Mantenedores de projetos open source podem inscrever seus projetos no serviço de fuzzing contínuo OSS-Fuzz gratuitamente. Embora este processo tenha detectado muitas vulnerabilidades novas, o autor desta publicação descobriu novos bugs em projetos populares devido a limitações como cobertura insuficiente, cobertura inadequada de dependências externas e cobertura insuficiente de funções de codificação no processo de fuzzing. Para mitigar isso, o autor recomenda um processo de fuzzing em cinco etapas ️: preparar o código, aumentar iterativamente a code coverage para idealmente acima de 90%, melhorar a cobertura sensível ao contexto (que depende de estados que um fuzzer pode não alcançar naturalmente), empregar value coverage para descobrir bugs que as entradas do fuzzer podem estar perdendo e, finalmente, tentar focar em bugs de difícil detecção, como aqueles que exigem grandes entradas ou mais tempo.
CEVIU News
As melhores notícias de tecnologia, curadas diariamente para quem vive tech.
19331 notícias encontradas
Dois homens de Connecticut foram indiciados em 45 acusações federais por supostamente usarem cerca de 3.000 identidades roubadas , compradas em mercados da darknet, para criar contas fraudulentas em FanDuel, DraftKings e BetMGM. Eles exploraram bônus promocionais para novos usuários, desviando US$ 3 milhões ao longo de cinco anos.
A Google Research utilizou o prompting de autocorreção iterativa do Gemini para descobrir uma falha em um artigo de criptografia sobre SNARGs para NP a partir de LWE, que revisores humanos não haviam identificado. Este feito destaca o crescente potencial das LLMs como revisores adversariais tanto na pesquisa acadêmica quanto em auditorias de segurança.
Augustus é um scanner de vulnerabilidades de LLMs open-source baseado em Go , projetado para testar modelos contra mais de 210 ataques adversários em 47 categorias. Isso inclui jailbreaks, prompt injection, exploits de codificação, extração de dados e manipulação de agentes. Distribuído como um único binário com suporte para 28 provedores de LLMs, a ferramenta foi inspirada no garak da NVIDIA, mas reimplementada em Go para execução mais rápida e zero dependências de runtime . Augustus apresenta uma arquitetura de pipeline com probes composíveis, transformações de buff (como codificação, paráfrase, poesia e tradução de idiomas de baixo recurso) e mais de 90 detectores, incluindo LLM-as-a-judge e HarmJudge . A ferramenta faz parte da campanha "The 12 Caesars" da Praetorian.
Em novembro de 2025, o Sysdig Threat Research Team (TRT) detectou um comprometimento de conta notável pela progressão do atacante do acesso inicial para privilégios administrativos em apenas 8 minutos, utilizando assistência de LLM . O atacante obteve acesso inicial por meio de credenciais encontradas em um bucket S3 público ️. Em seguida, usou essas credenciais para substituir o código de função Lambda, escalando privilégios, realizando movimentação lateral entre 19 diferentes principals e, por fim, coletando dados sensíveis . Adicionalmente, o Bedrock foi utilizado para acessar LLMs hospedados em nuvem e lançar instâncias de GPU para treinamento de modelos. O artigo oferece recomendações de mitigação para cada etapa da cadeia de exploração do atacante.
O Discord anunciou que, a partir do início de março, os usuários precisarão verificar sua idade por meio de uma selfie ou documento de identidade governamental. As contas dos usuários serão definidas como contas de adolescente por padrão até que a verificação seja realizada. O Discord afirma que o processamento da selfie ocorrerá localmente nos dispositivos dos usuários, que os documentos de identidade governamentais serão excluídos rapidamente por seus processadores terceirizados e que o status de verificação de idade não será visível nos perfis dos usuários.
Os órgãos de segurança da Alemanha, BSI e BfV, alertaram que hackers apoiados por estados estão visando líderes militares, diplomatas e jornalistas em toda a Europa . Eles abusam de recursos legítimos do Signal, como se passar pelo Suporte de Segurança do Signal para roubar PINs e sequestrar contas, ou enganar alvos para que escaneiem QR codes que silenciosamente vinculam dispositivos de atacantes, dando acesso a até 45 dias de histórico de conversas . As campanhas dependem inteiramente de engenharia social, e não de exploits, o que as torna difíceis de detectar com o tooling de segurança tradicional. É crucial que os usuários ativem o Registration Lock, auditem regularmente os dispositivos vinculados e tratem qualquer mensagem não solicitada pedindo códigos de verificação como maliciosa .
Um hacktivista, conhecido como wikkid, exfiltrou e divulgou mais de 500 mil registros de clientes de serviços de stalkerware fornecidos pela empresa ucraniana Struktura. Os dados exfiltrados incluem endereços de e-mail de clientes, o aplicativo ou marca pelo qual o cliente pagou, o valor pago, o tipo de pagamento e os últimos quatro dígitos de números de cartão de crédito. O hacktivista afirmou ter explorado uma “falha trivial” no site do serviço.
Falha Zero-Click RCE em Extensões Claude Desktop Expõe Mais de 10 Mil Usuários a Ataques Silenciosos
Pesquisadores da empresa de segurança LayerX descobriram uma vulnerabilidade crítica (CVSS 10/10) nas Extensões Claude Desktop (DXT) que pode permitir a execução remota de código (RCE) com interação zero do usuário. Essa falha expõe mais de 10 mil usuários a ataques silenciosos, destacando um risco significativo para a segurança de dados e sistemas. ️ No proof-of-concept divulgado pela LayerX, um atacante enviaria à vítima um convite do Google Calendar contendo instruções maliciosas na descrição do evento. A vítima, ao pedir a Claude para gerenciar seu calendário ou verificar eventos, desencadearia a execução dessas instruções. A vulnerabilidade é possibilitada pelo fato de que o Claude DXT executa intencionalmente sem qualquer isolamento, abrindo a porta para explorações diretas.
A Forcepoint X-Labs descobriu que a botnet Phorpiex está distribuindo o ransomware Global Group, um sucessor do Mamona, por meio de phishing emails contendo arquivos .lnk disfarçados de documentos. O ataque utiliza técnicas living-off-the-land, empregando PowerShell e Command Prompt para a entrega do payload. O ransomware opera em um modo silencioso que gera chaves de criptografia localmente com ChaCha20-Poly1305, sem a necessidade de contato com um servidor C2. Isso permite a criptografia de arquivos em máquinas offline e a evasão da detecção baseada em rede. Após a criptografia, o malware se autoexclui, destrói Cópias de Sombra de Volume e adiciona a extensão .reco aos arquivos bloqueados, deixando mínimos artefatos forenses.
A Fortinet corrigiu a CVE-2026-21643, uma vulnerabilidade crítica de injeção de SQL na GUI do FortiClientEMS . Esta falha permite que atacantes remotos não autenticados executem código ou comandos arbitrários por meio da neutralização inadequada de caracteres especiais em queries SQL. A vulnerabilidade afeta a versão 7.4.4 do FortiClientEMS, sendo a versão 7.4.5 o patch de correção, enquanto as versões 7.2 e 8.0 não são afetadas. Apesar de não haver exploração em campo ou proof-of-concept público observado ainda , as organizações devem aplicar o patch com urgência, dada a Fortinet ser historicamente um fornecedor amplamente visado, conforme o Catálogo de Vulnerabilidades Conhecidas e Exploradas da CISA.
A Apple celebrará seu 50º aniversário em 1º de abril. O CEO Tim Cook prometeu "alguma celebração" durante uma reunião interna da empresa, mas os detalhes ainda são incertos. Não está claro se o evento será exclusivo para funcionários ou se incluirá festividades públicas. A empresa pode lançar acessórios especiais de aniversário, como pulseiras temáticas para Apple Watch ou capas para iPhone, mas há a possibilidade de um lançamento ainda maior para marcar este importante marco.
As ferramentas atuais de IA frequentemente falham em alinhar-se com bons princípios de design de ferramentas. Elas apresentam alta latência, com esperas de múltiplos segundos, dependem de descrições textuais em vez de controle manual direto e, muitas vezes, impõem custos ou limites de uso. Este cenário contrasta com o de ferramentas emergentes, como modelos de manipulação de vídeo em tempo real, que oferecem interação imediata, são open-source e permitem que os usuários modelem diretamente as saídas. É crucial que o tooling de IA evolua para sistemas mais rápidos e diretamente manipuláveis, capazes de reduzir a lacuna entre a intenção do usuário e a execução. Isso se tornará ainda mais evidente e possível à medida que os modelos locais continuarem a melhorar, prometendo uma experiência mais fluida e responsiva para o usuário.
A hierarquia tipográfica organiza o texto por importância através de tamanho, peso, cor, espaçamento e posição, permitindo que os usuários escaneiem interfaces de forma eficiente. Uma hierarquia eficaz reduz a carga cognitiva, melhora a escaneabilidade , apoia a tomada de decisões mais rápidas e aprimora a acessibilidade. Erros comuns incluem o uso excessivo de tamanhos de fonte, ênfase exagerada, inconsistência de estilo, contraste inadequado e espaçamento insuficiente.
A Apple estaria se preparando para lançar o Studio Display 2 em breve ️. O novo monitor manterá um design similar, mas trará atualizações internas notáveis , incluindo uma taxa de atualização superior (90Hz ou 120Hz), um chip A19, retroiluminação mini-LED e suporte a HDR. A expectativa é que a atualização chegue no primeiro semestre do ano, embora detalhes sobre preço e conectividade permaneçam desconhecidos .
Hoje, designers de UX precisam compreender dados e métricas para vincular seu trabalho de design ao impacto nos negócios, indo além da simples criação de experiências de usuário intuitivas. É essencial que interpretem analytics, questionem as descobertas dos dados e entendam quando métricas quantitativas não se alinham com a pesquisa qualitativa de usuário. O papel evoluiu de um foco exclusivo na usabilidade para exigir colaboração com equipes de dados e a capacidade de desafiar informações que não contam a história completa do usuário.
A IA Generativa está transformando a identidade de marca, mudando-a de ativos rígidos e fixos para sistemas flexíveis que se adaptam a diferentes contextos . Designers agora atuam como arquitetos de sistemas, definindo restrições, comportamentos e a lógica da marca, em vez de criar ativos individuais. Para uma implementação bem-sucedida, é crucial estabelecer um DNA de marca central claro, definir o que permanece fixo e o que é adaptável, e construir a governança desde cedo, abordando também as considerações éticas relacionadas a viés e inclusão .
A Comissão Europeia divulgou descobertas preliminares de que os recursos viciantes do TikTok, como o 'infinite scroll', reprodução automática e algoritmos personalizados, provavelmente violam as regulamentações da Lei de Serviços Digitais da UE, que visam proteger os usuários, especialmente os menores. Os reguladores alegam que o TikTok falhou em avaliar como essas escolhas de design prejudicam os usuários e ignorou os sinais de alerta de comportamento compulsivo entre crianças que utilizam o aplicativo tarde da noite. Se confirmadas, as infrações podem resultar em multas para o TikTok de até 6% de sua receita global, e a plataforma será obrigada a implementar alterações em seu design. ️
Fãs da Apple descobriram que o emoji de papel contém secretamente a frase de abertura da icônica campanha “Think Different” de 1997.
A Apple registrou vendas recorde de iPhone no último trimestre, impulsionadas principalmente por um aumento na China. A cor 'Cosmic Orange' dos novos modelos iPhone 17 Pro, que remete ao laranja Hermès e enfatiza status e luxo , desempenhou um papel crucial no impulsionamento da demanda.