O Paquistão anunciou uma mudança significativa na forma como avalia a formação de profissionais de tecnologia. A Higher Education Commission (HEC) decidiu implementar um exame nacional de competências para estudantes de cursos de Tecnologia da Informação (TI), com o objetivo de verificar se os formandos realmente possuem habilidades práticas demandadas pelo mercado de trabalho. Batizado de National Skill Competency Test, o exame foi apresentado oficialmente nesta semana e deverá ser aplicado nos períodos finais da graduação. Segundo a HEC, a iniciativa busca “alinhar os resultados acadêmicos às demandas em rápida evolução do setor global de tecnologia”. As universidades foram orientadas a garantir que todos os alunos de cursos de TI realizem a prova. A nova avaliação conta com o apoio direto do primeiro-ministro do país, do Ministry of Technology and Telecommunication, do Pakistan Software Export Board e da Pakistan Software Houses Association, sinalizando um esforço coordenado entre governo, academia e setor privado. Estudantes com melhor desempenho no exame terão prioridade em programas de estágio, aprendizagem profissional (apprenticeships) e certificações da indústria. Além disso, a HEC pretende ranquear as universidades com base no desempenho médio de seus alunos, criando um novo indicador de qualidade educacional voltado à empregabilidade. Embora a comissão participe diretamente da definição dos currículos universitários o que pode limitar o uso do ranking como avaliação exclusiva das instituições —, especialistas apontam que o modelo pode funcionar como um termômetro real da efetividade do ensino, indo além do conteúdo teórico. A decisão ocorre em um contexto estratégico. Com mais de 240 milhões de habitantes, o Paquistão enfrenta uma crescente demanda interna por profissionais de tecnologia e, ao mesmo tempo, tenta se consolidar como exportador de serviços de TI. O governo vê o setor como um vetor-chave de crescimento econômico. Nos últimos anos, o país também incentivou trabalhadores de tecnologia a atuarem como freelancers em plataformas globais, estimando, em 2020, que essa estratégia poderia gerar até US$ 5 bilhões por ano. No entanto, até 2025, a receita anual de serviços de TI ficou em cerca de US$ 3,8 bilhões, valor inferior ao faturamento anual de cada uma das grandes empresas indianas do setor, como Infosys, TCS, HCL e Wipro. O debate entre formação teórica versus experiência prática não é novo. Acadêmicos defendem que uma base sólida em ciência da computação permite maior adaptabilidade ao longo da carreira, enquanto empresas de tecnologia argumentam que habilidades práticas e familiaridade com ferramentas reais são essenciais para a empregabilidade imediata. Ao criar um exame nacional focado em competências, o Paquistão decidiu, literalmente, colocar essas visões à prova.

A revolução digital chegou aos laboratórios e fábricas do setor farmacêutico brasileiro. Pesquisas se aceleraram, ensaios clínicos ganharam precisão e a distribuição de medicamentos se tornou mais eficiente. Mas essa mesma conexão que nos move para frente abriu uma porta dos fundos perigosa. Hoje, um inimigo invisível está de olho em algo que vale mais do que dinheiro: nossos dados mais estratégicos, que agora são negociados como mercadoria nos cantos mais sombrios da internet. Conhecemos bem o "crime do jaleco", o uso indevido de dados de pacientes. No entanto, dentro da indústria, o alvo é diferente e igualmente sensível. Imagine a fórmula de um novo medicamento, anos de pesquisa, detalhes de produção ou o mapa logístico de uma distribuição crítica. Esses segredos não são apenas dados; são a própria competitividade, a segurança e a inovação de uma empresa. Quando vazam, o prejuízo vai muito além do digital. Os números globais são um alerta. O relatório da IBM de 2025 mostra que cada vazamento de dados no setor farmacêutico custa, em média, US$ 4,61 milhões. Esse valor impressionante reflete o caos operacional, as multas e, principalmente, a erosão da confiança — um ativo que leva anos para construir e segundos para perder. E os ataques não dão trégua. O ransomware, que sequestra sistemas e cobra resgate, continua a crescer, especialmente em setores que guardam informações valiosas. A indústria farmacêutica está, infelizmente, na linha de frente. O pior é que o impacto é palpável: se dados logísticos de medicamentos controlados vazam, o risco pode se tornar físico, com desvios de carga e até desabastecimento que afetam diretamente quem precisa de tratamento. A vulnerabilidade, muitas vezes, está onde menos se vê: na nossa cadeia de parceiros. Terceirizados de TI e logística compartilham nossos sistemas, e credenciais de acesso vazadas (há empresas com mais de mil expostas na web) são a chave que os criminosos usam para invadir. É como trancar a porta da frente e deixar a dos fundos escancarada. Um caso emblemático e público que ilustra a gravidade do problema foi o ataque de ransomware NotPetya à Merck & Co. em 2017. O ataque paralisou a infraestrutura global da farmacêutica, interrompendo pesquisas, fabricação e distribuição, e causou prejuízos estimados em bilhões de dólares. Recentemente, em 2024, um novo ataque a uma grande empresa de pesquisa com operações no Brasil (cujo nome foi mantido em sigilo pela investigação) forçou novamente a migração para processos manuais. Esses episódios são lembretes brutais de como nossa operação depende de um ambiente digital seguro e de como a ameaça é persistente e evolui constantemente. Por trás de toda tecnologia, existe uma relação de confiança. Pacientes confiam em seus remédios, médicos em seus fornecedores, e a indústria nos reguladores. Quando um vazamento ocorre, esse pacto é quebrado, e reconstruí-lo é uma jornada longa e dolorosa. A solução, então, não está apenas em firewalls ou criptografia. Está nas pessoas. Uma governança clara, treinamento constante e o princípio de dar acesso apenas ao necessário são a base de tudo. Tecnologia avançada sem uma cultura de segurança é como um carro esportivo sem freios. E quando, apesar de tudo, o incidente acontece, a forma de agir define o futuro. Transparência, comunicação ágil com autoridades e parceiros, e uma postura responsável são o antídoto que mitiga os danos e mostra a maturidade de uma instituição. Proteger dados na farmacêutica, no fim das contas, é muito mais do que segurança da informação. É proteger vidas que dependem de medicamentos, é garantir que a inovação chegue com integridade aos que precisam, e é honrar a missão ética que guia o setor. Em um mundo cada vez mais conectado, tratar a cibersegurança com o mesmo rigor de um protocolo de pesquisa não é mais uma opção — é uma obrigação moral e estratégica. Por - Denis Furtado

A Microsoft corrigiu uma vulnerabilidade de execução remota de código (RCE) no Bloco de Notas do Windows 11 que permitia a execução de programas locais ou remotos sem qualquer alerta de segurança do sistema. A falha explorava o suporte a Markdown, recurso recentemente incorporado ao aplicativo. O problema, identificado como CVE-2026-20841 , foi corrigido nas atualizações do Patch Tuesday de fevereiro de 2026 e afetava versões do Bloco de Notas até a 11.2510. A vulnerabilidade permitia que invasores executassem arquivos maliciosos ao induzir a vítima a clicar em links especialmente criados dentro de arquivos .md. Desde o lançamento do Windows 11, a Microsoft reformulou o tradicional Bloco de Notas para substituir o antigo WordPad, que foi descontinuado. O novo Notepad passou a oferecer suporte a Markdown, permitindo abrir, editar e salvar arquivos .md, além de exibir textos formatados e links clicáveis. Segundo o boletim de segurança da Microsoft, a falha envolvia injeção de comandos (command injection) por meio da neutralização inadequada de elementos especiais em links. Na prática, um invasor poderia criar um arquivo Markdown contendo links como: file://caminho/arquivo.exe ms-appinstaller:// Outros protocolos não HTTP/HTTPS Ao abrir o arquivo no modo Markdown e pressionar Ctrl + clique sobre o link, o Bloco de Notas executava automaticamente o programa associado sem exibir qualquer aviso do Windows. A vulnerabilidade permitia que: Arquivos locais fossem executados diretamente; Programas hospedados em compartilhamentos SMB remotos fossem iniciados; URIs especiais do Windows fossem acionadas silenciosamente. O código malicioso era executado com os mesmos privilégios do usuário que abriu o arquivo, o que poderia resultar em comprometimento total da máquina caso a vítima tivesse permissões administrativas. A descoberta foi atribuída aos pesquisadores Cristian Papa , Alasdair Gorniak e Chen . Após a divulgação, especialistas rapidamente demonstraram como era simples criar um arquivo test.md com um link malicioso funcional. Correção implementada pela Microsoft A Microsoft corrigiu o problema alterando o comportamento do aplicativo. Agora, ao clicar em links que não utilizam os protocolos http:// ou https://, o Notepad exibe um alerta de segurança antes de permitir a execução. Protocolos como: file: ms-settings: ms-appinstaller: mailto: ms-search: passaram a gerar uma caixa de diálogo solicitando confirmação do usuário. Apesar da correção, especialistas questionam por que a Microsoft não bloqueou totalmente protocolos não padrão, uma vez que ainda é possível explorar engenharia social para convencer usuários a clicar em “Sim”. A boa notícia é que o Bloco de Notas do Windows 11 é atualizado automaticamente pela Microsoft Store, reduzindo significativamente o impacto da falha após a aplicação do patch.

Uma nova operação de botnet batizada de SSHStalker chamou a atenção da comunidade de segurança ao combinar técnicas clássicas com uma execução operacional altamente disciplinada. A campanha utiliza o protocolo IRC (Internet Relay Chat) como canal de comando e controle (C2), além de explorar vulnerabilidades antigas do kernel Linux algumas datadas de 2009 e 2010 para comprometer servidores desatualizados. A análise conduzida pela empresa Flare revela que o grupo por trás da operação mantém um vasto arsenal de exploits voltados para versões Linux 2.6.x. Embora essas falhas tenham pouco impacto em ambientes modernos devidamente atualizados, elas continuam eficazes contra infraestruturas legadas e sistemas esquecidos um cenário ainda comum em ambientes corporativos e servidores expostos na internet. Como o SSHStalker funciona O SSHStalker combina a mecânica tradicional de botnets baseadas em IRC com uma operação automatizada de comprometimento em massa. Um dos principais componentes é um scanner desenvolvido em Golang, projetado para varrer a porta 22 (SSH) em busca de servidores expostos. Ao identificar um alvo vulnerável, o malware instala diferentes cargas maliciosas e integra o sistema comprometido a canais de IRC controlados pelo invasor. Diferente de campanhas convencionais que utilizam botnets para ataques DDoS, mineração de criptomoedas ou proxyjacking, o SSHStalker apresenta um comportamento incomum: após a invasão, ele permanece “adormecido”. Não há atividades evidentes de pós-exploração imediata. Essa persistência silenciosa sugere que a infraestrutura comprometida pode estar sendo preparada para uso estratégico futuro, seja para testes, movimentação lateral ou ataques coordenados em larga escala. Entre os recursos identificados estão: Rootkits para garantir furtividade e persistência; Mineradores de criptomoedas; Script em Python capaz de executar um binário chamado “website grabber”, utilizado para roubar credenciais expostas da Amazon Web Services (AWS); O bot EnergyMech, que fornece capacidades de execução remota de comandos via IRC. Técnicas de evasão e persistência A botnet também executa programas em C voltados para limpar registros de conexão SSH (utmp, wtmp e lastlog), reduzindo a visibilidade forense. Além disso, conta com um mecanismo de “keep-alive” que reinicia automaticamente o malware em até 60 segundos caso ele seja encerrado por ferramentas de segurança. O módulo de exploração inclui pelo menos 16 vulnerabilidades distintas do kernel Linux, entre elas: CVE-2009-2692 CVE-2009-2698 CVE-2010-3849 CVE-2010-1173 Essas falhas são consideradas antigas, mas ainda representam risco significativo em ambientes que não aplicam atualizações de segurança de forma consistente. Origem e perfil do grupo hacker Indícios encontrados nos canais de IRC e em listas de configuração sugerem que o grupo possa ter origem romena, com base em padrões linguísticos e apelidos utilizados. A investigação também aponta semelhanças operacionais com o grupo hacker conhecido como Outlaw (também chamado de Dota). Segundo a análise técnica, o grupo não demonstra foco em desenvolvimento de exploits inéditos ou zero-days. Em vez disso, aposta em disciplina operacional, automação em larga escala e reutilização de infraestrutura. A base do malware utiliza linguagem C para os componentes principais, shell scripts para orquestração e persistência, além de Python e Perl para tarefas auxiliares dentro da cadeia de ataque. O que esse caso revela O caso do SSHStalker reforça uma lição importante: ameaças sofisticadas nem sempre dependem de falhas novas ou técnicas inovadoras. Muitas vezes, a exploração eficiente de vulnerabilidades antigas, combinada com automação e organização operacional, é suficiente para criar uma rede de acesso persistente e potencialmente perigosa. Ambientes Linux expostos, especialmente aqueles baseados em versões antigas do kernel, continuam sendo alvos prioritários. A ausência de atividade visível após o comprometimento torna a detecção ainda mais complexa, ampliando o risco estratégico para organizações que não mantêm uma política rigorosa de atualização e monitoramento.

O senador democrata Ron Wyden, um dos parlamentares mais experientes do Senate Intelligence Committee, afirmou ter “ profundas preocupações ” em relação a determinadas atividades conduzidas pela Central Intelligence Agency (CIA). O alerta foi feito por meio de uma carta curta, de apenas duas linhas, cujo conteúdo não detalha a natureza das ações nem os motivos específicos de preocupação. Embora sucinto, o comunicado segue um padrão já conhecido nos bastidores de Washington. Nos últimos anos, Wyden tornou-se famoso por emitir alertas públicos velados sobre programas secretos de vigilância ou interpretações legais controversas, prática que passou a ser informalmente chamada de “sirene de Wyden”. Historicamente, esses avisos antecederam revelações posteriores de irregularidades ou abusos por parte do governo norte-americano. Em resposta, a CIA declarou, por meio de nota citada pela imprensa, que considera “irônico, mas não surpreendente” o descontentamento do senador, classificando a crítica como um “selo de honra”. A equipe de Wyden informou que não poderia comentar o assunto, já que os detalhes permanecem classificados. Como parte de sua função de supervisão da comunidade de inteligência, Wyden está entre os poucos parlamentares autorizados a acessar informações altamente sigilosas sobre programas de vigilância governamental, incluindo operações cibernéticas e de inteligência. No entanto, essas autorizações impõem severas restrições, impedindo-o de compartilhar detalhes mesmo com a maioria de seus colegas no Congresso. Reconhecido como um defensor histórico da privacidade e das liberdades civis, Wyden tornou-se uma das vozes mais observadas por organizações de direitos digitais. Em diversas ocasiões, o senador alertou publicamente sobre práticas que considerava ilegais ou inconstitucionais, mesmo sem poder revelar provas. Em 2011, por exemplo, Wyden afirmou que o governo dos EUA utilizava uma interpretação secreta do Patriot Act, criando um “abismo” entre o que o público acreditava ser a lei e como ela era aplicada internamente. Dois anos depois, o ex-contratado da NSA Edward Snowden revelou que a National Security Agency (NSA) havia usado exatamente essa interpretação para obrigar operadoras como a Verizon a entregar registros telefônicos de milhões de americanos. Desde então, Wyden também denunciou a coleta massiva de conteúdos de comunicações, revelou que o Departamento de Justiça proibiu Apple e Google de informarem usuários sobre exigências secretas relacionadas a notificações push e afirmou que um relatório não classificado da Cybersecurity and Infrastructure Security Agency (CISA) ainda não divulgado contém “detalhes chocantes” sobre ameaças à segurança das operadoras de telecomunicações dos EUA. Especialistas destacam que, em retrospecto, todos os alertas públicos feitos por Wyden acabaram sendo confirmados por investigações jornalísticas ou revelações oficiais. Por isso, mesmo sem detalhes, o novo aviso sobre atividades da CIA já acende um sinal de alerta entre defensores da privacidade e da transparência governamental.

Relatos recentes indicam que o Department of Homeland Security (DHS) tem utilizado intimações administrativas para exigir que empresas de tecnologia entreguem informações de usuários críticos ao governo de Donald Trump. As ações vêm ocorrendo de forma discreta e têm gerado forte preocupação entre organizações de direitos civis e defensores da privacidade. Segundo investigações jornalísticas, o DHS solicitou dados de usuários que administram contas anônimas no Instagram dedicadas a divulgar informações sobre operações do ICE (Serviço de Imigração e Controle de Alfândega) em comunidades locais, além de perfis que criticam políticas do governo ou participam de protestos. Em vários casos, as solicitações buscavam identificar quem está por trás dessas contas. Diferentemente de intimações judiciais que exigem autorização de um juiz com base em indícios de crime, as intimações administrativas podem ser emitidas diretamente por agências federais, sem supervisão judicial. Embora esse tipo de instrumento não permita acesso ao conteúdo de e-mails, buscas online ou dados de localização, ele pode exigir uma grande quantidade de metadados, como horários de login, endereços IP, dispositivos utilizados, e-mails associados e outras informações capazes de revelar a identidade de usuários anônimos. O uso desse mecanismo não é novo, mas, segundo especialistas, sua aplicação para identificar críticos do governo representa um desvio preocupante. A American Civil Liberties Union (ACLU) classificou a prática como parte de uma estratégia mais ampla de intimidação contra pessoas que documentam atividades de imigração ou criticam ações governamentais. Um dos casos mais emblemáticos envolveu a tentativa do DHS de identificar o responsável pela conta @montocowatch , no Instagram, que divulga informações sobre direitos de imigrantes no condado de Montgomery, na Pensilvânia. Advogados do governo enviaram uma intimação administrativa à Meta, alegando que um informante teria denunciado suposto assédio a agentes do ICE. A ACLU, que representou o dono da conta, afirmou que não havia qualquer indício de ilegalidade e que registrar e compartilhar atividades policiais, inclusive de forma anônima, é protegido pela Primeira Emenda. O DHS acabou retirando a intimação sem explicações. Reportagem da Bloomberg apontou que esse não foi um caso isolado. Pelo menos quatro outras tentativas semelhantes de identificar administradores de contas críticas ao governo também foram realizadas por meio de intimações administrativas, todas posteriormente retiradas após ações judiciais. Outro episódio, revelado pelo The Washington Post , mostrou que o DHS utilizou o mesmo instrumento para solicitar dados de um aposentado americano poucas horas após ele enviar um e-mail crítico a um advogado-chefe do departamento. A solicitação foi encaminhada à Google e exigia detalhes extensos, incluindo horários de sessões online, endereços IP, localização física, serviços utilizados e até informações sensíveis como dados de cartão de crédito, carteira de motorista e número de seguridade social. Duas semanas depois, agentes federais visitaram a residência do aposentado para questioná-lo sobre o e-mail ação que os próprios agentes reconheceram não violar nenhuma lei. O Google informou que contestou a intimação por considerá-la excessiva. O DHS, por sua vez, afirmou que possui ampla autoridade legal para emitir intimações administrativas, citando dispositivos legais que regem investigações conduzidas pela unidade Homeland Security Investigations (HSI). No entanto, a agência se recusou a explicar por que buscava dados de críticos do governo ou por que as intimações foram retiradas. O episódio reacende o debate sobre até onde governos podem ir na coleta de dados pessoais e reforça preocupações globais sobre a dependência de grandes empresas de tecnologia dos EUA. Aplicativos com criptografia de ponta a ponta, como o Signal, destacam-se por armazenar o mínimo possível de dados, limitando a capacidade de resposta a esse tipo de solicitação. Para especialistas, o caso ilustra como metadados muitas vezes considerados inofensivos podem ser suficientes para desmontar o anonimato online, levantando sérios questionamentos sobre liberdade de expressão, vigilância estatal e o papel das big techs em regimes democráticos.

As agências federais de segurança da Alemanha emitiram um alerta conjunto sobre uma campanha cibernética sofisticada de phishing realizada por meio do aplicativo Signal, direcionada a políticos, membros das Forças Armadas, diplomatas e jornalistas investigativos na Alemanha e em outros países europeus. O comunicado foi divulgado pelo Bundesamt für Verfassungsschutz (BfV) e pelo Bundesamt für Sicherheit in der Informationstechnik (BSI), que classificaram a atividade como provavelmente conduzida por um ator estatal ou grupo hacker patrocinado por um Estado. Segundo as autoridades, o objetivo da campanha é obter acesso não autorizado a contas de mensageiros, o que permitiria não apenas a leitura de comunicações confidenciais, mas também o comprometimento de redes inteiras de relacionamento, incluindo grupos privados e listas de contatos estratégicos. Um aspecto relevante da ofensiva é que nenhuma vulnerabilidade técnica do Signal é explorada e nenhum malware é instalado. Em vez disso, os invasores abusam de funcionalidades legítimas da plataforma, transformando mecanismos de segurança em vetores de ataque. Os hackers entram em contato direto com as vítimas se passando por “Signal Support” ou por um falso chatbot chamado “Signal Security ChatBot”. Durante a conversa, alegam que a conta da vítima corre risco de perda de dados e solicitam o PIN do Signal ou um código de verificação recebido por SMS. Caso a vítima forneça essas informações, os invasores conseguem registrar a conta em um dispositivo sob seu controle, passando a ter acesso ao perfil, configurações, contatos e lista de bloqueios. Embora o PIN roubado não permita acesso às mensagens antigas, ele possibilita interceptar mensagens futuras e se passar pela vítima em novas conversas. Em uma variação ainda mais grave, os atacantes exploram o recurso de vinculação de dispositivos , induzindo a vítima a escanear um QR Code malicioso. Nesse cenário, os hackers obtêm acesso às mensagens dos últimos 45 dias, além da lista de contatos, sem que a vítima perca o acesso à própria conta permanecendo, muitas vezes, sem perceber a espionagem. As autoridades alertam que esse mesmo método pode ser facilmente adaptado para outros aplicativos de mensagens, como o WhatsApp, que utiliza mecanismos semelhantes de verificação em duas etapas e vinculação de dispositivos. “Uma vez comprometida, uma conta de mensageiro pode servir como porta de entrada para redes inteiras por meio de chats em grupo”, alertaram o BfV e o BSI. Embora os responsáveis não tenham sido oficialmente identificados, ataques semelhantes já foram atribuídos a grupos hackers alinhados à Rússia, como Star Blizzard, UNC5792 (UAC-0195) e UNC4221 (UAC-0185), segundo análises anteriores da Microsoft e do Google Threat Intelligence Group. Em dezembro de 2025, a Gen Digital também descreveu uma campanha semelhante, chamada GhostPairing, que explorava a vinculação de dispositivos do WhatsApp para assumir contas e cometer fraudes. O alerta alemão ocorre em paralelo a outras preocupações de segurança na Europa. O governo da Noruega acusou grupos hackers ligados à China, como o Salt Typhoon, de comprometer organizações explorando dispositivos de rede vulneráveis, enquanto também apontou atividades de espionagem russa contra alvos militares e ações iranianas voltadas ao monitoramento de dissidentes. Autoridades norueguesas destacaram ainda que serviços de inteligência chineses estariam explorando parcerias acadêmicas e projetos de pesquisa para fortalecer capacidades de espionagem, além de utilizar redes profissionais como o LinkedIn para recrutar fontes humanas.

Pesquisadores revelaram um framework avançado de monitoramento de gateway e ataque do tipo adversary-in-the-middle (AitM), batizado de DKnife, que vem sendo operado por hackers ligados à China desde pelo menos 2019. A plataforma é composta por múltiplos implantes voltados a dispositivos Linux e tem como principal objetivo inspecionar pacotes, manipular tráfego de rede e distribuir malware por meio de roteadores e dispositivos de borda. De acordo com a Cisco Talos , o DKnife é formado por sete componentes modulares projetados para realizar inspeção profunda de pacotes (DPI), interceptar comunicações criptografadas, sequestrar downloads legítimos e redirecionar atualizações de aplicativos para cargas maliciosas. A análise indica que os principais alvos são usuários que falam chinês, evidenciado por páginas de phishing para provedores de e-mail chineses, módulos voltados à exfiltração de dados de aplicativos populares como WeChat e referências diretas a domínios de mídia chineses no código. Segundo a pesquisadora Ashley Shen, o framework permite ataques contra PCs, dispositivos móveis e equipamentos de Internet das Coisas (IoT). Ele também é utilizado para distribuir e interagir com backdoors como ShadowPad e DarkNimbus, substituindo downloads binários legítimos e atualizações de aplicativos Android por versões maliciosas durante o trânsito pela rede. A descoberta do DKnife ocorreu durante o monitoramento de outra atividade maliciosa ligada à China, conhecida como Earth Minotaur, associada a ferramentas como o exploit kit MOONSHINE e o backdoor DarkNimbus. Esse mesmo backdoor também já foi atribuído a outro grupo hacker alinhado à China, identificado como TheWizards , ampliando a evidência de reutilização e compartilhamento de ferramentas entre diferentes operações. A análise da infraestrutura revelou conexões entre o DKnife e o WizardNet, um implante Windows utilizado pelo grupo TheWizards por meio de um framework AitM chamado Spellbinder, documentado anteriormente pela ESET. Essas ligações são relevantes porque o grupo TheWizards já foi associado a campanhas contra indivíduos e setores específicos em regiões como Camboja, Hong Kong, China continental, Filipinas e Emirados Árabes Unidos. Diferentemente de outras ferramentas similares, o DKnife foi projetado especificamente para ambientes Linux, explorando sua ampla adoção em roteadores, firewalls e dispositivos de borda. Seu núcleo, o módulo dknife.bin, funciona como o “sistema nervoso central” da operação, sendo responsável pela inspeção de pacotes, monitoramento em tempo real das atividades do usuário, sequestro de downloads binários e ataques de hijacking de DNS tanto em IPv4 quanto em IPv6. Entre as capacidades mais críticas do framework estão a interceptação e substituição de atualizações de aplicativos Android, incluindo apps de notícias, streaming de vídeo, edição de imagens, e-commerce, transporte por aplicativo, jogos e serviços de mensagens. O DKnife também consegue sequestrar downloads de software para Windows e entregar malware por meio de técnicas como DLL side-loading, além de interferir na comunicação de produtos de segurança e ferramentas de gerenciamento, como soluções antivírus chinesas. Outro destaque é o módulo sslmm.bin, que atua como um proxy reverso capaz de encerrar conexões TLS, descriptografar tráfego POP3 e IMAP e capturar credenciais de e-mail em texto claro. As credenciais coletadas são marcadas, encaminhadas a módulos internos e posteriormente exfiltradas para servidores de comando e controle (C2). Para os pesquisadores, o DKnife representa um exemplo claro da evolução dos ataques AitM modernos, que combinam comprometimento de infraestrutura de rede, espionagem em larga escala e entrega seletiva de malware. O uso de roteadores e dispositivos de borda como ponto de controle torna esse tipo de ameaça especialmente perigoso, pois permite observar e manipular o tráfego de múltiplos dispositivos simultaneamente, muitas vezes sem qualquer indício visível para as vítimas.

A plataforma OpenClaw, anteriormente conhecida como Moltbot e Clawdbot, anunciou uma parceria com o VirusTotal, serviço pertencente ao Google, para reforçar a segurança do ClawHub, seu marketplace de skills para agentes de inteligência artificial. A iniciativa surge em meio a crescentes alertas sobre a presença de skills maliciosas explorando falhas inerentes ao ecossistema de IA agentic. Segundo os fundadores Peter Steinberger, Jamieson O’Reilly e Bernardo Quintero, todas as skills publicadas no ClawHub passam agora por análise automática utilizando a inteligência de ameaças do VirusTotal , incluindo o recurso Code Insight, voltado à inspeção estática e comportamental de código. A medida adiciona uma nova camada de proteção para usuários e desenvolvedores da plataforma. O processo envolve a geração de um hash SHA-256 exclusivo para cada skill, que é comparado com a base global do VirusTotal. Caso não haja correspondência, o pacote é submetido à análise aprofundada via Code Insight. Skills classificadas como benignas são aprovadas automaticamente; aquelas consideradas suspeitas recebem alertas; e qualquer skill identificada como maliciosa é bloqueada para download. Além disso, todas as skills ativas passam por reescaneamento diário, permitindo detectar casos em que um componente antes legítimo se torna malicioso ao longo do tempo. Apesar do avanço, os mantenedores da OpenClaw reconhecem que a varredura não é uma solução definitiva. Segundo a empresa, cargas maliciosas sofisticadas especialmente aquelas que exploram prompt injection indireta ou instruções ocultas em linguagem natural ainda podem contornar mecanismos tradicionais de detecção. A parceria com o VirusTotal ocorre após a divulgação de múltiplas análises que identificaram centenas de skills maliciosas no ClawHub , muitas delas disfarçadas como ferramentas legítimas, mas projetadas para exfiltrar dados, implantar backdoors, instalar malware do tipo stealer ou executar comandos remotamente. Como resposta, a OpenClaw também implementou um mecanismo de denúncia para que usuários autenticados possam sinalizar comportamentos suspeitos. Pesquisadores alertam que agentes de IA com acesso ao sistema operacional representam um novo vetor de risco, pois podem atuar como canais furtivos de vazamento de dados, contornando controles tradicionais como DLP, proxies e monitoramento de endpoint. Além disso, modelos de linguagem podem funcionar como orquestradores de execução, onde o próprio prompt se torna a instrução maliciosa, dificultando a detecção por ferramentas convencionais. O crescimento acelerado da OpenClaw um assistente de IA open source capaz de automatizar fluxos, interagir com serviços online e operar diretamente em dispositivos e do Moltbook , uma rede social onde agentes autônomos interagem entre si, ampliou significativamente a superfície de ataque. Especialistas descrevem o cenário como um verdadeiro “cavalo de Troia agentic”, no qual integrações convenientes acabam introduzindo entradas não confiáveis em larga escala. Diversas falhas graves vieram à tona recentemente, incluindo armazenamento de credenciais em texto claro, uso inseguro de funções como eval, ausência de sandboxing por padrão, exposição de APIs em interfaces públicas, prompt injections zero-click e vulnerabilidades que permitiam execução remota de código. Análises indicam que mais de 7% das skills do ClawHub continham falhas críticas, expondo chaves de API e tokens de sessão. O risco é agravado pelo fato de a OpenClaw estar sendo adotada em ambientes corporativos sem aprovação formal de TI ou segurança, criando uma nova categoria de Shadow AI . Como alertam pesquisadores , a questão não é se esses agentes aparecerão nas organizações, mas se as empresas terão visibilidade e controle sobre eles. Diante da gravidade do cenário, autoridades regulatórias e empresas de segurança vêm alertando para a necessidade de modelos de ameaça específicos para IA agentic, controles de identidade robustos, sandboxing obrigatório e limites claros entre intenção do usuário e execução automática. Em ecossistemas onde agentes detêm credenciais para múltiplos sistemas, uma única skill maliciosa pode comprometer toda a cadeia digital do usuário.

A Comissão Europeia notificou oficialmente o TikTok de que a plataforma pode ter violado disposições da Lei de Serviços Digitais (Digital Services Act – DSA) relacionadas ao uso de funcionalidades de design consideradas viciantes. O alerta foi divulgado nesta quinta-feira e representa um avanço significativo no processo regulatório contra grandes plataformas digitais. As conclusões preliminares são resultado de uma investigação iniciada em fevereiro de 2024, que analisou recursos como rolagem infinita (infinite scroll), reprodução automática de vídeos (autoplay), notificações push e o sistema altamente personalizado de recomendação de conteúdo. Segundo a Comissão, esses elementos podem estimular o uso compulsivo da plataforma, especialmente entre crianças e adolescentes. Caso as conclusões sejam mantidas, o TikTok poderá ser multado em até 6% de seu faturamento global anual, uma das penalidades mais severas previstas no DSA. Em comunicado oficial, a Comissão afirmou que, no estágio atual da investigação, considera necessário que a empresa altere o design básico do serviço, incluindo a desativação gradual de funcionalidades viciantes, a implementação de pausas obrigatórias de uso (screen time breaks) inclusive durante a noite e ajustes no algoritmo de recomendação. De acordo com a Comissão Europeia , o TikTok não avaliou adequadamente os riscos que esses mecanismos representam ao bem-estar dos usuários, em especial dos menores de idade. O órgão regulador argumenta que o modelo da plataforma, baseado em recompensas constantes por meio de novos conteúdos, induz os usuários a um comportamento automático de consumo contínuo, reduzindo a percepção do tempo de uso. Outro ponto crítico levantado pela investigação é a ineficiência das ferramentas de controle de tempo de tela e dos controles parentais. Segundo a Comissão, esses recursos são facilmente ignorados, exigem pouco esforço para serem desativados e não criam fricção suficiente para reduzir o uso excessivo. No caso dos controles parentais, o regulador destaca que sua configuração demanda tempo e conhecimento técnico adicionais por parte dos responsáveis, o que limita sua efetividade. A investigação também analisou o chamado “efeito toca do coelho” (rabbit hole effect), no qual os sistemas de recomendação conduzem usuários especialmente menores a conteúdos potencialmente inadequados à sua idade, inclusive quando há declaração incorreta da faixa etária no cadastro. A decisão ainda não é definitiva. O TikTok terá agora a oportunidade de acessar o processo, analisar as evidências e apresentar uma defesa formal por escrito. Em nota, um porta-voz da empresa afirmou que as conclusões preliminares da Comissão apresentam uma visão “categoricamente falsa e sem mérito” da plataforma, e que a companhia utilizará todos os meios legais disponíveis para contestar o caso. O movimento da União Europeia ocorre em meio a um debate global sobre o impacto das redes sociais na saúde mental de crianças e adolescentes. Países como Austrália, Espanha e Reino Unido vêm adotando medidas para restringir ou proibir o uso de redes sociais por menores, ampliando a pressão regulatória sobre grandes empresas de tecnologia.

A Itália informou ter neutralizado uma série de ataques cibernéticos atribuídos a hackers ligados à Rússia que tiveram como alvo missões diplomáticas no exterior e sistemas relacionados aos Jogos Olímpicos de Inverno de 2026. A informação foi confirmada nesta quarta-feira pelo ministro das Relações Exteriores, Antonio Tajani. Segundo o chanceler, as tentativas de ataque atingiram diversas representações do Ministério das Relações Exteriores italiano no exterior, “começando por Washington”, além de infraestruturas ligadas ao evento esportivo, incluindo hotéis localizados na região alpina de Cortina d’Ampezzo, uma das sedes das competições. Detalhes técnicos sobre os incidentes não foram divulgados. De acordo com informações da France 24 , aproximadamente 120 alvos foram afetados, incluindo consulados italianos em cidades como Sydney, Toronto e Paris, além de hotéis que hospedam atletas de esportes de inverno. Apesar da escala, os ataques não causaram impactos significativos nas operações, segundo a emissora. A responsabilidade pelos ataques foi reivindicada pelo grupo hacker NoName057(16), que classificou a ofensiva como uma retaliação ao apoio da Itália à Ucrânia. Em publicação no Telegram, o grupo afirmou que a política pró-Ucrânia do governo italiano seria punida com ataques de negação de serviço distribuída (DDoS). O NoName057(16) surgiu pouco após a invasão em larga escala da Ucrânia pela Rússia, em 2022, e tem concentrado suas ações em países europeus que apoiam Kiev, como Polônia, República Tcheca, Lituânia e Itália. O grupo utiliza principalmente ataques DDoS tecnicamente simples, porém altamente disruptivos mobilizando voluntários e uma rede descentralizada de servidores. Os Jogos Olímpicos de Inverno de 2026 estão programados para ocorrer entre 6 e 22 de fevereiro de 2026, em Milão e na região de Cortina d’Ampezzo. A Rússia foi impedida de competir oficialmente nos Jogos devido à guerra na Ucrânia, embora um número limitado de atletas russos e bielorrussos tenha sido autorizado a participar como neutros, sem bandeiras ou hinos nacionais. Casos semelhantes já foram registrados em edições anteriores. Durante os Jogos Olímpicos de Inverno de 2018, na Coreia do Sul, um grupo hacker ligado ao Estado russo, conhecido como Sandworm (também chamado de APT44 ), comprometeu a infraestrutura de TI do evento com o malware Olympic Destroyer, em uma operação de falsa bandeira. Em 2016, outro grupo hacker associado ao Kremlin, o Fancy Bear , invadiu sistemas da Agência Mundial Antidoping, vazando dados médicos de atletas. Autoridades russas não comentaram publicamente, até o momento, as acusações feitas pela Itália.

A Microsoft definiu oficialmente o cronograma para a desativação e encerramento definitivo do Exchange Web Services (EWS) no Microsoft 365 e no Exchange Online, marcando o fim de uma das APIs mais antigas e utilizadas do ecossistema Exchange. De acordo com a empresa, o EWS será desativado por padrão a partir de 1º de outubro de 2026. Organizações que ainda dependem da tecnologia poderão manter o serviço ativo temporariamente ao configurar o parâmetro EWSEnabled = true até agosto de 2026. No entanto, a Microsoft deixou claro que o encerramento definitivo ocorrerá em 1º de abril de 2027, sem qualquer possibilidade de extensão. O EWS está oficialmente depreciado há anos, e sua aposentadoria foi anunciada pela Microsoft em 2023 . Em 2025, a empresa endureceu ainda mais a transição ao confirmar que determinados tipos de licença, como F1 e F2, não teriam mais permissão para utilizar a API. Criado originalmente no Exchange Server 2007, o EWS permite que aplicações acessem caixas de e-mail e repositórios de dados tanto no Exchange Online quanto no Exchange Server. Ao longo dos anos, a API se tornou amplamente adotada por integradores, soluções de terceiros e aplicações internas, incluindo versões clássicas do Outlook. Ao mesmo tempo, também passou a ser explorada por hackers, tornando-se um vetor frequente de abuso. Após o incidente de segurança envolvendo o grupo Midnight Blizzard, a Microsoft afirmou ter “elevado o nível de urgência” para aposentar definitivamente o EWS, reforçando preocupações relacionadas à superfície de ataque e à segurança da plataforma. A empresa destacou que a aposentadoria afeta apenas o Microsoft 365 e o Exchange Online. O Exchange Server on-premises não sofrerá alterações em relação ao suporte ao EWS. Para ambientes impactados, o cronograma significa que administradores que ainda não iniciaram ou concluíram a migração precisarão agir rapidamente. A recomendação oficial da Microsoft é migrar para o Microsoft Graph, embora a própria empresa reconheça que o serviço ainda está em “quase completa” paridade funcional com o EWS e que nem todas as aplicações internas da Microsoft concluíram a migração. Como forma de identificar dependências ocultas, a Microsoft também informou que poderá realizar “scream tests” temporários, desligando e religando o EWS de forma controlada para expor aplicações que ainda dependem da API. A empresa não detalhou, porém, como os administradores poderão diferenciar esses testes de falhas reais algo sensível em um cenário já marcado por interrupções recorrentes em serviços online. A Microsoft afirmou que mais informações serão divulgadas nas próximas semanas e foi categórica ao encerrar qualquer especulação sobre adiamentos: “Não haverá exceções após abril de 2027.”