Malware

Uma nova campanha de malware em larga escala foi identificada no Brasil, envolvendo um Trojan bancário chamado Maverick, que se espalha através do WhatsApp. O ataque utiliza arquivos LNK maliciosos enviados em arquivos ZIP, contornando as restrições da plataforma de mensagens. Ao abrir o arquivo, o Trojan executa um comando PowerShell que baixa cargas adicionais de um servidor de comando e controle (C2), utilizando um canal de comunicação que valida rigorosamente o acesso. O Maverick se destaca por sua capacidade de se propagar rapidamente entre contatos do WhatsApp, enviando mensagens de spam com novos arquivos maliciosos. Além disso, o malware monitora navegadores e visa 26 portais bancários brasileiros, além de exchanges de criptomoedas. O componente principal, chamado Maverick Agent, permite que os atacantes tenham controle total do sistema da vítima, incluindo captura de tela e registro de teclas. Nos primeiros dez dias de outubro, mais de 62.000 tentativas de infecção foram bloqueadas, evidenciando a gravidade da ameaça, que é direcionada a usuários brasileiros, utilizando verificação de idioma e fuso horário.

O cenário da cibersegurança está em constante transformação, com novas fraudes e ataques surgindo a cada semana. Hackers estão se tornando mais sofisticados, utilizando aplicativos confiáveis e sites legítimos para enganar usuários e roubar informações sem que eles percebam. Um exemplo alarmante é a operação do governo dos EUA que apreendeu US$ 15 bilhões em criptomoedas de uma rede de fraudes que operava na Ásia, onde trabalhadores eram forçados a realizar esquemas de investimento fraudulentos. Além disso, um novo trojan bancário chamado Maverick, que utiliza o WhatsApp para roubar dados de usuários brasileiros, foi identificado, destacando a vulnerabilidade de plataformas populares. Pesquisas também revelaram que é possível interceptar comunicações de satélites militares e comerciais com equipamentos comuns, expondo dados sensíveis. Por fim, protocolos legados do Windows continuam a ser explorados para roubo de credenciais, evidenciando a necessidade de atualização e segurança em sistemas. Este artigo destaca a urgência de uma resposta proativa na defesa contra essas ameaças emergentes.

Uma análise recente sobre a infraestrutura relacionada à campanha ClickFix revelou a existência de mais de 13.000 domínios maliciosos, utilizados em operações de phishing e entrega de malware. As campanhas ClickFix exploram a capacidade dos navegadores de escrever diretamente na área de transferência do usuário, enganando as vítimas a executar scripts maliciosos sob a aparência de verificação CAPTCHA. Um exemplo é o site greenblock[.]me, que solicita aos usuários que executem um comando PowerShell para baixar e executar um script Visual Basic, frequentemente resultando em infecções por malware.

Especialistas em segurança da Cleafy identificaram um novo aplicativo malicioso chamado Mbdro Pro IP TV + VPN, que se disfarça como um serviço de VPN e streaming para Android. Este aplicativo não apenas falha em fornecer as funcionalidades prometidas, mas também instala um trojan bancário conhecido como Klopatra, que ainda não foi classificado em uma família de malwares específica. O Klopatra utiliza engenharia social para enganar os usuários e roubar suas credenciais, permitindo que os atacantes realizem transações fraudulentas. O uso de aplicativos falsos de VPN e IPTV está se tornando uma tendência crescente, com riscos ocultos mesmo em aplicativos legítimos disponíveis na Play Store. Um estudo recente da Open Technology Fund revelou que 32 VPNs comerciais, utilizadas por mais de um bilhão de pessoas, apresentam sérios problemas de segurança. Para se proteger, os usuários devem baixar aplicativos apenas de fontes confiáveis e verificar as permissões solicitadas. A situação é alarmante, pois muitos usuários, ao buscar serviços clandestinos, ignoram as soluções de segurança disponíveis.

Uma nova campanha de malware para Android, identificada como GhostBat RAT, está explorando a aparência de aplicativos do Escritório de Transporte Regional (RTO) da Índia para roubar dados bancários e credenciais de UPI de usuários indianos. O malware utiliza técnicas avançadas de ofuscação, dropper em múltiplas etapas e engenharia social para enganar os usuários, sendo distribuído através de aplicativos falsos do mParivahan via WhatsApp, SMS e sites comprometidos.

Após a instalação, o aplicativo falso solicita permissões de SMS sob o pretexto de uma atualização e começa a coletar dados sensíveis. Desde setembro de 2025, foram identificadas mais de 40 amostras de APK maliciosos, que empregam técnicas de evasão como manipulação de cabeçalho ZIP e mecanismos anti-emulação. O malware também realiza phishing, levando os usuários a uma interface falsa de UPI onde são induzidos a inserir seus PINs, que são enviados para um endpoint controlado pelos atacantes.

Uma nova pesquisa revelou que mais de 100 extensões do Visual Studio Code (VS Code) vazaram tokens de acesso, permitindo que atacantes atualizassem essas extensões com malware, representando um risco crítico à cadeia de suprimentos de software. Os pesquisadores da Wiz identificaram mais de 550 segredos validados em mais de 500 extensões, incluindo tokens de acesso pessoal do VS Code Marketplace e do Open VSX, que poderiam ser explorados por cibercriminosos. Com uma base de instalação acumulada de 150.000, a possibilidade de distribuição de malware é alarmante. Além disso, um grupo de ameaças conhecido como TigerJack publicou extensões maliciosas que roubam código-fonte e mineram criptomoedas, utilizando uma abordagem de cavalo de Troia para enganar desenvolvedores. A Microsoft respondeu ao problema revogando os tokens vazados e implementando recursos de verificação de segredos. Os usuários do VS Code são aconselhados a limitar o número de extensões instaladas e a revisar cuidadosamente as extensões antes de baixá-las.

O PolarEdge é um novo malware identificado que ataca dispositivos NAS da QNAP, explorando uma vulnerabilidade crítica (CVE-2023-20118) em roteadores Cisco. A equipe de pesquisa da Sekoia.io detectou o malware em fevereiro de 2025, após sua primeira identificação em janeiro do mesmo ano, quando foi observado abusando da infraestrutura IoT de marcas como Asus e Synology. O PolarEdge utiliza um servidor TLS embutido, o que é incomum para malware IoT, permitindo controle autenticado por meio de um protocolo binário proprietário.

Pesquisadores da eSentire identificaram um novo malware chamado ChaosBot, que utiliza a plataforma Discord para roubar dados e criar uma backdoor em sistemas de computadores. O ataque foi inicialmente detectado no final de setembro de 2025, afetando clientes do setor financeiro no Vietnã. O ChaosBot é distribuído por meio de mensagens de phishing que contêm arquivos maliciosos, como atalhos do Windows que executam scripts PowerShell para baixar o malware. Uma das características mais notáveis é o uso do Discord para comando e controle, onde os hackers recebem instruções e podem executar ações como capturas de tela e download de outros agentes maliciosos. Além disso, uma variante em C++ do malware pode encriptar arquivos e realizar ataques de ransomware. O uso de credenciais comprometidas da Cisco VPN e contas com privilégios na Active Directory para a disseminação do vírus destaca a gravidade da ameaça. A situação exige atenção, pois o ChaosBot representa uma nova abordagem de cibercrime que pode ser replicada em outros contextos.

Uma nova campanha de phishing tem se espalhado na América Latina, utilizando notificações judiciais em espanhol para disseminar o trojan de acesso remoto AsyncRAT. Pesquisadores de segurança identificaram que os hackers estão escondendo seus códigos maliciosos dentro de arquivos de imagem SVG, uma técnica que permite que scripts maliciosos evitem a detecção por gateways de e-mail tradicionais e antivírus.

O ataque, que visa especificamente usuários na Colômbia, começa com um e-mail disfarçado como uma comunicação legítima do ‘Juzgado 17 Civil Municipal del Circuito de Bogotá’, que apresenta um arquivo anexo chamado ‘Fiscalia General De La Nacion Juzgado Civil 17.svg’. Ao abrir o arquivo, um script JavaScript malicioso é ativado, levando a uma série de downloads que culminam na instalação do AsyncRAT, que permite controle remoto ao atacante.

Pesquisadores de cibersegurança identificaram um novo ator de ameaças, chamado TA585, que tem utilizado o malware MonsterV2 em campanhas de phishing. O TA585 se destaca por controlar toda a cadeia de ataque, desde a entrega até a instalação do malware, sem depender de outros atores. O MonsterV2, um trojan de acesso remoto (RAT), é capaz de roubar dados sensíveis, manipular criptomoedas e estabelecer controle remoto sobre sistemas infectados. As campanhas de phishing têm utilizado iscas relacionadas ao IRS dos EUA para enganar usuários e direcioná-los a URLs maliciosas. Uma técnica chamada ClickFix é empregada para ativar a infecção através de comandos maliciosos no terminal do Windows. Além disso, o TA585 também tem utilizado injeções de JavaScript em sites legítimos e notificações falsas do GitHub para disseminar o malware. O MonsterV2 é comercializado por até $2.000 mensais e é projetado para evitar a detecção por meio de técnicas de ofuscação. A ameaça é particularmente relevante para o Brasil, dado o uso crescente de tecnologias digitais e a necessidade de proteção contra ataques cibernéticos.

Pesquisadores de cibersegurança identificaram pacotes maliciosos nas plataformas npm, Python e Ruby que utilizam o Discord como canal de comando e controle (C2) para transmitir dados roubados. Os webhooks do Discord, que permitem postar mensagens em canais sem autenticação, são explorados por atacantes para exfiltrar informações. Por exemplo, pacotes como mysql-dumpdiscord e sqlcommenter_rails enviam dados sensíveis, como arquivos de configuração e informações do sistema, para webhooks controlados por criminosos. Além disso, uma campanha associada a atores de ameaças da Coreia do Norte resultou na publicação de 338 pacotes maliciosos, que foram baixados mais de 50.000 vezes. Esses pacotes, que muitas vezes são variações de nomes legítimos (typosquatting), visam desenvolvedores de Web3 e criptomoedas, utilizando técnicas de engenharia social para comprometer sistemas. A pesquisa destaca a facilidade com que os atacantes podem operar sem a necessidade de infraestrutura própria, tornando a detecção e mitigação mais desafiadoras.

Um novo malware chamado Stealerium está causando preocupação no mundo da cibersegurança. Diferente de golpes anteriores que apenas ameaçavam as vítimas com chantagens, este vírus realmente grava imagens da webcam e faz capturas de tela quando o usuário acessa conteúdo pornográfico online. Pesquisadores da Proofpoint identificaram que o Stealerium utiliza táticas de phishing para infectar os computadores, disfarçando mensagens maliciosas como comunicações de bancos ou serviços conhecidos. O código-fonte do malware está disponível na internet há anos, mas sua utilização em ataques reais é recente. O vírus não só realiza extorsão, mas também coleta dados sensíveis, como senhas e informações de cartões de crédito. As vítimas, muitas vezes constrangidas, hesitam em denunciar os crimes, o que facilita a ação dos cibercriminosos. Para se proteger, é recomendado manter antivírus atualizados, evitar clicar em links suspeitos e cobrir fisicamente a webcam. A situação é alarmante, pois o risco de detecção para os hackers é baixo, e a quantidade de vítimas pode ser significativa.

Uma pesquisa da Zimperium revelou uma nova campanha de spyware chamada ClayRat, que se disfarça de aplicativos populares como WhatsApp, TikTok e YouTube para infectar dispositivos Android. O malware, que já afetou mais de 600 usuários, principalmente na Rússia, é disseminado por meio de canais do Telegram e sites maliciosos que imitam serviços legítimos. Os hackers utilizam técnicas de phishing para criar domínios que se assemelham aos originais, levando os usuários a baixar APKs sem o seu conhecimento. Uma vez instalado, o spyware consegue acessar SMS, histórico de chamadas, tirar fotos e até fazer ligações. O malware se comunica com um servidor de comando e controle de forma encriptada, coletando informações do dispositivo e enviando-as aos cibercriminosos. A Zimperium já notificou o Google, que implementou bloqueios no Play Protect, mas a empresa alerta que a campanha é massiva e recomenda cautela ao instalar aplicativos fora da loja oficial. Os usuários devem evitar burlar as configurações de segurança do Android e sempre optar por fontes confiáveis para downloads.

O Astaroth, um conhecido trojan bancário, voltou a ser uma ameaça significativa ao abusar de plataformas de nuvem confiáveis, como o GitHub, para manter sua operação. O processo de infecção começa com e-mails de phishing altamente direcionados, que induzem os usuários a baixar um arquivo ZIP contendo um atalho do Windows ofuscado. Ao ser executado, esse atalho ativa um script JavaScript que baixa scripts adicionais, projetados para evitar análise e detecção. O malware é capaz de injetar código na memória, permitindo que ele opere sem deixar rastros no disco. Uma vez instalado, o Astaroth monitora as atividades bancárias e de criptomoedas do usuário, capturando credenciais através de eventos de teclado. O uso do GitHub para armazenar configurações do malware, disfarçadas em imagens PNG, permite que os atacantes atualizem suas operações mesmo após interrupções em seus servidores de comando e controle. A campanha destaca a crescente sofisticação das táticas de cibercriminosos, especialmente em regiões da América do Sul, como o Brasil, onde as instituições financeiras são alvos frequentes. Para se proteger, é crucial que organizações e indivíduos adotem medidas robustas de segurança, como autenticação multifator e monitoramento contínuo de endpoints.

Pesquisadores de segurança da Dell e da Sophos descobriram uma campanha ativa de malware que explora a plataforma WhatsApp Web para disseminar um worm auto-replicante. Iniciada em 29 de setembro de 2025, a campanha visa principalmente usuários brasileiros, utilizando mensagens enganosas e anexos ZIP maliciosos para comprometer sistemas. Os usuários recebem mensagens de contatos infectados contendo arquivos ZIP que aparentam ser documentos financeiros legítimos, mas que, ao serem abertos, executam comandos PowerShell ocultos. Esses comandos baixam scripts adicionais de um servidor de comando e controle, desativando mecanismos de segurança do Windows e permitindo a instalação de trojans bancários e ladrões de credenciais de criptomoedas. Entre os malwares identificados estão um trojan bancário conhecido como Maverick e um módulo de automação de navegador que utiliza o Selenium para controlar sessões do WhatsApp Web. A campanha já afetou mais de 1.000 endpoints em 400 ambientes na primeira semana, destacando a necessidade urgente de conscientização e proteção contra anexos ZIP recebidos por plataformas de mensagens.

Uma nova onda de ataques de cadeia de suprimentos, denominada “Contagious Interview”, foi identificada, envolvendo mais de 338 pacotes JavaScript maliciosos no registro npm, atribuídos a hackers norte-coreanos. Esses atacantes utilizam perfis falsos de recrutadores e dependências com nomes semelhantes para enganar desenvolvedores de Web3, blockchain e criptomoedas. A operação já acumulou mais de 50.000 downloads. Os ataques seguem um modelo repetível que se alinha ao modelo Lockheed Martin Cyber Kill Chain, começando com a pesquisa no LinkedIn e culminando na instalação de pacotes infectados. Um exemplo notável é o pacote chamado eslint-detector, que executa cargas úteis de roubo de informações durante a instalação. Os atacantes também utilizam técnicas de typosquatting para camuflar módulos maliciosos, imitando bibliotecas npm populares. Apesar de algumas contas de atacantes terem sido removidas, pelo menos 25 pacotes ainda estão ativos. Especialistas em segurança recomendam que os registros adotem defesas em camadas e que as equipes de desenvolvimento tratem cada instalação do npm como uma execução de código, implementando varreduras de segurança e bloqueando uploads de alto risco.

Pesquisadores de cibersegurança revelaram um novo backdoor baseado em Rust chamado ChaosBot, que permite a operadores realizar reconhecimento e executar comandos arbitrários em sistemas comprometidos. O malware foi detectado pela primeira vez em setembro de 2025 em um ambiente de serviços financeiros. Os atacantes utilizaram credenciais comprometidas de uma conta do Active Directory e do Cisco VPN para implantar o ChaosBot, que se comunica via Discord, utilizando perfis como ‘chaos_00019’ para emitir comandos. O malware também pode ser distribuído através de mensagens de phishing que contêm arquivos de atalho maliciosos. Uma vez instalado, o ChaosBot realiza reconhecimento do sistema e estabelece um proxy reverso para manter acesso persistente. Além disso, uma variante do ransomware Chaos, escrita em C++, foi identificada, introduzindo capacidades destrutivas que excluem arquivos em vez de criptografá-los, além de manipular o conteúdo da área de transferência para fraudes financeiras. Essa combinação de extorsão destrutiva e roubo financeiro torna o Chaos uma ameaça multifacetada e agressiva.

Pesquisadores de cibersegurança alertam sobre uma nova campanha que utiliza o trojan bancário Astaroth, que se aproveita do GitHub como infraestrutura para suas operações. Em vez de depender apenas de servidores de comando e controle (C2) que podem ser desativados, os atacantes hospedam configurações de malware em repositórios do GitHub. Isso permite que o Astaroth continue funcionando mesmo após a desativação de suas infraestruturas principais. O foco principal da campanha é o Brasil, embora o malware também atinja outros países da América Latina. O ataque começa com um e-mail de phishing que simula um documento do DocuSign, levando o usuário a baixar um arquivo que, ao ser aberto, instala o Astaroth. O malware é projetado para monitorar acessos a sites de bancos e criptomoedas, capturando credenciais por meio de keylogging. Além disso, o Astaroth possui mecanismos para resistir à análise e se autodestruir ao detectar ferramentas de depuração. A McAfee, em colaboração com o GitHub, conseguiu remover alguns repositórios utilizados pelo malware, mas a ameaça permanece ativa.

Pesquisadores da Trend Micro Research identificaram uma nova campanha de malware chamada Water Saci, que utiliza o WhatsApp Web para infectar computadores no Brasil. O vírus, conhecido como SORVEPOTEL, não se limita a roubar dados, mas foi projetado para se espalhar rapidamente, explorando a confiança dos usuários. A campanha utiliza mensagens de phishing que contêm arquivos ZIP maliciosos, persuadindo as vítimas a abrir anexos que parecem legítimos, como comprovantes de pagamento. Após a instalação, o malware se propaga automaticamente para todos os contatos do usuário no WhatsApp Web.

Em setembro de 2025, a unidade de resposta a ameaças da eSentire, conhecida como TRU, identificou um sofisticado backdoor em Rust, chamado ‘ChaosBot’, que visa ambientes de serviços financeiros. Este malware inova ao utilizar credenciais comprometidas do CiscoVPN e uma conta de Active Directory com privilégios excessivos para implantar e controlar sistemas infectados. O ataque se inicia com a obtenção de credenciais válidas ou por meio de arquivos de atalho maliciosos que executam comandos PowerShell para baixar o payload principal. O ChaosBot se esconde utilizando componentes legítimos do Microsoft Edge para evitar detecções iniciais e se comunica com os atacantes via Discord, demonstrando técnicas avançadas de evasão e persistência. As recomendações incluem a implementação de autenticação multifatorial e a limitação de privilégios de contas de serviço, além de manter patches atualizados e soluções de EDR/NGAV para detectar atividades suspeitas. A análise da TRU isolou a máquina infectada para conter a violação e orientar os esforços de remediação.

Pesquisadores de cibersegurança identificaram 175 pacotes maliciosos no registro npm, utilizados em uma campanha de coleta de credenciais chamada Beamglea. Esses pacotes, que foram baixados 26.000 vezes, servem como infraestrutura para um ataque de phishing direcionado a mais de 135 empresas dos setores industrial, tecnológico e energético ao redor do mundo. Os pacotes, com nomes aleatórios, dificultam a instalação acidental por desenvolvedores, mas as contagens de download incluem pesquisadores de segurança e scanners automáticos. Os pacotes hospedam scripts de redirecionamento que levam as vítimas a páginas de captura de credenciais. Um arquivo Python, chamado “redirect_generator.py”, é utilizado para criar pacotes npm com URLs de phishing personalizadas. Quando as vítimas abrem arquivos HTML maliciosos, o JavaScript redireciona automaticamente para páginas de phishing, preenchendo o campo de e-mail com o endereço da vítima, aumentando assim a credibilidade do ataque. Essa situação destaca a evolução das táticas de cibercriminosos, que abusam de infraestruturas legítimas para realizar ataques em larga escala.

Pesquisadores de cibersegurança revelaram uma campanha ativa de malware chamada Stealit, que utiliza a funcionalidade Single Executable Application (SEA) do Node.js para distribuir seus payloads. De acordo com o Fortinet FortiGuard Labs, o malware é propagado por meio de instaladores falsos de jogos e aplicativos de VPN, frequentemente carregados em sites de compartilhamento de arquivos como Mediafire e Discord. A SEA permite que aplicações Node.js sejam empacotadas como executáveis independentes, facilitando a execução em sistemas sem o Node.js instalado.

Uma nova campanha de ciberataque envolvendo o SnakeKeylogger foi identificada, utilizando e-mails fraudulentos que se passam por comunicações da CPA Global e Clarivate. Os atacantes enviam anexos maliciosos em formatos ISO e ZIP, que, ao serem extraídos, revelam um script BAT que executa um comando PowerShell para baixar um segundo payload. O SnakeKeylogger, uma Trojan que rouba informações, registra as teclas digitadas, credenciais de navegadores e dados do sistema, enviando essas informações para um servidor de comando e controle (C2) via requisições HTTP disfarçadas. Para se proteger, as organizações devem implementar regras rigorosas de filtragem de e-mails, restringir a execução de scripts PowerShell e monitorar atividades anômalas em suas redes. Essa campanha destaca a evolução das ameaças de roubo de informações, que combinam engenharia social com scripts nativos do Windows, exigindo defesas em múltiplas camadas para mitigar riscos.

Pesquisadores de segurança da SentinelLABS revelaram o MalTerminal, um novo malware que utiliza modelos de linguagem de grande escala (LLM) para gerar código de ransomware. Este executável para Windows, identificado após um ano de investigação, incorpora um endpoint da API de chat do OpenAI GPT-4, que foi descontinuado em novembro de 2023, indicando que o malware pode ter surgido entre o final de 2023 e o início de 2024. Os analistas desenvolveram regras YARA para detectar padrões de chaves de API exclusivas de provedores de LLM, encontrando mais de 7.000 amostras com mais de 6.000 chaves únicas. O MalTerminal se destaca como o primeiro exemplo conhecido de malware que gera lógica maliciosa dinamicamente em tempo de execução, emitindo um payload JSON estruturado para o endpoint GPT-4 e definindo seu papel como um especialista em cibersegurança. Embora não haja evidências de que o MalTerminal tenha sido implantado em ambientes reais, sua dependência de serviços comerciais de LLM e chaves de API válidas apresenta uma janela estreita para que os defensores aprimorem suas estratégias de detecção antes que arquiteturas mais resilientes sejam adotadas pelos adversários.

Pesquisadores da Cisco Talos identificaram um grupo de hackers chineses, conhecido como UAT-8099, que manipula mecanismos de busca para infectar servidores, especialmente os da Microsoft (IIS), no Brasil e em outros países. O ataque visa roubar credenciais, arquivos de configuração e certificados de vítimas, incluindo universidades e empresas de tecnologia. O grupo utiliza técnicas de SEO para manter seus sites maliciosos em posições altas nos resultados de busca, empregando malwares como o BadIIS, que possui táticas de evasão de antivírus. Os hackers exploram vulnerabilidades em servidores IIS, como configurações inadequadas e brechas de segurança, criando backdoors para garantir acesso contínuo, mesmo após a remoção de arquivos maliciosos. O uso de ferramentas open-source, como Cobalt Strike, e técnicas de proxy ajudam a evitar a detecção. O impacto ainda não é totalmente claro, mas a situação requer atenção, especialmente para organizações que utilizam servidores IIS.

Um ator de ameaças alinhado à China, codinome UTA0388, tem realizado campanhas de spear-phishing direcionadas à América do Norte, Ásia e Europa, com o objetivo de implantar um malware conhecido como GOVERSHELL. As campanhas utilizam mensagens personalizadas que se fazem passar por pesquisadores e analistas de organizações fictícias, induzindo as vítimas a clicarem em links que levam a arquivos maliciosos. O GOVERSHELL, um backdoor em desenvolvimento ativo, possui várias variantes, cada uma com capacidades específicas, como execução de comandos via PowerShell. Os ataques têm explorado serviços legítimos como Netlify e OneDrive para hospedar os arquivos maliciosos. Além disso, o UTA0388 tem utilizado o OpenAI ChatGPT para gerar conteúdo das campanhas, o que demonstra um uso inovador de inteligência artificial em operações de ciberespionagem. A campanha também se alinha a interesses geopolíticos da China, especialmente em relação a Taiwan. A atividade do grupo foi observada em setembro de 2025, com um foco em instituições governamentais e setores críticos na Europa.

As ameaças cibernéticas estão se tornando cada vez mais sofisticadas, com atacantes utilizando engenharia social, manipulação impulsionada por IA e exploração de nuvem para comprometer sistemas antes considerados seguros. O relatório destaca como o Microsoft Teams tem sido utilizado por grupos de ameaças para extorsão e roubo financeiro, enfatizando a importância de fortalecer a proteção de identidade e a segurança dos endpoints. Além disso, uma nova campanha de malware utiliza arquivos de atalho (.LNK) maliciosos para implantar um dropper de PowerShell, demonstrando a eficácia de técnicas de evasão. O artigo também menciona uma campanha de desinformação apoiada por Israel, visando desestabilizar o Irã, e a investigação da França sobre a coleta de dados de voz da Siri pela Apple. Outro ponto crítico é o roubo de criptomoedas, com hackers norte-coreanos responsáveis por cerca de $2 bilhões em furtos em 2025, destacando a crescente dependência do regime de atividades cibernéticas para financiamento. O artigo conclui com a resistência de empresas de tecnologia à proposta de controle de chat da UE, que exigiria a varredura de comunicações criptografadas, levantando preocupações sobre privacidade e vigilância em massa.

A recente análise de um ataque cibernético revela que atores de ameaça chineses estão utilizando a ferramenta de monitoramento open-source Nezha como um framework malicioso de comando e controle. Originalmente projetada para monitoramento leve de servidores, a Nezha foi adaptada para emitir comandos arbitrários e estabelecer persistência em servidores web comprometidos. Após a implantação inicial de shells web, os atacantes instalaram agentes Nezha disfarçados de binários administrativos em mais de 100 máquinas vítimas, com a maioria dos alvos localizados em Taiwan, Japão, Coreia do Sul e Hong Kong. A infraestrutura dos atacantes apresenta características de campanhas de ameaças persistentes avançadas, utilizando recursos em nuvem como AWS e servidores privados virtuais, o que dificulta a rastreabilidade. A configuração do painel da Nezha em russo sugere uma possível cooperação global ou uso de ferramentas compartilhadas. Para mitigar esses riscos, recomenda-se que as organizações implementem segmentação de rede rigorosa e monitorem o uso anômalo de ferramentas administrativas.

Pesquisadores de segurança da Volexity descobriram que grupos de ameaças alinhados à China, identificados como UTA0388, estão utilizando plataformas de inteligência artificial como o ChatGPT para aprimorar suas capacidades de ciberataque. Desde junho de 2025, esses atores têm conduzido campanhas de spear phishing, desenvolvendo malware sofisticado e criando e-mails de phishing multilíngues que visam organizações na América do Norte, Ásia e Europa. As campanhas do UTA0388 demonstram um nível de sofisticação sem precedentes ao usar Modelos de Linguagem Grande (LLMs) para automatizar atividades maliciosas. Através da criação de personas fictícias e organizações de pesquisa inventadas, os atacantes conseguem enganar suas vítimas para que baixem cargas maliciosas. Mais de 50 e-mails de phishing únicos foram observados, cada um com uma fluência impressionante, mas frequentemente sem coerência semântica, indicando uma geração impulsionada por IA. A análise técnica revelou cinco variantes distintas de um malware chamado GOVERSHELL, cada uma sendo uma reescrita completa, sugerindo o uso de geração de código assistida por IA. A integração da IA nas operações cibercriminosas sinaliza uma nova era de atividades de ameaças automatizadas e em larga escala, exigindo que as organizações adotem novas estratégias de defesa, como a detecção baseada em comportamento e o compartilhamento de inteligência sobre ameaças.

No primeiro semestre de 2025, hackers russos intensificaram o uso de inteligência artificial (IA) em ataques cibernéticos contra a Ucrânia, conforme relatado pelo Serviço Estatal de Comunicações Especiais e Proteção da Informação (SSSCIP). A agência registrou 3.018 incidentes cibernéticos, um aumento em relação aos 2.575 do segundo semestre de 2024. Os ataques incluem campanhas de phishing e o uso de malware gerado por IA, como o WRECKSTEEL, que visa a administração estatal e infraestrutura crítica. Além disso, grupos como UAC-0218 e UAC-0226 têm direcionado suas ações a forças de defesa e órgãos governamentais, utilizando táticas sofisticadas como arquivos RAR armadilhados e técnicas de engenharia social. O SSSCIP também observou a exploração de vulnerabilidades em softwares de webmail, permitindo ataques sem interação do usuário. A utilização de serviços legítimos como Dropbox e Google Drive para hospedar malware também tem crescido, evidenciando a adaptação dos atacantes às tecnologias disponíveis. O cenário de guerra híbrida se intensifica, com operações cibernéticas sincronizadas a ataques físicos no campo de batalha.

Pesquisadores da Palo Alto Networks identificaram um novo kit de phishing chamado IUAM ClickFix Generator, que automatiza a criação de páginas de phishing enganosas. Este kit, ativo desde julho de 2025, permite que até mesmo atacantes com pouca habilidade criem iscas convincentes que induzem as vítimas a executar comandos maliciosos. O IUAM ClickFix Generator simula desafios de verificação de navegador, comuns em provedores de segurança em nuvem, e inclui uma função de injeção de clipboard que copia comandos maliciosos para a área de transferência das vítimas. Os atacantes podem personalizar as páginas de phishing para se parecerem com desafios legítimos, aumentando a eficácia do ataque.

Pesquisadores de cibersegurança alertam sobre uma campanha maliciosa que visa sites WordPress, injetando JavaScript malicioso para redirecionar usuários a sites suspeitos. A empresa de segurança Sucuri iniciou uma investigação após um de seus clientes relatar que seu site WordPress estava servindo conteúdo JavaScript de terceiros. Os atacantes modificaram um arquivo relacionado ao tema (‘functions.php’), inserindo código que faz referência ao Google Ads para evitar detecção. O código atua como um carregador remoto, enviando requisições HTTP para o domínio ‘brazilc[.]com’, que responde com um payload dinâmico. Este payload inclui um arquivo JavaScript hospedado em ‘porsasystem[.]com’, que realiza redirecionamentos, e um iframe oculto que imita ativos legítimos do Cloudflare. Além disso, um novo kit de phishing, chamado IUAM ClickFix Generator, permite que atacantes criem páginas de phishing personalizáveis, aumentando a eficácia dos ataques. A técnica de ‘cache smuggling’ também foi identificada, permitindo que scripts maliciosos sejam armazenados no cache do navegador sem a necessidade de downloads explícitos. A situação destaca a importância de manter sites WordPress seguros e atualizados, além de reforçar a necessidade de senhas fortes e monitoramento constante.

Um grupo de cibercriminosos com supostas ligações à China transformou a ferramenta de monitoramento de código aberto Nezha em uma arma de ataque, utilizando-a para distribuir o malware conhecido como Gh0st RAT. A atividade foi detectada pela empresa de cibersegurança Huntress em agosto de 2025 e envolveu uma técnica incomum chamada ’log poisoning’ para implantar um web shell em servidores vulneráveis. Os invasores conseguiram acesso inicial através de um painel phpMyAdmin exposto e vulnerável, alterando a linguagem para chinês simplificado. Após acessar a interface SQL do servidor, eles executaram comandos SQL para inserir um web shell PHP, que foi registrado em um arquivo de log. Isso permitiu que os atacantes utilizassem o web shell ANTSWORD para executar comandos e implantar o agente Nezha, que possibilita o controle remoto de máquinas infectadas. A maioria das vítimas está localizada em Taiwan, Japão, Coreia do Sul e Hong Kong, mas há também um número significativo em outros países, incluindo Brasil, Reino Unido e Estados Unidos. Este incidente destaca como ferramentas de código aberto podem ser mal utilizadas por cibercriminosos, representando um risco crescente para a segurança cibernética global.

No dia 8 de outubro de 2025, a OpenAI anunciou a interrupção de três grupos de atividade que estavam utilizando sua ferramenta de inteligência artificial, o ChatGPT, para facilitar o desenvolvimento de malware. Um dos grupos, de língua russa, usou o chatbot para criar e aprimorar um trojan de acesso remoto (RAT) e um ladrão de credenciais, buscando evitar a detecção. A OpenAI observou que esses usuários estavam associados a grupos criminosos que compartilhavam evidências de suas atividades em canais do Telegram. Embora os modelos de linguagem da OpenAI tenham se recusado a atender a pedidos diretos para criar conteúdo malicioso, os criminosos contornaram essa limitação, gerando códigos que foram montados para criar fluxos de trabalho maliciosos. Outro grupo, da Coreia do Norte, utilizou o ChatGPT para desenvolver malware e ferramentas de comando e controle, enquanto um terceiro grupo, da China, focou em campanhas de phishing. Além disso, a OpenAI bloqueou contas que estavam envolvidas em fraudes e operações de influência, incluindo atividades de vigilância ligadas a entidades governamentais chinesas. A empresa destacou que os atores de ameaça estão se adaptando para ocultar sinais de que o conteúdo foi gerado por uma ferramenta de IA, o que representa um novo desafio para a segurança cibernética.

Uma nova campanha de ciberespionagem atribuída ao grupo Mustang Panda, também conhecido como TA416, foi identificada pela IBM X-Force. Essa campanha, que visa a comunidade tibetana por motivos políticos, utiliza uma técnica refinada de DLL side-loading. O ataque começa com e-mails de phishing que contêm um arquivo ZIP malicioso, que abriga um executável disfarçado e uma biblioteca de link dinâmico (DLL) oculta. O executável, chamado ‘Voice for the Voiceless Photos.exe’, é visível, enquanto a DLL, ’libjyy.dll’, permanece oculta devido a atributos de arquivo específicos. Ao ser executado, o loader disfarçado carrega a DLL e inicia o malware Claimloader, que realiza a decriptação de strings, estabelece mecanismos de persistência e executa um shellcode adicional. O Claimloader se copia em um diretório falso para garantir sua execução contínua, enquanto o shellcode Publoader se conecta aos servidores de comando e controle do Mustang Panda. Essa campanha demonstra a sofisticação crescente do grupo e sua capacidade de evadir detecções forenses, utilizando técnicas de ocultação e criptografia de strings personalizadas.

Um novo grupo de ameaças cibernéticas, conhecido como BatShadow, originário do Vietnã, está sendo associado a uma campanha que utiliza táticas de engenharia social para enganar profissionais em busca de emprego e de marketing digital. Os atacantes se passam por recrutadores, enviando arquivos maliciosos disfarçados de descrições de trabalho e documentos corporativos. Ao serem abertos, esses arquivos iniciam uma cadeia de infecção de um malware inédito chamado Vampire Bot, desenvolvido em Go.

Uma recente campanha de malware tem comprometido sites WordPress ao injetar funções PHP maliciosas que carregam JavaScript controlado por atacantes, afetando a sessão de todos os visitantes. A violação foi identificada em um pequeno trecho de código adicionado ao arquivo functions.php do tema ativo, mostrando como pequenas modificações podem ter um grande impacto. O código injetado utiliza hooks do WordPress para ser executado em cada carregamento de página, contatando silenciosamente um servidor de comando e controle para baixar cargas maliciosas.

Uma nova campanha de malware chamada TamperedChef tem causado preocupação entre organizações europeias ao se disfarçar como um editor de PDF legítimo, o AppSuite PDF Editor. O malware, que permaneceu inativo por quase dois meses, foi ativado em 21 de agosto de 2025, e começou a roubar credenciais de navegadores, permitindo a instalação de backdoors. O ataque começou com anúncios em motores de busca que redirecionavam usuários para domínios controlados pelos atacantes, onde um pacote de instalação malicioso era oferecido. Após a instalação, o malware se escondia sob a aparência de um editor de PDF, enquanto coletava informações sensíveis armazenadas em navegadores como Chrome, Firefox e Edge. Os atacantes também lançaram atualizações do aplicativo que removiam a lógica maliciosa visível, mas mantinham conexões com a infraestrutura controlada por eles. Além disso, uma variante chamada S3-Forge está sendo testada, indicando uma evolução nas táticas de distribuição. Para mitigar os riscos, as organizações devem proibir instalações de anúncios não confiáveis, implementar listas de permissões rigorosas e monitorar atividades suspeitas em aplicações Electron.

Um novo Trojan de Acesso Remoto (RAT) para Android, anunciado como totalmente indetectável, foi encontrado publicamente no GitHub, levantando sérias preocupações entre pesquisadores de cibersegurança. Este RAT é projetado para contornar restrições de permissões e processos em segundo plano, especialmente em ROMs chinesas como MIUI e EMUI, representando uma das ameaças mais sofisticadas já observadas no Android.

O malware utiliza um dropper de múltiplas camadas que insere seu payload em aplicativos Android legítimos, permitindo que usuários desavisados instalem APKs comprometidos. Uma vez instalado, o RAT consegue escalar silenciosamente suas permissões, neutralizando o modelo de permissões do usuário. Com comunicação criptografada e técnicas de evasão, ele se torna quase invisível para softwares antivírus.

Pesquisadores em cibersegurança analisaram a evolução do malware XWorm, que se tornou uma ferramenta versátil para diversas ações maliciosas em sistemas comprometidos. Com um design modular, XWorm é composto por um cliente central e plugins especializados que executam ações específicas, como roubo de dados, keylogging e operações de ransomware. Desde sua primeira observação em 2022, o malware, associado ao ator de ameaças EvilCoder, tem se espalhado principalmente por e-mails de phishing e sites fraudulentos. Recentemente, novas variantes, como o XWorm 6.0, foram identificadas, oferecendo funcionalidades adicionais e utilizando arquivos JavaScript maliciosos para injetar o malware em processos legítimos do Windows. A modularidade do XWorm permite que comandos sejam enviados de servidores externos, facilitando ações como ataques DDoS e manipulação de arquivos. Apesar de um aparente abandono por parte de seu desenvolvedor original, o malware continua a ser distribuído e atualizado, destacando a necessidade de medidas de segurança robustas para enfrentar essas ameaças em constante evolução.

Pesquisadores da Elastic Security Labs identificaram melhorias significativas no malware WARMCOOKIE, que evoluiu de uma ferramenta básica de reconhecimento para uma plataforma sofisticada de entrega de payloads. As novas variantes introduzem quatro manipuladores de comando que ampliam a flexibilidade operacional dos atacantes em sistemas comprometidos, incluindo execução de arquivos PE, DLL e scripts PowerShell. Essa abordagem utiliza processos legítimos do Windows, como rundll32.exe, dificultando a detecção. Além disso, um sistema inovador de “string bank” foi implementado para evitar sistemas de detecção comportamental, selecionando dinamicamente nomes de empresas reais para caminhos de pastas e tarefas agendadas. A análise da infraestrutura revela padrões de persistência preocupantes, com os operadores utilizando um certificado SSL padrão em múltiplos servidores de comando e controle, mesmo após sua expiração. Apesar de esforços de desmantelamento, como a Operação Endgame da Europol, o WARMCOOKIE continua a ser distribuído ativamente por meio de campanhas de malvertising e spam, evidenciando a resiliência dos operadores.

Pesquisadores da SpyCloud Labs realizaram uma análise detalhada do Asgard Protector, um sofisticado crypter de malware frequentemente associado ao infostealer LummaC2. A pesquisa revelou que o Asgard utiliza um processo de instalação em múltiplas etapas, disfarçando sua verdadeira intenção ao se apresentar como instaladores de software legítimos. O malware é distribuído em pacotes NSIS, que extraem scripts maliciosos em diretórios temporários do Windows, utilizando extensões de arquivo enganosas para confundir ferramentas de análise automatizadas.

Pesquisadores da Infoblox revelaram uma campanha de malware chamada DetourDog, que comprometeu mais de 30.000 sites sem que os usuários percebessem. O ataque se aproveitou de servidores desprotegidos, utilizando um malware que redireciona visitantes para sites maliciosos. As requisições de DNS são feitas pelo próprio site comprometido, tornando o ataque invisível para as vítimas. Os usuários são redirecionados para sites que hospedam um infostealer conhecido como Strela Stealer, que rouba credenciais de diversas fontes, incluindo e-mails. O Strela Stealer, que evoluiu desde sua primeira identificação em 2022, se comunica com servidores de comando e controle para coletar dados e receber atualizações. Embora a Infoblox não tenha atribuído o ataque a um grupo específico, a origem pode estar relacionada a países do leste europeu, dado o significado da palavra ‘Strela’. As organizações são aconselhadas a auditar suas configurações de DNS e monitorar tráfego incomum para se protegerem contra esse tipo de ameaça.

Pesquisadores de cibersegurança identificaram um grupo de cibercrime de língua chinesa, codinome UAT-8099, que se especializa em fraudes de otimização para motores de busca (SEO) e roubo de credenciais valiosas, arquivos de configuração e dados de certificados. Os ataques têm como alvo servidores Microsoft Internet Information Services (IIS), com infecções relatadas principalmente na Índia, Tailândia, Vietnã, Canadá e Brasil, afetando universidades, empresas de tecnologia e provedores de telecomunicações. O grupo, descoberto em abril de 2025, foca em usuários móveis, tanto de dispositivos Android quanto de iPhones. UAT-8099 manipula rankings de busca utilizando ferramentas como Cobalt Strike e malware BadIIS, além de scripts automatizados que evitam detecções. Após comprometer um servidor IIS vulnerável, o grupo utiliza shells web para realizar reconhecimento e escalar privilégios, habilitando o Protocolo de Área de Trabalho Remota (RDP) para acessar dados valiosos. O malware BadIIS, uma variante que evita a detecção por antivírus, opera em três modos, incluindo a manipulação de backlinks para aumentar a visibilidade de sites. A situação é preocupante, pois o grupo já comprometeu um número indeterminado de servidores, e suas táticas podem impactar significativamente a segurança digital no Brasil.

O cenário de cibersegurança continua a evoluir rapidamente, com novos ataques e vulnerabilidades emergindo semanalmente. Um dos principais destaques é a exploração de uma falha zero-day na Oracle E-Business Suite, identificada como CVE-2025-61882, que permite que atacantes não autenticados comprometam o sistema e realizem roubo de dados. O grupo de ransomware Cl0p está por trás dessa exploração, utilizando múltiplas vulnerabilidades para atacar diversas vítimas.

Além disso, um ator de estado-nação chinês, conhecido como Phantom Taurus, tem direcionado suas operações de espionagem cibernética a entidades governamentais e militares na África, Oriente Médio e Ásia, utilizando ferramentas sofisticadas para comprometer sistemas de alto valor. No Brasil, uma nova variante de malware chamada SORVEPOTEL tem se espalhado via WhatsApp, utilizando mensagens de phishing para infectar usuários e propagar-se rapidamente entre contatos.

Pesquisadores alertam sobre uma nova ferramenta chamada MatrixPDF, que transforma arquivos PDF comuns em armadilhas para usuários desavisados. Essa tecnologia permite que hackers insiram prompts enganosos, sobreposições e scripts em documentos aparentemente inofensivos, tornando-os veículos para malware e campanhas de phishing. O estudo da Varonis destaca que, ao combinar o MatrixPDF com motores de phishing em larga escala como o SpamGPT, a eficácia e o alcance desses ataques podem ser multiplicados. Os PDFs, frequentemente confiáveis, podem contornar filtros de e-mail e abrir diretamente em serviços como o Gmail sem levantar suspeitas. Os atacantes podem incluir ações maliciosas que redirecionam usuários para sites externos ou fazem o download automático de arquivos prejudiciais. Além disso, a execução de scripts JavaScript embutidos nos PDFs pode permitir que os hackers conectem-se a servidores maliciosos, levando a downloads indesejados. A pesquisa enfatiza a necessidade de soluções de segurança baseadas em IA que analisem anexos em busca de estruturas incomuns e links ocultos, já que a adaptação constante das táticas dos cibercriminosos representa um desafio contínuo para a segurança cibernética.

Uma nova campanha de spear phishing foi descoberta pela Blackpoint Cyber, visando executivos e funcionários de alto escalão. Os hackers exploram a confiança dos usuários em documentos sensíveis, como passaportes e arquivos de pagamento, utilizando documentos certificados falsos. Um dos métodos utilizados envolve o envio de arquivos ZIP que, ao serem abertos, revelam atalhos do Windows disfarçados. Esses atalhos ativam um script PowerShell que baixa malware de um site controlado pelos atacantes. O malware se camufla como uma apresentação de PowerPoint, evitando a detecção. Além disso, ele verifica a presença de antivírus no sistema, adaptando seu comportamento conforme a segurança encontrada. Esse tipo de ataque, conhecido como ’living off the land’, permite que os hackers contornem ferramentas de segurança, estabelecendo uma conexão com um servidor de comando e controle, o que possibilita o acesso remoto ao computador da vítima. A engenharia social utilizada torna o ataque ainda mais convincente, exigindo que os usuários sejam cautelosos ao abrir anexos, mesmo que pareçam legítimos.

Em 4 de junho de 2025, pesquisadores de cibersegurança identificaram as primeiras implantações ativas da variante XWorm V6.0, que representa o retorno inesperado da infame família de RATs modulares. Esta nova variante mantém a arquitetura central de seu predecessor, mas incorpora melhorias para contornar a detecção por antivírus e aumentar a persistência. Os atacantes estão distribuindo o XWorm V6 por meio de campanhas de phishing, utilizando dropers de JavaScript maliciosos que se conectam silenciosamente a scripts PowerShell antes de entregar um DLL injetor.

O malware Rhadamanthys, promovido por um ator de ameaças conhecido como kingcrete2022, se destaca como um dos principais ladrões de informações disponíveis sob o modelo de malware-as-a-service (MaaS). Com a versão 0.9.2, o software agora coleta impressões digitais de dispositivos e navegadores, ampliando suas capacidades além da simples coleta de dados. A Check Point revelou que os desenvolvedores rebranding como ‘RHAD security’ e ‘Mythical Origin Labs’ estão oferecendo pacotes que variam de $299 a $499 por mês, indicando uma profissionalização do serviço. A nova versão inclui recursos para evitar a detecção, como alertas que permitem a execução do malware sem danos ao sistema. Além disso, o malware utiliza técnicas de esteganografia para ocultar seu payload, que é extraído e executado após uma série de verificações para evitar ambientes de sandbox. A evolução do Rhadamanthys, com a adição de um runner Lua para plugins, representa uma ameaça crescente à segurança pessoal e corporativa, exigindo atenção contínua dos profissionais de segurança.

O grupo de ameaças conhecido como Detour Dog foi identificado como responsável pela distribuição de um malware chamado Strela Stealer, que atua como um ladrão de informações. A análise da Infoblox revelou que Detour Dog controla domínios que hospedam a primeira fase do malware, um backdoor chamado StarFish. Desde agosto de 2023, a Infoblox vem monitorando as atividades do grupo, que inicialmente se concentrava em redirecionar tráfego de sites WordPress para páginas maliciosas. O malware evoluiu para executar conteúdo remoto através de um sistema de comando e controle baseado em DNS.