A Cloudflare One se torna a primeira plataforma SASE a oferecer criptografia híbrida pós-quântica ML-KEM, em conformidade com padrões, abrangendo todos os principais pontos de entrada e saída, incluindo seu Secure Web Gateway, Zero Trust e casos de uso de WAN. Esta atualização estende a proteção pós-quântica para o Cloudflare IPsec (atualmente em beta fechado) e para o Cloudflare One Appliance (com Disponibilidade Geral na versão 2026.2.0). A medida visa defender o tráfego corporativo contra ataques de "coleta agora, decripta depois", antecipando o prazo do NIST para descontinuar RSA e ECC até 2030. A implementação segue a especificação draft-ietf-ipsecme-ikev2-mlkem, evitando abordagens proprietárias, e está disponível sem custo adicional.
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
2174 notícias
Um pesquisador de segurança descobriu que o robô aspirador Romo da DJI não possuía autenticação MQTT, permitindo que qualquer cliente se conectasse aos servidores da DJI e extraísse telemetria de aproximadamente 7.000 dispositivos em 24 países. Feeds de câmera ao vivo, acesso ao microfone, plantas baixas 2D e números de série estavam todos disponíveis. Em menos de 9 minutos, o pesquisador catalogou mais de 6.700 dispositivos e coletou mais de 100.000 mensagens MQTT, revelando layouts residenciais precisos e localizações aproximadas dos dispositivos via geolocalização por IP. A DJI teria corrigido a falha de acesso imediato. No entanto, o problema mais profundo persiste: o canal dispositivo-nuvem confia em qualquer sessão autenticada como um proprietário legítimo, caracterizando uma falha fundamental de autorização em IoT.
A CNA do kernel Linux agora atribui CVEs a quase toda correção de bug, frequentemente sem pontuações CVSS, e essa decisão desmantelou o modelo clássico de conformidade “aplique patch em qualquer coisa acima de 7.0 em 30 dias”. Equipes de segurança precisam agora escolher entre triagem manual dispendiosa e simplesmente aplicar patches em tudo rapidamente. ️ Bootable containers (bootc) oferecem um caminho intermediário: eles empacotam o sistema operacional completo (kernel, drivers e user-space) como uma imagem de container imutável com atualizações atômicas e rollback automático quando as verificações de saúde falham, o que elimina a ansiedade de reboot que causa fadiga de atualização. A verdadeira mudança é afastar a gestão de vulnerabilidades da triagem de CVSS baseada em planilhas para o scanning com escopo de build-file de imagens mínimas, transformando a aplicação de patches em uma etapa rotineira do pipeline de CI/CD, em vez de um evento manual de alto risco.
O grupo MuddyWater (TA450), ligado ao Irã, lançou a Operação Olalampo , uma campanha de spear-phishing que distribui múltiplas e novas cepas de malware. Isso inclui a backdoor Char, baseada em Rust e utilizando Telegram para C2, a cadeia de loaders GhostFetch/GhostBackDoor e o downloader HTTP_VIP, todos direcionados a organizações no Oriente Médio e África. A Group-IB identificou indícios de desenvolvimento assistido por IA nos handlers de comando do Char, como strings de depuração com emojis que provavelmente não foram sanitizados em segmentos de código gerados por LLM. Os defensores devem usar os IoCs, regras YARA e regras EDR publicados para detectar atividades, além de monitorar implantações não autorizadas do AnyDesk e tráfego C2 via Telegram.
A Anthropic identificou campanhas de distilação em escala industrial conduzidas por DeepSeek, Moonshot e MiniMax. Essas campanhas geraram mais de 16 milhões de interações em aproximadamente 24.000 contas fraudulentas, com o objetivo de extrair as capacidades de raciocínio agentic, uso de ferramentas e codificação do Claude para treinar seus próprios modelos. Os laboratórios empregaram serviços de proxy operando arquiteturas de "hydra cluster" com milhares de contas coordenadas para contornar restrições de acesso regionais. A MiniMax, por exemplo, adaptou suas operações em 24 horas para visar novos lançamentos de modelos, enquanto a DeepSeek focou especificamente na extração de dados de chain-of-thought e alternativas seguras contra censura para consultas politicamente sensíveis. Em resposta, a Anthropic implementou classificadores de fingerprinting comportamental, fortaleceu a verificação de contas e está compartilhando indicadores técnicos com outros laboratórios e autoridades, alertando que modelos ilicitamente destilados removem os safety guardrails de segurança e comprometem os controles de exportação.
RoguePilot é uma falha no GitHub Codespaces onde prompt injections ocultas em issues sequestram silenciosamente o Copilot, exfiltrando GITHUB_TOKENs privilegiados e viabilizando ataques de cadeia de suprimentos mediados por IA. ️
Um ataque de ransomware contra a gigante de outsourcing Conduent expôs dados pessoais de pelo menos 25 milhões de indivíduos em diversos estados dos EUA, como Oregon e Texas. As informações comprometidas incluem nomes, números de Social Security, dados de seguro saúde e registros médicos. ️
O spyware Predator da Intellexa oculta os indicadores de gravação de câmera e microfone do iOS, manipulando o SBSensorActivityDataProvider do SpringBoard e anulando as atualizações de atividade do sensor antes que cheguem à camada da UI ️.
Um servidor mal configurado revelou um toolkit de intrusão completo onde um ator de ameaças integrou LLMs diretamente ao workflow de ataque, utilizando DeepSeek para gerar planos de ataque a partir de dados de reconhecimento e Claude Code para conduzir avaliações de vulnerabilidade em tempo real. Este ataque mirou appliances FortiGate em 106 países, com 2.516 alvos identificados. Ferramentas personalizadas como ARXON, um servidor MCP que faz a ponte entre a análise de LLMs e scripts de ataque, e CHECKER2, um orquestrador Docker baseado em Go, automatizaram todo o pipeline: desde a ingestão de configurações de VPN roubadas e o escaneamento interno até o planejamento de exploração guiado por LLMs. Este sistema evoluiu do framework open-source HexStrike em aproximadamente oito semanas. Defensores devem auditar contas de VPN não autorizadas, acessos SSH inesperados e mudanças não aprovadas nas políticas de firewall, pois a abordagem de modelo duplo, selecionando o LLM mais permissivo para cada tarefa, reduz a barreira de habilidades para gerenciar intrusões simultâneas em escala.
O aplicativo de Clima pré-instalado da Samsung cria silenciosamente uma impressão digital altamente única, combinando os IDs de localização (placeid) salvos que envia à API da The Weather Company. Um estudo revelou que 96,4% dos dispositivos amostrados são unicamente identificáveis ao longo dos dias. Essas impressões digitais persistem com o tempo, resistem a mudanças de IP e de rede, e podem ser usadas para determinar localizações precisas através de chaves de API codificadas que funcionam de qualquer cliente. As requisições frequentemente incluem tanto os valores de placeid hash quanto coordenadas GPS brutas, proporcionando à The Weather Company (IBM) e à Samsung perfis de localização detalhados, refletindo um padrão industrial de monetização de dados de localização baseados em clima. ️️
A CVE-2025-29969 é uma vulnerabilidade de execução remota de código no protocolo MS-EVEN RPC ️, ativado por padrão no Windows 11 e Windows Server 2025. Ela permite que usuários com poucos privilégios gravem arquivos arbitrários remotamente, explorando uma falha TOCTOU na função de backup do EventLog, contornando efetivamente as limitações padrão do compartilhamento C$. Essa cadeia de ataque combina uma primitiva CreateFile oculta para verificações de existência remota de arquivos/diretórios com uma primitiva de escrita arbitrária. Isso é alcançado pela troca de um arquivo EVTX controlado pelo invasor em um compartilhamento SMB remoto entre a validação de cabeçalho e o backup, o que possibilita a execução de código via scripts em lote da pasta Startup ou sequestro de DLL . Embora a Microsoft tenha corrigido a primitiva de escrita TOCTOU em maio de 2025, as capacidades de reconhecimento que permitem a enumeração remota de arquivos em máquinas ingressadas no domínio permanecem sem correção.
Pesquisadores da Veracode descobriram um pacote NPM com typosquatting chamado "buildrunner-dev" que entrega o Pulsar RAT ao esconder código malicioso em imagens PNG usando esteganografia. ️ Este método permite a extração de payloads dos valores de pixel RGB em tempo de execução. A cadeia de ataque emprega um arquivo batch altamente ofuscado de 1.600 linhas com apenas 21 linhas funcionais, além de ser capaz de detectar e evadir produtos AV como ESET e Malwarebytes. O ataque utiliza ainda a técnica de process hollowing para injetar o payload final em processos legítimos. ️ Ataques à cadeia de suprimentos estão cada vez mais utilizando esteganografia baseada em imagem para contornar ferramentas tradicionais de varredura de arquivos. Desenvolvedores devem, portanto, verificar cuidadosamente os nomes dos pacotes e auditar suas dependências para mitigar riscos.
O PayPal revelou um erro de software em seu aplicativo de empréstimos Working Capital que expôs nomes, detalhes de contato, SSNs e datas de nascimento de 100 clientes corporativos entre julho e meados de dezembro de 2025. A empresa reverteu o código defeituoso, redefiniu senhas e detectou algumas transações não autorizadas.
O Departamento do Tesouro dos EUA anunciou uma iniciativa público-privada, por meio do AI Executive Oversight Group, que divulgará seis recursos ao longo de fevereiro. O objetivo é ajudar instituições financeiras , especialmente as pequenas e médias, a gerenciar riscos de cibersegurança específicos da IA e a implementar a IA de forma mais segura ️.
Pesquisadores da Unit 42 introduziram um novo método de detecção que rastreia atores de ameaça na nuvem ao vincular suas técnicas MITRE ATT&CK conhecidas a padrões de alerta específicos. Esta abordagem conseguiu distinguir com sucesso as operações dos grupos Muddled Libra (Scattered Spider) e Silk Typhoon em 22 setores industriais, entre junho de 2024 e junho de 2025. A análise revelou apenas três assinaturas de alerta compartilhadas de um total de cerca de 120, evidenciando suas táticas distintas. Picos nos alertas por setor correlacionaram-se com campanhas divulgadas publicamente, como um aumento de 25% nos alertas no setor de transporte durante os ataques à aviação do Muddled Libra, permitindo aos defensores identificar ameaças precocemente ao investigar alertas relacionados a atores em um período de 30 dias.
A nova funcionalidade Claude Code Security da Anthropic escaneia bases de código em busca de vulnerabilidades, propõe correções e alega ter identificado centenas de falhas de alta severidade em projetos open source . Isso gerou preocupação entre investidores de segurança e impactou negativamente ações como as da CrowdStrike. A Anthropic se alinha a Google, Microsoft, Amazon e OpenAI no emprego de agentes de IA para detecção de bugs. Entretanto, todas essas abordagens ainda dependem de revisão humana e enfrentam debates sobre falsos positivos, custos e o excesso de marketing.
A polícia espanhola prendeu um jovem de 20 anos em Madri que manipulou o processo de validação do gateway de pagamento de um site de reservas de hotéis para garantir estadias em quartos de luxo por apenas €0,01 por reserva .
Atuantes do ransomware Everest acessaram dados da Vikor Scientific (agora Vanta Diagnostics) via o fornecedor de ciclo de receita Catalyst RCM. Eles utilizaram credenciais comprometidas para roubar cerca de 12GB de arquivos contendo nomes, datas de nascimento, dados de cartão de pagamento, detalhes médicos e informações de seguro. Aproximadamente 140.000 indivíduos estão atualmente listados como afetados, mas o impacto final pode ser maior, pois as contagens de todas as entidades vinculadas permanecem incertas.
Três vulnerabilidades críticas não autenticadas, leitura arbitrária de arquivos, exclusão arbitrária de arquivos e SQL injection, foram divulgadas no Novarain/Tassos Framework (v4.10.14–v6.0.37). Este é um plugin de sistema compartilhado, presente em cinco extensões Joomla! amplamente utilizadas, como Convert Forms, EngageBox e Advanced Custom Fields. Encadear essas falhas permite a execução remota de código (RCE) confiável e a tomada de controle de contas de administrador, ao despejar sessões ativas de superadministradores via SQLi e, em seguida, autenticar-se para fazer upload de extensões maliciosas. Administradores devem atualizar as extensões afetadas imediatamente ou desabilitar o plugin plg_system_nrframework e restringir o acesso a endpoints com_ajax por meio de regras de WAF.
O ring buffer, introduzido no Linux 5.8, substituiu o legacy perf buffer como o mecanismo recomendado para transferência de dados do kernel para o userspace em programas eBPF. Ele utiliza um único buffer circular compartilhado entre todas as CPUs, em vez de buffers por CPU, eliminando a complexidade de ordenação de eventos entre CPUs e reduzindo o overhead de cópia. Este artigo explora ambas as implementações em C e Go usando cilium/ebpf, demonstrando como o modelo reserve-and-submit do ring buffer, via bpf_ringbuf_reserve e bpf_ringbuf_submit, oferece um caminho mais simples e de maior throughput em comparação com a abordagem bpf_perf_event_output do perf buffer. Para tooling de segurança construído sobre eBPF tracing, o ring buffer é agora a escolha padrão para streaming de eventos estruturados de monitores de nível de kernel para o userspace. ️
