O Module Stomping sobrescreve a seção .text de DLLs assinadas para ocultar a execução de shellcode em regiões de memória baseadas em disco, driblando telemetria comportamental e scanners tradicionais. O ataque carrega uma DLL sacrificial, localiza uma função exportada via GetProcAddress, grava o shellcode com WriteProcessMemory e executa via CreateThread, mantendo tudo dentro do espaço de um módulo legítimo. Para defesa, é essencial monitorar divergências entre módulos em memória e suas imagens em disco. Técnicas como PEB-walking e ofuscação de resolução de API estendem a eficácia contra EDRs maduros.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
2141 notícias
A Meta notificou 20.225 usuários cujas contas do Instagram foram invadidas por meio de uma vulnerabilidade no fluxo de recuperação de contas assistido por IA. Um bug permitia que o chatbot enviasse links de redefinição de senha para e-mails controlados por atacantes, sem validar se o endereço correspondia ao cadastrado. Contas sem autenticação de dois fatores foram as mais afetadas entre abril e junho, com exposição de mensagens, publicações e dados pessoais. A Meta desativou o chatbot, removeu o código vulnerável e abriu auditoria nos demais sistemas de IA.
A Ubiquiti lançou o patch SAB-064 para corrigir três vulnerabilidades de severidade máxima (CVE-2026-34908, CVE-2026-34909 e CVE-2026-34910) no UniFi OS Server. Descobertas pela Bishop Fox, as falhas combinam bypass de autenticação via Nginx com injeção de comando no serviço de atualização de pacotes, permitindo RCE como root sem autenticação. Atenção: o patch não altera a verificação de JWT, então chaves comprometidas ainda podem gerar tokens válidos. Administradores devem atualizar para as versões 5.1.12, 5.1.10, 5.1.11 e 4.0.14 conforme o modelo, restringir a porta TCP 11443 a VLANs de gerenciamento e realizar rotação imediata de chaves JWT, certificados TLS, credenciais de banco de dados e segredos RADIUS.
A Fortinet identificou a C0XMO, variante modular do Gafgyt que explora a CVE-2021-27137, falha de buffer overflow não autenticada no firmware DD-WRT, permitindo execução arbitrária de código. O malware infecta roteadores, DVRs e dispositivos IoT com 19 métodos de DDoS, força bruta em SSH/Telnet e persistência via tarefas agendadas a cada 15 minutos. Diferencial: elimina botnets rivais antes de se conectar ao C2. Recomenda-se aplicar patches imediatamente, trocar credenciais de administrador e monitorar conexões anômalas.
Clientes da Cloudflare já podem aplicar, diretamente no WAF, indicadores de ameaças provenientes do Cloudforce One, unidade de inteligência cibernética da empresa. Com os novos campos cf.intel, equipes de segurança automatizam bloqueios contra agentes maliciosos específicos e ataques direcionados a setores críticos, com atualização contínua e resposta em tempo real.
Clientes do GitHub Enterprise Server devem realizar imediatamente a rotação da chave de assinatura do produto. A atualização oficial confirma que houve acesso não autorizado a repositórios internos da GitHub, embora nenhum dado de cliente tenha sido comprometido, a medida é crítica para prevenir exploração de assinaturas falsificadas em ambientes locais. A ação afeta apenas instâncias auto-hospedadas e exige intervenção manual dos administradores. A GitHub já disponibilizou instruções detalhadas e patches para todas as versões suportadas.
O BGP continua vulnerável a sequestros de rotas e vazamentos de caminho, comprometendo a integridade do tráfego global. Embora o RPKI ofereça proteção parcial, ele não impede caminhos forjados que iniciam com um ASN inválido. A Cloudflare passou a impor, de forma prática e escalável, que o primeiro AS no atributo AS_PATH seja o proprietário legítimo do prefixo, uma camada adicional de validação simples, eficaz e compatível com a infraestrutura existente.
A CVE-2026-23479, falha de use-after-free na função unblockClientOnKey() do Redis, afeta todas as versões stable desde a 7.2.0 e foi classificada com severidade 7.7 (High). O bug permite que atacantes autenticados encadeiem heap leak via Lua, despejo forçado e sobrescrita GOT de strcasecmp() pela function system(), resultando em execução remota de código com privilégios do daemon. Ambientes auto-hospedados devem atualizar imediatamente para as versões 7.2.14, 7.4.9, 8.2.6, 8.4.3 ou 8.6.3, ou restringir comandos CONFIG, @scripting e stream.
A SafeBreach descobriu o ataque 'Fake Context Alignment': notificações de WhatsApp, Slack e SMS eram usadas para injetar instruções ocultas que o Gemini processava silenciosamente. O exploit permitia controlar dispositivos Google Home, iniciar chamadas no Zoom, falsificar contatos e corromper a memória de longo prazo do assistente. O Google corrigiu a falha em meados de novembro de 2025 com melhorias nos classificadores de segurança.
O preview Mythos da Anthropic identificou uma vulnerabilidade RCE antiga no FreeBSD. O framework AISLE reproduziu a falha em modelos open-weight como Gemma e GPT-OSS, varrendo o subsistema sys/rpc. Modelos detectam o stack overflow em arquivos isolados, mas análises amplas geram falsos positivos. Uma etapa de reachability, filtrando caminhos controláveis pelo atacante, preserva a CVE real e transforma saídas ruidosas em listas tratáveis para revisão humana.
Um ataque à supply chain da versão Windows do Hola Browser resultou na inclusão de um minerador de Monero não assinado (me.exe). O malware adiciona uma exclusão ao Windows Defender, copia-se para a pasta Program Files como HolaMonitorService.exe e se registra como serviço de inicialização automática (hola_monitor_svc), ativando a mineração sempre que a máquina fica ociosa.
Pesquisador testou modelos open-weight e o Opus 4.7 na detecção da vulnerabilidade crackaddr em quatro variantes. Com o harness do Claude Code, apenas Opus 4.7 e GLM-5.1 identificaram todas consistentemente. Outros modelos performaram melhor com o IronCurtain, harness desenvolvido para testes de segurança. O salto do GLM-5 para o GLM-5.1 evidencia o papel decisivo do post-training na eficácia dessas ferramentas para pesquisa de vulnerabilidades.
Um incidente de segurança ocorrido em 2025 na Universidade Columbia comprometeu 1,8 milhão de números de seguridade social (SSNs), atingindo inclusive pessoas sem qualquer relação com a instituição. A causa: registros de recrutamento e testes armazenados em uma base legada esquecida durante o processo de saneamento de dados. A universidade levou meses para responder aos afetados e agora enfrenta ação coletiva e escrutínio regulatório pela retenção prolongada e indevida de informações pessoais sensíveis.
O grupo de ransomware ShinyHunters afirmou ter roubado e divulgado 234 GB de dados da DentaQuest, operadora de benefícios odontológicos, depois que a empresa se recusou a pagar o resgate exigido. Os dados expostos incluem e-mails, nomes, telefones, documentos de identidade, informações de planos de saúde, datas de nascimento e gênero. O serviço Have I Been Pwned confirmou o incidente, apontando 2,6 milhões de registros comprometidos, dos quais 66% já estavam em sua base.
A Ultrahuman, fabricante de wearables de saúde, notificou clientes sobre uma violação de dados em seu sistema de análise interno. Invasores acessaram informações como contatos, detalhes de contas, histórico de pedidos e transações. A empresa confirmou que dados financeiros e de saúde não foram comprometidos no incidente.
A Push Security identificou uma campanha de malvertising que abusa do recurso de compartilhamento de conversas do ChatGPT. Páginas falsas simulam alertas de suporte da Apple com notificações de falsa interrupção de serviço, induzindo o usuário a baixar um suposto app desktop. O clique redireciona para um site de phishing que imita o portal legítimo e instala um infostealer na máquina da vítima.
Pesquisadores da Token Security descobriram uma cadeia de ataque crítica no ambiente sandbox Python do Zapier: o comando os.system executava livremente, permitindo scraping de tokens STS órfãos do heap Lambda com permissões para ECR e repositórios privados. Imagens foram extraídas via API direta do ECR, contornando o monitoramento do Docker. Tokens NPM de alto privilégio também foram vazados via ARG/ENV em build, viabilizando takeover de contas. A mitigação exige validação de permissões IAM, isolamento de código não confiável, uso de BuildKit secrets, rotação de tokens NPM de CI e monitoramento de egress.
A Disruption Week reuniu forças de segurança e big techs para desativar mais de 1,4 milhão de contas fraudulentas, incluindo páginas, contas Microsoft e kits Starlink, vinculadas a esquemas no Camboja, Laos e Birmânia. As operações envolviam tráfico de trabalhadores forçados a aplicar golpes de investimento em criptomoedas. Resultado: 63 prisões e bloqueio de US$ 3,8 milhões em ativos digitais.
O pesquisador Ammar Askar demonstrou que um link malicioso do GitHub.dev, contendo um Jupyter notebook preparado para ataque, pode exfiltrar silenciosamente tokens OAuth, contornar prompts de confiança, enumerar repositórios privados e explorar a ausência de tokens CSRF.
Após o pesquisador Nightmare Eclipse publicar PoCs para diversas vulnerabilidades não corrigidas da Microsoft, incluindo RedSun CVE-2026-41091, UnDefend CVE-2026-45498, BlueHammer CVE-2026-33825, YellowKey CVE-2026-45585, além de GreenPlasma e MiniPlasma, a empresa enfrentou críticas severas. Uma referência feita pela Microsoft em 27 de maio à sua Digital Crimes Unit foi interpretada como uma ameaça legal devido a uma disputa de disclosure. Em resposta, a companhia esclareceu em 1º de junho que não tomará medidas contra a pesquisa de segurança legítima.
