Microsoft

A Microsoft iniciou a distribuição da versão Insider Preview Build 27938 do Windows 11 no Canal Canary, que traz novas funcionalidades impulsionadas por inteligência artificial (IA) diretamente para o File Explorer. A principal novidade são as ‘ações de IA’, que permitem aos usuários interagir com imagens e documentos sem sair do navegador de arquivos. Ao clicar com o botão direito em um arquivo compatível, uma nova opção de ‘ações de IA’ aparece no menu de contexto, oferecendo tarefas como edição de imagens e resumo de documentos. As ações de IA incluem ferramentas como Busca Visual do Bing, que permite pesquisar na web usando imagens, e funcionalidades de edição como desfoque de fundo e remoção de objetos. Além disso, a atualização traz melhorias na visualização do relógio no Centro de Notificações e uma nova seção de privacidade que permite aos usuários monitorar quais aplicativos de terceiros utilizam modelos de IA fornecidos pelo Windows. A Microsoft também corrigiu diversos problemas de confiabilidade nesta versão, mas os usuários devem estar cientes de que as versões Canary podem apresentar erros e não são garantidas para produção.

A Microsoft enfrenta crescente escrutínio após a revelação de que a empresa utilizou engenheiros baseados na China para corrigir falhas no SharePoint, um produto que foi alvo de hackers apoiados pelo Estado. O ataque cibernético afetou centenas de empresas e agências governamentais dos EUA, incluindo o Departamento de Segurança Interna (DHS) e a Administração Nacional de Segurança Nuclear (NNSA). As vulnerabilidades permitiram que os invasores acessassem completamente o conteúdo do SharePoint, executando código remotamente e implantando ransomware. Embora a Microsoft tenha emitido um patch rapidamente, ele foi insuficiente para conter os ataques. A empresa confirmou a participação de uma equipe de engenharia da China, mas afirmou que o trabalho era supervisionado por engenheiros dos EUA. Especialistas em cibersegurança expressaram preocupações sobre as leis chinesas que permitem que agências estatais exijam cooperação de empresas privadas, levantando temores sobre a coleta de inteligência. Em resposta à pressão, a Microsoft anunciou que encerrará o uso de engenheiros da China em projetos do Pentágono e está avaliando sua presença em outros projetos governamentais. A empresa também planeja descontinuar o suporte para o SharePoint On-Premises em julho de 2026, incentivando a migração para seu serviço em nuvem, Azure.

A Microsoft reconheceu que a atualização de segurança de agosto de 2025 (KB5063878) está gerando prompts inesperados do Controle de Conta de Usuário (UAC) para usuários não administradores ao tentar reparar ou atualizar certos aplicativos. Essa mudança foi implementada para reforçar a segurança do Windows Installer, corrigindo uma vulnerabilidade (CVE-2025-50173) que poderia ser explorada por atacantes. Como consequência, programas comuns, como AutoCAD e Civil 3D, agora solicitam aprovação de administrador para operações que antes eram realizadas sem essa necessidade. Além disso, aplicativos mais antigos, como o Office 2010, podem falhar completamente quando executados em contas padrão. A Microsoft planeja, em atualizações futuras, permitir que administradores de TI aprovem aplicativos específicos para realizar essas operações de reparo sem interrupções constantes. Até que essa solução seja implementada, os usuários devem estar cientes de que a exigência de permissões administrativas não indica um problema com os aplicativos, mas sim uma medida de segurança adicional do Windows.

A Microsoft confirmou uma vulnerabilidade crítica de execução remota de código (RCE) em sua ferramenta IIS Web Deploy, identificada como CVE-2025-53772. Essa falha está relacionada à lógica de desserialização insegura nos endpoints msdeployagentservice e msdeploy.axd, permitindo que atacantes autenticados executem comandos arbitrários em servidores web vulneráveis. A vulnerabilidade se origina da desserialização do cabeçalho HTTP MSDeploy.SyncOptions, que deve conter um blob codificado em Base64 e comprimido em GZip. Um payload malicioso pode ser gerado para explorar essa falha, levando à execução de comandos no servidor. A Microsoft avaliou a gravidade da vulnerabilidade em 8.8, o que a classifica como alta. A recomendação é que administradores apliquem as atualizações mais recentes do Web Deploy imediatamente e implementem medidas de mitigação, como restringir o acesso aos endpoints e monitorar logs do IIS. A CVE-2025-53772 destaca os riscos contínuos associados à desserialização insegura em pipelines de implantação modernos, exigindo atenção urgente das organizações para proteger suas implementações automatizadas de aplicações.

A Microsoft anunciou que, a partir de outubro de 2024, a autenticação multifator (MFA) será obrigatória para todos os acessos ao portal Azure, como parte de um esforço para aumentar a segurança das contas dos usuários. Pesquisas da empresa indicam que a implementação da MFA pode prevenir mais de 99,2% dos ataques de comprometimento de contas, tornando essa medida crucial para a proteção de recursos na nuvem. A primeira fase da implementação exigirá MFA para operações administrativas em portais como o Azure e o Microsoft 365, enquanto a segunda fase, prevista para outubro de 2025, incluirá ferramentas de linha de comando e APIs. Os usuários que já utilizam MFA ou métodos de login sem senha não notarão mudanças, mas aqueles que não configuraram a MFA serão solicitados a fazê-lo ao tentar acessar suas contas. A Microsoft recomenda que as organizações revisem suas políticas de acesso condicional e realizem testes antes da implementação para evitar interrupções. Essa mudança visa reduzir a superfície de ataque e proteger recursos críticos contra acessos não autorizados.

A equipe de inteligência de ameaças da Amazon interrompeu recentemente uma campanha sofisticada de watering hole orquestrada pelo grupo de hackers APT29, vinculado ao estado russo e conhecido como Midnight Blizzard. Utilizando sites comprometidos e explorando o fluxo de autenticação de código de dispositivo da Microsoft, a campanha visava coletar credenciais e expandir os esforços de coleta de inteligência global do grupo.

A nova tática do APT29 envolve a injeção de JavaScript ofuscado em sites legítimos, redirecionando cerca de 10% dos visitantes para domínios maliciosos que imitavam páginas de verificação da Cloudflare. A análise técnica revelou truques avançados de evasão, como redirecionamento de apenas uma fração do tráfego e uso de cookies para bloquear redirecionamentos repetidos.

A Microsoft anunciou a disponibilidade da versão 25H2 do Windows 11 (Build 26200.5074) para os usuários do Release Preview Channel. Esta atualização anual é entregue como um pacote de habilitação (eKB), permitindo que PCs elegíveis atualizem da versão 24H2 sem a necessidade de reinstalação completa do sistema operacional. O pacote simplesmente ativa novos recursos que já estão presentes nos dispositivos. Além disso, a versão 25H2 remove componentes legados como o PowerShell 2.0 e o WMIC, incentivando a migração para ferramentas de gerenciamento mais modernas. Para clientes comerciais, a atualização oferece opções de remoção de aplicativos pré-instalados via políticas de grupo ou MDM. A instalação está disponível para insiders que atendem aos requisitos de hardware, e os clientes comerciais têm caminhos adicionais de implantação, como Windows Update for Business e WSUS. A Microsoft também disponibilizará imagens do Azure Marketplace e ISOs para instalações limpas na próxima semana.

A Microsoft anunciou a implementação de um chip de segurança HSM (Hardware Security Module) integrado em todos os servidores Azure, como parte de uma estratégia para enfrentar o crescente problema do cibercrime, que atualmente gera custos estimados em 10,2 trilhões de dólares por ano, tornando-se a terceira maior economia do mundo. O Azure Integrated HSM, revelado no evento Hot Chips 2025, é projetado para atender aos requisitos de segurança FIPS 140-3 Nível 3, oferecendo resistência a violação e proteção local de chaves dentro dos servidores. Essa abordagem descentraliza as funções criptográficas, reduzindo a latência e permitindo a execução de tarefas como AES e detecção de intrusões de forma local. Além disso, a Microsoft apresentou sua arquitetura ‘Secure by Design’, que inclui o Azure Boost e o Datacenter Secure Control Module, visando aumentar a segurança em ambientes multi-inquilinos. A colaboração com empresas como AMD, Google e Nvidia resultou na Caliptra 2.0, que agora incorpora criptografia pós-quântica, reforçando ainda mais a segurança das operações na nuvem.

A Microsoft Threat Intelligence revelou que o grupo de cibercriminosos Storm-0501, conhecido por atacar escolas e prestadores de serviços de saúde nos EUA, evoluiu suas táticas, agora utilizando operações de ransomware nativas da nuvem. Em vez de depender apenas de malware para criptografar dispositivos locais, o grupo explora vulnerabilidades em ambientes de nuvem híbridos, realizando exfiltração de dados em larga escala e comprometendo recursos do Azure.

O ataque geralmente começa com a violação do Active Directory através de contas de administrador de domínio comprometidas, permitindo acesso ao Microsoft Entra ID. O Storm-0501 utiliza ferramentas como AzureHound para enumerar recursos na nuvem e escalar privilégios, muitas vezes através de contas mal configuradas que não exigem autenticação multifator (MFA). Após obter acesso total, o grupo realiza operações de descoberta e exfiltração, deletando backups e utilizando APIs legítimas do Azure para dificultar a recuperação dos dados. A extorsão final frequentemente ocorre por meio de mensagens no Microsoft Teams.

No dia 21 de agosto de 2025, a GreyNoise Intelligence registrou um aumento sem precedentes na atividade de reconhecimento do Protocolo de Área de Trabalho Remota (RDP), com 1.971 endereços IP únicos realizando varreduras simultâneas nos portais de autenticação do Microsoft RD Web Access e do Microsoft RDP Web Client. A maioria desses IPs (1.851) compartilhava a mesma assinatura de cliente, indicando uma campanha coordenada para descobrir nomes de usuários válidos antes de tentativas de invasão baseadas em credenciais. Aproximadamente 92% dos IPs já haviam sido identificados como maliciosos, com 73% da atividade originando-se do Brasil, tendo os Estados Unidos como alvo. A GreyNoise também identificou uma onda subsequente de escaneamento que ultrapassou 30.000 IPs, sinalizando uma escalada dramática na intenção dos atacantes de mapear endpoints RDP expostos. Este aumento de atividade ocorre em um período crítico, quando instituições educacionais estão online, o que torna a exploração de esquemas de nomes de usuário previsíveis uma preocupação significativa. Organizações com portais RDP expostos devem revisar e reforçar seus fluxos de autenticação, implementando autenticação multifator e monitorando anomalias.

A atualização de segurança de agosto de 2025 para o Windows 11 versão 24H2 e Windows 10 trouxe uma série de problemas, incluindo lentidão severa em dispositivos que utilizam ferramentas de streaming NDI, como OBS. Os usuários relataram travamentos e degradação de desempenho após a instalação da atualização KB5063878. A Microsoft recomenda uma solução temporária, que envolve a mudança do modo de recebimento NDI para TCP ou UDP. Além disso, a atualização causou falhas na instalação via WSUS para clientes empresariais, que já foram resolvidas. Outros problemas incluem a falta de prompt de consentimento parental em navegadores não-Edge e incompatibilidades com drivers específicos, como o sprotect.sys e o Dirac Audio, que impedem a atualização em alguns dispositivos. A Microsoft está trabalhando em soluções para esses problemas, mas os usuários são aconselhados a verificar a compatibilidade de seus sistemas antes de proceder com a atualização.

Pesquisadores de cibersegurança da Push Security alertaram sobre um novo esquema de phishing que tem como alvo credenciais de login da Microsoft. Os criminosos cibernéticos criaram páginas falsas que imitam as telas de login do Microsoft 365, utilizando uma ferramenta chamada Active Directory Federation Services (ADFS) para enganar os usuários. Em vez de enviar as vítimas diretamente para o site de phishing, os atacantes configuraram suas contas Microsoft para redirecionar os usuários para essas páginas fraudulentas, fazendo com que os links parecessem legítimos, já que começavam com ‘outlook.office.com’. Além disso, a distribuição do link não ocorreu por e-mail, mas sim através de malvertising, onde vítimas que buscavam por “Office 265” eram direcionadas a uma página de login falsa. O uso de um blog de viagens falso como intermediário ajudou a ocultar o ataque. Essa abordagem sofisticada permitiu que o esquema contornasse muitas ferramentas de segurança, aumentando sua taxa de sucesso em comparação com métodos tradicionais de phishing. Para se proteger, equipes de TI devem bloquear anúncios suspeitos e monitorar o tráfego de anúncios, enquanto os usuários devem ter cuidado ao digitar termos de busca, pois um simples erro de digitação pode levar a um anúncio falso que compromete dispositivos e contas.

O ecossistema do Microsoft Copilot enfrenta um grave problema de governança de segurança, onde as políticas de acesso configuradas estão sendo sistematicamente ignoradas. Isso permite a implantação não autorizada de agentes, mesmo diante de restrições administrativas explícitas. Desde maio de 2025, a Microsoft lançou 107 agentes Copilot, mas uma falha crítica foi identificada: a configuração da política de ‘Acesso a Dados’, que deveria impedir o acesso de usuários aos agentes, não está sendo aplicada corretamente. Essa vulnerabilidade compromete os controles de segurança das empresas e aumenta os riscos de exposição de dados em ambientes Microsoft 365. A falha se manifesta em múltiplos vetores, incluindo a incapacidade da Microsoft de implementar suas próprias políticas de controle de acesso e deficiências na gestão de inventário de agentes. Para mitigar esses riscos, os administradores devem realizar auditorias abrangentes, implementar bloqueios manuais e estabelecer monitoramento contínuo para detectar novas implantações não autorizadas. A situação exige uma resposta imediata da Microsoft para restaurar a confiança em seu ecossistema de IA.

Uma vulnerabilidade crítica na arquitetura de Conexão de API do Microsoft Azure permitiu a completa exploração de recursos em múltiplos tenants na nuvem. A falha, descoberta por um pesquisador, foi corrigida pela Microsoft em uma semana após sua divulgação. O problema estava relacionado à infraestrutura compartilhada do Azure, que processa trocas de tokens de autenticação entre aplicações e serviços de backend. A vulnerabilidade permitia que atacantes acessassem serviços conectados, como Azure Key Vaults e bancos de dados, em diferentes tenants. O exploit utilizou um endpoint não documentado chamado DynamicInvoke, que permitia chamadas arbitrárias em Conexões de API, possibilitando acesso administrativo a serviços conectados globalmente. A falha foi classificada como uma séria ameaça, especialmente para organizações que armazenam credenciais sensíveis no Azure Key Vault. A descoberta ressalta os riscos de segurança em arquiteturas de nuvem compartilhadas, onde sistemas multi-tenant podem criar vetores de ataque inesperados.

A Microsoft decidiu restringir o acesso de algumas empresas chinesas ao seu sistema de alerta antecipado sobre vulnerabilidades cibernéticas, conhecido como MAPP (Microsoft Active Protections Program). Essa decisão foi tomada após uma série de ataques que exploraram falhas na plataforma SharePoint da empresa, afetando até 400 organizações. Suspeitas de envolvimento do governo chinês nos ataques levaram a Microsoft a acreditar que houve um vazamento de informações dentro do programa MAPP, que é utilizado para alertar empresas de segurança sobre ameaças e permitir que elas se preparem para possíveis ataques. As vulnerabilidades já foram corrigidas, mas foram utilizadas anteriormente para implantar ransomware, permitindo que atacantes extraíssem chaves criptográficas de servidores da Microsoft. A empresa confirmou que não enviará mais códigos de prova de conceito para empresas chinesas, uma medida que visa evitar que informações sobre as defesas dos sistemas sejam usadas por atacantes. A Microsoft continua a revisar os participantes do MAPP e pode suspender ou remover aqueles que violarem os termos do contrato, que proíbe a participação em ataques ofensivos.

Uma vulnerabilidade crítica no M365 Copilot da Microsoft permitiu que usuários acessassem arquivos sensíveis sem gerar entradas adequadas nos logs de auditoria, criando riscos significativos de conformidade e segurança para organizações em todo o mundo. Descoberta em 4 de julho por Zack Korman, a falha explorou uma falha fundamental no mecanismo de registro de auditoria do Copilot. Normalmente, quando o Copilot resume um arquivo, ele gera entradas de log correspondentes. No entanto, ao instruir o Copilot a omitir links de arquivos, a funcionalidade de registro de auditoria falhava. Essa técnica de contorno é fácil de executar e pode ser acionada inadvertidamente por interações rotineiras com o Copilot, tornando-se um problema generalizado. A Microsoft classificou a vulnerabilidade como “importante”, mas não divulgou publicamente a falha nem notificou os clientes afetados, levantando preocupações sobre a transparência nas comunicações de segurança. Organizações que usaram o M365 Copilot antes de 18 de agosto devem assumir que seus logs de auditoria podem estar incompletos e realizar revisões de segurança abrangentes. A falta de notificação impede que as organizações conduzam avaliações de risco adequadas, comprometendo a integridade dos logs de auditoria exigidos por muitos frameworks de conformidade.

Pesquisadores de cibersegurança revelaram a exploração de uma vulnerabilidade corrigida no Microsoft Windows, identificada como CVE-2025-29824, por agentes de ameaça para implantar o malware PipeMagic em ataques de ransomware RansomExx. Essa falha, que afeta o Windows Common Log File System (CLFS), foi abordada pela Microsoft em abril de 2025. O PipeMagic, que atua como uma backdoor, foi documentado pela primeira vez em 2022, visando empresas industriais no Sudeste Asiático. Os ataques utilizam também a CVE-2017-0144, uma falha de execução remota no Windows SMB, para infiltrar a infraestrutura das vítimas. Em 2025, os ataques se concentraram na Arábia Saudita e no Brasil, utilizando um arquivo do Microsoft Help Index como carregador para injetar código malicioso. O PipeMagic é um malware modular que permite comunicação assíncrona e execução de comandos em sistemas comprometidos. A detecção contínua do PipeMagic em ataques indica que os desenvolvedores estão aprimorando suas funcionalidades, aumentando o risco para organizações em várias regiões, incluindo o Brasil.

Pesquisadores de segurança descobriram uma campanha de ataque sofisticada em que atores de ameaças estão explorando Arquivos de Índice de Ajuda da Microsoft (.mshi) como um novo mecanismo de entrega para o backdoor PipeMagic. Essa campanha culmina na exploração da vulnerabilidade crítica CVE-2025-29824, que foi corrigida pela Microsoft em abril de 2025. Os atacantes utilizam um arquivo chamado ‘metafile.mshi’, que contém código C# ofuscado, para executar um payload malicioso através do utilitário MSBuild da Microsoft. Após a execução, o malware explora a vulnerabilidade CVE-2025-29824, que permite elevação de privilégios, e injeta cargas em processos do sistema, como winlogon.exe, para extrair credenciais. O ataque resulta na implantação de ransomware, com arquivos criptografados recebendo extensões aleatórias e notas de resgate sendo deixadas nos sistemas comprometidos. A Microsoft atribui essa atividade ao grupo de ameaças Storm-2460, que continua a adaptar suas táticas e a expandir seus métodos de entrega para evitar detecções.

O grupo de hackers conhecido como EncryptHub está explorando uma falha de segurança já corrigida no Microsoft Windows para disseminar malware. A Trustwave SpiderLabs identificou uma campanha que combina engenharia social e a exploração da vulnerabilidade CVE-2025-26633, também chamada de MSC EvilTwin. Os atacantes se passam por membros do departamento de TI e enviam solicitações pelo Microsoft Teams para estabelecer conexões remotas e implantar cargas maliciosas usando comandos PowerShell. Entre os arquivos utilizados, dois arquivos MSC com o mesmo nome são entregues, um benigno e outro malicioso, que ativa a vulnerabilidade. O arquivo malicioso se conecta a um servidor de comando e controle (C2) para receber e executar comandos, incluindo um stealer chamado Fickle Stealer. Além disso, os atacantes utilizam plataformas legítimas, como o Brave Support, para hospedar malware. A campanha destaca a importância de estratégias de defesa em camadas e treinamento de conscientização para usuários, dada a combinação de engenharia social e exploração técnica utilizada pelos hackers.