Phishing

Recentemente, o grupo de ameaças cibernéticas associado à Coreia do Norte, conhecido como Lazarus Group, tem direcionado suas atividades para os setores de Web3 e blockchain através de duas campanhas chamadas GhostCall e GhostHire. De acordo com a Kaspersky, essas operações fazem parte de uma iniciativa mais ampla chamada SnatchCrypto, que está em andamento desde 2017. A campanha GhostCall foca em dispositivos macOS de executivos de empresas de tecnologia e capital de risco, utilizando táticas de engenharia social via Telegram para convidar as vítimas a reuniões de investimento em sites de phishing que imitam plataformas como Zoom. Já a GhostHire visa desenvolvedores Web3, induzindo-os a baixar repositórios maliciosos do GitHub sob o pretexto de avaliações de habilidades. Ambas as campanhas têm mostrado um aumento na atividade desde 2023, com um foco particular em países como Japão, Itália e Austrália. As técnicas utilizadas incluem a instalação de malwares sofisticados que podem roubar credenciais e dados sensíveis, representando um risco significativo para as organizações afetadas.

Um novo relatório da Group-IB Threat Intelligence revelou uma campanha de espionagem sofisticada conduzida pelo grupo MuddyWater, vinculado ao Irã, que está atacando mais de 100 organizações governamentais e internacionais em todo o mundo. A operação utiliza contas de e-mail comprometidas acessadas através de um nó de saída do NordVPN na França para distribuir documentos maliciosos do Microsoft Word que contêm o malware Phoenix backdoor versão 4. Essa campanha de phishing sofisticada explora técnicas de engenharia social, levando os destinatários a ativar macros para visualizar o conteúdo, o que contorna os filtros de segurança convencionais.

Pesquisadores de segurança identificaram uma nova técnica sofisticada de phishing, onde cibercriminosos inserem caracteres Unicode invisíveis nas linhas de assunto de e-mails para evitar sistemas de detecção automatizados. Essa evolução de um método de evasão bem documentado representa uma escalada preocupante nas campanhas de phishing que visam organizações em todo o mundo.

A técnica envolve a inserção de caracteres de hífen suave (Unicode U+00AD) entre letras nas linhas de assunto, utilizando o formato MIME especificado na RFC 2047. Quando visualizados em clientes de e-mail como o Microsoft Outlook, esses caracteres permanecem ocultos, dificultando a identificação de palavras-chave que normalmente seriam sinalizadas como suspeitas. Um exemplo analisado teve a linha de assunto codificada como “=?UTF-8?B?WcKtb3XCrXIgUMKtYXPCrXN3wq1vwq1yZCBpwq1zIEHCrWLCrW91dCA=?=”, que se decodificou para “Sua Senha Está Prestes a Expirar”.

O grupo de cibercriminosos Gamaredon, conhecido por atacar agências governamentais da Europa Oriental, iniciou uma nova campanha de phishing que explora uma vulnerabilidade crítica no WinRAR, identificada como CVE-2025-8088. Essa falha permite que atacantes contornem controles de segurança e extraiam arquivos maliciosos para locais arbitrários do sistema sem interação do usuário, além de abrir um arquivo PDF aparentemente inofensivo.

A técnica utilizada é sofisticada: os atacantes criam arquivos RAR armados que contêm um PDF legítimo e um arquivo HTA malicioso. Ao interagir com o arquivo, a vulnerabilidade é ativada, permitindo que o malware seja depositado silenciosamente na pasta de inicialização do Windows, garantindo sua persistência e execução após a reinicialização do sistema.

Em setembro de 2025, uma nova campanha de ciberespionagem, atribuída ao grupo SideWinder, visou uma embaixada europeia em Nova Délhi e diversas organizações em Sri Lanka, Paquistão e Bangladesh. Os ataques, que ocorreram em quatro ondas de phishing entre março e setembro, utilizam uma cadeia de infecção baseada em arquivos PDF e ClickOnce, além de vetores de exploração do Microsoft Word. Os e-mails de phishing continham documentos maliciosos com títulos como ‘Credenciais da reunião interministerial.pdf’, disfarçados para parecerem legítimos. Ao abrir os arquivos, os usuários eram induzidos a baixar um aplicativo que, na verdade, instalava um DLL malicioso, o DEVOBJ.dll, que carregava o malware StealerBot. Este malware é capaz de coletar informações sensíveis, como senhas e capturas de tela. A evolução das técnicas de ataque do SideWinder demonstra sua adaptabilidade e sofisticação, refletindo um entendimento profundo dos contextos geopolíticos. A utilização de malware personalizado e a exploração de aplicações legítimas para evasão de segurança reforçam a necessidade de vigilância constante por parte das organizações.

Um estudo da Check Point Research revelou a existência de uma rede maliciosa no YouTube, chamada de ‘YouTube Ghost Network’, que tem como objetivo disseminar malwares através de vídeos. Desde 2021, mais de 3.000 vídeos foram publicados, e a atividade aumentou significativamente em 2025, com um volume de publicações que triplicou desde o início do ano. Os hackers utilizam contas legítimas invadidas ou criam novas para publicar vídeos que, à primeira vista, parecem tutoriais, mas que na verdade direcionam os usuários para sites de download de malwares. Os vídeos incluem links que levam a plataformas como Mediafire e Dropbox, onde os usuários podem inadvertidamente baixar softwares maliciosos como Lumma Stealer e Rhadamanthys. A operação é complexa, com diferentes tipos de contas que desempenham papéis variados, como a publicação de vídeos e a interação com comentários e likes, para dar legitimidade ao conteúdo. Apesar da remoção de muitos vídeos pela Google, a rede continua ativa e em evolução, evidenciando a exploração das táticas de engajamento da plataforma para enganar os usuários.

O cenário de cibersegurança continua a se deteriorar, com novas ameaças emergindo constantemente. Recentemente, uma vulnerabilidade crítica no Windows Server Update Service (WSUS), identificada como CVE-2025-59287, foi explorada ativamente por cibercriminosos, permitindo a execução remota de código em sistemas afetados. Essa falha, com um CVSS de 9.8, foi corrigida pela Microsoft, mas já está sendo utilizada para implantar malware em máquinas vulneráveis.

Além disso, uma rede maliciosa no YouTube tem promovido vídeos que direcionam usuários para downloads de malware, com um aumento significativo na quantidade de vídeos desde o início do ano. Outro ataque notável é o da campanha “Dream Job”, atribuída ao grupo Lazarus da Coreia do Norte, que visa empresas do setor de defesa na Europa, enviando e-mails fraudulentos que disfarçam ofertas de emprego.

O descarte incorreto de etiquetas de encomendas pode ser uma vulnerabilidade significativa em cibersegurança, conforme alerta Daniel Barbosa, pesquisador da ESET. Informações sensíveis, como nome completo, endereço e detalhes da compra, podem ser exploradas por criminosos para aplicar golpes, como engenharia social e phishing. Os golpistas podem se passar por representantes de empresas para coletar mais dados ou enviar arquivos maliciosos disfarçados de documentos legítimos. Para evitar esses riscos, é essencial descartar adequadamente documentos que contenham informações pessoais. Barbosa sugere técnicas como borrar informações em papel comum ou utilizar calor em papel térmico para torná-las ilegíveis. A conscientização sobre a segurança das mídias físicas é crucial, pois elas podem facilitar o acesso a dados que, se expostos na internet, seriam considerados críticos. Portanto, a proteção deve ser abrangente, considerando tanto o ambiente digital quanto o físico.

Um novo relatório do Google Threat Intelligence Group (GTIG) revelou uma campanha cibernética de criminosos vietnamitas, identificada como UNC6229, que utiliza anúncios de emprego falsos para comprometer profissionais de marketing digital e sequestrar contas corporativas de publicidade. Os atacantes empregam táticas avançadas de engenharia social e entrega de malware, infiltrando-se em ambientes empresariais através de dispositivos pessoais e credenciais online das vítimas.

Os golpistas publicam vagas fraudulentas em plataformas legítimas, como LinkedIn, e em sites controlados por eles, atraindo candidatos desavisados. Após a aplicação, coletam informações pessoais que são utilizadas para ataques de phishing personalizados ou distribuição de malware. As técnicas incluem o envio de arquivos ZIP protegidos por senha que, ao serem abertos, instalam trojans de acesso remoto (RATs) ou redirecionam as vítimas para portais de login falsos que imitam serviços corporativos, capturando credenciais mesmo com autenticação multifatorial.

Uma nova pesquisa da Palo Alto Networks revela que um grupo ligado à China, conhecido como Smishing Triad, está por trás de uma campanha de smishing em larga escala, que já registrou mais de 194 mil domínios maliciosos desde janeiro de 2024. Esses domínios, registrados por meio de um registrador baseado em Hong Kong, utilizam servidores de nomes chineses, mas a infraestrutura de ataque está predominantemente hospedada em serviços de nuvem dos EUA. A campanha visa enganar usuários com mensagens fraudulentas sobre violações de pedágio e entregas de pacotes, levando-os a fornecer informações sensíveis. Nos últimos três anos, os atacantes conseguiram lucrar mais de 1 bilhão de dólares. Além disso, a pesquisa indica um aumento significativo no uso de kits de phishing para atacar contas de corretoras, com um crescimento de cinco vezes no segundo trimestre de 2025 em comparação ao ano anterior. A análise também mostra que a maioria dos domínios tem uma vida útil curta, o que sugere uma estratégia de evasão de detecção. O USPS é o serviço mais imitado, com 28.045 domínios dedicados a fraudes. Essa campanha representa uma ameaça global e descentralizada, exigindo atenção urgente das organizações.

Pesquisadores de segurança da Proofpoint desenvolveram uma ferramenta inovadora de código aberto chamada PDF Object Hashing, que auxilia equipes de segurança na detecção e rastreamento de arquivos maliciosos disfarçados como documentos PDF. Disponível no GitHub, essa ferramenta representa um avanço significativo na identificação de documentos suspeitos frequentemente utilizados em campanhas de phishing, distribuição de malware e ataques de comprometimento de e-mail corporativo.

Os PDFs se tornaram a escolha preferida dos cibercriminosos, pois parecem legítimos para os usuários comuns. Os atacantes frequentemente enviam PDFs contendo URLs maliciosas, códigos QR ou informações bancárias falsas para enganar as pessoas. No entanto, ferramentas de segurança tradicionais costumam falhar em detectar essas ameaças, uma vez que os PDFs podem ser modificados de várias maneiras, mantendo a aparência idêntica para os usuários.

Uma rede maliciosa de contas do YouTube, chamada de YouTube Ghost Network, tem sido utilizada para publicar e promover vídeos que levam a downloads de malware. Desde 2021, essa rede já publicou mais de 3.000 vídeos maliciosos, com um aumento significativo no número de publicações desde o início de 2025. Os vídeos, que frequentemente abordam softwares pirateados e cheats de jogos como Roblox, são projetados para infectar usuários desavisados com malware do tipo stealer. A operação se aproveita da confiança dos usuários em plataformas populares, utilizando métricas como visualizações e comentários para dar uma falsa sensação de segurança. A maioria das contas comprometidas é utilizada para carregar vídeos de phishing, enquanto outras promovem mensagens que direcionam para links maliciosos. O Google já removeu uma parte significativa desses conteúdos, mas a estrutura modular da rede permite que novas contas sejam rapidamente criadas para substituir as banidas, mantendo a operação ativa. Entre os malwares distribuídos estão variantes como Lumma Stealer e Rhadamanthys Stealer, que têm como alvo informações sensíveis dos usuários. Essa situação destaca a crescente sofisticação das táticas de distribuição de malware, que agora utilizam plataformas legítimas para enganar os usuários.

Um grupo de hackers vinculado ao Paquistão, conhecido como Transparent Tribe (APT36), tem realizado ataques de spear-phishing direcionados a entidades governamentais indianas, utilizando um malware baseado em Golang chamado DeskRAT. As atividades foram observadas entre agosto e setembro de 2025 e envolvem o envio de e-mails de phishing com anexos ZIP ou links para arquivos em serviços de nuvem legítimos, como Google Drive. O malware é projetado para operar em sistemas Linux, especificamente o BOSS (Bharat Operating System Solutions), e permite o controle remoto através de WebSockets. O DeskRAT possui múltiplos métodos de persistência e comandos para coletar informações, como listar diretórios e enviar arquivos. Além disso, a campanha se expandiu para incluir variantes do malware que atacam sistemas Windows, mostrando um foco cross-platform. A crescente sofisticação das operações do grupo, que utiliza servidores dedicados para distribuição de malware, destaca a evolução das ameaças cibernéticas na região da Ásia-Pacífico, com implicações potenciais para a segurança de dados e conformidade com a LGPD no Brasil.

Pesquisadores da Palo Alto Networks identificaram um grupo hacker chamado Jingle Thief, que tem como alvo empresas do varejo e serviços ao consumidor, focando na fraude de vale-presentes. Após invadir os sistemas, os cibercriminosos buscam obter acesso para emitir vale-presentes sem autorização, que são posteriormente vendidos no mercado cinza, dificultando a rastreabilidade. O grupo, que se destaca especialmente durante a temporada de festas, é associado a outras organizações criminosas e tem demonstrado a capacidade de manter acesso aos sistemas das vítimas por longos períodos, chegando a 10 meses. Utilizando técnicas como phishing e smishing, os hackers conseguem acessar credenciais de serviços como Microsoft 365 e SharePoint, além de roubar informações financeiras. A situação é alarmante, pois os invasores criam regras de e-mail para redirecionar comunicações e utilizam aplicativos clandestinos para contornar autenticação em dois fatores, aumentando a dificuldade de detecção. A atividade dos Jingle Thieves representa uma ameaça significativa para empresas brasileiras, especialmente em um cenário onde a segurança digital é cada vez mais crítica.

Um coletivo de hackers marroquinos, conhecido como Atlas Lion, tem atacado empresas que emitem cartões-presente, utilizando técnicas de phishing para infiltrar seus sistemas. A campanha, chamada de ‘Jingle Thief’, é mais ativa durante a temporada de festas. Os atacantes realizam um mapeamento detalhado da infraestrutura de TI das empresas, focando em plataformas como SharePoint e OneDrive, antes de se passarem por funcionários autorizados para solicitar ou aprovar transações de cartões-presente. Essa abordagem evita o uso de malware, o que poderia acionar alarmes de segurança. Os cartões-presente são alvos atrativos para cibercriminosos, pois são rápidos, fungíveis e difíceis de rastrear, permitindo que os criminosos os revendam facilmente no mercado negro. A pesquisa da Unit 42, da Palo Alto Networks, revelou que os hackers mantiveram acesso aos sistemas por quase um ano, comprometendo mais de 60 contas de usuários em uma única empresa global. Embora o valor total roubado não tenha sido divulgado, a natureza dos cartões-presente torna a recuperação e a atribuição de responsabilidade extremamente desafiadoras.

O grupo de ameaças persistentes avançadas (APT) MuddyWater, vinculado ao Irã, lançou uma operação de ciberespionagem sofisticada utilizando um novo toolkit de malware. A campanha, atribuída com alta confiança pela Group-IB Threat Intelligence, envolve o uso do backdoor Phoenix v4, ferramentas personalizadas e software legítimo de monitoramento remoto. O ataque começou com o acesso a uma caixa de correio comprometida via NordVPN, permitindo a distribuição de e-mails maliciosos que pareciam legítimos. Esses e-mails continham anexos do Microsoft Word que, ao terem suas macros ativadas, executavam um código VBA embutido, que por sua vez injetava o backdoor no sistema. O Phoenix v4 estabelece comunicação remota e coleta dados do sistema, mantendo-se ativo mesmo após reinicializações. A operação visou mais de 100 organizações governamentais e internacionais, destacando a crescente maturidade técnica do MuddyWater e a necessidade urgente de controles de defesa mais robustos, como a restrição de macros e o monitoramento de ferramentas de RMM. Os indicadores de comprometimento (IOCs) incluem domínios e hashes específicos, que podem ajudar na identificação de sistemas afetados.

Pesquisadores de cibersegurança identificaram um grupo de cibercriminosos chamado Jingle Thief, que tem como alvo ambientes de nuvem de organizações nos setores de varejo e serviços ao consumidor, visando fraudes com cartões-presente. Os atacantes utilizam técnicas de phishing e smishing para roubar credenciais e comprometer organizações que emitem esses cartões. Após obter acesso, eles buscam maximizar seu nível de acesso para emitir cartões não autorizados, que são revendidos em mercados paralelos, devido à sua natureza de difícil rastreamento.

Pesquisadores de cibersegurança revelaram uma campanha de spear-phishing chamada PhantomCaptcha, que visa organizações envolvidas em esforços de ajuda à Ucrânia. O ataque, ocorrido em 8 de outubro de 2025, afetou membros da Cruz Vermelha Internacional, do Conselho Norueguês para Refugiados, da UNICEF e administrações regionais ucranianas. Os e-mails de phishing se disfarçaram como comunicações do Escritório do Presidente da Ucrânia, contendo um PDF malicioso que redirecionava as vítimas para um site falso do Zoom. Ao clicar, os usuários eram induzidos a executar um comando PowerShell malicioso através de uma página falsa de verificação de navegador. O malware resultante, um trojan de acesso remoto (RAT) baseado em WebSocket, permite a execução de comandos remotos e exfiltração de dados. A infraestrutura do ataque foi registrada em março de 2025, demonstrando planejamento sofisticado. Embora não tenha sido atribuído a um grupo específico, a técnica utilizada tem semelhanças com ataques de grupos de hackers associados à Rússia. A campanha destaca a necessidade de vigilância contínua e medidas de segurança robustas para organizações que operam em contextos de crise.

O grupo de ciberespionagem iraniano MuddyWater está por trás de uma nova campanha que utiliza uma conta de e-mail comprometida para distribuir um backdoor chamado Phoenix. Este ataque visa mais de 100 entidades governamentais na região do Oriente Médio e Norte da África (MENA), com foco em embaixadas, ministérios de Relações Exteriores e organizações internacionais. A campanha se destaca pelo uso de e-mails de phishing que parecem autênticos, aumentando a probabilidade de que os destinatários abram anexos maliciosos. Os pesquisadores de segurança da Group-IB relataram que o ataque envolve documentos do Microsoft Word que, ao serem abertos, solicitam que os usuários ativem macros, permitindo a execução de código VBA malicioso que instala o backdoor Phoenix. Este backdoor é carregado por um loader chamado FakeUpdate, que contém um payload criptografado. MuddyWater, que opera desde 2017 e está associado ao Ministério da Inteligência e Segurança do Irã, demonstrou uma capacidade aprimorada de integrar código personalizado com ferramentas comerciais para aumentar a furtividade e a persistência do ataque. A campanha representa um risco significativo para a segurança cibernética, especialmente para organizações governamentais e diplomáticas na região.

Um relatório da Microsoft revelou que, entre janeiro e julho de 2025, mais de 200 casos de hackers estrangeiros utilizaram inteligência artificial (IA) para criar e disseminar conteúdo falso e realizar ataques diretos a governos. Este número representa um aumento significativo em relação aos anos anteriores, com mais do que o dobro de casos registrados em 2024 e mais de dez vezes em comparação a 2023. Os cibercriminosos estão utilizando IA para automatizar ataques, como a tradução de e-mails de phishing, tornando-os mais convincentes e difíceis de identificar. Além disso, a criação de clones digitais de altos funcionários governamentais tem sofisticado as táticas de engenharia social, visando a obtenção de dados confidenciais e a desestabilização de serviços essenciais. A vice-presidente de Segurança e Confiança do Cliente da Microsoft, Amy Hogan-Buney, destacou que os EUA são o país mais visado, seguido por Israel e Ucrânia. Apesar das evidências, países como Rússia e China negam envolvimento em operações cibernéticas de espionagem. A Coreia do Norte, por sua vez, tem utilizado IA para criar identidades falsas, permitindo acesso a segredos comerciais e a instalação de malwares em empresas de tecnologia.

Pesquisadores da CyberProof identificaram um aumento significativo nas infecções pelo Trojan de Acesso Remoto (RAT) Remcos entre setembro e outubro de 2025. Essa campanha de malware, que se espalha principalmente por meio de anexos de e-mail e engenharia social, representou cerca de 11% de todos os incidentes de roubo de informações no trimestre. Embora seja comercializado como uma ferramenta legítima de administração remota, o Remcos é frequentemente utilizado por cibercriminosos para roubo de credenciais e operações de persistência. Em um ataque recente, os alvos receberam e-mails de phishing com um arquivo compactado que, ao ser extraído, executou um script PowerShell ofuscado. Este script estabeleceu conexões web seguras e baixou um payload codificado, que foi executado diretamente na memória, confirmando a técnica de execução fileless. A injeção de código malicioso ocorreu em um processo legítimo, o RmClient.exe, dificultando a detecção por sistemas de defesa como EDRs. A análise revelou que os atacantes estavam focados em roubar credenciais armazenadas em navegadores, levando a alertas parciais de EDR. A campanha destaca a necessidade de as organizações reforçarem suas camadas de detecção e vigilância contra iscas de phishing direcionadas.

O Luma Infostealer, um malware sofisticado, está ressurgindo como uma ameaça cibernética significativa, focando em credenciais de alto valor e ativos sensíveis em sistemas Windows. Distribuído através de um modelo de Malware-as-a-Service (MaaS), permite que até mesmo atacantes com pouca habilidade realizem campanhas complexas de roubo de dados. O malware é frequentemente disseminado em campanhas de phishing disfarçadas como softwares piratas, hospedados em plataformas legítimas como o MEGA Cloud, para evitar detecções. Ao ser executado, o Luma realiza uma decriptação em múltiplas etapas e injeção de processos para ativar seu payload, ocultando seu comportamento de soluções antivírus tradicionais.

Entre maio e agosto de 2025, o grupo de ameaça persistente avançada (APT) conhecido como Cavalry Werewolf, também rastreado como YoroTrooper e Silent Lynx, conduziu uma campanha de ciberataques sofisticada, visando o setor público e a infraestrutura crítica da Rússia. As indústrias de energia, mineração e manufatura foram os principais alvos, com o uso de malwares personalizados, como FoalShell e StallionRAT, através de operações de spear-phishing altamente direcionadas, disfarçadas como correspondências oficiais do governo.

Um novo relatório do Cofense Phishing Defense Center revela que criminosos estão explorando a confiança que os usuários depositam na marca Microsoft para realizar fraudes. A campanha começa com um e-mail que simula uma comunicação legítima de uma empresa, como uma locadora de veículos, prometendo um reembolso. Ao clicar no link, o usuário é redirecionado para uma página falsa que imita um sistema de verificação CAPTCHA. Essa etapa visa enganar ferramentas de segurança automatizadas e criar uma sensação de autenticidade.

Recentemente, usuários de gerenciadores de senhas, como LastPass e Bitwarden, estão sendo alvo de uma nova campanha de phishing. Os golpistas enviam e-mails fraudulentos que se passam por atualizações de segurança dos aplicativos, mas na verdade, contêm um software malicioso que permite o acesso remoto aos dados da vítima. Embora as empresas tenham confirmado que não sofreram invasões, a engenharia social utilizada pelos hackers tem se tornado cada vez mais sofisticada, tornando as mensagens mais convincentes. Além disso, a Cloudflare, uma empresa de segurança cibernética, bloqueou alguns links maliciosos, ajudando a proteger os usuários. Para evitar cair nesse tipo de golpe, recomenda-se não abrir links de e-mails suspeitos e sempre verificar diretamente no site oficial do serviço. A desconfiança é fundamental para se proteger contra essas ameaças.

Uma pesquisa realizada pelo Reclame AQUI revelou que 63% dos consumidores brasileiros não conseguem identificar golpes digitais que utilizam inteligência artificial (IA), uma vulnerabilidade preocupante especialmente com a aproximação da Black Friday. O estudo, que ouviu mais de 3.300 pessoas, destaca que 79% dos entrevistados planejam comprar online durante a Black Friday, mas apenas 43% verificam links e ofertas com ferramentas de segurança. A pesquisa também aponta que 20% dos consumidores já foram vítimas de fraudes em edições anteriores do evento. O uso crescente de IA por cibercriminosos para criar campanhas de phishing mais sofisticadas torna essencial que os consumidores estejam informados e preparados. O relatório, intitulado “Black Friday na era da Inteligência Artificial”, serve como um guia tanto para consumidores quanto para marcas, enfatizando a importância da segurança nas compras online.

No dia 19 de outubro de 2025, a Europol anunciou a desarticulação de uma plataforma sofisticada de cibercrime como serviço (CaaS), conhecida como Operation SIMCARTEL. A operação resultou em 26 buscas e na prisão de sete suspeitos, incluindo cinco cidadãos letões. Foram apreendidos 1.200 dispositivos de SIM box, que continham 40.000 cartões SIM ativos, além de cinco servidores e dois sites que promoviam o serviço. A operação envolveu autoridades de países como Áustria, Estônia, Finlândia e Letônia, e revelou que a rede criminosa estava ligada a mais de 1.700 casos de fraudes cibernéticas na Áustria e 1.500 na Letônia, totalizando perdas de cerca de €4,5 milhões e €420.000, respectivamente. A infraestrutura da plataforma permitia a criação de números de telefone registrados em mais de 80 países, facilitando atividades criminosas como phishing, fraudes financeiras e extorsão. Além disso, a plataforma promovia a monetização de cartões SIM, atraindo usuários com promessas de renda passiva. A operação destaca a crescente complexidade e sofisticação das redes de cibercrime, que utilizam tecnologias avançadas para ocultar identidades e realizar fraudes em larga escala.

O spoofing é uma técnica de ciberataque que consiste em imitar a identidade de uma pessoa ou sistema para enganar vítimas. Essa prática é comumente utilizada em ataques de phishing e engenharia social, onde hackers se passam por indivíduos confiáveis, como superiores ou instituições conhecidas, para roubar dados pessoais e financeiros. Existem várias modalidades de spoofing, incluindo spoofing de e-mail, IP, DNS, ARP e URL. Cada uma dessas táticas tem suas particularidades, mas todas visam enganar a vítima e facilitar o acesso a informações sensíveis ou a instalação de malwares. Para se proteger, é essencial que os usuários verifiquem cuidadosamente os remetentes de e-mails, evitem clicar em links suspeitos e utilizem autenticação de dois fatores sempre que possível. Além disso, empresas devem implementar políticas de segurança, como SPF, DKIM e DMARC, e treinar seus funcionários para reconhecer tentativas de spoofing. Casos reais, como a fraude do CEO que resultou na perda de milhões pela Ubiquiti, demonstram a gravidade e o impacto potencial desses ataques. Portanto, a conscientização e a adoção de medidas preventivas são fundamentais para mitigar os riscos associados ao spoofing.

Pesquisadores de cibersegurança identificaram uma nova campanha maliciosa que visa os setores automotivo e de e-commerce na Rússia, utilizando um malware .NET inédito chamado CAPI Backdoor. A análise da Seqrite Labs revela que a infecção é desencadeada por e-mails de phishing que contêm um arquivo ZIP. Dentro deste arquivo, há um documento em russo que finge ser uma notificação sobre legislação tributária e um arquivo de atalho do Windows (LNK) que executa o malware.

O grupo de cibercrime conhecido como Silver Fox, associado ao malware Winos 4.0, ampliou suas operações, agora mirando Japão e Malásia, além de China e Taiwan. A nova variante, chamada HoldingHands RAT, é distribuída por meio de e-mails de phishing que contêm PDFs com links maliciosos, disfarçados como documentos oficiais do Ministério das Finanças. O Winos 4.0 é frequentemente disseminado via phishing e técnicas de SEO, levando usuários a sites falsos que imitam softwares populares. Recentemente, a Fortinet identificou campanhas que utilizam documentos de Excel relacionados a impostos como isca para infectar sistemas. O HoldingHands RAT é projetado para se conectar a servidores remotos, capturar informações sensíveis e executar comandos do atacante. A complexidade do ataque é aumentada por técnicas de evasão que dificultam a detecção, como a desativação de softwares de segurança. A situação é preocupante, pois a exfiltração de dados pode resultar em espionagem cibernética e roubo de identidade, representando uma ameaça significativa para a infraestrutura organizacional e a privacidade individual.

Pesquisadores do Centro de Defesa Contra Phishing Cofense alertam sobre um novo golpe que simula ser o suporte da Microsoft, bloqueando o acesso ao navegador e solicitando que a vítima entre em contato com um número de telefone. O ataque começa com um e-mail de phishing que oferece um reembolso falso, levando a um CAPTCHA para evitar detecções automáticas. Em seguida, uma página pop-up imita alertas de segurança da Microsoft, fazendo o usuário acreditar que seu computador foi comprometido. Para resolver a situação, é solicitado que a vítima ligue para um número, onde um falso técnico de suporte pode solicitar credenciais ou induzir a instalação de ferramentas de acesso remoto. Este golpe é um exemplo claro de engenharia social, utilizando a confiança que os usuários têm em grandes marcas. É importante que os usuários estejam cientes de que a Microsoft nunca trancaria um navegador ou pediria que ligassem para um suporte através de um pop-up. A recomendação é sempre desconfiar de comunicações desse tipo.

Um novo golpe de phishing, analisado pelo Cofense Phishing Defense Center, explora a confiança dos usuários na marca Microsoft para aplicar fraudes de suporte técnico. O ataque começa com um e-mail que se passa por uma empresa chamada ‘Syria Rent a Car’, prometendo um reembolso em troca da verificação do e-mail do usuário. Ao clicar no link, a vítima é direcionada a um desafio CAPTCHA falso, que visa enganar tanto o usuário quanto ferramentas de detecção de phishing. Após essa etapa, a vítima é levada a uma página que simula mensagens de segurança da Microsoft, criando uma falsa sensação de urgência ao afirmar que o sistema foi comprometido. O navegador parece travado, e pop-ups insistem que o usuário entre em contato com um número de suporte que, na verdade, conecta a engenheiros sociais que tentam obter credenciais ou instalar ferramentas de acesso remoto. Este golpe destaca como a confiança nas marcas pode ser manipulada para intensificar os métodos tradicionais de phishing, exigindo que as empresas adotem treinamentos de conscientização e respostas integradas a tentativas de phishing.

Um grupo de hackers da Coreia do Norte, associado à campanha Contagious Interview, está aprimorando suas ferramentas de malware, conforme revelado por novas investigações da Cisco Talos. As funcionalidades dos malwares BeaverTail e OtterCookie estão se aproximando, com o OtterCookie agora incorporando um módulo para keylogging e captura de telas. Essa atividade é parte de uma campanha de recrutamento fraudulenta que começou em 2022, onde os atacantes se passam por empresas para enganar candidatos a emprego e instalar malware que rouba informações. Recentemente, o grupo também começou a usar uma técnica chamada EtherHiding para buscar cargas úteis em blockchains como BNB Smart Chain e Ethereum, transformando essas infraestruturas descentralizadas em servidores de comando e controle. A campanha tem como alvo usuários que caem em ofertas de emprego falsas, levando à infecção de sistemas. Um exemplo recente envolve um aplicativo Node.js malicioso chamado Chessfi, que foi distribuído através do repositório Bitbucket. O malware evoluiu para incluir módulos que monitoram o clipboard e roubam dados de extensões de criptomoedas, aumentando o risco de roubo de informações sensíveis e acesso remoto. Essa situação destaca a necessidade de vigilância constante e medidas de segurança robustas para proteger dados sensíveis.

Pesquisadores da Sublime Security alertaram sobre um novo golpe de phishing que utiliza falsas ofertas de emprego no Google para roubar credenciais de usuários do Microsoft 365 e Google Workspace. Os e-mails fraudulentos, que imitam comunicações do Google Careers, começam com mensagens que perguntam se a vítima está disponível para uma conversa sobre uma vaga. Os golpistas têm como alvo especialmente contas de e-mail corporativas, filtrando alvos que não pertencem ao ambiente profissional.

A Seqrite Labs revelou uma operação de ciberespionagem sofisticada, denominada Operação Silk Lure, que utiliza uma campanha de aplicação de emprego enganosa para comprometer organizações na China. O ataque começa com e-mails de spear-phishing que se disfarçam de candidatos a vagas técnicas em setores como FinTech e criptomoedas. Os e-mails contêm arquivos .LNK maliciosos disfarçados de currículos, que, ao serem executados, lançam um script PowerShell que baixa o malware ValleyRAT de um domínio controlado por hackers. O script abusa do Agendador de Tarefas do Windows para criar uma tarefa recorrente que ativa o malware diariamente, ocultando suas atividades. O ValleyRAT é um backdoor modular que realiza vigilância extensiva, captura dados sensíveis e se adapta para evitar detecção por softwares antivírus. A pesquisa da Seqrite identificou mais de 20 domínios relacionados ao ataque, que se assemelham a portais de emprego legítimos, aumentando a credibilidade do golpe. A Seqrite recomenda que as organizações monitorem execuções suspeitas do PowerShell e bloqueiem conexões com os domínios maliciosos identificados.

Uma nova campanha de phishing está atacando usuários do LastPass, disfarçando-se como alertas de segurança urgentes para disseminar malware. Especialistas em segurança identificaram e-mails fraudulentos enviados de domínios como ‘hello@lastpasspulse[.]blog’ e ‘hello@lastpassgazette[.]blog’, com linhas de assunto alarmantes como ‘Fomos Hackeados - Atualize Seu Aplicativo LastPass Desktop para Manter a Segurança do Cofre’. Apesar das alegações, a equipe de segurança do LastPass confirmou que não houve violação. Os e-mails direcionam os usuários a domínios maliciosos, como ’lastpassdesktop[.]com’, que foram sinalizados como sites de phishing ativos. A análise técnica dos cabeçalhos dos e-mails revela táticas de ofuscação agressivas, reforçando a ilusão de legitimidade. A campanha coincide com um feriado nos EUA, um momento estratégico em que as equipes de segurança podem estar menos atentas. O LastPass enfatiza que nunca solicitará a senha mestra ou exigirá atualizações imediatas por meio de links enviados por e-mail. Os usuários são aconselhados a verificar todas as comunicações inesperadas e a encaminhar e-mails suspeitos para investigação.

Uma nova campanha de phishing está atacando clientes do GMO Aozora Bank, no Japão, utilizando uma técnica antiga chamada Autenticação Básica para disfarçar URLs maliciosas. Pesquisadores da Netcraft identificaram várias URLs de phishing que imitam sites bancários legítimos, redirecionando os usuários para domínios maliciosos que coletam credenciais de login. A Autenticação Básica, um protocolo web obsoleto, permite que atacantes insiram o nome de um domínio confiável na seção de nome de usuário, fazendo com que o verdadeiro destino do link apareça após o símbolo ‘@’. Essa manobra engana os usuários, especialmente em dispositivos móveis, onde os URLs podem ser truncados. Durante a investigação, foram encontrados 214 URLs de phishing únicas, com 71,5% direcionadas a usuários ou empresas japonesas. A campanha destaca como a compatibilidade com recursos web desatualizados pode ser explorada por grupos de phishing modernos. A Netcraft recomenda que as organizações eduquem os usuários sobre os riscos de URLs com credenciais embutidas e implementem políticas de inspeção de URLs para sinalizar a presença do símbolo ‘@’.

Uma análise recente sobre a infraestrutura relacionada à campanha ClickFix revelou a existência de mais de 13.000 domínios maliciosos, utilizados em operações de phishing e entrega de malware. As campanhas ClickFix exploram a capacidade dos navegadores de escrever diretamente na área de transferência do usuário, enganando as vítimas a executar scripts maliciosos sob a aparência de verificação CAPTCHA. Um exemplo é o site greenblock[.]me, que solicita aos usuários que executem um comando PowerShell para baixar e executar um script Visual Basic, frequentemente resultando em infecções por malware.

Uma nova campanha de malware para Android, identificada como GhostBat RAT, está explorando a aparência de aplicativos do Escritório de Transporte Regional (RTO) da Índia para roubar dados bancários e credenciais de UPI de usuários indianos. O malware utiliza técnicas avançadas de ofuscação, dropper em múltiplas etapas e engenharia social para enganar os usuários, sendo distribuído através de aplicativos falsos do mParivahan via WhatsApp, SMS e sites comprometidos.

Após a instalação, o aplicativo falso solicita permissões de SMS sob o pretexto de uma atualização e começa a coletar dados sensíveis. Desde setembro de 2025, foram identificadas mais de 40 amostras de APK maliciosos, que empregam técnicas de evasão como manipulação de cabeçalho ZIP e mecanismos anti-emulação. O malware também realiza phishing, levando os usuários a uma interface falsa de UPI onde são induzidos a inserir seus PINs, que são enviados para um endpoint controlado pelos atacantes.

Um grande fabricante sofreu um ataque de ransomware devastador após a obtenção de credenciais VPN roubadas. O grupo cibercriminoso Ignoble Scorpius utilizou um ataque de phishing por voz para enganar um funcionário, que forneceu suas informações de login em um site falso. Com essas credenciais, os atacantes conseguiram acesso à rede e rapidamente elevaram seus privilégios, realizando um ataque DCSync para coletar credenciais administrativas adicionais.

Os invasores se moveram lateralmente pela rede, utilizando ferramentas como Advanced IP Scanner para mapear servidores valiosos e instalaram um Trojan de acesso remoto para garantir acesso contínuo. Eles comprometeram um segundo controlador de domínio, extraindo mais de 400 GB de dados sensíveis antes de implantar o ransomware BlackSuit, que criptografou centenas de máquinas virtuais, paralisando as operações da empresa.

Pesquisadores da eSentire identificaram um novo malware chamado ChaosBot, que utiliza a plataforma Discord para roubar dados e criar uma backdoor em sistemas de computadores. O ataque foi inicialmente detectado no final de setembro de 2025, afetando clientes do setor financeiro no Vietnã. O ChaosBot é distribuído por meio de mensagens de phishing que contêm arquivos maliciosos, como atalhos do Windows que executam scripts PowerShell para baixar o malware. Uma das características mais notáveis é o uso do Discord para comando e controle, onde os hackers recebem instruções e podem executar ações como capturas de tela e download de outros agentes maliciosos. Além disso, uma variante em C++ do malware pode encriptar arquivos e realizar ataques de ransomware. O uso de credenciais comprometidas da Cisco VPN e contas com privilégios na Active Directory para a disseminação do vírus destaca a gravidade da ameaça. A situação exige atenção, pois o ChaosBot representa uma nova abordagem de cibercrime que pode ser replicada em outros contextos.

O lançamento do Sora 2 AI provocou um aumento nas atividades maliciosas, com cibercriminosos criando domínios falsos que imitam os serviços oficiais da OpenAI para roubar credenciais de usuários e realizar fraudes em criptomoedas. Relatórios de inteligência de ameaças indicam que páginas clonadas do Sora estão sendo utilizadas para coletar dados de login, roubar carteiras de criptomoedas e acessar planos de API pagos sem autorização. Os ataques exploram a empolgação dos usuários em relação ao novo lançamento de IA, distribuindo malware e capturando dados financeiros.

Um novo ataque de phishing, descoberto em outubro de 2025, revela uma evolução preocupante no abuso da cadeia de suprimentos dentro do ecossistema de código aberto. Diferente dos compromissos tradicionais do NPM, que visam infectar desenvolvedores durante a instalação de pacotes, esta campanha utiliza o registro do NPM e a CDN confiável unpkg.com para entregar JavaScript que rouba credenciais através de iscas em HTML com temas empresariais. Pesquisadores da Socket identificaram mais de 175 pacotes NPM descartáveis, cada um com o padrão de nomenclatura redirect-[a-z0-9]{6}, que servem como contêineres para um script de phishing chamado beamglea.js. A campanha, codinome “Beamglea”, afetou mais de 135 organizações nos setores de tecnologia, industrial e energético, principalmente na Europa. A análise da Snyk revelou um novo grupo de pacotes suspeitos que imitam o comportamento da campanha original, indicando uma possível expansão da infraestrutura maliciosa. Este ataque representa um novo tipo de abuso em nível de ecossistema, explorando a confiança entre registros de código aberto e CDNs, o que pode ter implicações sérias para a segurança das identidades empresariais.

Uma nova campanha de phishing tem se espalhado na América Latina, utilizando notificações judiciais em espanhol para disseminar o trojan de acesso remoto AsyncRAT. Pesquisadores de segurança identificaram que os hackers estão escondendo seus códigos maliciosos dentro de arquivos de imagem SVG, uma técnica que permite que scripts maliciosos evitem a detecção por gateways de e-mail tradicionais e antivírus.

O ataque, que visa especificamente usuários na Colômbia, começa com um e-mail disfarçado como uma comunicação legítima do ‘Juzgado 17 Civil Municipal del Circuito de Bogotá’, que apresenta um arquivo anexo chamado ‘Fiscalia General De La Nacion Juzgado Civil 17.svg’. Ao abrir o arquivo, um script JavaScript malicioso é ativado, levando a uma série de downloads que culminam na instalação do AsyncRAT, que permite controle remoto ao atacante.

Pesquisadores de cibersegurança identificaram um novo ator de ameaças, chamado TA585, que tem utilizado o malware MonsterV2 em campanhas de phishing. O TA585 se destaca por controlar toda a cadeia de ataque, desde a entrega até a instalação do malware, sem depender de outros atores. O MonsterV2, um trojan de acesso remoto (RAT), é capaz de roubar dados sensíveis, manipular criptomoedas e estabelecer controle remoto sobre sistemas infectados. As campanhas de phishing têm utilizado iscas relacionadas ao IRS dos EUA para enganar usuários e direcioná-los a URLs maliciosas. Uma técnica chamada ClickFix é empregada para ativar a infecção através de comandos maliciosos no terminal do Windows. Além disso, o TA585 também tem utilizado injeções de JavaScript em sites legítimos e notificações falsas do GitHub para disseminar o malware. O MonsterV2 é comercializado por até $2.000 mensais e é projetado para evitar a detecção por meio de técnicas de ofuscação. A ameaça é particularmente relevante para o Brasil, dado o uso crescente de tecnologias digitais e a necessidade de proteção contra ataques cibernéticos.

Um novo malware chamado Stealerium está causando preocupação no mundo da cibersegurança. Diferente de golpes anteriores que apenas ameaçavam as vítimas com chantagens, este vírus realmente grava imagens da webcam e faz capturas de tela quando o usuário acessa conteúdo pornográfico online. Pesquisadores da Proofpoint identificaram que o Stealerium utiliza táticas de phishing para infectar os computadores, disfarçando mensagens maliciosas como comunicações de bancos ou serviços conhecidos. O código-fonte do malware está disponível na internet há anos, mas sua utilização em ataques reais é recente. O vírus não só realiza extorsão, mas também coleta dados sensíveis, como senhas e informações de cartões de crédito. As vítimas, muitas vezes constrangidas, hesitam em denunciar os crimes, o que facilita a ação dos cibercriminosos. Para se proteger, é recomendado manter antivírus atualizados, evitar clicar em links suspeitos e cobrir fisicamente a webcam. A situação é alarmante, pois o risco de detecção para os hackers é baixo, e a quantidade de vítimas pode ser significativa.

Recentemente, a equipe de segurança do Microsoft Edge revelou que cibercriminosos estão explorando vulnerabilidades não corrigidas no modo legado do Internet Explorer (IE) dentro do navegador Edge para comprometer ambientes Windows. Essa exploração, identificada em agosto de 2025, ocorre devido à combinação de compatibilidade com tecnologias legadas e fluxos de trabalho modernos de navegação. Muitas empresas ainda dependem de sistemas desatualizados, como controles ActiveX e Flash, que o Edge mantém para garantir a funcionalidade durante a modernização. Os atacantes utilizam táticas de engenharia social, como phishing, para direcionar as vítimas a sites falsos que parecem oficiais. Ao ativar o modo IE, eles conseguem executar código malicioso através de uma vulnerabilidade zero-day no motor JavaScript Chakra. A Microsoft respondeu removendo pontos de acesso fáceis para reativar o modo IE, exigindo que os usuários ativem manualmente essa funcionalidade. A empresa recomenda a transição para tecnologias modernas para melhorar a segurança e o desempenho, uma vez que o Internet Explorer 11 atingiu o fim da vida útil em junho de 2022.

Uma pesquisa da Zimperium revelou uma nova campanha de spyware chamada ClayRat, que se disfarça de aplicativos populares como WhatsApp, TikTok e YouTube para infectar dispositivos Android. O malware, que já afetou mais de 600 usuários, principalmente na Rússia, é disseminado por meio de canais do Telegram e sites maliciosos que imitam serviços legítimos. Os hackers utilizam técnicas de phishing para criar domínios que se assemelham aos originais, levando os usuários a baixar APKs sem o seu conhecimento. Uma vez instalado, o spyware consegue acessar SMS, histórico de chamadas, tirar fotos e até fazer ligações. O malware se comunica com um servidor de comando e controle de forma encriptada, coletando informações do dispositivo e enviando-as aos cibercriminosos. A Zimperium já notificou o Google, que implementou bloqueios no Play Protect, mas a empresa alerta que a campanha é massiva e recomenda cautela ao instalar aplicativos fora da loja oficial. Os usuários devem evitar burlar as configurações de segurança do Android e sempre optar por fontes confiáveis para downloads.

O Astaroth, um conhecido trojan bancário, voltou a ser uma ameaça significativa ao abusar de plataformas de nuvem confiáveis, como o GitHub, para manter sua operação. O processo de infecção começa com e-mails de phishing altamente direcionados, que induzem os usuários a baixar um arquivo ZIP contendo um atalho do Windows ofuscado. Ao ser executado, esse atalho ativa um script JavaScript que baixa scripts adicionais, projetados para evitar análise e detecção. O malware é capaz de injetar código na memória, permitindo que ele opere sem deixar rastros no disco. Uma vez instalado, o Astaroth monitora as atividades bancárias e de criptomoedas do usuário, capturando credenciais através de eventos de teclado. O uso do GitHub para armazenar configurações do malware, disfarçadas em imagens PNG, permite que os atacantes atualizem suas operações mesmo após interrupções em seus servidores de comando e controle. A campanha destaca a crescente sofisticação das táticas de cibercriminosos, especialmente em regiões da América do Sul, como o Brasil, onde as instituições financeiras são alvos frequentes. Para se proteger, é crucial que organizações e indivíduos adotem medidas robustas de segurança, como autenticação multifator e monitoramento contínuo de endpoints.

Um novo grupo de cibercrime, denominado Scattered Lapsus$ Hunters, lançou uma campanha de extorsão visando inquilinos corporativos da Salesforce em todo o mundo. Este grupo, associado a uma aliança chamada ‘Trinity of Chaos’, afirma ter roubado mais de um bilhão de registros da Salesforce entre maio e setembro de 2025, afetando grandes organizações como Toyota, FedEx e Disney. A campanha utiliza um modelo de extorsão como serviço (EaaS), onde os atacantes não criptografam dados, mas ameaçam divulgar informações sensíveis se o resgate não for pago. A técnica de phishing por voz (vishing) foi uma das principais táticas utilizadas, enganando as vítimas para que autorizassem integrações maliciosas em seus portais Salesforce. Embora o FBI tenha conseguido apreender a infraestrutura do grupo na superfície da web, a operação ainda está ativa no darknet. Especialistas em segurança alertam que essa mudança de foco para a monetização de dados representa um novo desafio para as organizações, que devem adotar controles de acesso rigorosos e monitorar continuamente suas credenciais expostas.