A Microsoft lançou correções de emergência para várias falhas zero-day ativamente exploradas no Windows e Office. Essas vulnerabilidades permitem a execução remota de código com um clique e contornos do SmartScreen em todas as versões suportadas do Windows. Atacantes podem executar silenciosamente malware com altos privilégios, possibilitando campanhas de ransomware e espionagem. Administradores e usuários finais são urgentemente alertados a aplicar os patches imediatamente e a tratar links maliciosos e arquivos do Office como de alto risco.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
2178 notícias
A equipe de ameaças do Google detalha como o grupo norte-coreano UNC2970 e outros estão weaponizando a IA Gemini para perfilamento de alvos baseado em OSINT, phishing direcionado, análise de vulnerabilidades e depuração de exploits. Essa prática borra a linha entre pesquisa e reconhecimento. Os atacantes também empregam a API do Gemini no malware HONESTCUE, em kits de phishing COINBAIT criados com IA, e em tentativas de extração de modelo em larga escala que replicam o comportamento do Gemini através de um alto volume de prompt queries. ️️
O grupo Lotus Blossom comprometeu a infraestrutura de hospedagem do Notepad++ entre junho e dezembro de 2025. Eles sequestraram o servidor de atualização para distribuir seletivamente instaladores maliciosos a alvos nos setores governamental, de telecomunicações e de infraestrutura crítica no Sudeste Asiático, América do Sul, EUA e Europa. O ataque empregou duas cadeias de infecção: uma variante de injeção de script Lua, que implantava beacons Cobalt Strike, e uma variante de DLL sideloading, que utilizava um componente renomeado do Bitdefender para carregar o backdoor Chrysalis com técnicas de evasão protegidas por Warbird. Recomenda-se que os usuários atualizem manualmente para o Notepad++ v8.9.1 ou posterior, que inclui verificação de certificado e assinatura para instaladores baixados.
A Apple corrigiu a CVE-2026-20700, uma vulnerabilidade de execução arbitrária de código no dyld (o Dynamic Link Editor), descoberta pelo Threat Analysis Group do Google. Esta falha foi explorada em ataques direcionados contra indivíduos específicos que utilizavam versões do iOS anteriores ao iOS 26, marcando o primeiro zero-day da Apple corrigido em 2026. A vulnerabilidade, encadeada com duas falhas previamente corrigidas (CVE-2025-14174 e CVE-2025-43529), afeta uma vasta gama de dispositivos , incluindo iPhone 11 e posteriores, iPad, Mac, Apple TV, Apple Watch e Vision Pro. As correções estão disponíveis nas versões iOS 18.7.5, iPadOS 18.7.5, macOS Tahoe 26.3, tvOS 26.3, watchOS 26.3 e visionOS 26.3.
A falha CVE-2026-20841 (CVSS 8.8) é uma vulnerabilidade de command injection no Bloco de Notas atualizado da Microsoft (versões 11.0.0 a 11.2509). Ela surge porque o handler de Markdown não valida o conteúdo de links antes da execução, permitindo que atacantes executem código remoto quando usuários abrem um arquivo .md malicioso e clicam em um link incorporado. Existem exploits de prova de conceito públicos, e a vulnerabilidade está sendo ativamente explorada, concedendo aos atacantes permissão total para executar código. A Microsoft corrigiu o problema no Bloco de Notas build 11.2510+ em 10 de fevereiro. ️ Usuários são aconselhados a desativar as prévias de Markdown e links quando não forem necessárias.
A botnet IoT Kimwolf acidentalmente interrompeu a rede de anonimato I2P ao tentar registrar 700.000 dispositivos infectados como nós, num ataque Sybil que sobrecarregou a rede de aproximadamente 15.000 a 20.000 nós. A ação visava estabelecer uma infraestrutura C2 resistente a takedowns. Os operadores da botnet, que admitiram a interrupção no Discord, têm testado I2P e Tor como canais de comando e controle de fallback, após a intensificação dos esforços de empresas de segurança e operadores de rede para combater a botnet. Atualmente, a I2P opera com cerca de metade da sua capacidade enquanto as correções de estabilidade são implementadas. Enquanto isso, o número total de sistemas infectados pela Kimwolf diminuiu em mais de 600.000, após disputas internas entre operadores e erros operacionais.
Um ciberataque em maio de 2025 contra a ApolloMD expôs PII e PHI de 626.540 indivíduos associados a médicos e clínicas afiliadas . Os dados comprometidos incluíram diagnósticos, detalhes de tratamento, informações de seguro e, em alguns casos, números de Seguro Social. As notificações começaram em setembro de 2025, com monitoramento de crédito gratuito oferecido. Posteriormente, o grupo de ransomware Qilin reivindicou a autoria do ataque em seu site de vazamento.
BinaryAudit é um benchmark open-source da Quesma, criado para avaliar a capacidade de agentes de IA detectarem backdoors em executáveis binários despojados, utilizando ferramentas de engenharia reversa como Ghidra e Radare2. ️️ O benchmark testa modelos contra versões com backdoors de lighttpd, dnsmasq, Dropbear e Sozu. Claude Opus 4.6 liderou com 49% de detecção, mas foi prejudicado por uma taxa de falsos positivos de 22% em binários limpos. ️ Os resultados indicam que, embora a análise binária assistida por IA esteja se tornando acessível a não especialistas, as altas taxas de falsos positivos e a incapacidade de rastrear o fluxo de dados em binários complexos a tornam inadequada para a detecção de malware em produção atualmente.
Este é o primeiro post de uma série que utiliza o BadPods da BishopFox. A série investiga as proteções incluídas nas ofertas de Kubernetes gerenciado de diferentes provedores de cloud, apresentando manifests de pod com diversos níveis de má configuração. O artigo detalha como o manifest mais permissivo permite escapar trivialmente do pod via um host path montado e escalar privilégios, roubando credenciais IAM do IMDS.
A Mandiant atribuiu uma intrusão contra uma entidade FinTech ao UNC1069, um ator de ameaças financeiramente motivado com ligação à Coreia do Norte (DPRK), que utilizou uma conta comprometida do Telegram, uma reunião Zoom falsificada com um vídeo deepfake reportado, e um ataque ClickFix para implantar sete famílias de malware em um dispositivo macOS, incluindo as novas ferramentas SILENCELIFT, DEEPBREATH e CHROMEPUSH. A cadeia de ataque progrediu do backdoor WAVESHAPER através do downloader HYPERCALL para implantar o HIDDENCALL para acesso hands-on keyboard. O DEEPBREATH contornou as proteções TCC do macOS para roubar credenciais do Keychain, dados de navegador e sessões do Telegram, e o CHROMEPUSH instalou uma extensão maliciosa do Chrome para keylogging e roubo de cookies. A investigação destaca o uso crescente do UNC1069 de ferramentas GenAI como Gemini e GPT-4o para engenharia social, juntamente com uma significativa atualização de tooling, visando startups de criptomoedas, desenvolvedores de software e empresas de capital de risco.
VoidLink é um implante C2 para Linux baseado em Zig que apresenta fortes indicadores de código gerado por LLM – incluindo rótulos estruturados "Phase X:", log de depuração detalhado e padrões de documentação deixados no binário de produção. Isso demonstra como os agentes de codificação de IA estão diminuindo a barreira para a produção de malware funcional e multi-cloud. O implante faz o fingerprinting de ambientes AWS, GCP, Azure, Alibaba Cloud e Tencent Cloud, coleta credenciais de variáveis de ambiente e APIs de metadados, realiza escape de contêiner via plugins Docker/Kubernetes e implanta um rootkit adaptável em nível de kernel que seleciona eBPF, LKM ou stealth por LD_PRELOAD com base na versão do kernel do host. Defensores devem monitorar por consultas não autorizadas a APIs de metadados em nuvem a partir de workloads, auditar o acesso a tokens de contas de serviço do Kubernetes e tratar artefatos de depuração detalhados ou estruturados em malware capturado como potenciais indicadores de desenvolvimento assistido por IA, exigindo uma modelagem de ameaças ajustada. ️
O agente de threat hunting da Koi Security analisou habilidades oferecidas no marketplace ClawHub da OpenClaw e descobriu que 341 de 2857 delas eram maliciosas. A maioria dessas extensões maliciosas segue um padrão semelhante: seus pré-requisitos instruem o agente a baixar e executar um arquivo que contém um payload malicioso, responsável por instalar o stealer AMOS. A publicação também ressalta a existência de algumas habilidades únicas que baixam outros tipos de payloads ou que camuflam seus stealers e backdoors diretamente no código-fonte.
Um novo kit comercial de spyware móvel, o ZeroDayRAT, vendido via Telegram e analisado pela iVerify, oferece capacidades de nível estatal, incluindo feeds de câmera e microfone ao vivo, keylogging, rastreamento GPS, roubo de credenciais bancárias e hijacking de clipboard de criptomoedas para dispositivos Android e iOS. ️ Este kit, auto-hospedado, utiliza um builder model onde os operadores geram payloads para sua própria infraestrutura, distribuindo-os via phishing, smishing ou aplicativos trojanizados. Os criadores obscurecem deliberadamente a atribuição, anunciando em cinco idiomas e misturando indicadores de direcionamento chineses, russos e indianos. Os esforços de remoção foram complicados pelo modelo de operador descentralizado e pela lenta fiscalização do Telegram, tornando esta uma ameaça persistente com poucos IoCs disponíveis, além do consumo incomum de bateria e transações financeiras inexplicáveis.
Atacantes estão migrando do roubo de credenciais para a apropriação de tokens de autenticação para obter acesso inicial. Em um incidente observado pelo autor, um agressor conseguiu roubar um token de autenticação através de um proxy AitM do Microsoft 365, mas não alcançou seus objetivos devido à rápida detecção e resposta. Em um segundo incidente, o agressor falhou em roubar um token porque a organização utilizava chaves de segurança FIDO2, o que fez com que a tentativa de autenticação via proxy AitM não fosse bem-sucedida.
O guia 'Barreiras para Comunicações OT Seguras: Por que Johnny Não Consegue Autenticar' aborda as barreiras de custo, complexidade, latência e interoperabilidade ️ que impedem os operadores de infraestrutura crítica de adotar protocolos industriais seguros .
Uma campanha de phishing ️, que explora os temas do Mês do Orgulho e diversidade, expandiu-se de 504 para 4.768 organizações-alvo em diversos países.
O ransomware Reynolds agora incorpora um driver vulnerável NsecSoft NSecKrnl (CVE-2025-68947, CVSS 5.7) diretamente em seu payload. Essa tática de Bring Your Own Vulnerable Driver (BYOVD) permite desativar processos de ferramentas EDR de fornecedores como CrowdStrike, Sophos, Symantec, Palo Alto Cortex XDR e Avast antes da criptografia de arquivos, eliminando a necessidade de uma etapa de implantação BYOVD separada. Pesquisadores da Symantec e Carbon Black observaram um loader side-loaded suspeito na rede alvo semanas antes da execução do ransomware, seguido pela implantação da ferramenta de acesso remoto GotoHTTP para acesso persistente. O cenário do ransomware também mostra outras evoluções notáveis, incluindo a mudança do LockBit 5.0 para criptografia ChaCha20 com recursos de wiper, o uso por parte do Interlock de um zero-day em driver de jogos (CVE-2025-61155) para ataques BYOVD, e o aumento de atores de ransomware visando buckets AWS S3 mal configurados. ️
Os certificados que a Microsoft utiliza para o Secure Boot estão programados para expirar em junho de 2026, após 15 anos de uso. Usuários com atualizações automáticas ativadas receberão os novos certificados automaticamente. Administradores podem implementar os novos certificados via chaves de registro, Group Policy ou Windows Configuration System (WinCS). É importante notar que usuários do Windows 10 que não estão inscritos em atualizações de segurança estendidas não receberão os novos certificados.
A exploração dos zero-days da Ivanti EPMM, CVE-2026-1281 e CVE-2026-1340 (ambos com CVSS 9.8), já atingiu 86 instâncias confirmadas de sistemas comprometidos.
Atores de ameaça desconhecidos exploraram instâncias vulneráveis do SolarWinds Web Help Desk (WHD) em dezembro de 2025 para obter acesso inicial. A Microsoft não conseguiu confirmar se os ataques exploraram a CVE-2025-40551 (RCE por desserialização com CVSS 9.8), a CVE-2025-40536 (auth bypass com CVSS 8.1) ou a CVE-2025-26399 (execução de comando com CVSS 9.8). A atividade pós-exploração incluiu o abuso de BITS para entrega de payload, instalação do Zoho ManageEngine RMM para persistência, dumping de credenciais LSASS via DLL sideloading e ataques DCSync para extrair dados de senhas do domain controller. As organizações devem aplicar patches no WHD imediatamente, remover o acesso público a caminhos administrativos, procurar por ferramentas RMM não autorizadas como o ToolsIQ.exe e rotacionar as credenciais de contas de serviço e administradores acessíveis a partir do WHD.
