A empresa de inteligência Sekoia identificou e atribuiu ao grupo Gamaredon, ligado ao FSB russo, um worm VBScript fileless batizado de GammaWorm. A ameaça utiliza fluxos de dados alternativos do NTFS para se ocultar no sistema, dificultando a detecção por ferramentas tradicionais de segurança.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
1750 notícias
Uma flag de depuração esquecida em seis apps Android da Microsoft, incluindo Word, Excel e Copilot, permitia que qualquer app malicioso no dispositivo solicitasse e recebesse tokens de acesso à conta Microsoft. Com apenas 15 linhas de código, atacantes podiam roubar tokens FOCI silenciosamente e acessar e-mails, arquivos, documentos e calendários. A Microsoft corrigiu a falha em maio via Patch Tuesday e Google Play.
Pesquisadores detalharam a escalada de ataques de phishing por device code em incidentes de Business Email Compromise. Os criminosos exploram o fluxo de autenticação da Microsoft para capturar tokens enquanto vítimas inserem códigos em domínios legítimos. O estudo aborda a complexidade forense quando atacante e vítima compartilham o mesmo session ID e orienta o uso de logs não interativos do Entra e linkable token IDs para rastreio. O relatório inclui ainda detecções via extensões de navegador, consultas KQL e políticas de Acesso Condicional para bloquear device code sign-ins.
Pesquisadores demonstraram o FROST (Fingerprinting Remotely using OPFS-based SSD Timing), ataque de side-channel em que uma página maliciosa grava um arquivo grande no Origin Private File System e monitora tempos de leitura via performance.now() para inferir quais outras abas estão abertas. Sem câmera, microfone ou extensões, apenas JavaScript , , o site atacante identifica sessões bancárias ativas e sincroniza pop-ups de phishing com precisão cirúrgica, expondo uma lacuna crítica no sandboxing dos navegadores modernos.
A vulnerabilidade CVE-2026-31525 (CVSS 7.8) afeta o interpretador BPF do kernel Linux (versões 7.0-rc1 a 7.0-rc4). Os manipuladores sdiv32 e smod32 invocam a macro abs() sobre o valor S32_MIN, gerando overflow de inteiro com sinal, comportamento indefinido que engana o verificador BPF e abre caminho para acesso fora dos limites em mapas BPF (CWE-787), resultando em corrupção de memória e escalação de privilégios local. A exploração só é possível quando o JIT BPF está desabilitado. Mitigação: aplique os commits upstream com o helper abs_s32(), defina kernel.unprivileged_bpf_disabled=1, ative o JIT via net.core.bpf_jit_enable=1 e restrinja CAP_BPF e CAP_SYS_ADMIN a serviços confiáveis.
O gerenciador de senhas Dashlane suspendeu temporariamente contas de usuários após sistemas automatizados de proteção identificarem tentativas repetidas de registrar novos dispositivos e inserir tokens de autenticação. O acesso às contas e ao 2FA foi brevemente interrompido e, em seguida, restaurado. Usuários relataram logins suspeitos originados da Coreia e da Rússia, além de confusão causada por e-mails de suspensão com logotipo desatualizado da empresa.
O Atlas Menu, plataforma de cheats para Grand Theft Auto V, sofreu uma violação de dados que expôs e-mails, nomes de usuário, senhas com hash, IPs e tickets de suporte de cerca de 64 mil usuários. O atacante publicou as informações no GitHub, alegando ter como alvo um golpista. O site permanece fora do ar. Quem reutilizou senhas em outros serviços corre risco elevado e deve redefinir credenciais e monitorar acessos suspeitos.
Em resposta a ataques recentes à supply chain, a AWS divulgou recomendações baseadas em defesa em profundidade. A empresa sugere o uso de credenciais de curto prazo e MFA para reduzir o impacto de credenciais comprometidas, centralização de dependências em repositório de artefatos e implementação de assinatura de artefatos. Equipes de desenvolvimento devem integrar ferramentas de escaneamento de dependências em todo o ciclo de vida do software, com monitoramento contínuo e alertas configurados adequadamente.
A GoDaddy identificou cerca de 1.980 sites WordPress infectados com um malware que utiliza comentários em perfis da comunidade Steam como infraestrutura C2 do tipo dead-drop. Os ataques codificam payloads em seis caracteres Unicode invisíveis que, ao serem decodificados, revelam uma URL responsável por entregar arquivos JavaScript disfarçados de bibliotecas legítimas. O processo culmina na instalação de um backdoor PHP, ativado pelo cookie de autenticação tEcaKKXEsb.
Chrome, Safari e Firefox podem vazar URLs completas pelo cabeçalho Referer quando uma injeção de HTML define uma política de referenciador permissiva e aciona redirecionamentos, mesmo sob CSP estrita. O ataque consiste em injetar um formulário falso de login, deixar o gerenciador de senhas preencher as credenciais, enviá-las via GET e usar tags meta referrer e refresh para transmitir e-mail e senha a um servidor malicioso. Com um único clique da vítima, os três navegadores são vulneráveis a esse vetor.
O Pathfinding Labs é uma coleção open-source com mais de 100 ambientes AWS intencionalmente vulneráveis, cobrindo escalação de privilégios, configurações incorretas e combinações tóxicas. Via CLI em Go, equipes implantam laboratórios em sandbox usando módulos Terraform com scripts demo_attack.sh para validar exploits de ponta a ponta. Blue teams detectam lacunas no CSPM; red teams testam ferramentas contra grafos de ataque. Atenção: os labs criam roles permissivas, buckets S3 públicos e Lambdas expostas, use apenas em ambientes isolados e destrua os recursos ao finalizar.
O pesquisador RyotaK descobriu que falhas no GitHub Actions do Claude Code, combinando bypass de permissões e prompt injection, permitiam a atacantes executar workflows em repositórios públicos, ler variáveis de ambiente via /proc/self/environ e exfiltrar credenciais OIDC para obter tokens com acesso de escrita. A cadeia de exploração partia de um simples issue e chegava ao controle total do repositório, incluindo o código da claude-code-action da Anthropic. A empresa corrigiu o gatilho do GitHub App, restringiu o uso do gh, desabilitou resumos de workflow por padrão e passou a ignorar edições em issues após o disparo. Equipes devem auditar permissões e evitar expor segredos em fluxos que processam entradas não confiáveis.
Charlie Eriksen, da Aikido Security, descobriu que o pacote npm codexui-android exfiltrava credenciais da OpenAI, access_token, id_token e refresh_token permanente, desde a versão 0.1.82. O código malicioso chunk-PUR7OUAG.js existe apenas no pacote publicado, ausente no repositório GitHub. Os dados eram enviados ao domínio sentry.anyclawstore, disfarçado de telemetria Sentry. O mesmo operador distribui apps Android que contornam a Play Store para instalar o pacote via PRoot. Recomenda-se revogar tokens afetados e tratar divergências entre pacote publicado e repositório como sinal crítico de ataque à cadeia de suprimentos.
Um pesquisador da Permiso identificou uma falha de prompt injection no ChatGPT: o modelo interpreta instruções em Markdown presentes em páginas web como se fossem comandos internos. Um exploit demonstrado em repositório no GitHub induziu o modelo a exibir links e QR codes maliciosos para usuários. A OpenAI recebeu o relatório em 29 de abril, mas inicialmente o classificou como não reprodutível e, depois, como duplicado.
O inaugural Critical Security Patch Update da Oracle corrige 35 vulnerabilidades, entre elas 11 classificadas como críticas. O destaque é a CVE-2026-46840, uma falha de desvio de gateway sem autenticação no Oracle REST Data Services com pontuação CVSS máxima de 10.0, o mais alto grau de severidade possível, exigindo atenção imediata de equipes de segurança.
O pesquisador Asim Manizada revelou o CIFSwitch, uma vulnerabilidade de lógica no cliente CIFS do kernel Linux e no cifs-utils presente desde 2007. A falha permite que processos sem privilégios explorem chamadas request_key para elevar permissões até root, manipulando namespaces de montagem e configurações de NSS. Até a adoção dos patches, as mitigações recomendadas são: bloquear o módulo cifs, remover o cifs-utils quando desnecessário e substituir regras específicas de request-key.
Cibercriminosos estão explorando técnicas de prompt injection contra o assistente de suporte de IA do Instagram para sequestrar contas. O ataque combina uso de VPN para falsificar a localização geográfica da vítima com instruções maliciosas ao assistente, induzindo-o a vincular um novo e-mail ao perfil e disparar um link de redefinição de senha para o endereço controlado pelo atacante, resultando em acesso indevido à conta.
Um relatório do inspetor-geral do Departamento de Comércio dos EUA apontou falhas graves de gestão no National Vulnerability Database (NVD) do NIST. A auditoria revelou que analistas gastam cerca de 80% do tempo recalculando pontuações de severidade e identificando produtos afetados, informações que já constam nas próprias submissões de vulnerabilidades. O resultado: duplicação de esforços, desperdício de recursos e um backlog crescente de CVEs sem análise.
A polícia holandesa e o Centro Nacional de Cibersegurança desmantelaram uma botnet com mais de 17 milhões de dispositivos, controlada por 200 servidores hospedados na Holanda e supostamente vinculada ao provedor de proxy residencial ASOCKS, de origem russa. Os servidores foram apreendidos e investigadores identificaram conexões com o Proxylib, esquema em que apps maliciosos inscreviam silenciosamente celulares e roteadores em uma rede comercial de proxy.
Pesquisadores identificaram uma vulnerabilidade de escalonamento de privilégio local no Linux que permite forjar descrições de chaves de autenticação CIFS e explorar o mecanismo de solicitação de chaves do kernel para obter acesso root. O problema ocorre porque o subsistema CIFS não verifica se requisições cifs.spnego partem do próprio cliente CIFS do kernel. Entre as distribuições vulneráveis por padrão estão Linux Mint 21.3 e 22.3, CentOS Stream 9, Rocky Linux 9, Alma Linux 9, Kali Linux 2021.4–2026.1 e SLES 15 SP7.
