O grupo Void Dokkaebi (também conhecido como Famous Chollima) migrou seu "stealer" InvisibleFerret de scripts Python legíveis para módulos de extensão .pyd e .so compilados em Cython, carregados via um script de execução .mod. Essa mudança quebra detecções baseadas em script, mas mantém acesso de backdoor, roubo de credenciais de navegador, keylogging e trojanização de carteiras de criptomoedas. A cadeia de ataque executa BeaverTail (gjs) como um downloader JavaScript que busca binários específicos da plataforma. O módulo "mc" faz o downgrade do Chrome no macOS para restaurar o suporte a Manifest V2 para extensões adulteradas como MetaMask, Coinbase e Phantom. A lógica de desofuscação principal de XOR-then-Zlib permanece inalterada em relação às versões anteriores. Para defesa, é crucial mudar para detecção binária que cubra módulos de extensão, artefatos embarcados e scripts de runtime, além de procurar nomes de módulos como mod.pyd/pad.so/brw.so em caminhos .vscode e recuperar infraestrutura C&C como 45[.]59[.]160[.]199 aplicando a rotina XOR documentada aos scripts de execução.
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
2141 notícias
A Radiology Associates of Richmond relatou que atacantes acessaram sistemas internos por volta de 25 de julho de 2025 e roubaram arquivos contendo informações protegidas de saúde de aproximadamente 266.000 pessoas.
A Ubiquiti anunciou a disponibilização de patches para corrigir três vulnerabilidades críticas em seus produtos UniFi OS. Essas correções seguem-se a patches recentes para duas outras vulnerabilidades. As falhas incluem um controle de acesso impróprio que poderia permitir alterações não autorizadas, uma falha de path traversal que possibilitaria o acesso a arquivos de sistema e o sequestro de contas, e uma vulnerabilidade de validação de entrada que poderia levar à injeção de comandos. Todas as vulnerabilidades foram reportadas via HackerOne.
Pesquisadores de cibersegurança descobriram múltiplas campanhas explorando uma vulnerabilidade em sites Ghost CMS para injetar JavaScript malicioso. A vulnerabilidade, corrigida na versão 6.19.1, permite que atacantes não autenticados leiam dados arbitrários do banco de dados do site, incluindo chaves de API de administrador. O código malicioso atua como um carregador que faz o fingerprinting das vítimas e então exibe um prompt de verificação falso do Cloudflare sobre o artigo, que contém o chamariz do ClickFix.
A botnet RondoDox começou a explorar a CVE-2018-5999, uma vulnerabilidade crítica (CVSS 9.8) de configuração não autenticada em roteadores ASUS mais antigos. A botnet envia payloads que definem a ateCommand_flag como 1, forçando a interface infosvr a aceitar alterações de configuração externas, incluindo redefinições de senha de administrador, atingindo mais de um milhão de dispositivos expostos. Embora o código de exploit público exista desde 2018, este é o primeiro abuso observado in-the-wild, alinhado com o padrão da RondoDox de estocar exploits (com mais de 170 associações a CVEs) para construir uma botnet Linux Mirai-style focada em DDoS. Defensores com modelos ASUS afetados devem substituir hardware end-of-life, bloquear o acesso de entrada ao serviço infosvr e monitorar o tráfego para /vpnupload.cgi e requisições de mudança de configuração, visto que a VulnCheck descobriu que 56% dos dispositivos de borda atacados em 2025 eram roteadores de consumidor e 65% das falhas exploradas por botnets estavam em tecnologia sem suporte.
A Microsoft fechou todos os caminhos não autenticados para a enumeração completa de domínios de tenants do M365, primeiro neutralizando a chamada SOAP `GetFederationInformation` do Autodiscover em 2025 e, em seguida, corrigindo o endpoint ACS `/metadata/json/1` (espelhado em login.microsoftonline.com, sts.windows.net e outros hosts de identidade) em maio. Operadores ainda podem reconstruir a maior parte dessa capacidade de forma fragmentada: resolver o GUID do tenant via configurações OpenID não autenticadas ou endpoints de provedor de federação ODC, recuperar o prefixo MOERA `onmicrosoft.com` permanente dos registros CNAME DKIM `selector1`/`selector2`, recorrer a brute-forcing de MX para prefixos adivinhados, e usar a chamada autenticada do Graph `findTenantInformationByDomainName` quando o nome não é adivinhável. Defensores devem tratar os CNAMEs DKIM como um vector de divulgação de nome de tenant, monitorar a sondagem de hosts resultante de SharePoint, OneDrive e MDI (`TENANTNAME-my.sharepoint.com`, `TENANTNAME.atp.azure.com`), e reconhecer que bancos de dados de varredura pré-construídos como azmap.dev agora fornecem mapeamentos de domínio para tenant instantaneamente, o que significa que a obscuridade não oferece proteção.
A Cisco corrigiu a vulnerabilidade CVE-2026-20223, um bug CVSS 10.0 na API REST do Secure Workload, originado da falta de validação e autenticação em endpoints da API.
O COO do Google Cloud, Francis de Souza, afirma que as empresas necessitam de segurança no nível da plataforma desde o primeiro dia. As cadeias de ataque agora se movem da violação à entrega em 22 segundos, uma redução drástica em comparação com as oito horas anteriores. Agentes de IA tendem a expor servidores SharePoint antigos e dados esquecidos que ninguém sabia que existiam. Recentemente, desenvolvedores do Google foram surpreendidos com faturas de cinco dígitos após chaves de API para Google Maps silenciosamente ganharem acesso ao Gemini, permitindo que atacantes drenassem $10.138 em 30 minutos de uma única conta.
Uma campanha coordenada, ligada à conta parikhpreyash4 do GitHub, inseriu um hook de pós-instalação idêntico em arquivos package.json de repositórios upstream. Este hook utiliza `curl -skL` para baixar um binário chamado `gvfsd-network` com a verificação TLS desativada, salvando-o em `/tmp/.sshd` para simular um daemon SSH, e o executa em segundo plano com erros suprimidos. A escolha do `package.json` em vez do `composer.json` visava evadir defensores PHP que analisavam apenas metadados do Composer. Essa carga maliciosa foi confirmada em oito pacotes Packagist que utilizam rastreamento de branch – notavelmente os kits iniciais `devdojo/wave` e `devdojo/genesis`, com aproximadamente 6.400 estrelas, onde o hook é ativado na raiz do projeto. Além disso, o ataque foi plantado em arquivos de workflow do GitHub Actions como uma etapa chamada "Dependency Cache Sync", visando atingir pipelines de CI/CD. Defensores devem inspecionar scripts de ciclo de vida `package.json` em dependências Composer que rastreiam branches, fixar artefatos a estados de commit observados em vez de rótulos `dev-*` mutáveis, e procurar pela URL da carga útil `parikhpreyash4`, pelo caminho de descarte `/tmp/.sshd` e por fragmentos do comando `curl -skL`.
O GitHub está adicionando a publicação staged ao npm, exigindo que os mantenedores passem por 2FA e aprovem explicitamente um tarball pré-compilado antes que uma nova versão do pacote se torne instalável, incluindo de CI/CD e trusted publishing baseado em OIDC. O npm CLI 11.15.0 introduz o fluxo de "npm stage publish", além de novas flags como `--allow-file`, `--allow-remote` e `--allow-directory`. Isso permite que as equipes façam allowlist de fontes de instalação que não são de registro e reduzam a exposição a abusos na cadeia de suprimentos, como os vistos nas recentes campanhas de envenenamento de pacotes do TeamPCP.
Uma falha lógica no endpoint lsws.redisAble JSON-API do plugin LiteSpeed User-End cPanel, rastreada como CVE-2026-48172 (CVSS 10.0), permite que qualquer usuário autenticado do cPanel eleve privilégios para root com uma única chamada de API malformada, sem condição de corrida ou brecha de autenticação para exploração. A falha está sob exploração ativa e é especialmente perigosa em hospedagens compartilhadas, onde cada inquilino já possui uma sessão cPanel válida, possibilitando o comprometimento completo do sistema, exfiltração de dados e movimentação lateral. O cPanel forçou uma desinstalação em toda a frota cinco horas antes de sua janela TSR programada. Administradores devem atualizar para o LiteSpeed WHM Plugin v5.3.1.0 (incluído com o cPanel Plugin v2.4.7), buscar em /var/cpanel/logs e /usr/local/cpanel/logs/ por cpanel_jsonapi_func=redisAble, e tratar qualquer host com resultados correspondentes como comprometido, rotacionando todas as credenciais e auditando cron jobs e authorized_keys.
Uma falha no Chromium, reportada há mais de três anos pela pesquisadora Lyra Rebane, permite que sites maliciosos mantenham um Service Worker ativo indefinidamente. Isso é feito criando e abortando repetidamente downloads de Background Fetch a cada 20 segundos, permitindo que ele permaneça oculto no browser e persista mesmo após reinicializações. Embora os sintomas na UI tenham sido corrigidos em janeiro de 2023, o problema central de abuso de tempo de vida permanece, pois sua correção exige um limite de tempo fixo para o service-worker na especificação da API. Administradores devem monitorar por requisições outbound incomuns e uso de recursos em abas inativas.
A vulnerabilidade Underminr explora a infraestrutura compartilhada de CDN para enviar tráfego HTTPS para o IP de um cliente, enquanto apresenta o SNI e Host de outro domínio, comprometendo as premissas de filtragem DNS e controles PDNS. Atacantes podem ocultar tráfego de C2, VPN e proxy via TCP 443, e a técnica já foi utilizada contra grandes provedores de hospedagem. Estima-se que cerca de 88 milhões de domínios podem estar expostos, com a infraestrutura dos EUA, Reino Unido e Canadá sendo as mais vulneráveis.
Uma equipe de três pessoas da Calif, utilizando o modelo restrito Mythos Preview da Anthropic, desenvolveu o primeiro exploit público de kernel do macOS que bypassou a Memory Integrity Enforcement (MIE) da Apple em silício M5 em apenas cinco dias. O ataque encadeou a CVE-2026-28952 com um vazamento de informações para alcançar um root shell. A causa raiz foi um integer overflow na verificação de limites de _zalloc_ro_mut, o único escritor confiável para zonas de kernel somente leitura, permitindo que bytes controlados pelo atacante vazassem entre os limites dos slots e alterassem o cr_uid de um processo vítima para zero, sem corromper ponteiros, tags ou tabelas de páginas. Este episódio demonstra que a marcação de memória em hardware não é uma correção definitiva, mas uma mudança, direcionando a exploração para o pequeno conjunto de escritores privilegiados cuja validação de argumentos se torna agora a superfície de ataque de maior valor, com mais bypasses desse tipo esperados à medida que o tempo entre a descoberta de um bug e o desenvolvimento de um exploit funcional diminui para dias.
O Project Glasswing da Anthropic, utilizando o Claude Mythos Preview, identificou mais de dez mil vulnerabilidades de alta e criticidade em softwares essenciais. Destas, milhares foram encontradas em mais de mil projetos open-source, com taxas de acerto acima de 90% para achados de alto risco verificados. Parceiros como Cloudflare, Mozilla, Palo Alto Networks, Microsoft, Oracle e grandes bancos estão empregando essas capacidades para fortalecer sistemas centrais, agilizar correções e até mesmo detectar fraudes em tempo real.
Charter Communications confirma vazamento de dados; hackers ameaçam divulgar 42 milhões de registros
A Charter Communications confirmou um incidente de cibersegurança após o grupo ShinyHunters adicionar a telecom Spectrum à sua lista de vazamentos, alegando possuir mais de 42 milhões de registros de PII e ameaçando publicá-los caso negociações não sejam iniciadas até 27 de maio. A Charter contesta a extensão, afirmando que nenhuma informação pessoal sensível ou CPNI (Customer Proprietary Network Information) foi exfiltrada, e se recusou a divulgar o "intrusion vector" ou o número de clientes afetados. As alegações não verificadas do invasor e a negativa restrita da empresa estão em tensão direta. O incidente se alinha à campanha de extorsão do ShinyHunters, focada em Salesforce, que atingiu centenas de organizações por meio de credenciais de "cloud" expostas e integrações SaaS mal configuradas. Isso ressignifica os vazamentos individuais como sintomas de uma operação abrangente contra ambientes de "cloud" corporativos.
Pesquisadores da Aikido descobriram que chaves de API do Google deletadas permanecem utilizáveis por até 23 minutos. Durante este período, atacantes podem realizar chamadas em alto volume, gerar custos elevados de compute no Gemini e acessar arquivos e contextos em cache. Testes em diferentes regiões mostraram comportamento similar para outras APIs do GCP. O Google classificou o atraso na revogação como “funcionando como esperado” e não planeja uma correção.
Autoridades da Europa e América do Norte desativaram a First VPN após uma investigação conjunta iniciada em 2021, apreendendo 33 servidores e domínios relacionados a ransomware, fraude e roubo de dados. Investigadores identificaram pelo menos 25 grupos de ransomware utilizando o serviço, que recebia pagamentos anônimos em criptomoedas e e-money. O FBI listou 32 nós de saída em 27 países e detalhou protocolos suportados como OpenConnect, WireGuard e VLESS com ofuscação Reality.
O relatório da Check Point Research para março-abril de 2026 documenta a transição da IA de um uso experimental para uma ferramenta rotineira no arsenal de cibercriminosos.
A EclecticIQ descobriu uma campanha com motivação financeira que emprega SEO poisoning e Google Ads (este último rastreado separadamente como InstallFix) para distribuir instaladores typosquatted do Gemini CLI e Claude Code. Esses instaladores entregam um infostealer PowerShell fileless, comprometendo os sistemas dos usuários.
