Segurança Cibernética

O trabalho remoto, intensificado pela pandemia, trouxe à tona questões de segurança cibernética, mas não é o único responsável pelas brechas de dados. O artigo analisa como a combinação de falhas históricas, como credenciais expostas, controles fracos de terceiros e configurações inadequadas de serviços em nuvem, contribuiu para os incidentes de segurança em 2025. Embora o trabalho remoto tenha ampliado os riscos, ele não é o único fator. As investigações revelam que muitos ataques foram facilitados por erros humanos e vulnerabilidades em sistemas legados, independentemente da localização dos funcionários. Para mitigar esses riscos, os líderes empresariais devem priorizar a gestão de identidade, fortalecer a segurança de terceiros, corrigir desvios de configuração e medir métricas relevantes. O foco deve ser em sistemas e processos, em vez de culpar o trabalho remoto, para garantir uma abordagem mais eficaz na segurança cibernética.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre duas vulnerabilidades críticas nos firewalls da Cisco, identificadas como CVE-2025-20333 e CVE-2025-20362. Essas falhas, descobertas em setembro de 2025, estão sendo ativamente exploradas por grupos de ataque, incluindo a campanha ArcaneDoor, que tem como alvo redes governamentais. Apesar das diretrizes de emergência da CISA, que exigiam que as agências federais aplicassem patches em 24 horas, mais de 32.000 dispositivos ainda permanecem vulneráveis. A CISA observou que várias organizações acreditavam ter aplicado as atualizações necessárias, mas não o fizeram corretamente, o que as deixou expostas a ataques de malware e ransomware. A Cisco já havia alertado que as falhas eram exploradas como zero-days, afetando dispositivos da série 5500-X com serviços web habilitados. A CISA recomenda que todas as organizações verifiquem se as atualizações corretas foram aplicadas e sugere ações adicionais para mitigar os riscos em dispositivos ainda não atualizados.

Um novo relatório da CISA (Agência de Segurança Cibernética e Infraestrutura) revela que o grupo de ransomware Akira impactou mais de 250 organizações na América do Norte, Europa e Austrália desde março de 2023, coletando cerca de 42 milhões de dólares em resgates. O grupo, que visa principalmente pequenas e médias empresas, também comprometeu grandes organizações em setores críticos como manufatura, educação, TI, saúde, serviços financeiros e agricultura. O modelo de extorsão dupla utilizado pelo Akira envolve a exfiltração de dados sensíveis antes de criptografar os arquivos das vítimas, ameaçando vazamentos públicos caso o pagamento não seja feito. Desde abril de 2023, o Akira expandiu suas operações para incluir variantes que atacam sistemas Linux, demonstrando uma evolução técnica significativa. As táticas de ataque incluem a exploração de vulnerabilidades em produtos VPN não corrigidos, phishing direcionado e ataques de força bruta. A CISA recomenda que as organizações priorizem a correção de vulnerabilidades conhecidas, implementem autenticação multifator resistente a phishing e mantenham backups offline testados. O impacto do Akira ressalta a necessidade urgente de aprimorar a detecção de ameaças e preparar planos de resposta abrangentes.

Uma vulnerabilidade crítica de execução remota de código foi descoberta e corrigida no Imunify360 AV, um produto de segurança que protege aproximadamente 56 milhões de websites em todo o mundo. A falha, identificada em versões anteriores à v32.7.4.0, permite que atacantes executem comandos arbitrários em servidores vulneráveis, comprometendo completamente o ambiente de hospedagem. A vulnerabilidade se origina de uma lógica de desofuscação defeituosa que processa funções não confiáveis e cargas úteis extraídas de amostras de malware fornecidas por atacantes. O Imunify360 AV, que opera com privilégios de root por padrão, aumenta os riscos de escalonamento em ambientes de hospedagem compartilhada. A empresa-mãe, CloudLinux, não emitiu um aviso oficial sobre a segurança, embora a gravidade do problema tenha sido documentada em seu portal de suporte. Administradores que utilizam versões afetadas devem aplicar atualizações de segurança imediatamente ou, se não for possível, restringir o ambiente de execução. Este é o segundo incidente crítico de RCE no Imunify360, seguindo um evento semelhante em 2021.

A cibersabotagem, especialmente por governos autoritários, está se tornando uma preocupação global crescente, conforme destacado por Mike Burgess, diretor-geral da Organização Australiana de Inteligência de Segurança (ASIO). Em um discurso recente, Burgess alertou sobre a disposição de regimes totalitários em utilizar técnicas de cibersabotagem para interromper ou destruir infraestruturas críticas, como redes de telecomunicação e sistemas financeiros. Ele mencionou que incidentes recentes na Austrália, que resultaram em interrupções significativas, podem ter consequências fatais, como a morte de três pessoas.

A criptografia é fundamental para a segurança digital, protegendo dados sensíveis contra acessos não autorizados. No entanto, a ascensão dos computadores quânticos representa um desafio significativo para os métodos tradicionais de criptografia, como RSA e ECC, que se baseiam em problemas matemáticos complexos. Esses computadores têm a capacidade de resolver esses problemas de forma muito mais eficiente, o que pode comprometer a segurança de dados criptografados. Especialistas preveem que computadores quânticos funcionais poderão estar disponíveis em até dez anos, levando a um cenário preocupante onde atacantes coletam dados criptografados na expectativa de decifrá-los no futuro.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre uma vulnerabilidade crítica no firewall WatchGuard Firebox, identificada como CVE-2025-9242. Essa falha, classificada como um erro de gravação fora dos limites (out-of-bounds write), permite que atacantes remotos e não autenticados explorem a vulnerabilidade sem necessidade de credenciais. A exploração dessa falha pode resultar em controle total sobre os dispositivos afetados, comprometendo a segurança da rede. A CISA incluiu essa vulnerabilidade em seu catálogo de Vulnerabilidades Conhecidas Exploited (KEV) após a confirmação de sua exploração ativa. A agência estabeleceu um prazo rigoroso até 3 de dezembro de 2025 para que as organizações implementem correções, enfatizando a urgência da situação. As organizações são aconselhadas a verificar a disponibilidade de patches e a revisar logs de firewall em busca de atividades suspeitas. Embora não tenham sido relatadas campanhas de ransomware explorando essa vulnerabilidade até o momento, a CISA alerta que a ausência de ataques não deve ser interpretada como segurança. A falha representa um risco significativo para a integridade da rede e a proteção de dados sensíveis.

Pesquisadores estão observando um aumento nas campanhas de malware para macOS que utilizam arquivos AppleScript (.scpt) para entregar stealer e instaladores de atualizações falsas disfarçados como documentos de escritório legítimos ou atualizações do Zoom e Microsoft Teams. Essa técnica, anteriormente associada a operações de APT que visavam o macOS, agora está sendo reaproveitada por famílias de malware como MacSync e Odyssey Stealer. Após a remoção, em agosto de 2024, da opção de contornar o Gatekeeper com o ‘clique direito e abrir’, os atacantes têm experimentado novos métodos de interação com o usuário para executar códigos maliciosos. Os arquivos .scpt maliciosos são abertos pelo Script Editor.app, permitindo que os atacantes ocultem o código malicioso em comentários, levando as vítimas a executar comandos prejudiciais sem perceber. Exemplos recentes incluem documentos falsos e scripts de atualização que, ao serem abertos, podem buscar cargas secundárias ou executar comandos ocultos. A detecção de malware por antivírus tradicionais é inconsistente, e recomenda-se que os defensores monitorem as execuções iniciadas pelo Script Editor.app e tratem arquivos com extensões suspeitas como .docx.scpt e .pptx.scpt com cautela. Para mitigar esses riscos, sugere-se alterar o manipulador padrão para editores não executáveis como o TextEdit.

Uma nova campanha de phishing está explorando a infraestrutura confiável do Facebook para roubar credenciais de negócios em larga escala. Pesquisadores da Check Point descobriram que atacantes estão utilizando o domínio facebookmail.com e o recurso de convite do Meta Business Suite para enviar dezenas de milhares de e-mails de phishing convincentes, conseguindo contornar filtros de segurança tradicionais. Os e-mails, que parecem notificações legítimas do Meta, têm linhas de assunto urgentes como ‘Convite de Parceiro da Meta’ e são enviados de endereços autênticos, eliminando um dos principais sinais de alerta para os usuários.

A Synology divulgou uma atualização crítica para corrigir uma vulnerabilidade severa no BeeStation OS, identificada durante o evento PWN2OWN 2025. A falha, classificada como CVE-2025-12686, permite que atacantes remotos executem código arbitrário sem necessidade de autenticação ou interação do usuário, representando uma ameaça imediata para os dispositivos afetados. Essa vulnerabilidade é resultado de uma fraqueza de buffer overflow no sistema operacional, que possibilita a violação de limites de rede e a comprometimento de sistemas. Com uma pontuação CVSS de 9.8, a vulnerabilidade exige ação imediata dos usuários, pois a exploração bem-sucedida concede controle total sobre os sistemas BeeStation, permitindo o roubo de dados sensíveis e a movimentação lateral na rede. Todas as versões do BeeStation OS, de 1.0 a 1.3, estão vulneráveis, e a Synology recomenda que os usuários atualizem para a versão 1.3.2-65648 ou superior. A atualização unificada corrige a falha em todas as versões afetadas, e é crucial que os usuários verifiquem imediatamente a versão do seu sistema e apliquem o patch. Além disso, é aconselhável monitorar atividades suspeitas, especialmente se houver suspeita de comprometimento antes da atualização.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta urgente sobre uma vulnerabilidade crítica de execução remota de código (RCE) que afeta dispositivos móveis da Samsung. A falha, localizada na biblioteca libimagecodec.quram.so, permite que atacantes contornem restrições normais de memória e injetem código arbitrário nos dispositivos. Isso possibilita que invasores obtenham controle total sobre os smartphones afetados, sem necessidade de interação do usuário. A vulnerabilidade é classificada como CWE-787 (Escrita Fora dos Limites) e está sendo ativamente explorada em ataques, embora a extensão e os atores específicos ainda estejam sob investigação. A CISA recomenda que os usuários apliquem imediatamente os patches de segurança disponibilizados pela Samsung e, para aqueles que não puderem aplicar as atualizações, é aconselhável interromper o uso dos dispositivos afetados até que as correções estejam disponíveis. A Samsung foi notificada e deve liberar atualizações de segurança através de seus canais habituais. Este incidente ressalta os riscos contínuos associados à segurança de dispositivos móveis e a importância de manter os dispositivos atualizados.

Uma vulnerabilidade crítica de execução remota de código foi identificada na biblioteca de serialização de checkpoints do LangGraph, afetando versões anteriores à 3.0. Essa falha permite que atacantes executem código Python arbitrário por meio da desserialização de payloads maliciosos. O problema reside no componente JsonPlusSerializer, que é o protocolo de serialização padrão para operações de checkpoint. Quando a serialização msgpack falha devido a valores Unicode ilegais, o sistema muda automaticamente para o modo JSON, que permite a reconstrução de objetos personalizados sem a devida validação, criando uma superfície de ataque. A LangGraph lançou a versão 3.0.0, que corrige a vulnerabilidade implementando um sistema de lista de permissão para a desserialização de construtores, restringindo os caminhos de código permitidos. A atualização é compatível com versões anteriores e não requer modificações no código. Dada a gravidade da vulnerabilidade e a facilidade de exploração, a atualização imediata é essencial para as organizações que utilizam o LangGraph.

No episódio mais recente do Podcast Canaltech, os repórteres discutem as inovações apresentadas durante o AMD Partner Summit, um evento que reuniu parceiros e a mídia para discutir o futuro da AMD no Brasil. Sérgio Santos, diretor-geral da AMD Brasil, e Patrícia Martins, head da unidade de gráficos, destacaram o foco da empresa em inteligência artificial e inovação, além de suas expectativas de crescimento no mercado brasileiro. Matheus Barbosa, gerente de marketing da Gigabyte Brasil, também participou, abordando a parceria entre as duas empresas e as perspectivas para o mercado gamer até 2026. O podcast também trouxe à tona questões relevantes sobre segurança cibernética, como o vazamento de 40 milhões de downloads de vírus da Play Store e a prisão de um funcionário do Banco do Brasil por roubo de dados de clientes, ressaltando a importância da segurança digital em um cenário de crescente digitalização.

A equipe de pesquisa Gen Digital, da Norton, identificou uma falha crítica no ransomware Midnight, uma variante do malware Babuk, que permite a recuperação de arquivos criptografados sem a necessidade de pagamento de resgate. O ransomware Midnight utiliza uma combinação de encriptações ChaCha20 e RSA, mas um erro na implementação da chave RSA possibilitou a descriptografia parcial dos arquivos. Essa vulnerabilidade foi explorada pelos especialistas da Norton, que disponibilizaram uma chave de desencriptação gratuita para sistemas Windows, tanto 32-bit quanto 64-bit. Os arquivos afetados geralmente têm extensões .Midnight ou .endpoint e são acompanhados por uma nota de resgate. A Norton recomenda que os usuários mantenham backups para evitar a perda de dados durante o processo de recuperação. Essa descoberta é significativa, pois o ransomware Midnight representa uma ameaça crescente, herdando características do Babuk, que já havia causado estragos em 2021. A chave de desencriptação é uma ferramenta valiosa para as vítimas, permitindo que recuperem seus dados sem ceder à extorsão dos hackers.

O Google anunciou uma nova funcionalidade que permite que empresas listadas no Google Maps relatem tentativas de extorsão por parte de criminosos que publicam avaliações negativas falsas e exigem resgates para removê-las. Essa prática, conhecida como ‘review bombing’, visa prejudicar a reputação de negócios. Laurie Richardson, vice-presidente de Confiança e Segurança do Google, destacou que os golpistas inundam perfis de empresas com avaliações de uma estrela e, em seguida, contatam os proprietários para exigir pagamento, ameaçando escalar a situação caso não sejam atendidos. Além disso, o Google alertou sobre outros tipos de fraudes, como golpes de emprego online, fraudes relacionadas a produtos de IA, aplicativos VPN maliciosos e golpes de recuperação de fraudes. Os usuários são aconselhados a ter cautela ao receber mensagens inesperadas e a baixar aplicativos apenas de fontes confiáveis. O artigo também menciona que a Meta, controladora do Facebook, está enfrentando críticas por permitir que anúncios fraudulentos proliferem em sua plataforma, com estimativas de que esses anúncios possam representar até 10,1% de sua receita total. A situação destaca a necessidade de vigilância constante contra fraudes online e a importância de medidas proativas para proteger empresas e consumidores.

O grupo de cibercriminosos conhecido como Curly COMrades tem utilizado tecnologias de virtualização para contornar soluções de segurança e executar malware personalizado. De acordo com um relatório da Bitdefender, os atacantes ativaram o papel do Hyper-V em sistemas de vítimas selecionadas, implantando uma máquina virtual minimalista baseada em Alpine Linux. Essa configuração oculta, com um espaço em disco de apenas 120MB e 256MB de memória, hospedava um shell reverso chamado CurlyShell e um proxy reverso denominado CurlCat.

O grupo de ransomware Clop está em atividade com uma nova campanha de exploração, utilizando uma vulnerabilidade zero-day identificada no Oracle E-Business Suite (CVE-2025-61882). Essa falha, detectada em junho de 2025 e confirmada pela Oracle em outubro, permite que atacantes remotos acessem funções críticas de ERP, como compras e logística, sem autorização. Durante a investigação, foram identificados dois IPs de comando e controle, além de mais de 90 servidores ativos em diversos países, com a Alemanha apresentando o maior número de servidores. O Brasil, junto com Panamá e Hong Kong, também está entre os países afetados. A infraestrutura utilizada pelo Clop mostra uma continuidade operacional com campanhas anteriores, indicando uma estratégia de reutilização de infraestrutura para evitar bloqueios geopolíticos. Especialistas em segurança alertam que organizações que utilizam sistemas ERP, como o Oracle EBS, devem implementar monitoramento em nível de rede para essas sub-redes, já que a exploração de software empresarial não corrigido continua a ser uma prioridade para o grupo. A situação é crítica, e ações imediatas são recomendadas para mitigar riscos.

Recentemente, sensores de segurança na internet detectaram um aumento significativo em varreduras de rede direcionadas às portas TCP 8530 e 8531, indicando esforços de reconhecimento ativo por parte de hackers que buscam explorar a vulnerabilidade CVE-2025-59287, que afeta os Serviços de Atualização do Servidor Windows (WSUS). Essa vulnerabilidade permite que atacantes se conectem a servidores WSUS vulneráveis e executem scripts arbitrários, obtendo controle sobre o sistema comprometido. A atividade de escaneamento é proveniente de diversas fontes globais, incluindo IPs que não estão associados a iniciativas de pesquisa legítimas, sugerindo que os atacantes estão ativamente caçando servidores WSUS expostos na internet. A combinação de detalhes de exploração amplamente disponíveis e a exposição direta à internet torna as organizações que utilizam WSUS um alvo fácil. Especialistas recomendam que as empresas apliquem patches de segurança imediatamente e implementem restrições de rede para proteger sua infraestrutura de atualização. Além disso, é crucial que as organizações investiguem sinais de comprometimento em seus sistemas, considerando-os potencialmente violados até que se prove o contrário.

Pesquisadores de segurança da Sophos identificaram a exploração ativa de uma vulnerabilidade crítica nos Serviços de Atualização do Windows Server (WSUS), que permite a atores maliciosos coletar dados sensíveis de organizações sem necessidade de autenticação. A falha, classificada como CVE-2025-59287, foi amplamente explorada após a divulgação de detalhes técnicos e a liberação de patches pela Microsoft em 14 de outubro de 2025. A situação se agravou com a publicação de um código de prova de conceito no GitHub, resultando em uma onda de ataques coordenados contra servidores WSUS expostos à internet. Os ataques, que começaram em 24 de outubro de 2025, afetaram principalmente organizações nos setores de tecnologia, saúde, manufatura e educação, com pelo menos seis incidentes confirmados. Os atacantes utilizam um bug de desserialização para executar comandos PowerShell maliciosos, extraindo informações críticas como endereços IP externos e configurações de rede, que são então exfiltradas para URLs controladas pelos atacantes. Especialistas em segurança estão alertando as organizações para que apliquem imediatamente os patches disponíveis e restrinjam o acesso aos servidores WSUS expostos.

A Agência de Segurança Cibernética e de Infraestrutura (CISA), em parceria com a Agência de Segurança Nacional e aliados internacionais, lançou um guia abrangente de melhores práticas de segurança para fortalecer a infraestrutura dos servidores Microsoft Exchange. Este documento é essencial para organizações que buscam proteger seus ambientes Exchange locais contra ameaças sofisticadas. Os servidores Exchange são alvos valiosos para atacantes que buscam acesso não autorizado e a exfiltração de dados sensíveis. O guia enfatiza a importância da autenticação multifatorial (MFA) e do controle de acesso robusto como pilares fundamentais da segurança. Além disso, recomenda a implementação de protocolos de criptografia para proteger as comunicações de e-mail, tanto em trânsito quanto em repouso. Outro ponto crítico abordado é a manutenção de servidores Exchange legados durante migrações para a nuvem, que frequentemente ficam sem monitoramento adequado, tornando-se vulneráveis. A CISA sugere que as organizações desenvolvam planos de descomissionamento para essas infraestruturas obsoletas, eliminando pontos de entrada para atacantes e simplificando a segurança. O guia também lista várias vulnerabilidades críticas (CVE) que afetam versões do Exchange, destacando a necessidade urgente de ações corretivas.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma vulnerabilidade de alta severidade no catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), afetando o Broadcom VMware Tools e o VMware Aria Operations. Identificada como CVE-2025-41244, essa falha possui uma pontuação CVSS de 7.8 e permite que atacantes locais com privilégios não administrativos escalem suas permissões para nível root em sistemas vulneráveis. A CISA destacou que a exploração dessa vulnerabilidade pode ocorrer em máquinas virtuais (VMs) com VMware Tools instalados e geridos pelo Aria Operations, especialmente com o SDMP habilitado. A falha foi descoberta pela NVISO Labs e já estava sendo explorada como um zero-day desde outubro de 2024 por um ator de ameaça vinculado à China, identificado como UNC5174. Além disso, a CISA também listou uma vulnerabilidade crítica de injeção eval no XWiki, que permite a execução remota de código por usuários convidados. As agências do Federal Civilian Executive Branch (FCEB) devem implementar as mitig ações necessárias até 20 de novembro de 2025 para proteger suas redes contra essas ameaças.

O Lampion Stealer, um trojan bancário desenvolvido por atores de ameaça brasileiros, evoluiu suas táticas de infecção ao incorporar a técnica de engenharia social conhecida como ClickFix. Desde junho de 2024, essa campanha tem demonstrado capacidades sofisticadas de evasão, visando usuários de língua portuguesa e resultando em dezenas de novas infecções diariamente. A campanha utiliza contas de e-mail comprometidas para enviar mensagens de phishing que se disfarçam como recibos de transferências bancárias. Os e-mails contêm anexos ZIP que iniciam uma cadeia de infecção em múltiplas etapas, projetada para implantar um malware que rouba credenciais. A técnica ClickFix substitui links maliciosos tradicionais, levando as vítimas a executar comandos no Windows que baixam e executam scripts maliciosos. O malware coleta informações sensíveis, como credenciais bancárias portuguesas, e utiliza uma infraestrutura distribuída para evitar a detecção. A taxa de detecção permanece baixa, com os arquivos iniciais apresentando zero detecções em ferramentas de segurança. Essa evolução nas táticas de ataque destaca a necessidade de vigilância constante e de medidas de segurança robustas para proteger os usuários contra essas ameaças.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre a exploração ativa de uma vulnerabilidade crítica no Windows Server Update Service (WSUS), identificada como CVE-2025-59287. Essa falha permite que atacantes não autenticados executem código remotamente com privilégios de sistema, comprometendo a infraestrutura de milhões de servidores. A CISA atualizou suas diretrizes em 29 de outubro de 2025, recomendando que as organizações identifiquem servidores vulneráveis e apliquem imediatamente a atualização de segurança emergencial da Microsoft, lançada em 23 de outubro de 2025. Para aqueles que não conseguem aplicar os patches rapidamente, a CISA sugere desabilitar temporariamente o WSUS ou bloquear o tráfego para as portas padrão do WSUS. Além disso, as equipes de segurança devem monitorar tentativas de exploração e movimentos laterais dentro da rede, prestando atenção a processos suspeitos que possam indicar uma violação. A vulnerabilidade foi adicionada ao catálogo de Vulnerabilidades Conhecidas da CISA, confirmando a exploração ativa desde pelo menos 24 de outubro de 2025. A situação exige atenção imediata das organizações para evitar compromissos severos em suas operações.

A Apache Software Foundation divulgou duas vulnerabilidades críticas que afetam várias versões do Apache Tomcat, sendo uma delas uma falha de travessia de diretório que pode permitir a execução remota de código (RCE) em servidores vulneráveis. A vulnerabilidade mais grave, identificada como CVE-2025-55752, resulta de uma regressão introduzida ao corrigir um bug anterior. Essa falha permite que atacantes manipulem URIs de requisições através de URLs reescritas, contornando restrições de segurança que protegem diretórios sensíveis como /WEB-INF/ e /META-INF/. O risco se intensifica quando as requisições PUT estão habilitadas, permitindo o upload de arquivos maliciosos. A segunda vulnerabilidade, CVE-2025-55754, envolve a falha do Tomcat em escapar corretamente sequências de escape ANSI em mensagens de log, o que pode ser explorado para manipular a exibição do console em sistemas Windows. Ambas as vulnerabilidades afetam as versões 9, 10 e 11 do Apache Tomcat, e a Apache já lançou versões corrigidas. Administradores são aconselhados a atualizar imediatamente para evitar possíveis ataques.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta crítico sobre vulnerabilidades sérias no sistema TLS4B Automatic Tank Gauge da Veeder-Root, que podem permitir a execução de comandos de sistema por atacantes. Identificadas por pesquisadores da Bitsight, as falhas incluem uma injeção de comando (CVE-2025-58428) com uma pontuação CVSS de 9.9, que permite que atacantes remotos, utilizando credenciais válidas, executem comandos no sistema Linux subjacente. A segunda vulnerabilidade, relacionada a um estouro de inteiro (CVE-2025-55067), afeta o tratamento de valores de tempo Unix e pode causar falhas de autenticação e interrupções em funções críticas do sistema. A Veeder-Root já lançou uma versão corrigida (11.A) para a falha de injeção de comando, mas um conserto permanente para o estouro de inteiro ainda está em desenvolvimento. A CISA recomenda que as organizações atualizem imediatamente para a versão corrigida e adotem práticas de segurança de rede para minimizar a exposição à internet. Embora não haja exploração pública conhecida dessas vulnerabilidades até a data do alerta, a gravidade das falhas exige atenção urgente das organizações, especialmente no setor de energia, onde esses sistemas são amplamente utilizados.

A atualização do sistema operacional iOS 26 da Apple introduziu uma mudança significativa no funcionamento do arquivo shutdown.log, que pode ter consequências graves para a segurança dos dispositivos. Este arquivo, que anteriormente registrava atividades do sistema durante o desligamento, agora é sobrescrito a cada reinicialização, eliminando evidências cruciais de infecções por malwares sofisticados como Pegasus e Predator. Essa alteração pode ser vista como uma falha de design ou um bug, mas suas implicações são profundas, especialmente para usuários que podem ter sido infectados sem saber. Antes da atualização, pesquisadores de segurança podiam identificar indicadores de comprometimento através de anomalias nesse log, mas agora, com a remoção automática de dados históricos, dispositivos comprometidos se tornam indistinguíveis de sistemas limpos. A situação é alarmante, pois ataques de spyware continuam a atingir figuras de destaque globalmente. Para mitigar riscos, usuários são aconselhados a extrair e preservar dados do sysdiagnose antes de atualizar para o iOS 26, garantindo que informações sobre possíveis infecções sejam mantidas.

Uma falha crítica de segurança nos resolvers BIND 9 foi divulgada, permitindo que atacantes envenenem caches DNS e redirecionem o tráfego da internet para destinos maliciosos. A vulnerabilidade, identificada como CVE-2025-40778, afeta mais de 706 mil instâncias expostas em todo o mundo, conforme a empresa de escaneamento de internet Censys. Com uma pontuação CVSS de 8.6, a falha resulta do tratamento excessivamente permissivo de registros de recursos não solicitados nas respostas DNS. Isso permite que atacantes injetem dados falsificados sem precisar de acesso direto à rede. O Internet Systems Consortium (ISC), responsável pelo software BIND, recomendou que os administradores apliquem patches imediatamente, uma vez que a vulnerabilidade pode impactar significativamente empresas, provedores de internet e agências governamentais que dependem de resolvers recursivos. Embora não haja relatos de exploração ativa, a liberação pública de um exploit de prova de conceito no GitHub aumenta a urgência, fornecendo um modelo para ataques direcionados. O ISC sugere que organizações que não podem atualizar imediatamente restrinjam a recursão a clientes confiáveis e monitorem o conteúdo do cache em busca de anomalias.

No dia 24 de outubro de 2025, a Microsoft divulgou atualizações de segurança fora do ciclo regular para corrigir uma vulnerabilidade crítica no Windows Server Update Service (WSUS), identificada como CVE-2025-59287, com uma pontuação CVSS de 9.8. Essa falha permite a execução remota de código e já está sendo explorada ativamente na natureza, com um exploit de prova de conceito (PoC) disponível publicamente. A vulnerabilidade resulta da desserialização insegura de dados não confiáveis, permitindo que um atacante não autenticado execute código remotamente. A Microsoft recomenda que os administradores de sistemas instalem a atualização imediatamente e realizem uma reinicialização do sistema. Como medidas temporárias, é aconselhável desativar o papel do servidor WSUS e bloquear o tráfego nas portas 8530 e 8531. A situação é crítica, pois o Centro Nacional de Segurança Cibernética da Holanda relatou que a exploração da vulnerabilidade foi observada no mesmo dia do anúncio. A CISA dos EUA também incluiu essa falha em seu catálogo de vulnerabilidades exploradas, exigindo que agências federais a remediem até 14 de novembro de 2025.

O uso crescente de inteligência artificial (IA) nas empresas traz benefícios como produtos mais rápidos e sistemas mais inteligentes, mas também levanta preocupações significativas em relação à segurança. Atualmente, estima-se que existam 100 agentes de IA para cada funcionário humano, e alarmantes 99% desses agentes estão completamente não gerenciados, sem supervisão ou controles de ciclo de vida. Isso representa um risco real, pois cada um desses agentes pode se tornar uma porta dos fundos para invasões. O artigo destaca a necessidade urgente de adaptar as ferramentas de segurança tradicionais para lidar com esse novo cenário. Um webinar gratuito intitulado ‘Transformando Controles em Aceleradores da Adoção de IA’ promete oferecer estratégias práticas para que as empresas possam implementar segurança desde o início, em vez de como uma reflexão tardia. Os participantes aprenderão a governar agentes de IA, a evitar a proliferação de credenciais e a alinhar a segurança com os objetivos de negócios, permitindo que a segurança não seja um obstáculo, mas sim um facilitador da adoção de IA. Essa abordagem é essencial para que engenheiros, arquitetos e CISOs possam deixar de atuar de forma reativa e passar a ter controle e confiança em suas operações de segurança.

A empresa de segurança cibernética Sansec alertou que criminosos cibernéticos começaram a explorar uma vulnerabilidade crítica recentemente divulgada nas plataformas Adobe Commerce e Magento Open Source. A falha, identificada como CVE-2025-54236, possui uma pontuação CVSS de 9.1 e permite a tomada de controle de contas de clientes através da API REST do Commerce. Desde a divulgação pública da vulnerabilidade, mais de 250 tentativas de ataque foram registradas em apenas 24 horas, com 62% das lojas Magento ainda vulneráveis. Os ataques têm origem em diversos endereços IP, onde os invasores utilizam a falha para implantar webshells PHP ou extrair informações de configuração do PHP. A Sansec recomenda que os administradores de sites apliquem os patches disponíveis o mais rápido possível para evitar a exploração mais ampla da vulnerabilidade. Essa é a segunda falha de desserialização crítica que afeta as plataformas Adobe Commerce e Magento em dois anos, o que destaca a necessidade urgente de atenção e ação por parte dos administradores de sistemas.

Um novo malware, atribuído ao grupo de hackers COLDRIVER, vinculado à Rússia, passou por várias iterações desde maio de 2025, indicando um aumento nas operações do grupo. O Google Threat Intelligence Group (GTIG) observou que, apenas cinco dias após a divulgação do malware LOSTKEYS, o COLDRIVER já havia refinado suas ferramentas de ataque. O novo malware, denominado NOROBOT, YESROBOT e MAYBEROBOT, é uma coleção de famílias de malware interconectadas. As recentes ondas de ataque se afastam do foco habitual do COLDRIVER, que visa indivíduos de alto perfil, e agora utilizam iscas do tipo ClickFix para induzir usuários a executar comandos maliciosos no PowerShell. A cadeia de infecção começa com um lure HTML chamado COLDCOPY, que instala o NOROBOT. O YESROBOT, um backdoor em Python, foi rapidamente substituído pelo MAYBEROBOT, que possui funcionalidades mais avançadas. A evolução constante dessas ferramentas demonstra a tentativa do grupo de evitar sistemas de detecção e continuar a coleta de informações de alvos significativos. Além disso, três adolescentes na Holanda foram suspeitos de fornecer serviços a um governo estrangeiro, possivelmente relacionado a atividades de espionagem digital. Essa situação ressalta a necessidade de vigilância e proteção contra ameaças cibernéticas em um cenário global cada vez mais complexo.

O avanço da inteligência artificial generativa tem transformado o cibercrime em uma economia paralela que movimenta anualmente cerca de US$ 10 trilhões, segundo Tania Cosentino, ex-presidente da Microsoft Brasil. Durante sua apresentação no CRM Zummit 2025, Cosentino destacou que a combinação de novas tecnologias, como a migração para a nuvem e o trabalho remoto, ampliou a superfície de ataque, tornando as empresas mais vulneráveis. Os hackers utilizam IA para aumentar a velocidade e a sofisticação de seus ataques, resultando em ameaças complexas, como ransomware e ataques a cadeias de suprimento. O tempo de resposta dos atacantes é alarmante, com a média de apenas 1 hora e 12 minutos para se mover lateralmente dentro de uma rede após o acesso inicial. O Brasil é um dos países mais atacados, especialmente em ransomware, devido à percepção de que os resgates são frequentemente pagos. Além disso, a falta de profissionais qualificados em cibersegurança e a disparidade entre regiões do país agravam a situação. A segurança cibernética não é apenas uma questão técnica, mas também um diferencial competitivo, pois 69% dos consumidores evitam empresas percebidas como inseguras.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou uma vulnerabilidade crítica do Microsoft Windows ao seu catálogo de Vulnerabilidades Conhecidas e Exploited (KEV), alertando que atacantes estão explorando ativamente essa falha em ataques reais. A vulnerabilidade, identificada como CVE-2025-59230, afeta o componente Gerenciador de Conexão de Acesso Remoto do Windows e permite que atacantes aumentem seus privilégios em sistemas comprometidos. Isso significa que um invasor com acesso limitado pode obter permissões mais altas, possibilitando a execução de código malicioso, acesso a dados sensíveis e movimentação lateral em redes interconectadas. A CISA ordenou que agências federais apliquem patches de segurança até 4 de novembro, e recomenda que todas as organizações priorizem a correção dessa falha. Dada a exploração ativa e a urgência do alerta, as equipes de segurança devem tratar essa vulnerabilidade como uma prioridade alta para evitar possíveis violações e comprometimentos de sistemas.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou uma falha de segurança crítica no Adobe Experience Manager (AEM) ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), após evidências de exploração ativa. A vulnerabilidade, identificada como CVE-2025-54253, possui uma pontuação CVSS de 10.0, indicando severidade máxima, e pode permitir a execução de código arbitrário. A falha afeta as versões 6.5.23.0 e anteriores do AEM Forms em JEE e foi corrigida na versão 6.5.0-0108, lançada em agosto de 2025. O problema decorre de um servlet exposto, que avalia expressões OGNL fornecidas pelo usuário como código Java, sem exigir autenticação ou validação de entrada. Embora não haja informações públicas sobre como a falha está sendo explorada em ataques reais, a Adobe reconheceu a existência de um proof-of-concept disponível publicamente. Em resposta à exploração ativa, as agências do Federal Civilian Executive Branch (FCEB) foram orientadas a aplicar as correções necessárias até 5 de novembro de 2025.

Recentemente, a CrowdStrike identificou duas vulnerabilidades críticas em seu software Falcon, designadas como CVE-2025-42701 e CVE-2025-42706. Ambas as falhas afetam exclusivamente as versões do Falcon para Windows e permitem que atacantes, que já tenham conseguido executar código no sistema, excluam arquivos arbitrários. A CVE-2025-42701 é uma vulnerabilidade de condição de corrida (TOCTOU) com um escore CVSS de 5.6, enquanto a CVE-2025-42706 envolve um erro lógico relacionado à validação de origem, com um escore CVSS de 6.5. A CrowdStrike lançou patches para várias versões do Falcon, incluindo a versão 7.29 e hotfixes para versões anteriores, garantindo que os usuários possam se proteger contra essas falhas. A empresa não encontrou evidências de exploração ativa dessas vulnerabilidades, mas recomenda que os clientes atualizem seus sistemas para evitar possíveis ataques que possam comprometer a estabilidade do software e do sistema operacional. A atualização é essencial para manter uma postura de segurança robusta e prevenir a exclusão de arquivos críticos.

Uma recente campanha de malware tem comprometido sites WordPress ao injetar funções PHP maliciosas que carregam JavaScript controlado por atacantes, afetando a sessão de todos os visitantes. A violação foi identificada em um pequeno trecho de código adicionado ao arquivo functions.php do tema ativo, mostrando como pequenas modificações podem ter um grande impacto. O código injetado utiliza hooks do WordPress para ser executado em cada carregamento de página, contatando silenciosamente um servidor de comando e controle para baixar cargas maliciosas.

Uma vulnerabilidade crítica (CVE-2025-61882) no Oracle E-Business Suite (EBS) está sendo ativamente explorada, levando o Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) a alertar as organizações para a aplicação imediata de controles mitigatórios. Essa falha de execução remota de código não autenticada está presente no componente de Integração do BI Publisher do Oracle Concurrent Processing e pode resultar em comprometimento total do sistema. Não é necessária interação do usuário, e os atacantes podem ativar a vulnerabilidade enviando requisições HTTP especialmente elaboradas. A Oracle lançou uma atualização de segurança que corrige essa falha, afetando as versões do EBS de 12.2.3 a 12.2.14. O NCSC recomenda que as organizações realizem uma avaliação abrangente de comprometimento e apliquem a atualização crítica de outubro de 2023. A exposição direta do EBS à internet aumenta significativamente o risco, e a proteção de redes internas deve ser reforçada para evitar movimentos laterais de atacantes. O NCSC também oferece orientações sobre gerenciamento de vulnerabilidades e segurança de perímetro de rede, além de um serviço de alerta antecipado para ameaças emergentes.

Pesquisadores revelaram uma falha crítica de segurança em roteadores empresariais que utilizam o sistema DrayOS, permitindo que atacantes remotos não autenticados provoquem corrupção de memória, quedas de sistema e potencialmente executem código arbitrário. A vulnerabilidade está presente na Interface Web do Usuário (WebUI), que aceita requisições HTTP(S) sem validação adequada de entrada. Quando explorada, essa falha pode dar controle total sobre os dispositivos afetados, permitindo que os atacantes se movam mais profundamente nas redes corporativas. A exploração ocorre ao enviar requisições maliciosas para a WebUI em interfaces de rede com acesso remoto habilitado. A DrayTek já lançou atualizações de firmware para corrigir a vulnerabilidade, e os usuários são aconselhados a atualizar imediatamente para evitar riscos de exploração. Para mitigar a ameaça, recomenda-se desabilitar o acesso remoto à WebUI e implementar listas de controle de acesso (ACLs) que restrinjam o acesso a hosts confiáveis. Além disso, é importante realizar auditorias de patch e testes de penetração periódicos para garantir a segurança das interfaces de gerenciamento remoto.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma vulnerabilidade de alta gravidade, CVE-2025-4008, que afeta o Smartbedded Meteobridge, em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). Com uma pontuação CVSS de 8.7, essa falha é um caso de injeção de comando na interface web do Meteobridge, permitindo que atacantes remotos não autenticados executem comandos arbitrários com privilégios elevados nos dispositivos afetados. A vulnerabilidade foi descoberta pela ONEKEY e relatada em fevereiro de 2025, sendo que a interface web do Meteobridge é acessível publicamente, o que facilita a exploração. A CISA recomenda que as agências federais dos EUA apliquem as atualizações necessárias até 23 de outubro de 2025. Além disso, outras quatro vulnerabilidades críticas foram adicionadas ao catálogo, incluindo falhas em dispositivos móveis da Samsung e no Jenkins. A atualização para a versão 6.2 do Meteobridge, lançada em 13 de maio de 2025, já aborda essa vulnerabilidade.

O grupo de ameaças Patchwork APT, também conhecido como Dropping Elephant, tem aprimorado suas técnicas de espionagem utilizando um carregador baseado em PowerShell. Este método envolve a criação de tarefas agendadas e ofuscação em múltiplas etapas para garantir persistência e furtividade. Desde 2015, o grupo tem como alvo organizações políticas e militares na Ásia, utilizando engenharia social em vez de exploits zero-day. O ataque começa com um documento de spear-phishing que ativa uma macro maliciosa, baixando um arquivo LNK que, ao ser executado, ativa um script PowerShell. Este script baixa um executável disfarçado de VLC e um DLL acompanhante, além de criar uma tarefa agendada para garantir que o carregador seja executado continuamente. O método fStage é utilizado para estabelecer comunicação criptografada com o servidor do atacante, coletando informações do sistema e enviando-as de volta. A exfiltração de dados é realizada através de técnicas de codificação e execução de comandos em um processo oculto. A arquitetura complexa deste ataque destaca a adaptabilidade do Patchwork, exigindo que as organizações mantenham suas soluções de segurança atualizadas e monitorem tarefas agendadas anômalas.

Uma vulnerabilidade crítica foi identificada no SUSE Rancher Manager, permitindo que atacantes bloqueiem contas administrativas por meio de manipulação de nomes de usuário. Essa falha, resultante de uma validação inadequada no sistema de gerenciamento de usuários, possibilita que usuários mal-intencionados com permissões de atualização alterem nomes de usuários, impedindo o acesso de administradores legítimos. Existem dois vetores principais de ataque: a tomada de conta, onde um usuário pode alterar o nome de outro para ‘admin’, e o bloqueio direto de contas administrativas. A exploração dessa vulnerabilidade pode causar interrupções significativas nas operações de gerenciamento de plataformas, deixando sistemas críticos sem supervisão adequada. A SUSE já disponibilizou correções nas versões v2.12.2, v2.11.6, v2.10.10 e v2.9.12, que implementam validações para impedir a modificação de nomes de usuário após a atribuição inicial. Para organizações que não podem atualizar imediatamente, recomenda-se a implementação de controles de acesso rigorosos. A auditoria regular de permissões e o monitoramento de alterações não autorizadas são essenciais para detectar tentativas de exploração antes que causem danos operacionais.

Uma vulnerabilidade crítica, classificada com CVSS 9.4, foi descoberta na plataforma Agentforce AI da Salesforce, permitindo que atacantes realizem injeções de comandos maliciosos através de formulários Web-to-Lead. Essa falha, chamada ‘ForcedLeak’, pode resultar na exfiltração de dados sensíveis de clientes. O problema foi identificado por pesquisadores da Noma Labs, que alertaram os usuários da Salesforce sobre a necessidade urgente de aplicar patches. A vulnerabilidade afeta a funcionalidade Web-to-Lead, que captura automaticamente informações de leads durante campanhas de marketing. Os atacantes exploram a falha inserindo instruções maliciosas em campos aparentemente inofensivos, que são posteriormente executadas pelo agente AI da Salesforce. A falha se deve a falhas de validação de contexto, comportamento permissivo do modelo e uma política de segurança de conteúdo que permitiu o uso de um domínio expirado para a transmissão de dados. A Salesforce já lançou correções e recomenda medidas de mitigação, como a validação rigorosa de entradas e a auditoria de dados existentes. Este incidente destaca os desafios de segurança únicos apresentados por agentes de IA em ambientes empresariais, exigindo que as organizações adotem estruturas de segurança centradas em IA para proteger contra novos vetores de ataque.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta urgente sobre uma vulnerabilidade zero-day no Google Chrome, identificada como CVE-2025-10585. Essa falha, localizada no motor V8 do JavaScript e WebAssembly, representa um risco significativo para usuários em todo o mundo, pois permite que atacantes manipulem estruturas de memória e executem código arbitrário ao visitar páginas da web maliciosas. A CISA incluiu essa vulnerabilidade em seu catálogo de Vulnerabilidades Conhecidas e Explotadas, exigindo que agências federais apliquem correções ou suspendam o uso das versões afetadas até 14 de outubro de 2025. Embora a Google tenha lançado patches para resolver o problema, a CISA recomenda que usuários e administradores verifiquem manualmente a instalação das atualizações. A natureza crítica da falha, que pode ser explorada sem interação adicional do usuário, torna essencial que organizações, tanto públicas quanto privadas, adotem medidas de mitigação, como a aplicação de atualizações e o monitoramento de tráfego de rede para sinais de comprometimento.

Pesquisadores de segurança descobriram uma sofisticada campanha do Magecart que utiliza JavaScript ofuscado para roubar dados de cartões de pagamento de sites de comércio eletrônico comprometidos. A infraestrutura maliciosa, centrada no domínio cc-analytics[.]com, tem coletado informações sensíveis de clientes por pelo menos um ano. O ataque começa com a injeção de tags de script maliciosas em plataformas de e-commerce vulneráveis, referenciando arquivos JavaScript externos controlados pelos atacantes. O código malicioso emprega técnicas avançadas de ofuscação, como codificação hexadecimal e manipulação de strings, para evitar a detecção por ferramentas de segurança. A análise do JavaScript revela um mecanismo de coleta de dados que monitora formulários de checkout e seleções de métodos de pagamento, capturando em tempo real informações como números de cartões de crédito e endereços de cobrança. A operação se estende por múltiplos domínios relacionados, demonstrando uma infraestrutura criminosa organizada e com capacidades técnicas significativas. Especialistas recomendam a implementação de políticas de segurança de conteúdo e a validação de referências de scripts externos para mitigar esses ataques.

O Burger King acionou a Lei de Direitos Autorais do Milênio Digital (DMCA) para remover um post de um pesquisador de segurança que revelou vulnerabilidades críticas em seu novo sistema de ‘Assistente’ no drive-thru. O hacker ético BobDaHacker publicou um relatório detalhando como atacantes poderiam contornar a autenticação, escutar pedidos de clientes e acessar registros sensíveis de funcionários. Apesar de a Restaurant Brands International (RBI) ter corrigido as falhas rapidamente, o conteúdo foi retirado do ar sob a alegação de uso indevido da marca e promoção de atividades ilegais. O post, que ficou disponível por menos de 48 horas, destacou falhas como a possibilidade de qualquer usuário se registrar e obter acesso a dados de todos os estabelecimentos que utilizam o sistema. Embora a RBI tenha enfatizado que não há armazenamento de dados de clientes a longo prazo, o incidente ressalta a necessidade urgente de proteger dados sensíveis, especialmente em plataformas em fase beta. A ação de remoção, em vez de silenciar o problema, acabou atraindo mais atenção para as falhas de segurança do sistema de IA do Burger King, evidenciando a importância de equilibrar inovação e segurança em tecnologias emergentes.

Um novo ataque cibernético descoberto permite que usuários autenticados do ArgoCD, uma ferramenta popular de entrega contínua para Kubernetes, roubem credenciais do GitHub. O ataque explora a resolução de DNS do Kubernetes, enganando o servidor de repositório do ArgoCD a se conectar a um serviço controlado pelo atacante em vez do verdadeiro GitHub. Ao implantar um serviço malicioso, o atacante cria um registro DNS que redireciona o domínio github.com para um IP interno do cluster. Quando o ArgoCD busca manifestos via HTTPS, o atacante utiliza um certificado personalizado para inspecionar o cabeçalho de autorização e exfiltrar credenciais, incluindo tokens de autenticação e JWTs do GitHub. Para que o ataque seja bem-sucedido, a conta do ArgoCD comprometida deve ter permissões adequadas. O artigo também sugere medidas de mitigação, como aplicar princípios de menor privilégio e monitorar o tráfego interno. Essa vulnerabilidade é uma preocupação crescente, especialmente em um cenário onde a exfiltração de informações é um tema recorrente na cibersegurança.

O ZynorRAT, um novo Trojan de Acesso Remoto (RAT), está gerando preocupações entre pesquisadores de segurança devido às suas capacidades multiplataforma e à infraestrutura de comando e controle (C2) furtiva. Lançado em julho de 2025, o ZynorRAT utiliza binários em Go para Linux e Windows, permitindo uma gama de funções controladas por atacantes através de um bot no Telegram. O RAT estabelece seu canal C2 por meio do Telegram, incorporando o token do bot e o identificador de chat diretamente no binário. Ao ser executado, ele consulta a API do Telegram para comandos, executando instruções reconhecidas ou revertendo para a execução de shell. Entre as funções disponíveis estão exfiltração de arquivos, listagem de diretórios e processos, captura de tela e instalação de persistência. O ZynorRAT também demonstra um desenvolvimento ativo, com uma redução nas taxas de detecção em uploads sucessivos ao VirusTotal. A detecção e mitigação são possíveis através de regras específicas e assinaturas YARA, com recomendações para monitoramento contínuo e auditoria de diretórios de serviços de usuário. Dada a sua evolução e potencial de exploração, as organizações devem atualizar suas regras de detecção e reforçar controles de saída de rede.

Uma nova campanha de malvertising no Facebook está explorando o programa Meta Verified para roubar contas de usuários. Os atacantes, presumivelmente de origem vietnamita, criaram anúncios enganosos que prometem ensinar como obter o selo de verificação azul por meio de uma extensão de navegador maliciosa. Os anúncios, que totalizam pelo menos 37, redirecionam os usuários para um vídeo tutorial e um arquivo .CRX hospedado no Box.com. Após a instalação, a extensão injeta um script nas páginas do Facebook, interceptando cookies de sessão e enviando informações roubadas para um bot no Telegram. Além do roubo de cookies, algumas variantes da extensão conseguem acessar tokens de acesso, permitindo que os atacantes explorem contas comerciais no Facebook, que são vendidas em mercados clandestinos. Essa operação representa um ciclo de receita autossustentável, onde contas comprometidas são reutilizadas para novas campanhas maliciosas. Para se proteger, os usuários devem evitar extensões não verificadas e adotar práticas de segurança como autenticação em duas etapas e monitoramento de alertas de login.

Uma nova campanha de malware está atacando APIs Docker mal configuradas expostas à internet, implantando cryptominers e utilizando a rede Tor para ocultar suas atividades. Inicialmente relatada em junho de 2025 pela equipe de Inteligência de Ameaças da Trend Micro, essa variante foi observada em honeypots da Akamai em agosto de 2025, ampliando suas capacidades de infecção. O malware explora portas Docker abertas (2375) para lançar um contêiner Alpine, montar o sistema de arquivos raiz do host e executar scripts maliciosos. A persistência é garantida por meio de modificações nas configurações SSH e criação de tarefas cron para comunicação discreta. A nova variante identificada pela Akamai não apenas implanta um cryptominer, mas também um pacote multifuncional que inclui ferramentas como masscan e libpcap, bloqueando o acesso a outras ameaças. Os indicadores de comprometimento incluem implantações incomuns de contêineres e conexões de saída para domínios .onion. Para mitigar esses riscos, recomenda-se restringir a exposição da API Docker e monitorar acessos não autorizados.

O Hook v3, a mais recente variante do trojan bancário para Android, apresenta um conjunto alarmante de funcionalidades, incluindo sobreposições de ransomware, prompts bancários falsos e funções de spyware. Pesquisadores da Zimperium zLabs identificaram que o malware agora suporta 107 comandos remotos, com 38 novos na última atualização, explorando os Serviços de Acessibilidade do Android. Essa evolução sugere uma transição de fraudes bancárias específicas para uma plataforma de ameaças mais versátil, aumentando o risco para usuários e instituições financeiras. Entre as novas táticas, destacam-se sobreposições que imitam telas de desbloqueio e pagamentos, como o Google Pay, que induzem as vítimas a fornecer dados sensíveis. Além disso, a capacidade de streaming em tempo real permite que os atacantes monitorem as atividades dos dispositivos das vítimas. O Hook v3 se espalha por meio de sites de phishing e APKs maliciosos hospedados no GitHub, o que facilita sua disseminação. A combinação de roubo passivo e monitoramento ativo torna essa ameaça particularmente intrusiva e preocupante para a segurança cibernética.