A extensão de Chrome em destaque ShotBird (ID: gengfhhkjekmlejbhmmopegofnoifnjp) foi comprometida após uma transferência de propriedade entre dezembro de 2025 e março de 2026, transformando-se em um canal de malware controlado remotamente. Esta extensão enviava dados para api.getextensionanalytics.top, removia os cabeçalhos CSP/X-Frame-Options via rules.json declarativas, injetava iscas de atualização falsas do Chrome e exfiltrava dados de formulário, incluindo senhas, dados de cartão/CVV, IBAN e campos de SSN. O caminho de entrega do arquivo instalou googleupdate.exe (SHA256: E8D2ED43...), um bootstrapper WiX Burn que empacotava um ChromeSetup.exe legítimo assinado pelo Google, juntamente com um stager psfx.msi que decodificava para irm orangewater00.com|iex. O PowerShell Script Block Logging (Event ID 4104) reconstruiu uma segunda etapa a partir de 115 fragmentos, revelando a supressão de ETW via PSEtwLogProvider, enumeração do Windows Credential Manager, direcionamento de dados de Login e Web Data do Chromium, e rotinas de exfiltração. Padrões de infraestrutura e endpoints se sobrepõem a uma campanha paralela envolvendo a extensão QuickLens, documentada pela Annex Security.
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
2153 notícias
Kit de hacking para iPhone usado por espiões russos provavelmente veio de contratada militar dos EUA
O kit de exploit de iPhone de 23 componentes, apelidado de "Coruna", que visa do iOS 13 ao 17.2.1, foi rastreado por ex-funcionários e pesquisadores da iVerify até a divisão Trenchant da L3Harris. Este kit foi originalmente construído para clientes de inteligência do grupo Five Eyes. ️️ Peter Williams, ex-GM da Trenchant, sentenciado a sete anos no mês passado, vendeu oito ferramentas da empresa ao broker russo de zero-day Operation Zero por US$ 1,3 milhão. Este evento provê um caminho provável pelo qual o Coruna chegou ao grupo de espionagem russo UNC6353 e, mais tarde, a cibercriminosos chineses. Além disso, dois exploits do Coruna (Photon e Gallium) foram associados à Operation Triangulation, uma sofisticada campanha de iOS revelada pela Kaspersky em 2023.
O Taskflow Agent, open source do GitHub Security Lab, utiliza um pipeline LLM de múltiplos estágios, modelagem de ameaças, sugestão de problemas e auditoria completa, para detectar desvios de autenticação de alto impacto, IDORs e falhas lógicas com uma baixa taxa de alucinação. Ele já identificou mais de 80 vulnerabilidades em mais de 40 repositórios até o momento. Dos 1.003 problemas sugeridos, apenas 21% atenderam aos critérios para relatórios impactantes, com as falhas de lógica de negócios apresentando a maior taxa de true-positive (25%), e os problemas de IDOR superando os casos combinados de XSS e CSRF. Entre as descobertas confirmadas notáveis estão uma escalada de privilégios no Outline (CVE-2025-64487), exposição de PII no WooCommerce (CVE-2025-15033) e Spree (CVE-2026-25758), e um desvio de autenticação universal na camada DDP de microsserviços do Rocket.Chat (CVE-2026-28514) causado por um await ausente em uma Promise de bcrypt.
O grupo ShinyHunters está explorando configurações de usuário convidado (guest-user settings) mal configuradas no Salesforce Experience Cloud e uma ferramenta Aura Inspector customizada para exfiltrar dados em massa de centenas de instâncias de CRM de diversas organizações . O objetivo é extorquir as vítimas, ameaçando vazar as informações roubadas. A Salesforce reforça que sua plataforma não apresenta vulnerabilidades, atribuindo a responsabilidade à higiene de configuração dos clientes e às integrações de terceiros, o que torna a revisão rigorosa de acessos e o endurecimento das contas de convidados medidas urgentes .
O sistema de admissão SparK da Sri Krishna College of Engineering and Technology expôs 4.110 registros de estudantes. Isso ocorreu porque suas APIs de admissão careciam de autenticação, permitindo o acesso via cookies de login definidos manualmente. Ao criar dois cookies e extrair um GUID válido de um oficial de admissão de uma resposta de busca de estudante, pesquisadores conseguiram se passar completamente por um oficial e acessar dashboards sensíveis. Os dados expostos incluíam IDs, detalhes médicos, informações religiosas e étnicas, notas, dados de renda e documentos privados de estudantes e pais, todos acessíveis com apenas um navegador. Após uma divulgação coordenada através do CERT-IN da Índia, a SKCET retirou o site vulnerável do ar em uma semana e o restaurou posteriormente com a falha corrigida.
Agentes de IA autônomos, como o OpenClaw, que exigem amplo acesso ao sistema para serem úteis, introduzem riscos crescentes: interfaces de administração expostas vazam armazenamentos completos de credenciais, prompt injection permite ataques à cadeia de suprimentos que instalam agentes maliciosos sem o consentimento do usuário, e atacantes com pouca qualificação agora aproveitam a IA comercial para orquestrar campanhas em escala. Pesquisadores de segurança enquadram o risco central como a "trifeta letal", qualquer agente que combine acesso a dados privados, exposição a conteúdo não confiável e capacidade de comunicação externa torna-se um vetor viável para exfiltração. As organizações devem isolar agentes em VMs em redes segmentadas com controles de saída (egress controls) rigorosos e tratar os sistemas baseados em agentes como uma nova superfície de ataque que exige uma estratégia de defesa explícita, além dos controles tradicionais.
Atores de ransomware comprometeram o ambiente AWS da ELECQ, criptografando e exfiltrando bancos de dados contendo nomes de clientes, e-mails, números de telefone e endereços residenciais. Dados de pagamento e os carregadores em si não foram afetados pelo ataque. A empresa desativou serviços de acesso remoto, contratou equipes de resposta a incidentes e notificou os reguladores da União Europeia. Além disso, alertou os usuários sobre o aumento do risco de phishing e social-engineering devido aos detalhes de contato expostos. ️
Agências de inteligência holandesas alertam oficiais, militares e jornalistas sobre uma nova campanha de engenharia social conduzida por atacantes apoiados pela Rússia. O objetivo é obter acesso às suas contas Signal e WhatsApp, utilizando mensagens de phishing elaboradas que solicitam códigos de verificação de segurança e PIN dos usuários. Os atacantes frequentemente se disfarçam como um chatbot de suporte do Signal ou exploram o recurso de dispositivos vinculados para enganar as vítimas.
A vulnerabilidade CVE-2026-27944 (CVSS 9.8) no Nginx UI expõe o endpoint não autenticado `/api/backup` ️, vazando a chave de criptografia AES-256 e o IV através do cabeçalho de resposta `X-Backup-Security`. Isso permite a descriptografia completa de backups sem credenciais. Uma exploração bem-sucedida concede credenciais de administrador, tokens de sessão, chaves privadas SSL, configurações do Nginx e segredos de banco de dados, dando aos atacantes controle total sobre a interface de gerenciamento e a infraestrutura mapeada. Um PoC está disponível . As organizações devem restringir as interfaces de gerenciamento a redes privadas ou VPNs e aplicar IP allowlisting e MFA (autenticação multifator) .
Atacantes estão clonando páginas de instalação de ferramentas populares para desenvolvedores, como o Claude Code, e usando o Google Ads para posicionar esses sites falsificados acima dos resultados legítimos. Isso leva usuários a executar comandos maliciosos "curl | shell" de uma linha que baixam o Amatera Stealer e outras cargas maliciosas de infraestrutura controlada pelos atacantes. A campanha abusa de serviços de hospedagem legítimos e rotaciona domínios rapidamente para evadir a detecção, enquanto redirecionamentos para os sites reais diminuem a suspeita das vítimas. ️ Para os defensores, é crucial reduzir a confiança cega em comandos de instalação, reforçar os controles sobre o tráfego gerado por malvertising e detectar em tempo real sinais baseados no navegador, como domínios semelhantes, comandos shell copiados para a área de transferência e cadeias de execução de scripts suspeitas.
A Acronis TRU descobriu um aplicativo trojanizado de alerta de foguetes Red Alert, distribuído via SMS e que se passava pelo Comando da Frente Interna de Israel. Atribuído ao grupo Arid Viper (APT-C-23), o APK malicioso foi detectado em 1º de março e solicita 20 permissões, incluindo 6 sensíveis. Ele coleta localização GPS, conteúdo de SMS/OTP, listas de contatos, aplicativos instalados e contas registradas. O aplicativo utiliza spoofing de certificado para se mascarar como uma instalação legítima do Google Play. Esta campanha se alinha a um padrão mais amplo de operações de spyware móvel baseadas em iscas geopolíticas, já ligadas à região, incluindo um exploit quase idêntico do Red Alert documentado pela Cloudforce One em outubro de 2023. ️
Agentes de codificação de IA devem duplicar as submissões de bug bounty em 2026 . No entanto, à medida que empresas implementam internamente as mesmas ferramentas para revisão contínua de código e testes black-box, programas externos provavelmente enfrentarão um declínio acentuado em achados viáveis dentro de um a dois anos .
O BoryptGrab é um stealer de informações em C/C++ disseminado através de mais de 100 repositórios enganosos no GitHub, que se fazem passar por ferramentas gratuitas.
As propostas de lei SB 26-051 do Colorado, AB 1043 da Califórnia e S8102A de Nova York impõem requisitos de verificação de idade para sistemas operacionais. Essas regulamentações são consideradas trivialmente contornáveis e potencialmente prejudiciais para ecossistemas de computação aberta. Elas se baseiam em auto-declaração, que crianças simplesmente irão mentir para contornar. A versão de Nova York agrava a situação ao exigir verificação de identidade por terceiros apenas para usar um dispositivo conectado à internet, eliminando efetivamente a privacidade. ️ Distribuições Linux que se recusarem a emitir um sinal de faixa etária correm o risco de proporcionar uma experiência de internet degradada aos seus usuários. A System76 argumenta que a única solução duradoura é a educação em letramento digital, em vez de meros controles de acesso.
O Conselheiro-Geral do TJUE emitiu um parecer formal sob a PSD2, exigindo que os bancos reembolsem imediatamente as vítimas de transações não autorizadas , exceto se houver suspeita de fraude, enquanto preserva o direito de buscar ressarcimento de clientes que agiram com negligência grosseira ️.
A Europol e diversos vendors, incluindo Microsoft, Trend Micro, Cloudflare e Proofpoint, desmantelaram a plataforma de phishing-as-a-service Tycoon 2FA ️. Esta plataforma era responsável por impulsionar a maioria das tentativas de phishing bloqueadas pela Microsoft e possibilitava campanhas de Business Email Compromise (BEC) em larga escala com bypass de MFA. O ataque de roubo de token adversary-in-the-middle, característico da Tycoon 2FA, evidenciou a urgência de adotar MFA resistente a phishing, como as chaves FIDO2.
O Centro Médico da Universidade do Mississippi retomou as operações normais nove dias após um ataque de ransomware bloquear o acesso a prontuários eletrônicos e forçar o cancelamento de procedimentos ambulatoriais, cirurgias ambulatoriais e agendamentos de exames de imagem em seus sete hospitais e 35 clínicas.
A TriZetto Provider Solutions descobriu em outubro que atacantes estavam abusando de um portal web de clientes desde novembro de 2024 para acessar dados de elegibilidade de seguro de mais de 3.4 milhões de indivíduos. Foram expostos identificadores extensos e informações de saúde, mas nenhum dado financeiro.
Startups em estágio inicial frequentemente expõem informações proprietárias durante discussões de financiamento, contratação e parcerias, ao adiar proteções legais até que detalhes sensíveis já tenham sido compartilhados. Esse padrão contribui para a taxa de violação de 61% citada no Panaseer Security Leaders Report de 2025 . Para mitigar isso, é crucial que as startups implementem NDAs (Non-Disclosure Agreements) e acordos de confidencialidade de forma seletiva, mas proativa: antes de conceder acesso a código ou ativos de design para contratados, durante a due diligence técnica aprofundada com investidores não convencionais, e por meio de uma estratégia de pitch com dois decks que condicione o apêndice técnico confidencial à assinatura de um NDA . Tooling leve com trilhas de auditoria de e-assinatura, um único proprietário de documento e revisões trimestrais é suficiente para equipes pré-seed. A complexidade deve escalar com o volume de contratos, e não ser implementada de forma excessiva desde o início .
A equipe Threat Hunter da Symantec detectou atividade do grupo Seedworm (MuddyWater) desde fevereiro em redes de um banco, um aeroporto e uma empresa de software ligada à defesa nos EUA, além de ONGs nos EUA e Canadá. O grupo utilizou dois novos backdoors identificados: Dindoor, um backdoor JavaScript/TypeScript baseado em Deno, e Fakeset, um backdoor Python, ambos assinados com certificados previamente ligados ao grupo. As intrusões ocorrem após ataques militares dos EUA e Israel ao Irã e coincidem com a escalada de atividade de grupos hacktivistas alinhados, como Handala e DieNet, aumentando a ameaça de ataques destrutivos tipo wiper, campanhas DDoS e operações de hack-and-leak contra infraestruturas críticas. ️ Defensores devem priorizar a implementação de MFA, o monitoramento de exfiltração via Rclone/cloud, a proteção DDoS para serviços públicos e backups offline imutáveis, dado o histórico iraniano de uso de payloads destrutivos, como Shamoon, durante períodos de escalada geopolítica.
