Atacantes compraram links patrocinados no Google, cloaked, que se passavam pela Uniswap para direcionar usuários a interfaces de negociação clonadas. Essas interfaces enganam as vítimas a assinar permissões maliciosas de wallet, drenando pelo menos US$ 400.000. Esta campanha está ligada a um aumento mais amplo de malvertising, com mais de 356 links de anúncios maliciosos e US$ 1,27 milhão em perdas desde março.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
1750 notícias
Um ator de ameaça desconhecido explorou a CVE-2026-5426 como um zero-day, abusando de valores hardcoded de machineKey do ASP.NET, idênticos em todas as implantações do KnowledgeDeliver LMS anteriores a fevereiro. Isso permitiu forjar ViewState payloads maliciosos e obter RCE (Remote Code Execution) não autenticado. Após a exploração, o ator implantou o webshell BLUEBEAM (Godzilla) em memória dentro do w3wp.exe, usou icacls para conceder acesso total de "Everyone" à raiz web e adulterou um arquivo JavaScript da aplicação para servir um plugin de segurança falso que entregava um Cobalt Strike BEACON específico da organização. Aos defensores, recomenda-se rotacionar as chaves de máquina para valores únicos por instância, restringir o acesso ao LMS por IP e buscar por falhas de ViewState (Application Event ID 1316), processos-filho anômalos do w3wp.exe, adulteração na raiz web, arquivos .js/.aspx/.config e User-Agent strings duplas concatenadas.
O Microsoft Copilot Cowork permite que agentes enviem e-mails não aprovados para a caixa de entrada de um usuário que renderizam imagens externas. Uma técnica de prompt injection poderia, portanto, exfiltrar dados e vazar links de download pré-autenticados do OneDrive para um atacante quando a vítima abre a mensagem.
Autoridades lituanas revelaram um vazamento de dados de mais de 600 mil entradas de registros nacionais, que, segundo elas, foi perpetrado por uma entidade estrangeira. Os dados foram obtidos principalmente de registros de pessoas jurídicas e imóveis, acessados usando credenciais de login de instituições autorizadas. As informações roubadas incluem endereços de oficiais de inteligência, militares, diplomatas e políticos.
A Charter Communications confirmou um vazamento de dados depois que o grupo de ransomware ShinyHunters publicou uma ameaça de extorsão. O ShinyHunters alegou ter obtido acesso à instância do Salesforce da empresa comprometendo uma conta Microsoft Entra de funcionário via vishing. Embora a Charter afirme que nenhuma informação de cliente foi roubada, o ShinyHunters alega ter furtado nomes de clientes, números de telefone, tipos de telefone, informações de plano e algumas informações de rede proprietárias do cliente (CPNI).
Um atacante comprometeu 233 versões em três repositórios Laravel-Lang, incluindo laravel-lang/lang (7.8k estrelas), ao abusar do sistema de versionamento do GitHub para apontar tags para commits em um fork controlado pelo atacante. Isso permitiu o carregamento de código malicioso via autoloader do Composer sem tocar nos repositórios oficiais. O dropper src/helpers.php injetado coleta informações do host, decodifica o domínio C2 flipboxstudio[.]info de um array de inteiros e busca um stealer PHP de aproximadamente 5.900 linhas. Este stealer coleta credenciais de cloud e infraestrutura, chaves SSH, cofres de navegadores e gerenciadores de senhas, carteiras de criptomoedas e tokens de plataformas de comunicação. Após a exfiltração dos dados, que são criptografados com AES-256, o próprio stealer se autoexclui. É recomendável auditar dependências do Composer para as versões afetadas, bloquear flipboxstudio[.]info, procurar por um marcador e artefatos .php/.vbs descartados, e rotacionar quaisquer credenciais expostas em hosts comprometidos.
O grupo Void Dokkaebi (também conhecido como Famous Chollima) migrou seu "stealer" InvisibleFerret de scripts Python legíveis para módulos de extensão .pyd e .so compilados em Cython, carregados via um script de execução .mod. Essa mudança quebra detecções baseadas em script, mas mantém acesso de backdoor, roubo de credenciais de navegador, keylogging e trojanização de carteiras de criptomoedas. A cadeia de ataque executa BeaverTail (gjs) como um downloader JavaScript que busca binários específicos da plataforma. O módulo "mc" faz o downgrade do Chrome no macOS para restaurar o suporte a Manifest V2 para extensões adulteradas como MetaMask, Coinbase e Phantom. A lógica de desofuscação principal de XOR-then-Zlib permanece inalterada em relação às versões anteriores. Para defesa, é crucial mudar para detecção binária que cubra módulos de extensão, artefatos embarcados e scripts de runtime, além de procurar nomes de módulos como mod.pyd/pad.so/brw.so em caminhos .vscode e recuperar infraestrutura C&C como 45[.]59[.]160[.]199 aplicando a rotina XOR documentada aos scripts de execução.
Investigadores holandeses de crimes financeiros (FIOD) prenderam dois homens e apreenderam 800 servidores em data centers em Dronten e Schiphol-Rijk. A ação visou a infraestrutura de hospedagem que, segundo as autoridades, fornecia recursos financeiros a entidades russas e bielorrussas sancionadas pela UE e apoiava campanhas de manipulação de informações. O caso envolve a Stark Industries, fundada pouco antes da invasão russa da Ucrânia em 2022 e sancionada pela UE em maio do ano passado, após o que sua infraestrutura foi supostamente transferida para uma empresa de fachada holandesa, WorkTitans B.V., operando como THE.Hosting e ligada pelo De Volkskrant a ataques DDoS do grupo hacktivista pró-russo NoName057(16). Esta ação ilustra como as operações de desmantelamento de bulletproof-hosting dependem cada vez mais da aplicação de sanções e da trilha financeira, em vez da atribuição técnica de ataques individuais.
Desenvolvedores de agentes enfrentam um problema central: agentes de IA precisam de API keys e tokens para funcionar, mas prompt injection e conteúdo malicioso podem induzi-los a vazar variáveis de ambiente ou credenciais. O credential brokering resolve isso inserindo um proxy privado que detém segredos reais, os anexa a requisições HTTPS de saída e mantém os valores brutos longe do agente. Projetos como o Agent Vault executam este broker em um host separado, puxam segredos de um armazenamento central, autenticam agentes, trocam placeholders por tokens reais e impõem isolamento e colocation de baixa latência para que os agentes possam acessar alvos como o GitHub sem nunca ver as chaves subjacentes.
Após o lançamento de um artigo pela Codex sobre o design de sua nova sandbox Windows, o autor realizou uma análise prática e aprofundada de como a sandbox funciona. A Codex utiliza tokens restritos, SIDs sintéticos, novos usuários e um novo grupo, além de regras de Firewall/WFP para criar a sandbox. O autor observa que há uma falta de logging embutido na sandbox, o que reduz significativamente a observability.
A botnet RondoDox começou a explorar a CVE-2018-5999, uma vulnerabilidade crítica (CVSS 9.8) de configuração não autenticada em roteadores ASUS mais antigos. A botnet envia payloads que definem a ateCommand_flag como 1, forçando a interface infosvr a aceitar alterações de configuração externas, incluindo redefinições de senha de administrador, atingindo mais de um milhão de dispositivos expostos. Embora o código de exploit público exista desde 2018, este é o primeiro abuso observado in-the-wild, alinhado com o padrão da RondoDox de estocar exploits (com mais de 170 associações a CVEs) para construir uma botnet Linux Mirai-style focada em DDoS. Defensores com modelos ASUS afetados devem substituir hardware end-of-life, bloquear o acesso de entrada ao serviço infosvr e monitorar o tráfego para /vpnupload.cgi e requisições de mudança de configuração, visto que a VulnCheck descobriu que 56% dos dispositivos de borda atacados em 2025 eram roteadores de consumidor e 65% das falhas exploradas por botnets estavam em tecnologia sem suporte.
Pesquisadores de cibersegurança descobriram múltiplas campanhas explorando uma vulnerabilidade em sites Ghost CMS para injetar JavaScript malicioso. A vulnerabilidade, corrigida na versão 6.19.1, permite que atacantes não autenticados leiam dados arbitrários do banco de dados do site, incluindo chaves de API de administrador. O código malicioso atua como um carregador que faz o fingerprinting das vítimas e então exibe um prompt de verificação falso do Cloudflare sobre o artigo, que contém o chamariz do ClickFix.
A Ubiquiti anunciou a disponibilização de patches para corrigir três vulnerabilidades críticas em seus produtos UniFi OS. Essas correções seguem-se a patches recentes para duas outras vulnerabilidades. As falhas incluem um controle de acesso impróprio que poderia permitir alterações não autorizadas, uma falha de path traversal que possibilitaria o acesso a arquivos de sistema e o sequestro de contas, e uma vulnerabilidade de validação de entrada que poderia levar à injeção de comandos. Todas as vulnerabilidades foram reportadas via HackerOne.
O COO do Google Cloud, Francis de Souza, afirma que as empresas necessitam de segurança no nível da plataforma desde o primeiro dia. As cadeias de ataque agora se movem da violação à entrega em 22 segundos, uma redução drástica em comparação com as oito horas anteriores. Agentes de IA tendem a expor servidores SharePoint antigos e dados esquecidos que ninguém sabia que existiam. Recentemente, desenvolvedores do Google foram surpreendidos com faturas de cinco dígitos após chaves de API para Google Maps silenciosamente ganharem acesso ao Gemini, permitindo que atacantes drenassem $10.138 em 30 minutos de uma única conta.
A Microsoft fechou todos os caminhos não autenticados para a enumeração completa de domínios de tenants do M365, primeiro neutralizando a chamada SOAP `GetFederationInformation` do Autodiscover em 2025 e, em seguida, corrigindo o endpoint ACS `/metadata/json/1` (espelhado em login.microsoftonline.com, sts.windows.net e outros hosts de identidade) em maio. Operadores ainda podem reconstruir a maior parte dessa capacidade de forma fragmentada: resolver o GUID do tenant via configurações OpenID não autenticadas ou endpoints de provedor de federação ODC, recuperar o prefixo MOERA `onmicrosoft.com` permanente dos registros CNAME DKIM `selector1`/`selector2`, recorrer a brute-forcing de MX para prefixos adivinhados, e usar a chamada autenticada do Graph `findTenantInformationByDomainName` quando o nome não é adivinhável. Defensores devem tratar os CNAMEs DKIM como um vector de divulgação de nome de tenant, monitorar a sondagem de hosts resultante de SharePoint, OneDrive e MDI (`TENANTNAME-my.sharepoint.com`, `TENANTNAME.atp.azure.com`), e reconhecer que bancos de dados de varredura pré-construídos como azmap.dev agora fornecem mapeamentos de domínio para tenant instantaneamente, o que significa que a obscuridade não oferece proteção.
A Cisco corrigiu a vulnerabilidade CVE-2026-20223, um bug CVSS 10.0 na API REST do Secure Workload, originado da falta de validação e autenticação em endpoints da API.
A Radiology Associates of Richmond relatou que atacantes acessaram sistemas internos por volta de 25 de julho de 2025 e roubaram arquivos contendo informações protegidas de saúde de aproximadamente 266.000 pessoas.
Adam Young, ex-CEO da C.A. Cloud Attribution, e Harrison Gevirtz, ex-CSO, confessaram o crime de omissão de denúncia de um delito grave, admitindo ter fornecido serviços de rastreamento de chamadas, números rotativos e encaminhamento de chamadas para operações de telemarketing e golpes de suporte técnico entre 2017 e abril de 2022.
Uma campanha coordenada, ligada à conta parikhpreyash4 do GitHub, inseriu um hook de pós-instalação idêntico em arquivos package.json de repositórios upstream. Este hook utiliza `curl -skL` para baixar um binário chamado `gvfsd-network` com a verificação TLS desativada, salvando-o em `/tmp/.sshd` para simular um daemon SSH, e o executa em segundo plano com erros suprimidos. A escolha do `package.json` em vez do `composer.json` visava evadir defensores PHP que analisavam apenas metadados do Composer. Essa carga maliciosa foi confirmada em oito pacotes Packagist que utilizam rastreamento de branch – notavelmente os kits iniciais `devdojo/wave` e `devdojo/genesis`, com aproximadamente 6.400 estrelas, onde o hook é ativado na raiz do projeto. Além disso, o ataque foi plantado em arquivos de workflow do GitHub Actions como uma etapa chamada "Dependency Cache Sync", visando atingir pipelines de CI/CD. Defensores devem inspecionar scripts de ciclo de vida `package.json` em dependências Composer que rastreiam branches, fixar artefatos a estados de commit observados em vez de rótulos `dev-*` mutáveis, e procurar pela URL da carga útil `parikhpreyash4`, pelo caminho de descarte `/tmp/.sshd` e por fragmentos do comando `curl -skL`.
Autoridades da Europa e América do Norte desativaram a First VPN após uma investigação conjunta iniciada em 2021, apreendendo 33 servidores e domínios relacionados a ransomware, fraude e roubo de dados. Investigadores identificaram pelo menos 25 grupos de ransomware utilizando o serviço, que recebia pagamentos anônimos em criptomoedas e e-money. O FBI listou 32 nós de saída em 27 países e detalhou protocolos suportados como OpenConnect, WireGuard e VLESS com ofuscação Reality.
