Um hacker identificado como Xorcat afirma ter extraído 300 mil registros da Polymarket, uma plataforma descentralizada de mercados de previsão baseada em criptomoedas. Os dados supostamente roubados foram publicados em um fórum de crimes cibernéticos e no Telegram no dia 27 de abril de 2026. A Polymarket, no entanto, rejeita completamente as afirmações.

Xorcat afirma ter explorado uma série de falhas no código da plataforma. Uma delas envolveu endpoints de API não documentados, ou seja, portas de acesso ao sistema que a empresa nunca chegou a divulgar publicamente.

Outro método foi um bypass de paginação no sistema de negociação CLOB (Central Limit Order Book) da Polymarket. Basicamente, sites exibem pequenas listas de dados por vez para manter o desempenho estável. O hacker teria descoberto que, ao alterar um parâmetro no código para 999.999, conseguia forçar o sistema a entregar quase um milhão de registros de uma só vez.

Xorcat também menciona a exploração de uma má configuração de CORS, uma configuração de segurança que define quais origens externas podem se comunicar com o servidor. Isso porque, quando mal configurado, esse recurso permite que um invasor faça requisições ao sistema como se fosse um usuário legítimo já autenticado.

Vulnerabilidades conhecidas entram na lista de acusações

Além das falhas específicas da plataforma, o hacker diz ter usado duas vulnerabilidades públicas de alta gravidade. A primeira é a CVE-2025-62718, com pontuação CVSS 9.9, relacionada ao bypass da variável NO_PROXY no Axios, uma biblioteca de JavaScript usada para fazer requisições HTTP.

A segunda é a CVE-2024-51479, com pontuação CVSS 7.5, que afeta o middleware de autenticação do Next.js, o framework web por trás de inúmeros sites modernos. Essas duas falhas permitem que um invasor contorne telas de login ou acesse áreas internas do servidor que deveriam permanecer restritas.

O que os arquivos supostamente contêm

A versão comprimida do vazamento ocupa apenas 8,3 MB, mas o dump completo seria de 2,24 GB, com 750 MB de dados brutos. Entre os arquivos estariam um diretório de imagens de perfil e arquivos JSON como gamma_markets.json e um arquivo de 1,2 GB intitulado xorcat.deals polymarket clob_markets.json.

Os dados incluem 10 mil perfis de usuários com nomes, bios e endereços de carteiras digitais. Isso porque, ao cruzar essas informações, é possível reconstruir o histórico de negociações da vítima. Há ainda 9 mil perfis de seguidores, 4.111 comentários e mil registros de denúncias contendo 58 endereços ETH únicos.

Um detalhe técnico chamado admin_auth_addr levantou suspeitas sobre o acesso a áreas internas do sistema. Do lado dos mercados, o vazamento supostamente inclui mais de 250 mil mercados CLOB ativos, 292 eventos com dados internos, e cem configurações de recompensa com endereços USDC e taxas de pagamento diário.

Polymarket diz que os dados são públicos

No X, antigo Twitter, Polymarket negou que qualquer violação tenha ocorrido. A empresa explicou que, por operar em blockchain, grande parte dos seus dados já é pública e acessível por qualquer pessoa. A leitura da empresa é que Xorcat simplesmente copiou informações disponíveis abertamente e as reembalou para construir uma reputação de hacker experiente.

Scraping ou invasão real?

As evidências apontam mais para um caso de scraping do que para um roubo de dados no sentido técnico. No scraping, softwares automatizados copiam rapidamente informações que já estão disponíveis ao público, sem necessariamente explorar uma brecha real de segurança.

A credibilidade de Xorcat foi ainda mais abalada por uma contradição direta. O hacker afirmou ter divulgado os dados porque a Polymarket não contava com um programa de bug bounty. A empresa, porém, mantém um programa ativo desde 16 de abril de 2026 e já recebeu centenas de relatórios por meio dele.

A vítima mais provável nesse cenário não é a Polymarket em si, mas os usuários cujos nomes agora aparecem vinculados publicamente a suas carteiras de criptomoedas. Esse tipo de associação pode expor o histórico financeiro de qualquer pessoa que negociou na plataforma.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

A Kaspersky divulgou uma vulnerabilidade no mecanismo de comunicação interna do Windows que permite elevar privilégios até o nível SYSTEM. A falha foi batizada de PhantomRPC pelo pesquisador Haidar Kabibo. Afeta potencialmente todas as versões do Windows e ainda não tem correção prevista.

O mecanismo usado para processos "conversarem" no Windows é o RPC, sigla para Remote Procedure Call. Basicamente, ele permite que um processo peça a outro que execute uma função, mesmo em contextos separados. É assim que boa parte dos serviços internos do Windows funcionam.

O Windows também tem um recurso chamado impersonation, ou impersonação. Ele permite que um serviço assuma temporariamente a identidade de outro processo para realizar uma tarefa. Um serviço de impressão, por exemplo, pode agir como o usuário que enviou o documento para acessar determinados arquivos.

O problema é que o Windows não verifica se o servidor RPC com quem um processo tenta se comunicar é legítimo. Um invasor pode criar um servidor RPC falso fingindo ser um serviço real. O sistema operacional não barra essa conexão.

Como o ataque funciona na prática

Para explorar o PhantomRPC, o atacante precisa comprometer um serviço com privilégio intermediário, como os que rodam sob as contas Network Service ou Local Service. Essas contas têm uma permissão chamada SeImpersonatePrivilege, que autoriza um processo a impersonar outro. Com esse acesso, o atacante sobe um servidor RPC falso que imita um serviço legítimo.

Quando um processo mais privilegiado tenta se comunicar com o serviço real e não consegue, a requisição vai parar no servidor falso. Ele então assume a identidade do processo privilegiado e age em seu nome. O pesquisador demonstrou cinco caminhos diferentes para executar esse ataque.

Cinco formas de escalar privilégios

O primeiro caminho envolve o serviço Group Policy, que roda com privilégio SYSTEM. Quando o comando gpupdate /force é executado, esse serviço tenta se comunicar com o TermService, o serviço de área de trabalho remota. O TermService fica inativo por padrão, então o servidor falso intercepta a requisição e o atacante obtém acesso SYSTEM.

O segundo caminho não exige interação alguma. O serviço WDI, responsável por diagnósticos do sistema, faz chamadas automáticas ao TermService a cada 5 a 15 minutos. O atacante apenas aguarda a próxima chamada para impersonar o contexto SYSTEM.

O terceiro caminho envolve o Microsoft Edge. Ao iniciar, o navegador faz uma chamada RPC ao TermService. Se um administrador abrir o Edge, o servidor falso intercepta a requisição e eleva os privilégios do atacante de Network Service para Administrator.

Os dois últimos caminhos partem de uma conta Local Service. Um explora o serviço DHCP Client e aguarda um administrador rodar o ipconfig. O outro abusa do executável w32tm.exe, de sincronização de horário, que tenta se conectar a um endpoint RPC inexistente no serviço legítimo. O atacante cria um servidor falso que expõe justamente esse endpoint.

Microsoft não vai corrigir agora

A Kaspersky relatou a vulnerabilidade ao Microsoft Security Response Center em setembro de 2025. Vinte dias depois, a Microsoft classificou o problema como severidade moderada. A justificativa foi que o ataque exige a permissão SeImpersonatePrivilege no processo do atacante.

Sem CVE atribuído e sem previsão de patch, a Kaspersky publicou a pesquisa após o fim do período de embargo. O pesquisador recomenda monitorar exceções de RPC, manter serviços legítimos ativos e restringir a permissão SeImpersonatePrivilege a processos que realmente precisam dela.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Uma vulnerabilidade de alta severidade no PackageKit permite que qualquer usuário comum de um sistema Linux instale ou remova pacotes como se fosse administrador.

A falha foi batizada de Pack2TheRoot e é rastreada como CVE-2026-41651, com pontuação CVSS 3.1 de 8.8. A divulgação pública ocorreu nesta semana, após coordenação com os mantenedores das distribuições afetadas.

O PackageKit é basicamente uma camada intermediária que permite gerenciar pacotes de software em diferentes distribuições Linux por meio de uma interface unificada. Ele é o componente responsável por instalar e remover programas em sistemas como Ubuntu e Fedora, inclusive a partir de interfaces gráficas.

Uma corrida que o atacante sempre ganha

O problema está em como o PackageKit lida com as permissões durante uma instalação. O fluxo normal exige que o usuário seja autorizado antes de qualquer pacote ser instalado. A falha permite burlar essa etapa.

Isso é possível porque o sistema verifica as permissões em um momento, mas só lê essas permissões de verdade em outro. Entre os dois pontos, um atacante consegue trocar os valores.

Quando a instalação finalmente acontece, o sistema usa as permissões manipuladas pelo atacante, não as originais. O resultado é a instalação de qualquer pacote como root, incluindo scripts embutidos nos pacotes, sem nenhuma senha ou autenticação.

Doze anos de superfície de ataque

Todas as versões do PackageKit entre 1.0.2 e 1.3.4 são confirmadas como vulneráveis. A versão 1.0.2 foi lançada há mais de 12 anos. Os pesquisadores acreditam que o problema existe desde a versão 0.8.1, o que ampliaria a janela de exposição para 14 anos.

A exploração foi confirmada em instalações padrão de Ubuntu Desktop 18.04, 24.04.4 e 26.04, Ubuntu Server 22.04 a 24.04, Debian Desktop Trixie 13.4, RockyLinux Desktop 10.1, e Fedora 43 Desktop e Server.

O Red Team da Deutsche Telekom, que descobriu a vulnerabilidade, avisa que qualquer distribuição que instale o PackageKit com ele ativado deve ser considerada vulnerável. Isso inclui servidores com o projeto Cockpit instalado, ferramenta de administração web que usa o PackageKit como dependência. Sistemas Red Hat Enterprise Linux entram nesse grupo.

Descoberta com auxílio de IA

A vulnerabilidade foi encontrada pelo Red Team da Deutsche Telekom durante pesquisa focada em formas de escalar privilégios em sistemas Linux modernos. A equipe usou o modelo Claude Opus, da Anthropic, como auxílio na investigação.

Segundo os pesquisadores, o modelo foi guiado em uma direção específica de análise, e os achados foram revisados e verificados manualmente antes de serem reportados de forma responsável.

Rastreando uma exploração em segundos

A falha é explorável em segundos, mas deixa rastros. Após a exploração, o daemon do PackageKit sofre uma falha interna e trava. O sistema o reinicia automaticamente, então não há interrupção visível para o usuário. O crash fica registrado nos logs e pode ser verificado com o comando journalctl --no-pager -u packagekit | grep -i emitted_finished.

Para saber se o sistema está vulnerável, basta checar a versão instalada com dpkg -l | grep -i packagekit em sistemas Debian e Ubuntu, ou rpm -qa | grep -i packagekit em Fedora e RHEL. A correção está disponível no PackageKit 1.3.5, com atualizações já distribuídas por Debian, Ubuntu e Fedora a partir de 22 de abril de 2026.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Um patch lançado pela Microsoft em fevereiro de 2026 para corrigir uma vulnerabilidade explorada pelo grupo russo APT28 não resolveu completamente o problema. Pesquisadores da Akamai identificaram que a correção deixou para trás uma falha separada, capaz de roubar credenciais de rede sem nenhuma interação do usuário.

A nova vulnerabilidade recebeu o identificador CVE-2026-32202 e foi corrigida apenas no Patch Tuesday de abril de 2026. A Microsoft sinalizou no comunicado que a falha já foi explorada em ataques reais, sem detalhar os incidentes.

O que o APT28 explorou em dezembro de 2025

Segundo a Akamai, o APT28, também conhecido como Fancy Bear, Forest Blizzard e Sofacy, conduziu uma campanha em dezembro de 2025 contra a Ucrânia e países da União Europeia. O grupo encadeou duas vulnerabilidades dentro de um único arquivo LNK, os atalhos do Windows com extensão .lnk.

A primeira era a CVE-2026-21513, uma falha no framework MSHTML que permite manipular a forma como o navegador e o Windows Shell processam conteúdo. A segunda era a CVE-2026-21510, uma falha no mecanismo de namespace do shell do Windows.

Essa vulnerabilidade permitia carregar uma biblioteca DLL maliciosa a partir de um servidor remoto usando um caminho UNC, o formato de endereçamento de rede utilizado em ambientes Windows para acessar recursos compartilhados.

Basicamente, o arquivo LNK armado enganava o Windows Explorer para que ele carregasse um componente do Painel de Controle diretamente de um servidor controlado pelo atacante, sem que o SmartScreen ou o Mark of the Web fizessem qualquer verificação de segurança.

O que o patch de fevereiro corrigiu

A Microsoft resolveu a CVE-2026-21510 introduzindo um novo objeto COM chamado ControlPanelLinkSite, que funciona como uma ponte entre o caminho de execução de arquivos CPL e o mecanismo de verificação de confiança do ShellExecute. 

A correção forçava o SmartScreen a verificar a assinatura digital e a zona de origem do arquivo antes de permitir sua execução. O caminho de execução remota de código foi efetivamente bloqueado, mas não foi suficiente.

Por que a correção foi incompleta

Ao testar o patch, os pesquisadores da Akamai notaram que a máquina da vítima continuava autenticando no servidor do atacante mesmo após a correção. Isso porque a verificação de confiança introduzida pela Microsoft só era acionada no final da cadeia de execução, em uma chamada tardia do ShellExecute.

Antes disso, em um estágio anterior da cadeia, o Windows Explorer já havia feito contato com o servidor remoto. Isso ocorre quando o Explorer tenta renderizar o conteúdo de uma pasta que contém o arquivo LNK malicioso. 

Para exibir o ícone associado ao item do Painel de Controle, o shell32 resolve o caminho UNC embutido no arquivo. Essa resolução dispara automaticamente uma conexão SMB com o servidor do atacante.

A conexão SMB aciona um handshake de autenticação NTLM automático. O resultado é que o hash Net-NTLMv2 da vítima é enviado ao atacante sem nenhum clique. Esse hash pode ser usado posteriormente em ataques de relay NTLM ou para quebra de senha offline.

Zero-click sem nenhuma interação

A natureza zero-click da CVE-2026-32202 a torna especialmente perigosa. A vítima não precisa abrir o arquivo, executar nada ou confirmar qualquer prompt de segurança. Basta navegar até a pasta que contém o LNK malicioso para que o Windows inicie a autenticação com o servidor do atacante.

A Akamai reportou a descoberta ao Microsoft Security Response Center antes de divulgar publicamente os detalhes, o que é o motivo pelo qual a empresa havia omitido a CVE-2026-21510 de publicações anteriores sobre a campanha do APT28.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Uma vulnerabilidade identificada como CVE-2026-6770 permitia que sites rastreassem usuários do Firefox e do Tor Browser mesmo em sessões de navegação privada. A Mozilla corrigiu o problema no Firefox 150, no ESR 140.10.0 e em atualizações do Thunderbird lançadas em 21 de abril de 2026. O Tor Project respondeu com o lançamento do Tor Browser 15.0.10.

A falha estava na forma como o Firefox implementava a API indexedDB.databases(), que retorna metadados sobre bancos de dados armazenados localmente pelo navegador. O IndexedDB é uma API padrão usada por aplicações web para armazenar dados no lado do cliente, como cache, estado de sessão e suporte offline.

No modo de navegação privada, o Firefox substituía os nomes desses bancos por identificadores universais únicos (UUID) gerados internamente. Esses UUIDs ficavam armazenados em uma tabela hash global, compartilhada entre todas as origens e mantida ativa durante toda a execução do processo do navegador.

Os resultados da API eram devolvidos na ordem de iteração interna dessa tabela, sem qualquer ordenação neutra aplicada antes. Isso fazia da sequência retornada uma impressão digital determinística e estável do processo do Firefox.

Sites conseguiam vincular atividade entre origens sem usar cookies

Um site conseguia criar um conjunto de bancos de dados no IndexedDB e observar a ordem devolvida pela API. Essa sequência era suficiente para identificar a mesma instância do navegador em visitas subsequentes.

Como a tabela hash era compartilhada entre origens, dois sites completamente diferentes podiam obter o mesmo identificador de forma independente. Com isso, conseguiam vincular a atividade do usuário entre domínios distintos sem precisar de cookies, localStorage ou qualquer outro mecanismo explícito de rastreamento.

O identificador era derivado diretamente do comportamento interno do navegador. Isso torna a técnica difícil de detectar e bloquear por métodos convencionais. A capacidade de rastreamento também não era trivial. Com 16 bancos de dados controlados, o espaço de permutações possíveis chegava a aproximadamente 44 bits de entropia.

Entropia, nesse contexto, mede a quantidade de informação carregada pelo sinal. Isso é suficiente para identificar instâncias individuais do navegador com alta precisão.

Identificador persistia após fechar janelas privadas

No Firefox, o identificador continuava ativo mesmo depois que todas as janelas privadas eram fechadas. Bastava o processo do navegador permanecer em execução. Isso significa que uma visita posterior em uma janela privada aparentemente nova poderia ser vinculada a uma sessão anterior.

No Tor Browser, a situação era mais grave. O recurso "New Identity" foi criado para reinicializar completamente a sessão, apagando cookies e histórico e estabelecendo novos circuitos Tor.

Como os UUIDs persistiam durante toda a execução do processo, o recurso se tornava ineficaz contra essa técnica. Sites conseguiam vincular sessões que deveriam ser completamente isoladas, contrariando uma garantia central do Tor Browser.

A vulnerabilidade não exige interação do usuário e não depende de nenhuma falha de configuração. O comportamento era inerente à implementação do IndexedDB no Gecko, o motor de renderização por trás do Firefox e do Tor Browser. Isso significa que todos os navegadores baseados no Gecko eram potencialmente afetados.

Correção elimina a entropia sem comprometer a API

A correção adotada é direta. Bastava ordenar os resultados em ordem canônica, como ordenação lexicográfica, antes de devolvê-los à página. Isso preserva a utilidade da API para desenvolvedores e elimina a entropia derivada da estrutura interna de armazenamento. Embaralhar a ordem a cada chamada seria outra opção, mas a ordenação é mais simples e previsível para quem desenvolve aplicações web.

O caso serve de alerta para um padrão menos óbvio de vulnerabilidades de privacidade. Não é necessário expor dados diretamente identificáveis para criar um vetor de rastreamento. Às vezes, basta que um detalhe de implementação interna seja determinístico e compartilhado entre contextos que deveriam ser isolados.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Uma auditoria independente da empresa de tecnologia de privacidade webXray constatou que Google, Microsoft e Meta continuam instalando cookies de publicidade nos navegadores de usuários mesmo sem autorização. O TecMundo procurou as empresas, mas só obteve resposta da Microsoft até a publicação da reportagem.

Os testes, realizados na Califórnia, mostraram que mesmo após consumidores ativarem o sinal de recusa de rastreamento, grandes empresas de tecnologia continuam usando seus dados, prática que viola a Lei de Privacidade do Consumidor da Califórnia (CCPA).

O sinal ignorado pelas três maiores empresas de publicidade digital

A CCPA garante ao consumidor o direito de impedir que empresas vendam ou compartilhem seus dados pessoais com terceiros. O mecanismo técnico para exercer esse direito em escala é o Global Privacy Control (GPC), um padrão endossado pelo procurador-geral da Califórnia. Quando ativado, o navegador envia o cabeçalho sec-gpc: 1 a cada requisição de rede, basicamente uma instrução jurídica para que o servidor não devolva cookies de rastreamento.

O Google foi o pior desempenho da auditoria, com taxa de falha de 86% nos sites onde sua tecnologia publicitária foi detectada. O servidor de anúncios da empresa recebe o sinal sec-gpc: 1 e responde com um comando set-cookie criando o cookie IDE, vinculado ao domínio .doubleclick.net com validade de dois anos. A webXray capturou o tráfego de rede como evidência forense e publicou o intercâmbio completo entre o navegador do usuário e os servidores do Google.

A Microsoft apresentou taxa de falha de 50%. O servidor bat.bing.com, responsável pelo pixel de conversão da plataforma Microsoft Advertising, ignora o sec-gpc: 1 e instala o cookie MUID, identificador de usuário com validade de um ano no domínio .bing.com.

A Meta registrou taxa de falha de 69%, com uma particularidade técnica. O pixel da empresa, instalado por publicadores em seus próprios sites, não contém nenhuma verificação do sinal GPC. O código carrega de forma incondicional e dispara um evento de rastreamento independentemente das preferências de privacidade do visitante.

Banners de cookies certificados pelo Google também falham

A auditoria também avaliou as Plataformas de Gerenciamento de Consentimento (CMPs), os banners de cookies que aparecem na maioria dos sites e supostamente permitem ao usuário exercer seus direitos de privacidade. O Google opera um programa de certificação para esses fornecedores, o que a webXray apontou como conflito de interesses direto.

Dos 11 fornecedores de CMP avaliados, todos falharam em impedir que cookies do Google fossem instalados após a ativação do GPC. As três CMPs detalhadas no relatório, identificadas apenas como A, B e C para preservar a divulgação responsável, registraram taxas de falha de 77%, 90% e 91%, respectivamente. 

A falha não está no banner em si, mas no fato de o Google não respeitar o sinal enviado pelo navegador independentemente do que o publicador configure.

Solução técnica existe e é simples

Timothy Libert, fundador da webXray e ex-chefe de política e conformidade de cookies do Google, onde trabalhou até 2023, afirmou à 404 Media que a correção é trivial. Nos servidores de anúncios, basta retornar o código de status HTTP 451 Unavailable For Legal Reasons ao detectar Sec-GPC: 1, sem definir nenhum cookie.

No pixel da Meta, bastam duas linhas de código envolvendo o script em uma condicional que verifica navigator.globalPrivacyControl.

Multas já somam bilhões; empresas contestam os resultados

A CCPA prevê multas de US$ 2.500 por violação, valor que sobe para US$ 7.500 em casos de conduta intencional. Com base na média de seis ações de fiscalização públicas que citaram explicitamente o descumprimento do GPC, a webXray calculou uma exposição agregada potencial de US$ 5,8 bilhões para os 4.170 sites identificados como não conformes. A média inclui os US$ 2,75 milhões pagos pela Disney em 2026, maior acordo já registrado sob a lei,

Google, Microsoft e Meta, ao 404 Media, contestaram os achados. O Google disse que o relatório se baseia em "um mal-entendido fundamental sobre o funcionamento de seus produtos" e que respeita as opções de recusa conforme exigido por lei.

A Meta classificou a pesquisa como "estratégia de marketing que distorce o funcionamento do GPC", argumentando que o sinal restringe apenas certos usos de dados de terceiros e que publicadores podem desconsiderá-lo. A Microsoft afirmou que certos cookies são necessários para fins operacionais e podem ser instalados mesmo quando o sinal GPC é detectado.

Ao TecMundo, a Microsoft informou que "conforme descrito em nossa Declaração de Privacidade, quando recebemos um sinal de GPC, optamos por não compartilhar os dados pessoais do usuário com terceiros para fins de publicidade personalizada, e nossos sistemas de publicidade são projetados para refletir essa escolha. Alguns cookies da Microsoft são necessários para fins operacionais e, portanto, podem ser inseridos e lidos mesmo quando um sinal de GPC é detectado."

Meta e TikTok já haviam sido flagrados coletando dados

Os achados da webXray não são isolados. O TecMundo já havia documentado uma pesquisa da empresa de cibersegurança Jscrambler que identificou comportamento semelhante nos pixels de rastreamento da Meta e do TikTok.

Os scripts coletam dados pessoais sensíveis, incluindo nome completo, endereço, e-mail e os últimos quatro dígitos do cartão de crédito, em sites de terceiros, mesmo quando o usuário recusa explicitamente o compartilhamento de informações. As falhas afetam mais de 12,6 milhões de servidores empresariais ativos ao redor do mundo.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Um grupo de ciberespionagem ligado a um Estado-nação desenvolveu uma versão Linux do backdoor GoGra que usa a Microsoft Graph API e uma caixa de entrada do Outlook. O objetivo é enviar comandos maliciosos a máquinas comprometidas.

A descoberta foi feita pela equipe Symantec e Carbon Black Threat Hunter Team, da Broadcom, e representa uma expansão significativa das capacidades do grupo conhecido como Harvester.

Infraestrutura legítima usada como disfarce

O GoGra abusa de serviços legítimos da Microsoft para se camuflar no tráfego corporativo comum. O malware usa credenciais do Azure AD inseridas diretamente no código para obter tokens OAuth2 e então acessa uma pasta específica da caixa de entrada via Graph API, procurando por e-mails com comandos.

Essa abordagem é chamada de canal C2 (comando e controle) encoberto, ou seja, um mecanismo pelo qual o invasor envia instruções à máquina infectada sem que esse tráfego pareça suspeito. Isso porque as comunicações passam pelos servidores da própria Microsoft, tornando a detecção por firewalls e sistemas de monitoramento de rede muito mais difícil.

Pasta "Zomato Pizza" e comandos criptografados

O backdoor faz consultas a uma pasta de e-mail chamada "Zomato Pizza" a cada dois segundos, procurando mensagens com o assunto iniciado pela palavra "Input". Ao encontrar um e-mail, descriptografa o corpo da mensagem, que está codificado em base64 com criptografia AES-CBC, e executa o conteúdo diretamente no sistema via terminal Linux (/bin/bash -c).

Após a execução, o malware apaga as mensagens da caixa de entrada para não deixar rastros. Os resultados dos comandos são criptografados e enviados de volta ao operador pelo mesmo canal.

O nome da pasta é uma referência a um restaurante de delivery localizado em Hyderabad, na Índia. A versão Windows do mesmo malware usava uma pasta chamada "Dragan Dash", também associada ao mesmo estabelecimento, um detalhe que contribuiu para ligar as duas versões durante a análise.

Versão Linux e Windows compartilham o mesmo desenvolvedor

Os pesquisadores identificaram que as variantes Linux e Windows do GoGra têm uma base de código quase idêntica. Ambas usam a mesma chave AES, a mesma lógica de C2 e compartilham até erros de codificação idênticos, o que indica que foram escritas pelo mesmo desenvolvedor.

As diferenças se limitam à arquitetura do sistema operacional, ao intervalo de tempo entre as consultas e aos nomes das pastas de e-mail usadas para a entrega dos comandos.

Harvester mira sul da Ásia desde pelo menos 2021

O grupo Harvester está ativo desde pelo menos 2021 e usa tanto ferramentas personalizadas quanto utilitários públicos. Um de seus instrumentos conhecidos é o backdoor Graphon, que também usa infraestrutura da Microsoft para comunicação C2 e apresenta semelhanças com o GoGra.

As primeiras amostras do novo malware foram enviadas ao VirusTotal a partir de dispositivos na Índia e no Afeganistão. O uso de documentos chamariz em idiomas locais reforça que a campanha foi direcionada especificamente a alvos na região. 

Nenhuma vítima confirmada foi identificada até o momento, mas os pesquisadores da Symantec concluem que o Harvester mantém interesse persistente na região para fins de espionagem.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

A OpenAI foi afetada pelo ataque à cadeia de suprimentos do Axios. A biblioteca JavaScript com mais de 100 milhões de downloads semanais foi comprometida por hackers norte-coreanos no fim de março.

A empresa não encontrou evidências de que dados de usuários foram acessados ou de que seus sistemas foram alterados, mas está revogando o certificado de assinatura de apps macOS e pedindo que todos os usuários atualizem seus aplicativos.

Workflow de assinatura do macOS baixou versão maliciosa

No dia 31 de março, um GitHub Actions workflow usado no processo de assinatura de aplicativos para macOS baixou e executou a versão 1.14.1 do Axios, que era maliciosa. Esse workflow tinha acesso a um certificado e a materiais de notarização usados para assinar o ChatGPT Desktop, Codex, Codex-cli e Atlas.

O certificado é o mecanismo pelo qual usuários verificam que um software vem de fato da OpenAI. Se comprometido, um atacante poderia usá-lo para assinar código malicioso e fazê-lo parecer um produto legítimo da empresa.

Causa raiz foi uma má configuração no workflow

A OpenAI identificou o erro que abriu a brecha. O workflow usava uma floating tag para referenciar a dependência, em vez de um commit hash específico. Isso significa que, ao ser executado, ele buscava automaticamente a versão mais recente disponível no registro. Ele baixou a versão maliciosa sem nenhuma verificação adicional.

O workflow também não tinha um minimumReleaseAge configurado, parâmetro que impõe um período de espera antes de aceitar pacotes recém-publicados e que teria bloqueado a versão comprometida.

OpenAI contratou empresa de forense

A análise da empresa concluiu que o certificado provavelmente não foi exfiltrado com sucesso pelo payload malicioso. Isso porque o timing da execução, a sequência de injeção do certificado no job e outros fatores mitigantes apontam nessa direção. Ainda assim, a OpenAI decidiu tratá-lo como comprometido.

Como parte da resposta ao incidente, a empresa contratou uma firma externa de forense digital e resposta a incidentes, rotacionou o certificado de assinatura, publicou novas versões de todos os apps afetados assinadas com o novo certificado e está trabalhando com a Apple para garantir que nenhum software seja notarizado com o certificado anterior.

A empresa também auditou todos os eventos de notarização do certificado comprometido e confirmou que não houve notarizações inesperadas.

Usuários precisam atualizar os apps até 8 de maio

A OpenAI não está revogando o certificado imediatamente para dar tempo aos usuários de migrar sem interrupções. Novas notarizações com o certificado antigo já foram bloqueadas, o que significa que qualquer app fraudulento assinado com ele será barrado por padrão pelas proteções do macOS — a menos que o usuário explicitamente ignore os avisos.

A revogação completa está programada para 8 de maio de 2026. A partir dessa data, novos downloads e execuções de apps assinados com o certificado anterior serão bloqueados pelo macOS. As versões mínimas que já vêm assinadas com o novo certificado são: ChatGPT Desktop 1.2026.051, Codex App 26.406.40811, Codex CLI 0.119.0 e Atlas 1.2026.84.2.

A empresa recomenda que os usuários atualizem apenas por meio das atualizações integradas dos próprios apps ou pelos links oficiais da OpenAI, e alerta para instaladores enviados por e-mail, mensagens, anúncios ou sites de download de terceiros.

Alcance do ataque ainda é incerto

O número exato de organizações afetadas pelo ataque ao Axios permanece desconhecido. A empresa de cibersegurança Huntress encontrou evidências de comprometimento em 135 máquinas. A Wiz observou a versão maliciosa sendo executada em 3% dos ambientes analisados.

O ataque é atribuído ao grupo UNC1069, ligado à Coreia do Norte e conhecido principalmente por campanhas de roubo de criptomoedas e esquemas financeiros. O nível de acesso obtido nessa operação, no entanto, também seria compatível com objetivos de espionagem.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Mais de vinte aplicativos disfarçados de carteiras de criptomoedas populares foram encontrados na App Store em março de 2026. Os apps passaram pelos filtros da Apple e chegaram a aparecer no topo dos resultados de busca, o que por si só já reduz a desconfiança do usuário.

A descoberta foi feita pela Kaspersky, que identificou 26 aplicativos imitando carteiras como MetaMask, Ledger, Trust Wallet, Coinbase, TokenPocket, imToken e Bitpie. Todos os casos foram reportados à Apple, e parte dos apps já foi removida.

Lacuna no mercado chinês abriu espaço para o golpe

O esquema aproveita uma restrição do mercado chinês. Muitos apps oficiais de carteiras cripto estão indisponíveis para usuários com Apple ID configurado para a região da China. Golpistas criaram apps falsos com ícones quase idênticos aos originais e nomes levemente errados, técnica conhecida como typosquatting, para escapar dos filtros da loja.

Em alguns casos, o app não tinha nenhuma relação visual com criptomoedas. Mesmo assim, exibia banners afirmando que a carteira oficial estava indisponível e oferecia um substituto para download.

Ao abrir o app, o usuário era redirecionado para uma página no navegador que simulava a aparência da App Store. A partir daí, o golpe usava perfis de provisionamento empresarial para instalar versões infectadas das carteiras no dispositivo.

Esse recurso foi criado pela Apple para que empresas distribuam apps internamente, sem passar pela loja oficial. É um mecanismo legítimo, mas que golpistas já usam há anos para distribuir malware fora dos controles da loja.

O que o malware faz depois de instalado

Em hot wallets, carteiras que armazenam as chaves privadas diretamente no dispositivo, o malware substitui métodos legítimos do código original por versões maliciosas. Basicamente, ele monitora a tela em que o usuário digita a frase de recuperação, extrai as palavras, criptografa os dados com RSA e os envia para um servidor controlado pelos atacantes.

No caso da Trust Wallet, a técnica foi diferente. Os atacantes inseriram uma seção executável diretamente no código principal do app, criando funções que sequestram os métodos acionados quando o usuário tenta restaurar ou criar uma carteira. O resultado é o mesmo, a seed phrase vai parar nas mãos dos criminosos.

O ataque à Ledger segue outra lógica

A Ledger é uma cold wallet. As chaves privadas ficam em um dispositivo físico separado, nunca exposto à internet. Como não há seed phrase digitada diretamente no app, o malware recorreu a phishing dentro da própria interface.

Foram encontradas duas versões infectadas da Ledger Live. Em uma delas, o app exibia uma notificação falsa exigindo uma verificação de segurança. Ao clicar, o usuário via uma página que imitava o visual do app com precisão, inclusive com autocomplete das palavras da frase de recuperação, para parecer mais legítima.

A segunda versão atuava diretamente no código-fonte do app, escrito em React Native. Isso dispensava bibliotecas específicas para cada sistema operacional e permitia reaproveitar o módulo malicioso em Android.

A Kaspersky também identificou versões comprometidas de carteiras Android distribuídas pelas mesmas páginas de phishing, embora nenhuma tenha sido encontrada na Google Play Store.

Campanha ativa desde o fim de 2025

Metadados do malware indicam que a campanha estava em operação pelo menos desde o outono de 2025, funcionando por meses sem ser detectada. Embora o foco inicial sejam usuários na China, os módulos maliciosos não têm restrições regionais. Algumas variantes adaptam automaticamente o idioma das notificações de phishing conforme o idioma configurado no dispositivo.

A Kaspersky aponta uma possível ligação entre os responsáveis por essa campanha e os criadores do Trojan SparkKitty. Alguns dos apps infectados continham módulos do SparkKitty, ambas as campanhas usam páginas de phishing que imitam a App Store e os logs internos do malware estão escritos em chinês.

Os produtos Kaspersky detectam a ameaça como HEUR:Trojan-PSW.IphoneOS.FakeWallet.* e HEUR:Trojan.IphoneOS.FakeWallet.*.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Pesquisadores da SentinelOne identificaram um vírus de sabotagem baseado em Lua, desenvolvido anos antes do famoso Stuxnet e projetado para manipular softwares de cálculo de alta precisão como o LS-DYNA, usado por instituições iranianas de engenharia civil e processos industriais. 

O malware, batizado de Fast16, foi identificado em um ataque datado de 2005 e aparece referenciado no vazamento de ferramentas ofensivas da Agência de Segurança Nacional dos Estados Unidos (NSA), feito pelo grupo ShadowBrokers. Esse é o mesmo vazamento que expôs parte do arsenal cibernético dos Estados Unidos.

A SentinelLabs estava rastreando os primeiros usos da linguagem Lua em malware para Windows quando encontrou o arquivo svcmgmt.exe. Ele é um binário de serviço com uma máquina virtual Lua 5.0 embutida que referenciava o driver de kernel fast16.sys. 

É basicamente um programa disfarçado de serviço do Windows que carregava dentro de si um interpretador completo da linguagem Lua. Há evidências, segundo a empresa, de que o Fast16 pode ter sido desenvolvido pelos próprios americanos, assim como o Stuxnet.

O Stuxnet é um worm, basicamente um malware que se replica automaticamente entre máquinas, que ficou mundialmente conhecido em 2010 após ser descoberto em ataques contra instalações nucleares iranianas.

Um framework modular pensado para durar

O componente central do Fast16 é o próprio svcmgmt.exe, que funciona como um módulo-carregador. Dependendo dos argumentos de linha de comando, ele pode rodar como serviço, executar código Lua ou interpretar um nome de arquivo para disparar dois comandos distintos.

O binário contém três payloads internos. O primeiro é o código Lua, responsável por configuração, propagação e coordenação. O segundo é uma DLL auxiliar. O terceiro é o driver de kernel.

Ao separar um wrapper de execução relativamente estável de payloads criptografados e específicos para cada tarefa, os desenvolvedores criaram um framework reutilizável e compartimentado, capaz de se adaptar a diferentes ambientes e objetivos operacionais sem alterar o binário externo entre campanhas, segundo a análise da SentinelLabs.

Propagação com cautela

Para se mover entre máquinas, o Fast16 explorava senhas padrão ou fracas em compartilhamentos de rede no Windows 2000 e XP, usando APIs padrão do sistema. Mas a propagação era condicionada à ausência de chaves de registro associadas a fornecedores específicos de segurança, basicamente impedindo que o malware se executasse em ambientes monitorados.

Para uma ferramenta dessa época, esse nível de consciência ambiental é notável, avalia a SentinelLabs. A lista de produtos rastreados provavelmente refletia o que os operadores esperavam encontrar nas redes-alvo, tecnologias cuja presença poderia comprometer o sigilo da operação.

O driver que ficava entre o sistema e os arquivos

O driver fast16.sys carregava automaticamente junto com os drivers de dispositivo de disco. Ele se inseria acima dos sistemas de arquivos, desativava o Windows Prefetcher, resolvia APIs de kernel de forma dinâmica. Depois, se acoplava a todos os dispositivos de sistema de arquivos para interceptar os pacotes de requisição de I/O relevantes.

O foco do driver eram executáveis compilados com o compilador Intel C/C++. Ao interceptá-los, modificava os cabeçalhos PE para adicionar duas seções extras, viabilizando um processo de patching extenso mas estável.

O mecanismo opera com um conjunto compacto de pouco mais de cem regras de correspondência de padrões e uma pequena tabela de despacho. Com isso, inspecionava apenas os bytes com maior probabilidade de relevância, descreve a SentinelLabs.

Sabotagem de cálculos, não espionagem

Os padrões de patching identificados sugerem que o driver foi projetado para sequestrar ou influenciar os fluxos de execução de ferramentas de cálculo de precisão. Essas ferramentas são usadas em engenharia civil, física e simulação de processos físicos. Isso significa que o Fast16 não roubava dados, ele alterava os resultados dos cálculos.

Ao introduzir erros pequenos mas sistemáticos em cálculos do mundo físico, o framework poderia sabotar ou desacelerar programas de pesquisa científica e degradar sistemas engenheirados ao longo do tempo, segundo a SentinelLabs.

Um componente wormable garantia que a infecção se espalhasse para outras máquinas na mesma rede. Isso dificulta a detecção da sabotagem por quem tentasse validar os cálculos em outra máquina.

Três softwares no radar

A SentinelLabs identificou três suítes de engenharia e simulação de alta precisão como alvos potenciais do Fast16. São elas o LS-DYNA 970, o PKPM e a plataforma de modelagem hidrodinâmica MOHID. Os binários específicos visados pelo driver ainda não foram identificados.

O LS-DYNA é relevante nesse contexto porque há evidências de que o software foi usado pelo Irã como parte de seu programa de desenvolvimento de armas nucleares, o mesmo programa que o Stuxnet visava destruir.

O elo perdido entre gerações de malwares governamentais

A existência do Fast16 demonstra que capacidades de cibersabotagem de nível estatal já estavam totalmente desenvolvidas e em uso na metade dos anos 2000. Bem antes de o Stuxnet se tornar o marco público do tema.

No panorama da evolução de APTs, o Fast16 preenche a lacuna entre os primeiros programas de desenvolvimento amplamente invisíveis e os toolkits posteriores baseados em Lua e LuaJIT mais documentados. Ele é um ponto de referência para entender como atores avançados pensam sobre implantes de longo prazo, sabotagem e a capacidade de um Estado de remodelar o mundo físico por meio de software, conclui a SentinelLabs.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Uma ferramenta criada para proteger senhas foi usada para roubá-las. A versão 2026.4.0 do @bitwarden/cli ficou disponível no npm por menos de duas horas na última terça-feira (22), carregando um malware que furtava credenciais de desenvolvedores, de chaves SSH a tokens de nuvem.

O caso ocorreu após atacantes sequestrarem o pipeline de publicação da Bitwarden, sem deixar rastros no repositório. Por sua vez, a empresa confirmou o incidente e afirma que nenhum dado de vault de usuários foi comprometido. O ataque atinge um dos gerenciadores de senhas mais adotados no mercado corporativo. A ferramenta serve mais de 10 milhões de usuários e 50 mil empresas, segundo a Socket, uma das empresas responsáveis pela investigação.

Como o pipeline da Bitwarden foi comprometido

O ponto de entrada foi a conta GitHub de um engenheiro da Bitwarden. Com o acesso em mãos, o atacante criou um branch no repositório bitwarden/clients, inseriu um tarball malicioso pré-compilado e reescreveu o workflow publish-cli.yml para trocar um token OIDC do GitHub Actions por um token de autenticação do npm, publicando o pacote adulterado diretamente no registro.

Depois de concluir a publicação, o atacante apagou todas as evidências no repositório, incluindo o branch, o histórico de execuções do workflow e a tag de release. O pacote permaneceu disponível no npm como único artefato remanescente.

O incidente é considerado o primeiro caso confirmado em que o mecanismo de OIDC Trusted Publishing do npm foi explorado como vetor de ataque. Esse recurso foi criado justamente para eliminar tokens de longa duração, mas não oferece restrições por branch. Qualquer branch comprometido no repositório tinha permissão para publicar no npm.

O que o malware fazia

O pacote comprometido mantinha a funcionalidade original do CLI. Desenvolvedores que instalaram a versão 2026.4.0 recebiam uma ferramenta funcional, sem mensagens de erro e sem qualquer sinal visível de problema.

Por baixo, um hook de preinstalação executava bw_setup.js antes de qualquer interação do usuário. Esse loader baixava o runtime Bun, um ambiente JavaScript alternativo ao Node, e usava-o para executar o payload principal, bw1.js, 9,7 MB de JavaScript ofuscado. A escolha do Bun é deliberada. 

Regras de detecção em EDRs e SIEMs monitoram processos suspeitos do Node durante instalações de pacotes. Um processo bun passa despercebido pela maioria dessas ferramentas.

O stealer rastrear, em paralelo, três categorias de alvos. Credenciais locais incluíam chaves SSH, configurações do Git, histórico de shell, tokens npm e GitHub, credenciais AWS e GCP e arquivos .env. Em ambientes de CI/CD com a variável GITHUB_ACTIONS=true, o malware ativava um módulo específico para extrair o token de sessão do GitHub CLI via memory scraping do processo Runner.Worker e enumerar todos os repositórios acessíveis.

A terceira categoria é incomum para ataques desse tipo. O malware enumerava explicitamente ferramentas de codificação com IA, incluindo Claude Code, Cursor, Kiro, Codex CLI e Aider. Arquivos como ~/.claude.json e configurações de servidores MCP eram tratados como alvos prioritários, no mesmo nível de tokens de nuvem.

Além do roubo, o malware garantia persistência injetando o payload nos arquivos ~/.bashrc e ~/.zshrc, e usava um lock file em /tmp/tmp.987654321.lock para evitar múltiplas execuções simultâneas.

Exfiltração, fallback e atribuição complicada

Os dados coletados eram criptografados com AES-256-GCM e enviados para audit.checkmarx.cx, domínio registrado para imitar telemetria legítima da Checkmarx. Se esse canal fosse bloqueado, o malware criava repositórios sob a conta da própria vítima e enviava os dados para lá, tornando o tráfego indistinguível de uso normal da API do GitHub.

Os repositórios seguem uma nomenclatura temática do filme Duna no formato palavra-palavra-três dígitos, com termos como atreides, sandworm e harkonnen. Strings ideológicas embutidas no código, como "Shai-Hulud: The Third Coming" e referências ao "Butlerian Jihad", indicam conexão com uma campanha de supply chain que emergiu no ano passado, mas com assinatura operacional diferente.

Outro sinal que complica a atribuição é um kill switch, no qual o malware encerra a execução silenciosamente se detectar que o locale do sistema começa com "ru", verificando variáveis como LC_ALL, LC_MESSAGES e LANG. A Socket aponta que a infraestrutura é compartilhada com o grupo TeamPCP, mas as diferenças sugerem um operador distinto, um subgrupo ou uma evolução na postura da campanha.

Como se proteger

Apenas quem instalou a versão 2026.4.0 pelo npm no período afetado está exposto. A recomendação é desinstalar o pacote com npm uninstall -g @bitwarden/cli, limpar o cache com npm cache clean --force e instalar a versão 2026.4.1.

Todas as credenciais presentes na máquina devem ser rotacionadas, incluindo tokens GitHub e npm, chaves SSH, credenciais de nuvem e chaves de API armazenadas em ~/.claude.json ou configurações de MCP. 

Pipelines de CI/CD que executaram a instalação devem ser tratados como totalmente comprometidos, com auditoria de workflows, branches inesperados e repositórios públicos criados recentemente. Um CVE está sendo emitido para a versão 2026.4.0.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Um nacional chinês identificado como Song Wu passou pelo menos cinco anos se passando por engenheiros e pesquisadores americanos. O objetivo era obter ilegalmente softwares militares e aeroespaciais de funcionários da NASA, do Exército, da Marinha, da Força Aérea e de universidades nos Estados Unidos.

O esquema foi revelado em relatório do Inspetor-Geral da NASA publicado nesta quinta-feira. A denúncia do Departamento de Justiça americano, apresentada em setembro de 2024, descreve uma campanha de spear-phishing que durou de janeiro de 2017 a dezembro de 2021.

Song era engenheiro da Corporação da Indústria Aeronáutica da China (AVIC), uma conglomerada aeroespacial e de defesa controlada pelo Estado chinês. De acordo com a investigação, ele teria realizado pesquisas detalhadas sobre suas vítimas para criar contas falsas convincentes, imitando colegas e conhecidos dos alvos.

Vítimas não sabiam que estavam violando leis de controle de exportação

Os funcionários e colaboradores de pesquisa da NASA acreditavam estar compartilhando software com colegas. Na prática, estavam enviando tecnologia de defesa sensível a uma conta controlada por Song e seus cúmplices.

O Inspetor-Geral confirmou que o esquema foi bem-sucedido em alguns casos. Nenhuma das vítimas identificadas havia percebido que estava violando as leis americanas de controle de exportação ao enviar os arquivos.

Os softwares visados pelos atacantes eram usados para design aeroespacial e desenvolvimento de armamentos. 

O FBI destacou que as ferramentas têm aplicações industriais e militares, incluindo o desenvolvimento de mísseis táticos avançados e a avaliação aerodinâmica de armas.

40 anos, indiciado e foragido

Wu foi indiciado por fraude eletrônica e 14 acusações de roubo de identidade qualificado. Cada acusação de fraude eletrônica prevê pena máxima de 20 anos de prisão. A condenação por roubo de identidade qualificado acrescenta dois anos consecutivos à eventual sentença.

Ele permanece foragido. O FBI o incluiu na lista de mais procurados dos Estados Unidos.

Como identificar fraudes de controle de exportação

O relatório do Inspetor-Geral aponta que Song cometeu erros que poderiam ter exposto o esquema mais cedo. Ele fez múltiplas solicitações para o mesmo software sem justificar a necessidade e não seguiu os protocolos convencionais de transferência.

Segundo o órgão, golpes desse tipo apresentam padrões recorrentes. Fraudadores costumam sugerir métodos de pagamento incomuns, como transferências bancárias suspeitas, alteram abruptamente os termos ou a origem do pagamento e utilizam meios de transferência não convencionais para ocultar a identidade e contornar restrições de exportação.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Pesquisadores da Forcepoint X-Labs identificaram, em abril de 2026, dez casos confirmados de Injeção Indireta de Prompt (IPI) em sites ativos na internet. A técnica, que insere comandos ocultos em páginas web para manipular agentes de inteligência artificial, saiu do campo teórico e agora compromete a infraestrutura real.

O ataque funciona explorando uma limitação estrutural dos modelos de linguagem (LLMs). A incapacidade de distinguir dados que estão sendo lidos de instruções que devem ser seguidas. Isso é chamado de ausência de fronteira dado-instrução.

Quando um agente de IA visita uma página para resumir conteúdo, pesquisar informações ou executar tarefas automatizadas, ele ingere tudo. Isso inclui comandos escondidos, e os trata como legítimos.

Diferente da injeção direta, em que o próprio usuário envia uma instrução maliciosa ao modelo, na IPI o atacante nunca interage com a IA. Ele envenena a página e espera.

Comandos invisíveis para humanos, legíveis para IA

Para esconder os payloads, os comandos maliciosos, os atacantes usam técnicas de ocultação que tornam o conteúdo invisível a qualquer visitante humano, mas plenamente acessível ao contexto de um LLM. Entre os métodos identificados estão fontes de 1 pixel, cores transparentes, comentários HTML e tags de metadados com namespaces customizados. A propriedade CSS display:none também foi usada com frequência.

Alguns payloads são simples blocos de texto ocultos. Outros imitam tokens internos de segurança de provedores de modelos. Como o caso do site lcpdfr.com, que usou uma string falsa chamada ANTHROPIC_MAGIC_STRING_TRIGGER_REFUSAL para tentar fazer o modelo interpretar o comando como uma instrução de nível de sistema. O mesmo site empregou tags XML que simulam a estrutura de system prompts legítimos.

Dez casos, seis categorias de dano

Os pesquisadores classificaram os incidentes por intenção. O espectro vai de manipulação de SEO até destruição de dados.

Em faladobairro.com, um comando sudo rm -rf foi embutido na página com o objetivo de forçar um agente com acesso a terminal, como assistentes integrados a IDEs ou pipelines de CI/CD, a deletar um diretório de backup. Ferramentas como GitHub Copilot, Claude Code e revisores automatizados de código seriam alvos diretos desse tipo de payload.

Em perceptivepumpkin.com, os atacantes incluíram um fluxo completo de transação via PayPal.me, com valor fixo de US$ 5 mil e instruções passo a passo, visando agentes com capacidade de efetuar pagamentos. 

O uso de uma plataforma legítima, em vez de um link de phishing genérico, sugere que os atacantes entenderam que modelos tendem a avaliar a confiabilidade de URLs antes de agir.

Em thelibrary-welcome.uk, um comentário HTML forçava o modelo a vazar uma chave de API secreta, basicamente uma credencial de acesso a sistemas. Em bentasker.co.uk, a injeção se passou por autoridades, alegando falsamente uma proibição de direitos autorais para fazer o modelo recusar qualquer resumo da página. 

Como alternativa, o código malicioso faz a IA escrever um poema sobre milho, um payload de distração para confirmar que a injeção funcionou.

O problema da detecção em escala

Um ponto levantado pelos pesquisadores complica a resposta defensiva. As frases usadas para detectar IPI, como "Ignore instruções prévias" ou "Se você é um modelo de linguagem", aparecem também em documentos legítimos de segurança, posts técnicos e relatórios de inteligência de ameaças.

Isso significa que sistemas de detecção baseados em padrões vão surfaçar conteúdo legítimo ao lado de payloads reais.

Superfície de ataque cresce com os privilégios do agente

O impacto da IPI é diretamente proporcional ao que o agente pode fazer. Um modelo que apenas resume páginas representa risco baixo. Um agente que envia e-mails, executa comandos no terminal ou processa pagamentos vira alvo de alto impacto.

Os padrões de injeção compartilhados entre diferentes domínios sugerem uso de kits ou templates, não experimentos isolados. Isso indica organização, e uma superfície de ataque que cresce à medida que agentes de IA ganham mais privilégios em sistemas corporativos e pessoais.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Um pesquisador de segurança anônimo, sob o usuário “Chaotic Eclipse”, divulgou o código de exploração de uma vulnerabilidade não corrigida no Windows. A falha é capaz de elevar um usuário comum ao nível SYSTEM, o maior grau de controle sobre o sistema operacional.

A falha, chamada BlueHammer, estava sob divulgação responsável com a Microsoft. No entanto,o pesquisador, insatisfeito com a resposta da empresa, decidiu publicar o exploit antes de qualquer patch estar disponível. Isso torna a vulnerabilidade um zero-day pelo critério da própria Microsoft, uma falha conhecida publicamente sem correção.

Ao BleepingComputer, a empresa comentou: “A Microsoft tem o compromisso com os clientes de investigar problemas de segurança relatados e atualizar os dispositivos afetados para proteger os clientes o mais rápido possível. Também apoiamos a divulgação coordenada de vulnerabilidades, uma prática amplamente adotada no setor que ajuda a garantir que os problemas sejam cuidadosamente investigados e resolvidos antes da divulgação pública, contribuindo tanto para a proteção dos clientes quanto para a comunidade de pesquisa em segurança.” 

BlueHammer não é acesso remoto

O BlueHammer é classificado como Escalação Local de Privilégio (LPE). Sozinho, não permite que um atacante invada sistemas remotamente. O que ele faz é ampliar o que um intruso já pode fazer quando tem algum acesso à máquina, seja por phishing, malware ou roubo de credenciais.

Na prática, a distinção importa menos do que parece. Ataques reais quase sempre combinam um vetor de acesso inicial com uma escalada de privilégios. E o BlueHammer cobre essa segunda etapa ao transformar uma conta com permissões limitadas em controle total.

Como a falha funciona

Will Dormann, analista principal da empresa de segurança Tharros, confirmou ao BleepingComputer que o BlueHammer combina duas técnicas. A primeira é TOCTOU (time-of-check to time-of-use). O Windows valida uma condição em um momento, mas a executa em outro, abrindo uma janela para interferência.

A segunda é path confusion, que induz o sistema a processar um recurso diferente do pretendido durante uma operação privilegiada.

O resultado prático dessa combinação é o acesso ao banco Gerenciador de Contas de Segurança (SAM), que armazena hashes de senhas de contas locais. Com esse acesso, é possível escalar para SYSTEM e comprometer a máquina por completo.

Dormann descreve o desfecho como se o atacante basicamente passasse a controlar o sistema e pudesse abrir shells com privilégios de SYSTEM.

Código público, mas sem correção

O pesquisador, que usa o pseudônimo Chaotic Eclipse e também publicou sob o alias Nightmare-Eclipse, não explicou em detalhes a mecânica do exploit. Em referência à liderança da Microsoft Security Response Center (MSRC), escreveu: "Obrigado por tornar isso possível." O próprio pesquisador admitiu que o código contém bugs.

Testes de outros pesquisadores confirmaram que o exploit não se comporta de forma consistente em Windows Server. Nesse ambiente, o resultado observado foi escalonamento para administrador elevado, não SYSTEM completo. Em sistemas desktop, o nível SYSTEM foi confirmado.

Exploit com bugs e comportamento inconsistente não é o mesmo que exploit inofensivo. Códigos de prova de conceito publicados publicamente tendem a ser refinados por terceiros ao longo do tempo, especialmente quando o problema é real e validado por pesquisadores respeitados.

Enquanto não há patch, equipes de segurança precisam operar com monitoramento de escalonamento de privilégios, restrição de direitos administrativos locais e atenção redobrada a comportamentos anômalos em endpoints. Não existe atalho, uma vez que, sem correção disponível, a defesa depende inteiramente de detecção e contenção.

Ainda não há como se proteger dessa exploração de vulnerabilidade. 

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

O número de servidores usados para controlar botnets cresceu 24% no segundo semestre de 2025. A pesquisa da Pulsedive e da Spamhaus, mostra que os Estados Unidos ultrapassaram a China como epicentro desses centros de controle. Até o final do ano passado, eram mais de 21 mil servidores ativos no país.

Uma botnet é uma rede de computadores infectados por malware (bots) controlada por hackers e usada para realizar ataques DDoS, ou seja, derrubando sites. Ou até mesmo para roubar dados privados.

Malware Mirai teve código vazado e mudou cenário

“A atividade de botnets disparou ao longo do último ano, com a Spamhaus registrando aumentos de 26% e 24% nos dois períodos de seis meses de janeiro a junho de 2025 e julho a dezembro de 2025, respectivamente. Esse aumento está associado ao surgimento de bots e dispositivos conectados nos Estados Unidos", afirma a Pulsedive.

Grande parte desse crescimento vem do Mirai, um malware identificado pela primeira vez em 2016. Ele age de forma simples: varre a internet em busca de dispositivos IoT — roteadores domésticos, câmeras de segurança — que rodam em processadores ARC, componente comum nesses aparelhos e que frequentemente não tem proteção adequada.

O problema é que o código do Mirai vazou há anos. Desde então, qualquer pessoa com conhecimento técnico pode adaptar o vírus. O resultado disso é que hoje existem 116 ramificações diferentes, extraídas de mais de 21 mil amostras coletadas.

Botnets viram serviço parecido com streaming

Uma das versões mais conhecidas é o Satori, que infectou mais de 260 mil roteadores ao explorar uma falha nos dispositivos D-Link DSL-2750B. Outra variante, o KimWolf, mira sistemas Android, incluindo celulares e Smart TVs.

Essas botnets viraram um negócio. Os operadores vendem acesso aos dispositivos infectados em aplicativos como Discord e Telegram. Outros nomes associados ao Mirai incluem Aisuru, Tiny Mantis, Murdoc_Botnet, Lzrd e Resgod, todos disponíveis como serviço para quem estiver disposto a pagar.

Grupos cibercriminosos lucraram com essa expansão

O poder dessas redes ficou evidente nos números. O grupo Aisuru-KimWolf foi associado ao maior ataque DDoS já registrado, com 31,4 terabits por segundo e uma enxurrada de 14,1 bilhões de pacotes por segundo.

Conter esse tipo de ofensiva é difícil. Os ataques randomizam as características dos pacotes para enganar ferramentas de segurança. Os criminosos também escondem sua origem usando proxies residenciais, endereços de internet de usuários comuns, para que o tráfego malicioso pareça legítimo.

Quando as autoridades conseguem desativar parte da infraestrutura, a adaptação vem rápido. Após o Google e outras empresas derrubarem servidores do KimWolf, o grupo migrou para o I2P, o The Invisible Project, uma rede oculta projetada justamente para escapar da detecção.

Como se proteger

Na semana passada, o Departamento de Justiça dos EUA anunciou a desarticulação de redes como Aisuru, KimWolf, JackSkid e Mossad. Uma vitória, mas parcial. A ameaça persiste para quem ainda usa as credenciais padrão de fábrica nos dispositivos conectados.

Trocar essas senhas e manter o software atualizado continua sendo a defesa mais eficaz contra esse tipo de ataque.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Um kit de exploração para iPhones descoberto em março de 2026 tem mais em comum com uma das campanhas de espionagem mais sofisticadas já documentadas do que se imaginava inicialmente.

Análise técnica dos componentes do Coruna revelou que a ferramenta não foi construída do zero. Ela, na verdade, é uma versão atualizada da mesma estrutura usada na Operação Triangulation, campanha de espionagem móvel identificada em 2023.

A conclusão veio após uma análise técnica detalhada dos componentes do kit, possível porque os links de distribuição ainda estavam ativos quando o Google e a iVerify divulgaram os primeiros relatórios sobre a ferramenta.

O que é o Coruna

O Coruna é um kit de exploração voltado para iPhones que rodam versões do iOS entre 13.0 e 17.2.1. Ele foi documentado pela primeira vez pelo Google e pela iVerify no início de março de 2026. O kit contém cinco cadeias completas de exploração para iOS, com um total de 23 exploits.

Entre eles estão o CVE-2023-32434 e o CVE-2023-38606, duas vulnerabilidades que chamaram a atenção da Kaspersky imediatamente. Ambas foram exploradas pela primeira vez como zero-days na Operação Triangulation, em 2023.

Todos os detalhes técnicos dessas falhas já fossem públicos e outros pesquisadores tenham desenvolvido seus próprios exploits de forma independente. No entanto, a Kaspersky decidiu investigar se o código presente no Coruna tinha alguma relação direta com o da campanha anterior.

A ligação com a Operação Triangulation

A Operação Triangulation foi uma campanha sofisticada de espionagem móvel descoberta pela Kaspersky enquanto monitorava o tráfego de sua própria rede corporativa. A empresa identificou atividade suspeita originada de iPhones conectados à rede interna.

Após uma investigação de mais de seis meses, pesquisadores descobriram que a campanha utilizava um implante de spyware avançado e múltiplos exploits zero-day para comprometer dispositivos iOS.

A análise do Coruna mostrou que o exploit de kernel para o CVE-2023-32434 e o CVE-2023-38606 presente no kit não é uma reimplementação independente das vulnerabilidades. Trata-se, na avaliação da Kaspersky, de uma versão modificada e atualizada do mesmo código usado na Triangulation, e produzida pelos mesmos autores.

As mudanças no código

As modificações identificadas pela Kaspersky no exploit atualizado indicam desenvolvimento ativo. O código passou a incluir suporte a processadores mais recentes da Apple, como o A17, M3, M3 Pro e M3 Max, lançados no segundo semestre de 2023. Foram adicionadas também verificações para versões mais novas do iOS, incluindo a 17.2, lançada em dezembro de 2023.

Uma das adições mais reveladoras é a checagem específica para o iOS 16.5 beta 4. Esta é a versão que corrigiu as vulnerabilidades exploradas na Triangulation, após a divulgação da Kaspersky à Apple. A presença dessa verificação no código indica que os desenvolvedores acompanharam de perto as correções aplicadas pela Apple e ajustaram a ferramenta em resposta a elas.

Além do exploit atualizado, o Coruna inclui quatro exploits de kernel adicionais não observados na Operação Triangulation. Dois deles foram desenvolvidos após a descoberta da campanha original. Segundo a Kaspersky, todos esses exploits são construídos sobre a mesma estrutura base e compartilham código em comum. Isso reforça a conclusão de autoria unificada.

Como o ataque funciona

A cadeia de ataque começa quando um usuário acessa um site comprometido pelo Safari. Um componente inicial, chamado de stager, identifica o navegador e seleciona o exploit adequado com base na versão do browser e do sistema operacional.

Esse componente também contém a URL de um arquivo criptografado com informações sobre todos os pacotes de exploits disponíveis. Também está inclusa uma chave de 256 bits para descriptografá-lo.

Em seguida, uma carga útil é baixada e executada. Ela é responsável por acionar o exploit de kernel e, depois de concluída essa etapa, faz o download dos componentes adicionais necessários. Incluindo os carregadores Mach-O e o lançador do malware.

A seleção do carregador adequado leva em conta a versão do firmware, o modelo do processador e a presença de permissões específicas do sistema.

O componente final, chamado de launcher, é o orquestrador das atividades pós-exploração. Ele reutiliza objetos criados pelo exploit de kernel durante a execução para realizar leitura e escrita na memória do sistema. Isso tudo sem precisar acionar as vulnerabilidades novamente.

Sua função é injetar um stager no processo-alvo, executar o implante final e, por último, apagar os artefatos da exploração para dificultar a análise forense.

De espionagem estatal a uso em massa

O histórico de uso do Coruna ilustra a trajetória descrita pela Kaspersky. O kit foi utilizado inicialmente por um cliente de uma empresa de vigilância não identificada. Posteriormente, foi empregado por um agente estatal suspeito de alinhamento com a Rússia em ataques do tipo watering hole na Ucrânia.

Também foi identificado em uma campanha de exploração em massa que usou sites falsos de jogos de azar e criptomoedas para distribuir um malware de roubo de dados conhecido como PlasmaLoader.

A Kaspersky alerta que o design modular do kit e a facilidade de reutilização do código aumentam o risco de que outros grupos de ameaças incorporem a estrutura em seus próprios ataques.

A empresa recomenda que os usuários instalem as atualizações de segurança mais recentes disponíveis para seus dispositivos o quanto antes.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Um grupo de hackers, que opera há cinco meses sem interrupção, acabou de comprometer mais de 150 repositórios no GitHub. O coletivo também foi capaz de inundar um marketplace de extensões com 72 pacotes maliciosos e plantar código invisível dentro de servidores MCP, uma infraestrutura que conecta assistentes de IA como Claude e Cursor ao mundo externo.

Chamada de Wave 5, ou Quinta Onda, a operação mais recente da campanha GlassWorm foi detectada em março de 2026 por pesquisadores das empresas Koi, Aikido e Socket, que rastreiam o grupo de forma independente desde outubro de 2025. A atuação do coletivo, que começou como extensões maliciosas no marketplace OpenVSX, evoluiu para uma das campanhas de supply chain mais sofisticadas já documentadas contra desenvolvedores.

O truque que ninguém vê

A assinatura do GlassWorm não mudou em cinco meses. Eles usam caracteres Unicode invisíveis escondidos dentro de código aparentemente limpo. Funcionam como variações de seletores Unicode que renderizam como espaço em branco em qualquer editor, terminal ou ferramenta de code review. Mas quando decodificados em runtime, revelam uma carga maliciosa JavaScript completa.

Na prática, um desenvolvedor pode abrir o arquivo, percorrer cada linha, não encontrar nada de errado e dar a revisão como aprovada. O código malicioso simplesmente não aparece.

Essa técnica foi documentada pela primeira vez na Primeira Onda. Cinco iterações depois, ela continua sendo o núcleo da operação, o que diz algo sobre a eficácia dos controles de segurança disponíveis hoje para detectá-la.

O primeiro servidor MCP comprometido

Em 12 de março, o motor de risco da empresa Koi sinalizou um pacote npm suspeito: @iflow-mcp/watercrawl-watercrawl-mcp. À primeira vista parecia legítimo, um TypeScript bem estruturado, dependências reais, link apontando para o repositório original do WaterCrawl MCP.

Cinco versões publicadas no mesmo dia, da 1.3.0 à 1.3.4. Todas maliciosas desde o primeiro lançamento.

O pacote até incluía um JSON de configuração pronto para ser colado direto em qualquer ferramenta de AI coding. Quem buscasse "watercrawl mcp" no npm poderia instalar a versão errada sem perceber. Dentro do src/index.ts, após 26 linhas de código absolutamente normal, estava o decoder invisível, a mesma estrutura rastreada desde a Primeira Onda.

MCP (Model Context Protocol) é o protocolo que permite que assistentes de IA se conectem a serviços externos como crawlers, bancos de dados e APIs. Um servidor MCP roda como subprocesso direto do seu editor, na sua máquina, com acesso a variáveis de ambiente, tokens de autenticação e chaves de API.

A diferença crítica em relação a uma extensão maliciosa comum é que o servidor MCP não precisa procurar suas credenciais. Elas são entregues a ele por design. Comprometer um servidor MCP é essencialmente estar sentado no meio da conversa entre o desenvolvedor e todas as ferramentas que ele usa.

150 repositórios com commits que parecem humanos

Entre 3 e 9 de março, o GlassWorm injetou o decoder invisível em mais de 150 repositórios no GitHub. Entre as vítimas confirmadas estão o projeto Reworm (1.460 stars), repositórios da organização anomalyco e um template oficial da Wasmer.

O que torna a operação perturbadora não é só a escala, é o disfarce. Cada commit malicioso vinha embrulhado como uma contribuição normal. Pode ser uma atualização de documentação, bump de versão, pequeno bugfix. As mudanças combinavam com o estilo de código de cada repositório.

Produzir isso manualmente em 150 projetos diferentes seria impossível no tempo em que a operação ocorreu. Os pesquisadores apontam uso de LLMs para gerar o disfarce de cada injeção, um padrão que já havia aparecido na Segunda Onda em escala menor e que agora opera de forma industrial.

A nova tática no OpenVSX

No marketplace OpenVSX, o grupo publicou mais de 72 extensões falsas de ferramentas populares como ESLint, Prettier e Flutter, com contagens de download infladas artificialmente.

Mas a inovação desta onda está nos campos extensionPack e extensionDependencies dos manifestos do VSCode. Estes recursos legítimos permitem a uma extensão instalar outras automaticamente, sem nenhuma relação de confiança verificada.

O fluxo funciona assim: o grupo publica uma extensão de aparência limpa, que acumula instalações. Numa atualização futura, silenciosamente adiciona uma dependência apontando para uma extensão maliciosa.

O editor instala automaticamente para todos os usuários existentes. O malware nunca estava na extensão revisada, estava uma camada abaixo. Revisar no momento da instalação deixou de ser suficiente.

O que o malware faz depois de entrar

A cadeia opera em múltiplos estágios. Primeiro, coleta credenciais, carteiras de criptomoeda e informações do sistema, compacta tudo em ZIP e envia para um servidor externo.

Depois instala dois componentes adicionais: um binário .NET que, ao detectar uma carteira hardware Ledger ou Trezor via USB, abre uma janela de phishing pedindo as 24 palavras da frase de recuperação e reabre se o usuário fechar.

Além um RAT que força a instalação de uma extensão falsa do Chrome disfarçada de "Google Docs Offline", capaz de coletar cookies, histórico, teclas digitadas e screenshots, com vigilância específica configurada para a exchange de criptomoedas Bybit.

O endereço do servidor de comando nunca está no código. É obtido via transações na blockchain Solana, usada como intermediário. O malware lê um memo de uma transação pública para saber onde se conectar. Análise estática não revela nada.

Cinco ondas, cinco meses

Para entender a escala do que aconteceu em março, é preciso ver de onde o grupo partiu.

• Primeira Onda (outubro/2025): Unicode invisível em extensões OpenVSX.
• Segunda Onda (novembro/2025): pesquisadores acessam o servidor do atacante e encontram vítimas reais, incluindo uma entidade governamental do Oriente Médio.
• Terceira Onda: binários Rust, expansão para o marketplace oficial da Microsoft.
• Quarta Onda (dezembro/2025): pivô para macOS, trojanização de hardware wallets, 50.000 downloads.
• Quinta Onda (março/2026): a maior operação até agora.

Para verificar a exposição, a empresa polonesa AFINE lançou o glassworm-hunter, ferramenta open source que escaneia o sistema em busca de payloads conhecidos da campanha, inteiramente offline e sem telemetria.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Milhares de ambientes em nuvem foram infectados por malware de roubo de credenciais depois que o grupo criminoso TeamPCP comprometeu o Trivy, scanner de código aberto mantido pela Aqua Security. O ataque foi identificado pelo pesquisador de segurança Paul McCarty no final da semana passada e ainda está em expansão.

"Sabemos de mais de 1.000 ambientes SaaS afetados neste momento que estão lidando ativamente com esse agente de ameaça específico", disse Charles Carmakal, diretor de tecnologia da Mandiant Consulting, durante um evento do Google. "Essas mais de 1.000 vítimas provavelmente se expandirão para outras 500, outras 1.000, talvez outras 10.000."

Os criminosos estão colaborando com grupos de extorsão de alto perfil, incluindo o Lapsus. "Estamos vendo uma convergência perigosa entre invasores da cadeia de suprimentos e grupos de extorsão de alto perfil como o LAPSUS$", disse Ben Read, pesquisador-chefe da Wiz, empresa de segurança pertencente ao Google.

Eles são baseados principalmente nos Estados Unidos, no Reino Unido, no Canadá e na Europa Ocidental.

Por que o Trivy era um alvo valioso

O Trivy é uma ferramenta de código aberto usada para identificar vulnerabilidades, configurações incorretas e segredos expostos em ambientes de desenvolvimento.

Desenvolvedores costumam integrá-lo diretamente em seus pipelines de CI/CD, sistemas automatizados de construção e publicação de software.

Essa integração é o que tornava o scanner um alvo estratégico. Quem controla o Trivy tem acesso a chaves de API, credenciais de nuvem, tokens do GitHub e uma série de outros segredos confidenciais que passam pelo pipeline durante o desenvolvimento.

Como o ataque foi construído

O comprometimento começou em fevereiro, quando o TeamPCP explorou uma configuração incorreta no componente GitHub Action do Trivy. O grupo roubou um token de acesso privilegiado. Essa falha nunca foi totalmente corrigida.

Em março, os criminosos usaram esse token para fazer commits fraudulentos no repositório oficial do Trivy. A versão 0.69.4 foi comprometida. O grupo distribuiu imagens de contêineres maliciosas e versões adulteradas diretamente pelo GitHub.

Pesquisadores da Socket e da Wiz determinaram que o ataque atingiu múltiplos componentes ao mesmo tempo. Incluindo o scanner principal, a ação trivy-action do GitHub Action e a ação setup-trivy do GitHub Action. Os invasores forçaram a atualização de 75 das 76 tags do trivy-action para versões maliciosas.

O resultado prático era simples. Qualquer desenvolvedor que abrisse o scanner em seu pipeline de desenvolvimento executava automaticamente um malware de roubo de informações.

"Com mais de 10.000 arquivos de fluxo de trabalho no GitHub fazendo referência a essa ação, o alcance potencial do ataque é significativo", afirmou o analista da Socket, Philipp Burckhardt.

A expansão para outros ecossistemas

O ataque não ficou restrito ao Trivy. Pesquisadores descobriram que o TeamPCP expandiu suas operações para infectar o ecossistema npm, o maior repositório de bibliotecas JavaScript do mundo. O ataque foi feito por meio de um worm inédito batizado de CanisterWorm.

O worm foi implantado usando tokens de publicação roubados durante o ataque inicial ao Trivy. Esses tokens funcionam como senhas que permitem publicar pacotes em nome de uma conta legítima.

O liteLLM também foi comprometido. Esse componente de middleware de inteligência artificial está presente em 36% de todos os ambientes de nuvem, segundo a Wiz. Os criminosos infectaram a ferramenta com um trojan.

"Ao se espalhar horizontalmente pelo ecossistema, atingindo ferramentas como o liteLLM, presentes em mais de um terço dos ambientes de nuvem, eles estão criando um efeito bola de neve", disse Read. "Este não é um incidente isolado. É uma campanha sistêmica que exige que as equipes de segurança tomem medidas."

A vandalização da Aqua Security

No domingo, além de identificar imagens maliciosas adicionais publicadas no Docker Hub, os pesquisadores observaram que o TeamPCP invadiu o GitHub interno da própria Aqua Security, a empresa que mantém o Trivy.

Os criminosos renomearam todos os 44 repositórios internos da companhia e expuseram código-fonte interno, configurações de CI/CD e bases de conhecimento. A descrição de cada repositório foi alterada para uma única mensagem: "TeamPCP domina a Aqua Security."

De acordo com a Socket, "embora o escopo total desse acesso permaneça incerto, a presença desses repositórios indica um nível mais profundo de controle sobre a organização do GitHub durante o ataque."

O que diz a Aqua Security

De acordo com a companhia-mãe, a resposta ao ataque está em fase de remediação e documentação. A empresa afirma que a investigação principal e as ações de contenção imediatas praticamente concluídas. Agora, a israelense focará em consolidar as descobertas e comunicá-las de forma clara aos clientes e partes interessadas.

“Estamos desenvolvendo documentação formal que inclui o cronograma confirmado, as ações tomadas para remediar o incidente e materiais de apoio para garantia e atestação do cliente. Em paralelo, estamos interagindo diretamente com os clientes para fornecer atualizações estruturadas e garantir que eles tenham as informações necessárias para avaliar qualquer impacto potencial em seus ambientes”, explica a companhia.

O que vem a seguir

Em mensagens públicas publicadas no Telegram, os próprios atacantes anunciaram que pretendem continuar visando outros projetos populares de código aberto.

Carmakal afirma que eles são conhecidos por serem excepcionalmente agressivos em suas extorsões. Eles são muito barulhentos, muito agressivos, e por isso acabaremos vendo o impacto nos próximos dias, semanas e meses.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

A TP-Link corrigiu diversas vulnerabilidades nos roteadores Archer NX. As correções incluíram uma falha de gravidade crítica que poderia permitir que invasores contornassem a autenticação e instalassem um novo firmware.

Registrada como CVE-2025-15517, essa falha de segurança afeta os roteadores sem fio Archer NX200, NX210, NX500 e NX600. A vulnerabilidade é proveniente de uma falha de autenticação ausente que invasores podem explorar sem privilégios.

Falha crítica permitia troca de firmware sem autenticação

De acordo com a TP-Link, o problema está na ausência de verificação de autenticação no servidor HTTP para determinados pontos de extremidade CGI. Isso permite o acesso não autenticado para qualquer usuário.

“Um invasor pode realizar ações HTTP privilegiadas sem autenticação, incluindo o upload de firmware e operações de configuração”, afirmou a empresa.

A TP-Link também removeu uma chave criptográfica hardcoded (CVE-2025-15605) do mecanismo de configuração. Ela que permitia que invasores autenticados descriptografassem arquivos de configuração, os modificassem e os criptografassem novamente.

As correções também incluíram duas vulnerabilidades de injeção de comando, identificadas como CVE-2025-15518 e CVE-2025-15519. Essas falhas permitiam que agentes maliciosos com privilégios de administrador executassem comandos arbitrários.

TP-Link “lava as mãos” caso usuários não façam atualização

A recomendação da companhia é que os clientes baixem e instalem a versão mais recente do firmware para evitar ataques. “Se você não tomar todas as medidas recomendadas, essa vulnerabilidade permanecerá. A TP-Link não se responsabiliza por consequências que poderiam ter sido evitadas seguindo este aviso”, acrescentou.

No final do ano passado, a TP-Link já havia corrigido outras vulnerabilidades de dia zero. Nessa categoria, as falhas são desconhecida pelo desenvolvedor, deixando-o com zero dias para criar uma correção antes que hackers a explorem.

Essa falha afetava vários modelos de roteadores e permitia que os invasores interceptassem ou manipulam tráfego não criptografado. Além disso, era possível redirecionar consultas de DNS para servidores maliciosos e injetar cargas maliciosas em sessões web.

CISA identificou pelo menos 6 falhas da empresa

A CISA adicionou outras duas falhas da TP-Link (CVE-2023-50224 e CVE-2025-9377) ao seu catálogo de Vulnerabilidades Exploradas Conhecidas em setembro, as quais a botnet Quad7 vem explorando para comprometer roteadores vulneráveis.

No total, a agência de segurança cibernética dos EUA sinalizou seis vulnerabilidades da TP-Link como exploradas em ataques, sendo a mais antiga uma vulnerabilidade de traversal de diretório (CVE-2015-3035) que afeta vários dispositivos Archer.

Roteadores estrangeiros estão proibidos nos EUA

Em fevereiro, o procurador-geral do Texas, Ken Paxton, processou a TP-Link Systems. De acordo com o republicano, a empresa promove enganosamente seus roteadores como seguros. 

Tudo isso enquanto, segundo o político, permitia que grupos de hackers patrocinados pelo Estado chinês explorassem vulnerabilidades de firmware e acessassem os dispositivos dos usuários.

Esta semana, a Comissão Federal de Comunicações dos EUA também atualizou sua Lista de Produtos Abrangidos, que supostamente oferecem risco ao país. Agora, a lista inclui todos os roteadores de consumo fabricados em países estrangeiros. O objetivo é proibir a venda de novos roteadores fabricados fora dos EUA devido a um “risco inaceitável para a segurança nacional”.

Chineses não são a única ameaça

A proibição significa que todos esses roteadores fabricados no exterior — e não apenas alguns fornecedores chineses específicos — estão agora incluídos na lista de produtos abrangidos pela FCC.

As únicas exceções incluem roteadores que receberam aprovação condicional do Departamento de Defesa dos EUA (DoD) ou do Departamento de Segurança Interna (DHS). Neste momento, a lista de exceções inclui apenas sistemas de drones e sistemas de vigilância online.

A agência destacou que os roteadores fabricados no exterior “estavam diretamente implicados” nos ataques cibernéticos Volt, Flax e Salt Typhoon. Esses ataques tiveram como alvo infraestruturas críticas americanas de comunicações, energia, transporte e água.

TP-Link já estava sendo pressionada

A TP-Link estava sendo pressionada pelos EUA desde o ano passado. Pelo menos cinco agências federais do país apoiaram a proposta de banir a venda de produtos da empresa por ela ser chinesa.

De acordo com essas agências, a principal preocupação é a proteção digital de consumidores, empresas e governo. Supostos laços com o governo chinês fazem os Estados Unidos desconfiarem de possíveis coletas de dados sensíveis e exploração de vulnerabilidades de segurança.

Roteadores de consumo sob fogo cruzado

Embora o aviso público pareça uma proibição geral de todos os roteadores fabricados no exterior nos EUA, a FCC proibiu especificamente “roteadores de consumo". De acordo com a definição no Relatório Interno 8425A do NIST, que se refere àqueles “destinados ao uso residencial e que podem ser instalados pelo cliente”.

Os roteadores Wi-Fi e com fio existentes atualmente em uso podem continuar operando sem restrições.

Além disso, as empresas que já obtiveram autorização de rádio da FCC para equipamentos de rede específicos fabricados no exterior estão autorizadas a manter as importações desses modelos aprovados.

No entanto, como quase todos os roteadores para o consumidor são fabricados fora dos EUA, a medida da FCC proíbe efetivamente a importação da maioria dos futuros modelos de roteadores para o consumidor.

Acompanhe o TecMundo nas redes sociais. Inscreva-se na nossa newsletter e canal do YouTube para mais notícias de tecnologia e segurança.

A preparação para o Lollapalooza começa muito antes de você pisar no Autódromo de Interlagos. Garantir a capa de chuva, montar a programação dos shows e colocar o lanche na bolsa são passos que todo mundo já conhece. Mas há um item que merece atenção especial: o celular que vai te acompanhar a registrar todo o evento.

Em grandes festivais, é preciso tomar cuidados de segurança com o aparelho para evitar prejuízos. Só em 2024, a polícia recuperou 44 celulares furtados durante o Lolla e realizou oito prisões. 

Operações policiais também são realizadas do lado de fora do Autódromo para garantir a segurança de quem frequenta o evento. Mesmo se o pior acontecer, ainda há como garantir a contenção de danos.

Configurações básicas de segurança

Antes de sair de casa, certifique-se de que seu celular está protegido com uma senha forte, além de reconhecimento facial ou biometria ativados. Essas barreiras dificultam o acesso imediato ao aparelho em caso de furto e ganham um tempo precioso, permitindo que você consiga bloquear aplicativos bancários ou apagar os dados remotamente.

Evite também andar com o celular desbloqueado em meio à multidão. O hábito de deixar a tela acesa e aberta facilita a ação de criminosos, especialmente em áreas muito movimentadas.

Rastreamento e bloqueio remoto

Para bloquear o aparelho ou apagar seu conteúdo à distância, é indispensável que as funções "Buscar meu iPhone" (iOS) ou "Encontrar meu Dispositivo" (Android) estejam ativadas antes do evento. Com elas, você também consegue rastrear a localização do celular em tempo real e verificar se ele não está em um dos pontos de achados e perdidos do festival.

No iPhone, vale ativar também o Modo Perdido, que bloqueia o aparelho e exibe uma mensagem de contato na tela. No Android, o Google oferece recursos similares pelo site android.com/find.

Cuidados com pagamentos no Lollapalooza 2026

Com o Pix, é provável que você vá usar o celular para pagar no festival. Antes de ir, revise os limites de transações Pix, especialmente os limites noturnos, e os limites dos seus cartões de crédito. Deixe apenas o necessário disponível.

Remova os aplicativos de banco da tela inicial e, se possível, ative o bloqueio por senha separada nesses apps. Muitos bancos também oferecem a opção de desativar o app temporariamente pelo próprio sistema, ou ativar o modo rua.

Se preferir usar cartão físico, opte por carteiras ou porta-cartões com proteção RFID. Esses acessórios são forrados com materiais condutores, como metal, que bloqueiam sinais sem contato (NFC) e impedem que leitores maliciosos acessem seus cartões sem que você perceba.

Atenção às conexões

Evite redes Wi-Fi públicas e abertas. Se precisar de internet, o mais seguro é pedir para um amigo compartilhar o sinal. Redes abertas podem ser usadas em golpes que interceptam dados de quem está conectado.

Se não tiver alternativa e precisar usar uma rede pública, evite inserir senhas, dados bancários ou informações pessoais enquanto estiver conectado.

Além disso, Cuidado com entradas USB desconhecidas. Prefira sempre levar seu próprio carregador portátil (powerbank) ou conectar o aparelho diretamente em uma tomada convencional. Isso evita o juice jacking, um tipo de ataque em que invasores roubam dados ou instalam malwares em dispositivos conectados a carregadores USB adulterados.

Se o pior acontecer

Mesmo tomando todos os cuidados, imprevistos podem acontecer. Se seu celular for furtado:

• Acesse remotamente o painel de rastreamento pelo computador ou celular de outra pessoa;
• Bloqueie ou apague o dispositivo à distância;
• Entre em contato com seu banco imediatamente para bloquear cartões e suspender transações;
• Registre um boletim de ocorrência — ele é necessário para acionar seguros e reportar o furto às autoridades.

Para mais dicas de segurança, acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

O Telegram é o aplicativo de mensagens favorito dos cibercriminosos. Apesar de concorrentes tentarem tomar o trono, a preferência dos usuários é quase unânime. É isso que aponta a pesquisa da Check Point.

Mesmo com as implementações de regras de moderação e remoção de conteúdos mais presentes, o Telegram ainda é parte da rotina de quem tem algo a esconder.

A origem do Telegram

Criado em 2013 pelos irmãos Pavel e Nikolai Durov, o Telegram nasceu com o objetivo de ser um aplicativo de mensagem baseado em nuvem. Além disso, o foco era a agilidade, criptografia e resistência à censura.

Com o passar do tempo, o app ganhou funções como bots, monetização, canais e grupos. E com isso, atingiu centenas de milhares de usuários. Além disso, o Telegram se tornou uma das maiores plataformas do mundo – principalmente para atores de ativismo político, crime, extremismo e cibercrime.

A prisão de Durov e o aumento da moderação

Durante anos, agentes criminosos puderam usar o aplicativo como um meio de comunicação com pouquíssima interferência. Até que Pavel Durov foi preso em 2024, suspeito de ser cúmplice em crimes como tráfico de drogas, divulgação de pornografia infantil, lavagem de dinheiro e fraude. Isso justamente devido à ausência de moderação adequada no Telegram.

Então, em fevereiro de 2025, o aplicativo foi forçado a apertar as rédeas e fazer a moderação mais rigorosa. De acordo com a pesquisa “Telegram’s Crackdown and Criminal Resilience in 2026” da Check Point, mais de 43,5 milhões de canais e grupos foram desativados. Desse total, apenas 2% eram relacionados a conteúdos de abuso infantil e 0,8% ao terrorismo.

Mesmo com as atividades sendo mais vigiadas, os criminosos não se afugentaram. O levantamento também mostra que as novas regras do Telegram não causaram uma migração significativa para outras plataformas. Na verdade, os atacantes se adaptaram e passaram a usar as ferramentas de moderação a seu favor.

Criminosos se adaptaram às novas regras

O levantamento da Check Point determina que pelo menos 20% dos canais bloqueados do app de mensagens, eram relacionados a atividades criminosas. E 2026 parece não ser um ano de mudança nesse cenário. Na verdade, o estudo encontrou evidências de que os posts sendo minados pela moderação da plataforma estão crescendo.

Entre setembro de 2025 e fevereiro de 2026, as publicações derrubadas chegaram a 500 mil. Um pico que não havia sido registrado durante o estudo da Check Point, que analisou o período entre dezembro de 2023 até o início deste ano.

Telegram ainda vence a concorrência

A empresa de cibersegurança reitera que não encontrou uma quantidade considerável de atores de ameaça compartilhando links ou mencionando a migração para outras plataformas. Apesar de que é importante destacar que o Telegram é usado como uma rede para comunicação em massa. Contatos diretos são sim feitos por outras redes sociais.

Entre elas, o SimpleX é uma das favoritas. Um grupo cibercriminoso russo, conhecido como AKULA, tentou migrar para esse app, mas não conseguiu motivar seu público.

Nos últimos 3 meses, a Check Point analisou os links de grupos que cibercriminosos compartilharam. O Telegram ganha de lavada de outros apps, incluindo o Discord e o Signal, com mais de 3 milhões de compartilhamentos.

Técnicas para se manter no anonimato

Para conseguirem se manter no Telegram, cibercriminosos têm aplicado técnicas diferentes. Alguns grupos incluem avisos de isenção de responsabilidade nas descrições dos grupos. Nesses alertas, os criminosos inclusive marcam os criadores do app para dizer que não estão infringindo as regras – até mesmo quando eles estão cometendo crimes.

Outra prática de praxe é criar outros canais e grupos de backup, nos quais não circulam nenhum conteúdo, mas acumulam seguidores.

As regras de moderação do Telegram tem enrijecido muito nos últimos anos, mas não o suficiente para espantar os criminosos. E o aplicativo se mantém como um centro de compartilhamento e esquematização de golpes e crimes.

Com legislações de diversos países mudando, para manter crianças seguras na internet, é possível que vejamos mais mudanças no Telegram nos próximos anos.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Uma vulnerabilidade de escalada local de privilégios (LPE) recém-identificada afeta instalações padrão do Ubuntu Desktop 24.04 e versões posteriores, permitindo que invasores obtenham acesso root completo ao sistema.

A falha, rastreada como CVE-2026-3888, foi descoberta pela Qualys Threat Research Unit e envolve a interação entre dois componentes centrais do sistema operacional.

O problema surge da forma como o snap-confine e o systemd-tmpfiles operam juntos sob determinadas condições. Embora a exploração exija paciência, por conta de uma janela de tempo específica, o resultado potencial é o comprometimento total da máquina.

Cadeia de ataque baseada em temporização

A CVE-2026-3888 depende de uma cadeia de ataque baseada em temporização. Os invasores exploram processos automatizados de limpeza do sistema para substituir diretórios críticos por conteúdo malicioso.

Os elementos centrais do ataque incluem aguardar a limpeza de arquivos temporários, que ocorre entre 10 e 30 dias, dependendo da versão do sistema. Depois disso, recria-se um diretório deletado com cargas maliciosas e acionar o snap-confine para executar esses arquivos com privilégios de root.

Apesar de a vulnerabilidade ter recebido pontuação 7.8 no CVSS, classificada como de alta gravidade. Sua complexidade também é considerada alta devido à janela de temporização exigida. Ainda assim, nenhuma interação do usuário é necessária, o acesso de baixo nível é suficiente para iniciar o ataque.

Sistemas Ubuntu afetados e correções disponíveis

A falha impacta múltiplas versões do Ubuntu, especialmente aquelas que utilizam versões do pacote snapd anteriores às atualizações recentes. Sistemas com Ubuntu Desktop 24.04 e posteriores são os mais expostos.

Usuários e organizações devem atualizar imediatamente para as versões corrigidas:

• Ubuntu 24.04 LTS: snapd 2.73+ubuntu24.04.2 ou posterior;
• Ubuntu 25.10 LTS: snapd 2.73+ubuntu25.10.1 ou posterior;
• Ubuntu 26.04 (desenvolvimento): snapd 2.74.1+ubuntu26.04.1 ou posterior;
• snapd upstream: versão 2.75 ou posterior;

Sistemas legados não são afetados pelas configurações padrão, mas ainda podem se beneficiar da aplicação dos patches como medida preventiva.

Segunda falha identificada antes do lançamento do Ubuntu 25.10

Em uma revisão separada, realizada antes do lançamento do Ubuntu 25.10, a Qualys identificou uma segunda vulnerabilidade no pacote uutils coreutils. O problema envolvia uma condição de corrida no utilitário rm, que poderia permitir que invasores manipulassem exclusões de arquivos durante tarefas agendadas do sistema.

A falha foi corrigida antes da divulgação pública. Os desenvolvedores reverteram temporariamente para o GNU coreutils como salvaguarda, enquanto as correções definitivas foram implementadas pelo time upstream.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Um kit de crimioso para iOS está sendo usado por fornecedores de soluções de vigilância comercial e cibercriminosos ligados a governos. Os alvos são dados pessoais de usuários de iPhone.

O DarkSword é um kit de exploração de cadeia completa para iOS. Ele encadeia seis vulnerabilidades distintas, quatro das quais foram exploradas como falhas zero-day – ou seja, que não tinham sido identificadas por profissionais de segurança. O objetivo é obter o comprometimento total de dispositivos em iPhones com versões do iOS de 18.4 a 18.7.

A cadeia de exploração opera inteiramente em JavaScript, o que permite que os invasores contornem as medidas de mitigação da Apple. Isso inclui a Page Protection Layer (PPL) e o Secure Page Table Monitor (SPTM), que impediriam a execução de código binário nativo não assinado.

O nome da cadeia de exploração foi identificado pelo grupo de Inteligência de Ameaças do Google (GTIG), pela iVerify e pela Lookout, com base em marcas de ferramentas encontradas nas cargas úteis analisadas. As empresas de cibersegurança confirmaram o uso desse kit em campanhas direcionadas contra vítimas na Arábia Saudita, Turquia, Malásia e Ucrânia.

Cadeia de exploração de seis vulnerabilidades no iOS

A cadeia de seis vulnerabilidades começa com a exploração de execução remota de código (RCE) direcionada ao JavaScriptCore. Esse é o mecanismo JavaScript da Apple usado no Safari e no WebKit. 

A cadeia então avança por duas etapas de fuga da sandbox, uma escalada de privilégios local e uma implantação final de carga útil. Isso é necessário para que os invasores tenham privilégios completos no nível do kernel.

A falha conhecida como CVE-2026-20700 é uma omissão do Código de Autenticação de Ponteiro (PAC) no vinculador dinâmico dyld da Apple. A vulnerabilidade foi encadeada diretamente com ambas as explorações de RCE e corrigido apenas no iOS 26.3 após o GTIG ter relatado o problema à Apple.

Três famílias de malware se beneficiaram dos ataques

O Google identificou três famílias distintas de malware de pós-exploração implantadas após um ataque bem-sucedido do DarkSword. Cada uma adaptada às necessidades específicas de um determinado agente de ameaças.

O GHOSTKNIFE é implantado pelo grupo UNC6748 por meio de um site de phishing com tema do Snapchat (snapshare[.]chat). Ele é um backdoor em JavaScript capaz de extrair contas conectadas, mensagens, dados do navegador, histórico de localização e gravações de áudio do microfone. 

Ele se comunica com seu servidor de comando e controle (C2) por meio de um protocolo binário personalizado criptografado com ECDH e AES, e exclui ativamente os logs de falhas do dispositivo para dificultar a detecção forense.

Já o GHOSTSABER, implantado pela empresa turca de vigilância comercial PARS Defense em campanhas direcionadas à Turquia e à Malásia, suporta mais de 15 comandos C2. Isso inclui enumeração de dispositivos, exfiltração de arquivos, execução de consultas SQLite arbitrárias e uploads de miniaturas de fotos. 

Alguns comandos, como gravação de áudio e geolocalização em tempo real, ainda não estão totalmente implementados no JavaScript. Isso sugere que módulos binários adicionais são baixados em tempo de execução diretamente do servidor C2.

O terceiro malware, o GHOSTBLADE, é atribuído ao suposto agente de espionagem russo UNC6353 e funciona como um minerador de dados abrangente. 

Ele exfiltra mensagens do iMessage, Telegram e WhatsApp, dados de carteiras de criptomoedas, histórico e cookies do Safari. Além disso, ele também verifica bancos de dados de saúde, chaves de dispositivo, histórico de localização e senhas de Wi-Fi salvas. 

Ao contrário das outras duas famílias, o GHOSTBLADE não opera de forma persistente nem suporta comandos interativos de backdoor. No entanto, a amplitude de sua coleta de dados o torna altamente valioso para operações de inteligência. 

Chama a atenção uma referência no código da biblioteca a uma função chamada startSandworm(), ainda sem implementação, possivelmente o codinome de um exploit separado ainda por vir.

Métodos de distribuição do DarkSword

Cada agente de ameaças adotou uma abordagem própria para distribuir o DarkSword. O UNC6748 utilizou um site fraudulento imitando o Snapchat, com carregadores JavaScript ofuscados, proteções anti-depuração e impressão digital de armazenamento de sessão para evitar reinfestar as mesmas vítimas.

O PARS Defense criptografou as etapas do exploit por meio de troca de chaves ECDH entre sua infraestrutura e o dispositivo da vítima. O que demonstra maior maturidade em segurança operacional.

O UNC6353, por sua vez, inseriu tags <script> maliciosas em sites ucranianos comprometidos, carregando o DarkSword silenciosamente por meio de iFrames ocultos. 

Um comentário no código-fonte escrito em russo reforça a atribuição ao grupo, que já havia sido associado anteriormente ao kit de exploração Coruna para iOS. O GTIG segue trabalhando com o CERT-UA para conter essa campanha, que permanecia ativa até março de 2026.

Correções e recomendações

O GTIG reportou todas as vulnerabilidades do DarkSword à Apple no final de 2025. As seis CVEs foram corrigidas, a maioria antes do lançamento do iOS 26.3 e o restante junto com ele. O Google também adicionou todos os domínios de distribuição identificados ao Safe Browsing.

Recomenda-se fortemente que os usuários atualizem para a versão mais recente do iOS. Para quem ainda não tem atualizações disponíveis, ativar o Modo de Bloqueio é uma medida adicional eficaz contra esse tipo de exploração.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Pesquisadores de segurança identificaram um novo vírus para celulares Android chamado Perseus. O malware rouba credenciais bancárias, lê anotações pessoais e permite controle remoto total do dispositivo. 

A ameaça está em distribuição ativa e mira principalmente usuários na Turquia e na Itália. Instituições financeiras, exchanges de criptomoedas e usuários comuns estão entre os alvos identificados até agora.

Perseus se aproveita das ruínas de outros malwares

O Perseus não surgiu do nada. Ele é construído sobre o código de vírus mais antigos e conhecidos no mundo do crime digital.

O principal deles é o Cerberus, uma família de malware ativa há muitos anos. O código do Cerberus vazou publicamente em 2020. A partir daí, outros criminosos passaram a usá-lo como base para criar novas ameaças. O Phoenix foi uma dessas variantes. 

O Perseus, por sua vez, parece ter sido construído diretamente sobre o código do Phoenix. Ele herda a estrutura técnica do antecessor e adiciona funcionalidades novas em cima dela.

Durante a análise, os pesquisadores identificaram duas versões do vírus circulando ao mesmo tempo. Uma delas tem os nomes internos escritos em inglês. A outra usa nomenclatura em turco. 

A versão em inglês é mais completa e contém ferramentas de depuração mais elaboradas. Ela também apresenta um detalhe incomum para um malware.

Há emojis espalhados pelo código, além de registros excessivos de atividade interna. Esses são sinais de que os desenvolvedores podem ter usado ferramentas de inteligência artificial para ajudar a escrever partes do vírus.

IPTV é a isca

O nome Perseus veio diretamente do painel de controle usado pelos criminosos. Esse painel é a interface pela qual os atacantes gerenciam os dispositivos infectados. 

Ele ficou visível durante a análise de algumas das campanhas investigadas. A escolha do nome segue uma tendência de grupos criminosos que batizam suas ferramentas com referências à mitologia grega.

O vírus chega aos celulares disfarçado de aplicativos de IPTV, que prometem acesso a canais de televisão por streaming. Eles são muito populares e costumam ser distribuídos fora da Play Store, a loja oficial do Android. 

Por esse motivo, os usuários já estão acostumados a instalar esse tipo de aplicativo de fontes alternativas. O Perseus se esconde dentro desses apps para não levantar suspeitas. A instalação parece normal, então o usuário não percebe que está infectando o próprio celular.

Para contornar proteções mais recentes do Android, o Perseus usa um componente chamado dropper. Esse componente é instalado primeiro. Ele prepara o terreno e burla restrições de segurança presentes nas versões mais novas do sistema. 

Só depois disso o vírus principal é implantado no dispositivo. Esse mesmo dropper já foi identificado na distribuição de outros malwares, como o Klopatra e o Medusa. O que indica que diferentes grupos criminosos compartilham infraestrutura e ferramentas entre si.

Telas falsas ajudam a roubar senhas e ler notas

Depois de instalado, o Perseus age em várias frentes ao mesmo tempo. A primeira delas é o roubo de credenciais bancárias. O vírus exibe telas falsas sobrepostas sobre aplicativos reais. 

Quando o usuário abre o app do banco, ele vê uma tela idêntica à original, mas essa tela pertence ao vírus. Tudo que o usuário digita ali é capturado e enviado aos criminosos. Senhas, números de conta e dados de cartão ficam expostos sem que a vítima perceba.

Uma das funcionalidades mais distintas do Perseus é o monitoramento de anotações. Essa capacidade é raramente vista em outros malwares para Android. O vírus verifica se o dispositivo tem aplicativos de notas instalados. 

Em seguida, ele abre cada um desses apps automaticamente. Percorre cada anotação salva. Registra todo o conteúdo encontrado. Faz isso sem nenhuma interação do usuário. 

Senhas anotadas, frases de recuperação de carteiras de criptomoedas, dados financeiros e informações pessoais guardadas nesses aplicativos ficam completamente expostos.

Celular fica à mercê dos criminosos

Para realizar essa varredura, o Perseus usa um recurso legítimo do Android chamado Serviço de Acessibilidade. Esse serviço foi criado para ajudar pessoas com deficiência a usar o celular. Ele permite que aplicativos interajam com a interface de outros apps. 

O Perseus desvia essa função para fins maliciosos. Ele simula toques na tela, navega pelos menus e lê o conteúdo dos aplicativos como se fosse o próprio usuário fazendo tudo isso.

O controle remoto do dispositivo é outra capacidade central do vírus. Quando ativado, o Perseus começa a capturar a tela do celular continuamente. 

Essas imagens são comprimidas, codificadas e enviadas ao servidor dos criminosos em tempo quase real. O atacante passa a enxergar tudo que acontece na tela da vítima. Ele pode ver mensagens, senhas digitadas, notificações e qualquer outra atividade no aparelho.

Em outro modo de operação, o vírus envia ao criminoso uma representação estruturada de toda a interface do celular. Com isso, o atacante não precisa apenas observar. Ele consegue interagir com o dispositivo remotamente, tocar em botões, preencher formulários e navegar entre aplicativos. 

É como se o criminoso estivesse segurando o celular da vítima nas próprias mãos. Isso permite que transações bancárias fraudulentas sejam iniciadas e autorizadas diretamente pelo atacante, sem que a vítima saiba.

Malware se esconde

Para não ser detectado por pesquisadores de segurança, o Perseus realiza uma série extensa de verificações antes de agir. Ele verifica se há um chip SIM inserido no aparelho.

Depois, analisa se os dados da operadora parecem reais. Checa se a bateria apresenta valores plausíveis. Avalia se o dispositivo tem câmera e outros sensores físicos. Conta quantos aplicativos estão instalados. Verifica se o Google Play Services está presente. 

Ele então busca por ferramentas usadas em análises de segurança, como o Frida e o Xposed. Procura sinais de que o sistema foi desbloqueado com acesso root.

Todas essas informações são combinadas para gerar uma pontuação de suspeita. Essa pontuação é enviada ao painel dos criminosos. Um operador humano analisa os dados e decide como prosseguir com cada dispositivo infectado. 

Turquia e Itália são principais alvos

As campanhas identificadas mostram um foco geográfico claro. A Turquia lidera a lista de alvos, com 17 instituições financeiras na mira. A Itália aparece em seguida, com 15 instituições visadas. Polônia, Alemanha, França, Emirados Árabes Unidos e Portugal também estão na lista. 

Além dos bancos tradicionais, o Perseus também mira exchanges de criptomoedas. Nove plataformas do setor foram identificadas como alvos ativos nas campanhas analisadas.

A distribuição geográfica dos alvos não é por acaso. A Turquia concentra a maior parte das campanhas observadas. O uso de aplicativos IPTV como disfarce reforça esse foco, pois esse serviço é popular na região. 

O Perseus também apresenta conexões com outras operações criminosas conhecidas. Além de compartilhar o dropper com famílias como Medusa e Klopatra, ele usa infraestrutura semelhante à de outros grupos ativos. 

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Pesquisadores de segurança identificaram nove vulnerabilidades graves no AppArmor, módulo de proteção nativo do Linux. As falhas existem no sistema desde 2017 e afetam mais de 12,6 milhões de servidores empresariais ativos ao redor do mundo. O conjunto de brechas recebeu o nome de CrackArmor.

O AppArmor funciona como uma camada de segurança dentro do Linux, definindo o que cada programa pode ou não fazer no sistema. Distribuições populares como Ubuntu, Debian e SUSE já vêm com ele ativado por padrão. Por isso, a exposição ao problema é tão grande.

Em detalhes, o problema não está no conceito por trás do AppArmor. A falha está na forma como o código do módulo foi implementado dentro do kernel. O modelo de controle obrigatório de acesso em si continua válido.

Como o ataque funciona

Para explorar as falhas, o invasor não precisa de senha de administrador. Uma conta local comum já é suficiente. A partir dela, o atacante escreve em pseudo-arquivos especiais dentro do kernel. Esses arquivos ficam no caminho /sys/kernel/security/apparmor/. Por meio deles, é possível carregar, substituir ou remover perfis de segurança sem autorização.

A falha é classificada como "confused deputy". O termo descreve uma situação em que um componente do sistema age em nome de outro sem perceber que está sendo manipulado.

É como um invasor convencer o gerente de um prédio, que tem a chave mestra, a abrir cofres restritos que o invasor jamais poderia acessar sozinho. O AppArmor, nesse caso, executa ações maliciosas por acreditar que recebeu instruções legítimas.

O que um invasor pode fazer

As consequências variam e podem ser devastadoras. O invasor pode escalar seus privilégios até o nível mais alto de privilégios no sistema, o root. 

No nível do espaço de usuário, o ataque envolve ferramentas comuns do sistema. O invasor carrega um perfil que bloqueia uma capacidade específica do comando sudo. Em seguida, manipula uma variável de ambiente chamada MAIL_CONFIG. Isso faz com que o sudo envie um e-mail como root usando o Postfix. O resultado é a obtenção de um shell com privilégios totais.

No nível do kernel, a exploração é ainda mais profunda. Uma falha do tipo use-after-free no componente aa_loaddata permite realocar uma página de memória liberada. Essa página pode ser usada para sobrescrever o arquivo /etc/passwd diretamente.

Esse arquivo é onde o Linux armazena as senhas de todos os usuários do sistema. Com isso, o invasor reescreve a senha do root para um valor que ele mesmo escolheu. Em seguida, usa o comando su, que permite trocar de usuário dentro do terminal, e entra no sistema com controle total.

Além da escalada de privilégios, o invasor pode travar o sistema inteiro. Perfis com subperfis muito profundos fazem o kernel entrar em loop recursivo durante a remoção. Esse processo esgota a pilha do kernel, que tem cerca de 16 KB em sistemas x86-64. O esgotamento causa um kernel panic e reinicialização forçada. Uma hierarquia de apenas 1024 subperfis já é suficiente para provocar a queda do sistema.

O atacante também pode bloquear serviços críticos. Carregar um perfil de "negar tudo" contra o SSH, por exemplo, impede qualquer acesso remoto legítimo. Remover perfis de serviços como rsyslogd ou cupsd elimina proteções contra atacantes externos.

Há ainda a possibilidade de vazar endereços da memória do kernel, o que quebra uma proteção importante chamada KASLR. Isso abre caminho para ataques remotos ainda mais sofisticados.

Por fim, o invasor pode escapar de contêineres. Ao carregar um perfil específico para o binário /usr/bin/time, usuários sem privilégios conseguem criar namespaces de usuário com capacidades completas. Isso contorna diretamente as restrições que o Ubuntu aplica para limitar o uso de namespaces.

Quem está em risco

Os sistemas afetados vão muito além de computadores pessoais. Infraestruturas corporativas, plataformas de nuvem, ambientes Kubernetes e dispositivos IoT estão todos na lista. As falhas existem no kernel desde a versão 4.11, lançada em 2017. Isso significa quase oito anos de exposição silenciosa.

A Qualys chegou ao número de 12,6 milhões de sistemas afetados por meio de sua ferramenta de gestão de ativos de cibersegurança. A empresa confirmou que seus próprios produtos e plataformas foram verificados e não estão vulneráveis.

Contexto geopolítico

O tipo de dano que o CrackArmor pode causar se encaixa no perfil de operações conduzidas por grupos patrocinados por estados. Esses grupos costumam priorizar destruição em vez de espionagem.

A CISA e o Departamento de Segurança Interna dos Estados Unidos já emitiram alertas para os setores de energia, saúde, água e defesa. O CrackArmor reduz drasticamente o esforço necessário para causar danos graves em infraestruturas críticas.

O que as empresas estão fazendo

A Qualys, empresa responsável pela descoberta, desenvolveu provas de conceito que demonstram os ataques em toda a cadeia de exploração. O código não foi publicado para não facilitar o trabalho de criminosos.

A divulgação foi feita de forma coordenada com as equipes de segurança da Ubuntu, Canonical, Debian, SUSE e com mantenedores do sudo, ao longo de vários meses.

Nenhum identificador CVE foi atribuído até agora. Isso acontece porque o processo de catalogação oficial só é concluído após a correção ser incorporada ao kernel estável, geralmente uma ou duas semanas depois. A Qualys alertou que a ausência de um número CVE não deve ser interpretada como sinal de baixo risco.

"O CrackArmor prova que até mesmo as proteções mais consolidadas podem ser contornadas sem credenciais de administrador", afirmou Dilip Bachwani, CTO da Qualys. "Para os responsáveis pela segurança das empresas, aplicar correções não é suficiente. É preciso reexaminar toda a suposição do que configurações padrão significam para a infraestrutura."

O que fazer agora

A recomendação das equipes de segurança inclui aplicar as atualizações de kernel disponibilizadas pelos fornecedores é o primeiro passo. Verificar quais sistemas ainda estão vulneráveis é o segundo.

Monitorar o diretório /sys/kernel/security/apparmor/ em busca de modificações suspeitas completa o conjunto mínimo de ações necessárias também é uma boa prática. Ambientes com contêineres e clusters Kubernetes merecem atenção redobrada.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Criminosos estão usando o hábito de rastrear encomendas para aplicar golpes em larga escala. A empresa de inteligência de ameaças Group-IB identificou um crescimento expressivo nesse tipo de fraude ao longo de 2025. 

O esquema explora o volume de 161 bilhões de pacotes movimentados anualmente pelo comércio eletrônico global e afeta consumidores em dezenas de países.

O que é o golpe do rastreio falso

O ataque começa com uma mensagem de texto, que imita uma transportadora conhecida. A mensagem avisa sobre uma entrega com problema, junto de um link para "atualizar o endereço" ou "pagar uma taxa".

Ao clicar, a vítima cai em um site falso, com a página imitando com precisão o visual de empresas reais. Ali, o usuário preenche dados pessoais e financeiros. Essas informações vão direto para os golpistas.

Dois métodos são usados para entregar a mensagem. O primeiro usa números anônimos formatados como prefixos locais, já o segundo aplica falsificação de remetente. Isso faz o SMS parecer que veio de uma empresa já conhecida pela vítima.

Como os números cresceram

Em 2024, esse tipo de campanha mal aparecia nos radares dos pesquisadores. Em 2025, o cenário mudou completamente. O Group-IB registrou mais de 100 campanhas únicas por mês durante todo o ano, com picos em junho e dezembro. Nesses períodos foram identificadas 218 e 208 campanhas, respectivamente.

Os domínios usados imitam marcas reais, com parte deles usando extensões baratas e pouco regulamentadas – como .xyz, .shop, .click e .top. Outra parte abusa do “.com” tradicional, criando variações visuais que enganam à primeira vista.

A plataforma por trás dos ataques

Muitas dessas campanhas compartilham a mesma infraestrutura. Os pesquisadores identificaram características associadas ao Darcula, uma plataforma de phishing criada em idioma chinês e surgida em 2023.

O Darcula funciona como um serviço vendido para criminosos. Ele oferece mais de 20 mil domínios falsos e mais de 200 modelos de páginas para imitar marcas de governos, companhias aéreas, serviços postais e bancos. O serviço já foi usado em ataques em mais de 100 países.

A plataforma era comercializada pelo Telegram. Após ser exposta pela empresa de segurança Mnemonic, o grupo removeu seus canais públicos. O Group-IB confirmou, em relatório de 13 de março, que o Darcula continua ativo em canais clandestinos.

Golpes da encomenda no Brasil

No segundo semestre do ano passado, o TecMundo registrou duas campanhas de golpes da encomenda que visavam usuários brasileiros. O primeiro se utilizou da Total Express, entregadora parceira da Amazon, para roubar dinheiro das vítimas. 

Durante esses ataques, os usuários recebiam mensagens fraudulentas, se passando pela Total Express, pedindo pagamentos para liberar o envio da encomenda. No entanto, os comunicados incluíam CPF e e-mail das vítimas. Além do nome completo e endereço de entrega, com um código de rastreio real.

Os criminosos agiam rápido e, menos de um dia após a movimentação do produto, já enviavam as mensagens para as vítimas. O recado avisava que a Receita Federal havia tributado os produtos comprados e pediam que o usuário pagasse a taxa.

A segunda campanha se passava pela J&T Express, outra empresa de logística ligada a grandes e-commerces. No entanto, as mensagens que chegavam às vítimas afirmavam que as encomendas estavam retidas na base operacional da entregadora por questões documentais.

Na mensagem, os golpistas informavam o conteúdo da entrega, o nome completo da vítima assim como seu endereço completo. Havia também um link que direcionava o usuário a pagar uma taxa para a suposta empresa, de forma a liberar a entrega.

As contas criadas por criminosos pareciam reais, usam o logo e a identidade visual de empresas. No caso da J&T Express, a conta do WhatsApp que enviava as mensagens era verificada.

Como se proteger

Para os consumidores, a principal recomendação é não clicar em links recebidos por SMS. Qualquer notificação de entrega deve ser verificada diretamente no site oficial da transportadora, digitando o endereço manualmente no navegador.

Para as empresas, o Group-IB recomenda uma série de medidas. As organizações precisam publicar alertas regulares sobre golpes que abusam de suas marcas. Protocolos de autenticação de e-mail, como DMARC, DKIM e SPF, reduzem o risco de mensagens enviadas em nome da empresa. 

Também é recomendável oferecer uma ferramenta pública de verificação de códigos de rastreio e manter um canal claro para denúncias, como um endereço de e-mail específico para fraudes.

Trabalhar com operadoras de telefonia para filtrar padrões de SMS suspeitos é outra medida citada. Ela impede que as mensagens maliciosas sequer cheguem ao consumidor.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Pesquisadores identificaram três campanhas distintas que usaram uma técnica chamada ClickFix para enganar usuários de macOS. Entre novembro de 2025 e fevereiro de 2026, o objetivo dos criminosos era fazer as vítimas instalarem um programa malicioso chamado MacSync. 

A técnica não explora falhas no sistema, mas convence a própria vítima a executar o ataque. Mais de 29 mil interações foram registradas apenas na segunda campanha.

O que é o ClickFix

O ClickFix é uma técnica de engenharia social, nome dado a métodos que manipulam psicologicamente uma pessoa. O objetivo é desestabilizar vítimas, geralmente por meio de urgência ou medo, para que ela tome uma ação prejudicial por conta própria. 

No caso do ClickFix, a vítima é induzida a abrir o terminal do computador e executar um comando malicioso. O terminal é uma interface de texto que permite enviar instruções diretamente ao sistema operacional. Quando a vítima executa o comando, ela mesma instala o malware.

Esse contexto torna o ClickFix especialmente difícil de conter. Tecnologias modernas de segurança, como o padrão FIDO2, protegem contra o roubo de senhas de login. Mas elas não têm como impedir que uma pessoa execute um comando no próprio computador.

O malware instalado nessas campanhas se chama MacSync. Ele é classificado como infostealer, que coleta silenciosamente informações sensíveis do dispositivo da vítima e as envia para os atacantes.

Novembro de 2025: a isca do ChatGPT

A primeira campanha usou o nome do ChatGPT como isca. Quando a vítima buscava por "chatgpt atlas" no Google, o primeiro resultado exibido era um anúncio pago pelos próprios atacantes – ele aparecia acima do site legítimo.

O link levava a um site falso hospedado no [sites.google.com], o que dá uma aparência de confiabilidade para a página. Ao clicar no botão de download, a vítima não recebia um arquivo, mas instruções para abrir o terminal e executar um comando.

O comando estava ofuscado, efeito parte de uma técnica que embaralha o código para esconder o que ele realmente faz. Quando decodificado, ele baixava e executava um script Bash. Esse script pedia a senha da vítima e instalava o MacSync com as permissões do usuário.

Dezembro de 2025: a conversa que virou armadilha

A segunda campanha manteve os anúncios pagos no Google, mas mudou o destino do clique. Em vez de um site falso, a vítima era levada a uma conversa real hospedada no próprio site do ChatGPT. A conversa parecia um guia útil, com dicas para limpar o Mac ou instalar ferramentas populares.

Dentro da conversa havia links. Eles levavam a páginas falsas com visual inspirado no GitHub, uma plataforma legítima muito usada por desenvolvedores. A interface imitava um processo de instalação e trazia mensagens como "para usuários experientes". Essa frase é uma técnica de manipulação: “ela incentiva a vítima a prosseguir para não parecer incapaz”.

Ao executar o comando apresentado nessa interface, a vítima desativava duas camadas de proteção nativa do macOS. O Gatekeeper verifica se um aplicativo vem de um desenvolvedor confiável antes de permitir sua execução. O XProtect é o antivírus embutido da Apple. Como o comando era executado manualmente no terminal, o sistema entendia que a ação era deliberada e autorizava tudo.

Os pesquisadores descobriram que as páginas maliciosas enviavam dados para um servidor dos atacantes em tempo real. Cada vez que a vítima clicava em "copiar" o comando, o sistema registrava o endereço IP dela, sua localização e o horário da visita. 

Essas informações eram enviadas automaticamente para um bot no Telegram controlado pelos criminosos. Telegram é um aplicativo de mensagens. O bot funcionava como um painel de monitoramento da campanha.

Ao consultar esses registros, os pesquisadores conseguiram dimensionar o ataque. Apenas entre os domínios rastreados, foram contabilizadas mais de 29 mil interações até 22 de dezembro de 2025. Strings de código encontradas nos servidores sugeriam que os operadores pertenciam a um ecossistema de língua russa.

Fevereiro de 2026: ataque aprende com os anteriores

A campanha mais recente é a mais sofisticada das três. O ponto de entrada continuou sendo o ClickFix, desta vez com uma página imitando o site oficial da Apple. Mas tudo que acontece depois do clique mudou.

Após executar o comando, o computador da vítima baixava um loader. Um loader é um programa inicial cujo único propósito é preparar o terreno para o malware principal. Esse loader chegava codificado e comprimido, o que dificultava a análise por ferramentas de segurança.

Uma novidade dessa versão era o uso de chaves de API para autenticar cada vítima no servidor dos atacantes. Uma chave de API funciona como uma senha única que identifica quem está fazendo uma requisição. 

Sem ela, o servidor não entregava o malware. Isso impedia que pesquisadores baixassem o conteúdo em massa para analisá-lo.

O malware operava completamente em silêncio. Toda a sua atividade era redirecionada para um destino especial do sistema que descarta qualquer informação, tornando a execução invisível para a vítima. 

O payload, que é a parte do malware responsável pela coleta de dados, funcionava inteiramente na memória do computador – sem gravar arquivos no disco. A maioria dos antivírus monitora arquivos gravados em disco. Ao operar só na memória, o malware reduzia as chances de ser detectado.

A coleta de dados era extensa. O infostealer extraía senhas salvas, cookies e histórico de navegadores como Chrome e Firefox. Tentava obter a senha do macOS por múltiplos métodos, incluindo uma janela falsa imitando o sistema operacional. 

Copiava arquivos sensíveis das pastas de desktop e documentos. Extraía chaves SSH, que são usadas para acesso a servidores remotos, e credenciais de serviços de computação em nuvem.

O ataque mais sofisticado era direcionado ao Ledger Live, um aplicativo para gerenciar carteiras de criptomoedas. O malware localizava o aplicativo no computador da vítima e substituía seu código interno por uma versão maliciosa. 

Essa versão continha lógica para capturar a seed phrase da carteira. Uma seed phrase é uma sequência de palavras que funciona como a chave mestra de uma carteira de criptomoedas.

Quem a possui pode recriar a carteira em qualquer dispositivo e transferir todos os fundos imediatamente. Para não levantar suspeitas, o aplicativo continuava funcionando normalmente após a substituição.

O que mudou no cenário

Durante anos prevaleceu a ideia de que o macOS era inerentemente mais seguro que o Windows. O sistema da Apple possui proteções nativas robustas que forçavam os atacantes a adotar técnicas mais complexas – mas esse cenário mudou.

Infostealers afetam usuários de macOS de forma rotineira hoje. Eles representam uma fração significativa de todas as detecções de malware nessa plataforma. E as três campanhas descritas aqui mostram que os atacantes estão aprendendo ativamente com cada rodada.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

O Instagram anunciou o fim de um recurso importante de privacidade. A plataforma encerrará o suporte à criptografia de ponta a ponta nas mensagens diretas em 8 de maio de 2026.

A mudança foi identificada em uma atualização silenciosa do Centro de Ajuda do aplicativo, destacada pelo site PiunikaWeb. A Meta não apresentou justificativa oficial para a decisão e não informou se adotará outra tecnologia de criptografia em substituição.

O que é a criptografia de ponta a ponta

A criptografia de ponta a ponta, conhecida pela sigla E2EE (End-to-End Encryption), é uma tecnologia que protege o conteúdo das mensagens durante o envio. Apenas os dispositivos de quem envia e de quem recebe têm acesso ao conteúdo – nem mesmo a empresa responsável pela plataforma consegue ler as mensagens.

O que muda para os usuários

Com o encerramento do recurso, a Meta passa a ter acesso técnico ao conteúdo das conversas privadas. A empresa conseguirá escanear as mensagens de forma automatizada, fornecê-las a autoridades mediante solicitação legal e agir com mais agilidade sobre denúncias de outros usuários.

O Instagram orienta que os usuários afetados façam o download de mídias e registros de conversas antes da transição. Aparelhos com versões mais antigas do aplicativo podem precisar de atualização antes de conseguir exportar os dados.

Por que a mudança pode ter acontecido

A empresa não explicou os motivos da decisão. Uma hipótese levantada é que a mudança esteja ligada à pressão global sobre plataformas digitais.

Diversas redes sociais estão sendo pressionadas para combater a distribuição de CSAM (Child Sexual Abuse Material), expressão em inglês para material de abuso sexual infantil. O problema é descrito como grave e documentado no Instagram.

A criptografia de ponta a ponta impede que a plataforma identifique esse tipo de conteúdo nas mensagens. Ao remover o recurso, a Meta consegue monitorar as conversas de forma ativa.

O contexto da Meta e privacidade

Essa não é a primeira polêmica recente envolvendo privacidade nos produtos da empresa. Os óculos inteligentes Meta AI, dispositivos com câmeras e inteligência artificial integradas, também geraram críticas por questões relacionadas a dados dos usuários.

Além dos óculos terem vazado vídeos íntimos de usuários para moderadores humanos.

O WhatsApp, outro aplicativo de mensagens da Meta, não é afetado pela mudança. A plataforma continuará operando com criptografia de ponta a ponta ativa. Mais detalhes sobre o encerramento do recurso no Instagram devem ser divulgados quando a empresa fizer um anúncio oficial.

O Instagram não está sozinho nessa posição

O TikTok também decidiu não adotar a criptografia de ponta a ponta nas suas mensagens diretas. A justificativa da plataforma é que a tecnologia poderia colocar os usuários em risco, já que impediria que equipes de segurança e autoridades policiais acessassem conversas quando necessário.

As mensagens do TikTok usam criptografia padrão, o que protege o conteúdo enquanto ele trafega pela internet. O problema é que, com esse modelo e assim como o Instagram, a própria empresa consegue ler o conteúdo das conversas. 

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

A Interpol, Organização Internacional de Polícia Criminal, anunciou os resultados da Operação Synergia III – uma ação coordenada entre 72 países que durou seis meses. A agência prendeu 94 pessoas acusadas de crimes como phishing, golpes românticos e fraudes de cartão de crédito. Outros 110 suspeitos seguem sob investigação.

A operação ocorreu entre julho de 2025 e janeiro de 2026. Ao longo desse período, autoridades apreenderam 212 dispositivos. Além disso, 45 mil endereços IP usados por criminosos para hospedar páginas falsas e infraestrutura de ataque foram derrubados.

O que é phishing

Phishing é uma técnica em que criminosos criam sites falsos que imitam bancos, órgãos do governo ou serviços de pagamento. A vítima acessa a página achando que é legítima. O objetivo é captar senhas, dados do cartão e informações pessoais das vítimas.

Na Synergia III, a polícia de Macau (Região Administrativa Especial da China) identificou mais de 33 mil dessas páginas falsas. Parte delas imitava instituições financeiras, enquanto a outra parte se passava por cassinos online. Lá, as vítimas eram incentivadas a depositar dinheiro em contas que nunca poderiam ser usadas de verdade.

Onde as prisões aconteceram

Bangladesh concentrou o maior número de detenções, com 40 suspeitos presos e 134 dispositivos apreendidos. As investigações locais conectaram essas pessoas a golpes de empréstimo, fraude de emprego, roubo de identidade e clonagem de cartão.

No Togo, dez pessoas foram presas, todas parte da mesma quadrilha que operava dentro de uma área residencial. Cada integrante tinha uma função diferente, com alguns sendo responsáveis por invadir contas em redes sociais. 

Outros conduziam os chamados golpes românticos, em que a vítima é manipulada emocionalmente antes de ser lesada financeiramente. Havia ainda quem se especializasse em sextorsão, que é quando criminosos ameaçam expor imagens íntimas para obter dinheiro.

Operação cresceu com o tempo

A Synergia não surgiu do nada. A Interpol lançou a primeira edição em setembro de 2023, com 52 países participantes, motivada pelo que a organização chamava de crescimento acelerado do cibercrime transnacional. Naquela fase, cerca de 1.300 endereços IP foram neutralizados.

A segunda edição, no final de 2024, reuniu 95 países e resultou em 41 prisões. Na terceira edição, os números saltaram, com 72 países participantes, 94 presos e mais de 45 mil IPs derrubados.

Por que o setor privado entrou na jogada

A operação contou com apoio das empresas Group-IB, S2W e Trend Micro. Essa parceria entre governos e empresas de segurança cibernética é cada vez mais comum e tem uma razão prática.

Identificar uma rede criminosa digital exige mapear servidores, rastrear padrões de ataque e conectar diferentes operações que podem parecer independentes. Empresas especializadas fazem esse trabalho de inteligência continuamente. Quando compartilham essas informações com as autoridades, as investigações avançam com muito mais velocidade.

A Trend Micro, por exemplo, contribuiu com dados sobre uma operação chamada Tycoon2FA, um kit de phishing que era vendido para outros criminosos como uma espécie de serviço terceirizado de fraude.

O cenário não melhora sozinho

A Interpol deixou claro que a Synergia III não é um ponto final. O cibercrime em 2026 é descrito pela organização como mais sofisticado e destrutivo do que em qualquer momento anterior.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

A Apple lançou atualizações de segurança para iPhones e iPads mais antigos. As melhorias são uma resposta a descoberta de pesquisadores do Google, que identificaram um kit de exploração chamado Coruna.

O Coruna é capaz de comprometer dispositivos com iOS entre as versões 13.0 e 17.2.1. As correções chegam nos formatos iOS 15.8.7 e iOS 16.7.15, para aparelhos que não conseguem instalar as versões mais recentes do sistema.

O que é o Coruna

O kit foi descoberto em fevereiro de 2025 pelo Grupo de Inteligência de Ameaças do Google (GTIG). Trata-se de um um conjunto de ferramentas prontas para invadir dispositivos, que reúne 23 brechas de segurança diferentes, organizadas em cinco cadeias de ataque.

A descoberta aconteceu quando os pesquisadores do Google interceptaram um ataque em andamento. Um JavaScript disfarçado estava sendo entregue a usuários por um cliente de uma empresa de vigilância comercial.

Em seguida, o mesmo kit foi identificado em campanhas de "watering hole" na Ucrânia, técnica em que criminosos infectam sites legítimos frequentados pelas vítimas. Mais tarde, um grupo financeiro chinês rastreado como UNC6691 também usou as mesmas ferramentas em ataques em larga escala.

Como o ataque funciona

O Coruna verifica se o dispositivo está no Modo de Bloqueio ou em uma aba de navegação privada e, se estiver, simplesmente não age. Isso reduz o risco de ser detectado. Se o alvo for considerado vulnerável, o kit dispara uma sequência de ataques. O golpe começa no navegador e vai abrindo caminho até o núcleo do sistema operacional.

Ao final da cadeia de infecção, um componente chamado PlasmaLoader assume o controle. Ele se injeta em um processo com permissões de administrador e instala um malware voltado para crimes financeiros.

O que o malware faz

O programa vasculha o aparelho em busca de carteiras de criptomoedas, frases de recuperação de senhas e dados bancários. As informações são enviadas para servidores remotos de forma criptografada. 

O malware usa um algoritmo que gera automaticamente novos endereços. Isso garante que a conexão com os servidores se mantenha mesmo se alguns deles forem derrubados. A semente usada para alimentar esse algoritmo é a palavra "lazarus".

O nome não é coincidência. O Lazarus Group é um conhecido coletivo de hackers associado à Coreia do Norte, famoso por ataques a plataformas de criptomoedas. A presença da palavra como semente do algoritmo é um dos elementos que os pesquisadores do GTIG analisaram ao investigar a origem do kit.

Como se proteger

O Coruna não funciona contra as versões mais recentes do iOS. Os aparelhos que conseguem instalar o iOS 17.3 ou superior já estavam protegidos desde janeiro de 2024. O problema é que nem todo iPhone consegue atualizar para essas versões. É para esse público que a Apple preparou os patches lançados agora.

A atualização iOS 15.8.7 corrige quatro das vulnerabilidades exploradas pelo kit, incluindo falhas nos componentes WebKit. O motor de renderização de páginas web do iPhone, e no kernel - o núcleo do sistema operacional - também estão seguros na atualização.

Já o iOS 16.7.15 endereça uma vulnerabilidade adicional no WebKit. Usuários com aparelhos compatíveis com essas versões devem aplicar as correções o quanto antes, em Ajustes, depois em Geral e, por fim, em Atualização de Software.

Uma vulnerabilidade crítica foi descoberta no Ally, plugin gratuito do WordPress voltado para acessibilidade digital. A brecha permite que qualquer atacante, sem precisar de login ou permissão especial, acesse o banco de dados do site e roube informações sensíveis, incluindo senhas criptografadas.

O problema foi identificado em 4 de fevereiro de 2026 pelo engenheiro de segurança ofensiva Drew Webber, da empresa Acquia, e recebeu a classificação CVE-2026-2413 – com nota 7.5 de gravidade no sistema CVSS.

Como a falha funciona

O Ally, anteriormente conhecido como One Click Accessibility, é um plugin que ajuda criadores de sites a construírem páginas mais acessíveis. Ele oferece um scanner de acessibilidade com sugestões baseadas em inteligência artificial, um widget para visitantes e até um gerador automático de declarações de acessibilidade.

O plugin está ativo em mais de 400 mil sites ao redor do mundo, o que aumenta o alcance da falha.

O problema está na forma como o plugin constrói uma consulta ao banco de dados. Existe uma função chamada “get_global_remediations()” que usa a URL de uma página para montar uma busca do tipo JOIN no banco de dados. O erro está em como esse endereço é tratado antes de chegar à consulta.

O plugin aplica uma função chamada “esc_url_raw()” para limpar a URL. Essa função é útil para garantir que um endereço seja válido do ponto de vista de formatação web. Mas ela não foi criada para proteger consultas de banco de dados. Caracteres como aspas simples e parênteses, que são os ingredientes básicos de um ataque de injeção SQL, passam sem nenhum problema por essa filtragem.

O jeito seguro de fazer isso seria usar a função “wpdb->prepare()”, nativa do WordPress. Ela escapa os dados e os trata como valores, não como parte da lógica da consulta. Sem ela, a URL enviada pelo atacante é colada diretamente dentro do código SQL que será executado no banco.

O que um atacante pode fazer com isso

Com a brecha aberta, um invasor pode usar uma técnica chamada injeção SQL cega baseada em tempo. O atacante manda consultas maliciosas que incluem condições lógicas e comandos de pausa, como SLEEP().

Se o site demorar para responder, significa que a condição testada é verdadeira. Se responder rápido, é falsa. Repetindo isso muitas vezes, o atacante consegue extrair informação bit a bit, sem que o sistema perceba o ataque.

É um processo lento, mas eficaz. E o resultado pode incluir hashes de senhas, dados de usuários e outras informações armazenadas no banco de dados ficam expostos.

Como o problema foi resolvido

Drew Webber reportou a falha de forma responsável pelo programa de recompensas por bugs da Wordfence, recebendo US$ 800 pelo trabalho. A Wordfence notificou o fabricante do plugin, a Elementor, em 13 de fevereiro. A empresa reconheceu o problema dois dias depois e lançou a correção em 23 de fevereiro de 2026.

A solução foi simples tecnicamente: substituir a concatenação direta pela função “wpdb->prepare()” na consulta JOIN.

A versão segura do plugin é a 4.1.0. Todos os usuários com versões até a 4.0.3 estão vulneráveis e devem atualizar o quanto antes.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

O n8n, software open source adotado por cerca de 230 mil usuários ativos, concentrou ao menos três vulnerabilidades graves em poucos meses. A mais séria delas permite que um invasor assuma o controle total do sistema sem precisar de permissões especiais. Mais de 103 mil instâncias ainda não receberam a correção.

O n8n é uma ferramenta que conecta sistemas diferentes de forma automatizada. Uma empresa pode usá-lo para integrar o CRM com o sistema de e-mail, disparar alertas quando um pedido é feito, ou processar dados entre plataformas sem intervenção humana. É o tipo de software que fica rodando silenciosamente em segundo plano, coordenando processos inteiros.

A primeira falha e o alerta federal

A vulnerabilidade identificada como CVE-2025-68613 foi revelada em dezembro. Ela recebeu nota 9,9 em uma escala que vai até 10, o que já diz bastante sobre a gravidade do problema. A falha está no mecanismo que o n8n usa para avaliar expressões dentro dos fluxos de trabalho.

Basicamente, o sistema executa pedaços de código para decidir o que fazer em cada etapa de uma automação. O problema é que, sob certas condições, um usuário autenticado conseguia inserir comandos maliciosos nessas expressões e o sistema os executava sem questionar. Alguém com uma conta de baixo privilégio podia, a partir disso, tomar conta de toda a instância, acessar senhas armazenadas e modificar fluxos inteiros para servir a outros fins.

A agência americana de segurança cibernética CISA confirmou que a falha já estava sendo explorada ativamente. Por esse motivo, a entidade ordenou que todas as agências federais civis aplicassem a correção até o dia 25 de março. O n8n lançou o patch na versão 1.122.0, mas muitas organizações ainda não se adequaram.

O pesadelo que veio depois

Enquanto o time do n8n ainda lidava com a repercussão da primeira falha, pesquisadores da empresa Cyera reportaram algo pior. A vulnerabilidade batizada de "ni8mare" pelos próprios descobridores recebeu nota máxima, 10.0, e foi registrada como CVE-2026-21858.

Essa segunda falha dispensava qualquer autenticação. Um atacante de fora, sem conta alguma no sistema, conseguia fazer a execução remota de código por causa de um tratamento inadequado dos webhooks da plataforma. Webhooks são gatilhos que o n8n usa para receber informações externas e disparar automações. 

Uma terceira onda de vulnerabilidades

Em fevereiro, um novo conjunto de falhas foi agrupado sob o identificador CVE-2026-25049, com nota 9.4. O n8n descreveu essas brechas como variações do problema de dezembro, que abriram caminhos adicionais para explorar o mesmo motor de avaliação de expressões que causou a primeira crise.

O próprio n8n reconheceu em comunicado que usuários autenticados com permissão para criar ou modificar fluxos podiam usar expressões manipuladas para disparar comandos no servidor host. Ou seja, mesmo após os patches anteriores, a superfície de ataque ainda não estava completamente fechada.

O que fazer agora

A correção para todas as falhas conhecidas está disponível. Quem usa o n8n precisa garantir que está rodando uma versão atualizada da plataforma. Para quem mantém instâncias auto-hospedadas, a atenção precisa ser redobrada, já que atualizações automáticas não são a regra nesse modelo.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Um grupo de hackers pró-Irã, conhecido como Handala, assumiu a responsabilidade por um ataque cibernético contra a Stryker Corporation, uma fabricante de tecnologia médica. A empresa confirmou que sofreu uma interrupção em sua infraestrutura de rede, mas não corroborou os dados divulgados pelos invasores sobre a extensão do dano.

O grupo afirma ter comprometido 200 mil sistemas e 50TB de dados da companhia – que também teve funcionários confirmando acessos perdidos no Reddit, incluindo em celulares pessoais.

O que a empresa confirmou

A Stryker é uma empresa americana que fabrica implantes ortopédicos, equipamentos cirúrgicos e sistemas tecnológicos usados em hospitais ao redor do mundo. A companhia opera em dezenas de países e integra cadeias de abastecimento hospitalar críticas.

Em comunicado oficial, a Stryker informou que estava "enfrentando uma interrupção global na rede do ambiente Microsoft como resultado de um ciberataque". A empresa disse que detectou o problema rapidamente e agiu para conter a atividade.

A companhia afirmou não ter encontrado evidências de que ransomware ou qualquer outro tipo de malware tenha sido implantado nos seus sistemas. Ransomware é um tipo de programa malicioso que sequestra os dados de uma empresa e exige pagamento para liberá-los.

A Stryker declarou acreditar que o incidente foi contido e que as investigações sobre o impacto real continuam em andamento.

O que os hackers alegam

O grupo responsável pela reivindicação se chama Handala Hack Team e é considerado por pesquisadores de segurança uma frente operacional do Ministério de Inteligência e Segurança do Irã, o MOIS.

Em publicações no próprio site e em um canal do Telegram posteriormente deletado, o grupo afirmou ter apagado mais de 200 mil sistemas, servidores e dispositivos móveis. A operação também incluiu celulares pessoais de funcionários, além de ter extraído 50 terabytes de dados confidenciais da empresa.

O Handala também alegou que as operações da Stryker em 79 países foram forçadas a ser interrompidas. Nenhuma dessas afirmações foi verificada de forma independente até o momento.

O grupo disse que divulgaria nos próximos dias um material mostrando como o ataque foi realizado, o que os especialistas chamam de prova de conceito.

A motivação declarada

O Handala afirmou que o ataque foi "em retaliação ao brutal ataque à escola de Minab", referindo-se a um incidente em que ao menos 168 crianças foram mortas em um ataque a uma escola primária iraniana, atribuído a forças militares dos Estados Unidos.

O grupo enquadra suas operações como resposta a ataques aéreos dos EUA e de Israel contra alvos ligados ao que chamam de "Eixo da Resistência". Essa narrativa política é uma característica recorrente das campanhas do Handala, que costuma misturar operações cibernéticas com mensagens de cunho geopolítico.

Por que isso é considerado uma escalada

Especialistas em cibersegurança apontam que, se as alegações do grupo forem confirmadas, o ataque representaria a primeira ação destrutiva de um grupo iraniano a atingir diretamente uma grande empresa americana de forma bem-sucedida no contexto do conflito atual.

O segundo alvo: Verifone

O mesmo grupo reivindicou também um ataque à Verifone, empresa global de soluções de pagamento. O Handala afirmou ter acessado sistemas internos da Verifone, extraído dados financeiros e interrompido o funcionamento de terminais de ponto de venda. A empresa negou as alegações. 

Em comunicado, um porta-voz da Verifone disse que a companhia analisou as afirmações e não encontrou evidências de comprometimento dos seus sistemas, tampouco registrou interrupções nos serviços prestados a clientes.

No entanto, o grupo divulgou capturas de tela que parecem mostrar painéis administrativos internos ligados à Verifone, com consoles de configuração de servidores e sistemas de gerenciamento de dispositivos. 

Imagens desse tipo podem indicar acesso a ambientes internos, mas não confirmam sozinhas quando o acesso ocorreu nem se os sistemas pertencem a redes em operação ativa.

Big techs na mira do Irã

O ataque à Stryker acontece em um contexto de escalada significativa. O Irã divulgou, por meio da agência de notícias estatal Tasnim, uma lista com 29 instalações de empresas americanas de tecnologia classificadas como alvos legítimos de ataques de retaliação.

As empresas na mira são Amazon, Google, IBM, Microsoft, Nvidia, Oracle e Palantir. Os alvos identificados estão localizados em Bahrein, Israel, Catar e Emirados Árabes Unidos, e incluem escritórios regionais, data centers e centros de pesquisa e desenvolvimento.

A lista foi apresentada sob o título "Novos Alvos do Irã" e descrevia cada instalação com nome da empresa, natureza da estrutura, localização e uma breve descrição das atividades realizadas no local. 

Entre os alvos listados estão o maior centro de pesquisa da Nvidia em Haifa, centros de inteligência artificial da IBM em Be'er Sheva, escritórios estratégicos da Palantir em Abu Dhabi e Tel Aviv, e data centers da AWS.

A publicação foi feita pelo canal do Telegram da Tasnim e acompanhada de uma declaração do porta-voz do Khatam al-Anbiya, o comando militar central do Irã, alertando que americanos deveriam esperar “uma resposta dolorosa.”

Essa divulgação ocorre uma semana depois de o Irã afirmar ter atacado deliberadamente três data centers da Amazon Web Services no Oriente Médio, sendo um em Bahrein e dois nos Emirados Árabes. 

O Irã justificou os ataques citando o apoio da Amazon a operações militares americanas na região. O incidente tirou vários provedores de nuvem do ar e levou empresas como Snowflake e Red Hat a orientar clientes a ativar seus planos de recuperação de desastres.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

A ZenoX, empresa brasileira de cibersegurança, identificou um programa malicioso inédito capaz de interceptar transferências Pix em tempo real, desviar pagamentos de boletos bancários e roubar criptomoedas de carteiras digitais. 

O malware, batizado de VENON, foi descoberto em fevereiro de 2026 e representa uma mudança significativa no perfil das ameaças financeiras digitais no Brasil.

O que torna o VENON diferente

O VENON é classificado como um RAT bancário, sigla para Trojan de Acesso Remoto. Trata-se de um programa malicioso que, uma vez instalado no computador da vítima, permite ao criminoso controlar a máquina à distância.

O que diferencia o VENON de todos os outros malwares financeiros conhecidos na América Latina é a linguagem em que foi escrito. Todos os trojans bancários brasileiros e latino-americanos conhecidos até hoje foram desenvolvidos em Delphi, uma linguagem de programação de 1995 amplamente usada justamente por ser mais simples de desenvolver e mais fácil de analisar por especialistas em segurança.

O VENON foi escrito inteiramente em Rust, uma linguagem moderna criada pela Mozilla, que gera programas muito mais difíceis de desmontar e analisar. A ZenoX afirma que se trata do primeiro banker RAT brasileiro desenvolvido completamente em Rust já documentado.

Como a vítima é infectada

A infecção começa com engenharia social, uma técnica de manipulação psicológica usadas para enganar pessoas. A vítima recebe um e-mail falso, acessa uma página que imita um portal legítimo ou clica em um anúncio patrocinado malicioso. Em todos os casos, a execução do malware depende de uma ação voluntária da vítima.

O arquivo executado é um script batch, um tipo de arquivo de texto com uma lista de comandos automáticos para o Windows. Esse script verifica se está rodando com permissões de administrador e, se não estiver, abre aquela janela de confirmação do Windows pedindo autorização. Se a vítima clicar em "Sim", o script passa a ter controle total do sistema.

Em seguida, o script baixa da internet um arquivo compactado hospedado em um servidor da Amazon AWS, um serviço legítimo de armazenamento em nuvem. O uso de serviços legítimos e amplamente conhecidos dificulta o bloqueio por parte de firewalls corporativos e ferramentas de segurança.

Dentro desse arquivo estão dois programas. O primeiro é o NVIDIANotification.exe, um instalador genuíno e assinado digitalmente pela NVIDIA. O segundo é a libcef.dll, uma biblioteca de funções que o instalador da NVIDIA precisa para funcionar, mas que neste caso foi substituída por uma versão maliciosa.

Quando o Windows executa o instalador da NVIDIA, ele carrega automaticamente a versão maliciosa da biblioteca. Esse golpe é chamado de DLL Sideloading. O resultado é que, no Gerenciador de Tarefas, o processo aparece com o nome e a assinatura digital da NVIDIA, ou seja, com aparência completamente legítima.

Nove camadas para escapar de antivírus

Antes de fazer qualquer coisa maliciosa, o VENON executa nove técnicas de evasão em sequência, para se esconder de ferramentas de segurança.

O malware desabilita o AMSI, uma interface do Windows que permite que antivírus inspecionem scripts antes de executá-los. Também desabilita o ETW, um sistema de registro de eventos que ferramentas de monitoramento usam para acompanhar o que os programas estão fazendo.

A técnica mais sofisticada é o ntdll overwrite. Muitos antivírus instalam pequenos ganchos de monitoramento numa biblioteca fundamental do Windows chamada ntdll.dll. O VENON lê a versão original dessa biblioteca do disco e a substitui na memória, removendo todos esses ganchos.

O malware também se torna invisível para ferramentas de análise usadas por pesquisadores de segurança, modifica sua própria lista de permissões para negar acesso externo ao seu processo e configura suas janelas falsas para aparecerem como tela preta em capturas de tela.

O que acontece depois da instalação

Com as defesas contornadas, o malware busca o endereço do servidor dos criminosos. Esse servidor é chamado de C2, sigla para Comando e Controle. É de lá que partem as ordens para o malware nas máquinas infectadas.

O endereço do C2 não fica escrito diretamente no código do malware. O programa primeiro consulta um serviço público e legítimo, como o Google Cloud Storage, para obter esse endereço de forma cifrada. 

A informação está protegida por três camadas de criptografia de última geração, incluindo algoritmos chamados de Argon2id e XChaCha20-Poly1305, considerados estado da arte, ou seja, o nível de maior qualidade, em segurança criptográfica.

Uma vez conectado ao servidor dos criminosos, o malware monitora continuamente quais janelas estão abertas no computador da vítima. 

O VENON tem uma lista de 33 alvos financeiros, incluindo Itaú, Santander, Caixa Econômica Federal, Banco do Brasil, Nubank, Banco Inter, BTG Pactual, Receita Federal, PicPay, Mercado Pago e exchanges de criptomoedas como Binance, Coinbase e Kraken. Também monitora carteiras digitais como MetaMask e Ledger Live.

Ao detectar qualquer um desses alvos, o criminoso é imediatamente notificado no painel de controle.

Como o dinheiro é desviado

O VENON usa três métodos principais para roubar dinheiro.

O primeiro é o Pix QR swap. Quando a vítima está prestes a escanear um QR code de Pix, o malware detecta o código na tela em tempo real e o substitui por um QR que aponta para a chave Pix do criminoso. A troca acontece antes que a vítima perceba qualquer diferença visual.

O segundo é o boleto swap. Quando a vítima copia a linha digitável de um boleto para colar no banco, o malware substitui silenciosamente aquela sequência de números pela linha de um boleto dos criminosos. 

O detalhe técnico é que o VENON recalcula automaticamente os dígitos verificadores do boleto falso, fazendo com que ele passe na validação do banco sem levantar suspeitas.

O terceiro é o clipboard swap para criptomoedas. O clipboard é a área de transferência do computador, onde ficam os dados quando a vítima usa Copiar e Colar. Quando a vítima copia o endereço de uma carteira de criptomoeda para fazer uma transferência, o malware substitui esse endereço pelo da carteira do criminoso. 

O VENON valida criptograficamente o formato do endereço antes de trocá-lo, garantindo que a substituição não seja detectada por inconsistências no texto.

Além disso, o malware pode exibir telas falsas sobrepostas às páginas legítimas dos bancos para capturar senhas, tokens de autenticação e assinaturas eletrônicas digitadas pela vítima.

O painel de controle em português

Os pesquisadores da ZenoX acessaram o painel de controle do VENON durante a investigação. O painel, chamado de "Remote Administration System v3.0", é uma interface web inteiramente em português brasileiro, confirmando a origem nacional do operador.

A partir do painel, o criminoso consegue ver em tempo real todas as vítimas conectadas, configurar as chaves Pix e contas bancárias para onde o dinheiro deve ser desviado e distribuir atualizações do malware para todos os computadores infectados ao mesmo tempo, sem precisar reinfectá-los.

A pista que expôs o desenvolvedor

Os pesquisadores encontraram uma pista sobre a identidade do desenvolvedor em uma versão anterior do malware. Quando um programa é compilado, ou seja, transformado de código legível por humanos em código executável pelo computador, o compilador muitas vezes inclui no arquivo final os caminhos das pastas do computador do desenvolvedor.

Nessa versão anterior, estava visível que o código havia sido compilado em C:\Users\byst4\.... Isso expôs o nome de usuário da máquina onde o malware foi criado. 

A ZenoX também localizou um repositório deletado no GitHub vinculado ao mesmo usuário, que continha um script de configuração de infraestrutura para servidores C2, com uma rota idêntica à usada pelo malware.

A versão mais recente do VENON não contém mais essas informações, indicando que o desenvolvedor percebeu o erro e o corrigiu.

O papel da inteligência artificial

A ZenoX levanta a hipótese de que o VENON pode ter sido desenvolvido com auxílio extensivo de IA generativa, as ferramentas de inteligência artificial que geram código automaticamente a partir de descrições em linguagem natural. Essa prática ficou conhecida como "vibe coding".

Os padrões observados sugerem que o desenvolvedor pode ter pedido para uma IA reescrever funcionalidades de trojans bancários já conhecidos, originalmente escritos em Delphi, usando a linguagem Rust.

Se confirmada, essa seria uma das primeiras evidências documentadas do uso de IA para o desenvolvimento de malware bancário na América Latina.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Um grupo de hackers com alta probabilidade de vínculo ao governo chinês está conduzindo uma campanha sistemática de espionagem contra provedores de telecomunicações na América do Sul desde 2024. O alerta foi publicado nesta semana pela Cisco Talos, organização de inteligência em cibersegurança.

 O grupo, identificado como UAT-9244, utiliza três programas maliciosos inéditos e técnicas sofisticadas de ocultação para comprometer redes de internet, telefonia e dados sem ser detectado.

A origem do UAT-9244

A Cisco Talos identificou o UAT-9244 como um aglomerado de atividade independente, mas estreitamente associado a grupos já conhecidos, o Famous Sparrow e o Tropic Trooper. O grupo compartilha ferramentas e táticas de ataque semelhantes com esses coletivos, mas, devido às particularidades observadas, os especialistas o monitoram como um núcleo de atividade separado.

A atribuição à China é feita com o que os pesquisadores chamam de "alta confiança", uma escala usada na inteligência para indicar o grau de certeza de uma conclusão. Essa confiança se baseia em evidências técnicas concretas, uma vez que a atribuição se apoia em identidade de código, infraestrutura de comando e controle e metodologias de distribuição semelhantes às de outros grupos chineses conhecidos.  

Além disso, os próprios arquivos dos programas maliciosos deixaram rastros, já que os pesquisadores notaram strings de debug em Chinês Simplificado nos binários, um indicador direto da origem dos desenvolvedores. "Strings de debug" são anotações que programadores deixam no código durante o desenvolvimento, neste caso, escritas em mandarim.

Por que telecomunicações?

As operadoras de telecomunicações são, na prática, a espinha dorsal das comunicações de um país inteiro. Quem controla a infraestrutura de uma operadora tem acesso potencial a ligações telefônicas, tráfego de dados corporativos, comunicações governamentais e até sistemas de segurança pública que dependem dessas redes.

O foco exclusivo nas telecomunicações sul-americanas distingue o UAT-9244 de outros grupos chineses, ainda que compartilhe características comuns de arsenal técnico com eles. Isso indica que o interesse não é financeiro, não se trata de ransomware para extorquir dinheiro.

Ao coletar inteligência de comunicações em uma região de crescente interesse econômico e político para a China, é possível afirmar que o interesse é geopolítico.

As três armas do ataque

A investigação revelou a utilização de três famílias de software malicioso que nunca tinham sido documentadas anteriormente. Cada uma tem um papel distinto na operação.

O primeiro programa é o TernDoor, desenvolvido para comprometer computadores com Windows. Ele entra no sistema por meio de uma técnica chamada DLL side-loading. Em vez de instalar um arquivo obviamente malicioso, ele substitui sorrateiramente uma biblioteca de sistema legítima por uma versão adulterada.

O programa confiável do Windows carrega essa biblioteca sem perceber a troca. Uma vez iniciado, o TernDoor coleta informações do sistema, executa comandos remotos, lê e escreve arquivos e suporta desinstalação com um parâmetro específico, ou seja, os atacantes podem apagar os próprios rastros à distância.

Para permitir que continue ativo mesmo após reinicializações, o grupo programa a permanência nos sistemas infectados por meio da modificação do registro e da criação de tarefas agendadas ocultas.

O segundo programa é o PeerTime, voltado para servidores Linux e dispositivos de rede embarcados, como roteadores e switches.

Sua característica mais sofisticada é o canal de comunicação que usa, já que em vez de se comunicar com os servidores dos atacantes por protocolos convencionais, que sistemas de segurança monitoram, ele usa o protocolo BitTorrent, o mesmo utilizado para compartilhamento de arquivos na internet.

Isso faz com que o tráfego malicioso se misture com o tráfego comum e passe despercebido. O PeerTime é compilado para diversas arquiteturas de processador, como ARM, AARCH, PPC e MIPS, o que indica que pode infectar uma variedade de sistemas embarcados, incluindo os equipamentos de rede que raramente recebem atualizações de segurança e costumam ser ignorados em estratégias de proteção.

O terceiro programa é o BruteEntry, e sua função é expandir o alcance do ataque. Depois que um dispositivo é comprometido, o BruteEntry o transforma em um "soldado digital" que passa a atacar outros sistemas em nome dos hackers.

O BruteEntry transforma os dispositivos comprometidos em nós de varredura, conhecidos como Operational Relay Boxes (ORBs), usando as máquinas infectadas para escanear novos alvos e forçar o acesso a serviços como SSH, Postgres e Tomcat por meio de ataques de força bruta.

Um ataque de força bruta é quando o sistema testa automaticamente milhares de combinações de usuário e senha até encontrar uma que funcione.

A consequência prática dos ORBs é que os ataques subsequentes parecem partir do endereço IP da vítima original, não do servidor dos hackers na China. Isso cria uma cadeia de rastreamento extremamente difícil de seguir e dificulta o bloqueio baseado em endereços conhecidos.

Como se defender

A Cisco Talos recomenda verificar em sistemas Windows a presença dos arquivos WSPrint.exe e BugSplatRc64.dll, além de tarefas agendadas suspeitas. Em Linux, é necessário monitorar processos relacionados ao PeerTime e ao Talos Intelligence BruteEntry, bem como tráfego BitTorrent anômalo em dispositivos de borda. 

Do ponto de vista estrutural, as principais recomendações são:

• Auditar arquivos suspeitos no Windows: verificar a presença de WSPrint.exe e BugSplatRc64.dll e inspecionar tarefas agendadas ocultas;
• Monitorar dispositivos Linux e de borda: identificar processos anômalos relacionados ao PeerTime e ao BruteEntry;
• Bloquear tráfego BitTorrent em equipamentos de rede: o PeerTime usa esse protocolo para disfarçar sua comunicação com os servidores dos atacantes;
• Ativar autenticação de múltiplos fatores em serviços administrativos, especialmente SSH;
• Restringir o acesso remoto a interfaces de gestão: nenhuma delas deveria estar exposta diretamente à internet sem controles rígidos;
• Adotar soluções EDR (Endpoint Detection and Response): ferramentas que monitoram comportamentos suspeitos nos dispositivos em tempo real, além dos antivírus tradicionais;
• Atualizar firmware de roteadores e switches: equipamentos de borda raramente recebem atenção nas rotinas de segurança e são um vetor preferencial desse grupo.

Acompanhe o TecMundo nas redes sociais para mais notícias sobre cibersegurança.

A Wikimedia Foundation confirmou ter sofrido um incidente de segurança causado por um worm, tipo de código malicioso que se espalha de forma autônoma. 

O malware ficou ativo por 23 minutos e chegou a modificar aproximadamente 3.996 páginas da Meta-Wiki, além de comprometer os arquivos de personalização de cerca de 85 contas de editores. O ataque foi contido no mesmo dia e a organização afirma que nenhum dado pessoal de usuários foi exposto.

O que aconteceu

O incidente teve origem em um script JavaScript hospedado na Wikipédia em língua russa, identificado como [User:Ololoshka562/test.js], e que havia sido carregado pela primeira vez em março de 2024. 

Durante pouco mais de um ano e meio, o arquivo permaneceu inativo no sistema, uma estratégia conhecida em segurança da informação como ameaça persistente, em que o código aguarda condições favoráveis para ser executado.

O gatilho ocorreu quando um funcionário da própria Wikimedia Foundation carregou o script no navegador durante uma revisão de segurança de códigos escritos por usuários.

A organização confirmou que ativou o código "dormente" inadvertidamente durante esse processo, sem especificar se o erro foi de procedimento ou se a conta estava comprometida.

Como o worm funcionava

Ao ser carregado no navegador de um usuário autenticado, o script explorava uma funcionalidade legítima da plataforma MediaWiki. Esse software sustenta a Wikipédia e permite a execução de arquivos JavaScript, tanto no nível individual de cada conta quanto no nível global do site.

O worm agia em duas frentes simultâneas. Na primeira, sobrescrevia o arquivo de personalização da conta infectada, chamado common.js, com um loader. Trata-se de um pequeno código cuja única função é buscar e carregar outro script automaticamente. Isso garantia que, toda vez que aquele usuário abrisse qualquer página da Wikipédia enquanto logado, o worm seria executado novamente.

Na segunda frente, caso o usuário infectado tivesse privilégios administrativos, o worm também modificava o arquivo global [MediaWiki:Common.js], carregado automaticamente por todos os editores do site. 

O que transformava qualquer editor que abrisse uma página da Wikipédia em um novo vetor de propagação, criando um ciclo de infecção em cadeia.

Além de se propagar, o worm selecionava páginas aleatórias por meio do comando interno [Special:Random] e as editava para inserir conteúdo oculto visualmente, usando a tag HTML display:none, contendo um link para um script hospedado no domínio externo basemetrika.ru, de origem russa.

A resposta da Wikimedia

Ao detectar a propagação, os engenheiros da Wikimedia desativaram temporariamente as edições em todos os projetos da fundação, incluindo a Wikipédia em diversos idiomas, enquanto revertiam as alterações maliciosas, limpavam os arquivos common.js infectados e removiam as referências ao script externo. As versões modificadas das páginas foram suprimidas dos históricos públicos de edição.

Em comunicado enviado ao BleepingComputer, a Wikimedia Foundation afirmou que a Meta-Wiki foi o único projeto com conteúdo alterado ou excluído, e que esse conteúdo está sendo restaurado. 

A organização também informou que não há evidências de que a Wikipédia esteve sob ataque coordenado externo, e que a fundação desenvolverá medidas de segurança adicionais para evitar que incidentes semelhantes se repitam.

“O código esteve ativo por um período de 23 minutos. Durante esse tempo, ele alterou e excluiu conteúdo na Meta-Wiki — que agora está sendo restaurado — mas não causou danos permanentes. Não temos evidências de que a Wikipédia estava sob ataque ou de que informações pessoais foram violadas como parte deste incidente. Estamos desenvolvendo medidas de segurança adicionais para minimizar o risco de que esse tipo de incidente ocorra novamente. As atualizações continuam disponíveis no registro público de incidentes da Fundação”, afirmou a empresa em comunicado.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

A Microsoft revelou uma nova campanha de ClickFix, baseada em engenharia social. A tática está usando o aplicativo de Terminal do Windows para ativar uma cadeia de ataque sofisticada para instalar o malware Lumma Stealer no computador da vítima.

O ataque do ClickFix começa com a vítima navegando normalmente na internet e esbarrando em uma página que exibe um CAPTCHA. Esses são os testes de verificação que pedem para o usuário provar que é humano, ao clicar em semáforos ou digitar letras distorcidas.

A página parece profissional, o layout é limpo e a instrução parece simples. A página pede que a vítima abra o terminal do Windows e cole um comando para completar a verificação. É nesse momento que o ataque começa. E a vítima, na maior parte das vezes, não percebe nada de errado.

A arte de parecer normal

Campanhas anteriores do mesmo tipo tinham um passo a passo que, com o tempo, ficou conhecido. A vítima era instruída a pressionar Win + R, que abre a janela "Executar" do Windows. É uma caixinha simples onde se digita comandos. Esse comportamento se tornou tão associado a ataques que sistemas de segurança passaram a monitorá-lo especificamente.

Na campanha identificada em fevereiro de 2026, a instrução passou a ser Windows + X e depois a tecla I. Esse atalho abre diretamente o Windows Terminal, uma ferramenta moderna e visualmente sofisticada. É a mesma usada por desenvolvedores, administradores de sistemas e profissionais de tecnologia.

O Comando Invisível

O texto que a vítima é instruída a colar no terminal não parece um comando. É uma longa sequência de letras e números sem sentido aparente, os criminosos usaram duas técnicas combinadas para esconder as instruções reais.

A primeira é a codificação hexadecimal. Qualquer texto pode ser convertido para uma representação em hexadecimal, que é o sistema numérico que usa os símbolos de 0 a 9 e de A a F. Isso torna o conteúdo completamente irreconhecível para um olho humano e dificulta que sistemas de segurança identifiquem palavras suspeitas, como "baixar" ou "executar".

A segunda técnica é o embaralhamento XOR, uma operação matemática que cifra os dados usando uma chave secreta, funcionando como um código de substituição. Juntas, essas técnicas formam o que a área de segurança chama de ofuscação. 

O objetivo é esconder a intenção real do código. Quando a vítima cola e executa aquela sequência aparentemente sem sentido, o Windows PowerShell, linguagem de automação nativa, reverte silenciosamente toda a codificação e começa a executar as instruções reais.

Campanha tinha dois caminhos

A campanha se divide em dois caminhos distintos. Ambos chegam ao mesmo destino, que são as senhas salvas nos navegadores da vítima. No primeiro caminho, o script baixa o 7-Zip da internet, mas o salva com um nome aleatório como xk7f2q.exe.

O 7-Zip é um programa legítimo de compressão de arquivos. Renomeá-lo é uma técnica de evasão: sistemas de segurança que monitoram o 7z.exe simplesmente não reconhecem o arquivo com nome diferente.

Junto com ele, é baixado um ZIP com o arsenal completo do ataque. Uma vez instalado, o malware cria uma tarefa agendada para reiniciar automaticamente toda vez que o computador for ligado. Também adiciona sua pasta às exclusões do Microsoft Defender, fazendo com que o próprio antivírus da vítima passe a ignorá-lo.

O componente final é o Lumma Stealer. O malware se infiltra nos processos do Chrome e do Edge enquanto estão rodando e acessa os arquivos internos Web Data e Login Data, onde ficam todas as senhas salvas. O conteúdo é então enviado para servidores dos criminosos.

No segundo caminho, o comando baixa um arquivo .bat com nome aleatório, salvo em uma pasta de aplicativos legítimos para não levantar suspeitas. Esse script batch cria um segundo script em VBScript e é executado pelo MSBuild.exe.

O Lumma Stealer é um tipo de malware especializado em roubo de informações sensíveis, de uma família conhecida e documentada pela comunidade de segurança. Ela é voltada especificamente para credenciais salvas em navegadores. Para acessar essas senhas, ele usa uma técnica chamada injeção de código via QueueUserAPC().

Com ela, o malware se infiltra silenciosamente dentro dos processos do Google Chrome e do Microsoft Edge enquanto eles estão rodando. De dentro desses processos, o malware acessa os arquivos internos onde os navegadores armazenam credenciais. 

Vivendo da terra e da Blockchain

O script malicioso é executado através do MSBuild.exe. Essa é uma ferramenta oficial da Microsoft, usada por desenvolvedores de software para compilar programas, e é assinada digitalmente pela própria Microsoft. Essa técnica tem um nome na área de segurança. Ela se chama LOLBin, sigla em inglês para Living Off the Land Binary, que pode ser traduzido como "viver da terra".

A ideia é não trazer ferramentas suspeitas de fora e usar apenas o que já existe no sistema operacional. Como o MSBuild.exe é um binário confiável assinado pela Microsoft, a maioria dos sistemas de segurança simplesmente não questiona o que ele está executando.

Mas a inovação mais marcante desse segundo caminho é outra. O script se conecta a endpoints RPC de blockchain de criptomoedas, que são interfaces de comunicação com redes como o Ethereum. Isso indica o uso de uma técnica conhecida como EtherHiding.

Os atacantes aproveitam a anonimidade rastreabilidade da tecnologia das criptomoedas para armazenar instruções para o malware diretamente em transações ou contratos inteligentes na blockchain. O malware no computador da vítima busca essas instruções consultando a rede pública de criptomoedas, como uma ordem fixada em um quadro que ninguém consegue remover.

Mesmo que o malware seja descoberto e analisado, a infraestrutura de controle dos atacantes permanece intacta e inacessível.

Qual o alvo?

Os arquivos Web Data e Login Data dos navegadores são, em linguagem simples, o cofre digital da maioria das pessoas. Ali estão armazenadas senhas de e-mail, redes sociais, serviços de streaming, internet banking e plataformas de trabalho. São todas as contas onde a vítima optou por "salvar a senha" no navegador. É um hábito extremamente comum, que a maioria das pessoas adota sem pensar duas vezes.

Uma vez com posse dessas credenciais, o atacante não precisa de mais nada. Ele pode acessar contas de e-mail e usá-las para novos ataques contra os contatos da vítima, acessar contas corporativas e comprometer redes inteiras de empresas. Além disso, também pode roubar dados financeiros, e vender as credenciais em mercados clandestinos na dark web, onde conjuntos de logins são comercializados em larga escala.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

O TikTok decidiu que não vai adicionar criptografia de ponta a ponta às suas mensagens diretas. De acordo com a BBC, a gigante chinesa afirma que a tecnologia poderia colocar usuários em risco uma vez que impediria que equipes de segurança e autoridades policiais de acessarem conversas quando necessário.

A justificativa é um tanto controversa, já que outras redes sociais, como WhatsApp, iMessage e até o X, antigo Twitter, têm essa função. 

Mas as mensagens não têm nenhuma proteção?

O TikTok confirmou ao Mashable que suas mensagens diretas são criptografadas, só não de ponta a ponta.

A criptografia padrão usada pela plataforma protege as mensagens enquanto elas trafegam pela internet, algo parecido com o que o Gmail faz. O problema é que, com esse modelo, a própria empresa consegue ler o conteúdo das conversas.

Em sua página de segurança, o TikTok admite que "a criptografia de ponta a ponta não está disponível no momento".

A companhia diz que o acesso às mensagens é restrito a funcionários treinados com "necessidade comprovada" de visualizá-las, seja por ordem judicial ou durante investigações internas de segurança. Na prática, isso significa que suas DMs não são só suas.

O que é criptografia de ponta a ponta, afinal?

A criptografia garante que ninguém além de você e seu destinatário consiga ler a mensagem — nem hackers, nem o governo, nem a própria empresa que criou o aplicativo.

O processo funciona assim: sua mensagem é embaralhada no momento em que você aperta "enviar", percorre todo o caminho pela internet em formato ilegível e só é decifrada quando chega ao celular de quem vai receber. Qualquer tentativa de interceptação no meio do caminho resulta em uma bagunça indecifrável.

Isso é importante porque uma mensagem passa por muitas vias até chegar ao destino, incluindo o servidor do aplicativo, provedores de internet, sistemas de armazenamento, todos pontos vulneráveis a ataques ou a solicitações de dados por parte de governos.

Como as outras plataformas lidam com isso?

O iMessage da Apple foi o primeiro aplicativo a adotar a tecnologia, lá em 2011. Em 2024, a empresa foi ainda mais longe com o protocolo de criptografia pós-quântica PQ3. Mesmo assim, autoridades podem solicitar dados com mandado judicial.

O WhatsApp ativou a criptografia em 2016, mas metadados ainda podem ser requisitados por autoridades. No Facebook e Messenger, entre janeiro e junho de 2025, mais de 374 mil solicitações de dados governamentais foram registradas, e a Meta afirma ter fornecido informações em 78% desses casos.

O Signal é referência quando o assunto é privacidade, mas o FBI já encontrou brechas para monitorar usuários da plataforma. Já o Telegram não ativa a função por padrão, a proteção adicional existe, mas só em conversas chamadas de "Chats Secretos", que precisam ser ativadas manualmente.

O X, de Elon Musk, substituiu suas DMs pelo "Chat" com criptografia de ponta a ponta, mas também não por padrão.

O que está por trás da decisão do TikTok?

Especialistas em cibersegurança apontam que a recusa pode estar relacionada à sua empresa-mãe, a ByteDance, já que a criptografia de ponta a ponta é amplamente proibida na China.

Ao manter as mensagens legíveis internamente, o TikTok as torna potencialmente acessíveis a uma vigilância estatal e, ao mesmo tempo, transforma a plataforma em um alvo mais atraente para cibercriminosos.

Pesquisadores de segurança da Check Point Research divulgaram um relatório que detalha as operações do Silver Dragon, um grupo hacker de origem chinesa que vem atacando órgãos governamentais desde 2024.

O grupo usa o Google Drive como canal secreto de comunicação entre o malware instalado nas máquinas das vítimas e os operadores do ataque. Essa é uma estratégia que disfarça o tráfego malicioso dentro de um serviço amplamente confiável, raramente bloqueado por sistemas de segurança corporativos.

A Check Point avalia com alto grau de confiança que o Silver Dragon opera sob a influência do APT41, um dos grupos de espionagem cibernética mais conhecidos e associados ao governo chinês.

E-mails falsos e servidores vulneráveis como porta de entrada

O Silver Dragon usa dois vetores principais para comprometer as redes das vítimas. O primeiro é a exploração de servidores expostos à internet que possuam vulnerabilidades conhecidas. O segundo é o envio de e-mails de phishing com anexos maliciosos.

Nas campanhas de phishing documentadas, as vítimas recebiam e-mails com um arquivo de atalho do Windows (.LNK) em anexo. Ao abrir o arquivo, a vítima acionava involuntariamente uma sequência automatizada de comandos que extraía múltiplos arquivos escondidos dentro do próprio atalho, e os executava em segundo plano.

Um documento PDF era aberto simultaneamente como isca, enquanto os arquivos maliciosos eram instalados sem qualquer sinal visível para a vítima.

Malware se esconde em serviços legítimos do Windows

Independentemente do método de entrada, o objetivo imediato do grupo é garantir sua permanência no sistema comprometido.

Para isso, o Silver Dragon utiliza dois carregadores de malware desenvolvidos internamente: o BamboLoader e o MonikerLoader. Ambos têm a mesma função, que é descriptografar e executar um payload na memória do computador da vítima, mas usam técnicas distintas de ofuscação para dificultar a análise por pesquisadores.

Para garantir que o malware continue ativo mesmo após reinicializações, o grupo sequestra serviços legítimos do Windows, recriando-os para carregar o código malicioso automaticamente na inicialização. Entre os serviços abusados estão o de atualização do Windows e o de Bluetooth.

O payload final instalado em todos os casos é um beacon do Cobalt Strike, uma ferramenta originalmente desenvolvida para testes de segurança ofensiva, amplamente adotada por grupos criminosos por meio de versões pirateadas.

A comunicação com os servidores dos atacantes é feita predominantemente via DNS tunneling, uma técnica que esconde dados dentro de consultas de DNS, consideradas inofensivas pela maioria dos sistemas de segurança de rede.

Backdoor transforma o Drive em central de espionagem

A ferramenta mais relevante identificada no relatório é o GearDoor, um backdoor que usa o Google Drive como infraestrutura de comando e controle. Após infectar o sistema da vítima, o malware se autentica em uma conta de serviço do Google e cria uma pasta no Drive com um identificador único derivado do nome da máquina comprometida.

Toda a comunicação entre o malware e os operadores ocorre pelo upload e download de arquivos nesta pasta. O tipo de operação a ser executada é determinado pela extensão dos arquivos depositados - arquivos .cab entregam comandos; arquivos .rar entregam novos payloads; arquivos .7z ativam plugins executados diretamente na memória.

Todo o conteúdo é criptografado, de forma que mesmo que o tráfego seja interceptado, os dados permaneçam ilegíveis.

Entre os comandos suportados estão execução remota de comandos, listagem e manipulação de arquivos, exfiltração de dados para o Drive e imitação de processos do sistema para elevação de privilégios.

O relatório observa que o conjunto de comandos mostra sinais de desenvolvimento ativo, uma vez que algumas funções foram removidas e outras adicionadas entre versões analisadas, indicando que a ferramenta ainda está em evolução.

Monitoramento de tela e acesso remoto

O grupo também implanta duas ferramentas complementares nos sistemas comprometidos. A primeira é o SilverScreen, um malware que captura imagens da tela da vítima em intervalos regulares.

Para reduzir o consumo de disco e diminuir a chance de detecção, a ferramenta só salva capturas em resolução completa quando detecta mudança visual significativa em relação à imagem anterior.

A segunda é o SSHcmd, um utilitário que permite execução remota de comandos e transferência de arquivos via SSH, o protocolo padrão para acesso remoto seguro a servidores. Os comandos podem ser enviados codificados em Base64, o que pode ser usado para contornar sistemas básicos de monitoramento de logs.

Todos os caminhos levam à China

A atribuição do Silver Dragon a um ator de origem chinesa se baseia em múltiplos indicadores. O mais significativo é a similaridade estrutural entre o script de instalação do BamboLoader e um script previamente atribuído ao APT41, documentado pela empresa Mandiant em 2020. 

A sequência de comandos usada para registrar uma DLL maliciosa como serviço do Windows é praticamente idêntica nos dois casos — um padrão que uma busca em repositórios públicos de malware não encontrou em nenhum outro grupo.

Os beacons do Cobalt Strike identificados nas operações compartilham o mesmo número de série de versões pirateadas historicamente associadas a grupos chineses.

Além disso, a análise de metadados de múltiplas amostras revelou que os timestamps de compilação dos arquivos estão consistentemente alinhados com o fuso horário UTC+8, correspondente ao Horário Padrão da China.

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Uma startup mexicana acumulou mais de US$ 82 mil em cobranças não autorizadas no Google Cloud após ter uma chave de acesso roubada e usada por criminosos para acionar modelos de inteligência artificial da empresa.

O ataque durou 48 horas, em fevereiro deste ano, e representou um aumento de 46.000% sobre o gasto mensal normal da empresa. O Google, até o momento, mantém que a dívida é da vítima.

Crachá digital virou senha de cofre

Para usar serviços externos, como os mapas ou a inteligência artificial do Google, desenvolvedores precisam de uma chave de API. Trata-se de uma sequência de caracteres única que funciona como um crachá digital, identificando quem está fazendo as requisições e em qual conta cobrar.

Para serviços como o Google Maps e o Firebase,  uma plataforma de desenvolvimento de apps, o próprio Google sempre orientou que essa chave não era um segredo. Ela deveria ser incorporada diretamente ao código do site, visível a qualquer um. Isso porque a chave só identificava o projeto, não dava acesso a nada sensível.

O problema começou quando o Google lançou o Gemini, sua linha de inteligência artificial generativa, e passou a aceitar essas mesmas chaves antigas como forma de acessar os novos modelos de IA sem avisar ninguém.

A vulnerabilidade é ativada quando alguém da equipe habilita a API do Gemini na conta da empresa, ainda que para um projeto interno pequeno, para que a chave pública já existente passe a funcionar também como credencial de acesso à IA.

A conexão entre as duas ações não é óbvia, e o Google não emite nenhum alerta sobre ela.

Como os criminosos encontraram a chave

As chaves do Google seguem um padrão fixo, todas começam com a sequência AIza. Isso as torna facilmente localizáveis por ferramentas automatizadas que vasculham a internet em busca de padrões específicos, um processo chamado de varredura de segredos.

Com essas ferramentas, criminosos examinam milhões de páginas públicas e repositórios de código até encontrar uma chave válida. Foi exatamente isso que aconteceu com a startup. A chave estava exposta porque deveria estar, seguia as instruções do Google.

Quando os criminosos perceberam que ela também funcionava para o Gemini, passaram 48 horas fazendo requisições massivas aos modelos de geração de texto e imagem, que estão entre os mais caros da linha, o que resultou em US$ 82.314,44 em cobranças não autorizadas.

Ao perceber o ataque, a empresa excluiu a chave comprometida, desativou os serviços de IA e gerou novas credenciais. Esse processo é chamado de rotação de credenciais, equivalente a trocar as fechaduras depois que uma cópia da chave foi roubada. O estrago, porém, já estava feito.

A resposta do Google

Em vez de absorver os custos, um representante do Google citou o modelo de responsabilidade compartilhada, princípio do setor que diz que o provedor protege a plataforma, enquanto o cliente protege suas próprias credenciais. A posição foi que a vítima deveria pagar a dívida.

"Se o Google tentar cobrar até mesmo um terço desse valor, nossa empresa irá à falência", escreveu o desenvolvedor no Reddit. "Estamos sobrevivendo com dificuldade."

O problema é muito maior

Enquanto o caso ganhava repercussão, pesquisadores da empresa de segurança Truffle Security revelaram a escala real do problema.  Ao vasculhar milhões de sites, encontraram 2.863 chaves ativas e expostas com a mesma vulnerabilidade, todas criadas como identificadores públicos, todas agora capazes de autenticar o acesso ao Gemini.

A Truffle havia reportado isso ao Google em novembro de 2025. A resposta inicial foi que se tratava de "comportamento intencional", nada a corrigir.

A empresa só revisou sua posição quando os pesquisadores apresentaram um exemplo dentro da própria infraestrutura do Google, uma chave incorporada num produto da própria empresa em 2023, como identificador público, que agora autenticava o Gemini.

Diante disso, o Google reclassificou o caso como bug (falha de sistema) e começou a trabalhar em uma correção. Em fevereiro de 2026, informou que o problema ainda estava sendo investigado. Nenhum resultado concreto foi anunciado.

Pesquisadores da empresa de segurança cibernética Zscaler identificaram, em dezembro de 2025, uma campanha de espionagem digital orquestrada pelo grupo APT37. Ele também é conhecido como ScarCruft, um coletivo de hackers com financiamento estatal da Coreia do Norte.

Batizada de Ruby Jumper, a operação utiliza um conjunto de ferramentas maliciosas até então desconhecidas para infectar computadores e para cruzar o chamado air gap. 

O termo descreve um isolamento físico de redes que organizações sensíveis, como instalações militares e industriais, adotam como medida de segurança máxima. A técnica para superar essa barreira envolve o uso de pen drives como intermediários físicos.

Como o ataque chega até a vítima

O ataque começa com um arquivo .LNK, o mesmo formato dos atalhos que aparecem na área de trabalho do Windows. Quando a vítima o abre, uma sequência de ações silenciosas é disparada em segundo plano, enquanto um documento de distração aparece na tela.

A vítima vê um artigo em árabe sobre o conflito Palestina-Israel, traduzido de um jornal norte-coreano, provavelmente usado para mirar alvos com interesse no tema. No entanto, nos bastidores, o atalho extrai e executa uma série de arquivos ocultos que instalam, direto na memória do computador, o primeiro malware da cadeia: o RESTLEAF.

Nuvem legítima usada como canal de comando

O RESTLEAF se comunica com os atacantes por meio do Zoho WorkDrive, um serviço de armazenamento em nuvem comercial e legítimo, semelhante ao Google Drive.

Ao usar plataformas conhecidas e amplamente utilizadas por empresas, o tráfego malicioso se mistura ao tráfego comum de usuários, dificultando sua detecção por ferramentas de segurança. Segundo os pesquisadores da Zscaler, é a primeira vez que o APT37 é flagrado abusando especificamente do Zoho WorkDrive para esse fim.

Por meio desse canal, o RESTLEAF baixa e executa um código diretamente na memória do computador, uma técnica chamada de shellcode, sem gravar arquivos suspeitos no disco, o que reduz ainda mais as chances de detecção por antivírus tradicionais.

Instalação disfarçada de pen drive

O código baixado instala o segundo malware da cadeia, o SNAKEDROPPER, cuja principal função é preparar o ambiente para os ataques seguintes.

Para isso, ele instala no computador da vítima um interpretador completo da linguagem de programação Ruby, uma linguagem legítima, muito utilizada por desenvolvedores ao redor do mundo, e o disfarça de utilitário de monitoramento de pen drives, renomeando seus arquivos para nomes como usbspeed.exe.

Dentro desse ambiente Ruby instalado, o SNAKEDROPPER substitui um arquivo de configuração carregado automaticamente pelo interpretador por uma versão maliciosa, garantindo que os próximos malwares sejam executados toda vez que o programa iniciar.

Para completar, cria uma tarefa agendada no sistema que ativa o interpretador a cada cinco minutos, mantendo a infecção viva e persistente, mesmo após reinicializações.

A travessia do isolamento físico

O SNAKEDROPPER então, instala dois módulos complementares, o THUMBSBD e o VIRUSTASK, projetados especificamente para superar o air gap. O isolamento total de computadores que nunca se conectam à internet, adotado por organizações que lidam com informações ou infraestruturas críticas.

O THUMBSBD monitora a conexão de pen drives ao computador infectado. Quando um dispositivo é inserido, o malware cria uma pasta oculta que imita a Lixeira do Windows e copia para dentro dela dados coletados do sistema, além de aguardar comandos que possam ter chegado fisicamente pelo mesmo dispositivo.

Quando esse pen drive é levado a um computador isolado e depois retorna ao computador infectado, ele carrega consigo informações extraídas do ambiente isolado, criando um ciclo de comunicação inteiramente físico, invisível para qualquer monitoramento de rede.

O VIRUSTASK completa a dupla com a função de infectar o próprio pen drive para que ele propague o ataque a novos computadores. Ao detectar um dispositivo conectado, oculta os arquivos originais e os substitui por atalhos maliciosos com nomes idênticos. Quando a vítima conecta o pen drive em outra máquina e tenta abrir um de seus próprios arquivos um documento de trabalho, por exemplo, na prática está executando o malware.

Espionagem de áudio, vídeo e teclado

Na reta final da cadeia de infecção, o THUMBSBD entrega o payload final da campanha: o FOOTWINE. Classificado como spyware, um software de espionagem, o FOOTWINE é capaz de registrar tudo que é digitado no teclado da vítima, capturar imagens da tela, e ativar remotamente o microfone e a câmera do computador para vigilância de áudio e vídeo em tempo real.

Toda a comunicação entre o FOOTWINE e os servidores dos atacantes é cifrada com um protocolo próprio, dificultando a interceptação e análise por pesquisadores de segurança.

Paralelamente, o THUMBSBD também entrega o BLUELIGHT, um backdoor que funciona como uma porta de acesso remoto não autorizada, já documentado em campanhas anteriores do APT37. O BLUELIGHT usa serviços como Google Drive, Microsoft OneDrive e pCloud para se comunicar com os atacantes, pela mesma lógica de camuflagem adotada pelo RESTLEAF com o Zoho WorkDrive.

Contexto e alvos prováveis

O APT37 tem histórico consolidado de ataques contra indivíduos e entidades governamentais alinhadas aos interesses de vigilância do Estado norte-coreano.

O documento de isca em árabe sobre o conflito Palestina-Israel, traduzido de uma publicação da Coreia do Norte, o que sugere que os alvos desta campanha específica são pessoas ou organizações com interesse em narrativas midiáticas norte-coreanas sobre o tema, o que é coerente com o perfil histórico de vítimas do grupo.

Quer receber mais notícias de cibersegurança e tecnologia? Assine nossa newsletter e inscreva-se no canal do YouTube. Siga o TecMundo nas redes sociais.