos que levam a downloads de malware. Desde 2021, essa rede já publicou mais de 3.000 vídeos maliciosos, com um aumento significativo no número de publicações desde o início de 2025. Os vídeos, que frequentemente abordam softwares pirateados e cheats de jogos como Roblox, são projetados para infectar usuários desavisados com malware do tipo stealer. A operação se aproveita da confiança dos usuários em plataformas populares, utilizando métricas como visualizações e comentários para dar uma falsa sensação de segurança. A maioria das contas comprometidas é utilizada para carregar vídeos de phishing, enquanto outras promovem mensagens que direcionam para links maliciosos. O Google já removeu uma parte significativa desses conteúdos, mas a estrutura modular da rede permite que novas contas sejam rapidamente criadas para substituir as banidas, mantendo a operação ativa. Entre os malwares distribuídos estão variantes como Lumma Stealer e Rhadamanthys Stealer, que têm como alvo informações sensíveis dos usuários. Essa situação destaca a crescente sofisticação das táticas de distribuição de malware, que agora utilizam plataformas legítimas para enganar os usuários.

Um grupo de hackers vinculado ao Paquistão, conhecido como Transparent Tribe (APT36), tem realizado ataques de spear-phishing direcionados a entidades governamentais indianas, utilizando um malware baseado em Golang chamado DeskRAT. As atividades foram observadas entre agosto e setembro de 2025 e envolvem o envio de e-mails de phishing com anexos ZIP ou links para arquivos em serviços de nuvem legítimos, como Google Drive. O malware é projetado para operar em sistemas Linux, especificamente o BOSS (Bharat Operating System Solutions), e permite o controle remoto através de WebSockets. O DeskRAT possui múltiplos métodos de persistência e comandos para coletar informações, como listar diretórios e enviar arquivos. Além disso, a campanha se expandiu para incluir variantes do malware que atacam sistemas Windows, mostrando um foco cross-platform. A crescente sofisticação das operações do grupo, que utiliza servidores dedicados para distribuição de malware, destaca a evolução das ameaças cibernéticas na região da Ásia-Pacífico, com implicações potenciais para a segurança de dados e conformidade com a LGPD no Brasil.

A Check Point Research revelou a existência da YouTube Ghost Network, uma campanha sofisticada de distribuição de malware que explora os mecanismos de confiança da plataforma. Desde 2021, mais de 3.000 vídeos maliciosos foram identificados, com um aumento significativo em 2025, triplicando o número de uploads maliciosos em comparação aos anos anteriores. A operação utiliza contas comprometidas divididas em três papéis principais: uploaders de vídeo, publicadores de postagens e impulsionadores de interação. Os vídeos frequentemente promovem softwares piratas e instruem os usuários a desativar o Windows Defender antes da instalação. Após a interrupção do infostealer Lumma, os operadores rapidamente migraram para o Rhadamanthys, utilizando servidores de comando e controle rotativos para evitar detecções. A análise dos vídeos revelou um padrão de ataque focado em categorias de alto tráfego, como ‘Game Hacks/Cheats’ e ‘Software Cracks/Piracy’. Embora a Check Point tenha conseguido derrubar muitos desses vídeos, a necessidade de uma colaboração coordenada entre operadores de plataformas, fornecedores de segurança e autoridades é crucial para combater futuras operações da Ghost Network.

Pesquisadores de cibersegurança identificaram um worm autorreplicante, denominado GlassWorm, que se espalha por meio de extensões do Visual Studio Code (VS Code) disponíveis no Open VSX Registry e no Microsoft Extension Marketplace. Este ataque sofisticado, o segundo do tipo em um mês, utiliza a blockchain Solana para seu comando e controle (C2), o que dificulta a sua neutralização. Além disso, o worm emprega caracteres Unicode invisíveis para ocultar o código malicioso nos editores de código.

Pesquisadores da ESET identificaram uma série de ataques cibernéticos, conhecidos como Operação Dream Job, realizados por hackers norte-coreanos, que visam empresas do setor de defesa na Europa, especialmente aquelas envolvidas com drones. Desde março de 2025, o grupo Lazarus, responsável por esses ataques, utiliza táticas de engenharia social, oferecendo falsas oportunidades de emprego que, na verdade, instalam malwares como ScoringMathTea e MISTPEN nos sistemas das vítimas. Esses malwares são projetados para roubar informações sensíveis e podem executar comandos que permitem o controle total das máquinas comprometidas. A ESET já havia observado o ScoringMathTea em ataques anteriores a empresas de tecnologia na Índia e na Polônia. A MISTPEN também foi associada a campanhas em setores críticos como aeroespacial e energia. A descoberta desses ataques ressalta a crescente preocupação com a segurança cibernética em indústrias estratégicas e a necessidade de vigilância constante contra ameaças emergentes.

Pesquisadores de segurança da Wordfence analisaram uma nova cepa de malware que utiliza a capacidade de funções variáveis do PHP e cookies para obfuscação sofisticada, dificultando a detecção. Embora a técnica não seja nova, ela evolui constantemente e é prevalente em ataques direcionados a ambientes WordPress. Em setembro de 2025, foram registradas mais de 30.000 detecções desse tipo de malware, todas bloqueadas pelas assinaturas de malware da Wordfence.

O malware se aproveita da funcionalidade de ‘funções variáveis’ do PHP, permitindo que nomes de funções sejam armazenados em variáveis e executados dinamicamente. Isso facilita a execução de comandos arbitrários, tornando a detecção mais difícil, especialmente quando os nomes das funções são construídos de forma dinâmica. Além disso, a análise revelou que esses malwares frequentemente utilizam cookies para acionar a execução de scripts, dependendo da presença de um número específico de cookies e marcadores.

O artigo destaca como cibercriminosos aproveitam vulnerabilidades em sistemas e na confiança dos usuários para realizar ataques. Um exemplo é a queda na atividade do malware Lumma Stealer, que ocorreu após a exposição de identidades de seus desenvolvedores, resultando na migração de clientes para outras ferramentas como Vidar Stealer 2.0. Este novo malware, reescrito em C, apresenta técnicas avançadas de extração de credenciais e evasão de detecções. Além disso, um esquema de fraude em larga escala em Cingapura utilizou imagens de autoridades locais para enganar cidadãos em uma plataforma de investimentos falsa, demonstrando como a confiança em instituições pode ser manipulada. Outro ponto crítico é a descoberta de um pacote npm malicioso que comprometeu a cadeia de suprimentos de software, reforçando a necessidade de cautela ao instalar pacotes de código aberto. O artigo também menciona a multa de $176 milhões imposta ao Cryptomus, uma plataforma de pagamentos digitais, por não reportar transações suspeitas ligadas a crimes graves. A SpaceX desativou dispositivos Starlink usados em centros de fraude na região do Sudeste Asiático, evidenciando a resposta a crimes cibernéticos em escala global.

Um novo ciclo de ataques cibernéticos, atribuído a atores de ameaças ligados à Coreia do Norte, está visando empresas europeias do setor de defesa, conforme relatado pela ESET. Esta campanha, conhecida como Operação Dream Job, tem como alvo empresas envolvidas na fabricação de veículos aéreos não tripulados (UAVs), sugerindo uma conexão com os esforços da Coreia do Norte para expandir seu programa de drones. Os ataques utilizam malwares como ScoringMathTea e MISTPEN para roubar informações proprietárias e know-how de fabricação. A ESET observou o início desta campanha em março de 2025, com alvos que incluem uma empresa de engenharia metalúrgica e um fabricante de componentes aeronáuticos na Europa Central e Sudeste. A Operação Dream Job, exposta pela ClearSky em 2020, é conduzida pelo grupo de hackers Lazarus, que utiliza engenharia social para atrair vítimas com ofertas de emprego falsas, levando à infecção de sistemas com malware. A estratégia do grupo é caracterizada por um padrão previsível, mas eficaz, que permite a evasão de detecções de segurança, embora não esconda sua identidade.

O grupo de ameaças persistentes avançadas (APT) MuddyWater, vinculado ao Irã, lançou uma operação de ciberespionagem sofisticada utilizando um novo toolkit de malware. A campanha, atribuída com alta confiança pela Group-IB Threat Intelligence, envolve o uso do backdoor Phoenix v4, ferramentas personalizadas e software legítimo de monitoramento remoto. O ataque começou com o acesso a uma caixa de correio comprometida via NordVPN, permitindo a distribuição de e-mails maliciosos que pareciam legítimos. Esses e-mails continham anexos do Microsoft Word que, ao terem suas macros ativadas, executavam um código VBA embutido, que por sua vez injetava o backdoor no sistema. O Phoenix v4 estabelece comunicação remota e coleta dados do sistema, mantendo-se ativo mesmo após reinicializações. A operação visou mais de 100 organizações governamentais e internacionais, destacando a crescente maturidade técnica do MuddyWater e a necessidade urgente de controles de defesa mais robustos, como a restrição de macros e o monitoramento de ferramentas de RMM. Os indicadores de comprometimento (IOCs) incluem domínios e hashes específicos, que podem ajudar na identificação de sistemas afetados.

O Centro de Pesquisa Avançada da Trellix revelou uma nova campanha do grupo APT SideWinder, que utiliza um encadeamento de infecção baseado em PDF e ClickOnce para atacar alvos governamentais na Ásia do Sul. A campanha, ocorrida em setembro de 2025, visou diplomatas de países como Sri Lanka, Paquistão e Bangladesh, utilizando e-mails de phishing com documentos que pareciam legítimos. Ao clicar em um botão malicioso no PDF, as vítimas baixaram um aplicativo ClickOnce disfarçado de instalador do Adobe Reader, que, na verdade, carregava um DLL malicioso. Essa DLL, assinada com um certificado legítimo, permitiu a instalação de um malware chamado StealerBot. A análise da Trellix destacou que o SideWinder explorou uma vulnerabilidade no processo de instalação do ClickOnce, permitindo que dependências maliciosas fossem baixadas sem verificação de assinatura. O ataque demonstrou um nível elevado de sofisticação, com técnicas de evasão e obfuscação para dificultar a análise por pesquisadores fora da região. A campanha reflete a evolução das táticas do grupo, que agora utiliza métodos mais complexos para contornar defesas tradicionais e realizar espionagem.

Cibercriminosos têm explorado uma vulnerabilidade no ToolShell do Microsoft SharePoint, identificada como CVE-2025-53770, para invadir instituições governamentais em diversos continentes. Apesar de um patch ter sido lançado em julho de 2025 para corrigir a falha, ataques foram registrados em agências de telecomunicações no Oriente Médio, departamentos governamentais na África, agências estatais na América do Sul e uma universidade nos Estados Unidos. A vulnerabilidade permitia burlar a autenticação e executar códigos remotamente, sendo utilizada em conjunto com outras falhas, como CVE-2025-49704 e CVE-2025-49706, por grupos hackers chineses. Esses grupos, como Linen Typhoon e Violet Typhoon, têm utilizado malwares zero-day para realizar suas invasões. Além disso, técnicas de evasão de DLL foram empregadas para entregar malwares em servidores SQL e Apache HTTP. Os ataques visam roubar credenciais e garantir acesso persistente aos sistemas das vítimas, sugerindo um interesse em espionagem. A situação destaca a necessidade de vigilância contínua e atualização de sistemas para mitigar riscos de segurança.

Pesquisadores de cibersegurança revelaram uma campanha de spear-phishing chamada PhantomCaptcha, que visa organizações envolvidas em esforços de ajuda à Ucrânia. O ataque, ocorrido em 8 de outubro de 2025, afetou membros da Cruz Vermelha Internacional, do Conselho Norueguês para Refugiados, da UNICEF e administrações regionais ucranianas. Os e-mails de phishing se disfarçaram como comunicações do Escritório do Presidente da Ucrânia, contendo um PDF malicioso que redirecionava as vítimas para um site falso do Zoom. Ao clicar, os usuários eram induzidos a executar um comando PowerShell malicioso através de uma página falsa de verificação de navegador. O malware resultante, um trojan de acesso remoto (RAT) baseado em WebSocket, permite a execução de comandos remotos e exfiltração de dados. A infraestrutura do ataque foi registrada em março de 2025, demonstrando planejamento sofisticado. Embora não tenha sido atribuído a um grupo específico, a técnica utilizada tem semelhanças com ataques de grupos de hackers associados à Rússia. A campanha destaca a necessidade de vigilância contínua e medidas de segurança robustas para organizações que operam em contextos de crise.

O grupo de ciberespionagem iraniano MuddyWater está por trás de uma nova campanha que utiliza uma conta de e-mail comprometida para distribuir um backdoor chamado Phoenix. Este ataque visa mais de 100 entidades governamentais na região do Oriente Médio e Norte da África (MENA), com foco em embaixadas, ministérios de Relações Exteriores e organizações internacionais. A campanha se destaca pelo uso de e-mails de phishing que parecem autênticos, aumentando a probabilidade de que os destinatários abram anexos maliciosos. Os pesquisadores de segurança da Group-IB relataram que o ataque envolve documentos do Microsoft Word que, ao serem abertos, solicitam que os usuários ativem macros, permitindo a execução de código VBA malicioso que instala o backdoor Phoenix. Este backdoor é carregado por um loader chamado FakeUpdate, que contém um payload criptografado. MuddyWater, que opera desde 2017 e está associado ao Ministério da Inteligência e Segurança do Irã, demonstrou uma capacidade aprimorada de integrar código personalizado com ferramentas comerciais para aumentar a furtividade e a persistência do ataque. A campanha representa um risco significativo para a segurança cibernética, especialmente para organizações governamentais e diplomáticas na região.

Uma investigação realizada pelo Varonis Threat Labs revelou uma vulnerabilidade crítica que permitiu a hackers criar aplicativos maliciosos no Azure utilizando nomes reservados da Microsoft. Ao contornar as salvaguardas, os atacantes conseguiram registrar nomes enganosos, como ‘Azure Portal’, induzindo os usuários a conceder permissões perigosas. Essa falha possibilitou que cibercriminosos obtivessem acesso inicial, mantivessem persistência e escalassem privilégios em ambientes Microsoft 365, expondo organizações a riscos de perda de dados e danos à reputação.

Em meados de outubro de 2025, o site oficial do Xubuntu foi comprometido por atacantes que alteraram os links de download de torrents. Em vez de fornecer os arquivos .torrent legítimos, os visitantes foram direcionados para um arquivo ZIP malicioso intitulado ‘Xubuntu-Safe-Download.zip’. Dentro deste arquivo, encontrava-se um executável do Windows, ‘TestCompany.SafeDownloader.exe’, acompanhado de um arquivo ’tos.txt’ que continha uma falsa declaração de direitos autorais de 2026. O ataque, descoberto em 18 de outubro, destaca os riscos crescentes enfrentados por sites de distribuições Linux mantidos pela comunidade, especialmente com a migração de usuários do Windows 10, que chegou ao fim do suporte. O malware, projetado para roubar criptomoedas, foi identificado por membros das comunidades r/xubuntu e r/Ubuntu, que alertaram sobre a anomalia. Após a confirmação do ataque, os mantenedores do Xubuntu desativaram rapidamente a página comprometida e recomendaram que os usuários verificassem as somas de verificação dos arquivos ISO. Até o momento, não foram relatadas infecções confirmadas ou perdas de criptomoedas, mas o incidente serve como um lembrete da importância de práticas rigorosas de segurança em projetos de código aberto.

Um novo malware baseado em Rust, chamado ChaosBot, foi descoberto utilizando a plataforma Discord para suas operações de Comando e Controle (C2). Diferente de botnets tradicionais, o ChaosBot oculta suas atividades maliciosas atrás do tráfego legítimo do Discord, criando canais de comunicação encobertos entre máquinas infectadas e atacantes. O malware valida seu acesso através da API do Discord, criando um canal privado que serve como um shell interativo, onde comandos como ‘shell’, ‘download’ e ‘scr’ (screenshot) podem ser executados. A infecção inicial ocorre por meio de credenciais comprometidas de VPN e Active Directory ou por e-mails de phishing disfarçados. O ChaosBot apresenta mecanismos avançados de evasão, como a desativação de rastreamento de eventos do Windows e a detecção de ambientes virtualizados, dificultando a identificação por ferramentas de segurança. A comunicação com a infraestrutura controlada pelos atacantes é realizada através de ferramentas legítimas, como o Fast Reverse Proxy (FRP) e o Visual Studio Code Tunnels, o que aumenta sua furtividade. Especialistas alertam que o uso de plataformas confiáveis para operações maliciosas representa uma tendência crescente entre famílias de malware em Rust, e recomendam que as organizações implementem autenticação multifator (MFA) e monitorem o tráfego da API do Discord.

A Kaspersky identificou uma nova campanha de ciberespionagem chamada PassiveNeuron, que visa organizações governamentais, financeiras e industriais na Ásia, África e América Latina. Os ataques foram inicialmente detectados em novembro de 2024, com foco em entidades governamentais na América Latina e na Ásia Oriental. Os invasores utilizam malwares sofisticados, como Neursite e NeuralExecutor, que permitem movimentação lateral na infraestrutura das vítimas e exfiltração de dados. A campanha se destaca pelo uso de servidores internos comprometidos como infraestrutura de comando e controle, dificultando a detecção. Os atacantes têm explorado vulnerabilidades em servidores Windows, possivelmente através de injeções SQL ou força bruta, para implantar backdoors e ferramentas como Cobalt Strike. Desde dezembro de 2024, novas infecções foram observadas, com indícios de que os autores sejam falantes de chinês. A Kaspersky alerta que a campanha é particularmente perigosa devido ao foco em servidores expostos à internet, que são alvos atrativos para ameaças persistentes avançadas (APTs).

Pesquisadores da empresa de segurança cibernética Solo Iron, no Brasil, desmontaram uma campanha de malware conhecida como Maverick, que se espalha pelo WhatsApp Web. O vírus, que opera como um trojan, infecta computadores e rouba dados bancários. A investigação revelou que a operação dos hackers começou em 1º de outubro e utilizava técnicas de engenharia social para disseminar arquivos maliciosos disfarçados de documentos financeiros. O malware, que funciona na memória da máquina, evita a detecção por antivírus tradicionais ao não gravar arquivos em disco. A equipe da Solo Iron conseguiu acessar a infraestrutura dos cibercriminosos, revelando a escala da operação e os domínios envolvidos. O ataque é caracterizado por um alto nível de automação e permite que os criminosos monitorem a disseminação do trojan através de um painel administrativo. A análise detalhada do malware e suas implicações estão disponíveis no blog da Solo Iron.

O Luma Infostealer, um malware sofisticado, está ressurgindo como uma ameaça cibernética significativa, focando em credenciais de alto valor e ativos sensíveis em sistemas Windows. Distribuído através de um modelo de Malware-as-a-Service (MaaS), permite que até mesmo atacantes com pouca habilidade realizem campanhas complexas de roubo de dados. O malware é frequentemente disseminado em campanhas de phishing disfarçadas como softwares piratas, hospedados em plataformas legítimas como o MEGA Cloud, para evitar detecções. Ao ser executado, o Luma realiza uma decriptação em múltiplas etapas e injeção de processos para ativar seu payload, ocultando seu comportamento de soluções antivírus tradicionais.

Pesquisadores em cibersegurança identificaram o malware PolarEdge, um botnet que visa roteadores de marcas como Cisco, ASUS, QNAP e Synology. Documentado pela primeira vez em fevereiro de 2025, o PolarEdge utiliza uma falha de segurança conhecida (CVE-2023-20118) para se infiltrar nos dispositivos, baixando um script shell que executa um backdoor. Este backdoor, implementado em ELF e baseado em TLS, monitora conexões de clientes e pode executar comandos recebidos de um servidor de comando e controle (C2). PolarEdge opera em dois modos: um modo de conexão reversa e um modo de depuração, permitindo modificações em sua configuração. Além disso, o malware emprega técnicas de anti-análise para ocultar suas operações e não garante persistência após reinicializações, embora utilize processos filhos para reativar-se. A descoberta do PolarEdge é relevante, especialmente considerando a crescente integração de dispositivos IoT e a vulnerabilidade de roteadores, que são alvos comuns de ataques. A situação é agravada pela possibilidade de que o malware tenha começado a operar desde junho de 2023, indicando um período prolongado de atividade maliciosa.

Em outubro de 2025, pesquisadores da Kaspersky identificaram um ataque sofisticado à cadeia de suprimentos que visava o ecossistema npm, utilizando um pacote malicioso chamado https-proxy-utils. Este pacote se disfarçava como uma ferramenta de proxy legítima, mas tinha como objetivo entregar o AdaptixC2, um framework de pós-exploração que começou a ser observado em campanhas maliciosas desde a primavera de 2025. Os atacantes usaram uma técnica clássica de typosquatting, criando um nome de pacote que se assemelhava a pacotes npm populares e legítimos, como http-proxy-agent e https-proxy-agent, que recebem milhões de downloads semanalmente. O pacote malicioso incluía um script pós-instalação que baixava e executava automaticamente o agente AdaptixC2, adaptando-se a diferentes sistemas operacionais, como Windows, Linux e macOS. Uma vez instalado, o AdaptixC2 oferece aos atacantes acesso remoto, execução de comandos e gerenciamento de arquivos, permitindo que mantenham acesso contínuo a sistemas comprometidos. Este incidente destaca a crescente ameaça de ataques à cadeia de suprimentos em ecossistemas de software de código aberto, exigindo que organizações e desenvolvedores verifiquem cuidadosamente os nomes dos pacotes antes da instalação.

Entre maio e agosto de 2025, o grupo de ameaça persistente avançada (APT) conhecido como Cavalry Werewolf, também rastreado como YoroTrooper e Silent Lynx, conduziu uma campanha de ciberataques sofisticada, visando o setor público e a infraestrutura crítica da Rússia. As indústrias de energia, mineração e manufatura foram os principais alvos, com o uso de malwares personalizados, como FoalShell e StallionRAT, através de operações de spear-phishing altamente direcionadas, disfarçadas como correspondências oficiais do governo.

O malware GlassWorm representa uma nova ameaça no cenário de ataques à cadeia de suprimentos, sendo o primeiro worm a atacar extensões do VS Code no marketplace OpenVSX. Detectado inicialmente na ferramenta de produtividade CodeJoy, o malware utiliza caracteres especiais de Unicode que aparecem como espaços em branco, tornando o código invisível tanto para revisores humanos quanto para ferramentas de análise automática. Após a instalação, o GlassWorm coleta credenciais sensíveis, como tokens do NPM e credenciais do GitHub, além de escanear extensões de carteiras de criptomoedas para drenar fundos. O malware opera com uma infraestrutura de comando e controle descentralizada, utilizando a blockchain Solana para comunicação, o que torna sua remoção extremamente difícil. Além disso, ele emprega eventos do Google Calendar para garantir a persistência de sua operação. Com mais de 35 mil instalações detectadas, o GlassWorm exemplifica os riscos exponenciais que os worms modernos representam para desenvolvedores e usuários. A situação exige atenção redobrada das equipes de segurança, especialmente em um ambiente onde a revisão de código se mostrou insuficiente para detectar tais ameaças.

Um novo e sofisticado kit de ferramentas de ransomware, chamado Monolock, foi identificado em fóruns da dark web, gerando preocupação nas comunidades de cibersegurança. Este ransomware é projetado para campanhas de ataque rápidas e automatizadas, apresentando capacidades técnicas avançadas. O Monolock oferece um pacote completo para operações de ransomware, incluindo módulos para automação de comando e controle, escalonamento de privilégios e técnicas de evasão persistente. Além disso, possui ferramentas para deletar cópias de sombra em sistemas-alvo, dificultando estratégias comuns de recuperação de desastres. O kit também conta com recursos anti-análise que evitam a execução em ambientes de segurança. Os operadores do Monolock estão recrutando afiliados com experiência em implantação de malware, oferecendo um programa de afiliados que inclui taxas de registro e uma divisão de lucros. A emergência do Monolock se alinha com a tendência de ransomware como serviço (RaaS), permitindo que grupos criminosos menores tenham acesso a ferramentas avançadas. Especialistas em segurança recomendam que as organizações monitorem indicadores de comprometimento relacionados ao Monolock e mantenham backups offline para se protegerem contra essa nova ameaça.

Um grupo de ciberespionagem vinculado à China, conhecido como Salt Typhoon, atacou uma organização de telecomunicações na Europa na primeira semana de julho de 2025. Os invasores exploraram uma vulnerabilidade em um dispositivo Citrix NetScaler Gateway para obter acesso inicial. Salt Typhoon, ativo desde 2019, é conhecido por suas táticas de persistência e exfiltração de dados sensíveis em mais de 80 países, incluindo os EUA. Durante o ataque, os hackers utilizaram o Citrix Virtual Delivery Agent (VDA) para se mover lateralmente na rede da vítima, além de empregar o SoftEther VPN para ocultar suas origens. Um dos malwares utilizados foi o Snappybee, que se aproveita de uma técnica chamada DLL side-loading, onde arquivos DLL maliciosos são carregados junto a executáveis legítimos de software antivírus. A atividade maliciosa foi identificada e mitigada antes que pudesse causar danos maiores. A natureza furtiva e a capacidade de reutilizar ferramentas confiáveis tornam o Salt Typhoon um adversário desafiador para as defesas cibernéticas.

Um novo malware, atribuído ao grupo de hackers COLDRIVER, vinculado à Rússia, passou por várias iterações desde maio de 2025, indicando um aumento nas operações do grupo. O Google Threat Intelligence Group (GTIG) observou que, apenas cinco dias após a divulgação do malware LOSTKEYS, o COLDRIVER já havia refinado suas ferramentas de ataque. O novo malware, denominado NOROBOT, YESROBOT e MAYBEROBOT, é uma coleção de famílias de malware interconectadas. As recentes ondas de ataque se afastam do foco habitual do COLDRIVER, que visa indivíduos de alto perfil, e agora utilizam iscas do tipo ClickFix para induzir usuários a executar comandos maliciosos no PowerShell. A cadeia de infecção começa com um lure HTML chamado COLDCOPY, que instala o NOROBOT. O YESROBOT, um backdoor em Python, foi rapidamente substituído pelo MAYBEROBOT, que possui funcionalidades mais avançadas. A evolução constante dessas ferramentas demonstra a tentativa do grupo de evitar sistemas de detecção e continuar a coleta de informações de alvos significativos. Além disso, três adolescentes na Holanda foram suspeitos de fornecer serviços a um governo estrangeiro, possivelmente relacionado a atividades de espionagem digital. Essa situação ressalta a necessidade de vigilância e proteção contra ameaças cibernéticas em um cenário global cada vez mais complexo.

Recentes incidentes de cibersegurança revelam que brechas silenciosas estão se tornando comuns, com atacantes permanecendo nas redes por longos períodos sem serem detectados. Um dos casos mais alarmantes envolve a F5, que anunciou a violação de seus sistemas por atores desconhecidos, resultando no roubo de códigos fonte do BIG-IP e informações sobre vulnerabilidades não divulgadas. Acredita-se que os atacantes, associados a um grupo de espionagem da China, estavam ativos na rede da F5 por pelo menos 12 meses.

Pesquisadores de cibersegurança identificaram uma nova campanha maliciosa que visa os setores automotivo e de e-commerce na Rússia, utilizando um malware .NET inédito chamado CAPI Backdoor. A análise da Seqrite Labs revela que a infecção é desencadeada por e-mails de phishing que contêm um arquivo ZIP. Dentro deste arquivo, há um documento em russo que finge ser uma notificação sobre legislação tributária e um arquivo de atalho do Windows (LNK) que executa o malware.

O grupo de cibercrime conhecido como Silver Fox, associado ao malware Winos 4.0, ampliou suas operações, agora mirando Japão e Malásia, além de China e Taiwan. A nova variante, chamada HoldingHands RAT, é distribuída por meio de e-mails de phishing que contêm PDFs com links maliciosos, disfarçados como documentos oficiais do Ministério das Finanças. O Winos 4.0 é frequentemente disseminado via phishing e técnicas de SEO, levando usuários a sites falsos que imitam softwares populares. Recentemente, a Fortinet identificou campanhas que utilizam documentos de Excel relacionados a impostos como isca para infectar sistemas. O HoldingHands RAT é projetado para se conectar a servidores remotos, capturar informações sensíveis e executar comandos do atacante. A complexidade do ataque é aumentada por técnicas de evasão que dificultam a detecção, como a desativação de softwares de segurança. A situação é preocupante, pois a exfiltração de dados pode resultar em espionagem cibernética e roubo de identidade, representando uma ameaça significativa para a infraestrutura organizacional e a privacidade individual.

Pesquisadores da FortiGuard Labs alertam sobre um novo malware chamado Stealit, que opera como um serviço comercial de roubo de dados. Este vírus, direcionado principalmente a usuários do Windows, é capaz de assumir o controle do computador da vítima, capturando informações sensíveis, como senhas e dados pessoais. O Stealit utiliza uma ferramenta chamada Single Executable Application (SEA), que permite que todos os arquivos maliciosos sejam compactados em um único programa, facilitando sua execução mesmo em sistemas sem Node.js instalado.

Pesquisadores identificaram um aumento nas táticas sofisticadas de cadeia de suprimentos do grupo WaterPlum, vinculado à Coreia do Norte, especificamente sua Cluster B, que ampliou a distribuição do malware OtterCandy por meio da campanha ClickFake Interview no Japão e em outras regiões. Desde julho de 2025, a Cluster B mudou seu foco para um RAT (Remote Access Trojan) baseado em Node.js, chamado OtterCandy, que combina recursos de ferramentas anteriores e permite a exfiltração de dados de forma mais eficiente. O malware se conecta a um servidor de comando e controle (C2) via Socket.IO, transmitindo informações do sistema e coletando credenciais de navegadores, arquivos de carteiras de criptomoedas e documentos do usuário. A versão 2 do OtterCandy introduziu melhorias significativas, como a coleta de dados completos de perfis de navegadores e um comando que apaga vestígios de sua presença. Organizações no Japão e em regiões afetadas devem reforçar suas regras de detecção de endpoints e monitorar atividades suspeitas relacionadas ao Node.js. A evolução do OtterCandy representa um ponto crítico nas operações de atores de ameaças da Coreia do Norte, exigindo vigilância reforçada em controles de segurança de cadeia de suprimentos e endpoints.

Cibercriminosos estão utilizando vídeos do TikTok para disseminar malware sofisticado através de uma campanha de engenharia social que promete ativação gratuita de softwares, como o Photoshop. Pesquisadores de segurança identificaram diversos vídeos na plataforma, alguns com mais de 500 curtidas, que atraem vítimas com promessas de ativação gratuita. O ataque utiliza uma cadeia de infecção em múltiplas etapas, entregando o AuroStealer, um malware projetado para roubar informações sensíveis. A campanha instrui as vítimas a executar um comando PowerShell que baixa e executa um script malicioso. Este script, com uma pontuação de detecção de 17/63 no VirusTotal, baixa um segundo payload, o updater.exe, que é identificado como AuroStealer. O malware se torna persistente através de tarefas agendadas que se disfarçam como serviços legítimos do Windows. Além disso, uma técnica avançada de auto-compilação é utilizada, onde o código malicioso é compilado diretamente na máquina da vítima, dificultando a detecção por soluções antivírus. Pesquisadores descobriram vídeos adicionais promovendo ferramentas de ativação falsas para outros softwares populares, alertando os usuários a não executarem comandos PowerShell de fontes não confiáveis e a manterem suas proteções atualizadas.

Um recente relatório do Google Threat Intelligence Group (GTIG) revelou que mais de 14.000 sites WordPress foram comprometidos por um grupo de hackers conhecido como UNC5142, que operou entre o final de 2023 e julho de 2025. Este grupo utilizou vulnerabilidades em plugins e temas para implantar um downloader JavaScript chamado CLEARSHOT, que facilitava a distribuição de malware. O uso de tecnologia blockchain para armazenar partes da infraestrutura do ataque aumentou a resiliência do grupo e dificultou as operações de remoção. O malware era distribuído através de páginas de phishing que induziam os usuários a executar comandos maliciosos em seus sistemas, utilizando a técnica de engenharia social chamada ClickFix. As páginas de destino eram frequentemente hospedadas em servidores da Cloudflare e acessadas em formato criptografado, complicando ainda mais a detecção e mitigação do ataque. A combinação de técnicas de ofuscação e a utilização de blockchain tornam este incidente um alerta significativo para a segurança cibernética, especialmente para organizações que utilizam WordPress.

O relatório Digital Defense Report 2025 da Microsoft revela que a motivação financeira continua a dominar o cenário global de ameaças cibernéticas, com 52% dos ataques analisados relacionados a extorsão e ransomware. O documento, assinado pelo Chief Information Security Officer da Microsoft, Igor Tsyganskiy, destaca que 80% dos incidentes investigados estavam ligados ao roubo de dados, evidenciando que os cibercriminosos priorizam o lucro em vez da espionagem. A pesquisa também enfatiza o uso crescente de inteligência artificial (IA) em ciberataques, permitindo que até mesmo atores de baixo nível escalem operações maliciosas. A Microsoft processa mais de 100 trilhões de sinais de segurança diariamente, bloqueando cerca de 4,5 milhões de tentativas de malware e analisando 5 bilhões de e-mails para detectar phishing. A automação e a IA mudaram drasticamente a dinâmica dos ataques, com criminosos utilizando modelos de aprendizado de máquina para descobrir vulnerabilidades rapidamente e gerar malware polimórfico. O relatório também menciona o aumento das ameaças de atores estatais, especialmente da China, Irã, Rússia e Coreia do Norte, que estão explorando vulnerabilidades recém-divulgadas com rapidez. A Microsoft recomenda que as organizações integrem a segurança em suas estratégias de negócios e adotem modelos de defesa impulsionados por IA para enfrentar essas ameaças.

O MSIX, padrão de embalagem de aplicativos do Windows, que prometia segurança e flexibilidade, agora se tornou um alvo para operações de malware. A combinação de containerização e assinatura digital está sendo explorada por criminosos que oferecem pacotes maliciosos como um serviço. Esses pacotes, que parecem legítimos, são distribuídos através de campanhas de malvertising e engenharia social, enganando usuários a baixá-los. Os atacantes utilizam certificados assinados por desenvolvedores, permitindo que os pacotes maliciosos evitem a detecção por ferramentas de segurança. Uma vez instalados, esses pacotes podem executar scripts e invocar PowerShell, dificultando a visibilidade e a investigação forense. Para combater essa ameaça, a comunidade de segurança está desenvolvendo novas abordagens de detecção e ambientes de teste controlados, como a ferramenta MSIXBuilder da Splunk, que permite simular ataques sem expor redes a malware real. A análise detalhada dos logs de eventos do Windows é essencial para identificar atividades suspeitas e proteger as organizações contra essas novas táticas de ataque.

Um grupo de hackers da Coreia do Norte, associado à campanha Contagious Interview, está aprimorando suas ferramentas de malware, conforme revelado por novas investigações da Cisco Talos. As funcionalidades dos malwares BeaverTail e OtterCookie estão se aproximando, com o OtterCookie agora incorporando um módulo para keylogging e captura de telas. Essa atividade é parte de uma campanha de recrutamento fraudulenta que começou em 2022, onde os atacantes se passam por empresas para enganar candidatos a emprego e instalar malware que rouba informações. Recentemente, o grupo também começou a usar uma técnica chamada EtherHiding para buscar cargas úteis em blockchains como BNB Smart Chain e Ethereum, transformando essas infraestruturas descentralizadas em servidores de comando e controle. A campanha tem como alvo usuários que caem em ofertas de emprego falsas, levando à infecção de sistemas. Um exemplo recente envolve um aplicativo Node.js malicioso chamado Chessfi, que foi distribuído através do repositório Bitbucket. O malware evoluiu para incluir módulos que monitoram o clipboard e roubam dados de extensões de criptomoedas, aumentando o risco de roubo de informações sensíveis e acesso remoto. Essa situação destaca a necessidade de vigilância constante e medidas de segurança robustas para proteger dados sensíveis.

O Google Threat Intelligence Group (GTIG) revelou que o grupo de hackers norte-coreano UNC5342 está utilizando uma técnica inovadora chamada EtherHiding para realizar roubos em larga escala de criptomoedas. Essa técnica, que foi inicialmente associada a grupos motivados financeiramente, envolve a inserção de códigos maliciosos em contratos inteligentes de blockchains, como BNB Smart Chain e Ethereum, transformando esses registros descentralizados em servidores de comando e controle à prova de desativação.

Um novo rootkit para Linux, chamado LinkPro, foi descoberto utilizando a tecnologia eBPF (Extended Berkeley Packet Filter) para ocultar sua presença e garantir persistência em sistemas comprometidos. A equipe de resposta a incidentes da Synacktiv (CSIRT) identificou o malware durante uma investigação em uma infraestrutura AWS comprometida. O LinkPro atuou como um backdoor discreto em clusters do Elastic Kubernetes Service (EKS) após a exploração de um servidor Jenkins exposto (CVE-2024-238976).

A Microsoft anunciou a revogação de mais de 200 certificados utilizados pelo grupo de cibercriminosos conhecido como Vanilla Tempest, que assina fraudulentamente binários maliciosos em ataques de ransomware. Esses certificados foram empregados em arquivos de instalação falsos do Microsoft Teams para entregar o backdoor Oyster e, por fim, implantar o ransomware Rhysida. A atividade foi detectada no final de setembro de 2025, e a Microsoft já atualizou suas soluções de segurança para sinalizar as assinaturas associadas a esses arquivos maliciosos. O grupo Vanilla Tempest, que opera desde julho de 2022, é conhecido por distribuir diversas variantes de ransomware, incluindo BlackCat e Quantum Locker. O backdoor Oyster é frequentemente disseminado por meio de instaladores trojanizados de softwares populares, utilizando domínios maliciosos que imitam sites legítimos. A Microsoft alerta que os usuários são frequentemente direcionados a esses sites por meio de técnicas de SEO, que manipulam resultados de busca. Para se proteger, é recomendado baixar softwares apenas de fontes verificadas e evitar clicar em links suspeitos.

A Seqrite Labs revelou uma operação de ciberespionagem sofisticada, denominada Operação Silk Lure, que utiliza uma campanha de aplicação de emprego enganosa para comprometer organizações na China. O ataque começa com e-mails de spear-phishing que se disfarçam de candidatos a vagas técnicas em setores como FinTech e criptomoedas. Os e-mails contêm arquivos .LNK maliciosos disfarçados de currículos, que, ao serem executados, lançam um script PowerShell que baixa o malware ValleyRAT de um domínio controlado por hackers. O script abusa do Agendador de Tarefas do Windows para criar uma tarefa recorrente que ativa o malware diariamente, ocultando suas atividades. O ValleyRAT é um backdoor modular que realiza vigilância extensiva, captura dados sensíveis e se adapta para evitar detecção por softwares antivírus. A pesquisa da Seqrite identificou mais de 20 domínios relacionados ao ataque, que se assemelham a portais de emprego legítimos, aumentando a credibilidade do golpe. A Seqrite recomenda que as organizações monitorem execuções suspeitas do PowerShell e bloqueiem conexões com os domínios maliciosos identificados.

Uma nova campanha de phishing está atacando usuários do LastPass, disfarçando-se como alertas de segurança urgentes para disseminar malware. Especialistas em segurança identificaram e-mails fraudulentos enviados de domínios como ‘hello@lastpasspulse[.]blog’ e ‘hello@lastpassgazette[.]blog’, com linhas de assunto alarmantes como ‘Fomos Hackeados - Atualize Seu Aplicativo LastPass Desktop para Manter a Segurança do Cofre’. Apesar das alegações, a equipe de segurança do LastPass confirmou que não houve violação. Os e-mails direcionam os usuários a domínios maliciosos, como ’lastpassdesktop[.]com’, que foram sinalizados como sites de phishing ativos. A análise técnica dos cabeçalhos dos e-mails revela táticas de ofuscação agressivas, reforçando a ilusão de legitimidade. A campanha coincide com um feriado nos EUA, um momento estratégico em que as equipes de segurança podem estar menos atentas. O LastPass enfatiza que nunca solicitará a senha mestra ou exigirá atualizações imediatas por meio de links enviados por e-mail. Os usuários são aconselhados a verificar todas as comunicações inesperadas e a encaminhar e-mails suspeitos para investigação.

Pesquisadores das Universidades da Califórnia, Carnegie Mellon e Washington identificaram um novo tipo de ataque chamado Pixnapping, que explora vulnerabilidades em dispositivos Android para roubar códigos de autenticação em duas etapas (2FA) e outros dados sensíveis. O ataque é classificado como um ataque de canal lateral, onde o malware consegue contornar as ferramentas de segurança dos navegadores e acessar informações através da API do Android e do hardware do dispositivo. O método utilizado permite que o malware capture dados em apenas 30 segundos, afetando diversos modelos de celulares, incluindo os da Google e Samsung, com versões do Android variando da 13 à 16.

Uma investigação sobre a violação de uma infraestrutura hospedada na Amazon Web Services (AWS) revelou um novo rootkit para GNU/Linux, denominado LinkPro, conforme relatado pela empresa de cibersegurança Synacktiv. O ataque começou com a exploração de um servidor Jenkins exposto, vulnerável à CVE-2024–23897, que permitiu a implantação de uma imagem Docker maliciosa chamada ‘kvlnt/vv’ em vários clusters Kubernetes. Essa imagem continha um sistema baseado em Kali Linux e arquivos que permitiam a instalação de um servidor VPN e um downloader que se comunicava com um servidor de comando e controle (C2).

O grupo de ameaças UNC5142, motivado financeiramente, tem explorado contratos inteligentes de blockchain para disseminar malwares como Atomic, Lumma e Vidar, visando sistemas Windows e macOS. Segundo o Google Threat Intelligence Group, essa técnica, chamada ‘EtherHiding’, permite que o código malicioso seja ocultado em blockchains públicas, como a BNB Smart Chain. Desde junho de 2025, cerca de 14.000 páginas da web com JavaScript injetado foram identificadas, indicando um ataque indiscriminado a sites WordPress vulneráveis. O ataque utiliza um downloader JavaScript chamado CLEARSHORT, que baixa o malware em várias etapas, utilizando contratos inteligentes para buscar páginas de aterrissagem maliciosas. As vítimas são induzidas a executar comandos que instalam o malware em seus sistemas. A evolução das táticas do grupo inclui uma arquitetura de três contratos inteligentes, permitindo atualizações rápidas e maior resistência a ações de mitigação. Embora não tenha sido detectada atividade do UNC5142 desde julho de 2025, a técnica de abuso de blockchain representa um risco significativo para a segurança cibernética, especialmente em um cenário onde a tecnologia Web3 está em ascensão.

Um grupo de hackers associado à Coreia do Norte, identificado como UNC5342, está utilizando a técnica EtherHiding para distribuir malware e roubar criptomoedas. Este é o primeiro caso documentado de um grupo patrocinado por um estado adotando essa abordagem. A técnica consiste em embutir código malicioso em contratos inteligentes em blockchains públicas, como Ethereum, tornando a detecção e a remoção mais difíceis. A campanha, chamada ‘Contagious Interview’, envolve abordagens de engenharia social em plataformas como LinkedIn, onde os atacantes se passam por recrutadores para induzir as vítimas a executar códigos maliciosos. O objetivo é acessar máquinas de desenvolvedores, roubar dados sensíveis e criptomoedas. O Google Threat Intelligence Group observou essa atividade desde fevereiro de 2025, destacando a evolução das ameaças cibernéticas e a adaptação dos atacantes a novas tecnologias. O ataque utiliza uma cadeia de infecção que pode atingir sistemas Windows, macOS e Linux, empregando diferentes famílias de malware, incluindo um downloader e um backdoor chamado InvisibleFerret, que permite controle remoto das máquinas comprometidas.