CEVIU News - CEVIU Segurança da Informação - 7 de agosto de 2026

A Forescout revelou que mais de 4.400 Controladores Lógicos Programáveis (PLCs) da Rockwell Automation estão acessíveis publicamente na internet, um número alarmante que inclui 22 dispositivos localizados em cidades americanas que recentemente sofreram ataques em seus sistemas de água. A exposição não se deve a vulnerabilidades complexas, mas sim à manutenção da porta Ethernet/IP 44818 aberta. Especialistas alertam para a urgência de isolar esses controladores utilizando VPNs e recomendam que as equipes de segurança sigam o comunicado SD1790 da Rockwell para recuperar sistemas que possam ser comprometidos por invasores.

O Departamento Federal Suíço de Tecnologia da Informação e Telecomunicações (BIT) confirmou uma invasão em suas instâncias do Microsoft SharePoint, resultando no comprometimento de credenciais de login para 200 contas. A ação, atribuída a vulnerabilidades exploradas por hackers, levou o BIT a reagir prontamente. Como medida de contenção, o acesso externo ao SharePoint foi bloqueado, as falhas exploradas foram corrigidas e as senhas das contas afetadas foram redefinidas. Apesar da violação das credenciais, o órgão afirma que, até o momento, não há indícios de roubo de outros dados.

Pesquisadores do MIT CSAIL revelaram o ataque TONTOU, uma nova técnica que burla as mitigações existentes para o Spectre v2 ao reintroduzir um 'envenenamento' no branch predictor da CPU. As defesas atuais presumem que o tempo entre o isolamento e o uso do branch predictor é seguro, mas o TONTOU explora exatamente essa janela. A vulnerabilidade permite que atacantes com código não privilegiado extraiam o arquivo /etc/shadow em sistemas Linux a uma taxa de 5,46 bytes por segundo, demonstrando uma séria falha na proteção de dados sensíveis diretamente no nível do hardware.

Pesquisadores da VulnCheck identificaram um backdoor persistente e não corrigido, nomeado EndlessDoors, presente em mais de 100.000 roteadores ativos das marcas Zbtlink e Wiflyer. Este backdoor estabelece conexões de comando e controle de saída, uma tática que visa burlar as defesas NAT. Para mitigar a ameaça, é crucial o monitoramento da porta 7000 para detecção de atividades maliciosas e, mais importantemente, a substituição física de qualquer hardware comprometido, dada a natureza do ataque.

Pesquisadores alertam sobre o Vanta Stealer, um malware Python multifacetado e altamente ofuscado que tem como alvo informações sensíveis. Utilizando PyInstaller e PyArmor para evadir a detecção, ele baixa módulos dinamicamente para coletar credenciais de navegadores, configurações de VPN e dados de plataformas de jogos. O Vanta Stealer se destaca por aprimorar tokens de Discord roubados via API, identificando contas de alto valor antes de exfiltrar os dados comprometidos via HTTP POST em um arquivo ZIP. Para mitigar a ameaça, recomenda-se bloquear conexões de saída para vanta[.]st e monitorar binários PyInstaller suspeitos.

Uma campanha de ataque cibernético, batizada de 'Ill Bloom', está drenando ativamente carteiras de criptomoedas. A ação explora uma vulnerabilidade crítica relacionada à fraca aleatoriedade em versões legadas do CryptoJS, presente em dependências de software que não recebem mais manutenção. Para proteção imediata, é crucial que os defensores consultem o site illbloom.org. Lá, encontrarão Indicadores de Compromisso (IoCs) específicos e a lista de carteiras afetadas, informações essenciais para acelerar a migração de fundos e mitigar perdas.

James Berthoty detalha as falhas e defesas que poderiam ter prevenido ou mitigado o incidente em que a OpenAI acessou inadvertidamente dados da Hugging Face. Ele sugere que bloqueios de rede externa e soluções EDR agentic seriam cruciais na fase inicial de vazamento do modelo da OpenAI. Para a Hugging Face, medidas como o bloqueio de IMDS e uma gestão de segredos mais granular poderiam ter contido o acesso indevido. Além disso, a detecção de movimento lateral interno na infraestrutura da Hugging Face seria viável através de ferramentas tradicionais de Kubernetes e plataformas CNAPP, evidenciando a necessidade de uma defesa em profundidade e monitoramento contínuo.

O primeiro semestre de 2026 registrou um alarmante aumento de 60% em incidentes críticos na nuvem, conforme o recente relatório da Wiz. O crescimento é atribuído, sobretudo, a comprometimentos em cascata da cadeia de suprimentos e a ataques direcionados a infraestruturas de IA ainda em fase de amadurecimento. Atacantes estão cada vez mais monetizando identidades não-humanas e revendendo acessos, um cenário evidenciado pelas campanhas npm do TeamPCP e trojanizações de pacotes norte-coreanos, que indicam uma mudança estrutural para superfícies de ataque auto-sustentáveis. Isso exige que as defesas priorizem a proteção de integrações máquina a máquina não autenticadas e credenciais de backend expostas para desmantelar a intermediação automatizada de acessos.

O LightSpy, spyware antes associado a operações estatais chinesas, transformou-se em uma plataforma comercial, mirando governos, empresas e até roteadores afiliados à OTAN em 13 nações. Este sofisticado kit de ferramentas modular, agora operando a partir de uma rede de pelo menos 117 servidores de comando e controle, oferece visibilidade total das redes comprometidas. Pesquisadores conseguiram rastrear a campanha a um contratado chinês após um erro operacional, quando um atacante revelou acidentalmente seus dados pessoais ao realizar um pedido de delivery diretamente do painel administrativo do spyware.

Maksim Silnikau, figura central por trás da operação de ransomware Ransom Cartel, foi sentenciado a 16 anos de prisão. A condenação encerra uma notória carreira cibercriminosa que se estendeu de 2021 a 2023, durante a qual Silnikau não apenas orquestrou ataques, mas também teve participação relevante no desenvolvimento do exploit kit Angler e na coautoria do Reveton, um modelo fundamental de Ransomware as a Service (RaaS). Esta sentença reforça o combate internacional a grupos de cibersegurança.

Pesquisadores da Mysk revelaram três vulnerabilidades críticas, prefetching de DNS, WebAuthn's Related Origin Requests e WebTransport, que permitem a qualquer website burlar o Private Relay da Apple e expor o endereço IP real de usuários em todos os navegadores iOS baseados em WebKit. A descoberta, publicada sem aviso prévio à Apple, levanta sérias preocupações sobre a privacidade, dada a demora habitual da empresa em corrigir falhas de segurança.