VoidLink é um implante C2 para Linux baseado em Zig que apresenta fortes indicadores de código gerado por LLM – incluindo rótulos estruturados "Phase X:", log de depuração detalhado e padrões de documentação deixados no binário de produção. Isso demonstra como os agentes de codificação de IA estão diminuindo a barreira para a produção de malware funcional e multi-cloud. O implante faz o fingerprinting de ambientes AWS, GCP, Azure, Alibaba Cloud e Tencent Cloud, coleta credenciais de variáveis de ambiente e APIs de metadados, realiza escape de contêiner via plugins Docker/Kubernetes e implanta um rootkit adaptável em nível de kernel que seleciona eBPF, LKM ou stealth por LD_PRELOAD com base na versão do kernel do host. Defensores devem monitorar por consultas não autorizadas a APIs de metadados em nuvem a partir de workloads, auditar o acesso a tokens de contas de serviço do Kubernetes e tratar artefatos de depuração detalhados ou estruturados em malware capturado como potenciais indicadores de desenvolvimento assistido por IA, exigindo uma modelagem de ameaças ajustada. ️
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
1763 notícias
A exploração dos zero-days da Ivanti EPMM, CVE-2026-1281 e CVE-2026-1340 (ambos com CVSS 9.8), já atingiu 86 instâncias confirmadas de sistemas comprometidos.
O guia 'Barreiras para Comunicações OT Seguras: Por que Johnny Não Consegue Autenticar' aborda as barreiras de custo, complexidade, latência e interoperabilidade ️ que impedem os operadores de infraestrutura crítica de adotar protocolos industriais seguros .
Uma campanha de phishing ️, que explora os temas do Mês do Orgulho e diversidade, expandiu-se de 504 para 4.768 organizações-alvo em diversos países.
Atacantes estão migrando do roubo de credenciais para a apropriação de tokens de autenticação para obter acesso inicial. Em um incidente observado pelo autor, um agressor conseguiu roubar um token de autenticação através de um proxy AitM do Microsoft 365, mas não alcançou seus objetivos devido à rápida detecção e resposta. Em um segundo incidente, o agressor falhou em roubar um token porque a organização utilizava chaves de segurança FIDO2, o que fez com que a tentativa de autenticação via proxy AitM não fosse bem-sucedida.
Os certificados que a Microsoft utiliza para o Secure Boot estão programados para expirar em junho de 2026, após 15 anos de uso. Usuários com atualizações automáticas ativadas receberão os novos certificados automaticamente. Administradores podem implementar os novos certificados via chaves de registro, Group Policy ou Windows Configuration System (WinCS). É importante notar que usuários do Windows 10 que não estão inscritos em atualizações de segurança estendidas não receberão os novos certificados.
O ransomware Reynolds agora incorpora um driver vulnerável NsecSoft NSecKrnl (CVE-2025-68947, CVSS 5.7) diretamente em seu payload. Essa tática de Bring Your Own Vulnerable Driver (BYOVD) permite desativar processos de ferramentas EDR de fornecedores como CrowdStrike, Sophos, Symantec, Palo Alto Cortex XDR e Avast antes da criptografia de arquivos, eliminando a necessidade de uma etapa de implantação BYOVD separada. Pesquisadores da Symantec e Carbon Black observaram um loader side-loaded suspeito na rede alvo semanas antes da execução do ransomware, seguido pela implantação da ferramenta de acesso remoto GotoHTTP para acesso persistente. O cenário do ransomware também mostra outras evoluções notáveis, incluindo a mudança do LockBit 5.0 para criptografia ChaCha20 com recursos de wiper, o uso por parte do Interlock de um zero-day em driver de jogos (CVE-2025-61155) para ataques BYOVD, e o aumento de atores de ransomware visando buckets AWS S3 mal configurados. ️
Os colapsos do Black Basta e do LockBit provocaram uma reestruturação violenta do ecossistema de RaaS (Ransomware-as-a-Service) . Novos participantes, como o DragonForce, operam como "cartéis" verticalmente integrados, incorporando marketplaces de brokers de acesso diretamente em painéis de afiliados. Isso comprime o tempo entre o acesso inicial e a implantação de ransomware para apenas algumas horas. Em paralelo, a comoditização de ferramentas de evasão de EDR, incluindo "killers" baseados em BYOVD que exploram um driver ainda válido assinado pela Microsoft em 2006, reduziu a barreira de entrada, permitindo que operadores com baixo orçamento derrotem pilhas de segurança corporativas. Diante deste cenário, defensores devem priorizar a ativação da "Vulnerable Driver Blocklist" (lista de bloqueio de drivers vulneráveis) da Microsoft, que é opt-in . É crucial monitorar os marketplaces de brokers de acesso para identificar exposições organizacionais. Além disso, a inteligência de ameaças precisa mudar o foco de rastrear marcas de ransomware para monitorar indicadores de infraestrutura persistente, como fingerprints SSH compartilhados e o reuso de certificados .
Atores de ameaça desconhecidos exploraram instâncias vulneráveis do SolarWinds Web Help Desk (WHD) em dezembro de 2025 para obter acesso inicial. A Microsoft não conseguiu confirmar se os ataques exploraram a CVE-2025-40551 (RCE por desserialização com CVSS 9.8), a CVE-2025-40536 (auth bypass com CVSS 8.1) ou a CVE-2025-26399 (execução de comando com CVSS 9.8). A atividade pós-exploração incluiu o abuso de BITS para entrega de payload, instalação do Zoho ManageEngine RMM para persistência, dumping de credenciais LSASS via DLL sideloading e ataques DCSync para extrair dados de senhas do domain controller. As organizações devem aplicar patches no WHD imediatamente, remover o acesso público a caminhos administrativos, procurar por ferramentas RMM não autorizadas como o ToolsIQ.exe e rotacionar as credenciais de contas de serviço e administradores acessíveis a partir do WHD.
Falha Zero-Click RCE em Extensões Claude Desktop Expõe Mais de 10 Mil Usuários a Ataques Silenciosos
Pesquisadores da empresa de segurança LayerX descobriram uma vulnerabilidade crítica (CVSS 10/10) nas Extensões Claude Desktop (DXT) que pode permitir a execução remota de código (RCE) com interação zero do usuário. Essa falha expõe mais de 10 mil usuários a ataques silenciosos, destacando um risco significativo para a segurança de dados e sistemas. ️ No proof-of-concept divulgado pela LayerX, um atacante enviaria à vítima um convite do Google Calendar contendo instruções maliciosas na descrição do evento. A vítima, ao pedir a Claude para gerenciar seu calendário ou verificar eventos, desencadearia a execução dessas instruções. A vulnerabilidade é possibilitada pelo fato de que o Claude DXT executa intencionalmente sem qualquer isolamento, abrindo a porta para explorações diretas.
A Forcepoint X-Labs descobriu que a botnet Phorpiex está distribuindo o ransomware Global Group, um sucessor do Mamona, por meio de phishing emails contendo arquivos .lnk disfarçados de documentos. O ataque utiliza técnicas living-off-the-land, empregando PowerShell e Command Prompt para a entrega do payload. O ransomware opera em um modo silencioso que gera chaves de criptografia localmente com ChaCha20-Poly1305, sem a necessidade de contato com um servidor C2. Isso permite a criptografia de arquivos em máquinas offline e a evasão da detecção baseada em rede. Após a criptografia, o malware se autoexclui, destrói Cópias de Sombra de Volume e adiciona a extensão .reco aos arquivos bloqueados, deixando mínimos artefatos forenses.
Mantenedores de projetos open source podem inscrever seus projetos no serviço de fuzzing contínuo OSS-Fuzz gratuitamente. Embora este processo tenha detectado muitas vulnerabilidades novas, o autor desta publicação descobriu novos bugs em projetos populares devido a limitações como cobertura insuficiente, cobertura inadequada de dependências externas e cobertura insuficiente de funções de codificação no processo de fuzzing. Para mitigar isso, o autor recomenda um processo de fuzzing em cinco etapas ️: preparar o código, aumentar iterativamente a code coverage para idealmente acima de 90%, melhorar a cobertura sensível ao contexto (que depende de estados que um fuzzer pode não alcançar naturalmente), empregar value coverage para descobrir bugs que as entradas do fuzzer podem estar perdendo e, finalmente, tentar focar em bugs de difícil detecção, como aqueles que exigem grandes entradas ou mais tempo.
A Fortinet corrigiu a CVE-2026-21643, uma vulnerabilidade crítica de injeção de SQL na GUI do FortiClientEMS . Esta falha permite que atacantes remotos não autenticados executem código ou comandos arbitrários por meio da neutralização inadequada de caracteres especiais em queries SQL. A vulnerabilidade afeta a versão 7.4.4 do FortiClientEMS, sendo a versão 7.4.5 o patch de correção, enquanto as versões 7.2 e 8.0 não são afetadas. Apesar de não haver exploração em campo ou proof-of-concept público observado ainda , as organizações devem aplicar o patch com urgência, dada a Fortinet ser historicamente um fornecedor amplamente visado, conforme o Catálogo de Vulnerabilidades Conhecidas e Exploradas da CISA.
Um hacktivista, conhecido como wikkid, exfiltrou e divulgou mais de 500 mil registros de clientes de serviços de stalkerware fornecidos pela empresa ucraniana Struktura. Os dados exfiltrados incluem endereços de e-mail de clientes, o aplicativo ou marca pelo qual o cliente pagou, o valor pago, o tipo de pagamento e os últimos quatro dígitos de números de cartão de crédito. O hacktivista afirmou ter explorado uma “falha trivial” no site do serviço.
Os órgãos de segurança da Alemanha, BSI e BfV, alertaram que hackers apoiados por estados estão visando líderes militares, diplomatas e jornalistas em toda a Europa . Eles abusam de recursos legítimos do Signal, como se passar pelo Suporte de Segurança do Signal para roubar PINs e sequestrar contas, ou enganar alvos para que escaneiem QR codes que silenciosamente vinculam dispositivos de atacantes, dando acesso a até 45 dias de histórico de conversas . As campanhas dependem inteiramente de engenharia social, e não de exploits, o que as torna difíceis de detectar com o tooling de segurança tradicional. É crucial que os usuários ativem o Registration Lock, auditem regularmente os dispositivos vinculados e tratem qualquer mensagem não solicitada pedindo códigos de verificação como maliciosa .
O Discord anunciou que, a partir do início de março, os usuários precisarão verificar sua idade por meio de uma selfie ou documento de identidade governamental. As contas dos usuários serão definidas como contas de adolescente por padrão até que a verificação seja realizada. O Discord afirma que o processamento da selfie ocorrerá localmente nos dispositivos dos usuários, que os documentos de identidade governamentais serão excluídos rapidamente por seus processadores terceirizados e que o status de verificação de idade não será visível nos perfis dos usuários.
Em novembro de 2025, o Sysdig Threat Research Team (TRT) detectou um comprometimento de conta notável pela progressão do atacante do acesso inicial para privilégios administrativos em apenas 8 minutos, utilizando assistência de LLM . O atacante obteve acesso inicial por meio de credenciais encontradas em um bucket S3 público ️. Em seguida, usou essas credenciais para substituir o código de função Lambda, escalando privilégios, realizando movimentação lateral entre 19 diferentes principals e, por fim, coletando dados sensíveis . Adicionalmente, o Bedrock foi utilizado para acessar LLMs hospedados em nuvem e lançar instâncias de GPU para treinamento de modelos. O artigo oferece recomendações de mitigação para cada etapa da cadeia de exploração do atacante.
Augustus é um scanner de vulnerabilidades de LLMs open-source baseado em Go , projetado para testar modelos contra mais de 210 ataques adversários em 47 categorias. Isso inclui jailbreaks, prompt injection, exploits de codificação, extração de dados e manipulação de agentes. Distribuído como um único binário com suporte para 28 provedores de LLMs, a ferramenta foi inspirada no garak da NVIDIA, mas reimplementada em Go para execução mais rápida e zero dependências de runtime . Augustus apresenta uma arquitetura de pipeline com probes composíveis, transformações de buff (como codificação, paráfrase, poesia e tradução de idiomas de baixo recurso) e mais de 90 detectores, incluindo LLM-as-a-judge e HarmJudge . A ferramenta faz parte da campanha "The 12 Caesars" da Praetorian.
A Google Research utilizou o prompting de autocorreção iterativa do Gemini para descobrir uma falha em um artigo de criptografia sobre SNARGs para NP a partir de LWE, que revisores humanos não haviam identificado. Este feito destaca o crescente potencial das LLMs como revisores adversariais tanto na pesquisa acadêmica quanto em auditorias de segurança.
Dois homens de Connecticut foram indiciados em 45 acusações federais por supostamente usarem cerca de 3.000 identidades roubadas , compradas em mercados da darknet, para criar contas fraudulentas em FanDuel, DraftKings e BetMGM. Eles exploraram bônus promocionais para novos usuários, desviando US$ 3 milhões ao longo de cinco anos.
