Microsoft Defender

A Microsoft revelou que duas vulnerabilidades no Microsoft Defender estão sendo ativamente exploradas. A primeira, classificada como CVE-2026-41091, possui uma pontuação de 7.8 no sistema CVSS e permite que atacantes autorizados elevem seus privilégios a nível de sistema. A segunda, CVE-2026-45498, é uma falha de negação de serviço com uma pontuação de 4.0. Ambas as vulnerabilidades foram corrigidas nas versões mais recentes da plataforma de antimalware da Microsoft. A empresa destacou que sistemas que desativaram o Defender não estão vulneráveis e que as atualizações são automáticas. A CISA dos EUA incluiu essas falhas em seu catálogo de vulnerabilidades conhecidas, exigindo que agências federais apliquem as correções até 3 de junho de 2026. Além disso, a Microsoft já havia relatado outras vulnerabilidades exploradas recentemente, aumentando a preocupação com a segurança de suas soluções. A situação exige atenção, especialmente para organizações que dependem do Defender para proteção contra ameaças cibernéticas.

Recentemente, o Microsoft Defender começou a identificar certificados raiz legítimos da DigiCert como o malware Trojan:Win32/Cerdigent.A!dha, resultando em alertas de falsos positivos em larga escala. O problema teve início após uma atualização de assinatura do Defender em 30 de abril, levando à remoção de certificados da loja de confiança do Windows em sistemas afetados. Administradores relataram que os certificados identificados incluem dois hashes específicos. A situação gerou preocupação entre os usuários, muitos dos quais acreditaram que seus dispositivos estavam infectados e optaram por reinstalar o sistema operacional. A Microsoft já lançou uma atualização de inteligência de segurança que corrige as detecções e restaura os certificados removidos. Este incidente ocorre em um contexto em que a DigiCert enfrentou uma violação de segurança, permitindo que atacantes obtivessem certificados de assinatura de código válidos usados para assinar malware. A DigiCert revogou 60 certificados de assinatura de código, incluindo aqueles associados a uma campanha de malware chamada Zhong Stealer. Embora a Microsoft não tenha confirmado uma ligação direta entre os falsos positivos e a violação da DigiCert, a coincidência de tempo e o foco nos certificados da DigiCert levantam questões sobre uma possível conexão.

A Huntress alertou sobre a exploração de três vulnerabilidades recentemente divulgadas no Microsoft Defender, conhecidas como BlueHammer, RedSun e UnDefend. Essas falhas, que permitem a elevação de privilégios em sistemas comprometidos, foram reveladas por um pesquisador sob o pseudônimo Chaotic Eclipse. BlueHammer e RedSun são falhas de elevação de privilégios locais (LPE), enquanto UnDefend pode causar uma condição de negação de serviço (DoS), bloqueando atualizações de definições. A Microsoft já lançou uma correção para BlueHammer, identificada como CVE-2026-33825, mas as outras duas falhas ainda não têm solução disponível. A Huntress observou que a exploração de BlueHammer começou em 10 de abril de 2026, seguida por RedSun e UnDefend em 16 de abril. As atividades dos atacantes foram identificadas através de comandos típicos de enumeração, indicando que os invasores estavam ativos no sistema. A empresa de cibersegurança tomou medidas para isolar as organizações afetadas e evitar novas explorações. A situação destaca a importância de uma resposta rápida a vulnerabilidades críticas, especialmente em ambientes corporativos que utilizam amplamente o Microsoft Defender.

Recentemente, três vulnerabilidades de segurança do Windows estão sendo exploradas por atores maliciosos para obter permissões de administrador ou SYSTEM. O pesquisador de segurança conhecido como ‘Chaotic Eclipse’ divulgou códigos de exploração para essas falhas, em protesto à forma como o Centro de Resposta a Segurança da Microsoft (MSRC) lidou com o processo de divulgação. As vulnerabilidades, chamadas BlueHammer e RedSun, são falhas de escalonamento de privilégios locais no Microsoft Defender, enquanto a terceira, UnDefend, permite que um usuário padrão bloqueie atualizações de definições do Defender. No momento da divulgação, essas falhas eram consideradas zero-days, pois não havia patches disponíveis. Pesquisadores da Huntress Labs relataram que as três explorações estão sendo usadas ativamente, com a BlueHammer sendo explorada desde 10 de abril. Embora a Microsoft tenha corrigido a vulnerabilidade BlueHammer, as falhas RedSun e UnDefend ainda não têm patches disponíveis. A RedSun, por exemplo, permite que atacantes obtenham privilégios SYSTEM em sistemas Windows 10, 11 e Server 2019 e posteriores, mesmo após a aplicação de correções anteriores. A Microsoft reafirmou seu compromisso em investigar problemas de segurança reportados e atualizar dispositivos afetados rapidamente.

Recentemente, o pesquisador conhecido como ‘Chaotic Eclipse’ divulgou um exploit de prova de conceito para uma falha zero-day no Microsoft Defender, chamada ‘RedSun’. Essa vulnerabilidade permite a escalada de privilégios locais (LPE), concedendo privilégios de SYSTEM em sistemas operacionais Windows 10, Windows 11 e Windows Server, especialmente nas atualizações mais recentes do Patch Tuesday de abril. O exploit explora um comportamento peculiar do Windows Defender, que reescreve arquivos maliciosos com uma etiqueta de nuvem, permitindo que arquivos de sistema sejam sobrescritos e, assim, concedendo privilégios administrativos ao atacante. Will Dormann, analista de vulnerabilidades, confirmou que o exploit funciona em sistemas totalmente atualizados. O pesquisador também lançou um exploit anterior, chamado ‘BlueHammer’, em protesto contra a forma como a Microsoft lida com a divulgação de vulnerabilidades. A Microsoft, em resposta, afirmou que investiga questões de segurança relatadas e apoia a divulgação coordenada de vulnerabilidades. Essa situação levanta preocupações sobre a segurança de sistemas amplamente utilizados e a necessidade de uma resposta rápida por parte das empresas que utilizam essas tecnologias.

Uma nova campanha de malware direcionada a usuários do WhatsApp foi descoberta por pesquisadores do Microsoft Defender. O ataque, que começou em fevereiro de 2026, utiliza arquivos maliciosos no formato Visual Basic Script (VBS) enviados por meio de mensagens no aplicativo. Quando o arquivo é aberto, ele instala um script que cria pastas ocultas no sistema Windows, disfarçando-se como componentes legítimos. Essa técnica de engenharia social permite que o malware se instale sem acionar sistemas de segurança, já que suas atividades se misturam ao tráfego normal do dispositivo.

Pesquisadores da Microsoft Defender alertam que atores de ameaças estão utilizando cookies HTTP como um canal de controle para shells web baseados em PHP em servidores Linux, visando a execução remota de código. Essa técnica permite que o código malicioso permaneça inativo durante a execução normal da aplicação, ativando-se apenas quando valores específicos de cookies estão presentes. O uso de cookies para controle de execução oferece uma camada adicional de furtividade, já que esses dados se misturam ao tráfego web normal, dificultando a detecção. As implementações incluem loaders PHP que utilizam ofuscação e verificações em tempo de execução, além de scripts que segmentam dados de cookies para executar cargas úteis secundárias. A pesquisa também revela que os atacantes podem obter acesso inicial ao ambiente Linux da vítima através de credenciais válidas ou exploração de vulnerabilidades conhecidas, configurando tarefas cron para invocar rotinas de shell periodicamente. Para mitigar essa ameaça, a Microsoft recomenda a implementação de autenticação multifator, monitoramento de atividades de login incomuns e auditoria de tarefas cron. Essa abordagem de controle por cookies sugere uma reutilização de técnicas de shell web estabelecidas, permitindo acesso persistente pós-compromisso que pode evadir controles tradicionais de inspeção e registro.

Desde novembro de 2023, uma operação de cibersegurança chamada REF1695 tem explorado instaladores falsos para implantar trojans de acesso remoto (RATs) e mineradores de criptomoedas. Os pesquisadores da Elastic Security Labs identificaram que, além do cryptomining, os atacantes monetizam as infecções através de fraudes CPA (Custo Por Ação), redirecionando as vítimas para páginas de bloqueio de conteúdo sob a aparência de registro de software. As versões mais recentes da campanha também entregaram um implante .NET inédito, denominado CNB Bot, que utiliza um arquivo ISO como vetor de infecção. Este loader invoca o PowerShell para configurar exclusões amplas no Microsoft Defender, permitindo que o CNB Bot opere em segundo plano, enquanto o usuário é enganado por uma mensagem de erro. O CNB Bot é capaz de baixar e executar cargas adicionais, atualizar-se e realizar ações de limpeza para ocultar suas atividades. A operação já acumulou 27,88 XMR (aproximadamente R$ 9.392) em quatro carteiras rastreadas, evidenciando o retorno financeiro consistente para os atacantes. Além disso, a infraestrutura de comando e controle (C2) dos atacantes abusa do GitHub como uma rede de entrega de conteúdo, hospedando binários em contas confiáveis, o que dificulta a detecção.

Pesquisadores de segurança da Microsoft alertaram sobre uma nova tática de hackers que utilizam instaladores falsos de jogos populares, como Xeno e Roblox, para disseminar trojans de acesso remoto (RATs). Os arquivos maliciosos, disfarçados como executáveis legítimos, empregam técnicas furtivas para se manterem ocultos no sistema da vítima. Após a instalação, um Java runtime portátil é utilizado para executar um arquivo malicioso, que se conecta a servidores remotos e permite o controle do computador da vítima. Os hackers aproveitam ferramentas já existentes no Windows, conhecidas como LOLbins, para evitar a detecção, fazendo com que suas atividades pareçam normais. A Microsoft já atualizou seu Defender para detectar esses malwares, mas recomenda que os usuários monitorem o tráfego de saída e bloqueiem conexões suspeitas. A orientação é que os jogadores evitem baixar ferramentas de fontes não oficiais, pois a probabilidade de contaminação por malware é alta. Este incidente destaca a importância de se manter vigilante ao baixar softwares, especialmente em ambientes de jogos.

Recentemente, atores de ameaças têm atraído usuários a executarem utilitários de jogos trojanizados, distribuídos por navegadores e plataformas de chat, com o objetivo de implantar um Trojan de Acesso Remoto (RAT). Segundo a equipe de Inteligência de Ameaças da Microsoft, um downloader malicioso utilizou um ambiente Java portátil para executar um arquivo JAR malicioso, denominado jd-gui.jar. O ataque se destaca pela utilização de PowerShell e binários de living-off-the-land (LOLBins) como cmstp.exe, permitindo uma execução furtiva.

Uma nova campanha de cibersegurança está atacando desenvolvedores por meio de repositórios maliciosos disfarçados de projetos legítimos do Next.js. De acordo com a equipe de pesquisa da Microsoft Defender, essa atividade se alinha a uma série de ameaças que utilizam iscas relacionadas a empregos para se integrar aos fluxos de trabalho dos desenvolvedores, aumentando a probabilidade de execução de código malicioso. Os atacantes criam repositórios falsos em plataformas confiáveis como o Bitbucket, usando nomes enganosos para atrair desenvolvedores em busca de oportunidades de trabalho.

Uma nova pesquisa da Microsoft revelou que empresas estão explorando a funcionalidade de chatbots de inteligência artificial (IA) por meio de um botão chamado ‘Resumir com IA’, que se assemelha a técnicas clássicas de envenenamento de mecanismos de busca. Denominada ‘Envenenamento de Recomendações de IA’, essa técnica envolve a inserção de comandos ocultos em URLs que, ao serem clicados, induzem o assistente de IA a lembrar de uma empresa como uma fonte confiável. A Microsoft identificou mais de 50 prompts únicos de 31 empresas em 14 setores em um período de 60 dias, levantando preocupações sobre a transparência e a confiabilidade das recomendações geradas por IA. O ataque utiliza URLs especialmente elaboradas que injetam comandos de manipulação de memória no assistente de IA. Isso pode resultar em recomendações tendenciosas em áreas críticas, como saúde e finanças, sem que o usuário tenha conhecimento. Para mitigar os riscos, recomenda-se que os usuários auditem periodicamente a memória do assistente e evitem clicar em links de fontes não confiáveis. As organizações também devem monitorar URLs que apontam para domínios de assistentes de IA com palavras-chave específicas relacionadas ao envenenamento de memória.

Pesquisadores de cibersegurança identificaram uma vulnerabilidade no Microsoft Teams que permite que atacantes contornem as proteções do Microsoft Defender for Office 365 através da funcionalidade de acesso de convidados. Quando um usuário atua como convidado em outro tenant, suas proteções são determinadas pelo ambiente anfitrião, não pela organização de origem. Essa situação se agrava com a nova funcionalidade do Teams, que permite que usuários conversem com qualquer pessoa via e-mail, incluindo aqueles que não utilizam a plataforma. A falta de proteção pode ser explorada por atacantes que criam ‘zonas livres de proteção’ em tenants maliciosos, onde podem enviar convites para usuários desavisados. Como os convites são enviados a partir da infraestrutura da Microsoft, eles podem passar despercebidos por soluções de segurança de e-mail. Para mitigar esse risco, recomenda-se que as organizações restrinjam as configurações de colaboração B2B a domínios confiáveis e treinem os usuários para desconfiar de convites não solicitados.

A Microsoft está enfrentando um problema com o Microsoft Defender para Endpoint, que erroneamente classifica o firmware da BIOS de alguns computadores como desatualizado. Esse bug, identificado por pesquisadores da Redmond, afeta principalmente dispositivos da Dell, gerando alertas para os usuários sobre a necessidade de atualizações que, na verdade, não existem. A empresa já está trabalhando em um patch para corrigir essa falha, embora não tenha divulgado quantos usuários foram impactados ou as regiões mais afetadas. Além disso, a Microsoft também resolveu recentemente outros problemas, como crashes em dispositivos macOS e falsos positivos que bloqueavam links no Microsoft Teams e Exchange Online. Esses incidentes destacam a importância de monitorar e corrigir bugs em sistemas de segurança, especialmente em um cenário onde a integridade dos dispositivos é crucial para a proteção de dados e a conformidade com regulamentações como a LGPD.

Uma falha crítica no Microsoft Defender for Endpoint resultou em uma onda de alertas falsos sobre vulnerabilidades de BIOS, afetando principalmente usuários de dispositivos Dell. O problema surgiu quando a lógica de detecção de vulnerabilidades do Defender começou a identificar erroneamente instalações de BIOS atualizadas como desatualizadas ou inseguras. Organizações em todo o mundo relataram receber repetidos avisos de que suas versões de BIOS estavam desatualizadas, mesmo quando estavam com o firmware mais recente fornecido pela Dell. Essa enxurrada de falsos positivos gerou confusão e frustração entre administradores e usuários finais, dificultando a distinção entre avisos de segurança legítimos e os alertas defeituosos do Defender. A Microsoft reconheceu o problema e está trabalhando em um patch para corrigir a lógica de comparação de versões, que deve ser implementado na próxima janela de manutenção. Enquanto isso, as equipes de TI são aconselhadas a verificar as versões de BIOS de forma independente, utilizando canais de suporte da Dell e interfaces de gerenciamento de sistema. Este incidente destaca a importância da precisão na detecção automatizada de vulnerabilidades em plataformas de segurança empresarial.

No cenário atual de cibersegurança, as soluções de Detecção e Resposta de Endpoint (EDR) se tornaram essenciais para proteger as organizações contra ameaças cibernéticas sofisticadas. O artigo destaca as dez melhores empresas de EDR em 2025, que se destacam por suas capacidades de monitoramento contínuo, análise avançada e resposta automatizada a incidentes. As soluções EDR vão além da proteção tradicional, utilizando inteligência artificial e aprendizado de máquina para detectar comportamentos anômalos e ameaças zero-day. Além disso, a arquitetura nativa em nuvem e a evolução para Detecção e Resposta Estendida (XDR) são tendências importantes no mercado. Entre as empresas mencionadas, CrowdStrike, Microsoft Defender e SentinelOne se destacam por suas inovações e eficácia na proteção de endpoints. A demanda por plataformas EDR robustas está crescendo, impulsionada pelo aumento de ataques de ransomware e crimes cibernéticos patrocinados por estados-nação. Para os CISOs brasileiros, a escolha de uma solução EDR adequada é crucial para garantir a segurança dos dados e a continuidade dos negócios.

A Microsoft lançou uma nova funcionalidade de segurança baseada em inteligência artificial no Defender for Identity, que visa mitigar uma vulnerabilidade crítica relacionada ao armazenamento de credenciais em texto simples no Active Directory. A pesquisa da empresa revelou que mais de 40.000 credenciais estavam expostas em 2.500 locatários, evidenciando a gravidade do problema. Essa vulnerabilidade surge do uso inadequado de campos de texto livre, onde administradores frequentemente armazenam senhas e tokens de autenticação para facilitar a resolução de problemas e a integração de sistemas. Isso cria alvos valiosos para cibercriminosos, especialmente em contas de identidade não humanas, que não podem utilizar métodos tradicionais de autenticação multifatorial. A nova arquitetura de detecção da Microsoft combina varredura abrangente do diretório com uma análise contextual, reduzindo falsos positivos e garantindo alertas acionáveis para as equipes de segurança. A funcionalidade já está disponível em versão pública para todos os clientes do Defender for Identity, permitindo que as organizações identifiquem e corrijam configurações inadequadas antes que possam ser exploradas.

Cibercriminosos estão explorando a demanda por jogos piratas para disseminar malware avançado que consegue contornar mecanismos de segurança robustos, como o Microsoft Defender SmartScreen e bloqueadores de anúncios populares, como o uBlock Origin. A análise revela uma cadeia de infecção enganosa que expõe os usuários a uma família sofisticada de malware chamada HijackLoader.

O processo de infecção começa quando os usuários acessam fóruns de pirataria ou resultados de busca no Google que prometem downloads seguros, frequentemente com alegações da comunidade de que os bloqueadores de anúncios garantem segurança. No entanto, a jornada de download se transforma em um labirinto de redirecionamentos, culminando em um arquivo hospedado no MEGA. Mesmo com o uBlock Origin instalado, esses redirecionamentos maliciosos não são bloqueados, evidenciando a proteção limitada oferecida pelos bloqueadores de anúncios.