Microsoft

Recentemente, a Microsoft conseguiu bloquear uma campanha de phishing que utilizava código gerado por inteligência artificial (IA) para ocultar um payload malicioso dentro de um arquivo SVG disfarçado como PDF. Os atacantes enviaram e-mails de contas de pequenas empresas comprometidas, utilizando campos BCC para esconder os alvos reais. O arquivo SVG continha elementos ocultos que simulavam um painel de negócios, enquanto um script transformava palavras relacionadas a negócios em código, levando os usuários a uma página de login falsa após um redirecionamento para um CAPTCHA. A análise do arquivo pelo Microsoft Security Copilot revelou características típicas de código gerado por IA, como identificadores longos e comentários genéricos, o que indicou que o código era mais polido do que prático. Embora a campanha tenha sido limitada e facilmente bloqueada, ela destaca como os atacantes estão cada vez mais utilizando IA para criar iscas convincentes e payloads complexos. A Microsoft enfatiza a importância de ferramentas de IA na detecção e resposta a ameaças em larga escala, tanto para defensores quanto para atacantes.

No dia 30 de setembro de 2025, a Microsoft anunciou a expansão de sua solução de gerenciamento de incidentes e eventos de segurança (SIEM), o Sentinel, com a disponibilização geral do Sentinel data lake. Este novo recurso é uma ferramenta nativa da nuvem, projetada para ingerir, gerenciar e analisar dados de segurança, proporcionando melhor visibilidade e análises avançadas. O data lake permite que modelos de inteligência artificial, como o Security Copilot, tenham acesso ao contexto completo necessário para detectar padrões sutis e correlacionar sinais, facilitando a identificação de comportamentos de atacantes e a resposta a incidentes. Além disso, a Microsoft introduziu o Sentinel Graph e o Modelo de Contexto do Protocolo (MCP), que permitem uma orquestração mais eficiente e uma compreensão contextual mais rica dos dados de segurança. A empresa também destacou a importância de proteger plataformas de IA contra ataques de injeção de prompt, anunciando melhorias no Azure AI Foundry para aumentar a segurança dos agentes de IA. Com essas inovações, a Microsoft visa transformar a cibersegurança de um modelo reativo para um preditivo, permitindo que as equipes de segurança respondam mais rapidamente a eventos em larga escala.

Um novo ataque de phishing, identificado pela Microsoft, está direcionado a organizações baseadas nos Estados Unidos e utiliza modelos de linguagem avançados para ocultar suas intenções maliciosas. Detectado em 28 de agosto de 2025, o ataque se aproveita de contas de e-mail corporativas comprometidas para enviar mensagens que se disfarçam como notificações de compartilhamento de arquivos. Os atacantes utilizam arquivos SVG, que permitem a inclusão de JavaScript e conteúdo dinâmico, para criar iscas mais convincentes. Os e-mails são enviados com endereços de remetente e destinatário iguais, ocultando os verdadeiros alvos no campo BCC, o que dificulta a detecção inicial. O conteúdo do SVG é estruturado para parecer um painel de análise de negócios, enquanto a funcionalidade maliciosa é disfarçada por uma sequência de termos corporativos. A Microsoft alerta que, embora esta campanha tenha sido bloqueada, técnicas semelhantes estão sendo cada vez mais adotadas por cibercriminosos. Além disso, outras campanhas de phishing têm explorado temas relacionados à Administração da Seguridade Social dos EUA e à violação de direitos autorais, utilizando métodos inovadores para distribuir malware.

Uma vulnerabilidade crítica no sistema Microsoft Entra ID foi descoberta, permitindo que cibercriminosos acessassem inquilinos virtuais sem deixar rastros. Identificada pelo especialista Dirk-Jan Mollema, a falha, classificada como CVE-2025-55241, envolvia dois elementos: os Tokens de Autor, que são tokens de autenticação não documentados, e um bug de Elevação de Privilégios. Esses tokens, emitidos por um sistema legado, não eram verificados por controles de segurança comuns, permitindo acesso não autorizado a dados sensíveis e configurações de outras organizações. Mollema demonstrou que, utilizando informações publicamente disponíveis, era possível gerar tokens e acessar ambientes alheios, criando usuários e alterando senhas sem gerar logs. A Microsoft reconheceu a vulnerabilidade em julho de 2025 e lançou patches para corrigi-la em setembro. A falha destaca a importância de descontinuar sistemas obsoletos e reforçar a segurança em serviços amplamente utilizados, como o Azure AD Graph.

Uma vulnerabilidade crítica, identificada como CVE-2025-55241, foi revelada pelo pesquisador de segurança Dirk-Jan Mollema, permitindo que um único token de acesso obtido de qualquer tenant de teste concedesse controle administrativo total sobre todos os tenants do Microsoft Entra ID (anteriormente Azure AD) globalmente. Essa falha na validação de tokens ‘Actor’ da Microsoft expõe um risco significativo associado à autoridade centralizada em plataformas de nuvem modernas. Um atacante com acesso a uma conta de laboratório poderia se passar por qualquer usuário ou serviço, acessar dados sensíveis, criar novas contas de administrador global e permanecer indetectável, já que todas as ações pareciam legítimas. Embora a Microsoft tenha corrigido a vulnerabilidade, a falha arquitetônica subjacente persiste, destacando a necessidade urgente de arquiteturas de segurança sem autoridade central. A situação ressalta que, apesar dos investimentos significativos em cibersegurança, as brechas podem resultar em danos financeiros imensos, exigindo uma mudança estrutural na forma como a segurança é abordada nas plataformas de nuvem.

Uma falha crítica de validação de token no Microsoft Entra ID (anteriormente Azure Active Directory) pode ter permitido que atacantes se passassem por qualquer usuário, incluindo Administradores Globais, em qualquer inquilino. A vulnerabilidade, rastreada como CVE-2025-55241, recebeu a pontuação máxima de 10.0 no CVSS e foi classificada pela Microsoft como uma falha de escalonamento de privilégios. Embora não haja indícios de que a falha tenha sido explorada ativamente, ela foi corrigida em 17 de julho de 2025, sem necessidade de ação por parte dos clientes. O problema surgiu da combinação de tokens de ator emitidos pelo Serviço de Controle de Acesso e uma falha na API Graph do Azure AD, que não validava adequadamente o inquilino de origem, permitindo acesso não autorizado entre inquilinos. Isso poderia permitir que um atacante se passasse por um Administrador Global, criando novas contas ou exfiltrando dados sensíveis. A Microsoft já descontinuou a API Graph do Azure AD, recomendando a migração para o Microsoft Graph. A empresa Mitiga alertou que a exploração dessa vulnerabilidade poderia contornar autenticações multifator e deixar poucas evidências do ataque.

Uma colaboração entre a Microsoft e a Cloudflare resultou na desarticulação de uma operação de phishing conhecida como RaccoonO365, que vendia ferramentas para roubo de credenciais do Microsoft 365. A operação, realizada em setembro de 2025, levou ao controle de 338 sites e contas associadas ao grupo hacker Storm-2246, que desde julho de 2024 havia comprometido pelo menos 5.000 credenciais de usuários em 94 países. Os atacantes utilizavam kits de phishing que combinavam páginas de CAPTCHA e técnicas antibot para simular legitimidade e evitar a detecção. Uma campanha específica focada em impostos atingiu 2.300 organizações nos EUA, resultando em tentativas de fraude financeira e extorsão. O grupo operava principalmente via Telegram, oferecendo pacotes de phishing a preços que variavam de US$ 335 a US$ 999, pagos em criptomoedas. A operação revelou que o líder do grupo, Joshua Ogundipe, residente na Nigéria, tinha um histórico em programação e foi identificado como o principal responsável pelos códigos maliciosos. A Microsoft estima que o grupo arrecadou cerca de US$ 100 mil em criptomoedas até o momento, e as autoridades internacionais já foram notificadas sobre as acusações contra Ogundipe.

Uma nova pesquisa da Entro Labs revelou uma vulnerabilidade crítica na funcionalidade de auto-sincronização do OneDrive da Microsoft, que está expondo segredos empresariais em larga escala. O estudo indica que um em cada cinco segredos expostos em ambientes corporativos provém do SharePoint, não por meio de ataques sofisticados, mas devido a uma configuração padrão do OneDrive que move automaticamente arquivos locais contendo credenciais sensíveis para repositórios na nuvem. A falha de segurança está relacionada ao recurso Known Folder Move (KFM), que sincroniza pastas críticas do usuário, como Desktop e Documentos, para o OneDrive. Isso resulta em uma exposição inadvertida de arquivos que deveriam ser mantidos localmente, tornando-os acessíveis a administradores e contas potencialmente comprometidas. A pesquisa também destaca que a maioria dos arquivos expostos são planilhas, representando mais de 50% dos segredos, seguidas por arquivos de texto e scripts. A situação é agravada pela ativação padrão do OneDrive em sistemas Windows 10/11, que pode levar usuários a fazer backup de arquivos sensíveis sem perceber. Para mitigar esses riscos, as equipes de segurança devem aumentar a conscientização sobre o comportamento de auto-sincronização e considerar desativar o KFM onde não for necessário.

A Microsoft, por meio de sua Unidade de Crimes Digitais (DCU), desmantelou uma operação de cibercrime chamada RaccoonO365, que se destacou como uma das ferramentas mais rápidas para roubo de credenciais do Microsoft 365. Com uma ordem judicial do Distrito Sul de Nova York, a empresa conseguiu desativar 338 sites associados a essa plataforma de phishing como serviço, interrompendo a infraestrutura técnica utilizada pelos criminosos. Desde julho de 2024, a RaccoonO365 comprometeu pelo menos 5.000 credenciais em 94 países, com um foco alarmante em organizações de saúde nos EUA, onde 20 delas foram atacadas. O serviço, que permite que indivíduos com pouca experiência técnica realizem campanhas de roubo de credenciais, utiliza branding autêntico da Microsoft para enganar os usuários. A operação foi liderada por Joshua Ogundipe, um programador da Nigéria, que comercializava seus serviços via Telegram e recebeu cerca de $100.000 em pagamentos em criptomoeda. A evolução da RaccoonO365 inclui o uso de inteligência artificial para aumentar a eficácia dos ataques, destacando a crescente preocupação com ferramentas de cibercrime aprimoradas por IA. A Microsoft colaborou com parceiros de segurança e utilizou ferramentas de análise de blockchain para rastrear transações de criptomoeda, enquanto encaminhou Ogundipe para as autoridades internacionais.

A Microsoft alertou que o suporte para o Windows 11 versão 22H2 terminará em 14 de outubro de 2025, o que significa que dispositivos que ainda utilizarem essa versão não receberão mais atualizações de segurança. Isso representa um risco significativo, pois sistemas não atualizados ficarão vulneráveis a ameaças cibernéticas, como exploits de dia zero e ransomware. A empresa recomenda que organizações, especialmente as do setor empresarial e educacional, atualizem para a versão 24H2 do Windows 11 para garantir a continuidade da proteção e acesso a novos recursos. A falta de atualizações pode resultar em violações de dados, interrupções operacionais e problemas de conformidade, especialmente em ambientes regulados. Além disso, a Microsoft oferece um programa de Atualizações de Segurança Estendidas (ESU) para aqueles que não conseguirem migrar a tempo, embora isso envolva custos adicionais. A preparação para a migração deve incluir a validação da compatibilidade de aplicativos e o treinamento da equipe de TI para uma implementação eficiente.

Em setembro de 2025, a Microsoft lançou uma atualização de segurança que corrige quatro falhas de elevação de privilégios no serviço Windows Defender Firewall, todas classificadas como importantes. As vulnerabilidades identificadas como CVE-2025-53808, CVE-2025-54104, CVE-2025-54109 e CVE-2025-54915 podem permitir que um atacante autenticado com privilégios elevados consiga acesso ao nível de Serviço Local, comprometendo a integridade do sistema. Três das falhas estão relacionadas a um erro de confusão de tipo, que ocorre quando um recurso é tratado como um tipo de dado diferente do que realmente é, levando à corrupção de memória. A exploração dessas falhas requer que o usuário esteja autenticado e pertença a um grupo restrito do Windows, o que limita a probabilidade de exploração, embora a gravidade das falhas ainda represente um risco significativo. A Microsoft recomenda que administradores e usuários apliquem as atualizações de setembro de 2025 imediatamente para mitigar esses riscos.

A Microsoft anunciou um plano de descontinuação do suporte ao VBScript no Windows, alertando os desenvolvedores sobre a necessidade de migrar seus projetos que dependem dessa tecnologia. O processo de descontinuação ocorrerá em três fases: a primeira, já em andamento até 2026 ou 2027, mantém o VBScript como um recurso habilitado por demanda, garantindo a funcionalidade dos projetos existentes. Na segunda fase, que deve começar em 2026 ou 2027, o VBScript será desativado por padrão, exigindo que os desenvolvedores o reativem manualmente, se necessário. A fase final, ainda sem data definida, eliminará completamente o VBScript das futuras versões do Windows, o que resultará na falha de chamadas VBA para scripts .vbs e referências a bibliotecas VBScript.RegExp. Para facilitar a transição, a Microsoft integrou classes RegExp nativamente no VBA a partir da versão 2508 do Office, permitindo que os desenvolvedores utilizem novas funcionalidades sem depender do VBScript. A empresa recomenda que os desenvolvedores comecem a adaptar seus códigos agora para evitar interrupções futuras.

O senador americano Ron Wyden solicitou à Comissão Federal de Comércio (FTC) que investigue a Microsoft por ’negligência cibernética grave’ que facilitou ataques de ransomware em infraestruturas críticas dos EUA, incluindo redes de saúde. A demanda surge após um ataque devastador ao sistema de saúde Ascension, que resultou no roubo de informações pessoais de 5,6 milhões de indivíduos. O ataque, atribuído ao grupo Black Basta, ocorreu quando um contratante clicou em um link malicioso no Bing, permitindo que os atacantes explorassem configurações inseguras do software da Microsoft. Wyden criticou a empresa por não impor senhas robustas e por continuar a suportar o algoritmo de criptografia RC4, considerado vulnerável. Apesar de a Microsoft ter anunciado melhorias de segurança e planos para descontinuar o suporte ao RC4, o senador argumenta que a falta de ações mais rigorosas expõe os clientes a riscos significativos. O artigo destaca a necessidade de um design de segurança mais rigoroso em plataformas de TI dominantes, especialmente quando estas são fundamentais para a infraestrutura nacional.

No dia 10 de setembro de 2025, a Microsoft lançou uma atualização de segurança que corrige 80 falhas em seu software, incluindo uma vulnerabilidade já conhecida publicamente. Dentre as 80 falhas, oito foram classificadas como Críticas e 72 como Importantes. Nenhuma das vulnerabilidades foi explorada como zero-day. A maioria das falhas (38) está relacionada a elevação de privilégios, seguida por execução remota de código (22), divulgação de informações (14) e negação de serviço (3). A vulnerabilidade mais crítica, CVE-2025-55234, com um CVSS de 8.8, refere-se a um problema de elevação de privilégios no SMB do Windows, que pode permitir ataques de relay. A Microsoft também destacou a importância de auditorias adicionais para garantir a compatibilidade do cliente SMB. Outras vulnerabilidades notáveis incluem CVE-2025-54914, uma falha crítica no Azure Networking, e CVE-2025-55232, que afeta o Microsoft HPC Pack. A atualização também aborda falhas no BitLocker, que podem permitir que atacantes contornem proteções de criptografia. A Microsoft recomenda medidas adicionais, como habilitar TPM+PIN para aumentar a segurança do BitLocker.

A Microsoft iniciou a distribuição da versão Insider Preview Build 27938 do Windows 11 no Canal Canary, que traz novas funcionalidades impulsionadas por inteligência artificial (IA) diretamente para o File Explorer. A principal novidade são as ‘ações de IA’, que permitem aos usuários interagir com imagens e documentos sem sair do navegador de arquivos. Ao clicar com o botão direito em um arquivo compatível, uma nova opção de ‘ações de IA’ aparece no menu de contexto, oferecendo tarefas como edição de imagens e resumo de documentos. As ações de IA incluem ferramentas como Busca Visual do Bing, que permite pesquisar na web usando imagens, e funcionalidades de edição como desfoque de fundo e remoção de objetos. Além disso, a atualização traz melhorias na visualização do relógio no Centro de Notificações e uma nova seção de privacidade que permite aos usuários monitorar quais aplicativos de terceiros utilizam modelos de IA fornecidos pelo Windows. A Microsoft também corrigiu diversos problemas de confiabilidade nesta versão, mas os usuários devem estar cientes de que as versões Canary podem apresentar erros e não são garantidas para produção.

A Microsoft enfrenta crescente escrutínio após a revelação de que a empresa utilizou engenheiros baseados na China para corrigir falhas no SharePoint, um produto que foi alvo de hackers apoiados pelo Estado. O ataque cibernético afetou centenas de empresas e agências governamentais dos EUA, incluindo o Departamento de Segurança Interna (DHS) e a Administração Nacional de Segurança Nuclear (NNSA). As vulnerabilidades permitiram que os invasores acessassem completamente o conteúdo do SharePoint, executando código remotamente e implantando ransomware. Embora a Microsoft tenha emitido um patch rapidamente, ele foi insuficiente para conter os ataques. A empresa confirmou a participação de uma equipe de engenharia da China, mas afirmou que o trabalho era supervisionado por engenheiros dos EUA. Especialistas em cibersegurança expressaram preocupações sobre as leis chinesas que permitem que agências estatais exijam cooperação de empresas privadas, levantando temores sobre a coleta de inteligência. Em resposta à pressão, a Microsoft anunciou que encerrará o uso de engenheiros da China em projetos do Pentágono e está avaliando sua presença em outros projetos governamentais. A empresa também planeja descontinuar o suporte para o SharePoint On-Premises em julho de 2026, incentivando a migração para seu serviço em nuvem, Azure.

A Microsoft reconheceu que a atualização de segurança de agosto de 2025 (KB5063878) está gerando prompts inesperados do Controle de Conta de Usuário (UAC) para usuários não administradores ao tentar reparar ou atualizar certos aplicativos. Essa mudança foi implementada para reforçar a segurança do Windows Installer, corrigindo uma vulnerabilidade (CVE-2025-50173) que poderia ser explorada por atacantes. Como consequência, programas comuns, como AutoCAD e Civil 3D, agora solicitam aprovação de administrador para operações que antes eram realizadas sem essa necessidade. Além disso, aplicativos mais antigos, como o Office 2010, podem falhar completamente quando executados em contas padrão. A Microsoft planeja, em atualizações futuras, permitir que administradores de TI aprovem aplicativos específicos para realizar essas operações de reparo sem interrupções constantes. Até que essa solução seja implementada, os usuários devem estar cientes de que a exigência de permissões administrativas não indica um problema com os aplicativos, mas sim uma medida de segurança adicional do Windows.

A Microsoft confirmou uma vulnerabilidade crítica de execução remota de código (RCE) em sua ferramenta IIS Web Deploy, identificada como CVE-2025-53772. Essa falha está relacionada à lógica de desserialização insegura nos endpoints msdeployagentservice e msdeploy.axd, permitindo que atacantes autenticados executem comandos arbitrários em servidores web vulneráveis. A vulnerabilidade se origina da desserialização do cabeçalho HTTP MSDeploy.SyncOptions, que deve conter um blob codificado em Base64 e comprimido em GZip. Um payload malicioso pode ser gerado para explorar essa falha, levando à execução de comandos no servidor. A Microsoft avaliou a gravidade da vulnerabilidade em 8.8, o que a classifica como alta. A recomendação é que administradores apliquem as atualizações mais recentes do Web Deploy imediatamente e implementem medidas de mitigação, como restringir o acesso aos endpoints e monitorar logs do IIS. A CVE-2025-53772 destaca os riscos contínuos associados à desserialização insegura em pipelines de implantação modernos, exigindo atenção urgente das organizações para proteger suas implementações automatizadas de aplicações.

A Microsoft anunciou que, a partir de outubro de 2024, a autenticação multifator (MFA) será obrigatória para todos os acessos ao portal Azure, como parte de um esforço para aumentar a segurança das contas dos usuários. Pesquisas da empresa indicam que a implementação da MFA pode prevenir mais de 99,2% dos ataques de comprometimento de contas, tornando essa medida crucial para a proteção de recursos na nuvem. A primeira fase da implementação exigirá MFA para operações administrativas em portais como o Azure e o Microsoft 365, enquanto a segunda fase, prevista para outubro de 2025, incluirá ferramentas de linha de comando e APIs. Os usuários que já utilizam MFA ou métodos de login sem senha não notarão mudanças, mas aqueles que não configuraram a MFA serão solicitados a fazê-lo ao tentar acessar suas contas. A Microsoft recomenda que as organizações revisem suas políticas de acesso condicional e realizem testes antes da implementação para evitar interrupções. Essa mudança visa reduzir a superfície de ataque e proteger recursos críticos contra acessos não autorizados.

A equipe de inteligência de ameaças da Amazon interrompeu recentemente uma campanha sofisticada de watering hole orquestrada pelo grupo de hackers APT29, vinculado ao estado russo e conhecido como Midnight Blizzard. Utilizando sites comprometidos e explorando o fluxo de autenticação de código de dispositivo da Microsoft, a campanha visava coletar credenciais e expandir os esforços de coleta de inteligência global do grupo.

A nova tática do APT29 envolve a injeção de JavaScript ofuscado em sites legítimos, redirecionando cerca de 10% dos visitantes para domínios maliciosos que imitavam páginas de verificação da Cloudflare. A análise técnica revelou truques avançados de evasão, como redirecionamento de apenas uma fração do tráfego e uso de cookies para bloquear redirecionamentos repetidos.

A Microsoft anunciou a disponibilidade da versão 25H2 do Windows 11 (Build 26200.5074) para os usuários do Release Preview Channel. Esta atualização anual é entregue como um pacote de habilitação (eKB), permitindo que PCs elegíveis atualizem da versão 24H2 sem a necessidade de reinstalação completa do sistema operacional. O pacote simplesmente ativa novos recursos que já estão presentes nos dispositivos. Além disso, a versão 25H2 remove componentes legados como o PowerShell 2.0 e o WMIC, incentivando a migração para ferramentas de gerenciamento mais modernas. Para clientes comerciais, a atualização oferece opções de remoção de aplicativos pré-instalados via políticas de grupo ou MDM. A instalação está disponível para insiders que atendem aos requisitos de hardware, e os clientes comerciais têm caminhos adicionais de implantação, como Windows Update for Business e WSUS. A Microsoft também disponibilizará imagens do Azure Marketplace e ISOs para instalações limpas na próxima semana.

A Microsoft anunciou a implementação de um chip de segurança HSM (Hardware Security Module) integrado em todos os servidores Azure, como parte de uma estratégia para enfrentar o crescente problema do cibercrime, que atualmente gera custos estimados em 10,2 trilhões de dólares por ano, tornando-se a terceira maior economia do mundo. O Azure Integrated HSM, revelado no evento Hot Chips 2025, é projetado para atender aos requisitos de segurança FIPS 140-3 Nível 3, oferecendo resistência a violação e proteção local de chaves dentro dos servidores. Essa abordagem descentraliza as funções criptográficas, reduzindo a latência e permitindo a execução de tarefas como AES e detecção de intrusões de forma local. Além disso, a Microsoft apresentou sua arquitetura ‘Secure by Design’, que inclui o Azure Boost e o Datacenter Secure Control Module, visando aumentar a segurança em ambientes multi-inquilinos. A colaboração com empresas como AMD, Google e Nvidia resultou na Caliptra 2.0, que agora incorpora criptografia pós-quântica, reforçando ainda mais a segurança das operações na nuvem.

A Microsoft Threat Intelligence revelou que o grupo de cibercriminosos Storm-0501, conhecido por atacar escolas e prestadores de serviços de saúde nos EUA, evoluiu suas táticas, agora utilizando operações de ransomware nativas da nuvem. Em vez de depender apenas de malware para criptografar dispositivos locais, o grupo explora vulnerabilidades em ambientes de nuvem híbridos, realizando exfiltração de dados em larga escala e comprometendo recursos do Azure.

O ataque geralmente começa com a violação do Active Directory através de contas de administrador de domínio comprometidas, permitindo acesso ao Microsoft Entra ID. O Storm-0501 utiliza ferramentas como AzureHound para enumerar recursos na nuvem e escalar privilégios, muitas vezes através de contas mal configuradas que não exigem autenticação multifator (MFA). Após obter acesso total, o grupo realiza operações de descoberta e exfiltração, deletando backups e utilizando APIs legítimas do Azure para dificultar a recuperação dos dados. A extorsão final frequentemente ocorre por meio de mensagens no Microsoft Teams.

No dia 21 de agosto de 2025, a GreyNoise Intelligence registrou um aumento sem precedentes na atividade de reconhecimento do Protocolo de Área de Trabalho Remota (RDP), com 1.971 endereços IP únicos realizando varreduras simultâneas nos portais de autenticação do Microsoft RD Web Access e do Microsoft RDP Web Client. A maioria desses IPs (1.851) compartilhava a mesma assinatura de cliente, indicando uma campanha coordenada para descobrir nomes de usuários válidos antes de tentativas de invasão baseadas em credenciais. Aproximadamente 92% dos IPs já haviam sido identificados como maliciosos, com 73% da atividade originando-se do Brasil, tendo os Estados Unidos como alvo. A GreyNoise também identificou uma onda subsequente de escaneamento que ultrapassou 30.000 IPs, sinalizando uma escalada dramática na intenção dos atacantes de mapear endpoints RDP expostos. Este aumento de atividade ocorre em um período crítico, quando instituições educacionais estão online, o que torna a exploração de esquemas de nomes de usuário previsíveis uma preocupação significativa. Organizações com portais RDP expostos devem revisar e reforçar seus fluxos de autenticação, implementando autenticação multifator e monitorando anomalias.

A atualização de segurança de agosto de 2025 para o Windows 11 versão 24H2 e Windows 10 trouxe uma série de problemas, incluindo lentidão severa em dispositivos que utilizam ferramentas de streaming NDI, como OBS. Os usuários relataram travamentos e degradação de desempenho após a instalação da atualização KB5063878. A Microsoft recomenda uma solução temporária, que envolve a mudança do modo de recebimento NDI para TCP ou UDP. Além disso, a atualização causou falhas na instalação via WSUS para clientes empresariais, que já foram resolvidas. Outros problemas incluem a falta de prompt de consentimento parental em navegadores não-Edge e incompatibilidades com drivers específicos, como o sprotect.sys e o Dirac Audio, que impedem a atualização em alguns dispositivos. A Microsoft está trabalhando em soluções para esses problemas, mas os usuários são aconselhados a verificar a compatibilidade de seus sistemas antes de proceder com a atualização.

Pesquisadores de cibersegurança da Push Security alertaram sobre um novo esquema de phishing que tem como alvo credenciais de login da Microsoft. Os criminosos cibernéticos criaram páginas falsas que imitam as telas de login do Microsoft 365, utilizando uma ferramenta chamada Active Directory Federation Services (ADFS) para enganar os usuários. Em vez de enviar as vítimas diretamente para o site de phishing, os atacantes configuraram suas contas Microsoft para redirecionar os usuários para essas páginas fraudulentas, fazendo com que os links parecessem legítimos, já que começavam com ‘outlook.office.com’. Além disso, a distribuição do link não ocorreu por e-mail, mas sim através de malvertising, onde vítimas que buscavam por “Office 265” eram direcionadas a uma página de login falsa. O uso de um blog de viagens falso como intermediário ajudou a ocultar o ataque. Essa abordagem sofisticada permitiu que o esquema contornasse muitas ferramentas de segurança, aumentando sua taxa de sucesso em comparação com métodos tradicionais de phishing. Para se proteger, equipes de TI devem bloquear anúncios suspeitos e monitorar o tráfego de anúncios, enquanto os usuários devem ter cuidado ao digitar termos de busca, pois um simples erro de digitação pode levar a um anúncio falso que compromete dispositivos e contas.

O ecossistema do Microsoft Copilot enfrenta um grave problema de governança de segurança, onde as políticas de acesso configuradas estão sendo sistematicamente ignoradas. Isso permite a implantação não autorizada de agentes, mesmo diante de restrições administrativas explícitas. Desde maio de 2025, a Microsoft lançou 107 agentes Copilot, mas uma falha crítica foi identificada: a configuração da política de ‘Acesso a Dados’, que deveria impedir o acesso de usuários aos agentes, não está sendo aplicada corretamente. Essa vulnerabilidade compromete os controles de segurança das empresas e aumenta os riscos de exposição de dados em ambientes Microsoft 365. A falha se manifesta em múltiplos vetores, incluindo a incapacidade da Microsoft de implementar suas próprias políticas de controle de acesso e deficiências na gestão de inventário de agentes. Para mitigar esses riscos, os administradores devem realizar auditorias abrangentes, implementar bloqueios manuais e estabelecer monitoramento contínuo para detectar novas implantações não autorizadas. A situação exige uma resposta imediata da Microsoft para restaurar a confiança em seu ecossistema de IA.

Uma vulnerabilidade crítica na arquitetura de Conexão de API do Microsoft Azure permitiu a completa exploração de recursos em múltiplos tenants na nuvem. A falha, descoberta por um pesquisador, foi corrigida pela Microsoft em uma semana após sua divulgação. O problema estava relacionado à infraestrutura compartilhada do Azure, que processa trocas de tokens de autenticação entre aplicações e serviços de backend. A vulnerabilidade permitia que atacantes acessassem serviços conectados, como Azure Key Vaults e bancos de dados, em diferentes tenants. O exploit utilizou um endpoint não documentado chamado DynamicInvoke, que permitia chamadas arbitrárias em Conexões de API, possibilitando acesso administrativo a serviços conectados globalmente. A falha foi classificada como uma séria ameaça, especialmente para organizações que armazenam credenciais sensíveis no Azure Key Vault. A descoberta ressalta os riscos de segurança em arquiteturas de nuvem compartilhadas, onde sistemas multi-tenant podem criar vetores de ataque inesperados.

A Microsoft decidiu restringir o acesso de algumas empresas chinesas ao seu sistema de alerta antecipado sobre vulnerabilidades cibernéticas, conhecido como MAPP (Microsoft Active Protections Program). Essa decisão foi tomada após uma série de ataques que exploraram falhas na plataforma SharePoint da empresa, afetando até 400 organizações. Suspeitas de envolvimento do governo chinês nos ataques levaram a Microsoft a acreditar que houve um vazamento de informações dentro do programa MAPP, que é utilizado para alertar empresas de segurança sobre ameaças e permitir que elas se preparem para possíveis ataques. As vulnerabilidades já foram corrigidas, mas foram utilizadas anteriormente para implantar ransomware, permitindo que atacantes extraíssem chaves criptográficas de servidores da Microsoft. A empresa confirmou que não enviará mais códigos de prova de conceito para empresas chinesas, uma medida que visa evitar que informações sobre as defesas dos sistemas sejam usadas por atacantes. A Microsoft continua a revisar os participantes do MAPP e pode suspender ou remover aqueles que violarem os termos do contrato, que proíbe a participação em ataques ofensivos.

Uma vulnerabilidade crítica no M365 Copilot da Microsoft permitiu que usuários acessassem arquivos sensíveis sem gerar entradas adequadas nos logs de auditoria, criando riscos significativos de conformidade e segurança para organizações em todo o mundo. Descoberta em 4 de julho por Zack Korman, a falha explorou uma falha fundamental no mecanismo de registro de auditoria do Copilot. Normalmente, quando o Copilot resume um arquivo, ele gera entradas de log correspondentes. No entanto, ao instruir o Copilot a omitir links de arquivos, a funcionalidade de registro de auditoria falhava. Essa técnica de contorno é fácil de executar e pode ser acionada inadvertidamente por interações rotineiras com o Copilot, tornando-se um problema generalizado. A Microsoft classificou a vulnerabilidade como “importante”, mas não divulgou publicamente a falha nem notificou os clientes afetados, levantando preocupações sobre a transparência nas comunicações de segurança. Organizações que usaram o M365 Copilot antes de 18 de agosto devem assumir que seus logs de auditoria podem estar incompletos e realizar revisões de segurança abrangentes. A falta de notificação impede que as organizações conduzam avaliações de risco adequadas, comprometendo a integridade dos logs de auditoria exigidos por muitos frameworks de conformidade.

Pesquisadores de cibersegurança revelaram a exploração de uma vulnerabilidade corrigida no Microsoft Windows, identificada como CVE-2025-29824, por agentes de ameaça para implantar o malware PipeMagic em ataques de ransomware RansomExx. Essa falha, que afeta o Windows Common Log File System (CLFS), foi abordada pela Microsoft em abril de 2025. O PipeMagic, que atua como uma backdoor, foi documentado pela primeira vez em 2022, visando empresas industriais no Sudeste Asiático. Os ataques utilizam também a CVE-2017-0144, uma falha de execução remota no Windows SMB, para infiltrar a infraestrutura das vítimas. Em 2025, os ataques se concentraram na Arábia Saudita e no Brasil, utilizando um arquivo do Microsoft Help Index como carregador para injetar código malicioso. O PipeMagic é um malware modular que permite comunicação assíncrona e execução de comandos em sistemas comprometidos. A detecção contínua do PipeMagic em ataques indica que os desenvolvedores estão aprimorando suas funcionalidades, aumentando o risco para organizações em várias regiões, incluindo o Brasil.

Pesquisadores de segurança descobriram uma campanha de ataque sofisticada em que atores de ameaças estão explorando Arquivos de Índice de Ajuda da Microsoft (.mshi) como um novo mecanismo de entrega para o backdoor PipeMagic. Essa campanha culmina na exploração da vulnerabilidade crítica CVE-2025-29824, que foi corrigida pela Microsoft em abril de 2025. Os atacantes utilizam um arquivo chamado ‘metafile.mshi’, que contém código C# ofuscado, para executar um payload malicioso através do utilitário MSBuild da Microsoft. Após a execução, o malware explora a vulnerabilidade CVE-2025-29824, que permite elevação de privilégios, e injeta cargas em processos do sistema, como winlogon.exe, para extrair credenciais. O ataque resulta na implantação de ransomware, com arquivos criptografados recebendo extensões aleatórias e notas de resgate sendo deixadas nos sistemas comprometidos. A Microsoft atribui essa atividade ao grupo de ameaças Storm-2460, que continua a adaptar suas táticas e a expandir seus métodos de entrega para evitar detecções.

O grupo de hackers conhecido como EncryptHub está explorando uma falha de segurança já corrigida no Microsoft Windows para disseminar malware. A Trustwave SpiderLabs identificou uma campanha que combina engenharia social e a exploração da vulnerabilidade CVE-2025-26633, também chamada de MSC EvilTwin. Os atacantes se passam por membros do departamento de TI e enviam solicitações pelo Microsoft Teams para estabelecer conexões remotas e implantar cargas maliciosas usando comandos PowerShell. Entre os arquivos utilizados, dois arquivos MSC com o mesmo nome são entregues, um benigno e outro malicioso, que ativa a vulnerabilidade. O arquivo malicioso se conecta a um servidor de comando e controle (C2) para receber e executar comandos, incluindo um stealer chamado Fickle Stealer. Além disso, os atacantes utilizam plataformas legítimas, como o Brave Support, para hospedar malware. A campanha destaca a importância de estratégias de defesa em camadas e treinamento de conscientização para usuários, dada a combinação de engenharia social e exploração técnica utilizada pelos hackers.