Um plugin de navegador barato infectou máquinas Windows e executou PowerShell para desativar antivírus, interromper atualizações e permanecer oculto usando tarefas agendadas e WMI. Ele armazenou futuro malware em pastas que o Microsoft Defender ignora por padrão. Um único domínio de atualização não registrado poderia ter permitido a um atacante injetar código silenciosamente em cerca de 25.000 computadores em 124 países, incluindo redes de OT, governamentais, de saúde e de grandes empresas.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
1750 notícias
Atacantes registram contas gratuitas n8n cloud, criam URLs de webhook em *.app.n8n.cloud e incorporam esses links em e-mails de phishing que se passam por documentos compartilhados. Quando as vítimas clicam, fluxos de trabalho impulsionados por JavaScript servem CAPTCHAs, distribuem instaladores de malware e fazem deploy de ferramentas RMM modificadas como Datto ou ITarian para persistência e acesso C2.
Uma restrição `__builtins__: {}` ausente em um sandbox `Python exec()` de uma plataforma SaaS permitiu que um pesquisador injetasse código arbitrário via uma mutação `GraphQL createUserDefinedFunction`, alcançando RCE dentro de um container Google App Engine rodando Python 3.13. A partir daí, um SSRF para o serviço de metadados do GCP em 169.254.169.254 forneceu um JWT OIDC assinado para a service account de produção, resultando em uma completa tomada de controle da identidade na nuvem. Para defesa, as organizações devem isolar o código executado por usuários com `{'__builtins__': {}}`, bloquear o acesso ao endpoint de metadados de ambientes de código de usuário na camada de rede, e isolar a execução em micro-VMs de confiança zero, como Firecracker ou gVisor.
Um novo proprietário corporativo da desenvolvedora de WordPress Essential Plugin teria adicionado um backdoor a dezenas de plug-ins adquiridos. Esses backdoors foram ativados posteriormente, inserindo código malicioso em sites que os utilizavam. Austin Ginder, da Anchor Hosting, rastreou o ataque de supply chain e publicou uma lista dos plug-ins afetados. Embora o WordPress tenha removido os plug-ins, administradores precisam verificá-los e desinstalá-los manualmente.
A Google está migrando o parser DNS do modem do Pixel 10 de C/C++ para Rust. O objetivo é reduzir bugs de memory-safety em um componente de alto risco e acessível remotamente. A equipe selecionou o crate DNS hickory-proto, adicionou suporte no_std e o integrou via Pigweed e builds diretos do rustc, resolvendo conflitos de tamanho de código, alocador, panic e símbolos. O parser em Rust agora gerencia as respostas DNS, reutilizando estruturas de dados C e callbacks existentes.
Pesquisadores concederam ao OpenAI Codex acesso a um shell dentro de um processo do navegador de uma Smart TV Samsung, fornecendo também o código-fonte do firmware KantS2 correspondente e um toolchain controlado. O Codex auditou drivers de kernel Novatek ntk* expostos, utilizou /dev/ntksys como um primitive de physmap validado via /dev/ntkhdma, reconstruiu as faixas de RAM a partir dos boot args, e então localizou e corrigiu as estruturas de cred na memória física para transformar o contexto do navegador em um shell de root na TV em funcionamento.
Andrew Lock aprimora a ferramenta Docker sandbox sbx, demonstrando como incorporar toolchains pré-instaladas em imagens OCI customizadas. Isso elimina reinstalações por sessão e mantém os agentes de IA isolados em microVMs com acesso restrito ao sistema de arquivos e um proxy de rede que injeta credenciais sem expô-las ao agente. Para equipes que necessitam de uma imagem base não padrão, Lock fez engenharia reversa na estrutura da camada docker/sandbox-templates para transplantar a estrutura do sandbox para uma distro arbitrária, exemplificado com uma imagem Debian que corresponde ao ambiente de build do Datadog .NET SDK. O isolamento da instalação do Claude Code em seu próprio estágio de build multi-stage permite atualizações rápidas de versão via --no-cache-filter sem a necessidade de reconstruir a imagem completa.
A equipe de Pesquisa de Ameaças da Socket identificou 108 extensões maliciosas do Chrome, com aproximadamente 20 mil instalações, operando como uma campanha coordenada de MaaS (Malware-as-a-Service) sob uma infraestrutura C2 compartilhada em cloudapi[.]stream. Dessas, 54 extensões coletam identidades Google OAuth2 via chrome.identity.getAuthToken, uma exfiltra ativamente sessões do Telegram Web a cada 15 segundos, e 45 contêm um backdoor universal loadInfo() que abre URLs especificadas pelo operador a cada inicialização do navegador. Todas as cinco identidades de editor remontam a apenas dois números de projeto do Google Cloud, e o backend do C2 executa um CMS Strapi com um portal de pagamento, confirmando que as identidades são vendidas como um serviço. Defensores devem bloquear cloudapi[.]stream e top[.]rodeo no perímetro da rede, escanear os pacotes das extensões em busca do padrão user_info/infoURL/chrome.tabs.create e sinalizar qualquer extensão que combine a permissão de identidade com regras de declarativeNetRequest que removem os cabeçalhos CSP.
Uma falha crítica, CVE-2026-5194, na biblioteca wolfSSL permite que atacantes submetam certificados forjados com digests subdimensionados que conseguem passar pela verificação de assinatura ECDSA, DSA, ML-DSA, Ed25519 e Ed448. Isso ocorre devido à ausência de checagens adequadas de tamanho de hash/digest e OID, afetando mais de 5 bilhões de dispositivos e aplicações. A vulnerabilidade foi corrigida no wolfSSL 5.9.1, lançado em 8 de abril. Equipes que utilizam firmware de fornecedores ou builds empacotados por distribuições devem aguardar comunicados de seus fornecedores, em vez de presumir que a correção upstream já cobre suas instalações.
A RCI Hospitality descobriu em 23 de março que um bug de Insecure Direct Object Reference (IDOR) em um servidor IIS na RCI Internet Services expôs dados de diversos contratados independentes, a partir de 19 de março. Os atacantes acessaram nomes, datas de nascimento, detalhes de contato, números de seguro social e números de carteira de motorista, contudo, sistemas de clientes ou financeiros não foram comprometidos.
O DataBreaches conduziu uma pesquisa com empresas de resposta a incidentes e a comunidade de segurança da informação no LinkedIn para avaliar se grupos de ransomware cumprem seus compromissos de exclusão de dados após o pagamento. Os respondentes indicaram que raramente encontram extorsão repetida ou retenção de dados confirmada pelo mesmo grupo, sugerindo que a maioria honra a natureza transacional do acordo. Contudo, uma exceção notável envolveu um cliente cujos dados foram excluídos da infraestrutura principal controlada pelo atacante, mas permaneceram em intermediários de exfiltração que o ator de ameaça não havia removido.
A versão 4.0.0 do OpenSSL foi lançada, introduzindo recursos como Encrypted Client Hello (RFC 9849), ML-DSA-MU, a curva pós-quântica SM2MLKEM768 e FFDHE negociado no TLS 1.2. Simultaneamente, esta atualização descontinua o suporte para SSLv2/SSLv3, a funcionalidade de engine, curvas EC depreciadas e funções de método de versão TLS fixas.
Dois membros da equipe de suporte da Kraken gravaram, separadamente, filmagens do sistema interno de gestão de clientes e as vazaram para fóruns criminosos, expondo dados de aproximadamente 2.000 contas. Isso viabilizou uma tentativa de extorsão que a Kraken se recusou a pagar, cooperando com autoridades policiais federais em múltiplas jurisdições.
O Omnistealer é um novo infostealer que incorpora código de preparação criptografado diretamente em transações nas redes TRON, Aptos e Binance Smart Chain. Ele explora a natureza "append-only" dos livros-razão públicos para criar uma infraestrutura C2 que os defensores não conseguem desativar. Distribuído por meio de ofertas de emprego freelancer falsas no LinkedIn/Upwork que apontam para repositórios GitHub trojanizados, o malware tem como alvo mais de 10 gerenciadores de senhas, mais de 60 carteiras de criptomoedas baseadas em navegador, navegadores principais e credenciais de armazenamento em nuvem. Pesquisadores estimam cerca de 300.000 credenciais comprometidas, abrangendo empresas financeiras, fornecedores de defesa e entidades governamentais dos EUA. As organizações devem aplicar políticas de sandbox para avaliar código de terceiros, bloquear a execução de diretórios graváveis por usuários e monitorar conexões de saída para endpoints RPC de blockchain como um canal C2 emergente.
Duas falhas de injeção de comando no driver Perforce VCS do Composer (CVE-2026-40176, CVE-2026-40261) permitem a execução de comandos arbitrários por meio de configurações composer.json maliciosas ou referências de código-fonte manipuladas, mesmo sem o Perforce instalado.
A Basic-Fit detectou acesso não autorizado ao seu sistema de check-in de clubes, que registra as visitas dos membros em sete países europeus. Os atacantes acessaram dados pessoais e de associação, incluindo nomes, detalhes de contato, datas de nascimento e números de contas bancárias, mas não senhas ou documentos de identificação. Aproximadamente 200.000 membros holandeses foram afetados, e o regulador foi notificado, elevando o risco de fraudes de débito direto SEPA e phishing direcionado.
Hackers, autodenominados ShinyHunters, afirmam ter acessado dados da Rockstar através de um provedor de cloud de terceiros e tentaram exigir um resgate, ameaçando vazar as informações.
O kernel Linux 7.0 foi lançado com suporte oficial a Rust, XFS com recuperação automática e melhorias expandidas para ARM/RISC-V/Loongson e AMD EPYC 5 KVM. Torvalds destacou o tooling de IA como um provável impulsionador do aumento de correções de casos específicos no final do ciclo de desenvolvimento.
Entre fevereiro e março, o GitHub enfrentou diversos incidentes significativos que levaram a plataforma a operar abaixo dos seus padrões de disponibilidade. O CTO do GitHub detalhou três dos principais incidentes, incluindo um caso de sobrecarga de banco de dados e dois problemas com soluções de failover que se mostraram insuficientes ou falharam. Para o futuro, o GitHub está implementando uma série de iniciativas para elevar a estabilidade e a escalabilidade da plataforma, o que inclui a migração para o Azure e a desassociação de componentes críticos.
Vespasian é uma ferramenta open-source para descoberta de endpoints de API que captura tráfego HTTP em tempo real via navegador headless ou por meio de capturas existentes do Burp Suite, HAR e mitmproxy. Em seguida, gera especificações estruturadas como OpenAPI 3.0 para REST, GraphQL SDL e WSDL para SOAP. Seu pipeline de duas fases separa a captura da geração, empregando heurísticas com pontuação de confiança para classificação de tipo de API e normalização de caminhos com deduplicação parametrizada. A ferramenta também implementa uma estratégia de introspecção GraphQL em camadas, que inclui fallbacks para bypass de WAF. O Vespasian se integra diretamente com o Hadrian da Praetorian para testes automatizados de BOLA/BFLA, estabelecendo um pipeline completo de descoberta e teste que elimina a necessidade de criação manual de especificações.
