A Novee Security revelou 16 vulnerabilidades zero-day nas plataformas PDF Foxit e Apryse, permitindo ataques de um clique e XSS.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
2174 notícias
O grupo ShinyHunters está despejando registros de clientes da Odido em lotes diários, expondo identificadores sensíveis, detalhes bancários e notas de suporte . Eles ameaçam escalar os vazamentos, que já impactaram mais de um milhão de contas. A polícia holandesa apoia publicamente a postura da Odido de recusar pagamentos de resgate e enfatiza a necessidade de um rápido envolvimento das autoridades e vigilância anti-phishing ️.
Os enclaves Nitro, introduzidos em 2020, visavam oferecer um ambiente de execução confiável para aplicações sensíveis à segurança. Contudo, o desenvolvimento dessas aplicações se mostrava complexo devido às limitações inerentes a esse ambiente. No ano passado, a AWS lançou o atestado de instância EC2, que estende o enclave de segurança para a instância completa. Essa inovação possibilita mais casos de uso e melhora a usabilidade, embora exija maior esforço para proteger a instância e aumente a complexidade de implantação. ️ Este artigo explora o processo de criação de uma aplicação em uma instância EC2 com atestado, incluindo um workflow do GitHub Actions para construir uma AMI (Amazon Machine Image) endurecida e atestável.
A AmberWolf divulgou uma vulnerabilidade de RCE no Delinea Secret Server Protocol Handler (versões ≤6.0.3.39) e Connection Manager (versões ≤2.7.1). A falha permitia que a sanitização inadequada do URL handler `sslauncher://` levasse a um servidor malicioso a fornecer nomes de processo e argumentos controlados por atacantes através de dados de launcher criptografados. Isso resultava na execução arbitrária de código em sistemas Windows e macOS quando uma vítima visitava uma página web maliciosa e aceitava um prompt de segurança. O exploit, implementável como um plugin NachoVPN, abusa do fluxo legítimo de troca de chaves para injetar configurações de launcher serializadas que o `RDPWin.exe` executa cegamente via `Process.Start()`. ️ A Delinea corrigiu o protocol handler em 17 de janeiro. Organizações devem atualizar imediatamente e monitorar por processos filhos anômalos gerados pelo `RDPWin.exe`.
Esta parte do guia multipartes do NCSC do Reino Unido sobre a implementação de Zero Trust em uma empresa foca em definir o conceito para além de ser apenas um termo da moda ou um produto específico. O Zero Trust estabelece uma mudança estratégica onde os usuários são continuamente autenticados, em vez de uma autenticação única no início de uma sessão. Isso implica uma abordagem de defesa em profundidade, onde os controles são aplicados em camadas dentro de um sistema e podem operar em conjunto com sistemas existentes ou substituí-los. ️
Pesquisadores descobriram falhas críticas nos jardins inteligentes Gardyn Home e Studio, expondo cerca de 138.000 dispositivos internos a comprometimento remoto não autenticado e acessível via internet. As vulnerabilidades permitiam OS command execution via command injection e utilizavam credenciais de administrador hardcoded no Gardyn IoT Hub e na infraestrutura Azure IoT. Felizmente, as correções foram liberadas e entregues automaticamente.
O aplicativo iOS da Twitch utiliza chaves Eppo SDK server-side em vez de tokens de cliente, expondo mais de 260 feature flags de produção não ofuscadas através de um endpoint de CDN que pode ser consultado livremente uma vez que uma chave é observada no tráfego. Essas flags revelam o roadmap de curto prazo da Twitch, exibindo IDs hardcoded, codinomes internos e futuros lançamentos como “Elevate Prime 2026”. Isso transforma as feature flags em um feed de inteligência ao vivo sobre o produto, a postura de segurança e os aspectos econômicos internos da empresa.
A Guarda Civil espanhola prendeu quatro supostos membros do grupo "Anonymous Fénix" por realizar ataques de negação de serviço distribuído (DDoS) contra ministérios e instituições públicas do governo. ️
Muitos produtos de segurança no Windows 10 e 11 utilizam kernel Event Tracing for Windows (ETW) hooks para monitorar a criação de processos e serem notificados sobre atividades potencialmente maliciosas. No entanto, um atacante pode contornar essas verificações explorando uma race condition entre a conclusão da configuração do executive process object pelo kernel e a invocação dos process-creation callbacks. Além disso, atacantes podem empregar legacy APIs para a criação de processos, as quais não acionam os process-creation callbacks, permitindo a execução de código não monitorado.
Um pacote NuGet por typosquatting, chamado "StripeApi.Net", se passou pela biblioteca legítima Stripe.net com contagens de download artificialmente inflacionadas (cerca de 180 mil em 506 versões). Ele exfiltrava silenciosamente tokens de API do Stripe , mantendo a funcionalidade completa de processamento de pagamentos para evitar a detecção.
A ManoMano, marketplace de produtos para casa e jardim (DIY), está notificando aproximadamente 38 milhões de clientes afetados após um acesso não autorizado em um provedor de atendimento ao cliente subcontratado que gerenciava interações baseadas em Zendesk. O ator de ameaças “Indra” afirma ter comprometido dados de 37,8 milhões de contas, incluindo nomes, e-mails, números de telefone e comunicações de suporte.
O Tesouro dos EUA ️ sancionou o exploit broker russo Operation Zero e seu fundador, Sergey Zelenyuk. A ação foi motivada pela aquisição de no mínimo oito ferramentas cibernéticas ️ do governo dos EUA, roubadas por um insider, e sua posterior venda a compradores não autorizados. Esta é a primeira medida sob a Protecting American Intellectual Property Act .
A Microsoft descobriu repositórios Trojanizados de Next.js, vinculados ao grupo Lazarus APT da Coreia do Norte, que entregam backdoors através de desafios de codificação em falsas entrevistas de emprego. Isso permite RCE (Execução Remota de Código) e acesso C2 persistente em máquinas de desenvolvedores. Os repositórios exploram a automação do VS Code através de arquivos `.vscode/tasks.json` maliciosos ou incorporam loaders ofuscados em ativos de build que buscam JavaScript controlado pelo atacante em tempo de execução. Equipes de segurança devem implementar políticas rígidas de confiança para IDEs, monitorar conexões Node.js de saída anômalas e tratar os workflows de desenvolvimento como uma superfície de ataque privilegiada. ️
A equipe de Threat Intelligence do Google desarticulou o UNC2814, um grupo de espionagem ligado à China que comprometeu 53 vítimas em 42 países , visando organizações de telecomunicações e governamentais. Eles usaram um novo backdoor chamado Gridtide, que abusa da API do Google Sheets para comunicação de C2 ️️. O grupo, monitorado desde 2017 e com infraestrutura ativa desde julho de 2018, escalou privilégios via SSH lateral movement e implantou o SoftEther VPN Bridge para conexões persistentes e criptografadas. O Google encerrou todos os Cloud Projects controlados pelos atacantes, desativou a infraestrutura conhecida e revogou o acesso à API do Sheets utilizado nas operações de C2.
Hackers têm explorado uma falha de severidade máxima 10.0 em equipamentos Cisco Catalyst SD-WAN desde 2023. Essa exploração permitiu obter acesso de alto nível, manter persistência furtiva e espionar ou roubar dados de grandes empresas e infraestruturas críticas em todo o mundo. Governos, como os dos EUA, Reino Unido, Canadá, Austrália e Nova Zelândia, alertam sobre o direcionamento global .
Pesquisadores da InfoGuard demonstraram que o recurso Live Terminal do Palo Alto Cortex XDR pode ser abusado como um canal C2 (Command and Control) pré-instalado e confiável pelo EDR. ️ Isso permite execução de comandos, transferência de arquivos e capacidades de evasão, com tráfego que se mistura nativamente aos fluxos da rede corporativa. O ataque explora uma falha trivial de validação de URL no `cortex-xdr-payload.exe` e a ausência de autenticação mútua ou assinatura criptográfica de comandos, permitindo que atacantes redirecionem conexões para sua própria infraestrutura através de `cross-tenant hijacking` ou de um servidor WebSocket customizado. Para defesa, é crucial monitorar a execução de `cortex-xdr-payload.exe` quando gerado por qualquer processo pai diferente de `cyserver.exe`. A correção alegada pela Palo Alto nas versões 8.7 a 8.9 não foi confirmada como eficaz até fevereiro.
O AirSnitch explora o comportamento de baixo nível do Wi-Fi para burlar o isolamento de cliente, permitindo um ataque MitM (Man-in-the-Middle) bidirecional de qualquer SSID no mesmo AP contra dispositivos comuns de consumidores e empresas. Cibercriminosos podem roubar cookies, credenciais e segredos RADIUS, transitar entre redes de convidados e corporativas, e envenenar o DNS. Isso questiona a segurança do Wi-Fi de convidados e exige que as redes adotem segmentação zero-trust mais rigorosa e um design de AP/VLAN mais cuidadoso. ️
A Truffle Security descobriu que habilitar a Gemini API em um projeto do Google Cloud concede, de forma silenciosa, acesso a endpoints sensíveis do Gemini para chaves API existentes, incluindo aquelas incorporadas publicamente em JavaScript client-side para serviços como Maps e Firebase (CWE-1188, CWE-269). Uma varredura no conjunto de dados Common Crawl de novembro de 2025 identificou 2.863 chaves API Google ativas e vulneráveis a essa escalada de privilégio, afetando grandes instituições financeiras, empresas de segurança e a própria Google. As organizações devem auditar todos os projetos GCP em busca da Generative Language API, restringir ou rotacionar chaves irrestritas ou publicamente expostas, e verificar se nenhuma chave compatível com Gemini está em código client-side ou repositórios públicos.
Um domínio .online de um desenvolvedor foi suspenso via serverHold pela operadora de registro Radix, após o Google Safe Browsing sinalizar o site, sem notificação prévia ou período de carência. A suspensão criou uma situação de Catch-22, onde o Google exigia verificação de domínio via DNS para revisar a sinalização, mas o registro se recusou a reativar o DNS até que o Google a removesse. O incidente destaca os riscos de TLDs que não são .com com políticas agressivas de abuso e reforça a importância de pré-registrar domínios no Google Search Console e adicionar monitoramento de uptime, mesmo para páginas de destino simples. ️
Em janeiro de 2026, a apreensão do fórum RAMP pelo FBI desmantelou um hub central para a coordenação de ransomware, mas principalmente fragmentou a confiança e empurrou os atores para espaços mais compartimentados. Exemplos incluem o T1erOne, um fórum fechado e pago, e o Rehub, um fórum aberto. As narrativas concorrentes sobre dados vazados do RAMP e o possível abuso interno reforçaram os receios de honeypots, impulsionando uma mudança para comunidades menores e mais rigorosamente verificadas, além do uso simultâneo de plataformas de baixa barreira.
