Malware

Atacantes patrocinados pelo Estado russo, identificados como UAC-0145, estão utilizando a estratégia ClickFix para enganar alvos ucranianos a infectarem suas próprias máquinas com malware de roubo de dados. O Computer Emergency Response Team da Ucrânia (CERT-UA) relatou que esses ataques envolvem a inserção de verificações CAPTCHA falsas em sites comprometidos, que instruem os usuários a executar comandos PowerShell. Um exemplo de comando pode baixar e salvar um arquivo VBS no diretório de inicialização do sistema. Além disso, os atacantes utilizam um script PowerShell chamado SCOUTCURL para realizar reconhecimento básico, coletando informações sobre a máquina infectada. Entre os malwares identificados estão FLUIDLEECH, LOADLOOP e um backdoor em Python chamado FREAKYPOLL. Os atacantes também têm explorado dispositivos Android, distribuindo arquivos APK disfarçados como ferramentas de segurança, que contêm um backdoor chamado COWARDDUCK. Essa abordagem marca uma mudança em relação a campanhas anteriores que usavam instaladores trojanizados. O uso da técnica ClickFix demonstra sua eficácia contínua na engenharia social para a entrega de malware, com implicações significativas para a segurança cibernética.

A Microsoft identificou um aumento significativo nos ataques utilizando o malware ACR Stealer, que visa roubar senhas armazenadas em navegadores, tokens de autenticação e documentos sensíveis de clientes corporativos. Entre abril e junho de 2023, os atacantes empregaram métodos de engenharia social, como o ClickFix, além de servidores WebDAV e a ferramenta MSHTA para entregar o malware. O ACR Stealer, uma operação de malware como serviço (MaaS), é considerado uma rebranding do Amatera Stealer. Os ataques ocorrem em duas cadeias de entrega principais: a primeira utiliza um lure ClickFix para executar um DLL malicioso de um compartilhamento WebDAV, enquanto a segunda lança o MSHTA para baixar e executar um downloader PowerShell ofuscado. O objetivo principal é roubar dados sensíveis, incluindo senhas, cookies e documentos do Microsoft 365. A Microsoft recomenda que as organizações implementem filtros e restrinjam o acesso a recursos online desnecessários para mitigar esses riscos.

Pesquisadores de cibersegurança identificaram o incidente de segurança da DigiCert, ocorrido em abril de 2026, como resultado da atividade do grupo de ameaças CylindricalCanine, uma subcategoria do grupo de cibercrime chinês GoldenEyeDog. Este grupo é conhecido por atacar setores de jogos e apostas, utilizando sites falsificados para disseminar software malicioso. O ataque à DigiCert envolveu o acesso não autorizado a dispositivos de analistas de suporte, permitindo o roubo de certificados de assinatura de código destinados a clientes da empresa. O malware utilizado, uma versão modificada do Gh0st RAT, foi entregue através de um arquivo ZIP disfarçado como captura de tela de cliente. A DigiCert revogou 60 certificados comprometidos, dos quais 27 estavam diretamente ligados ao ataque. O grupo CylindricalCanine também tem um histórico de abusar de certificados de assinatura de código para evitar detecções em suas operações. Este incidente destaca a necessidade de vigilância contínua e melhorias nas práticas de segurança, especialmente em relação ao acesso a informações sensíveis e à proteção de certificados digitais.

Pesquisadores de cibersegurança identificaram uma campanha de ataque à cadeia de suprimentos de software, chamada ViteVenom, que envolve sete pacotes npm maliciosos direcionados ao ecossistema de ferramentas frontend Vite. Essa campanha é uma extensão do ChainVeil, que utiliza uma infraestrutura de comando e controle (C2) baseada em blockchain, tornando a desativação da mesma extremamente difícil. Os pacotes maliciosos, que se disfarçam como bibliotecas legítimas, foram publicados entre 29 de junho e 3 de julho de 2026, e incluem nomes como @uw010010/vite-tree e @vite-tab/tab. A principal técnica utilizada é a execução do código malicioso não na instalação, mas no momento da importação, o que dificulta a detecção por sistemas de segurança. Os pesquisadores recomendam que os usuários que instalaram esses pacotes removam-nos imediatamente, auditem suas dependências e troquem todas as credenciais. A campanha é atribuída a um ator de ameaças conhecido como SuccessKey, com atividades detectadas desde fevereiro de 2026.

Atuando sob a campanha Contagious Interview, hackers associados à Coreia do Norte têm utilizado esteganografia em arquivos de imagem SVG para ocultar cargas maliciosas. A campanha, que visa principalmente desenvolvedores de software, se aproveita de postagens de emprego falsas e desafios de programação para disseminar malware. Os usuários que interagem com essas postagens acabam executando um payload em quatro etapas, que inclui um ladrão de credenciais de navegador e carteiras de criptomoedas, um ladrão de arquivos, um trojan de acesso remoto baseado em Socket.IO e um ladrão de clipboard. A pesquisa da Elastic Security Labs revelou que a campanha foi identificada após ataques a membros de um workspace no Slack, onde mensagens enganosas buscavam desenvolvedores experientes. Os repositórios de código distribuídos contêm código funcional, mas também incorporam código malicioso disfarçado em imagens SVG, evitando a detecção. O malware, chamado OtterCookie, evoluiu para um programa modular capaz de roubar dados de forma abrangente, incluindo informações de carteiras de criptomoedas e extensões de ferramentas de codificação de inteligência artificial. Essa campanha destaca a vulnerabilidade dos desenvolvedores e a necessidade de proteção contra ataques direcionados que podem comprometer toda a cadeia de suprimentos.

Pesquisadores de cibersegurança descobriram um malware inédito chamado GoSerpent, que tem sido utilizado em ataques cibernéticos direcionados a entidades no Sudeste Asiático desde o final de 2025. A empresa russa Kaspersky identificou a atividade em fevereiro de 2026, revelando que o malware visa principalmente entidades governamentais e diplomáticas na região. O GoSerpent é projetado para se conectar a um servidor externo e implantar cargas secundárias para coleta de dados sensíveis e extração de credenciais do sistema.

O ACR Stealer, um infostealer ativo desde 2024, tem se mostrado uma ameaça significativa para redes corporativas, conseguindo roubar senhas de navegadores, tokens de sessão, documentos do Microsoft 365 e arquivos de pastas sincronizadas do OneDrive e SharePoint. A infecção ocorre quando um usuário cola um comando na caixa de execução do Windows e pressiona Enter, um vetor que não requer exploração de vulnerabilidades. A Microsoft identificou duas cadeias de entrega do malware, sendo uma delas baseada em memória e a outra gravando arquivos no disco. Ambas as cadeias utilizam iscas de ClickFix para enganar os usuários e facilitar o roubo de credenciais e documentos sensíveis. O ataque pode ser iniciado por meio de malvertising ou resultados de busca manipulados, levando os usuários a páginas que imitam assistentes de IA. A Microsoft recomenda que as vítimas revoguem tokens e não apenas alterem senhas. O ACR Stealer, que foi rebatizado como Amatera Stealer, é associado a um ator conhecido como SheldIO, que comercializou o malware em fóruns de língua russa. A detecção e mitigação desse malware exigem ações proativas das equipes de segurança, incluindo a remoção do prompt de execução e o bloqueio de executáveis suspeitos.

Um novo framework malicioso chamado OkoBot está em operação, entregando mais de 20 tipos de payloads em ataques que visam roubar frases-semente de carteiras de criptomoedas, credenciais e outros dados sensíveis. O OkoBot atinge suas vítimas por meio de ataques ClickFix ou repositórios maliciosos no GitHub que se disfarçam como ferramentas de software legítimas. Um exemplo é um repositório que prometia o SQL Server Management Studio (SSMS), mas na verdade instalava uma versão trojanizada do Audacity. Pesquisadores da Kaspersky identificaram que a campanha OkoBot está ativa há mais de um ano e evoluiu de uma atividade anterior que utilizava um script PowerShell malicioso chamado TookPS. A nova cadeia de infecção envolve múltiplas etapas, começando com o TookPS que instala um bot SSH para entregar outros componentes maliciosos. O OkoBot coleta detalhes do sistema, desativa notificações do Windows Defender e rouba arquivos de carteiras de criptomoedas, cookies de navegadores e credenciais de contas. Entre os módulos mais notáveis estão o ext daemon/extl.exe, que injeta extensões maliciosas no Chrome, e o SeedHunter, que finge ser uma tela de recuperação de seed para roubar frases de recuperação de carteiras. A maioria das vítimas está no Brasil, seguido por países como Vietnã, Canadá e México. A campanha é global, mas apresenta características que sugerem a atuação de um ator de ameaças de língua russa.

Um novo malware para macOS, chamado ClickLock, foi identificado como uma ameaça significativa, projetado para roubar ativos de criptomoeda, credenciais de login e dados de gerenciadores de senhas. A análise da Group-IB revelou que o malware força os usuários a inserir suas senhas de login do sistema, utilizando engenharia social e um loop de interação forçada. O ataque começa com um comando malicioso no Terminal, que ativa uma sequência falsa de verificação de ‘humano’ da Cloudflare, enquanto oculta o cursor e desativa interrupções do teclado. Caso o usuário cancele a entrada da senha, o malware se torna persistente através de LaunchAgents, reiniciando a cada login e exibindo um diálogo de senha até que o usuário ceda. O ClickLock também coleta dados de navegadores, senhas armazenadas e informações de carteiras de criptomoedas, enviando tudo para o atacante via Telegram. A detecção do malware é dificultada por sua capacidade de se auto-excluir após a execução e por estar hospedado em domínios legítimos comprometidos. Para se proteger, os usuários devem evitar comandos desconhecidos no Terminal e, se necessário, forçar o desligamento do sistema. A Group-IB alerta que a janela de detecção é estreita, exigindo atenção redobrada dos usuários e administradores de sistemas.

Uma campanha ativa do grupo PhantomEnigma resultou no sequestro de mais de 20 sites do governo brasileiro, transformando-os em canais de entrega de malware. A investigação realizada pela ANY.RUN revelou um comportamento de backdoor não documentado anteriormente, além de conexões de infraestrutura ocultas e múltiplos vetores de ataque que colocam bancos e agências públicas em risco. Os ataques começaram com documentos falsos, como ‘Ofício Polícia Civil’ e ‘Procuração Digital’, que incluíam QR codes e links que pareciam legítimos. Os e-mails fraudulentos, enviados de caixas de correio comprometidas, passaram por verificações de segurança, como SPF, DKIM e DMARC, aumentando sua aparência de legitimidade. Os sistemas governamentais foram usados como infraestrutura confiável para a entrega do malware, sem serem os alvos finais. A evolução da campanha incluiu a transição de atividades focadas em bancos para o uso de sites .gov.br comprometidos, dificultando a detecção. O malware, um backdoor modular, pode coletar dados do sistema, estabelecer persistência e entregar diferentes cargas úteis, tornando a contenção mais desafiadora. Este incidente destaca a necessidade de vigilância contínua e de um protocolo seguro para relatar mensagens suspeitas, especialmente em setores críticos como o financeiro e o público.

O ClickLock Stealer é um novo infostealer direcionado a sistemas macOS, que utiliza táticas de coerção para forçar as vítimas a fornecer suas senhas de login. O malware é introduzido através de um comando colado no Terminal, que solicita a senha em um falso diálogo de sistema. Caso a vítima cancele a operação, o malware instala dois LaunchAgents que iniciam um ciclo de encerramento de aplicativos a cada 210 milissegundos, por até 83 horas, mantendo uma caixa de senha visível na tela. Ao digitar a senha, o invasor obtém acesso ao Keychain, credenciais de navegadores e carteiras de criptomoedas.

Pesquisadores de cibersegurança alertaram sobre um novo malware modular chamado TELEPUZ, que tem se disseminado através de sites infectados com iscas ClickFix desde o final de abril de 2026. O TELEPUZ é descrito como leve e repleto de funcionalidades, com um desenvolvimento ativo, evidenciado pelo volume diário de uploads no VirusTotal. Este malware utiliza uma técnica chamada ‘clipboard hijacking’, injetando comandos maliciosos no clipboard da vítima, que são executados quando o usuário os cola. O ataque envolve a execução de PowerShell para baixar um payload secundário, que é uma variante do Vidar Stealer, conhecido por roubar dados sensíveis. O TELEPUZ, escrito em C, incorpora diversas técnicas de ofuscação para dificultar a análise e realiza verificações para evitar ambientes de sandbox e virtualizados. Após passar por essas verificações, o malware tenta desativar a monitorização de segurança e se registrar como um serviço no Windows. Além disso, estabelece comunicação com servidores de comando e controle (C2) para receber instruções maliciosas, permitindo uma ampla gama de ações, como captura de teclas e injeção de código em navegadores. A identificação de servidores C2 comprometidos em países como Brasil e Índia destaca a gravidade da ameaça.

Recentemente, pesquisadores de cibersegurança identificaram uma série de ameaças que destacam a vulnerabilidade de sistemas e usuários. Um grupo de 11 pacotes NuGet maliciosos, disfarçados como ferramentas de jogos, foi descoberto. Esses pacotes atuam como baixadores de um payload Python que coleta dados e envia informações para chats do Telegram. Além disso, um adversário russo, conhecido como UAT-11795, tem utilizado instaladores trojanizados para implantar o Starland RAT e um agente de comando e controle (C2) chamado WLDR, visando roubar credenciais e informações de carteiras de criptomoedas. Outro incidente alarmante envolve o ransomware Spirals, que criptografa redes em menos de 24 horas após a invasão, utilizando um servidor web IIS comprometido para obter acesso inicial. A CISA também adicionou novas vulnerabilidades ao seu catálogo de Exploits Conhecidos, exigindo que agências federais apliquem correções rapidamente. Por fim, autoridades na Europa desmantelaram redes de fraudes em criptomoedas, destacando a crescente complexidade e sofisticação das ameaças cibernéticas.

Um ator de ameaça russo, identificado como UAT-11795, está utilizando um novo backdoor chamado Starland RAT para roubar credenciais e criptomoedas. As investigações indicam que os ataques começaram em junho de 2025, com foco principal em usuários nos Estados Unidos, embora também tenham sido registrados casos na Alemanha, Romênia e Venezuela. O método de ataque envolve a distribuição de instaladores trojanizados de softwares legítimos, como MobaXterm e Zoom, possivelmente utilizando o método ClickFix para empurrar os arquivos maliciosos.

Pesquisadores da Intuit, Technion e da Universidade de Tel Aviv alertam que ferramentas de inteligência artificial, como GitHub Copilot e OpenClaw, podem ser exploradas para criar botnets massivas. O método, denominado HalluSquatting, se baseia na incapacidade dos modelos de linguagem (LLMs) de identificar recursos com precisão, permitindo que atacantes registrem recursos mal nomeados e insiram comandos maliciosos. Essa técnica combina ataques de ‘pull’, onde um prompt malicioso é inserido em um site, com ataques de ‘push’, que envolvem injeção de código. Os pesquisadores demonstraram que, ao registrar recursos que um LLM pode confundir, é possível executar código remotamente em larga escala. Embora existam algumas medidas de mitigação, como o bloqueio de operações de busca por parte dos desenvolvedores de LLMs, a implementação dessas soluções pode levar tempo e requer colaboração entre diferentes partes. O aumento do malware baseado em LLMs, como o ataque JADEPUFFER, que é um ransomware totalmente operado por um LLM, destaca a urgência da situação.

Pesquisadores de cibersegurança revelaram detalhes sobre uma nova estrutura de botnet chamada TuxBot v3 Evolution, que parece ter sido desenvolvida com a ajuda de um modelo de linguagem grande (LLM). Apesar da assistência da IA, o código gerado apresenta falhas funcionais. O TuxBot é composto por um agente bot em C, um servidor de comando e controle (C2) em Go, e uma infraestrutura de testes baseada em Docker. O agente bot utiliza 1.496 pares de credenciais para realizar ataques de força bruta via Telnet e explora mais de 30 famílias de dispositivos IoT com vulnerabilidades conhecidas. A comunicação com o servidor C2 é feita através de um canal TCP criptografado, utilizando um algoritmo de geração de domínio (DGA) e protocolos P2P. O framework é modular e tem raízes em botnets conhecidas como Mirai e AISURU. Embora ainda em desenvolvimento, o TuxBot já apresenta funcionalidades que podem ser potencialmente perigosas, como a capacidade de realizar ataques DDoS e manter persistência em dispositivos comprometidos. A descoberta do TuxBot destaca a crescente integração de inteligência artificial em ferramentas de cibercrime, o que pode acelerar a evolução de ameaças no espaço IoT.

Recentemente, cinco versões maliciosas de pacotes AsyncAPI foram publicadas no Node Package Manager (npm) em um ataque de supply-chain, resultando na distribuição de um trojan com capacidades de roubo de informações. O ataque ocorreu devido a uma configuração inadequada do fluxo de trabalho do GitHub Actions, permitindo que o invasor injetasse pacotes trojanizados na namespace @asyncapi, que acumulou mais de 2,25 milhões de downloads semanais. Em 14 de julho, o invasor comprometeu dois repositórios do GitHub do AsyncAPI e injetou malware nos arquivos do projeto. Os pacotes maliciosos incluíam versões do @asyncapi/generator e @asyncapi/specs, entre outros. O malware, uma estrutura de 92.000 linhas, estabelece persistência no sistema e se comunica com servidores de comando e controle por diversos canais. Embora algumas funções de coleta de dados não estejam operacionais, o malware pode ser executado manualmente. Todos os pacotes maliciosos foram removidos do npm, mas instalações existentes podem ainda conter as versões comprometidas. A janela de exposição durou cerca de quatro horas, e recomenda-se que os desenvolvedores regenerem arquivos de bloqueio e removam o payload oculto.

O malware OkoBot, ativo desde abril de 2025, tem como alvo usuários de carteiras de hardware, como Trezor e Ledger, roubando suas frases de recuperação. O módulo SeedHunter, parte do OkoBot, injeta código malicioso no software legítimo das carteiras, criando uma página de phishing que solicita a frase de recuperação assim que o dispositivo é conectado. A Kaspersky identificou centenas de vítimas em mais de 25 países, com o Brasil sendo o mais afetado. O malware possui mais de 20 cargas úteis e continua ativo, explorando vulnerabilidades em sistemas Windows. Além disso, o OkoBot utiliza métodos sofisticados, como um downloader em PowerShell que se conecta a servidores controlados por atacantes, permitindo o roubo de credenciais e dados sensíveis. A situação é crítica, pois não há correções disponíveis para as vulnerabilidades exploradas, e a proteção depende da vigilância dos usuários e da segurança dos endpoints.

Quatro pacotes npm na namespace @asyncapi foram comprometidos e estão distribuindo um loader de botnet multiestágio, conforme relatado por OX Security, SafeDep, Socket e StepSecurity. Os pacotes afetados incluem @asyncapi/generator-helpers@1.1.1, @asyncapi/generator-components@0.7.1, @asyncapi/generator@3.3.1 e @asyncapi/specs (v6.11.2, v6.11.2-alpha.1). O ataque utiliza um payload ofuscado que baixa um segundo payload criptografado, identificado como Miasma, a partir do IPFS. O código malicioso é executado quando o módulo infectado é carregado pelo Node.js, ativando um processo em segundo plano que baixa e executa o malware. O loader, chamado ‘sync.js’, contém um framework de tarefas e um grande blob criptografado. O Miasma permite roubo de credenciais, contaminação de ferramentas de IA e propagação em repositórios como npm e PyPI. Além disso, possui mecanismos de persistência e um ‘dead man’s switch’ que apaga diretórios se um token roubado for revogado. Os pacotes maliciosos foram removidos do registro npm, mas qualquer endpoint que os utilizou deve ser considerado potencialmente comprometido.

Um ator de ameaças publicou centenas de repositórios falsos no GitHub, imitando projetos legítimos de software e segurança, com o objetivo de distribuir malware do tipo infostealer. A campanha atraiu tráfego de resultados de busca relacionados a produtos de segurança, serviços de criptomoedas, ferramentas financeiras e utilitários para desenvolvedores. O malware é capaz de coletar dados de mais de 19 navegadores, roubar informações de 32 carteiras de criptomoedas e extrair detalhes sensíveis de aplicativos de mensagens e redes sociais. A empresa de cibersegurança ArcticWolf identificou a atividade após descobrir que um de seus produtos estava sendo imitado desde 26 de junho. No total, foram encontrados 292 repositórios falsos, cada um contendo um arquivo README com um link de download que direcionava os visitantes para uma página maliciosa. Essa página apresentava uma interface projetada para inspirar confiança, incluindo botões de download e selos de autenticidade falsificados. O malware, uma variante da família BoryptGrab, coleta uma ampla gama de dados, incluindo senhas, informações de pagamento e tokens de sessão de aplicativos populares. Embora o GitHub tenha removido muitos dos repositórios maliciosos, ainda existem redirecionadores ativos. A ArcticWolf alerta que a campanha depende da confiança dos usuários em downloads gratuitos de ferramentas premium e recomenda cautela ao interagir com páginas não oficiais do GitHub.

Pesquisadores de cibersegurança alertaram sobre um novo trojan de acesso remoto (RAT) chamado LabubaRAT, que utiliza a linguagem de programação Rust e se disfarça como software da NVIDIA para se infiltrar em ambientes-alvo. O LabubaRAT permite que os atacantes mantenham um ponto de acesso reutilizável, realizando diversas atividades, como perfilamento do host, identificação de ferramentas de segurança, execução de comandos, movimentação de arquivos e captura de telas. O malware se comunica por meio de múltiplos métodos, incluindo HTTPS e DNS tunneling, o que dificulta sua detecção e remoção. O ataque começa com um executável chamado ’nvidia-sysruntime.exe’, que aceita configurações em tempo de execução, permitindo que os operadores definam parâmetros críticos para a comunicação com o servidor remoto. O LabubaRAT também realiza operações de descoberta para identificar navegadores e produtos de segurança instalados, preparando o ambiente para suas funções. Com uma ampla gama de capacidades, o malware oferece controle significativo ao operador, permitindo interações diretas com o sistema comprometido. A estrutura do LabubaRAT sugere que ele pode ser oferecido como um serviço de malware (MaaS), aumentando sua acessibilidade para cibercriminosos.

Um novo malware para macOS, chamado CrashStealer, tem se destacado por se disfarçar como a ferramenta de relatórios de falhas da Apple, visando roubar credenciais, dados do chaveiro e carteiras de criptomoedas. Pesquisadores começaram a monitorar essa ameaça em maio, quando ainda estava em desenvolvimento, mas notaram seu uso em ataques a partir de julho. O malware utiliza um binário que imita o componente do sistema da Apple, chamado ‘CrashReporter.app’, e cria um LaunchAgent com o nome ‘com.apple.crashreporter.helper’, além de usar o ícone e metadados da ferramenta legítima para evitar a detecção. O instalador, denominado ‘Werkbit Setup’, é assinado e notarizado pela Apple, permitindo que o malware contorne o Gatekeeper, a proteção anti-malware do macOS. Ao ser executado, o CrashStealer apresenta um falso prompt de senha do macOS, enganando o usuário para que forneça sua senha do chaveiro, que armazena dados sensíveis como senhas de aplicativos e chaves criptográficas. O malware também coleta credenciais de navegadores e gerenciadores de senhas, além de arquivos de diretórios do usuário. Os dados roubados são criptografados e enviados para um servidor de comando e controle. A operação é cuidadosamente planejada para ser discreta, utilizando um dropper assinado e notarizado, e um processo de re-assinatura para garantir persistência.

A empresa Jscrambler, especializada em segurança web, revelou que um ator de ameaça publicou uma versão maliciosa de seu pacote npm, que foi baixada quase 1.500 vezes em um curto período de duas horas. As versões afetadas foram 8.14, 8.16, 8.17 e 8.20, e o malware incluído tinha a capacidade de roubar informações sensíveis durante o processo de instalação. O pacote malicioso foi rapidamente descontinuado e substituído pela versão segura 8.22. O malware visava dados críticos, como credenciais de desenvolvedores, segredos de nuvem, dados de carteiras de criptomoedas e informações de aplicativos de colaboração. A Jscrambler atribuiu a violação a credenciais de publicação npm comprometidas, que já foram revogadas. Após o incidente, a empresa implementou controles de segurança adicionais em seu pipeline de publicação. Os desenvolvedores que utilizaram as versões maliciosas devem considerar seus ambientes como comprometidos e rotacionar todas as credenciais. A Jscrambler recomenda que seus clientes utilizem a versão mais recente de seu produto para garantir a segurança.

A Nihon Kotsu, maior operadora de táxis do Japão, sofreu um ciberataque que comprometeu seus sistemas, levando à paralisação de parte de sua infraestrutura. O incidente ocorreu na manhã de sábado e afetou operações críticas, incluindo o sistema de despacho de táxis, que permanece fora do ar. A empresa, que gera cerca de US$ 1 bilhão em receita anual e emprega mais de 18 mil pessoas, confirmou a infecção por malware e tomou medidas de emergência para evitar danos adicionais, como desconectar sistemas afetados. Serviços de reserva e contratação de veículos, incluindo o serviço de ’táxi para parturientes’, estão suspensos em várias áreas, incluindo Tóquio e Yokohama. A Nihon Kotsu está colaborando com especialistas em cibersegurança para investigar o incidente e avaliar a possibilidade de vazamento de dados, embora até o momento nenhum vazamento tenha sido confirmado. A empresa recomenda que os clientes evitem abrir anexos de comunicações suspeitas e utilizem o aplicativo ‘GO’ ou táxis disponíveis nas ruas. O ataque ainda não foi reivindicado por grupos de ransomware ou gangues de extorsão.

Pesquisadores de cibersegurança identificaram um novo malware para macOS chamado CrashStealer, que tem a capacidade de roubar informações sensíveis de sistemas comprometidos. Diferente de outros ladrões de informações, CrashStealer é desenvolvido em C++ e não utiliza AppleScript ou Objective-C. O malware valida a senha de login do usuário localmente antes de coletar dados de navegadores, carteiras de criptomoedas, gerenciadores de senhas e do chaveiro do macOS. Os dados coletados são criptografados com AES-GCM e enviados para um servidor controlado pelos atacantes. O malware é distribuído através de um dropper assinado e notarizado, chamado ‘Werkbit.app’, que passa pelas verificações de segurança do Gatekeeper da Apple. O processo de instalação é oculto por um PIN de reunião, limitando o acesso ao instalador. Após a instalação, o malware estabelece persistência como um LaunchAgent e coleta dados de várias fontes, incluindo credenciais de navegadores e gerenciadores de senhas. A exfiltração de dados é feita em um arquivo ZIP enviado para um servidor específico. A complexidade e a sofisticação do CrashStealer destacam a necessidade de vigilância constante em relação a ameaças emergentes no ecossistema macOS.

Angelo Martino, um negociador de ransomware, foi condenado a 70 meses de prisão por colaborar secretamente com o grupo criminoso BlackCat (ALPHV). Em vez de ajudar as vítimas a minimizar os danos, Martino e seus co-conspiradores, Ryan Clifford Goldberg e Kevin Tyler Martin, não apenas falharam em proteger os interesses de seus clientes, mas também infectaram algumas das vítimas com malware. O grupo visava empresas de diversos setores, incluindo dispositivos médicos e farmacêuticos, e exigiu resgates que totalizavam milhões de dólares. Martino, de 41 anos, terá que devolver todos os ganhos em criptomoeda que recebeu, além de perder bens como casas e carros adquiridos com esse dinheiro. Ele também deverá pagar 10% de seu salário futuro após a liberação. A condenação de Martino se segue a sentenças anteriores de seus co-conspiradores, que receberam penas de quatro anos. O caso destaca a crescente preocupação com a confiança em negociadores de ransomware e a necessidade de vigilância em transações de segurança cibernética.

A União Europeia e o Reino Unido impuseram sanções a diversos indivíduos e entidades russas, acusando o país de coordenar uma rede de grupos de hackers responsáveis por ataques cibernéticos na Europa. As sanções incluem nove indivíduos e quatro entidades, entre eles oficiais da inteligência militar russa (GRU) e cibercriminosos. O Reino Unido sancionou 24 indivíduos, incluindo figuras seniores do GRU, que supostamente dirigiram operações cibernéticas. Além disso, membros da empresa IMPULS, acusada de recrutar hackers, e indivíduos ligados à operação de malware Lumma Stealer, que afetou mais de 2.100 vítimas, também foram sancionados. O Conselho da UE identificou o 16º Centro do Serviço Federal de Segurança da Rússia (FSB) como responsável por controlar grupos de ameaças cibernéticas, incluindo o notório grupo de hackers Turla, que tem atacado redes governamentais e infraestrutura crítica em vários países europeus desde 2010. Recentemente, um ataque cibernético em dezembro atingiu a infraestrutura elétrica da Polônia, embora não tenha conseguido interromper o fornecimento de energia. As sanções são uma resposta a atividades maliciosas que visam desestabilizar a UE e seus parceiros internacionais.

Uma nova versão do malware RedHook para Android está utilizando de forma inovadora o mecanismo de Wireless Debugging (Wireless ADB) para obter privilégios de shell sem a necessidade de conexão com um computador. Pesquisadores da empresa de cibersegurança Group-IB analisaram essa variante, que expande significativamente suas capacidades em comparação com a versão anterior de 2025. O RedHook mantém suas características de trojan de acesso remoto (RAT), permitindo o streaming de tela, interceptação de teclas, automação de interações na interface do usuário e roubo de credenciais.

Pesquisadores de cibersegurança revelaram uma série de atividades de espionagem cibernética direcionadas a várias organizações de aplicação da lei no Paquistão, supostamente realizadas por atores de ameaças alinhados à China e à Índia entre fevereiro de 2024 e abril de 2026. O foco principal foi a Polícia de Balochistão, onde servidores que hospedam aplicações web gerenciando dados policiais e de cidadãos, como registros criminais e biométricos, foram comprometidos. Um dos aplicativos afetados, o Sistema de Gestão de Reclamações (CMS), foi utilizado para implantar um malware disfarçado de atualização do portal. Além da Polícia de Balochistão, outras organizações, como a Polícia de Khyber Pakhtunkhwa e a Polícia de Islamabad, também foram alvo. Quatro grupos de ameaças distintos foram identificados, utilizando famílias de malware como PlugX, ShadowPad, Cobalt Strike e Remcos RAT. A atividade é notável por envolver tanto aliados quanto adversários do Paquistão, indicando um alto valor estratégico das informações coletadas. A convergência de múltiplos atores de espionagem cibernética contra instituições de segurança de um único estado destaca a importância dessas organizações na segurança interna do país.

O pacote jscrambler na versão 8.14.0 foi comprometido, e sua instalação ativa um infostealer em máquinas de desenvolvedores. Publicado em 11 de julho de 2026, essa versão maliciosa contém um hook de pré-instalação que baixa e executa um binário nativo para Windows, macOS e Linux. A análise da StepSecurity e SafeDep revelou que a versão 8.14.0 foi publicada diretamente no npm por uma conta de mantenedor legítima, o que sugere uma conta comprometida ou um pipeline de construção vulnerável. O infostealer, escrito em Rust, visa coletar credenciais de nuvem, senhas de navegadores, e até arquivos de configuração de ferramentas de codificação de IA. Além disso, ele possui capacidades de persistência e anti-debugging, o que o torna ainda mais perigoso. A versão 8.15.0 já foi lançada, mas a 8.14.0 ainda está disponível no npm, representando um risco contínuo para aqueles que não atualizarem. O alerta é claro: qualquer máquina que tenha executado a versão comprometida deve considerar todos os segredos acessíveis como comprometidos e tomar medidas imediatas de mitigação.

Seis vulnerabilidades foram descobertas no U-Boot, um dos bootloaders de código aberto mais utilizados globalmente, que podem permitir a execução de código malicioso durante o processo de inicialização de dispositivos. O U-Boot é amplamente encontrado em dispositivos Linux embarcados, como controladores de gerenciamento de placa-mãe (BMCs), equipamentos de rede e dispositivos IoT. As falhas, identificadas pela empresa de segurança Binarly, variam de negação de serviço (DoS) a execução arbitrária de código, comprometendo a segurança antes mesmo do sistema operacional ser carregado. Dentre as vulnerabilidades, duas podem permitir a execução de código arbitrário, enquanto as outras quatro podem causar falhas nos dispositivos. A exploração dessas falhas pode ocorrer sem acesso físico, especialmente em sistemas que suportam atualizações de firmware remotas. Embora a Binarly tenha reportado as vulnerabilidades e enviado patches, a implementação das correções depende dos fabricantes de hardware, o que pode deixar dispositivos mais antigos sem proteção. A natureza crítica dessas falhas exige atenção imediata das equipes de segurança, pois podem resultar em malware persistente e comprometimento de sistemas antes da inicialização do sistema operacional.

Um ataque cibernético recente comprometeu o repositório do projeto Injective Labs SDK no GitHub, resultando na publicação de um pacote malicioso na npm registry. A versão comprometida, @injectivelabs/sdk-ts@1.20.21, foi lançada em 8 de julho de 2026 e continha uma funcionalidade falsa de telemetria que exfiltrava dados sensíveis de carteiras de criptomoedas, como chaves privadas e frases mnemônicas. O ataque foi realizado por um ator desconhecido que utilizou uma conta de desenvolvedor confiável para introduzir os commits maliciosos. Além disso, a versão comprometida foi publicada em 17 outros pacotes relacionados, aumentando o risco para usuários que não instalaram a biblioteca diretamente. O malware modifica funções legítimas para capturar informações sensíveis sem ser detectado, enviando-as para um servidor remoto. Os usuários que instalaram a versão maliciosa devem atualizar para a versão limpa (1.20.23) e considerar suas chaves como comprometidas. Este incidente destaca a vulnerabilidade da cadeia de suprimentos de software e a necessidade de vigilância constante em ambientes de desenvolvimento.

A Microsoft alertou sobre um novo malware chamado GigaWiper, atribuído ao grupo iraniano CyberAv3ngers. Este software malicioso combina várias variantes de malware, permitindo que ele execute funções de espionagem e destruição de dados. O GigaWiper pode apagar drives, criptografar arquivos com uma extensão falsa de ransomware e sobrepor partições do Windows, tornando os dados irrecuperáveis. Além disso, ele pode capturar capturas de tela, gravar a tela do usuário e acessar dados do sistema. O malware se disfarça como tarefas de atualização do OneDrive, o que dificulta sua detecção. A Microsoft não especificou um caminho de recuperação para os dados afetados, o que aumenta a gravidade da ameaça. O uso de técnicas de ofuscação sugere que os atacantes tentaram minimizar a detecção por parte dos usuários e sistemas de segurança. A combinação de espionagem e destruição torna o GigaWiper uma ameaça significativa para empresas e usuários em geral.

O grupo de cibercrime conhecido como Silver Fox, vinculado à China, foi associado a um novo trojan de acesso remoto (RAR) chamado MODBEACON, desenvolvido em Rust. Segundo a empresa de cibersegurança QiAnXin, embora a operação pareça de baixa sofisticação, ela possui uma estrutura organizacional complexa, envolvendo múltiplos distribuidores que propagam malware por meio de instaladores falsificados e técnicas de SEO. Uma campanha observada em junho de 2026 visou empresas de tecnologia, educação e estatais na Ásia, utilizando uma infraestrutura de comando e controle (C2) hospedada na Amazon e na rede de entrega de conteúdo (CDN) da Cloudflare.

Recentemente, hackers comprometeram o repositório do projeto Injective Labs no GitHub, publicando um pacote malicioso no Node Package Manager (npm) que visava roubar chaves privadas e frases mnemônicas de carteiras de criptomoedas. A vulnerabilidade foi detectada por empresas de segurança cibernética, incluindo Socket e Ox Security, através da versão 1.20.21 do pacote @injectivelabs/sdk-ts, que possui 50 mil downloads semanais e é amplamente utilizado por desenvolvedores de carteiras de criptomoedas e aplicações DeFi. O ataque começou em 8 de junho, quando o invasor acessou uma conta de um colaborador legítimo e fez alterações suspeitas. Embora o proprietário da conta tenha revertido as mudanças rapidamente, a versão maliciosa já havia sido baixada 310 vezes antes de ser descontinuada. O malware se ativa ao utilizar funções do SDK que geram ou importam chaves de carteira, capturando informações sensíveis e enviando-as para um endpoint público da Injective Labs. Os desenvolvedores afetados são aconselhados a transferir suas criptomoedas para novas carteiras e a rotacionar segredos em seus ambientes.

A Microsoft revelou detalhes sobre o GigaWiper, um malware destrutivo que atua como uma backdoor no Windows. O GigaWiper combina três programas maliciosos antigos, permitindo ao operador escolher entre diferentes métodos de destruição: apagar todo o disco, sobrescrever a unidade do Windows ou executar um ransomware falso que criptografa arquivos sem deixar chave para decriptação. O malware também possui capacidades de espionagem, permitindo que o atacante monitore a atividade do usuário, capture telas e controle remotamente o PC infectado. A origem do GigaWiper está ligada a um grupo de hackers possivelmente iraniano, que visa organizações israelenses. A detecção precoce e a manutenção de backups offline são essenciais para mitigar os danos, uma vez que não há patch disponível para este tipo de malware. A Microsoft recomenda a ativação de proteções contra alterações em antivírus e o bloqueio de servidores de comando conhecidos para proteger sistemas contra essa ameaça.

Recentemente, uma operação global contra fraudes resultou na prisão de 5.811 indivíduos e na interceptação de $293 milhões em ativos ilícitos, destacando a gravidade das fraudes de engenharia social. A operação, chamada First Light 2026, envolveu 97 países e revelou mais de 142.000 vítimas em todo o mundo. Além disso, uma campanha de typosquatting afetou pacotes npm e PyPI, visando SDKs de aplicativos de pagamento como Paysafe e Skrill, com o objetivo de roubar informações sensíveis. Outra vulnerabilidade crítica foi identificada no Esri ArcGIS Server, permitindo acesso não autenticado a arquivos sensíveis, com uma pontuação CVSS de 9.8. A pesquisa também revelou técnicas avançadas de injeção de código, como o Process Parameter Poisoning, que evita a detecção de atividades maliciosas. O alerta sobre a coleta de dados sensíveis por versões do Claude Code na China e uma campanha de phishing que utiliza chamadas do Microsoft Teams para disseminar o malware EtherRAT também foram destacados. Esses incidentes ressaltam a necessidade urgente de vigilância e mitigação de riscos em ambientes corporativos.

Pesquisadores de cibersegurança identificaram uma nova família de ransomware chamada GodDamn, que utiliza o driver malicioso PoisonX para desativar softwares de segurança, dificultando a detecção e resposta a ataques. O ransomware foi avistado pela primeira vez em 21 de maio de 2026 e é considerado uma rebrand do ransomware Beast, que por sua vez era uma versão aprimorada do Monster, surgido em março de 2022. A empresa Broadcom está investigando o grupo por trás dessas ameaças, conhecido como Hyadina.

Pesquisadores de cibersegurança revelaram a atuação de um novo ator de ameaças, denominado Lurking Lizard, que opera um negócio de proxies residenciais maliciosos. Desde agosto de 2022, o grupo tem utilizado mais de 230 domínios semelhantes para recrutar dispositivos comprometidos como nós de proxy. Uma das campanhas observadas envolveu a distribuição de um instalador trojanizado do 7-Zip, hospedado em um domínio que imitava o original. O Lurking Lizard também se faz passar por provedores de proxy renomados e utiliza sites de revisão falsos para direcionar tráfego para suas plataformas fraudulentas. A análise sugere que o grupo é baseado na China e emprega técnicas como o ‘drop-catching’, adquirindo domínios expirados para herdar sua legitimidade. Além disso, a infraestrutura utilizada para a campanha do 7-Zip também serve para distribuir instaladores falsos de outros aplicativos populares. O impacto dessa operação é significativo, pois pode transformar dispositivos comuns em parte de uma botnet, expondo os usuários a riscos de segurança e possíveis ações maliciosas. A situação é agravada pelo fato de que a Google recentemente desmantelou outra rede de proxies residenciais, destacando a gravidade do problema.

Um novo grupo de ameaças, identificado como UNK_MassTraction, está explorando servidores vulneráveis do Roundcube em universidades dos Estados Unidos e Canadá, visando principalmente departamentos de física e engenharia, além de organizações de pesquisa em astrofísica e segurança nacional. Desde maio, a campanha tem sido rastreada pela empresa de cibersegurança Proofpoint, que relata que os ataques começam com e-mails maliciosos enviados de contas comprometidas ou domínios falsificados. Ao abrir esses e-mails em um cliente webmail Roundcube vulnerável, os usuários são afetados por uma falha de cross-site scripting (CVE-2024-42009), que executa um código JavaScript e carrega um payload chamado IceCube. Este malware é capaz de roubar credenciais, dados de autenticação de dois fatores e informações do navegador. Além disso, o malware tenta explorar uma falha de desserialização (CVE-2025-49113) para instalar um webshell PHP, SquareShell, que permite execução remota de código. A Proofpoint sugere que o UNK_MassTraction é um ator de espionagem alinhado à China, dado o uso de infraestrutura associada a grupos chineses e a tática de atacar servidores de e-mail. A empresa recomenda que administradores de sistemas Roundcube apliquem atualizações de segurança para mitigar essas vulnerabilidades.

Recentemente, pacotes maliciosos foram identificados no Node Package Manager (npm) e no Python Package Index (PyPI), direcionados a desenvolvedores e usuários dos aplicativos de pagamento Paysafe, Skrill e Neteller. Os atacantes publicaram pelo menos 17 pacotes maliciosos simultaneamente, com a finalidade de exfiltrar credenciais e tokens de acesso para um servidor de comando e controle hospedado na Amazon Web Services (AWS). Esses pacotes se disfarçam como SDKs legítimos de pagamento, mas na verdade retornam respostas falsas de sucesso, enquanto buscam por segredos como tokens, senhas e chaves de API. A análise da empresa de segurança Socket revela que os pacotes npm publicaram quatro versões maliciosas, enquanto os pacotes PyPI apresentaram apenas uma. Os dados exfiltrados incluem chaves de API do Paysafe, chaves da AWS e tokens do GitHub. Os desenvolvedores que instalaram esses pacotes são aconselhados a rotacionar imediatamente todas as credenciais em qualquer máquina que tenha importado ou executado esses pacotes. A capacidade do atacante de transitar entre diferentes ecossistemas pode dificultar a defesa, especialmente se houver visibilidade limitada em um único ecossistema.

Um novo esquema de fraude bancária está atacando clientes de bancos, fintechs e exchanges de criptomoedas no México, utilizando iscas ClickFix. A operação, identificada como REF6045 pelo Elastic Security Labs, envolve a infecção de vítimas através de páginas falsas de verificação CAPTCHA, que induzem os usuários a executar um comando malicioso que instala um toolkit PowerShell chamado SCMBANKER. Este malware é projetado especificamente para o ecossistema financeiro mexicano e possui capacidades como monitoramento de sessões bancárias, captura de telas e manipulação de área de transferência. O ataque começa com uma verificação CAPTCHA falsa que leva as vítimas a copiar e colar um comando malicioso. Após a instalação, o operador pode monitorar a atividade bancária da vítima, redirecionar navegadores e até mesmo bloquear a tela com avisos falsos. Os pesquisadores notaram que o SCMBANKER utiliza um modelo de linguagem para desenvolver suas ferramentas, evidenciando a utilização de inteligência artificial na criação do malware. A operação representa um risco significativo, pois já existem vítimas reais sendo monitoradas em tempo real pelos operadores. A descoberta de um diretório aberto permitiu a recuperação de informações detalhadas sobre a infraestrutura do ataque, revelando falhas de segurança operacional por parte dos criminosos.

O grupo de ameaças avançadas persistentes (APT) conhecido como UAT-7810, vinculado à China, está aprimorando seu malware personalizado para expandir sua rede de Operational Relay Box (ORB). De acordo com a Cisco Talos, o UAT-7810 é responsável pela manutenção e proliferação do LapDogs, uma rede ORB identificada pela primeira vez em junho de 2025. O objetivo do grupo é estabelecer redes ORB que possam ser utilizadas por outros atores de ameaças para realizar ataques cibernéticos a alvos de alto valor. Recentemente, o UAT-7810 desenvolveu uma nova versão de seu malware, chamada LONGLEASH, além de outras ferramentas como DOGLEASH e LEASHTEST, que são utilizadas para explorar vulnerabilidades em dispositivos de rede, como roteadores Ruckus e ASUS. As campanhas do grupo têm se concentrado em explorar falhas conhecidas, como CVE-2020-22653 e CVE-2023-25717, para comprometer dispositivos e estabelecer acesso persistente. A evolução do malware indica um ciclo ativo de desenvolvimento, com novas funcionalidades sendo testadas em dispositivos MIPS. A situação representa um risco significativo para a segurança de redes, especialmente para infraestruturas críticas.

Hackers chineses identificados como ‘UAT-7810’ estão aprimorando seu malware para expandir sua rede de infraestrutura de relé operacional (ORB), focando principalmente em dispositivos de rede expostos à internet, como roteadores Ruckus não atualizados. De acordo com pesquisadores da Cisco Talos, essa rede ORB serve como uma infraestrutura de relé segura para outras ameaças persistentes avançadas (APTs) alinhadas à China. O malware LONGLEASH, uma versão aprimorada do backdoor SHORTLEASH, foi identificado, oferecendo novas funcionalidades, como redirecionamento de tráfego e suporte a TLS. Além disso, foram descobertos outros malwares, como DOGLEASH, um backdoor leve para Linux, e JARLEASH, uma ferramenta administrativa em Java. Os pesquisadores destacam que UAT-7810 explora vulnerabilidades conhecidas em roteadores, como CVE-2020-22653 e CVE-2023-25717, para obter acesso inicial. A continuidade da expansão da infraestrutura ORB e a substituição do SHORTLEASH pelo LONGLEASH indicam um aumento na capacidade operacional dos atacantes. A lista completa de indicadores de comprometimento (IoCs) relacionados à atividade do UAT-7810 está disponível no relatório da Cisco Talos.

Um novo malware para Android, denominado RedWing, está sendo comercializado no Telegram como um serviço de fraude bancária acessível até para criminosos de baixa habilidade. De acordo com a Zimperium, que identificou a operação, o RedWing é uma variante do malware Oblivion, e é oferecido em pacotes de assinatura que incluem descontos por indicação, guias e vídeos explicativos, permitindo que qualquer comprador crie um aplicativo personalizado sob demanda.

O processo de infecção começa com um link de phishing que direciona a vítima a uma página falsa de loja de aplicativos. O malware solicita permissões de forma gradual, utilizando técnicas enganosas para obter acesso total ao dispositivo. Uma vez instalado, o RedWing pode criar telas de login falsas, ler mensagens de texto para capturar códigos de autenticação e redirecionar chamadas, além de permitir o controle remoto do dispositivo.

A Palo Alto Networks, através da sua unidade Unit 42, revelou uma nova campanha de ciberataques que explora chamadas de voz do Microsoft Teams. Os atacantes se passam por funcionários de suporte técnico para induzir colaboradores a instalar o malware EtherRAT, que concede acesso remoto a redes corporativas. O ataque começa com um e-mail de phishing disfarçado de ‘Pesquisa de Funcionários’, contendo um PDF malicioso. Após abrir o documento, a vítima recebe uma chamada de voz do Teams de uma conta externa que se faz passar por um ‘Administrador de Sistema’. Os pesquisadores notaram que a sessão do Teams exibia o rótulo ‘Externo desconhecido’, indicando que o chamador pertencia a um locatário diferente do Microsoft 365. Após convencer a vítima a conceder controle remoto, o atacante orienta a instalação de ferramentas legítimas de acesso remoto, como HopToDesk e AnyDesk, antes de baixar e executar um instalador MSI malicioso que carrega o EtherRAT. Este trojan de acesso remoto, escrito em Node.js, permite que os atacantes executem comandos, manipulem arquivos e roubem dados. A campanha destaca a crescente preocupação com a segurança do Microsoft Teams, levando a empresa a implementar novas proteções contra ataques de phishing e vishing.

Um grupo de hackers iranianos, vinculado ao Ministério da Inteligência e Segurança do Irã, tem utilizado um novo framework modular de comando e controle (C2) chamado Cavern, visando principalmente organizações israelenses, especialmente no setor de TI e governo. A pesquisa da Check Point identificou que o Cavern Manticore, como é conhecido o grupo, apresenta semelhanças táticas com outros grupos como MuddyWater e Lyceum. O framework é construído sobre uma base .NET e utiliza múltiplos formatos de compilação, dificultando a análise por parte de especialistas em segurança.

Pesquisadores de cibersegurança identificaram um novo trojan de acesso remoto, denominado QuimaRAT, que opera em ambientes Windows, Linux e macOS. Este malware é oferecido sob um modelo de malware como serviço (MaaS), com preços que variam de $150 a $1.200, dependendo do período de assinatura. O QuimaRAT possui uma arquitetura modular, permitindo a expansão dinâmica de suas capacidades por meio de plugins criptografados. Os criadores do malware também disponibilizam um construtor que gera arquivos em diversos formatos, facilitando a personalização para diferentes ambientes. Embora o QuimaRAT prometa total furtividade em Windows e Linux, no macOS, algumas funcionalidades exigem permissões administrativas do usuário. O malware é projetado para executar uma variedade de ações maliciosas, incluindo execução remota de comandos, roubo de credenciais e vigilância por webcam. Além disso, ele utiliza técnicas avançadas para evitar detecções, como a execução de shellcode sem arquivos e um framework de comunicação resiliente. A análise sugere que o QuimaRAT é uma plataforma modular, o que representa um desafio significativo para a segurança cibernética, especialmente em um cenário onde a proteção de dados é crucial.

Pesquisadores da Universidade de Shandong desenvolveram uma nova técnica chamada TrojPix, que permite a extração de dados de computadores desconectados de redes. A técnica modifica pixels na tela de forma imperceptível, fazendo com que o cabo de vídeo emita um sinal de rádio que pode ser decodificado por um receptor próximo. Embora TrojPix exija que o malware já esteja presente na máquina alvo, sua capacidade de transferir dados a uma taxa de até 8,1 Mbps representa um avanço significativo em relação a métodos anteriores, que operavam em velocidades muito mais lentas. A técnica pode transmitir arquivos de 100 MB em menos de dois minutos, o que transforma a ameaça de vazamento de senhas em uma possibilidade de transferência de arquivos inteiros enquanto o monitor parece desligado. Os pesquisadores testaram a técnica em nove marcas de monitores e quinze tipos de cabos de vídeo, demonstrando sua versatilidade. Apesar de ser uma inovação promissora, a técnica ainda enfrenta desafios práticos, como a necessidade de superar barreiras físicas e interferências. As medidas de mitigação incluem o uso de cabos de fibra óptica e a proteção física de ambientes sensíveis, além da prevenção de infecções por malware.

Um novo grupo de ameaças cibernéticas, supostamente ligado à China, está atacando contribuintes, profissionais de contabilidade e equipes financeiras corporativas na Índia. A campanha, chamada de Operação DragonReturn, foi identificada pela Seqrite Labs e começou em 18 de maio de 2026, coincidindo com a temporada de declaração de impostos no país. Os ataques utilizam e-mails de phishing que se disfarçam como comunicações do Departamento de Impostos da Índia, induzindo os usuários a clicarem em links maliciosos. O objetivo final é implantar um trojan de acesso remoto para roubar dados sensíveis. A técnica envolve o uso de documentos falsos, citações legais reais e conteúdo bilíngue para aumentar a credibilidade. Após a infecção, o malware garante acesso persistente ao sistema, utilizando técnicas de ocultação e injeção de payloads. A análise da infraestrutura sugere que os atacantes estão utilizando endereços IP associados à China, levantando suspeitas sobre a origem da operação. Essa ameaça representa um risco significativo, especialmente considerando a possibilidade de roubo de dados financeiros e credenciais. A situação é um alerta para empresas e profissionais que lidam com informações fiscais e financeiras, destacando a necessidade de vigilância e proteção contra ataques cibernéticos.