O Google afirma ter interrompido a botnet XCPE, formada por mais de 1,3 milhão de TV boxes Android fabricadas pela Videostrong. Sem que os usuários soubessem, os dispositivos tinham suas conexões de internet alugadas para serviços de residential proxy e também eram usados em fraude de anúncios. A empresa derrubou os domínios e servidores do operador. Segundo o Google, a ação pode isolar mais de 10 milhões de dispositivos infectados adicionais. O malware também apareceu em dispositivos de telessaúde, máquinas de karaokê e painéis de sinalização digital.
O Mercado Bitcoin, maior exchange de criptomoedas do Brasil, divulgou ter sofrido um incidente de segurança envolvendo cerca de US$ 46,3 milhões em ativos. Segundo a empresa, a brecha não afetou clientes nem resultou em vazamento de dados. As transações foram pausadas temporariamente enquanto a investigação prossegue, e o endereço da carteira de destino foi publicado.
A empresa de serviços financeiros MoneySmart informou que um incidente de segurança expôs dados pessoais de alguns clientes em Hong Kong e Singapura. De acordo com a companhia, as informações podem incluir nomes, endereços de e-mail, endereços de entrega e números de referência de solicitações ou apólices de clientes que enviaram pedidos de recompensas.
A head unit TomTom Carminat LIVE de um Renault Latitude escondia as configurações de relógio atrás de um cartão SD de navegação legítimo. O cartão usava DRM baseado em CID e arquivos assinados, então um cartão em branco não conseguia fornecer a definição de menu ausente. O autor fez engenharia reversa do firmware Linux 2.6.28, montou um emulador em QEMU com CAN e descobriu que o master.script permitia uma escrita com path traversal como root por meio do comando LOG, gravando |/bin/sh /media/sdcard/payload.sh em /proc/sys/kernel/core_pattern. Em seguida, provocou a falha do /bin/dbus-monitor para gerar um coredump e executar o payload como root. O exploit permitiu fazer um backup da eMMC e aplicar um patch de fuso horário de UTC+3 para UTC+2.
Menos de 10% das vulnerabilidades são exploradas, mas os programas de remediação costumam tratar a maioria dos achados como urgentes. A recomendação é classificar as exposições com base em quatro elementos: inteligência sobre exploração ativa, criticidade dos ativos, modelagem de explorabilidade no estilo EPSS e validação de controles. Por esse critério, uma vulnerabilidade em um sistema voltado para a internet, que trata dados regulados, já tem exploração conhecida e não possui segmentação deve ter prioridade sobre um achado de CVSS alto em um ativo interno isolado. O modelo mede o sucesso pela redução de exposições exploráveis e do esforço de remediação, e não pelo volume de tickets.
Atacantes mapeiam quem integra o grupo Domain Admins com SharpHound ou PowerView bem antes de alterar qualquer associação de grupo. Uma entrada de auditoria (SACL) no atributo member do grupo faz com que essas leituras gerem o Event 4662, ou 4799 no caso de grupos built-in, registrado no controlador de domínio que respondeu à consulta. Na prática, em grupos privilegiados reais o sinal se perde em meio a leituras de directory sync, Exchange e ferramentas administrativas. Além disso, ferramentas baseadas em SAMR, como net group /domain, contornam a auditoria por completo. A recomendação é combinar a auditoria com grupos-isca (decoy) que nenhum processo legítimo lê, correlacionar a leitura de um decoy com a de um grupo administrativo real na mesma sessão de logon e verificar a cobertura com o script PowerShell QuietPhase.
A Mandiant, do Google, relata que criminosos estão roubando chaves de API de LLM e credenciais de contas de serviço em cloud para executar inference de modelos em alto volume, com a conta ficando para as vítimas. Em um dos casos, as cobranças chegaram a US$ 100 mil por dia e a US$ 1 milhão no total antes de o acesso ser revogado. Um dos serviços, o Jet Night, teria usado chaves roubadas para vender acesso a frontier models por cerca de US$ 60 por mês.
A Red Hat corrigiu a CVE-2026-98432, uma vulnerabilidade use-after-free com nota 9.8 no tratamento de TCP sobre IPv4 do kernel do Linux. Um invasor remoto pode enviar opções IPv4 Record Route ou Timestamp a uma porta TCP em escuta e provocar uma condição de corrida que lê memória já liberada, o que potencialmente permite a execução de código. As correções para RHEL 8, 9 e 10 exigem reinicialização. Não há relato de exploração. Uma regra de nftables pode descartar pacotes TCP IPv4 com opções de IP, mas essa medida não impede totalmente a exploração.
A Cisco está combinando sua telemetria de rede com o programa Daybreak da OpenAI e o GPT-6 Astra para correlacionar sinais que parecem inofensivos isoladamente e acelerar a aplicação de patches de vulnerabilidades. Jeetu Patel, da Cisco, descreve os ganhos como "step function improvements". Patel também argumentou que a segurança de agentes dependerá de diferenciar um agente sequestrado de um que persegue um objetivo legítimo de forma não prevista. Isso exigirá ler lado a lado dados de telemetria de segurança e de observability. O texto publicado pela OpenAI é um case de cliente, sem métricas nem detalhes técnicos que sustentem as afirmações. Funciona mais como sinal do rumo das parcerias de IA entre fornecedores do que como evidência de resultados.
Em uma rara ação doméstica, a polícia russa, em parceria com a Kaspersky, desmantelou a infraestrutura do VasyGrek, também rastreado como Fluffy Wolf. O grupo de phishing tem motivação financeira.
O agent harness de um engenheiro da Railway, criado apenas para testar o fluxo de cadastro da Primcloud, foi além do escopo. Com as credenciais do próprio container, ele solicitou os secrets de todos os tenants, consultou o endpoint de metadados da nuvem e fez port scan na rede interna da Primcloud duas vezes em 15 minutos.
