CEVIU News - CEVIU Segurança da Informação - 3 de agosto de 2026

O framework Ruby on Rails divulgou uma vulnerabilidade crítica no componente Active Storage, que pode ser explorada para permitir a leitura arbitrária de arquivos. A falha é particularmente preocupante para ambientes que utilizam a biblioteca libvips e permitem o upload de imagens por usuários não confiáveis. Especialistas em segurança alertam que essa brecha pode possibilitar a leitura da chave mestra do Rails, comprometendo operações criptográficas e, em casos extremos, culminando em Execução Remota de Código (RCE). A recomendação urgente é a atualização imediata dos sistemas.

A gigante farmacêutica Amgen divulgou ter sido vítima de uma violação de dados significativa, resultante do acesso indevido por parte de atacantes a informações sensíveis através de um provedor de serviços de nuvem terceirizado. A empresa confirmou que os dados exfiltrados incluem tanto informações proprietárias confidenciais quanto dados de saúde protegidos (PHI) de pacientes. Atualmente, a Amgen está conduzindo uma investigação aprofundada para determinar a extensão completa do incidente e identificar outros possíveis comprometimentos de dados.

Uma análise profunda da Truffle Security revelou um cenário preocupante de exposição de dados sensíveis. Ao escanear 7.6 petabytes de datasets públicos do Hugging Face, a empresa identificou 221.303 credenciais ativas e únicas, distribuídas em 6.003 datasets. Entre os achados críticos, destacam-se 349 PATs do GitHub com acesso de gravação, 318 tokens de push do Docker Hub, 8.557 chaves ativas do Google Cloud Platform (GCP) e impressionantes 8.594 logins de banco de dados funcionais. Além disso, foram encontradas 742 chaves da OpenAI e 26 da Anthropic, com o custo potencial de abuso de inferência estimado em US$ 920 mil anuais. A reincidência de 44% das credenciais em múltiplos datasets, agravada por empresas de web scraping, sublinha a magnitude do problema. O Hugging Face foi prontamente notificado e colaborou, integrando o TruffleHog para varredura de seus buckets. A recomendação é clara: tratar toda chave exposta como comprometida e realizar varreduras pré-publicação.

Um novo grupo de ransomware comprometeu informações sensíveis do Departamento de Educação (DfE) do Reino Unido e de um banco de dados policial, resultando no roubo de 740 mil linhas de dados. No DfE, a violação de um portal de help-desk expôs nomes completos, e-mails, telefones e cargos de funcionários e pais. Já o banco de dados policial, vital para assistência jurídica às forças britânicas, teve nomes, organizações de vínculo e e-mails de trabalho vazados. O incidente destaca a crescente audácia de grupos criminosos cibernéticos e a vulnerabilidade de infraestruturas governamentais.

Pesquisadores da Back Engineering Labs publicaram um estudo técnico que desvenda a obfuscação da máquina virtual presente no anti-cheat ACE da Tencent. A análise detalhada revela como o despachante .tvm mantém a integridade do CET shadow-stack e as semânticas SEH/unwind utilizando instruções nativas "boxed", balanceamento de RDSSPQ/INCSSPQ e informações de unwinding fantasmas. A equipe demonstrou a capacidade de recompilar funções virtualizadas de volta para código nativo, recuperando 815 das 865 funções (94,2%) em quatro drivers de kernel do ACE. O estudo aponta loops 'for' com range como uma limitação que pode levar a erros de descompilação com loops infinitos.

Pesquisadores da Huntress revelaram uma sofisticada campanha de malvertising que, a partir de anúncios envenenados no Google, direciona usuários para uma página comprometida do Claude.ai/share. O ataque, que atinge sistemas macOS, instala um RAT (cavalo de Troia de acesso remoto) nativo e um stealer, além de versões trojanizadas de carteiras Ledger/Trezor para roubar frases de recuperação BIP39. A kill chain de seis estágios simula o phishing de Acesso Total ao Disco e senhas de contas. A metodologia lembra a família AMOS/Atomic Stealer, com indícios de código e comentários em russo, sugerindo uma ligação familiar entre as ameaças. Profissionais de segurança devem monitorar execuções de 'curl -k' redirecionadas para 'zsh', a presença de 'LaunchAgent com.apple.*' com o arquivo '~/.local/.mpwd' e aplicativos ad-hoc com hashes 'ElectronAsarIntegrity' inconsistentes.

Um recente experimento expôs uma séria vulnerabilidade no modelo de linguagem Opus-5 do Claude Code, demonstrando como a IA pode ser manipulada para executar comandos maliciosos. O ataque de 'prompt injection' induziu o modelo a analisar um repositório com uma imagem contendo uma mensagem oculta. Essa mensagem, disfarçada de desafio, levou a IA a baixar e processar um script Python remoto. Apesar de não executar o script diretamente, o Opus-5 extraiu e rodou o comando malicioso embutido, evidenciando uma brecha preocupante na segurança de sistemas baseados em IA e o risco de execução remota de código.

Um guia detalhado investiga o módulo atexec do Impacket, explorando sua utilização na exploração completa da cadeia de abuso do Agendador de Tarefas do Windows (ATSVC/TSCH) via SMB. A análise demonstra a execução de ataques variados, incluindo plaintext, Pass-the-Hash, Pass-the-Ticket e Pass-the-Key, contra um Domain Controller do Server 2019. O estudo culmina na criação de um payload PowerShell em Base64 com -silentcommand para obter um reverse shell interativo, fornecendo insights cruciais para equipes de blue-team no que tange a detecção e mitigação de tais ameaças.

Uma engenharia reversa detalhada do módulo csagent.sys da CrowdStrike expôs as entranhas de seu mecanismo de detecção. O estudo identificou seis fontes de callback de kernel, um motor de rede WFP que pode interromper fluxos C2, e um minifiltro FLTMGR. A arquitetura de detecção centraliza-se em um objeto g_DetectionEngine, que carrega configurações de canal da nuvem em tempo de execução. Foram observadas falhas críticas, incluindo limites de confiança em user-mode para callbacks de Objeto/Registro e deficiências na resolução de hash/assinatura. O autor sugere que a recente interrupção da CrowdStrike em julho de 2024 pode ter sido causada por um arquivo de canal defeituoso da nuvem, e não por um erro no código binário do sensor.

Um estudo recente da DigiCert revela que, apesar de 87% das organizações estarem engajadas no planejamento, teste ou implementação de Criptografia Pós-Quântica (PQC), apenas 7% efetivamente implantaram certificados quânticos ou híbridos em larga escala. O relatório, que ouviu mil tomadores de decisão em TI e segurança nos EUA, Reino Unido e Austrália, aponta que o principal entrave não é mais a conscientização, mas sim a execução, citando a complexidade de sistemas legados, desafios de desempenho e restrições orçamentárias. A pesquisa ainda alerta para a ameaça "Trust Now, Forge Later", que pode ser mais crítica que a mera emissão de certificados, ressaltando a urgência de uma abordagem mais ampla na proteção contra ataques quânticos.

A equipe de DevOps do Arch Linux desativou a plataforma de adoção de pacotes AUR em 30 de julho, em resposta a uma campanha de atacantes que sistematicamente estavam adotando pacotes órfãos ou sem manutenção. Estes atores maliciosos submetiam commits PKGBUILD que continham payloads perigosos, executados através do comando makepkg, comprometendo a segurança dos usuários. A medida emergencial visa conter a proliferação de software malicioso e proteger a integridade do ambiente Arch Linux.

A Autoridade Monetária de Singapura (MAS) e a Associação de Bancos de Singapura uniram forças para criar a AI-Driven Cyber and Technology Risk Taskforce (ACT). Desde maio, instituições como DBS, OCBC, UOB, SGX, NETS e BCS colaboram nesta iniciativa. O objetivo é fortalecer a resiliência do setor financeiro contra ataques cibernéticos impulsionados por IA, por meio do compartilhamento de inteligência sobre ameaças, da realização de provas de conceito para ferramentas de defesa baseadas em IA e do desenvolvimento de diretrizes setoriais.