CEVIU News - CEVIU Segurança da Informação - 19 de junho de 2026

A rede privada Dialog, iniciativa exclusiva de Peter Thiel para líderes empresariais, acadêmicos e políticos, sofreu um vazamento que expôs dados de 113 membros listados em seu site restrito. Um pesquisador de segurança identificou informações acessíveis sem autenticação, incluindo nomes, empregadores, e-mails, contatos de assistentes, datas de nascimento, números de telefone e contatos de emergência, além de perfis detalhados de participantes de um evento futuro em Dublin.

O GlassWASM, payload malicioso compilado em WebAssembly com TinyGo, foi identificado em duas extensões trojanizadas do Open VSX ([email protected] e noellee-doc/[email protected]), publicadas pelo perfil zaitoona43 e associadas ao operador GlassWorm. Sem IOCs em texto claro, ele usa ChaCha20 embutido para descriptografar strings em runtime e consulta carteiras Solana buscando SPL Memos para resolver hosts de C2 rotativos. Executa comandos via curl ou PowerShell usando child_process do Node. Empresas devem remover imediatamente os pacotes afetados, isolar máquinas que os instalaram e priorizar detecção na cadeia de execução.

Uma campanha de phishing atribuída a agentes de ameaça com base na Romênia atingiu cerca de 8,9 milhões de usuários com e-mails falsos em nome da varejista britânica Boots. As mensagens prometiam um pacote gratuito de amostras de beleza e redirecionavam as vítimas para uma página de checkout fraudulenta e uma pesquisa de satisfação, ambas projetadas para coletar dados pessoais e credenciais. A operação explora a confiança na marca e demonstra a escalabilidade de ataques direcionados por e-mail em ambiente corporativo.

A Argus Systems divulgou uma vulnerabilidade crítica de bypass de autenticação PAP no subsistema sppp(4) do OpenBSD, presente desde a importação derivada do FreeBSD em 1999. A falha está na função sppp_pap_input() em sys/net/if_spppsubr.c, onde campos de comprimento controlados pelo atacante são passados diretamente para bcmp, possibilitando autenticação sem credenciais ou heap over-read no kernel. Explorável sem autenticação via PPPoE, permite que servidores maliciosos no mesmo domínio de broadcast assumam identidades legítimas e interceptem tráfego. Confirmada no OpenBSD 7.6, já foi corrigida com verificação rigorosa de comprimento; administradores devem atualizar o código-fonte e recompilar.

O Homebrew 6.0 traz mecanismos críticos de segurança: sistema 'tap trust', exigindo autorização explícita para execução de código de terceiros; sandboxing em builds no Linux via Bubblewrap; comando 'brew vulns' para escanear pacotes contra a base OSV; e confirmação obrigatória em 'install' e 'upgrade'. O mantenedor Mike McQuaid destaca resiliência a ataques de substituição de binários e uso controlado de IA, sempre com revisão humana. Também foi anunciada a descontinuação da arquitetura Intel no macOS: novos bottles Intel deixarão de ser gerados após setembro de 2026.

A campanha FortiBleed já comprometeu 30.791 credenciais válidas em firewalls e gateways VPN da Fortinet, atingindo 21.108 IPs e 8.316 domínios, principalmente em telecomunicações, governo e infraestrutura crítica. Os invasores, que se comunicam em russo e priorizam países da OTAN, exploram senhas reutilizadas e fracas para transformar os dispositivos em pontos de captura de credenciais, retroalimentando seu scanner. A operação afeta equipamentos expostos à internet sem atualizações ou hardening adequado.

Um pesquisador de segurança descobriu um servidor comprometido contendo credenciais obtidas em uma campanha persistente de força bruta contra appliances Fortinet. Foram expostos cerca de 74 mil conjuntos de usuário, senha e e-mail, dados coletados por ataques diretos, exploração de bancos SQL Server e quebra de hashes SSL VPN interceptados. A vulnerabilidade, batizada de FortiBleed, evidencia falhas críticas na postura de defesa de organizações que não aplicaram atualizações ou hardening adequado.

Atacantes exploraram uma conta de integração do Klue comprometida para gerar tokens OAuth, acessar APIs REST do Salesforce e exfiltrar dados de CRM, incluindo contatos, cotações e mensagens, durante 24 horas. Em picos, realizaram quase 1.000 chamadas em 15 minutos. A Huntress atribuiu o ataque ao grupo de extorsão Icarus, que usou credenciais inativas do Klue, Session ID roubado e domínios de e-mail australianos sequestrados. Recomenda-se revogar imediatamente todos os segredos vinculados ao Klue, auditar padrões de consumo de API e aplicar restrições de IP em contas de integração.

Com base em metas de prontidão quântica do Google, Cloudflare e NCSC do Reino Unido, Brandon Rozek destaca a migração prática para protocolos resistentes a ataques 'harvest-now-decrypt-later'. O OpenSSH usa por padrão mlkem768x25519-sha256 desde abril de 2022, alertando conexões com servidores não atualizados. No TLS, o X25519MLKEM768 já está no Firefox 132 e Chrome 131, cobrindo 70,1% do tráfego global. Já o WireGuard, vulnerável à computação quântica, pode ser protegido via PresharedKey simétrica ou Rosenpass, com rotação de chaves a cada dois minutos para garantir sigilo pós-quântico.

A Rapid7 identificou uma nova campanha do grupo Dropping Elephant que começa com um arquivo LNK disfarçado como documento do setor energético chinês. Ele executa PowerShell ofuscado e explora o binário legítimo Fondue.exe para side-loading da biblioteca APPWIZ.cpl. O payload Donut é carregado diretamente na memória após descriptografia AES-256-CBC, contornando AMSI, WLDP e ETW. O implant atualizado usa C2 via HTTPS com criptografia Salsa20, flattening de fluxo de controle e reconstrução dinâmica de APIs. A linhagem foi confirmada via Diaphora por padrões compartilhados em manipulação de comandos e captura de tela. Recomenda-se monitorar uso anômalo de Fondue.exe, tarefas agendadas como GoogleErrorReport e domínios maliciosos: chinagreenenergy.org e gcl-power.org.

Políticas de Qualidade de Serviço (QoS) no Windows permitem limitar largura de banda de saída por processo ou protocolo. Com privilégios de administrador, invasores aplicam essas regras contra agentes de EDR, prejudicando telemetria, até causar falhas em handshakes TLS e interromper envio de alertas à nuvem. O EDRChoker demonstra automação massiva dessas restrições via PowerShell e WMI. Medidas defensivas incluem auditoria de entradas QoS no ActiveStore, habilitação de logging detalhado dessas ferramentas, monitoramento do Event ID 5857 (NetQosCim) e verificação de persistência de políticas na memória e no registro.

Red teamers identificam honeytokens e estações de engodo no Active Directory sem autenticação, usando chamadas discretas MS-SAMR e LSA (como SamConnect e NetUserEnum) via porta 445, evitando alertas gerados por varreduras LDAP. A detecção se baseia em anomalias: contas com lastLogon = 0 mas logonCount > 0 revelam honeypots, pois máquinas que ingressam no domínio exigem autenticação Netlogon válida. Para defensores, a dica é não depender de um único sinal: combine honeypots com monitoramento de consultas ao diretório, detecção de anomalias de autenticação e controle rígido de privilégios de leitura de atributos, além de validar a consistência de lastLogon entre controladores de domínio.

A Pluto Security fez engenharia reversa do runtime dos Claude Managed Agents da Anthropic e identificou o uso do sandbox gVisor, mesmo utilizado no Cloud Cowork. O proxy de credenciais baseado em vault garante isolamento sólido de segredos, e defesas multicamadas mitigam desvios de proxy de rede. Apesar da arquitetura segura, a configuração padrão é permissiva, exigindo que equipes adotem medidas proativas de proteção e hardening dos agentes.

Jeff Barron usou Claude Code integrado ao Ghidra MCP para analisar drivers Windows da ASUS em seu notebook, identificando e validando dois CVEs com PoCs funcionais: CVE-2026-3508 (leitura fora dos limites em AsusWmiAcpi.sys) e CVE-2026-6737 (IOCTLs expostos a usuários comuns por descritores inseguros em AsusPTPFilter.sys). Ele reforça que descobertas robustas exigem compreensão profunda do comportamento dos drivers, não confiança cega na IA, e edição rigorosa de relatórios gerados por IA para eliminar ruído e hype.

Chainguard, BNY, Cisco, Cloudflare, Docker, JPMorganChase, Kyndryl, LTIMindtree e PwC lançaram a coalizão Athena para reforçar a segurança de projetos open source contra ameaças emergentes de IA. O grupo emprega modelos avançados como Project Glasswing (Anthropic) e Daybreak (OpenAI) para detectar vulnerabilidades, corrigi-las em ambiente privado e reconstruir os pacotes como versões endurecidas nas Chainguard Libraries, antes da divulgação coordenada upstream. Alinhado à ordem executiva norte-americana sobre IA, o modelo funciona como uma 'câmara de compensação' cibernética. Até agora, foram processadas mais de 20.000 descobertas, com cerca de 2.000 correções implementadas em 500 projetos; o primeiro ciclo público de divulgação está marcado para julho.

Um diretório exposto no IP 62.171.185[.]97 permitiu à CloudSEK mapear a cadeia operacional da Operation Escaneo, atribuída com confiança média ao grupo MexicanMafia (PanchoVilla). A campanha empregou o scanner personalizado Kimera, exploits direcionados a Fortinet, Ivanti e Cisco, além de persistência avançada via webshells Neo-reGeorg, túneis Chisel e GRE em roteadores Cisco, invisíveis a detecções baseadas em host. O grupo adotou disciplina típica de APTs: cracking on-premise de credenciais para evitar exfiltração de hashes e manutenção de acessos resilientes à rotação de senhas. É mais um sinal de que atores criminosos na América Latina estão aplicando técnicas de espionagem tradicionalmente associadas a ameaças estatais, agora voltadas para ganho financeiro.

A GTIG do Google e a Mandiant identificaram o grupo UNC6508, ligado ao Estado chinês, espionando instituições médicas, acadêmicas e militares norte-americanas por 12 meses sem detecção. O ataque usou o malware Infinitered, projetado para servidores REDCap, para roubar credenciais e e-mails explorando regras de conformidade de conteúdo de domínio, sem depender de ferramentas living-off-the-land. A rede de ofuscação empregou exclusivamente IPs dos EUA, simulando acessos legítimos. O caso exige mudança na postura de detecção: priorizar desvios de identidade e configuração, pois a fase mais evasiva deixou quase nenhum rastro em endpoints ou tráfego de rede.

Pesquisadores da Check Point identificaram uma campanha sofisticada que distribui um clipboard hijacker escrito em Rust via GitHub e SourceForge. Os atacantes criaram contas falsas para inflar downloads e colaboradores, além de canais no YouTube com vídeos tutoriais narrados por IA, reforçados por comentários positivos automatizados, para dar aparência de legitimidade. A ameaça também é promovida em fóruns de criptoativos. Ao ser executado, o malware monitora o clipboard em busca de endereços de carteiras e os substitui silenciosamente por endereços sob controle dos invasores.

O Semgrep Pro anteriormente executava a análise de taint duas vezes para rastrear dados entre arquivos. Com a adoção do suporte multicore nativo do OCaml 5.0, a equipe refatorou o processo para realizar a análise apenas uma vez. Um profiler personalizado de OCaml confirmou ganhos de desempenho de até 75%, tornando a detecção de vulnerabilidades via taint tracking mais ágil e escalável para equipes de segurança.

Embora proteções contratuais possam cobrir parte dos riscos do pentesting com agentes autônomos, questões críticas persistem: falta de intuição humana para limites de taxa e interrupção de testes, riscos de prompt injection no alvo, ambiguidades em autorização e contaminação entre engajamentos, além de não determinismo operacional. A identidade fluida dos agentes também dificulta atribuição de responsabilidade e auditoria, especialmente em cenários multi-agente, onde precedentes legais ainda não existem.

A autoridade certificadora belga GlobalSign, pertencente ao GMO Group, iniciou, em 13 de junho, a revogação faseada de certificados TLS Extended Validation (EV) emitidos para empresas russas incluídas nas listas de sanções da União Europeia. A ação segue rigorosamente as diretrizes do CA/Browser Forum, que proíbem provedores de certificados de emitir ou manter certificados para entidades sob sanções internacionais. A medida impacta diretamente a confiança digital e a capacidade dessas organizações de operar com criptografia válida em navegadores modernos.

A partir de 31 de agosto, a Estônia passará a colocar automaticamente em quarentena todas as mensagens recebidas do domínio de topo .ru destinadas a servidores públicos. Os destinatários serão alertados para abrir os e-mails apenas com precauções adicionais, medida adotada diante do aumento acentuado de ataques de phishing e malware originados de servidores russos desde 2022, segundo autoridades estonianas.

A JetBrains removeu 15 plugins maliciosos ligados a IA do seu Marketplace e baniu em definitivo 7 contas de editores. A análise forense apontou coleta não autorizada de dados e comunicação com servidores externos. A empresa reforçou a revisão e a assinatura de código para evitar novos casos.

A Kodak confirmou um vazamento de dados após o grupo de cibercriminosos ShinyHunters reivindicar o roubo de mais de 2,2 milhões de registros de clientes e informações corporativas. Os atacantes ameaçaram divulgar os dados publicamente caso não recebessem resgate até 18 de junho. A empresa não informou detalhes técnicos sobre a vulnerabilidade explorada, mas afirmou estar investigando o incidente com apoio de especialistas em segurança cibernética.

O grupo de hackers DragonForce implantou o RAT Backdoor.Turn, escrito em Go, contra uma grande empresa de serviços norte-americana. Para evadir detecção, os atacantes direcionaram o tráfego de comando e controle (C2) por meio de relays TURN legítimos do Microsoft Teams. A comunicação foi mantida por um a dois meses usando uma sessão QUIC com seu servidor real, explorando infraestrutura confiável para ocultar atividades maliciosas.

A Mackay Sugar, produtora australiana com operações em Queensland, interrompeu grande parte de sua moagem de cana-de-açúcar após um ataque cibernético comprometer sistemas críticos de gerenciamento de colheita, logística e operação de usinas. A falha afetou diretamente a cadeia produtiva agrícola e industrial, evidenciando riscos crescentes de ciberataques a infraestruturas críticas do setor agroindustrial. Não houve confirmação oficial de grupo responsável nem detalhes sobre o vetor de exploração.