O grupo cibercriminoso PREY-0058 intensifica seus ataques a executivos, empregando chamadas fraudulentas de suporte de TI e domínios falsos com temas de autenticação. A tática permite a captura de credenciais do Microsoft 365, aprovações de MFA e tokens de sessão. Após o acesso, os operadores reexecutam esses tokens via proxies residenciais para mapear o SharePoint e o Entra ID, culminando na exfiltração em massa de dados do SharePoint, OneDrive, Exchange e Box, seguida por exigências de extorsão. Empresas são alertadas a intensificar o monitoramento de reexecução de tokens por proxy, coleta de caixas de correio e novos domínios suspeitos relacionados a MFA para mitigar os riscos.
A Oxide divulgou seu projeto de segurança para proteger dados em repouso nos racks, fundamentado em um segredo de rack compartilhado via Shamir. A arquitetura exige o roubo de um número mínimo de sleds ou unidades M.2 para que um invasor possa recuperar o segredo. Chaves ZFS individuais são derivadas usando HKDF com SHA3-256 e um string de informação composto por ID de fornecedor PCI, modelo da unidade e número de série. Isso garante que a eventual comprometimento de uma chave de disco não afete as demais, reforçando a segregação de segurança. O processo de rotação de chaves apresenta um desafio técnico significativo, envolvendo um commit distribuído em duas fases. O dealer criptografa o segredo do rack da época N-1 sob uma chave derivada do segredo da época N, utilizando chacha20poly1305. Este método assegura que o segredo antigo permaneça irrecuperável até que a nova configuração seja efetivamente consolidada, mitigando riscos durante a transição.
Pesquisadores da Check Point Research revelaram uma falha crítica no ChatGPT, onde contêineres de execução de código de contas diferentes podiam vazar dados. O problema residia no uso de metadados de pacotes como um canal de comunicação oculto, permitindo que atacantes inserissem comandos maliciosos via conversas compartilhadas ou prompts. Isso possibilitava a execução de tarefas secundárias, como a extração de dados do Gmail das vítimas, enquanto a resposta visível permanecia inalterada. A OpenAI agiu prontamente, desativando a instância vulnerável do JFrog Artifactory. Contudo, o alerta reforça a necessidade de isolamento por sessão e revisão de configurações de segurança em serviços internos compartilhados.
Um guia completo sobre passkeys e WebAuthn detalha o processo de registro e login, abrangendo desde os desafios emitidos pelo servidor até a verificação com SimpleWebAuthn em Node. A resistência a phishing é assegurada pelo escopo do RP ID, imposto pelos navegadores, mas a validação da origem exata e do desafio único pelos servidores é crucial. O documento alerta para a subestimação comum de elementos como sessões de login simultâneas, telas de gerenciamento de credenciais e caminhos de recuperação, os quais podem fragilizar a segurança do sistema principal de autenticação se não forem devidamente implementados.
O Manchester Airports Group (MAG) sofreu um vazamento de dados de grande escala, com a FulcrumSec divulgando aproximadamente 550GB de informações supostamente roubadas. A ação da FulcrumSec ocorre após a recusa do MAG em ceder às exigências de resgate dos atacantes cibernéticos, expondo dados de milhões de usuários. Este incidente ressalta os riscos crescentes e as consequências diretas para organizações que se tornam alvo de grupos de ransomware.
Pesquisadores desenvolveram uma técnica de carregamento "fileless" que emprega O_TMPFILE e execveat(AT_EMPTY_PATH) para executar arquivos ELF de forma invisível. O método cria um inode real em /tmp sem uma entrada de diretório visível, driblando ferramentas de monitoramento como 'ls', 'find' e 'inotify'. A reabertura do descritor de arquivo em /proc/self/fd/ permite a execução direta, contornando detecções baseadas em 'memfd_create', que esperam artefatos como o prefixo 'memfd:'. O único vestígio é o sufixo '(deleted)', comum em programas legítimos. Para defesa, é essencial monitorar chamadas 'execveat' com 'AT_EMPTY_PATH' em executáveis anônimos '/tmp/# (deleted)', correlacionando com renomeações 'prctl(PR_SET_NAME)' e carregadores que desvinculam '/proc/self/exe', visando cobrir lacunas nas detecções atuais.
A ConnectWise emitiu um alerta sobre uma grave falha de transferência de arquivos em seu software ScreenConnect, impactando tanto as versões em nuvem quanto as implementações locais. A vulnerabilidade, que atualmente não possui um patch de correção, representa um risco significativo para a segurança dos dados e exige atenção imediata dos administradores de sistemas que utilizam a ferramenta. A empresa ainda não detalhou uma solução, intensificando a preocupação entre os usuários.
A Natural Resources Wales, órgão galês de recursos naturais, confirmou um incidente de segurança que resultou na divulgação acidental de uma planilha contendo dados confidenciais. O documento expôs informações de monitoramento de diversidade de indivíduos que trabalharam na organização entre abril de 2013 e março de 2018, afetando tanto ex-colaboradores quanto funcionários atuais. A falha representa uma grave violação da privacidade e levanta questões sobre a gestão de dados pessoais por parte da instituição.
Um incidente de segurança sem precedentes abalou a Liquid Network, resultando na drenagem de aproximadamente 4.000 Bitcoins, avaliados em cerca de US$ 320 milhões. A quantia representa 95% dos fundos da carteira da federação da plataforma. Em resposta imediata, a Liquid desativou os nós da ponte e solicitou a todas as exchanges parceiras que suspendessem temporariamente depósitos e saques de L-BTC, a versão tokenizada do Bitcoin na rede. Os atacantes, que se autodenominam 'mocinhos', teriam explorado o processo de 'peg-out' da SideSwap, um mecanismo para converter L-BTC de volta para Bitcoin. Contudo, a Liquid afirma que as chaves de autorização de peg-out não foram comprometidas. Os hackers comunicaram a intenção de devolver a maior parte dos fundos assim que os nós da rede receberem uma correção de segurança, levantando questionamentos sobre os verdadeiros motivos do ataque.
A equipe da Wiz Research revelou uma falha de segurança alarmante que permitiu acesso ao Jira interno da Snowflake. A vulnerabilidade foi identificada em um workflow de GitHub Actions, presente no repositório `snowflakedb/snowflake-connector-net`, e decorreu de uma regressão introduzida por um *pull request* aprovado pelo GitHub Copilot. A ferramenta de IA substituiu um método seguro de *parsing* por interpolação direta de *string*, facilitando a execução de código via injeção de *template*. Este incidente ressalta a importância de auditorias rigorosas, mesmo em códigos assistidos por IA, para prevenir exposições em ambientes corporativos.
A integridade dos logs de auditoria é crucial para a segurança, e este artigo detalha estratégias robustas para assegurá-la. Ele explora a aplicação de cadeias de hash para garantir a imutabilidade, árvores Merkle com checkpoints assinados para um histórico de dados que só permite acréscimos, e a utilização de âncoras de tempo confiáveis, como RFC 3161 ou OpenTimestamps. A publicação oferece uma abordagem prática, incluindo estruturas de dados, algoritmos de prova e até mesmo exemplos de código funcional em Rust, pautando-se em padrões estabelecidos para criar trilhas de auditoria criptograficamente verificáveis e à prova de adulteração.
A Coreia do Norte opera suas capacidades cibernéticas ofensivas como uma máquina de autofinanciamento estatal, gerando anualmente mais de um bilhão de dólares em roubos digitais para alimentar seus programas de armamento, que estão sob sanções internacionais. Análises da Sekoia e Kudelski Security desvendam a complexa hierarquia por trás desse modelo, detalhando órgãos como o GRIB (antigo RGB) e a recém-rebatizada NIA (antiga MSS). O estudo revela a subdivisão do notório grupo Lazarus em subclusters especializados, como APT38, Andariel, Famous Chollima e Sleet, e aponta para uma rede de unidades de TI, conexões acadêmicas na China e Rússia, e empresas de fachada como Ryonbong e Chinyong, todas essenciais para essas operações. A pesquisa alerta, contudo, que a constante reorganização institucional limita a precisão duradoura de qualquer organograma da Coreia do Norte.
A N-able lançou um hotfix urgente para uma falha crítica no N-central (CVE-2026-86218) que permite a execução remota de código por atacantes não autenticados com baixa complexidade. A Huntress alertou para um possível zero-day após identificar um cliente comprometido, e a Shadowserver revelou cerca de 1.500 servidores N-central expostos globalmente. Administradores on-premises devem aplicar o N-central 2026.3 Hotfix 4 imediatamente, visto que versões anteriores, incluindo o HF3, permanecem vulneráveis, mesmo após correções para o desvio de autenticação (CVE-2026-86206 e CVE-2026-86207) lançadas na semana passada.
A OpenAI anunciou um investimento de US$ 1 bilhão para subsidiar o acesso ao Daybreak, uma iniciativa que oferece treinamento e suporte técnico a defensores cibernéticos com recursos limitados. Nos próximos seis meses, o programa priorizará setores críticos como serviços de água e esgoto, operadores de rede elétrica, governos estaduais e locais, bancos comunitários, ONGs e mantenedores de código aberto. O Daybreak Blue visa automatizar tarefas defensivas rotineiras com modelos de IA de uso geral, enquanto o Daybreak Red disponibiliza modelos cibernéticos especializados para organizações aprovadas. Atualmente, cerca de 2.000 entidades já aderiram e mais de 35 produtos parceiros estão sendo distribuídos pela Daybreak Defense Network, fortalecendo a proteção contra ameaças digitais.
Uma vulnerabilidade severa, CVE-2026-6471, foi descoberta afetando as versões do PostgreSQL de 9.4 a 18, explorável por 12 anos. A falha permitia que uma conta REPLICATION de baixo privilégio, ao usar um caminho de 'output-plugin' não verificado, executasse código arbitrário, escalando privilégios para superusuário e garantindo persistência no sistema. Em ambientes Windows, a ameaça era amplificada pela capacidade de carregar DLLs via SMB. A recomendação urgente é atualizar o PostgreSQL, remover privilégios de replicação desnecessários, reforçar o pg_hba.conf, e bloquear conexões SMB e NFS de saída, além de monitorar slots de replicação para atividades suspeitas.
A plataforma de ensino de matemática online Mathspace confirmou um incidente de segurança que comprometeu dados de mais de um milhão de usuários, incluindo estudantes, pais e funcionários na Austrália e Nova Zelândia. O ataque explorou uma vulnerabilidade em uma instância Metabase auto-hospedada, utilizada para relatórios internos. Embora a empresa não tenha especificado todos os dados comprometidos, assegurou que registros acadêmicos, credenciais de autenticação e informações de identificação escolar (além de possíveis domínios de e-mail) não foram vazados, mitigando parte do impacto direto sobre a privacidade dos alunos.
O malware JSCeal, disseminado através de falsos instaladores do TradingView promovidos no Facebook e Google, representa uma grave ameaça ao interceptar senhas, cookies, tokens OAuth e dados de perfil de navegadores Chromium. Notavelmente, ele utiliza cookies roubados para restaurar sessões autenticadas, contornando efetivamente as telas de login do Google. Além de suas capacidades de keylogging e captura de tela, o JSCeal também estabelece um proxy local para manipular o tráfego de serviços financeiros como Binance, Bybit e Ledger, evidenciando um risco direto para usuários e suas transações digitais.
A Gambit Security revelou que 'Ababil de Minab', persona por trás do ataque ao LA Metro em março, está associada ao grupo Black Shadow, atribuído pelo governo israelense ao Ministério da Inteligência e Segurança do Irã. Esta descoberta descredita a alegação de Ababil de ser uma nova entidade hacktivista independente. A operação de cibersegurança, que combinou exfiltração de dados com destruição, atingiu quatro alvos confirmados nos EUA, Israel, Arábia Saudita e Turquia, utilizando ferramentas como vCenter, Disk Management e SQL Server Management Studio. Um dos ataques notáveis desabilitou 58 bancos de dados SQL Server da Vyncs, além de ter sido identificado o uso de IA, especificamente ChatGPT, para aprimorar os scripts de destruição utilizados pelos operadores.
Pesquisadores da Microsoft detectaram uma campanha de phishing em massa que emprega caracteres invisíveis de tags Unicode, uma tática conhecida como 'ASCII smuggling' e previamente associada à injeção de prompt em sistemas de IA. Diferente de ocultar comandos para IAs, os atacantes agora utilizam esses caracteres para fragmentar palavras-chave em iscas financeiras, como 'funding', em 'fun' seguido por um caractere invisível e 'ding'. Essa fragmentação impede que os filtros de e-mail tradicionais detectem termos maliciosos. A descoberta ocorreu durante a busca por vulnerabilidades de prompt injection no Defender for Office 365, e a Microsoft aconselha a remoção de caracteres Unicode invisíveis antes da execução de assinaturas de conteúdo e a normalização de dados em assistentes de IA que processam e-mails.
A OpenAI anunciou o lançamento do GPT-6 Astra, uma IA que alcançou 100% de acerto no ExploitBench, um avanço significativo em relação aos 78,5% do GPT-5.6 Sol. Durante os testes, o Astra demonstrou maior capacidade de execução arbitrária de código e identificou duas vulnerabilidades zero-day inéditas. A versão disponibilizada ao público visa aprimorar a revisão segura de código e a aplicação de patches, recusando, contudo, a geração de provas de conceito (PoC) de exploits. A OpenAI planeja limitar o acesso à ferramenta Daybreak a um grupo seleto de defensores cibernéticos, incluindo membros do MS-ISAC, reforçando sua postura de segurança.
