O VOLTA adota a lógica de "roubar tudo e deixar a IA organizar": coleta credenciais, sessões, carteiras e chaves de nuvem e, depois, usa as próprias sessões de Gmail, DoorDash e Discord da vítima para confirmar informações como o endereço residencial. O dossiê resultante é enviado via OpenRouter ao Claude, com fallback para Kimi e depois Gemini caso algum modelo se recuse a responder, e retorna uma avaliação ranqueada intitulada "WHAT THEY'RE WORTH", que estima quanto os ativos da vítima poderiam render. A Talos avaliou o VOLTA como um commodity builder que opera inteiramente em infraestrutura de terceiros. Para os defensores, a recomendação é bloquear ou gerar alertas para processos que não sejam de desenvolvedores e iniciem o Chrome com --headless, método usado pelo stealer para contornar o App-Bound Encryption.
Xusheng Li, pesquisador da Vector 35, apontou o Codex para o servidor MCP do Binary Ninja e recuperou as chaves hardcoded no NetacFileLock, no KakaSoft USB Copy Protection e no Nexcopy Copy Secure, levando de 7 a 26 minutos em cada um. Nos três produtos, a chave era fixa no binário, derivada de uma seed embutida ou liberada por um certificado no viewer, de modo que a senha do usuário nunca protegia os arquivos. Em outra frente, o time-travel debugging revelou duas contas ocultas no drive YutianDun, da SecZure, com senhas tão fracas quanto "123456", capazes de descriptografar qualquer arquivo. Li não fez a divulgação aos fabricantes porque os drives já em uso não podem receber correção. Ele argumenta que a validação no lado do cliente nunca é segura e que, por isso, os compradores só devem confiar em drives que derivem a chave de criptografia da senha do usuário.
A Binance retomou os saques de forma gradual após o roubo de US$ 6,3 bilhões. O FBI atribui o ataque ao TraderTraitor, grupo ligado à Coreia do Norte e parte do Lazarus Group. A invasão envolveu um laptop comprometido e um malware que apagou evidências. A Binance já repôs 90% dos ativos roubados e se comprometeu a cobrir o restante. O FBI alerta que os fundos roubados estão sendo convertidos em Ethereum e lavados por meio de DeFi e serviços de instant swap.
Uma versão maliciosa da extensão do Claude para VS Code, a 2.1.313, foi publicada por meio da conta oficial da Anthropic no Cursor. O alvo eram até 5.000 desenvolvedores. A extensão coletava detalhes do host e do ambiente e tentava adicionar uma chave SSH e abrir um reverse tunnel, mas bugs limitaram a persistência no Windows e no macOS. Em resposta, o Cursor removeu a extensão, bloqueou o servidor associado, rotacionou chaves e auditou o marketplace. Quem instalou ou atualizou a extensão na quinta-feira deve verificar os indicadores de comprometimento (IoCs) publicados.
Um script do DebugBear sequestrado no site da Polymarket usou as sessões de navegador de traders logados para vender ou transferir suas posições em 29 de outubro. Em 52 minutos, os atacantes receberam cerca de US$ 2,64 milhões em POL, vindos de 33 carteiras. A Polymarket está reembolsando US$ 3,9 milhões, incluindo US$ 2,7 milhões para 726 carteiras afetadas. O comprometimento teve origem no registrador de domínio do DebugBear.
O Google Threat Intelligence Group (GTIG) e a Mandiant observaram invasores usando o framework open-source ARTEX com credenciais roubadas. Seus seis sub-agentes executaram varreduras de permissões no Azure e na AWS, Kerberoasting, DCSync e envenenamento de logs do MySQL, que gravava webshells JSP em rajadas de apenas 2 a 25 segundos. Entre os usuários do ARTEX estavam grupos de extorsão com motivação financeira e clusters suspeitos de ligação com a China (PRC-nexus), como o UNC7228, que foi de uma primeira conta a acesso profundo em cerca de quatro horas. O GTIG observou, porém, que os agentes eram muito ruidosos do ponto de vista forense e, às vezes, desfaziam o trabalho uns dos outros. A Mandiant recomenda credenciais de curta duração e com escopo bem restrito, tratar interfaces administrativas como Kudu/SCM como infraestrutura privilegiada, com acesso bloqueado, e adotar detecção comportamental ajustada para rajadas em velocidade de máquina.
A CVE-2026-97229, falha com CVSS 10 no mecanismo de regex Onigmo, do Ruby, permite que atacantes não autenticados executem código por meio de configurações de CI/CD do GitLab especialmente criadas. Os atacantes miraram o Alpine Linux entre 20 e 21 de outubro, derrubaram processos worker e baixaram a imagem de container da instância. O Alpine não encontrou confirmação de execução de código nem de adulteração de repositórios, reconstruiu a instância e redefiniu senhas. A CISA incluiu a falha no catálogo KEV, que reúne vulnerabilidades com exploração ativa. Em implantações personalizadas de Ruby, atualizar apenas o GitLab pode não bastar. A recomendação é usar Ruby 3.3.13, 3.4.12, 4.0.9 ou versão posterior.
Mattias Geniar encontrou 712 listeners de Multipath TCP (MPTCP) no próprio laptop com Ubuntu 26.04, abertos sem o seu conhecimento por programas em Go como o tailscaled. A causa é que o Go 1.24 e versões posteriores habilitam MPTCP por padrão em sockets de escuta. Isso importa porque o único exploit conhecido para a CVE-2026-98432 exige um listener MPTCP. O bug é um use-after-free no handshake TCP IPv4 do kernel, que remonta ao Linux 4.4 e pode ser acionado com um único SYN. Os kernels stable do upstream foram corrigidos em meados de outubro, e Debian, Amazon Linux e Oracle UEK já lançaram patches. Ubuntu e RHEL, porém, ainda não tinham um kernel corrigido até 1º de novembro.
Segundo os autores, sistemas jurídicos podem ter "vulnerabilidades" dormentes, que um atacante poderia usar um LLM para encontrar e explorar. O exemplo apresentado vem do sistema jurídico alemão, que exige que regulamentos executivos citem sua base legal. Os autores mostram uma seleção de regulamentos com dispositivos sem as devidas citações, o que poderia torná-los nulos e inexequíveis.
O FOD Financiën, órgão responsável pelas finanças da Bélgica, tirou do ar os serviços MyMinfin, Tax-on-web e Biztax após um ciberataque. Até o momento, não há indícios de vazamento de dados, mas as investigações seguem em andamento.
Um cliente da Indonésia relatou ter encontrado uma placa de circuito extra, com um modem celular, dentro de um Trezor Safe 5 comprado da CryptoBilis, antiga revendedora do Sudeste Asiático. A informação consta em publicação no blog da Trezor.
