O BeatBanker é um Trojan Android de modo duplo, distribuído através de uma página falsa da Google Play Store, que mira usuários brasileiros. Uma vez ativo, ele sobrepõe telas falsas em aplicativos de criptomoedas como Binance e Trust Wallet para trocar silenciosamente endereços de carteiras de destino USDT, enquanto também implementa o BTMOB RAT para acesso remoto completo, incluindo câmera, microfone, GPS e limpeza remota de dados. Para evitar que o sistema operacional encerre seu processo em segundo plano, o malware reproduz um loop de áudio inaudível de 5 segundos. Considere solicitações não solicitadas de permissão de Acessibilidade como um sinal de alerta imediato e evite instalar APKs de sites de terceiros via sideloading.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
1763 notícias
A campanha PhantomRaven, uma operação contínua de ataque à cadeia de suprimentos NPM ativa desde agosto de 2025, implantou 88 pacotes maliciosos adicionais em quatro ondas de ataque. A campanha utiliza slopsquatting para imitar projetos populares como Babel e GraphQL Codegen, empregando nomes de pacotes sugeridos por LLMs para enganar desenvolvedores. Para evadir a inspeção automatizada, a PhantomRaven emprega a técnica de Remote Dynamic Dependencies (RDD), onde o package.json aponta suas dependências para URLs externas controladas pelos atacantes. Isso permite que o malware seja baixado e executado durante o npm install, em vez de ser incorporado diretamente ao pacote. O payload coleta arquivos .gitconfig, .npmrc, variáveis de ambiente e tokens de CI/CD de plataformas como GitHub, GitLab, Jenkins e CircleCI, exfiltrando-os para uma infraestrutura C2 hospedada em EC2. Atualmente, 81 desses pacotes ainda permanecem ativos no registro.
Um ex-engenheiro de software do DOGE supostamente exfiltrou dois bancos de dados altamente restritos do Seguro Social, incluindo o Numident e o Master Death File, para um pendrive e gabou-se de reutilizá-los em um emprego de empreiteiro do governo.
Um investigador disfarçado da unidade de Investigações do Departamento de Segurança Interna (DHS) empregou imagens de uma adolescente de 13 anos geradas por IA para atrair homens adultos a conversas online. Usando as imagens, o investigador criou um perfil na plataforma social Kik e obteve sucesso na captura de um adulto que estava distribuindo CSAM. Embora operações disfarçadas como esta não sejam novidade, no passado, os investigadores dependiam de fotos próprias ou de colegas que pudessem passar por menores de idade, expondo-os a potenciais riscos. A utilização da IA representa uma mudança na tática operacional.
Quatro incidentes em 2026, envolvendo Excel Copilot, Chrome Gemini, Microsoft Copilot Personal e Perplexity Comet, revelaram um problema arquitetural comum: agentes de IA herdam permissões extensas (como acesso a arquivos, network egress, preenchimento automático de credenciais e acesso a câmera/microfone) e não conseguem distinguir de forma confiável instruções legítimas do usuário de conteúdo injetado por atacantes. Isso permite exfiltração zero-click, sequestro de sessão e tomada completa de cofres de credenciais por meio de indirect prompt injection (OWASP LLM01:2025). Embora todas as quatro vulnerabilidades tenham sido corrigidas, a lacuna estrutural persiste: 83% das organizações planejam implantar IA agentic, mas apenas 29% se sentem preparadas para protegê-la. Equipes de segurança devem impor restrições de rede outbound em aplicações com IA, auditar os escopos de permissão dos agentes para garantir o princípio do menor privilégio e tratar fontes de dados não confiáveis (documentos, convites de calendário e URLs) como potenciais vetores de injection em qualquer workflow agentic. ️
Uma campanha de phishing explorou o fluxo de código de dispositivo OAuth 2.0 da Microsoft, enganando vítimas para visitarem páginas hospedadas em Cloudflare Workers que imitavam o Adobe Acrobat Sign, utilizando domínios de remetentes comprometidos por BEC. A campanha automaticamente copiava um código de dispositivo gerado pelo atacante para a área de transferência e redirecionava as vítimas para o portal legítimo microsoft.com/devicelogin para coletar tokens. O backend do atacante consulta o endpoint de código de dispositivo da Microsoft a cada 3 segundos, troca o código completado por tokens OAuth de acesso e refresh com escopo para o Microsoft Graph, e então redireciona as vítimas silenciosamente para adobe.com, não deixando sinais de comprometimento. Indicadores de Compromisso (IOCs) de 23 subdomínios workers.dev, juntamente com endereços de remetentes suspeitos incorporados em nomes de conta, foram publicados. Profissionais de defesa devem procurar por eventos de autenticação de código de dispositivo nos Entra SigninLogs, filtrando por `AuthenticationProtocol == "deviceCode"`. Eles também devem sinalizar autenticações de código de dispositivo pela primeira vez sem histórico anterior de 30 dias (`ResultType == 0`) e alertar sobre URLs workers.dev em e-mails recebidos que estejam ligados a eventos de autenticação do mesmo usuário.
O WhatsApp implementou contas gerenciadas pelos pais para crianças menores de 13 anos, concedendo aos pais controle protegido por PIN sobre contatos, participação em grupos e alertas de atividade ️, mantendo a criptografia de ponta a ponta em todas as mensagens .
A equipe de hackers Handala, ligada ao Irã, reivindicou ataques contra a Stryker Corporation e a Verifone em 11 de março. A Stryker confirmou um incidente de rede, enquanto a Verifone negou qualquer violação, apesar de terem sido divulgadas capturas de tela de painéis de administração internos como prova. ️
Em menos de um dia após os ataques "Operation Epic Fury" dos EUA e Israel contra o Irã, o grupo Camaro Dragon direcionou entidades do Catar com iscas com temas do conflito , entregando uma variante do PlugX via DLL hijacking de um binário legítimo do Baidu NetDisk. Paralelamente, uma campanha separada ligada à China implementou o Cobalt Strike através de um novo loader baseado em Rust, explorando o DLL hijacking de nvdaHelperRemote.dll, um componente do leitor de tela NVDA, anteriormente observado em pouquíssimas operações chinesas. Ambos os ataques utilizaram iscas geradas por IA, que se passavam por governos regionais, para se misturar às comunicações rápidas de crise. Essa mudança reflete tanto a coleta de inteligência oportunista quanto uma alteração mais ampla nas prioridades de coleta, focando na posição do Catar na intersecção de potências globais concorrentes. Os defensores devem considerar o conflito iraniano como um tema ativo de isca geopolítica, reforçar a cobertura de EDR e MFA, e revisar os IoCs publicados pela Check Point para ambas as campanhas.
A equipe de segurança de aplicações da Postman utilizou engenheiros de segurança embarcados para desenvolver um scorecard de segurança de produto personalizado ️. Esta ferramenta permite que equipes e gerência identifiquem rapidamente problemas de segurança e suas respectivas correções em todos os projetos. Os scorecards associam as falhas de segurança detectadas a controles preventivos, como a varredura de repositórios (repo scanning), e podem também integrar "solicitações de segurança" mais flexíveis, oriundas de tickets Jira. O scorecard de segurança possibilitou às equipes implementar o bloqueio de Pull Requests (PR blocking) em seus repositórios e usar pré-verificações de commit (commit pre-checks) para barrar commits não conformes .
Hackers atacaram a Bell Ambulance, em Wisconsin, e roubaram dados sensíveis de cerca de 238.000 pessoas, incluindo números de Social Security (SSN), documentos de identidade, detalhes financeiros, informações médicas e de seguro. A violação foi detectada em fevereiro de 2025, com as notificações sendo enviadas a partir de abril, à medida que mais vítimas eram identificadas. A gangue de ransomware Medusa reivindicou o ataque, exigindo um resgate de US$ 400.000 por 219 GB de dados roubados.
A CVE-2025-68402 revela um bypass de autenticação na branch edge do FreshRSS . A vulnerabilidade surgiu de uma alteração no nonce de login, que passou de uma string hexadecimal SHA-1 de 40 caracteres para uma SHA-256 de 64 caracteres. Essa mudança, combinada com o limite de entrada de 72 bytes do bcrypt ️, resultou em dados dependentes da senha sendo truncados. Consequentemente, a função password_verify() retornava 'true' para qualquer senha até que a ordem de concatenação fosse corrigida .
A fabricante de pneus Michelin confirmou que atacantes exploraram uma vulnerabilidade zero-day no Oracle E-Business Suite , como parte de uma campanha mais ampla liderada pelo grupo Cl0p e ligada ao FIN11. Eles acessaram um pequeno volume de dados não sensíveis do ambiente da empresa. O grupo Cl0p alega ter vazado mais de 315GB de arquivos da Michelin .
Um comprometimento da conta de um funcionário de um provedor de serviços dos EUA, resultante de um ataque de vishing, expôs dados sensíveis de 15.661 pessoas ligadas à Ericsson. As informações vazadas incluíam IDs, números de Social Security e, em alguns casos, detalhes financeiros e médicos. ️
A nova estratégia cibernética da Casa Branca eleva as operações ofensivas preemptivas a ativos estratégicos ️, ao mesmo tempo em que rejeita regulamentações excessivamente focadas em conformidade .
A Doyensec mapeou a superfície completa de ataque do OAuth 2.0/registro dinâmico de clientes em implantações MCP . Isso abrange envenenamento de ferramentas (tool poisoning), "rug pulls", envenenamento de esquemas (schema poisoning), prompt injection via respostas de ferramentas, command injection (CVE-2025-53100, CVE-2025-53818), manipulação de metadados de SSO (CVE-2025-4144, CVE-2025-4143), DNS rebinding contra servidores WebSocket localhost não autenticados e abuso de endpoints de descoberta OIDC. O modelo de autorização empresarial Identity Assertion JWT Authorization Grant (JAG) proposto introduz quatro riscos não resolvidos : ausência de um caminho de revogação de tokens para agentes com comportamento inadequado, escalonamento de escopo impulsionado por LLMs sem consentimento do usuário, emissão indefinida de credenciais de cliente que permite colisão de namespace de escopo e injeção de identificadores de recurso, e replay de ID-JAG que amplifica o raio de explosão (blast radius) entre múltiplos tokens de acesso MCP. Equipes de segurança que auditam implantações MCP devem tratar cada etapa da cadeia de autorização como um ponto de injeção e priorizar ancoragens de confiança baseadas em mTLS/certificados, namespacing de recursos rigoroso, invalidação centralizada de acesso e barreiras de consentimento explícitas por ação para chamadas de ferramentas de alto risco.
🕵
Kit de hacking para iPhone usado por espiões russos provavelmente veio de contratada militar dos EUA
O kit de exploit de iPhone de 23 componentes, apelidado de "Coruna", que visa do iOS 13 ao 17.2.1, foi rastreado por ex-funcionários e pesquisadores da iVerify até a divisão Trenchant da L3Harris. Este kit foi originalmente construído para clientes de inteligência do grupo Five Eyes. ️️ Peter Williams, ex-GM da Trenchant, sentenciado a sete anos no mês passado, vendeu oito ferramentas da empresa ao broker russo de zero-day Operation Zero por US$ 1,3 milhão. Este evento provê um caminho provável pelo qual o Coruna chegou ao grupo de espionagem russo UNC6353 e, mais tarde, a cibercriminosos chineses. Além disso, dois exploits do Coruna (Photon e Gallium) foram associados à Operation Triangulation, uma sofisticada campanha de iOS revelada pela Kaspersky em 2023.
O Taskflow Agent, open source do GitHub Security Lab, utiliza um pipeline LLM de múltiplos estágios, modelagem de ameaças, sugestão de problemas e auditoria completa, para detectar desvios de autenticação de alto impacto, IDORs e falhas lógicas com uma baixa taxa de alucinação. Ele já identificou mais de 80 vulnerabilidades em mais de 40 repositórios até o momento. Dos 1.003 problemas sugeridos, apenas 21% atenderam aos critérios para relatórios impactantes, com as falhas de lógica de negócios apresentando a maior taxa de true-positive (25%), e os problemas de IDOR superando os casos combinados de XSS e CSRF. Entre as descobertas confirmadas notáveis estão uma escalada de privilégios no Outline (CVE-2025-64487), exposição de PII no WooCommerce (CVE-2025-15033) e Spree (CVE-2026-25758), e um desvio de autenticação universal na camada DDP de microsserviços do Rocket.Chat (CVE-2026-28514) causado por um await ausente em uma Promise de bcrypt.
O grupo ShinyHunters está explorando configurações de usuário convidado (guest-user settings) mal configuradas no Salesforce Experience Cloud e uma ferramenta Aura Inspector customizada para exfiltrar dados em massa de centenas de instâncias de CRM de diversas organizações . O objetivo é extorquir as vítimas, ameaçando vazar as informações roubadas. A Salesforce reforça que sua plataforma não apresenta vulnerabilidades, atribuindo a responsabilidade à higiene de configuração dos clientes e às integrações de terceiros, o que torna a revisão rigorosa de acessos e o endurecimento das contas de convidados medidas urgentes .
Um site fraudulento do CleanMyMac está utilizando uma técnica de engenharia social no estilo ClickFix para enganar usuários de macOS. A tática consiste em induzi-los a colar um comando malicioso no Terminal, o que instala silenciosamente o SHub Stealer, contornando o Gatekeeper por completo. Uma vez ativo, o stealer coleta credenciais do Keychain do macOS através de um prompt de autenticação de sistema falso e tem como alvo as carteiras Exodus, Atomic Wallet, Ledger Live e Trezor Suite para extração de seed-phrases. A persistência do SHub Stealer é garantida por um LaunchAgent disfarçado de atualizador de software do Google, que é executado a cada minuto. Um detalhe técnico relevante é que layouts de teclado em russo ativam a autoexclusão imediata do malware, um indicador comum de que a origem cibercriminosa está ligada à Rússia. ️
