Uma campanha de phishing explorou o fluxo de código de dispositivo OAuth 2.0 da Microsoft, enganando vítimas para visitarem páginas hospedadas em Cloudflare Workers que imitavam o Adobe Acrobat Sign, utilizando domínios de remetentes comprometidos por BEC. A campanha automaticamente copiava um código de dispositivo gerado pelo atacante para a área de transferência e redirecionava as vítimas para o portal legítimo microsoft.com/devicelogin para coletar tokens. O backend do atacante consulta o endpoint de código de dispositivo da Microsoft a cada 3 segundos, troca o código completado por tokens OAuth de acesso e refresh com escopo para o Microsoft Graph, e então redireciona as vítimas silenciosamente para adobe.com, não deixando sinais de comprometimento. Indicadores de Compromisso (IOCs) de 23 subdomínios workers.dev, juntamente com endereços de remetentes suspeitos incorporados em nomes de conta, foram publicados. Profissionais de defesa devem procurar por eventos de autenticação de código de dispositivo nos Entra SigninLogs, filtrando por `AuthenticationProtocol == "deviceCode"`. Eles também devem sinalizar autenticações de código de dispositivo pela primeira vez sem histórico anterior de 30 dias (`ResultType == 0`) e alertar sobre URLs workers.dev em e-mails recebidos que estejam ligados a eventos de autenticação do mesmo usuário.
CEVIU News
As melhores notícias de tecnologia, curadas diariamente para quem vive tech.
599 notícias encontradas
O grupo ShinyHunters está explorando configurações de usuário convidado (guest-user settings) mal configuradas no Salesforce Experience Cloud e uma ferramenta Aura Inspector customizada para exfiltrar dados em massa de centenas de instâncias de CRM de diversas organizações . O objetivo é extorquir as vítimas, ameaçando vazar as informações roubadas. A Salesforce reforça que sua plataforma não apresenta vulnerabilidades, atribuindo a responsabilidade à higiene de configuração dos clientes e às integrações de terceiros, o que torna a revisão rigorosa de acessos e o endurecimento das contas de convidados medidas urgentes .
Um comprometimento da conta de um funcionário de um provedor de serviços dos EUA, resultante de um ataque de vishing, expôs dados sensíveis de 15.661 pessoas ligadas à Ericsson. As informações vazadas incluíam IDs, números de Social Security e, em alguns casos, detalhes financeiros e médicos. ️
Agentes de IA são sistemas altamente flexíveis e adaptáveis que podem afetar o mundo externo através de efeitos colaterais. Para proteger eficazmente esses workflows, é crucial adicionar uma 'caixa' determinística ao redor do agente. Em um ambiente de nuvem, esses agentes podem operar em um AgentCore Runtime, que emprega um AgentCore Gateway para restringir o acesso do agente fora dessa 'caixa'. Além disso, uma AgentCore Policy pode ser usada para conceder ao agente autorização para utilizar ferramentas específicas de maneira controlada.
As trusts unidirecionais de florestas Active Directory são amplamente consideradas como impondo um modelo de acesso estrito e unidirecional. No entanto, senhas de trust armazenadas silenciosamente comprometem essa fronteira. Ao extrair o segredo do objeto de domínio confiável (TDO) da floresta confiante, atacantes com direitos de Domain Admin podem derivar chaves Kerberos para a TRUST_ACCOUNT na floresta confiável e fazer login como um usuário de domínio válido. A nova ferramenta tdo_dump.py automatiza a extração remota e a derivação de chaves via chamadas de replicação DRS, possibilitando LDAP recon, criação de contas de computador e Kerberoasting através do que deveria ser uma barreira de segurança unidirecional. Para equipes de segurança, designs de 'floresta de administração' unidirecionais não garantem mais a direcionalidade. O hardening deve assumir que o comprometimento de uma floresta dependente pode dar um ponto de apoio de volta para a floresta de gerenciamento.
A Doyensec mapeou a superfície completa de ataque do OAuth 2.0/registro dinâmico de clientes em implantações MCP . Isso abrange envenenamento de ferramentas (tool poisoning), "rug pulls", envenenamento de esquemas (schema poisoning), prompt injection via respostas de ferramentas, command injection (CVE-2025-53100, CVE-2025-53818), manipulação de metadados de SSO (CVE-2025-4144, CVE-2025-4143), DNS rebinding contra servidores WebSocket localhost não autenticados e abuso de endpoints de descoberta OIDC. O modelo de autorização empresarial Identity Assertion JWT Authorization Grant (JAG) proposto introduz quatro riscos não resolvidos : ausência de um caminho de revogação de tokens para agentes com comportamento inadequado, escalonamento de escopo impulsionado por LLMs sem consentimento do usuário, emissão indefinida de credenciais de cliente que permite colisão de namespace de escopo e injeção de identificadores de recurso, e replay de ID-JAG que amplifica o raio de explosão (blast radius) entre múltiplos tokens de acesso MCP. Equipes de segurança que auditam implantações MCP devem tratar cada etapa da cadeia de autorização como um ponto de injeção e priorizar ancoragens de confiança baseadas em mTLS/certificados, namespacing de recursos rigoroso, invalidação centralizada de acesso e barreiras de consentimento explícitas por ação para chamadas de ferramentas de alto risco.
A extensão de Chrome em destaque ShotBird (ID: gengfhhkjekmlejbhmmopegofnoifnjp) foi comprometida após uma transferência de propriedade entre dezembro de 2025 e março de 2026, transformando-se em um canal de malware controlado remotamente. Esta extensão enviava dados para api.getextensionanalytics.top, removia os cabeçalhos CSP/X-Frame-Options via rules.json declarativas, injetava iscas de atualização falsas do Chrome e exfiltrava dados de formulário, incluindo senhas, dados de cartão/CVV, IBAN e campos de SSN. O caminho de entrega do arquivo instalou googleupdate.exe (SHA256: E8D2ED43...), um bootstrapper WiX Burn que empacotava um ChromeSetup.exe legítimo assinado pelo Google, juntamente com um stager psfx.msi que decodificava para irm orangewater00.com|iex. O PowerShell Script Block Logging (Event ID 4104) reconstruiu uma segunda etapa a partir de 115 fragmentos, revelando a supressão de ETW via PSEtwLogProvider, enumeração do Windows Credential Manager, direcionamento de dados de Login e Web Data do Chromium, e rotinas de exfiltração. Padrões de infraestrutura e endpoints se sobrepõem a uma campanha paralela envolvendo a extensão QuickLens, documentada pela Annex Security.
Kit de hacking para iPhone usado por espiões russos provavelmente veio de contratada militar dos EUA
O kit de exploit de iPhone de 23 componentes, apelidado de "Coruna", que visa do iOS 13 ao 17.2.1, foi rastreado por ex-funcionários e pesquisadores da iVerify até a divisão Trenchant da L3Harris. Este kit foi originalmente construído para clientes de inteligência do grupo Five Eyes. ️️ Peter Williams, ex-GM da Trenchant, sentenciado a sete anos no mês passado, vendeu oito ferramentas da empresa ao broker russo de zero-day Operation Zero por US$ 1,3 milhão. Este evento provê um caminho provável pelo qual o Coruna chegou ao grupo de espionagem russo UNC6353 e, mais tarde, a cibercriminosos chineses. Além disso, dois exploits do Coruna (Photon e Gallium) foram associados à Operation Triangulation, uma sofisticada campanha de iOS revelada pela Kaspersky em 2023.
O Taskflow Agent, open source do GitHub Security Lab, utiliza um pipeline LLM de múltiplos estágios, modelagem de ameaças, sugestão de problemas e auditoria completa, para detectar desvios de autenticação de alto impacto, IDORs e falhas lógicas com uma baixa taxa de alucinação. Ele já identificou mais de 80 vulnerabilidades em mais de 40 repositórios até o momento. Dos 1.003 problemas sugeridos, apenas 21% atenderam aos critérios para relatórios impactantes, com as falhas de lógica de negócios apresentando a maior taxa de true-positive (25%), e os problemas de IDOR superando os casos combinados de XSS e CSRF. Entre as descobertas confirmadas notáveis estão uma escalada de privilégios no Outline (CVE-2025-64487), exposição de PII no WooCommerce (CVE-2025-15033) e Spree (CVE-2026-25758), e um desvio de autenticação universal na camada DDP de microsserviços do Rocket.Chat (CVE-2026-28514) causado por um await ausente em uma Promise de bcrypt.
Um site fraudulento do CleanMyMac está utilizando uma técnica de engenharia social no estilo ClickFix para enganar usuários de macOS. A tática consiste em induzi-los a colar um comando malicioso no Terminal, o que instala silenciosamente o SHub Stealer, contornando o Gatekeeper por completo. Uma vez ativo, o stealer coleta credenciais do Keychain do macOS através de um prompt de autenticação de sistema falso e tem como alvo as carteiras Exodus, Atomic Wallet, Ledger Live e Trezor Suite para extração de seed-phrases. A persistência do SHub Stealer é garantida por um LaunchAgent disfarçado de atualizador de software do Google, que é executado a cada minuto. Um detalhe técnico relevante é que layouts de teclado em russo ativam a autoexclusão imediata do malware, um indicador comum de que a origem cibercriminosa está ligada à Rússia. ️
A gigante sueca de telecomunicações Ericsson divulgou ter sofrido uma violação de dados que afetou mais de 16 mil indivíduos , cujas informações estavam sob a custódia de um provedor de serviços terceirizado. Os dados comprometidos incluem nomes, endereços, SSNs, números de carteira de motorista, números de identificação emitidos pelo governo, informações financeiras, informações médicas e datas de nascimento. Nenhum grupo de cibercriminosos reivindicou a violação até o momento , o que sugere que o terceiro pode ter pago o resgate ou que os cibercriminosos não conseguiram vincular os dados à Ericsson ️.
Agências de inteligência holandesas alertam oficiais, militares e jornalistas sobre uma nova campanha de engenharia social conduzida por atacantes apoiados pela Rússia. O objetivo é obter acesso às suas contas Signal e WhatsApp, utilizando mensagens de phishing elaboradas que solicitam códigos de verificação de segurança e PIN dos usuários. Os atacantes frequentemente se disfarçam como um chatbot de suporte do Signal ou exploram o recurso de dispositivos vinculados para enganar as vítimas.
A vulnerabilidade CVE-2026-27944 (CVSS 9.8) no Nginx UI expõe o endpoint não autenticado `/api/backup` ️, vazando a chave de criptografia AES-256 e o IV através do cabeçalho de resposta `X-Backup-Security`. Isso permite a descriptografia completa de backups sem credenciais. Uma exploração bem-sucedida concede credenciais de administrador, tokens de sessão, chaves privadas SSL, configurações do Nginx e segredos de banco de dados, dando aos atacantes controle total sobre a interface de gerenciamento e a infraestrutura mapeada. Um PoC está disponível . As organizações devem restringir as interfaces de gerenciamento a redes privadas ou VPNs e aplicar IP allowlisting e MFA (autenticação multifator) .
A Acronis TRU descobriu um aplicativo trojanizado de alerta de foguetes Red Alert, distribuído via SMS e que se passava pelo Comando da Frente Interna de Israel. Atribuído ao grupo Arid Viper (APT-C-23), o APK malicioso foi detectado em 1º de março e solicita 20 permissões, incluindo 6 sensíveis. Ele coleta localização GPS, conteúdo de SMS/OTP, listas de contatos, aplicativos instalados e contas registradas. O aplicativo utiliza spoofing de certificado para se mascarar como uma instalação legítima do Google Play. Esta campanha se alinha a um padrão mais amplo de operações de spyware móvel baseadas em iscas geopolíticas, já ligadas à região, incluindo um exploit quase idêntico do Red Alert documentado pela Cloudforce One em outubro de 2023. ️
O sistema de admissão SparK da Sri Krishna College of Engineering and Technology expôs 4.110 registros de estudantes. Isso ocorreu porque suas APIs de admissão careciam de autenticação, permitindo o acesso via cookies de login definidos manualmente. Ao criar dois cookies e extrair um GUID válido de um oficial de admissão de uma resposta de busca de estudante, pesquisadores conseguiram se passar completamente por um oficial e acessar dashboards sensíveis. Os dados expostos incluíam IDs, detalhes médicos, informações religiosas e étnicas, notas, dados de renda e documentos privados de estudantes e pais, todos acessíveis com apenas um navegador. Após uma divulgação coordenada através do CERT-IN da Índia, a SKCET retirou o site vulnerável do ar em uma semana e o restaurou posteriormente com a falha corrigida.
As propostas de lei SB 26-051 do Colorado, AB 1043 da Califórnia e S8102A de Nova York impõem requisitos de verificação de idade para sistemas operacionais. Essas regulamentações são consideradas trivialmente contornáveis e potencialmente prejudiciais para ecossistemas de computação aberta. Elas se baseiam em auto-declaração, que crianças simplesmente irão mentir para contornar. A versão de Nova York agrava a situação ao exigir verificação de identidade por terceiros apenas para usar um dispositivo conectado à internet, eliminando efetivamente a privacidade. ️ Distribuições Linux que se recusarem a emitir um sinal de faixa etária correm o risco de proporcionar uma experiência de internet degradada aos seus usuários. A System76 argumenta que a única solução duradoura é a educação em letramento digital, em vez de meros controles de acesso.
O BoryptGrab é um stealer de informações em C/C++ disseminado através de mais de 100 repositórios enganosos no GitHub, que se fazem passar por ferramentas gratuitas.
Agentes de codificação de IA devem duplicar as submissões de bug bounty em 2026 . No entanto, à medida que empresas implementam internamente as mesmas ferramentas para revisão contínua de código e testes black-box, programas externos provavelmente enfrentarão um declínio acentuado em achados viáveis dentro de um a dois anos .
A CVE-2025-38617, uma vulnerabilidade `use-after-free` de 20 anos no subsistema `AF_PACKET` (net/packet/af_packet.c) do kernel Linux, presente desde o Linux 2.6.12 e corrigida na versão 6.16, permite a qualquer usuário não privilegiado com `CAP_NET_RAW` (obtido via `user namespaces`) escalar privilégios completos e realizar fuga de container. A causa raiz reside em um `WRITE_ONCE(po->num, 0)` condicional que zera o número do protocolo apenas quando o socket já estava em execução. Isso deixa uma janela onde um evento `NETDEV_UP` pode registrar novamente o hook do protocolo enquanto `packet_set_ring()` está no meio de um processo de liberação. O exploit estende essa condição de corrida de nanossegundos para uma janela determinística de um segundo, pré-adquirindo o `pg_vec_lock` através de uma chamada `tpacket_snd()` com sleep. Em seguida, utiliza um atraso de filtro BPF e uma interrupção da fila de espera `timerfd` com 720.000 entradas para vencer a segunda corrida. O ataque resultante, em cinco estágios, encadeia um `page overflow` em corrupção de `simple_xattr`, leitura/escrita de heap via sobreposição de array `pgv`, leitura/escrita arbitrária de página através de um par de `ring buffers` master-puppet, bypass de KASLR via recuperação de ponteiro `anon_pipe_buf_ops` e, finalmente, escalonamento de privilégios via `syscall patching`, superando as mitigações `CONFIG_RANDOM_KMALLOC_CACHES` e `CONFIG_SLAB_VIRTUAL`.
Pesquisadores da Trail of Bits identificaram que os amplamente utilizados pacotes pyaes e aes-js empregavam Initialization Vectors (IVs) padrão em suas documentações, o que pode levar a aplicações vulneráveis. A equipe contatou ambos os projetos, mas não obteve resposta, descobrindo que os mantenedores do pyaes haviam ignorado um chamado sobre a vulnerabilidade em 2022. Em contraste, a resposta da StrongMan VPN foi destacada. Após ser notificada sobre o uso da biblioteca pyaes vulnerável, a VPN substituiu integralmente a biblioteca e migrou para o modo GCM-SIV do AES, considerado mais seguro.