O grupo TA416 (com sobreposição a RedDelta, Mustang Panda e Twill Typhoon) retomou o ataque a entidades diplomáticas da UE e da OTAN em meados de 2025, após dois anos focado no Sudeste Asiático. Sua expansão para alvos governamentais no Oriente Médio no início de 2026 acompanhou de perto o conflito EUA-Israel-Irã. A campanha utilizou múltiplos mecanismos de entrega, incluindo abuso do Cloudflare Turnstile, sequestro de redirecionamento Microsoft OAuth e downloaders de arquivos de projeto C# baseados em MSBuild. Todos convergiam para DLL side-loading para implementar uma variante continuamente atualizada do PlugX com comunicações C2 criptografadas. Este padrão reflete uma mudança mais ampla nas operações ligadas à China em direção a intrusões focadas em identidade e de longa permanência (long-dwell), com a Darktrace documentando um caso em que um ator reapareceu mais de 600 dias após o comprometimento inicial.
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
1750 notícias
O engenheiro de infraestrutura Daniel Rhyne declarou-se culpado de acusações federais de extorsão e danos a computadores. Ele utilizou sessões RDP, tarefas agendadas e manipulação de credenciais para desativar sistemas de seu empregador e exigir US$ 750.000 em bitcoin.
As regras de detecção compostas procuram abordar falsos positivos em detecções atômicas adicionando contexto aos alertas. Elas tentam correlacionar múltiplas ações para construir uma narrativa de um incidente. O contraponto dessas detecções é que elas exigem lógica e ajuste mais complexos.
A SafeDep descobriu 36 pacotes npm de typosquatting, que se passavam por plugins do Strapi CMS. Eles foram enviados por quatro contas falsas (sock puppet accounts) ao longo de 13 horas e continham código malicioso em postinstall hooks que são executados automaticamente no `npm install`. Os payloads evoluíram em oito estágios, avançando desde RCE (Remote Code Execution) baseado em Redis e escapes de contêineres Docker, até a coleta de credenciais de PostgreSQL, exfiltração de variáveis de ambiente e um implante persistente que visava um hostname específico, sugerindo um ataque direcionado contra uma plataforma de criptomoeda. Desenvolvedores que utilizam qualquer um dos pacotes `strapi-plugin-*` sinalizados devem considerar o sistema totalmente comprometido, trocar todas as credenciais e auditar os pipelines de CI/CD em busca de atividade de reverse shell não autorizada.
Foi descoberto que o site do LinkedIn injeta um script oculto de fingerprinting em JavaScript que investiga 6.236 extensões do Chrome por ID de extensão e coleta metadados do dispositivo, vinculando os resultados a perfis de usuários autenticados.
O grupo de ransomware Qilin adicionou o partido político alemão Die Linke à sua página de vazamento na rede Tor em 1º de abril.
A gigante de telessaúde Hims & Hers confirmou que hackers invadiram seu sistema de suporte ao cliente de terceiros entre 4 e 7 de fevereiro, utilizando um ataque de engenharia social. Os dados roubados incluem nomes e endereços de e-mail de clientes. Registros médicos, no entanto, não teriam sido comprometidos, e o número exato de usuários afetados permanece desconhecido.
A Unit 42 realizou um red-teaming na funcionalidade de colaboração multiagente do Amazon Bedrock e demonstrou uma cadeia de ataque de quatro estágios contra implantações desprotegidas. Os estágios incluíram: fingerprinting do modo de operação via payloads criados para sondar a tag agent_scenarios e a ferramenta AgentCommunication__sendMessage(); enumeração de agentes colaboradores através de prompts de descoberta de engenharia social; entrega de payloads específicos do modo para sub-agentes alvo; e resultados de exploração como extração de instruções do sistema, divulgação de esquemas de ferramentas e invocações fraudulentas de ferramentas com entradas fornecidas pelo atacante. Nenhuma vulnerabilidade no Bedrock foi identificada. Todos os ataques se basearam em prompt injection contra aplicações que utilizavam templates padrão sem guardrails habilitados. A ativação do pre-processing prompt e do prompt-attack Guardrail nativos do Bedrock bloqueia a cadeia de ataque demonstrada. As equipes devem aplicar um escopo restrito de capacidade de agente, validação de entrada de ferramentas em camada dupla e permissões de menor privilégio em todas as integrações agente-ferramenta.
Dois ataques distintos de Rowhammer em GPU, GDDRHammer e GeForge, conseguiram controle total do host contra as GPUs Nvidia Ampere RTX 3060 e RTX 6000. Eles fazem isso induzindo bit flips em GDDR6 que corrompem as tabelas de página da GPU, obtendo então acesso arbitrário de leitura/escrita à memória da CPU. Ambos os métodos de ataque exigem a desativação do IOMMU, que é a configuração padrão na maioria das BIOS, e manipulam a memória para redirecionar as alocações da tabela de página da GPU para regiões vulneráveis ao Rowhammer. As mitigações incluem habilitar o IOMMU na BIOS ou ativar o ECC do lado da GPU via linha de comando da Nvidia. No entanto, o ECC pode afetar o desempenho e já foi contornado em estudos anteriores de Rowhammer.
Drift perdeu US$ 285 milhões em 1º de abril após um ataque. Os invasores utilizaram contas de durable nonce para pré-assinar transações atrasadas e, através de engenharia social, obtiveram aprovação suficiente de validadores multisig para assumir os direitos de administrador do Security Council. Posteriormente, o atacante criou um token falso denominado CarbonVote com liquidez mínima, enganou os oracles da Drift para aceitá-lo como garantia, removeu os limites de saque e esvaziou todos os principais vaults em apenas 10 segundos.
A Chainguard analisou mais de 2.200 projetos de imagens de container e 377 CVEs únicos de dezembro de 2025 a fevereiro de 2026. Python é usado por 72,1% dos clientes, enquanto o PostgreSQL cresceu 73% trimestre a trimestre, impulsionado por workloads de vector search e RAG. CVEs únicos aumentaram 145% e as instâncias de correção cresceram mais de 300%. Apesar disso, o tempo médio de remediação manteve-se em 2,0 dias, com 97,9% dos CVEs de alta severidade resolvidos em uma semana. Um ponto crítico é que 96,2% das vulnerabilidades residem fora das 20 principais imagens, na "long tail", área que muitas equipes de segurança subestimam. Adicionalmente, 42% dos clientes agora executam pelo menos uma imagem FIPS em produção, um salto considerável em relação ao trimestre anterior.
Ataques de Phishing de Código de Dispositivo Disparam 37x com Novas Ferramentas se Espalhando Online
O phishing de código de dispositivo, que abusa do fluxo OAuth 2.0 Device Authorization Grant para coletar tokens de acesso e de refresh válidos sem nunca tocar nas credenciais da vítima, registrou um crescimento de 37,5 vezes em 2026. Este aumento é impulsionado principalmente pelo kit EvilTokens PhaaS, que democratiza a técnica para agentes com pouca habilidade. A Push Security catalogou pelo menos 11 kits concorrentes, incluindo VENOM, DOCUPOLL e LINKID. Todos esses kits utilizam iscas com temas de SaaS, barreiras anti-bot e infraestrutura hospedada em nuvem para evadir a detecção. A proliferação dessa técnica sinaliza uma mudança estrutural em direção à tomada de controle de contas baseada em tokens, que contorna completamente a MFA, colocando os controles de detecção de identidade e o endurecimento das políticas de acesso condicional no centro da resposta defensiva das organizações.
A DomainTools identificou uma extensão maliciosa para Chrome que se passava por um bloqueador de anúncios do ChatGPT. Ela clonava o DOM para extrair conversas com mais de 150 caracteres e as exfiltrava via um webhook do Discord para um bot chamado "Captain Hook".
O bucketsquatting, um problema que aflige o S3 desde 2019, ocorre quando um atacante registra um bucket S3 que foi anteriormente utilizado por uma organização ou que segue uma convenção de nomes previsível. A AWS agora introduziu um "account namespace", onde os usuários podem vincular um nome de bucket à sua conta. Administradores podem forçar a criação de buckets com esta convenção em SCPs usando a chave de condição s3:x-amz-bucket-namespace.
O pesquisador de segurança GReAT descobriu o CrystalX RAT, um Trojan MaaS baseado em Go promovido via bate-papos privados no Telegram que combina keylogger, C2 WebSocket, credential stealer, crypto clipper injetado pelo Chrome DevTools Protocol, VNC, captura de microfone/webcam e um módulo de prankware "Rofl" em uma plataforma de assinatura única. Os implantes são comprimidos com zlib e criptografados com ChaCha20, e o malware patcha ativamente AmsiScanBuffer, EtwEventWrite e MiniDumpWriteDump para evadir a detecção e complicar a análise forense. Os defensores devem bloquear os domínios C2 webcrystal[.]lol, webcrystal[.]sbs e crystalxrat[.]top, e procurar extensões maliciosas caídas em %LOCALAPPDATA%\Microsoft\Edge\ExtSvc e invocações ChromeElevator de %TEMP%\svc[rndInt].exe.
Uma investigação independente que cruzou fontes confidenciais, dados de fóruns de cibercrime, registros de dossiês e documentos de órgãos de segurança identificou quatro membros-chave do Cl0p: operador j0nny (também conhecido como b1shop), desenvolvedor Andrei Vladimirovich Tarasov (AELS/Lavander/CrazyMark, criador do sistema de distribuição de tráfego Angler Exploit Kit), comprador de acesso inicial Likhogray Maxim Alexandrovich (Baddie, que adquiriu acesso a redes sob a cobertura do Royal ransomware) e o desenvolvedor do DarkGate RastaFarEye, cuja infraestrutura de carregamento apresenta semelhanças com os clusters Cl0p documentados pela Group-IB. A análise de correlação de postagens em fóruns entre j0nny e o desenvolvedor de Loader Orlylyly mostrou um atraso significativo de cinco meses (r = 0,2453, p = 0,0078), consistente com uma relação fornecedor-operador, com a última postagem de Orlylyly ocorrendo 48 horas antes das primeiras vítimas do MOVEit Transfer do Cl0p aparecerem. A investigação retrata o Cl0p como uma organização criminosa deliberadamente compartimentalizada que paga honorários legais para membros presos, utiliza identidades de cobertura para compras de acesso e mantém relações de longo prazo com desenvolvedores em múltiplos ecossistemas de ransomware.
Uma atualização de software defeituosa implantada pelo Lloyds Banking Group em 12 de março expôs dados de transações bancárias móveis para outros usuários por menos de cinco horas. Dos 1,67 milhão de usuários logados durante esse período, 447.936 tiveram suas transações expostas. Até 114.182 usuários visualizaram diretamente as transações, podendo ter visto códigos de agência, números de conta e números do Seguro Nacional.
CVE-2026-4946 (CVSS 8.8, CWE-78) é uma vulnerabilidade de injeção de comandos nas versões do NSA Ghidra anteriores à 12.0.3. A diretiva de anotação {@execute}, interpretada a partir de comentários de usuários, também é aplicada a comentários gerados automaticamente de binários analisados. Isso permite que agentes maliciosos incorporem cargas nocivas diretamente nos binários compilados, os quais aparecem como rótulos clicáveis aparentemente inofensivos, como "Ver Licença" na interface de listagem, sem a exibição de uma caixa de diálogo de confirmação, desencadeando a execução arbitrária de comandos via ProcessBuilder quando clicados por um analista. Analistas de malware, respondentes de incidentes e pesquisadores devem atualizar para o Ghidra 12.0.3 imediatamente, pois esse vetor de ataque foca em ambientes forenses e pode resultar na total comprometimento do computador do analista, incluindo exfiltração de chaves SSH, entrega de cargas adicionais e criação de backdoors persistentes.
A detecção de ransomware do Google Drive, alimentada por IA, está agora disponível para todos os usuários de licenças Workspace empresariais, educacionais e frontline, sendo ativada por padrão.
A Hasbro apresentou uma declaração à SEC em 1º de abril confirmando um ataque cibernético detectado em 28 de março. A empresa tirou sistemas do ar e está executando planos de continuidade para manter pedidos e remessas em andamento. Hackers ainda podem estar na rede, já que a Hasbro ainda está "implementando medidas para proteger" as operações.
