Phishing

O smishing e o vishing são formas de phishing que utilizam SMS e chamadas telefônicas, respectivamente, para enganar as vítimas e roubar informações pessoais. O smishing combina mensagens de texto com engenharia social, frequentemente se disfarçando como comunicações de bancos ou empresas conhecidas, alertando sobre problemas urgentes que exigem ação imediata, como o bloqueio de contas ou entrega de pacotes. Já o vishing envolve ligações telefônicas em que golpistas se passam por funcionários de instituições financeiras ou autoridades, solicitando dados sensíveis sob pretextos de urgência. Ambas as táticas exploram a confiança das vítimas e podem resultar em sérios danos financeiros e de privacidade. Para se proteger, é fundamental estar atento a sinais de alerta, como mensagens ou ligações que exigem informações pessoais e sempre verificar a autenticidade das comunicações recebidas.

A nova funcionalidade do Microsoft Teams, que permite que usuários iniciem chats com qualquer pessoa apenas utilizando um endereço de e-mail, levanta sérias preocupações de segurança. Essa atualização, que será lançada em novembro de 2025, visa facilitar a colaboração, mas especialistas em cibersegurança alertam que pode se tornar um vetor primário para campanhas de phishing e distribuição de malware. A capacidade de convidar participantes externos como convidados, sem processos de validação, amplia a superfície de ataque para agentes maliciosos. Os atacantes podem enviar convites falsos que parecem ser de parceiros de negócios legítimos, levando os usuários a clicarem em links maliciosos ou a revelarem credenciais sensíveis. Além disso, a possibilidade de exposição acidental de dados confidenciais aumenta, especialmente em ambientes de trabalho híbridos. Para mitigar esses riscos, recomenda-se que as organizações desativem a funcionalidade por meio do PowerShell e implementem autenticação multifatorial, auditorias regulares de políticas e treinamentos de conscientização sobre phishing. A Microsoft reconheceu as implicações de segurança e aconselhou as empresas a atualizarem suas documentações internas e treinarem suas equipes de suporte.

Uma nova campanha de engenharia social chamada ClickFix está utilizando vídeos maliciosos para induzir os usuários a se infectarem. Essa variante sofisticada imita o sistema de verificação de bots da Cloudflare com um realismo sem precedentes, apresentando um tutorial em vídeo que orienta as vítimas a executar comandos maliciosos. A página falsa de verificação inclui elementos de manipulação psicológica, como contadores em tempo real e instruções específicas para o sistema operacional da vítima. Em 90% dos casos observados, o código malicioso é copiado automaticamente para a área de transferência do usuário, exigindo apenas que a vítima cole e execute o comando. A campanha se destaca por direcionar usuários através do Google Search, ao invés de e-mails, com 80% das páginas ClickFix interceptadas acessadas via resultados de busca comprometidos. A evolução técnica inclui o uso de ‘cache smuggling’, que permite a execução local de arquivos maliciosos disfarçados como imagens JPG. A natureza auto-iniciada dos ataques ClickFix apresenta desafios únicos de detecção, pois a cópia do código ocorre dentro do sandbox do navegador, onde ferramentas de segurança tradicionais têm pouca visibilidade. Especialistas recomendam a implementação de capacidades de detecção baseadas em navegador para bloquear operações de cópia e colagem maliciosas antes da execução do payload.

O malware Herodotus, um novo trojan bancário para Android, está circulando como uma oferta de Malware-as-a-Service (MaaS), explorando engenharia social e abuso de permissões para contornar soluções de segurança tradicionais. Ele se espalha por campanhas de phishing via SMS, redirecionando as vítimas para páginas de download falsas, onde instalam o APK malicioso fora da Play Store oficial. Após a instalação e concessão de permissões críticas, o Herodotus assume o controle total do dispositivo, realizando operações bancárias não autorizadas enquanto os usuários estão logados em suas contas financeiras.

O artigo aborda o ciclo de comprometimento de credenciais, destacando como usuários, como Sarah do departamento de contabilidade, podem inadvertidamente entregar suas informações de login a cibercriminosos através de e-mails de phishing. O texto descreve as etapas desse ciclo, desde a criação de credenciais pelos usuários até a exploração ativa por hackers, que podem levar a roubo de dados e ataques de ransomware. Os vetores comuns de comprometimento incluem campanhas de phishing, reutilização de senhas e vazamentos de chaves de API. O impacto real de um comprometimento de credenciais pode ser devastador, resultando em invasões de contas, roubo de dados e aumento de custos operacionais. O artigo enfatiza a importância de ações proativas para detectar credenciais comprometidas, como o uso de ferramentas como o Credential Checker da Outpost24, que ajuda a identificar se as credenciais de uma empresa estão expostas em repositórios de vazamentos. A urgência em proteger as credenciais é destacada, considerando que muitas podem já estar comprometidas sem o conhecimento da organização.

Em julho de 2025, a empresa de cibersegurança Doctor Web foi acionada por uma organização estatal russa devido a atividades suspeitas de spam originadas de seus e-mails internos. Uma investigação forense revelou que a organização foi alvo de uma campanha de ciberespionagem sofisticada pelo grupo de hackers conhecido como Cavalry Werewolf. Os atacantes utilizaram anexos de phishing com variantes de malware para infiltrar a rede governamental e coletar dados sensíveis, incluindo documentos internos e detalhes de configuração da rede. O malware principal, BackDoor.ShellNET.1, estabeleceu conexões de shell reverso com servidores remotos, permitindo a execução de comandos. Após garantir o acesso, os invasores baixaram cargas adicionais usando ferramentas legítimas do sistema, como BITSADMIN, para escalar a intrusão e estabelecer persistência. A investigação revelou um vasto arsenal de ferramentas utilizadas, incluindo trojans e backdoors que permitiram a execução remota de comandos e movimentação lateral na rede. O grupo Cavalry Werewolf também se destacou pelo uso de comunicação externa e backdoors controlados via Telegram, mantendo acesso prolongado à rede comprometida. A análise mapeou as técnicas utilizadas ao framework MITRE ATT&CK, destacando a gravidade e a complexidade do ataque.

Pesquisadores de cibersegurança da Sekoia identificaram uma campanha de phishing sofisticada que visa clientes da indústria de hospitalidade em todo o mundo, utilizando contas de hotéis comprometidas do Booking.com. Os atacantes exploram dados de clientes roubados, como identificadores pessoais e detalhes de reservas, para realizar fraudes bancárias altamente credíveis desde abril de 2025.

A metodologia do ataque é de múltiplas etapas, começando com e-mails maliciosos enviados a administradores de hotéis a partir de contas de e-mail corporativas comprometidas. Esses e-mails imitam comunicações do Booking.com, com linhas de assunto que mencionam solicitações de clientes e códigos de rastreamento, enganando os destinatários. Os links contidos nos e-mails redirecionam as vítimas para páginas falsas que imitam o Booking.com, onde são induzidas a executar comandos do PowerShell disfarçados, resultando na instalação do malware PureRAT em seus sistemas.

Uma vulnerabilidade crítica no Windows, identificada como CVE-2025-9491, tem sido explorada por cibercriminosos nos últimos oito anos, levantando preocupações sobre a segurança do sistema operacional. Essa falha, que afeta o processamento de arquivos LNK, permite que hackers disseminem malware, como trojans de acesso remoto, através de ataques de phishing. Recentemente, um grupo de cibercriminosos tem direcionado suas ações a diplomatas em países europeus, como Bélgica, Hungria e Itália, utilizando essa vulnerabilidade para espionagem digital. Apesar de a Microsoft ter sido informada sobre a falha, não há indícios de que a empresa esteja trabalhando em uma correção, o que gera incertezas sobre a segurança dos usuários. Enquanto isso, recomenda-se que os usuários permaneçam vigilantes quanto a e-mails suspeitos e evitem abrir arquivos LNK de remetentes desconhecidos. A situação é alarmante, especialmente considerando a crescente sofisticação dos ataques digitais e a necessidade de proteção robusta em um cenário de ameaças cibernéticas em evolução.

Pesquisadores da Proofpoint identificaram um novo grupo de ameaças ligado ao Irã, denominado UNK_SmudgedSerpent, que realizou operações de phishing voltadas para acadêmicos e especialistas em política externa entre junho e agosto de 2025. As campanhas utilizaram táticas de engenharia social, ferramentas de colaboração falsificadas e software legítimo de monitoramento remoto para infiltrar alvos focados em questões geopolíticas e domésticas do Irã.

O grupo começou com conversas benignas sobre mudanças sociais no Irã, mas rapidamente evoluiu para o envio de links para coleta de credenciais e cargas administrativas remotas. Um dos ataques mais notáveis envolveu a falsificação do e-mail de Suzanne Maloney, diretora do Brookings Institution, que contatou membros de think tanks com convites para colaboração que levavam a páginas de login falsas do Microsoft 365. O uso de software comercial para gerenciamento remoto, como o PDQConnect, permitiu acesso contínuo aos sistemas das vítimas.

Um novo grupo de ameaças, identificado como InedibleOchotense, foi observado realizando ataques de phishing que se disfarçam como a empresa de cibersegurança ESET, visando entidades ucranianas. A campanha, detectada em maio de 2025, utiliza e-mails e mensagens no Signal para enviar links para um instalador trojanizado da ESET. O e-mail, escrito em ucraniano, contém um erro de tradução que sugere uma origem russa. O instalador malicioso não apenas entrega o ESET AV Remover legítimo, mas também uma variante de um backdoor chamado Kalambur, que utiliza a rede Tor para controle remoto. Além disso, o grupo Sandworm, associado à Rússia, continua a realizar ataques destrutivos na Ucrânia, utilizando malware de limpeza de dados. Outro ator, RomCom, também explorou uma vulnerabilidade do WinRAR para realizar campanhas de phishing, visando setores financeiros e de defesa na Europa e Canadá. Esses incidentes destacam a crescente complexidade e a interconexão das ameaças cibernéticas na região, com implicações diretas para a segurança de dados e operações de empresas que utilizam tecnologias amplamente adotadas, como as da ESET.

Um novo malware para Android, denominado NGate, foi descoberto pela CERT Polska, utilizando uma técnica sofisticada de relé NFC para atacar usuários de bancos na Polônia. O ataque permite que criminosos realizem saques em caixas eletrônicos usando os próprios cartões de pagamento das vítimas, sem a necessidade de roubo físico. O processo começa com mensagens de phishing que se disfarçam de alertas bancários, levando as vítimas a instalar um aplicativo malicioso que simula ferramentas legítimas de banco móvel. Após a instalação, os usuários são induzidos a confirmar seus cartões através de NFC, o que resulta na captura de dados sensíveis, como o número do cartão e o PIN, que são enviados em tempo real para os atacantes. A análise técnica revelou que o aplicativo malicioso opera como um serviço de emulação de cartão, interceptando a comunicação NFC e transmitindo os dados para um servidor controlado pelos criminosos. A CERT Polska recomenda que os usuários baixem apenas aplicativos bancários verificados e entrem em contato diretamente com seus bancos ao receber solicitações suspeitas. Este incidente destaca a necessidade de vigilância constante e educação sobre segurança cibernética entre os usuários de serviços financeiros.

Um novo grupo de ciberespionagem, codinome UNK_SmudgedSerpent, foi identificado como responsável por uma série de ataques cibernéticos direcionados a acadêmicos e especialistas em política externa entre junho e agosto de 2025, em meio a tensões geopolíticas entre Irã e Israel. Segundo a Proofpoint, os ataques utilizam iscas políticas, como mudanças sociais no Irã e investigações sobre a militarização do Corpo da Guarda Revolucionária Islâmica (IRGC). As táticas empregadas são semelhantes às de grupos de espionagem cibernética iranianos anteriores, como TA455 e TA453, com e-mails que se assemelham a ataques clássicos de phishing. Os atacantes se envolvem em conversas benignas antes de tentarem roubar credenciais, utilizando URLs maliciosas que disfarçam instaladores de software legítimos, como o PDQ Connect. A operação sugere uma evolução na cooperação entre entidades de inteligência iranianas e unidades cibernéticas, focando na coleta de informações sobre análises de políticas ocidentais e pesquisas acadêmicas. O ataque destaca a necessidade de vigilância contínua e medidas de segurança robustas para proteger informações sensíveis.

Hackers estão colaborando com gangues de crime organizado para roubar cargas diretamente das cadeias de suprimentos, conforme relatado pela ProofPoint. Esses ataques envolvem o envio de links maliciosos para empresas de logística, permitindo que os criminosos acessem sistemas e redirecionem remessas para destinos fraudulentos. Através de engenharia social, os hackers conseguem identificar cargas de alto valor e se passam por representantes legítimos, manipulando motoristas e eliminando notificações de despachantes. Embora não haja relatos de violência, a possibilidade de danos físicos aos motoristas é uma preocupação real. O roubo de cargas já representa um custo anual de aproximadamente 34 bilhões de dólares, e a digitalização das cadeias de suprimentos aumenta a vulnerabilidade a esses ataques. A combinação de habilidades cibernéticas e táticas tradicionais de roubo sugere uma evolução preocupante no crime, exigindo atenção redobrada das empresas de logística e transporte.

Com a aproximação das férias de fim de ano, uma pesquisa da Proofpoint revela que mais da metade dos principais sites de turismo no Brasil, como Booking, Airbnb e Tripadvisor, não adotam práticas adequadas de segurança digital. O estudo analisou 20 plataformas populares e constatou que 55% delas não implementam medidas básicas, como o bloqueio de e-mails falsos, o que aumenta o risco de fraudes online. Embora 80% dos sites utilizem o protocolo DMARC (Domain-based Message Authentication, Reporting and Conformance), apenas 45% o fazem de forma avançada, deixando uma brecha para cibercriminosos que podem falsificar identidades e aplicar técnicas de phishing. Para evitar golpes, os usuários devem desconfiar de links suspeitos, verificar a autenticidade de mensagens e evitar senhas fracas. A pesquisa destaca a necessidade urgente de melhorias na segurança digital dessas plataformas, especialmente em um período em que o turismo tende a aumentar.

Uma nova campanha de cibercriminosos tem se aproveitado da popularidade do WhatsApp e de ferramentas de inteligência artificial para roubar dados pessoais dos usuários. Identificada pela empresa de segurança Appknox, a campanha envolve aplicativos falsos que imitam a interface do WhatsApp, ChatGPT e DALL·E, disponíveis em lojas digitais alternativas. Esses aplicativos maliciosos, como o WhatsApp Plus, solicitam permissões excessivas, como acesso a SMS e registros de chamadas, permitindo que os criminosos capturem informações sensíveis sem o consentimento dos usuários. O malware pode operar mesmo quando o aplicativo está fechado, utilizando bibliotecas nativas para monitorar atividades. A Appknox alerta que a falha nos mecanismos de verificação de aplicativos torna a situação ainda mais crítica, exigindo uma vigilância constante nas lojas de aplicativos e a educação dos usuários sobre a instalação de aplicativos apenas em plataformas oficiais. A descoberta dessa campanha é um sinal de alerta para empresas, pois dispositivos comprometidos podem ser usados para roubar códigos de verificação bancária e facilitar fraudes.

Recentemente, uma nova campanha de ciberespionagem, chamada Operação SkyCloak, foi identificada, visando o setor de defesa na Rússia e na Bielorrússia. Os atacantes utilizam e-mails de phishing com anexos maliciosos, disfarçados como documentos militares, para implantar um backdoor persistente em sistemas comprometidos. O malware utiliza OpenSSH e um serviço oculto Tor para ofuscação de tráfego, permitindo que os invasores mantenham controle remoto sobre as máquinas infectadas.

O ataque começa com um arquivo ZIP que contém um atalho do Windows (LNK) e um segundo arquivo compactado. Quando o atalho é aberto, comandos PowerShell são executados, iniciando uma cadeia de infecção. O malware realiza verificações para evitar ambientes de análise, como sandboxes, e, uma vez que as condições são atendidas, exibe um documento PDF como isca. Além disso, cria tarefas agendadas para garantir sua persistência e estabelece um serviço SSH que permite a transferência de arquivos e acesso remoto.

O ransomware é um software malicioso que bloqueia o acesso a sistemas ou criptografa dados até que um resgate seja pago. Este tipo de ataque cibernético é uma das ameaças mais comuns e prejudiciais no cenário digital, afetando indivíduos, empresas e infraestruturas críticas em todo o mundo. Os ataques geralmente começam com a infiltração do malware por meio de e-mails de phishing, downloads maliciosos ou exploração de vulnerabilidades de software. Uma vez ativado, o ransomware utiliza algoritmos criptográficos para tornar os arquivos inacessíveis, exigindo pagamento, frequentemente em criptomoedas como Bitcoin, para fornecer a chave de descriptografia.

Uma nova campanha de phishing tem como alvo executivos do setor financeiro no LinkedIn, conforme identificado pela Push Security. Os cibercriminosos enviam mensagens diretas com convites falsos para reuniões de diretoria, utilizando a isca de uma oportunidade de trabalho promissora. Ao clicar no link contido na mensagem, a vítima é redirecionada por várias páginas até chegar a um site falso que simula uma plataforma de compartilhamento de dados do LinkedIn. Esse site apresenta documentos falsos e, ao tentar acessá-los, a vítima é levada a uma página que exige autenticação na Microsoft, onde uma técnica chamada Adversary-in-the-Middle (AITM) é utilizada para roubar credenciais de login e cookies do navegador.

Pesquisadores de segurança da Arctic Wolf Labs alertaram sobre um ataque cibernético direcionado a diplomatas europeus, realizado por um grupo de hackers conhecido como Mustang Panda, vinculado ao governo chinês. O ataque utiliza uma vulnerabilidade zero-day no Windows, identificada como CVE-2025-9491, que permite a exploração de arquivos .LNK maliciosos. Esses arquivos foram enviados em e-mails de phishing, disfarçados como convites para eventos diplomáticos, como workshops de defesa da OTAN. Ao serem abertos, os arquivos executam um Trojan de Acesso Remoto (RAT) chamado PlugX, que concede acesso persistente ao sistema comprometido, permitindo a espionagem e a exfiltração de dados. A vulnerabilidade, que é considerada de alta severidade, foi associada a campanhas de espionagem que datam de 2017. A exploração requer interação do usuário, o que a torna menos crítica, mas ainda assim representa um risco significativo para a segurança de informações sensíveis. O ataque destaca a necessidade de vigilância constante e medidas de segurança robustas para proteger dados diplomáticos e governamentais.

Os ciberataques estão se tornando cada vez mais inteligentes e difíceis de prevenir. Recentemente, hackers utilizaram ferramentas discretas e exploraram falhas de segurança recém-descobertas, atacando sistemas confiáveis e aproveitando-se de vulnerabilidades em questão de horas. As ameaças incluem espionagem, fraudes em empregos, ransomware avançado e phishing complexo, colocando até mesmo backups criptografados em risco. Um dos principais incidentes desta semana foi a exploração de uma falha crítica no Motex Lanscope Endpoint Manager, atribuída a um ator de espionagem cibernética suspeito da China, que implantou uma backdoor chamada Gokcpdoor em redes-alvo. Além disso, ataques de hackers russos à Ucrânia destacaram o uso de ferramentas administrativas comuns para roubo de dados, enquanto um novo malware bancário para Android, chamado Herodotus, imita o comportamento humano para evitar detecções. O ransomware Qilin também se destacou por utilizar o Windows Subsystem for Linux para lançar ataques em sistemas Windows, aumentando sua eficácia. A rápida exploração de vulnerabilidades, como as listadas na lista de CVEs críticos da semana, ressalta a necessidade urgente de ações corretivas por parte das organizações.

Um novo conjunto de ataques cibernéticos tem como alvo empresas de transporte e logística, com o objetivo de instalar softwares de monitoramento remoto (RMM) para roubo de cargas. De acordo com a Proofpoint, esses ataques estão em andamento desde junho de 2025 e envolvem a colaboração com grupos de crime organizado. Os produtos mais visados incluem alimentos e bebidas, que são frequentemente vendidos online ou enviados para o exterior. Os atacantes utilizam técnicas como phishing direcionado e comprometimento de contas de e-mail para infiltrar-se nas empresas. Uma vez dentro, eles podem manipular sistemas, deletar reservas e coordenar o transporte de cargas sob nomes de transportadoras comprometidas. O uso de softwares RMM é vantajoso para os atacantes, pois permite que eles operem de forma discreta, já que essas ferramentas são comuns em ambientes corporativos e frequentemente não são sinalizadas como maliciosas. A situação representa um risco significativo para a segurança da cadeia de suprimentos, especialmente em um setor tão crítico quanto o de transporte e logística.

No último Fórum Latinoamericano de Segurança da ESET, realizado no Uruguai, especialistas discutiram as tendências em cibersegurança até 2026, destacando o uso crescente da inteligência artificial (IA) em crimes virtuais. Pesquisadores como Martina López e Mario Micucci alertaram para o aumento do uso de IA agêntica, que permite a execução de ataques cibernéticos com mínima intervenção humana, especialmente em phishing e spear-phishing. Além disso, a evolução dos ransomwares, incluindo o modelo ransomware-as-a-service (RaaS), foi enfatizada, com a introdução de ransomwares desenvolvidos com IA, como o LunaLock. A regulamentação da IA também foi um ponto central, com a necessidade de legislações que garantam transparência e proteção contra abusos, como deepfakes. O Ato de Inteligência Artificial da União Europeia foi citado como um exemplo positivo, exigindo que empresas informem sobre o uso de IA. O artigo conclui que a cibersegurança enfrentará desafios significativos, com a necessidade de auditorias eficazes e regulamentações que protejam a integridade dos dispositivos tecnológicos.

Nos últimos tempos, a popularidade dos QR Codes cresceu, especialmente em locais públicos, onde muitos usuários os escaneiam em busca de conteúdos divertidos. No entanto, essa prática pode ser extremamente arriscada. Cibercriminosos estão utilizando QR Codes falsos para aplicar golpes, como phishing, que visam roubar dados pessoais e financeiros. Um exemplo comum é o uso de QR Codes que prometem ‘Wi-Fi Grátis’, mas que redirecionam os usuários para sites fraudulentos que imitam páginas legítimas, capturando informações sensíveis. Além disso, os golpistas podem induzir vítimas a realizar transferências financeiras erradas por meio de códigos falsos, como no caso do golpe do Pix. Outro risco é a instalação de malwares, que podem comprometer dispositivos móveis ao baixar arquivos maliciosos. Os QR Codes também podem conectar usuários a redes Wi-Fi maliciosas, permitindo que criminosos monitorem o tráfego de dados. Por fim, mesmo que menos grave, o direcionamento para conteúdos impróprios pode causar constrangimento. Portanto, é fundamental ter cautela ao escanear QR Codes desconhecidos, especialmente em ambientes públicos.

O grupo de ameaças conhecido como UNC6384, associado à China, está vinculado a uma nova onda de ataques que exploram uma vulnerabilidade não corrigida em atalhos do Windows, visando entidades diplomáticas e governamentais na Europa entre setembro e outubro de 2025. Os ataques foram direcionados a organizações diplomáticas na Hungria, Bélgica, Itália e Países Baixos, além de agências governamentais na Sérvia. A cadeia de ataque começa com e-mails de spear-phishing que contêm URLs maliciosas, levando à entrega de arquivos LNK que exploram a vulnerabilidade ZDI-CAN-25373, identificada como CVE-2025-9491. Esses arquivos são projetados para desencadear uma sequência de ataques que culminam na implantação do malware PlugX, um trojan de acesso remoto. O PlugX é conhecido por suas capacidades de acesso remoto, incluindo execução de comandos, registro de teclas e upload/download de arquivos. A evolução do malware foi observada, com a redução do tamanho dos artefatos de 700 KB para 4 KB, indicando um desenvolvimento ativo. A campanha se alinha com os interesses estratégicos da China em relação à coesão das alianças europeias e iniciativas de defesa.

Pesquisadores de segurança descobriram uma sofisticada campanha de phishing multilíngue que visa organizações governamentais e financeiras na Ásia Oriental e Sudeste Asiático. A campanha utiliza arquivos ZIP como iscas, entregues por meio de páginas de phishing em três idiomas: chinês, inglês e japonês. A análise técnica revelou 28 páginas de phishing interconectadas, todas com scripts de backend idênticos, operando a partir de uma infraestrutura automatizada centralizada. Os atacantes, originários de Taiwan e China continental, expandiram suas operações para o Japão, Indonésia, Malásia, Tailândia e Camboja, indicando um alvo coordenado em múltiplas jurisdições. Os arquivos ZIP têm nomes enganosos adaptados a cada região, como “Lista de Faturas Fiscais” em chinês e “Documentos de Declaração de Impostos” em inglês. A campanha representa uma evolução nas táticas de ataque, passando de ondas de phishing localizadas para uma abordagem regionalizada, capaz de atingir simultaneamente públicos multilíngues. Especialistas recomendam que organizações bloqueiem domínios maliciosos e implementem detecções em gateways de e-mail para arquivos ZIP com temas financeiros ou governamentais.

O Google anunciou que suas defesas contra fraudes em Android protegem usuários globalmente, bloqueando mais de 10 bilhões de chamadas e mensagens suspeitas mensalmente. A empresa impediu que mais de 100 milhões de números suspeitos utilizassem os Serviços de Comunicação Ricos (RCS), evitando que fraudes fossem enviadas. Recentemente, o Google implementou links mais seguros no aplicativo Google Messages, alertando os usuários sobre URLs em mensagens marcadas como spam. A análise de relatórios de usuários revelou que fraudes de emprego são as mais comuns, seguidas por golpes financeiros relacionados a contas falsas e esquemas de investimento. O Google também observou um aumento em mensagens fraudulentas enviadas em grupos, o que pode tornar as fraudes menos suspeitas. As mensagens fraudulentas seguem um padrão de envio, com picos de atividade nas manhãs de segunda-feira. Os golpistas utilizam táticas como ‘Spray and Pray’ e ‘Bait and Wait’ para enganar as vítimas, e a operação é apoiada por fornecedores que oferecem serviços de envio em massa. O cenário de mensagens fraudulentas é volátil, com golpistas mudando constantemente de estratégia para evitar a detecção.

O Lampion Stealer, um trojan bancário desenvolvido por atores de ameaça brasileiros, evoluiu suas táticas de infecção ao incorporar a técnica de engenharia social conhecida como ClickFix. Desde junho de 2024, essa campanha tem demonstrado capacidades sofisticadas de evasão, visando usuários de língua portuguesa e resultando em dezenas de novas infecções diariamente. A campanha utiliza contas de e-mail comprometidas para enviar mensagens de phishing que se disfarçam como recibos de transferências bancárias. Os e-mails contêm anexos ZIP que iniciam uma cadeia de infecção em múltiplas etapas, projetada para implantar um malware que rouba credenciais. A técnica ClickFix substitui links maliciosos tradicionais, levando as vítimas a executar comandos no Windows que baixam e executam scripts maliciosos. O malware coleta informações sensíveis, como credenciais bancárias portuguesas, e utiliza uma infraestrutura distribuída para evitar a detecção. A taxa de detecção permanece baixa, com os arquivos iniciais apresentando zero detecções em ferramentas de segurança. Essa evolução nas táticas de ataque destaca a necessidade de vigilância constante e de medidas de segurança robustas para proteger os usuários contra essas ameaças.

O cenário de cibersegurança está em constante evolução, com atacantes focando em alvos de alto impacto e explorando novas vulnerabilidades. Recentemente, o Hijack Loader foi utilizado em campanhas de phishing na América Latina, especificamente na Colômbia, onde e-mails falsos relacionados ao escritório do Procurador Geral foram enviados para disseminar o PureHVNC RAT. Além disso, um ex-empregado de um contratante de defesa dos EUA foi condenado por vender segredos comerciais a um corretor russo, recebendo pagamentos em criptomoedas. A Europol alertou sobre o aumento da fraude global impulsionada por chamadas com identificação falsa, que causam perdas estimadas em 850 milhões de euros anualmente. Em resposta a essas ameaças, o Google anunciou que o Chrome passará a usar HTTPS como padrão a partir de abril de 2026, visando aumentar a segurança dos usuários. Por fim, uma avaliação da segurança cibernética do setor energético dos EUA revelou uma exposição significativa à internet, com quase 40 mil hosts vulneráveis. Esses eventos destacam a necessidade urgente de ações proativas por parte das organizações para proteger seus ativos digitais.

Pesquisadores da SquareX alertam sobre um novo vetor de ataque que utiliza extensões maliciosas para criar barras laterais falsas em navegadores. Essas barras laterais imitam assistentes de IA legítimos e podem capturar informações sensíveis, como senhas e tokens de autenticação, sem que o usuário perceba. O ataque se dá através da injeção de JavaScript nas páginas da web, permitindo que a interface falsa sobreponha a verdadeira, dificultando a detecção. Os especialistas destacam que muitas extensões solicitam permissões amplas, como acesso a hosts e armazenamento, o que torna a análise de permissões uma estratégia de detecção menos eficaz. A crescente popularidade de navegadores com assistentes de IA pode aumentar a superfície de ataque, tornando a segurança mais desafiadora. Os usuários são aconselhados a tratar esses assistentes como recursos experimentais e evitar o manuseio de dados sensíveis. As equipes de segurança devem implementar controles mais rigorosos sobre extensões e monitorar atividades anômalas para mitigar riscos. O artigo enfatiza a necessidade de verificações de integridade da interface e uma melhor orientação sobre o uso aceitável dessas ferramentas.

Um novo relatório da Group-IB revela que criminosos cibernéticos estão utilizando plataformas de negociação falsas para roubar fundos de investidores desavisados na Ásia. Essas plataformas, que imitam exchanges de criptomoedas e forex, empregam táticas avançadas de engenharia social e uma infraestrutura compartilhada para sistematizar a vitimização em massa. A pesquisa indica que os atores de ameaça mantêm uma infraestrutura centralizada que suporta múltiplos domínios fraudulentos, evidenciada por endpoints de API recorrentes e certificados SSL compartilhados. O fluxo de manipulação das vítimas, desde o primeiro contato até a extração de fundos, é meticulosamente organizado, com um operador principal supervisionando equipes especializadas. Apesar de esforços de fiscalização, como a implementação da Circular 17/2024 no Vietnã, que exige verificação biométrica mais rigorosa, os mercados negros estão respondendo com a venda de dados de identidade roubados e documentos falsificados. A integração de IA generativa nas operações de fraude representa uma nova ameaça, potencialmente automatizando iscas personalizadas em larga escala. O cenário sugere que redes de fraude transnacionais ainda operam em grande escala, desafiando as investigações das autoridades.

A IBM X-Force identificou uma campanha de phishing coordenada que visou usuários colombianos entre agosto e outubro de 2025. Os atacantes utilizaram comunicações judiciais falsificadas para distribuir o Trojan de Acesso Remoto (RAT) PureHVNC por meio do carregador de malware Hijackloader. Essa campanha é significativa, pois representa a primeira vez que o PureHVNC foi direcionado a usuários de língua espanhola e a primeira campanha do Hijackloader focada especificamente em vítimas da América Latina.

O artigo aborda os desafios enfrentados por equipes de segurança em startups em crescimento rápido, especialmente no contexto do Google Workspace. A principal missão é proteger a organização sem comprometer a agilidade dos negócios. O Google Workspace, embora ofereça uma base sólida de segurança, requer configurações adequadas e monitoramento constante para evitar brechas. O texto destaca práticas essenciais, como a implementação de autenticação multifator (MFA), o endurecimento do acesso administrativo, a configuração de compartilhamento seguro e o controle de acesso a aplicativos OAuth. Além disso, enfatiza a importância de proteger o e-mail contra ameaças, monitorar tentativas de invasão e entender os dados sensíveis armazenados. O artigo também menciona que, apesar das ferramentas nativas de segurança, ainda existem lacunas que podem ser preenchidas por soluções adicionais, como a Material Security, que oferece proteção avançada contra phishing e detecção de contas comprometidas. A abordagem sugere um equilíbrio entre colaboração e controle, permitindo que as equipes de segurança mantenham a produtividade enquanto protegem os dados da empresa.

Recentemente, o grupo de ameaças cibernéticas associado à Coreia do Norte, conhecido como Lazarus Group, tem direcionado suas atividades para os setores de Web3 e blockchain através de duas campanhas chamadas GhostCall e GhostHire. De acordo com a Kaspersky, essas operações fazem parte de uma iniciativa mais ampla chamada SnatchCrypto, que está em andamento desde 2017. A campanha GhostCall foca em dispositivos macOS de executivos de empresas de tecnologia e capital de risco, utilizando táticas de engenharia social via Telegram para convidar as vítimas a reuniões de investimento em sites de phishing que imitam plataformas como Zoom. Já a GhostHire visa desenvolvedores Web3, induzindo-os a baixar repositórios maliciosos do GitHub sob o pretexto de avaliações de habilidades. Ambas as campanhas têm mostrado um aumento na atividade desde 2023, com um foco particular em países como Japão, Itália e Austrália. As técnicas utilizadas incluem a instalação de malwares sofisticados que podem roubar credenciais e dados sensíveis, representando um risco significativo para as organizações afetadas.

Um novo relatório da Group-IB Threat Intelligence revelou uma campanha de espionagem sofisticada conduzida pelo grupo MuddyWater, vinculado ao Irã, que está atacando mais de 100 organizações governamentais e internacionais em todo o mundo. A operação utiliza contas de e-mail comprometidas acessadas através de um nó de saída do NordVPN na França para distribuir documentos maliciosos do Microsoft Word que contêm o malware Phoenix backdoor versão 4. Essa campanha de phishing sofisticada explora técnicas de engenharia social, levando os destinatários a ativar macros para visualizar o conteúdo, o que contorna os filtros de segurança convencionais.

Pesquisadores de segurança identificaram uma nova técnica sofisticada de phishing, onde cibercriminosos inserem caracteres Unicode invisíveis nas linhas de assunto de e-mails para evitar sistemas de detecção automatizados. Essa evolução de um método de evasão bem documentado representa uma escalada preocupante nas campanhas de phishing que visam organizações em todo o mundo.

A técnica envolve a inserção de caracteres de hífen suave (Unicode U+00AD) entre letras nas linhas de assunto, utilizando o formato MIME especificado na RFC 2047. Quando visualizados em clientes de e-mail como o Microsoft Outlook, esses caracteres permanecem ocultos, dificultando a identificação de palavras-chave que normalmente seriam sinalizadas como suspeitas. Um exemplo analisado teve a linha de assunto codificada como “=?UTF-8?B?WcKtb3XCrXIgUMKtYXPCrXN3wq1vwq1yZCBpwq1zIEHCrWLCrW91dCA=?=”, que se decodificou para “Sua Senha Está Prestes a Expirar”.

O grupo de cibercriminosos Gamaredon, conhecido por atacar agências governamentais da Europa Oriental, iniciou uma nova campanha de phishing que explora uma vulnerabilidade crítica no WinRAR, identificada como CVE-2025-8088. Essa falha permite que atacantes contornem controles de segurança e extraiam arquivos maliciosos para locais arbitrários do sistema sem interação do usuário, além de abrir um arquivo PDF aparentemente inofensivo.

A técnica utilizada é sofisticada: os atacantes criam arquivos RAR armados que contêm um PDF legítimo e um arquivo HTA malicioso. Ao interagir com o arquivo, a vulnerabilidade é ativada, permitindo que o malware seja depositado silenciosamente na pasta de inicialização do Windows, garantindo sua persistência e execução após a reinicialização do sistema.

Em setembro de 2025, uma nova campanha de ciberespionagem, atribuída ao grupo SideWinder, visou uma embaixada europeia em Nova Délhi e diversas organizações em Sri Lanka, Paquistão e Bangladesh. Os ataques, que ocorreram em quatro ondas de phishing entre março e setembro, utilizam uma cadeia de infecção baseada em arquivos PDF e ClickOnce, além de vetores de exploração do Microsoft Word. Os e-mails de phishing continham documentos maliciosos com títulos como ‘Credenciais da reunião interministerial.pdf’, disfarçados para parecerem legítimos. Ao abrir os arquivos, os usuários eram induzidos a baixar um aplicativo que, na verdade, instalava um DLL malicioso, o DEVOBJ.dll, que carregava o malware StealerBot. Este malware é capaz de coletar informações sensíveis, como senhas e capturas de tela. A evolução das técnicas de ataque do SideWinder demonstra sua adaptabilidade e sofisticação, refletindo um entendimento profundo dos contextos geopolíticos. A utilização de malware personalizado e a exploração de aplicações legítimas para evasão de segurança reforçam a necessidade de vigilância constante por parte das organizações.

Um estudo da Check Point Research revelou a existência de uma rede maliciosa no YouTube, chamada de ‘YouTube Ghost Network’, que tem como objetivo disseminar malwares através de vídeos. Desde 2021, mais de 3.000 vídeos foram publicados, e a atividade aumentou significativamente em 2025, com um volume de publicações que triplicou desde o início do ano. Os hackers utilizam contas legítimas invadidas ou criam novas para publicar vídeos que, à primeira vista, parecem tutoriais, mas que na verdade direcionam os usuários para sites de download de malwares. Os vídeos incluem links que levam a plataformas como Mediafire e Dropbox, onde os usuários podem inadvertidamente baixar softwares maliciosos como Lumma Stealer e Rhadamanthys. A operação é complexa, com diferentes tipos de contas que desempenham papéis variados, como a publicação de vídeos e a interação com comentários e likes, para dar legitimidade ao conteúdo. Apesar da remoção de muitos vídeos pela Google, a rede continua ativa e em evolução, evidenciando a exploração das táticas de engajamento da plataforma para enganar os usuários.

O cenário de cibersegurança continua a se deteriorar, com novas ameaças emergindo constantemente. Recentemente, uma vulnerabilidade crítica no Windows Server Update Service (WSUS), identificada como CVE-2025-59287, foi explorada ativamente por cibercriminosos, permitindo a execução remota de código em sistemas afetados. Essa falha, com um CVSS de 9.8, foi corrigida pela Microsoft, mas já está sendo utilizada para implantar malware em máquinas vulneráveis.

Além disso, uma rede maliciosa no YouTube tem promovido vídeos que direcionam usuários para downloads de malware, com um aumento significativo na quantidade de vídeos desde o início do ano. Outro ataque notável é o da campanha “Dream Job”, atribuída ao grupo Lazarus da Coreia do Norte, que visa empresas do setor de defesa na Europa, enviando e-mails fraudulentos que disfarçam ofertas de emprego.

O descarte incorreto de etiquetas de encomendas pode ser uma vulnerabilidade significativa em cibersegurança, conforme alerta Daniel Barbosa, pesquisador da ESET. Informações sensíveis, como nome completo, endereço e detalhes da compra, podem ser exploradas por criminosos para aplicar golpes, como engenharia social e phishing. Os golpistas podem se passar por representantes de empresas para coletar mais dados ou enviar arquivos maliciosos disfarçados de documentos legítimos. Para evitar esses riscos, é essencial descartar adequadamente documentos que contenham informações pessoais. Barbosa sugere técnicas como borrar informações em papel comum ou utilizar calor em papel térmico para torná-las ilegíveis. A conscientização sobre a segurança das mídias físicas é crucial, pois elas podem facilitar o acesso a dados que, se expostos na internet, seriam considerados críticos. Portanto, a proteção deve ser abrangente, considerando tanto o ambiente digital quanto o físico.

Um novo relatório do Google Threat Intelligence Group (GTIG) revelou uma campanha cibernética de criminosos vietnamitas, identificada como UNC6229, que utiliza anúncios de emprego falsos para comprometer profissionais de marketing digital e sequestrar contas corporativas de publicidade. Os atacantes empregam táticas avançadas de engenharia social e entrega de malware, infiltrando-se em ambientes empresariais através de dispositivos pessoais e credenciais online das vítimas.

Os golpistas publicam vagas fraudulentas em plataformas legítimas, como LinkedIn, e em sites controlados por eles, atraindo candidatos desavisados. Após a aplicação, coletam informações pessoais que são utilizadas para ataques de phishing personalizados ou distribuição de malware. As técnicas incluem o envio de arquivos ZIP protegidos por senha que, ao serem abertos, instalam trojans de acesso remoto (RATs) ou redirecionam as vítimas para portais de login falsos que imitam serviços corporativos, capturando credenciais mesmo com autenticação multifatorial.

Uma nova pesquisa da Palo Alto Networks revela que um grupo ligado à China, conhecido como Smishing Triad, está por trás de uma campanha de smishing em larga escala, que já registrou mais de 194 mil domínios maliciosos desde janeiro de 2024. Esses domínios, registrados por meio de um registrador baseado em Hong Kong, utilizam servidores de nomes chineses, mas a infraestrutura de ataque está predominantemente hospedada em serviços de nuvem dos EUA. A campanha visa enganar usuários com mensagens fraudulentas sobre violações de pedágio e entregas de pacotes, levando-os a fornecer informações sensíveis. Nos últimos três anos, os atacantes conseguiram lucrar mais de 1 bilhão de dólares. Além disso, a pesquisa indica um aumento significativo no uso de kits de phishing para atacar contas de corretoras, com um crescimento de cinco vezes no segundo trimestre de 2025 em comparação ao ano anterior. A análise também mostra que a maioria dos domínios tem uma vida útil curta, o que sugere uma estratégia de evasão de detecção. O USPS é o serviço mais imitado, com 28.045 domínios dedicados a fraudes. Essa campanha representa uma ameaça global e descentralizada, exigindo atenção urgente das organizações.

Pesquisadores de segurança da Proofpoint desenvolveram uma ferramenta inovadora de código aberto chamada PDF Object Hashing, que auxilia equipes de segurança na detecção e rastreamento de arquivos maliciosos disfarçados como documentos PDF. Disponível no GitHub, essa ferramenta representa um avanço significativo na identificação de documentos suspeitos frequentemente utilizados em campanhas de phishing, distribuição de malware e ataques de comprometimento de e-mail corporativo.

Os PDFs se tornaram a escolha preferida dos cibercriminosos, pois parecem legítimos para os usuários comuns. Os atacantes frequentemente enviam PDFs contendo URLs maliciosas, códigos QR ou informações bancárias falsas para enganar as pessoas. No entanto, ferramentas de segurança tradicionais costumam falhar em detectar essas ameaças, uma vez que os PDFs podem ser modificados de várias maneiras, mantendo a aparência idêntica para os usuários.

Uma rede maliciosa de contas do YouTube, chamada de YouTube Ghost Network, tem sido utilizada para publicar e promover vídeos que levam a downloads de malware. Desde 2021, essa rede já publicou mais de 3.000 vídeos maliciosos, com um aumento significativo no número de publicações desde o início de 2025. Os vídeos, que frequentemente abordam softwares pirateados e cheats de jogos como Roblox, são projetados para infectar usuários desavisados com malware do tipo stealer. A operação se aproveita da confiança dos usuários em plataformas populares, utilizando métricas como visualizações e comentários para dar uma falsa sensação de segurança. A maioria das contas comprometidas é utilizada para carregar vídeos de phishing, enquanto outras promovem mensagens que direcionam para links maliciosos. O Google já removeu uma parte significativa desses conteúdos, mas a estrutura modular da rede permite que novas contas sejam rapidamente criadas para substituir as banidas, mantendo a operação ativa. Entre os malwares distribuídos estão variantes como Lumma Stealer e Rhadamanthys Stealer, que têm como alvo informações sensíveis dos usuários. Essa situação destaca a crescente sofisticação das táticas de distribuição de malware, que agora utilizam plataformas legítimas para enganar os usuários.

Um grupo de hackers vinculado ao Paquistão, conhecido como Transparent Tribe (APT36), tem realizado ataques de spear-phishing direcionados a entidades governamentais indianas, utilizando um malware baseado em Golang chamado DeskRAT. As atividades foram observadas entre agosto e setembro de 2025 e envolvem o envio de e-mails de phishing com anexos ZIP ou links para arquivos em serviços de nuvem legítimos, como Google Drive. O malware é projetado para operar em sistemas Linux, especificamente o BOSS (Bharat Operating System Solutions), e permite o controle remoto através de WebSockets. O DeskRAT possui múltiplos métodos de persistência e comandos para coletar informações, como listar diretórios e enviar arquivos. Além disso, a campanha se expandiu para incluir variantes do malware que atacam sistemas Windows, mostrando um foco cross-platform. A crescente sofisticação das operações do grupo, que utiliza servidores dedicados para distribuição de malware, destaca a evolução das ameaças cibernéticas na região da Ásia-Pacífico, com implicações potenciais para a segurança de dados e conformidade com a LGPD no Brasil.

Pesquisadores da Palo Alto Networks identificaram um grupo hacker chamado Jingle Thief, que tem como alvo empresas do varejo e serviços ao consumidor, focando na fraude de vale-presentes. Após invadir os sistemas, os cibercriminosos buscam obter acesso para emitir vale-presentes sem autorização, que são posteriormente vendidos no mercado cinza, dificultando a rastreabilidade. O grupo, que se destaca especialmente durante a temporada de festas, é associado a outras organizações criminosas e tem demonstrado a capacidade de manter acesso aos sistemas das vítimas por longos períodos, chegando a 10 meses. Utilizando técnicas como phishing e smishing, os hackers conseguem acessar credenciais de serviços como Microsoft 365 e SharePoint, além de roubar informações financeiras. A situação é alarmante, pois os invasores criam regras de e-mail para redirecionar comunicações e utilizam aplicativos clandestinos para contornar autenticação em dois fatores, aumentando a dificuldade de detecção. A atividade dos Jingle Thieves representa uma ameaça significativa para empresas brasileiras, especialmente em um cenário onde a segurança digital é cada vez mais crítica.

Um coletivo de hackers marroquinos, conhecido como Atlas Lion, tem atacado empresas que emitem cartões-presente, utilizando técnicas de phishing para infiltrar seus sistemas. A campanha, chamada de ‘Jingle Thief’, é mais ativa durante a temporada de festas. Os atacantes realizam um mapeamento detalhado da infraestrutura de TI das empresas, focando em plataformas como SharePoint e OneDrive, antes de se passarem por funcionários autorizados para solicitar ou aprovar transações de cartões-presente. Essa abordagem evita o uso de malware, o que poderia acionar alarmes de segurança. Os cartões-presente são alvos atrativos para cibercriminosos, pois são rápidos, fungíveis e difíceis de rastrear, permitindo que os criminosos os revendam facilmente no mercado negro. A pesquisa da Unit 42, da Palo Alto Networks, revelou que os hackers mantiveram acesso aos sistemas por quase um ano, comprometendo mais de 60 contas de usuários em uma única empresa global. Embora o valor total roubado não tenha sido divulgado, a natureza dos cartões-presente torna a recuperação e a atribuição de responsabilidade extremamente desafiadoras.

O grupo de ameaças persistentes avançadas (APT) MuddyWater, vinculado ao Irã, lançou uma operação de ciberespionagem sofisticada utilizando um novo toolkit de malware. A campanha, atribuída com alta confiança pela Group-IB Threat Intelligence, envolve o uso do backdoor Phoenix v4, ferramentas personalizadas e software legítimo de monitoramento remoto. O ataque começou com o acesso a uma caixa de correio comprometida via NordVPN, permitindo a distribuição de e-mails maliciosos que pareciam legítimos. Esses e-mails continham anexos do Microsoft Word que, ao terem suas macros ativadas, executavam um código VBA embutido, que por sua vez injetava o backdoor no sistema. O Phoenix v4 estabelece comunicação remota e coleta dados do sistema, mantendo-se ativo mesmo após reinicializações. A operação visou mais de 100 organizações governamentais e internacionais, destacando a crescente maturidade técnica do MuddyWater e a necessidade urgente de controles de defesa mais robustos, como a restrição de macros e o monitoramento de ferramentas de RMM. Os indicadores de comprometimento (IOCs) incluem domínios e hashes específicos, que podem ajudar na identificação de sistemas afetados.

Pesquisadores de cibersegurança identificaram um grupo de cibercriminosos chamado Jingle Thief, que tem como alvo ambientes de nuvem de organizações nos setores de varejo e serviços ao consumidor, visando fraudes com cartões-presente. Os atacantes utilizam técnicas de phishing e smishing para roubar credenciais e comprometer organizações que emitem esses cartões. Após obter acesso, eles buscam maximizar seu nível de acesso para emitir cartões não autorizados, que são revendidos em mercados paralelos, devido à sua natureza de difícil rastreamento.

Pesquisadores de cibersegurança revelaram uma campanha de spear-phishing chamada PhantomCaptcha, que visa organizações envolvidas em esforços de ajuda à Ucrânia. O ataque, ocorrido em 8 de outubro de 2025, afetou membros da Cruz Vermelha Internacional, do Conselho Norueguês para Refugiados, da UNICEF e administrações regionais ucranianas. Os e-mails de phishing se disfarçaram como comunicações do Escritório do Presidente da Ucrânia, contendo um PDF malicioso que redirecionava as vítimas para um site falso do Zoom. Ao clicar, os usuários eram induzidos a executar um comando PowerShell malicioso através de uma página falsa de verificação de navegador. O malware resultante, um trojan de acesso remoto (RAT) baseado em WebSocket, permite a execução de comandos remotos e exfiltração de dados. A infraestrutura do ataque foi registrada em março de 2025, demonstrando planejamento sofisticado. Embora não tenha sido atribuído a um grupo específico, a técnica utilizada tem semelhanças com ataques de grupos de hackers associados à Rússia. A campanha destaca a necessidade de vigilância contínua e medidas de segurança robustas para organizações que operam em contextos de crise.