Para Bruno Nóbrega, CEO do Grupo NTSec, a multiplicação de fornecedores e ferramentas virou um risco tão grave quanto os próprios ataques cibernéticos; integradora projeta faturamento de R$ 700 milhões no próximo ano O Brasil avançou e se consolidou como referência em investimentos em tecnologia e cibersegurança na América Latina, sendo o único país da região classificado no primeiro nível do Global Cyber Security Index. Mas, segundo  Bruno Nóbrega , CEO e fundador do Grupo NTSec , esse avanço trouxe um efeito colateral que precisa ser enfrentado em 2026: a multiplicação de fornecedores, plataformas e ferramentas criou uma complexidade de gestão que representa, hoje, um risco tão significativo quanto os próprios ataques cibernéticos. "Empresas e governos entenderam que precisam investir em proteção e infraestrutura. Mas o mercado, na busca por oferecer soluções cada vez mais especializadas, acabou criando um ambiente onde uma organização pode ter até 60 ferramentas diferentes, de fornecedores distintos, que muitas vezes não conversam entre si", afirma Nóbrega. "Essa pluralidade, que deveria ser uma fortaleza, virou um risco operacional. O foco para 2026 precisa ser simplificação. Não adianta ter a melhor tecnologia do mundo se o time não consegue operá-la de forma eficiente." A visão do executivo é sustentada pela trajetória do Grupo NTSec, integrador de tecnologia e segurança da informação fundado em Brasília em 2007 que se tornou uma das maiores do país no segmento. Em 2025, a empresa consolidou faturamento superior a  R$ 500 milhões , com meta de alcançar  R$ 700 milhões em 2026 . O Grupo atua por meio de quatro verticais especializadas: a  NTSec , focada em cibersegurança e proteção contra ataques digitais; a  InfoSec , dedicada a proteção de dados, tais como backup e criptografia; a  ZivaSec , especializada em conectividade, através de redes corporativas e infraestrutura de TI; e a  CloudSec , voltada para segurança e gestão de ambientes em nuvem. Essa estrutura permite oferecer soluções completas que vão da proteção de dados à modernização de infraestrutura, reduzindo a fragmentação tecnológica nas organizações atendidas. Com quase   400 profissionais  e  nove escritórios  no Brasil, o Grupo NTSec atende mais de  500 clientes públicos e privados , incluindo 22 dos 24 Tribunais Regionais do Trabalho do país e grandes players nacionais de diversos setores, como Hypera Farma, M.Dias Branco, Grupo Mateus e BB. A empresa mantém parceria estratégica de nível Elite com a Check Point, sendo um dos únicos integradores focados em segurança a ostentar essa classificação na América Latina, além de ser Centro de Treinamento Autorizado da HPE Aruba Networking. Para Nóbrega, o desafio de 2026 é garantir que o Brasil mantenha a posição de destaque conquistada. "Somos pioneiros em vários aspectos de governança e investimento em tecnologia. Agora precisamos dar o próximo passo: transformar todo esse investimento em proteção real e eficiente. Simplificar não significa reduzir a segurança. Significa torná-la gerenciável, sustentável e funcional."A trajetória de crescimento do Grupo reflete essa proposta de valor. Em 2023, a empresa registrou avanço de  100%  na receita em relação ao ano anterior, desempenho que garantiu a  5ª posição no ranking Exame Negócios em Expansão 2024  na sua categoria. A companhia também foi reconhecida como  Partner of the Year da Check Point na América Latina  durante o CPX 2024. "Nossa estratégia para os próximos anos é apoiar os clientes nessa jornada de consolidação. Reduzir o número de fornecedores e ferramentas não só melhora a postura de segurança como diminui custos operacionais e simplifica a gestão do dia a dia. É um movimento que beneficia todo mundo", afirma Nóbrega. Sobre o Grupo NTSec O Grupo NTSec é um dos maiores integradores de tecnologia e segurança da informação do Brasil. Fundada em 2007 em Brasília, a empresa atua como uma boutique de soluções tecnológicas, representando fabricantes globais, como TrendMicro, F5, AWS e Cisco construindo projetos personalizados para cada cliente por meio de quatro verticais especializadas: NTSec (cibersegurança), InfoSec (backup e criptografia), ZivaSec (redes e infraestrutura) e CloudSec (segurança em nuvem). Com certificação ISO 27001, com quase 400 profissionais e dez escritórios pelo país, a empresa é uma dos únicos integradores focados em segurança com status de parceiro Elite da Check Point na América Latina, tendo sido reconhecido como Partner of the Year na América Latina em 2024. É também Centro de Treinamento Autorizado HPE Aruba Networking e opera o SOC Cognitivo, centro de operações que oferece monitoramento e gestão de segurança 24 horas.

A Microsoft confirmou que a atualização de janeiro do Windows está causando problemas de desempenho em aplicativos que utilizam armazenamento em nuvem, como Outlook, OneDrive e Dropbox. Segundo a empresa, alguns programas podem congelar ou apresentar erros inesperados ao abrir ou salvar arquivos em serviços de armazenamento baseados na nuvem. O problema surge poucos dias após a Microsoft ter liberado uma atualização emergencial fora do ciclo regular para corrigir falhas de conexão e autenticação no Windows App. Antes disso, outro erro já havia sido identificado, impedindo que alguns computadores com Windows 11 23H2 desligassem ou entrassem em modo de hibernação corretamente. De acordo com a própria Microsoft, após a instalação da atualização distribuída em 13 de janeiro, determinados aplicativos podem se tornar não responsivos ao interagir com arquivos armazenados em nuvem. No caso do Outlook, o problema se manifesta de forma mais crítica quando o cliente de e-mail utiliza arquivos PST (Personal Storage Table) salvos no OneDrive. Nessas situações, o aplicativo pode travar completamente e só voltar a funcionar após o encerramento manual do processo pelo Gerenciador de Tarefas ou a reinicialização do sistema. Além disso, e-mails enviados podem deixar de aparecer na interface do usuário. Como medida paliativa, a Microsoft recomenda mover o arquivo PST para fora do OneDrive, prática que já não é indicada pela empresa, exceto para fins de backup. No entanto, a própria companhia reconhece que muitos usuários e administradores adotam esse tipo de configuração em seus fluxos de trabalho, e que a necessidade de alterar processos por conta de uma falha introduzida por atualização não é o cenário ideal. A empresa já havia reconhecido anteriormente problemas envolvendo perfis do Outlook Clássico e contas POP. A inclusão do novo alerta no painel Release Health indica que o impacto é mais amplo do que se imaginava inicialmente. Enquanto a correção definitiva não é liberada, a orientação oficial para os usuários afetados é procurar métodos alternativos de acesso aos arquivos, em conjunto com o desenvolvedor do aplicativo, ou recorrer ao webmail, quando disponível. A Microsoft informou que está trabalhando ativamente em uma solução e que novas atualizações serão divulgadas assim que houver mais informações.

O governo do Reino Unido anunciou a criação de um grupo de embaixadores do Código de Práticas de Segurança de Software, iniciativa que reúne grandes empresas de tecnologia e organizações do setor para incentivar a adoção de boas práticas de segurança em toda a cadeia de fornecimento de software. Entre os nomes escolhidos estão Cisco, Palo Alto Networks e Accenture, além de empresas e entidades britânicas e internacionais ligadas à cibersegurança. O anúncio foi feito pela ministra da economia digital do Reino Unido , Liz Lloyd, durante um discurso recente, no qual destacou que os benefícios da economia digital e da inteligência artificial só podem ser plenamente alcançados quando há confiança nos sistemas que sustentam essas tecnologias. Segundo ela, a segurança de software deixou de ser apenas um tema técnico e passou a ser um imperativo comercial, diretamente ligado à confiança e ao crescimento econômico. Durante a apresentação, Lloyd afirmou que o país já parte de uma base sólida, com algumas das defesas cibernéticas mais robustas do mundo. Ela citou polos de excelência em cibersegurança em regiões como Cheltenham, Manchester, Belfast e na Escócia, além de reforçar que o setor cibernético britânico é hoje o terceiro maior do mundo. Apesar disso, o governo reconhece que ainda há um desafio importante: menos de 25% das organizações consideram a cibersegurança como um fator decisivo na compra de software. O Código de Práticas de Segurança de Software, lançado no ano anterior, estabeleceu diretrizes para fornecedores, mas precisava ganhar maior visibilidade e adesão no mercado. Para mudar esse cenário, o Reino Unido optou por uma abordagem que vai além da simples regulamentação. A ideia é contar com líderes de mercado que assumam publicamente o compromisso de promover o código, atuando como exemplos práticos para o setor. Além de multinacionais, participam da iniciativa empresas britânicas como Sage, especialistas em cibersegurança como NCC Group, ISACA e ISC2, além de clientes de peso como Lloyds Banking Group e Santander. Ao explicar o conceito, Lloyd comparou a iniciativa ao código de higiene das mãos da World Health Organization, criado em 2009. Mesmo sem força de lei, o modelo se tornou um padrão global e contribuiu para a redução significativa de infecções hospitalares. A expectativa do governo britânico é que o Código de Segurança de Software siga o mesmo caminho, tornando a cibersegurança simples, acessível e parte do dia a dia das organizações.

Uma campanha sofisticada de hacking direcionada a usuários de WhatsApp e Gmail atingiu figuras de alto perfil no Oriente Médio e na diáspora iraniana, combinando phishing avançado, sequestro de contas e possíveis ações de espionagem digital. O caso veio à tona após o ativista iraniano radicado no Reino Unido Nariman Gharib divulgar capturas de tela de um link malicioso que recebeu via WhatsApp. O ataque ocorreu em um momento de extrema tensão no Irã, que enfrenta o mais longo bloqueio nacional de internet de sua história em meio a protestos contra o governo e repressões violentas. Segundo Gharib, a campanha teve como alvo pessoas envolvidas em temas relacionados ao Irã, incluindo ativistas, acadêmicos, jornalistas e autoridades governamentais. Foi possível analisar o código-fonte da página de phishing utilizada na ofensiva. A análise técnica, complementada por pesquisadores independentes, indicou que o objetivo era roubar credenciais de Gmail, comprometer contas do WhatsApp e coletar dados sensíveis dos dispositivos das vítimas, como localização geográfica, fotos e gravações de áudio. Os hackers utilizaram um serviço de DNS dinâmico chamado DuckDNS para mascarar a verdadeira localização da infraestrutura maliciosa e dar aparência legítima ao link, simulando um convite para reuniões virtuais do WhatsApp. Na prática, o conteúdo era hospedado em domínios recém-criados, registrados no final de 2025, o que sugere uma operação planejada com antecedência. Uma falha grave na infraestrutura do ataque permitiu que os investigadores acessassem, sem autenticação, um arquivo contendo registros em tempo real das vítimas. Esse banco de dados expôs mais de 850 entradas, incluindo endereços de e-mail, senhas, códigos de autenticação em dois fatores e informações sobre o navegador e sistema operacional utilizados funcionando, na prática, como um keylogger remoto. Entre as vítimas identificadas estavam um acadêmico especializado em segurança nacional no Oriente Médio, um executivo de uma empresa israelense de drones, um ministro libanês, jornalistas e pessoas localizadas nos Estados Unidos ou com números americanos. O phishing site já foi retirado do ar, mas os impactos da campanha ainda estão sendo avaliados. Além do roubo de credenciais, a campanha também explorou um método conhecido de sequestro de contas do WhatsApp. Ao enganar a vítima para escanear um QR Code falso, os hackers conseguiam vincular a conta a um dispositivo controlado por eles, abusando do recurso legítimo de pareamento de dispositivos técnica já observada em ataques contra usuários do aplicativo Signal . Pesquisadores como Runa Sandvik, fundadora da Granitt, identificaram no código malicioso funções que solicitavam permissões do navegador para acessar geolocalização, câmera e microfone. Caso a vítima aceitasse, sua localização seria enviada continuamente aos invasores, além da captura periódica de imagens e áudio. A autoria da campanha ainda não foi confirmada. Especialistas do Citizen Lab apontaram semelhanças com campanhas de spear phishing historicamente associadas à Islamic Revolutionary Guard Corps (IRGC), enquanto outros indícios levantam a hipótese de motivação financeira . Há ainda a possibilidade de uma sobreposição entre interesses estatais e grupos hackers com fins lucrativos, prática já atribuída anteriormente ao governo iraniano.

A European Commission apresentou nesta semana um novo conjunto de propostas para reforçar a cibersegurança em toda a União Europeia, em resposta ao aumento das ameaças digitais. As medidas, no entanto, provocaram forte reação da China, que acusa o bloco de adotar práticas protecionistas. O rascunho divulgado na terça-feira propõe revisões no Ato de Cibersegurança da UE e na Diretiva de Segurança de Redes e Sistemas de Informação (NIS). Entre os principais pontos está a exigência de que os Estados-membros eliminem gradualmente o uso de fornecedores considerados de “alto risco” em infraestruturas nacionais críticas, como redes de telecomunicações e sistemas essenciais. A iniciativa reflete preocupações crescentes com a exploração de vulnerabilidades na cadeia de suprimentos, especialmente em um cenário marcado por tensões geopolíticas, campanhas de espionagem patrocinadas por Estados e pela expansão do ecossistema de crimes cibernéticos. Ataques de ransomware, espionagem digital e tentativas de interrupção de serviços essenciais estão entre os principais vetores que impulsionaram as mudanças. Segundo a Comissão, o objetivo é reduzir riscos ao longo de toda a cadeia de fornecimento de tecnologia, criando um framework de certificação para empresas consideradas confiáveis. Em comunicado oficial, o órgão destacou que, no contexto geopolítico atual, a segurança da cadeia de suprimentos vai além de aspectos técnicos, envolvendo também dependências estratégicas e riscos de interferência estrangeira. Caso as revisões sejam aprovadas, fornecedores de tecnologia da informação terão de cumprir requisitos mais claros de testes e certificação antes de comercializar seus produtos no mercado europeu. O texto prevê ainda que operadoras de telecomunicações tenham até três anos para remover completamente componentes de fornecedores classificados como um risco significativo à cibersegurança. Embora o documento não cite explicitamente países, a reação chinesa foi imediata. O porta-voz do Ministério das Relações Exteriores da China, Guo Jiakun, afirmou que empresas chinesas atuam há anos na Europa em conformidade com as leis locais e “nunca colocaram em risco a segurança nacional europeia”, alertando que a UE estaria seguindo “um caminho errado de protecionismo”. Fornecedores chineses de equipamentos de rede, como Huawei e ZTE, já haviam sido alvo de restrições em alguns países europeus no passado. No entanto, essas medidas se basearam em orientações voluntárias da UE, o que resultou em abordagens diferentes entre os Estados-membros. A Espanha, por exemplo, gerou críticas de aliados devido à sua relação com empresas chinesas, apesar de ter cancelado, no ano passado, um contrato de €10 milhões com a Huawei após pressão de parlamentares norte-americanos. Em resposta às novas propostas, um porta-voz da Huawei declarou que limitar ou excluir fornecedores não europeus com base em sua origem, e não em evidências técnicas, viola princípios fundamentais da União Europeia, como equidade e não discriminação, além de compromissos assumidos com a World Trade Organization. As discussões também reacenderam preocupações dentro da UE sobre a dependência de tecnologias e serviços de empresas dos Estados Unidos, como a Microsoft, especialmente após decisões imprevisíveis do presidente Donald Trump envolvendo sanções e disputas geopolíticas. O presidente da Microsoft, Brad Smith, chegou a afirmar que a empresa tomaria medidas legais caso fosse obrigada pelo governo norte-americano a suspender operações de nuvem na Europa. Até o momento, autoridades dos EUA não comentaram oficialmente o anúncio da UE. Apesar de compartilharem preocupações em relação a fornecedores chineses, representantes americanos têm criticado leis digitais europeias por considerá-las desfavoráveis às empresas de tecnologia dos Estados Unidos.

A polícia da Grécia desmantelou uma operação sofisticada de golpes móveis que utilizava uma torre de celular falsa escondida no porta-malas de um carro para enviar mensagens de phishing a usuários de telefone na região metropolitana de Atenas. A ação foi confirmada na semana passada pelas autoridades. Segundo comunicado da Hellenic Police , os suspeitos são acusados de falsificação de documentos de identidade, fraude e acesso ilegal a sistemas de informação, atuando como parte de um grupo criminoso organizado. A abordagem ocorreu na região de Spata, a leste de Atenas, após denúncias de comportamento suspeito. Durante a fiscalização, os ocupantes do veículo teriam apresentado documentos falsos. Na vistoria do carro, os agentes encontraram um sistema móvel de computação escondido no porta-malas, conectado a um transmissor instalado no teto e camuflado como uma antena do tipo “barbatana de tubarão”, comum em veículos modernos. De acordo com as autoridades, o equipamento funcionava como uma estação base móvel clandestina conhecida como SMS blaster. Esse tipo de dispositivo imita a infraestrutura legítima de operadoras de telecomunicações, forçando celulares próximos a se conectarem a ele. Nesse processo, os aparelhos eram rebaixados da rede 4G para a antiga e menos segura rede 2G, explorando vulnerabilidades conhecidas há anos. Uma vez conectados, os hackers conseguiam coletar dados identificadores, como números de telefone, e enviavam mensagens fraudulentas que se passavam por bancos ou empresas de logística. Os textos continham links de phishing que induziam as vítimas a inserir dados de cartões de pagamento e outras informações sensíveis, posteriormente usadas em transações não autorizadas. Até o momento, os investigadores relacionaram o grupo a pelo menos três casos de fraude nas regiões de Maroussi, Spata e Atenas. As autoridades afirmam que as investigações continuam e que a real dimensão da operação ainda não é totalmente conhecida. Os suspeitos já foram apresentados a um promotor público. A polícia não divulgou a identidade dos detidos, mas a imprensa local informou que se tratam de cidadãos chineses. Ataques com SMS blaster semelhantes já foram registrados em países como Tailândia, Indonésia, Catar e Reino Unido, sempre com estruturas quase idênticas, escondidas em veículos que circulavam por áreas densamente povoadas. Em comentários sobre o caso grego, o site de monitoramento de riscos em telecomunicações Commsrisk destacou que as imagens divulgadas pela polícia mostram um conversor de energia DC-AC fabricado por uma empresa chinesa, equipamento que também apareceu em casos similares na Europa e na Ásia. Para a organização, a recorrência sugere a existência de cadeias de suprimento comuns que facilitam a disseminação internacional desse tipo de crime.

Pesquisadores identificaram uma nova campanha de phishing que explora mensagens privadas em redes sociais para distribuir cargas maliciosas, com o objetivo de implantar um RAT (Remote Access Trojan) nos sistemas das vítimas. Diferente de ataques tradicionais por e-mail, a ofensiva utiliza o LinkedIn como vetor inicial, abusando da confiança estabelecida em interações profissionais. De acordo com um relatório divulgado pela ReliaQuest, a campanha distribui arquivos “armados” por meio da técnica de DLL sideloading , combinada com o uso de um script legítimo e open source de pentest escrito em Python. Esse método permite que o malware seja executado dentro de processos confiáveis, reduzindo significativamente as chances de detecção por soluções de segurança tradicionais. O ataque começa com o contato direto a profissionais considerados de alto valor, como executivos, gestores e especialistas técnicos. Após estabelecer uma relação de confiança, os invasores convencem a vítima a baixar um arquivo compactado do tipo WinRAR self-extracting archive (SFX). Ao ser executado, o arquivo extrai quatro componentes distintos: Um aplicativo legítimo de leitura de PDF (open source) Uma DLL maliciosa, carregada de forma lateral pelo leitor de PDF Um executável portátil do interpretador Python Um arquivo RAR usado como isca para despistar a vítima A cadeia de infecção é ativada quando o leitor de PDF é iniciado. Nesse momento, a DLL maliciosa é carregada automaticamente pelo aplicativo legítimo, prática conhecida como DLL side-loading, cada vez mais comum entre hackers por explorar a confiança em binários válidos do sistema. Nos últimos dias, pelo menos três campanhas distintas já utilizaram essa técnica para distribuir famílias de malware como LOTUSLITE e PDFSIDER, além de outros trojans e stealers amplamente conhecidos no submundo cibercriminoso. Na campanha analisada pela ReliaQuest, a DLL carregada de forma lateral instala o interpretador Python no sistema e cria uma chave Run no Registro do Windows, garantindo persistência ao executar o malware automaticamente a cada login do usuário. O Python, por sua vez, executa um shellcode open source codificado em Base64, carregado diretamente na memória uma técnica projetada para evitar artefatos forenses em disco. O payload final estabelece comunicação com um servidor externo, concedendo aos hackers acesso remoto persistente à máquina comprometida e permitindo a exfiltração de dados sensíveis. A partir desse ponto, os invasores podem escalar privilégios, mover-se lateralmente pela rede e ampliar o impacto do ataque dentro do ambiente corporativo. Segundo a ReliaQuest, a campanha parece ampla e oportunista, atingindo múltiplos setores e regiões. No entanto, por ocorrer em mensagens privadas de redes sociais geralmente menos monitoradas do que e-mails corporativos —, é difícil estimar sua real dimensão. O uso de plataformas sociais como vetor de ataque não é novidade. Nos últimos anos, diversos grupos hackers ligados à Coreia do Norte exploraram o LinkedIn em campanhas como CryptoCore e Contagious Interview, abordando vítimas com falsas ofertas de emprego e testes técnicos maliciosos. Em março de 2025, a Cofense também alertou sobre uma campanha que usava falsas notificações do LinkedIn para induzir vítimas a instalar softwares de acesso remoto. Para os pesquisadores , o caso reforça um ponto crítico: redes sociais corporativas representam uma lacuna significativa na postura de segurança de muitas organizações. Diferente do e-mail, onde há camadas robustas de monitoramento, mensagens privadas em plataformas sociais seguem praticamente invisíveis para os times de segurança, tornando-se um canal cada vez mais atrativo para ataques de phishing sofisticados.

A Cloudflare anunciou a correção de uma vulnerabilidade de segurança em sua lógica de validação do ACME , falha que poderia permitir a evasão de controles de segurança e o acesso direto aos servidores de origem ( origin servers ), contornando proteções críticas como o WAF. Segundo a empresa, o problema estava relacionado à forma como sua rede de borda (edge network) processava requisições destinadas ao caminho do desafio ACME HTTP-01 (/.well-known/acme-challenge/*). Apesar da gravidade do cenário, a Cloudflare afirmou não ter encontrado evidências de exploração maliciosa da falha em ambiente real. O ACME (Automatic Certificate Management Environment) é um protocolo padronizado ( RFC 8555 ) amplamente utilizado para automatizar a emissão, renovação e revogação de certificados SSL/TLS. Na prática, toda autoridade certificadora (CA) precisa validar que o solicitante realmente controla um domínio antes de emitir um certificado digital. Esse processo normalmente é realizado por meio de clientes ACME, como o Certbot , que utilizam desafios do tipo HTTP-01 ou DNS-01 para comprovar a posse do domínio. No caso do HTTP-01, a CA faz uma requisição HTTP GET para um endereço específico no domínio, esperando encontrar um token de validação fornecido previamente. Quando o pedido de certificado é gerenciado pela Cloudflare, a própria plataforma responde à requisição no caminho do desafio ACME, fornecendo o token correto. No entanto, se a solicitação não estiver associada a um pedido gerenciado pela Cloudflare, a requisição é encaminhada ao servidor de origem do cliente, que pode usar outro mecanismo de validação. A vulnerabilidade, descoberta e reportada pela empresa FearsOff em outubro de 2025, estava justamente nessa lógica. Em determinados cenários, requisições para o caminho do ACME faziam com que as regras do Web Application Firewall (WAF) fossem desativadas, permitindo que o tráfego chegasse ao servidor de origem quando deveria ter sido bloqueado. Na prática, a validação falhava ao verificar se o token presente na requisição correspondia de fato a um desafio ACME ativo para aquele hostname específico. Isso abria espaço para que um invasor enviasse requisições arbitrárias ao endpoint do ACME e contornasse completamente as proteções do WAF, alcançando diretamente o ambiente de origem. Antes da correção, sempre que a Cloudflare identificava uma requisição aparentemente válida para um token de desafio HTTP-01, os mecanismos de WAF eram automaticamente desativados. Essa decisão técnica existe para evitar que regras de segurança interfiram na validação feita pelas autoridades certificadoras, o que poderia causar falhas na emissão ou renovação automática de certificados. O problema surgia quando o token era válido para outra zona ou domínio não gerenciado diretamente, mas ainda assim fazia o tráfego passar sem inspeção. De acordo com Kirill Firsov, fundador e CEO da FearsOff, essa falha poderia permitir que um usuário malicioso obtivesse um token previsível e de longa duração, possibilitando acesso a arquivos sensíveis no servidor de origem e facilitando atividades de reconhecimento (reconnaissance) em ambientes protegidos pela Cloudflare. A correção foi aplicada em 27 de outubro de 2025. A partir dessa atualização, a Cloudflare passou a servir respostas e desativar o WAF apenas quando a requisição corresponde exatamente a um desafio ACME HTTP-01 válido e ativo para aquele hostname específico, eliminando o vetor de bypass.

Uma nova campanha de malware que tem como alvo direto desenvolvedores de software. Batizado de Evelyn Stealer, o código malicioso está sendo distribuído por meio do ecossistema de extensões do Microsoft Visual Studio Code, abusando da confiança que profissionais depositam em plugins de terceiros amplamente utilizados no dia a dia. De acordo com uma análise divulgada pela Trend Micro , o Evelyn Stealer foi projetado para exfiltrar informações sensíveis, incluindo credenciais de desenvolvedores e dados relacionados a criptomoedas. Ambientes de desenvolvimento comprometidos podem ainda ser utilizados como ponto de entrada para sistemas corporativos mais amplos, como ambientes de produção, recursos em nuvem e ativos digitais críticos. A campanha foca especialmente organizações que possuem equipes de desenvolvimento que utilizam o VS Code com extensões de terceiros e que mantêm acesso privilegiado a sistemas sensíveis. Esse fator torna o ataque particularmente perigoso, já que desenvolvedores costumam operar com permissões elevadas e acesso a códigos-fonte, pipelines de CI/CD e credenciais de serviços em nuvem. As primeiras evidências dessa atividade surgiram no mês anterior, quando a Koi Security identificou três extensões maliciosas na loja do VS Code: BigBlack.bitcoin-black, BigBlack.codo-ai e BigBlack.mrbigblacktheme. Essas extensões aparentavam ser legítimas, mas na prática instalavam um downloader malicioso em formato DLL, conhecido como Lightshot.dll, responsável por executar comandos ocultos em PowerShell. Esse downloader fazia o download e a execução de um segundo estágio do ataque, um executável chamado runtime.exe. O arquivo, por sua vez, descriptografa e injeta o payload principal do stealer diretamente na memória de um processo legítimo do Windows (grpconv.exe), técnica que dificulta a detecção por soluções tradicionais de segurança. Uma vez ativo, o Evelyn Stealer coleta uma grande variedade de informações, incluindo conteúdo da área de transferência, aplicativos instalados, carteiras de criptomoedas, processos em execução, capturas de tela da área de trabalho, credenciais Wi-Fi armazenadas, informações do sistema e credenciais salvas, além de cookies dos navegadores Google Chrome e Microsoft Edge. Os dados roubados são compactados em arquivos ZIP e enviados para um servidor remoto via FTP. Para garantir uma coleta silenciosa e sem interferências, o malware encerra processos ativos de navegadores e os relança em modo oculto, utilizando uma série de parâmetros que desativam recursos de segurança, logs e extensões, além de posicionar a janela fora da tela. A campanha também incorpora mecanismos de evasão, como detecção de ambientes virtuais e ferramentas de análise, além do uso de um mutex para impedir que múltiplas instâncias do malware sejam executadas simultaneamente. Segundo a Trend Micro, o Evelyn Stealer representa a consolidação de ataques cada vez mais direcionados à comunidade de desenvolvedores, considerados alvos de alto valor devido ao papel central que exercem na cadeia de desenvolvimento de software. A divulgação desse caso ocorre em paralelo ao surgimento de duas novas famílias de malware do tipo stealer desenvolvidas em Python: MonetaStealer e SolyxImmortal . O MonetaStealer, inclusive, possui capacidade de atacar sistemas Apple macOS. Já o SolyxImmortal utiliza APIs legítimas do sistema operacional e bibliotecas amplamente conhecidas para extrair dados sensíveis e enviá-los a webhooks controlados por invasores na plataforma Discord, priorizando furtividade, persistência e acesso de longo prazo.

A Cisco lançou atualizações de segurança para corrigir uma falha crítica de execução remota de código (RCE) que afeta o Cisco AsyncOS, utilizado no Cisco Secure Email Gateway e no Cisco Secure Email and Web Manager. A vulnerabilidade já vinha sendo explorada como zero-day por um grupo avançado ligado à China, identificado como UAT-9686. A falha, registrada como CVE-2025-20393 e com pontuação máxima de 10.0 no CVSS, está relacionada à validação inadequada de requisições HTTP no recurso de Spam Quarantine. Quando explorada com sucesso, permite que um invasor execute comandos arbitrários com privilégios de root diretamente no sistema operacional do appliance afetado um cenário de alto impacto para ambientes corporativos. Para que o ataque seja viável, três condições precisam ser atendidas: o equipamento deve estar executando uma versão vulnerável do AsyncOS, o recurso de Spam Quarantine deve estar habilitado e esse recurso precisa estar exposto à internet. De acordo com informações divulgadas anteriormente pela Cisco, o grupo UAT-9686 explora essa falha desde pelo menos novembro de 2025. Durante as invasões, os hackers instalaram ferramentas de tunelamento como ReverseSSH (AquaTunnel) e Chisel, além de um utilitário para limpeza de logs chamado AquaPurge, com o objetivo de dificultar a detecção. Também foi identificado o uso de um backdoor em Python, denominado AquaShell, capaz de receber comandos codificados e executá-los remotamente. A Cisco informou que, além de corrigir a vulnerabilidade, as atualizações removem os mecanismos de persistência utilizados pelos invasores. A empresa também reforçou uma série de boas práticas de hardening, incluindo restringir o acesso aos appliances por firewall, monitorar logs web, desabilitar HTTP no portal administrativo, utilizar autenticação forte (como SAML ou LDAP) e alterar a senha padrão de administrador.

Uma configuração incorreta no AWS CodeBuild , serviço de integração contínua da Amazon Web Services, poderia ter permitido que hackers assumissem o controle total de repositórios oficiais da própria AWS no GitHub, incluindo o AWS JavaScript SDK. O cenário representava um risco significativo de ataques à cadeia de suprimentos, com potencial impacto em praticamente todos os ambientes que utilizam serviços da nuvem da Amazon. A vulnerabilidade, batizada de CodeBreach, foi identificada pela Wiz e corrigida pela AWS em setembro de 2025, após notificação responsável feita em agosto do mesmo ano. De acordo com a análise , invasores poderiam explorar falhas nos pipelines de CI/CD para injetar código malicioso diretamente em repositórios amplamente utilizados, afetando aplicações, serviços e até o próprio console da AWS. O problema estava relacionado a filtros inadequados em webhooks do CodeBuild , que deveriam restringir quais eventos e usuários poderiam disparar processos de build. Esses filtros utilizavam expressões regulares (regex) para validar o actor ID do GitHub identificador numérico de contas autorizadas. No entanto, os padrões não continham os caracteres de início (^) e fim ($), o que permitia que IDs maiores, contendo o número autorizado como parte da sequência, burlassem a verificação. Como os IDs do GitHub são atribuídos de forma sequencial, os pesquisadores demonstraram que era possível prever e gerar IDs válidos por meio da criação automatizada de contas bot. Com isso, um hacker poderia disparar um build legítimo, obter tokens administrativos do GitHub, enviar código diretamente para o branch principal, aprovar pull requests maliciosos e até exfiltrar segredos armazenados no repositório. A falha afetou pelo menos quatro projetos open source mantidos pela AWS, incluindo aws-sdk-js-v3 e aws-lc, todos configurados para executar builds a partir de pull requests . A AWS confirmou que se tratava de uma configuração específica desses projetos, e não de um problema estrutural do serviço CodeBuild , além de afirmar que não há evidências de exploração ativa antes da correção. Como resposta, a empresa realizou rotações de credenciais, reforçou proteções nos pipelines e implementou medidas adicionais para evitar que contribuições não confiáveis tenham acesso a ambientes privilegiados. O caso reforça o crescente interesse de hackers por ambientes de CI/CD, considerados hoje um dos pontos mais críticos da superfície de ataque em cadeias de software modernas.

Foram divulgados detalhes de uma nova campanha de spear phishing que tem como alvo entidades governamentais e políticas dos Estados Unidos, usando temas geopolíticos relacionados à Venezuela para disseminar um backdoor denominado LOTUSLITE. A ação foi atribuída com confiança moderada ao grupo hacker Mustang Panda, associado à China. Segundo a análise, os invasores enviaram e-mails com temática sobre os recentes desdobramentos envolvendo os EUA e a Venezuela , convidando o destinatário a abrir um arquivo ZIP (“US now deciding what’s next for Venezuela.zip”). No interior desse arquivo estava uma biblioteca dinâmica (DLL) maliciosa que é carregada por meio de uma técnica conhecida como DLL side-loading quando um arquivo DLL malicioso é carregado por um executável legítimo, contornando muitas soluções de segurança. O backdoor LOTUSLITE, identificado como “kugou.dll”, é um implant customizado em C++ projetado para comunicar-se com um servidor de comando e controle (C2) utilizando as APIs WinHTTP do Windows. Esse código permite aos invasores abrir um terminal remoto (CMD), executar comandos, enumerar arquivos, criar ou modificar arquivos e exfiltrar dados. A ferramenta ainda estabelece persistência por meio de alterações no Registro do Windows, garantindo que seja executada a cada login do usuário. Especialistas destacam que a campanha não emprega técnicas complexas de exploração, mas combina engenharia social direcionada com métodos confiáveis de execução para obter acesso. O uso de temas políticos atuais, como os acontecimentos recentes envolvendo a Venezuela, aumenta as chances de engajamento de vítimas legítimas.