Hackers ligados ao governo da China conseguiram invadir diversas organizações de infraestrutura crítica na América do Norte ao longo do último ano, utilizando credenciais comprometidas e servidores vulneráveis. A informação foi divulgada por pesquisadores da Cisco Talos, divisão de inteligência de ameaças da Cisco. De acordo com o relatório publicado na quinta-feira , a campanha teve início em 2025 e envolveu grupos hackers patrocinados pelo Estado chinês, com a missão de obter acesso inicial a organizações consideradas de “alto valor estratégico”. A Cisco Talos rastreia a atividade sob o codinome UAT-8837. Após a invasão inicial, os hackers passaram a utilizar diferentes ferramentas para roubar credenciais, coletar configurações de segurança e mapear os ambientes internos das vítimas, ampliando progressivamente seu nível de acesso. Entre os métodos identificados, destacou-se a exploração da vulnerabilidade CVE-2025-53690, que afeta produtos da empresa de software Sitecore. Essa falha do tipo zero-day havia sido destacada por autoridades federais de cibersegurança no segundo semestre do ano passado, quando agências civis dos Estados Unidos foram obrigadas a aplicar correções emergenciais até 25 de setembro. Na ocasião, o Google também publicou uma análise técnica do incidente, apontando ferramentas de pós-exploração semelhantes às agora identificadas pela Cisco Talos. Segundo os pesquisadores, o interesse recorrente nessa falha sugere que o grupo chinês pode ter acesso a exploits zero-day. Entre as ferramentas utilizadas está o Earthworm, que permite expor endpoints internos a infraestruturas controladas pelos hackers. O malware é amplamente usado por grupos de língua chinesa para identificar sistemas que não são detectados por soluções de proteção de endpoint, possibilitando a criação de túneis reversos para servidores externos sob controle do invasor. A preocupação com ataques chineses a infraestruturas críticas voltou a ganhar destaque após um incidente ocorrido em dezembro, quando o grupo Salt Typhoon comprometeu uma plataforma de e-mail utilizada por assessores do Congresso dos Estados Unidos. As vítimas atuavam em comissões relacionadas à China e a assuntos internacionais. Autoridades norte-americanas têm reiterado alertas sobre a atuação de grupos hackers patrocinados pelo Estado chinês contra agências governamentais e setores críticos. Reforçando esse cenário, um conjunto de agências cibernéticas ocidentais divulgou nesta semana um alerta conjunto sobre o aumento das ameaças digitais a sistemas de tecnologia operacional (OT), que sustentam processos industriais essenciais.

Canais da televisão estatal do Irã teriam sido temporariamente sequestrados no último domingo, interrompendo a programação regular para exibir vídeos de protestos e mensagens contra o regime. A informação foi divulgada por diversos veículos internacionais e ganhou repercussão nas redes sociais. As transmissões afetadas eram distribuídas por meio do satélite Badr, utilizado pela emissora estatal iraniana para alcançar estações de TV regionais em todo o país. Durante cerca de dez minutos, o sinal teria exibido mensagens em farsi incentivando manifestantes a manterem os protestos, além de imagens de atos de solidariedade realizados no exterior. O conteúdo também incluiu declarações de Reza Pahlavi , filho do último xá do Irã e atualmente residente nos Estados Unidos. Nos vídeos, ele convocava novos protestos e pedia que integrantes das Forças Armadas e dos órgãos de segurança se alinhassem aos manifestantes. Trechos da suposta invasão foram publicados pela emissora Iran International, com sede em Londres, além de veículos locais e da equipe de comunicação de Pahlavi. No entanto, não foi possível verificar de forma independente a autenticidade das imagens divulgadas. Até o momento, o grupo responsável pelo sequestro do sinal não foi identificado, e as autoridades iranianas não se pronunciaram oficialmente sobre o incidente. O episódio ocorre em meio a um período de instabilidade no país , iniciado no final de dezembro, após uma forte crise econômica marcada por inflação elevada e aumento nos preços dos alimentos. Segundo autoridades iranianas , ao menos 5 mil pessoas teriam morrido durante os distúrbios, incluindo cerca de 500 integrantes das forças de segurança. Como resposta aos protestos, o governo impôs um bloqueio quase total da internet e das comunicações móveis por aproximadamente duas semanas, medida que pode começar a ser flexibilizada nos próximos dias. Após uma repressão mais intensa, as manifestações perderam força.

Foi revelado uma falha de segurança no Google Gemini que permitia a extração de dados privados do Google Calendar por meio de uma técnica conhecida como prompt injection indireto. A vulnerabilidade explorava a forma como a inteligência artificial interpreta linguagem natural, contornando controles de autorização e privacidade. A descoberta foi feita pela empresa Miggo Security , e detalhada por seu chefe de pesquisa, Liad Eliyahu. Segundo o relatório, hackers conseguiam inserir um payload malicioso “adormecido” dentro da descrição de um convite legítimo de calendário. Esse conteúdo, embora parecesse inofensivo, era interpretado posteriormente pelo Gemini como uma instrução válida. O ataque começava quando o hacker enviava um convite de reunião especialmente elaborado à vítima. Na descrição do evento, era incluído um texto em linguagem natural projetado para manipular o comportamento do Gemini. O gatilho ocorria apenas quando o usuário fazia uma pergunta comum ao assistente, como “Tenho alguma reunião na terça-feira?”. Ao responder, o Gemini processava o prompt oculto e criava um novo evento no Google Calendar contendo um resumo completo das reuniões privadas do usuário. “Nos bastidores, o Gemini criava um novo evento e escrevia um resumo detalhado das reuniões privadas da vítima na descrição”, explicou a Miggo. Em muitos ambientes corporativos, esse novo evento ficava visível para o hacker, permitindo a leitura dos dados exfiltrados sem qualquer interação direta da vítima. Embora o Google tenha corrigido o problema após divulgação responsável, o caso evidencia como funcionalidades nativas de IA podem ampliar significativamente a superfície de ataque. Diferente de vulnerabilidades tradicionais, esse tipo de falha não está no código, mas no uso de linguagem, contexto e no comportamento da IA em tempo de execução. O alerta surge dias após a Varonis divulgar o ataque “ Reprompt ”, que demonstrou como dados sensíveis poderiam ser exfiltrados de chatbots corporativos, como o Microsoft Copilot, com um único clique, contornando controles de segurança empresariais. Outras pesquisas recentes reforçam o cenário de risco. A XM Cyber, do grupo Schwarz, identificou formas de escalar privilégios em serviços do Google Cloud Vertex AI, explorando identidades de serviço com permissões excessivas. Já ferramentas de desenvolvimento baseadas em IA, como Cursor, OpenAI Codex, Replit e Devin, apresentaram dificuldades em lidar com falhas de lógica de negócio, SSRF e controle de autorização. Segundo especialistas , esses casos deixam claro que, apesar dos avanços, agentes de IA ainda não podem ser considerados confiáveis para projetar aplicações seguras sem supervisão humana rigorosa. Em ambientes corporativos, a recomendação é reforçar auditorias de identidade, revisar permissões e tratar sistemas de IA como ativos críticos de segurança.

Pesquisadores identificaram cinco extensões maliciosas do Google Chrome que se disfarçam de plataformas corporativas amplamente utilizadas como Workday, NetSuite e SuccessFactors com o objetivo de assumir o controle de contas de usuários. A descoberta foi feita por pesquisadores da Socket, que classificaram a campanha como altamente coordenada e sofisticada. Segundo o pesquisador Kush Pandya , as extensões atuam em conjunto para roubar cookies de autenticação, bloquear páginas administrativas de segurança e permitir o sequestro de sessão (session hijacking), resultando em account takeover completo. Embora publicadas sob dois nomes diferentes, a infraestrutura, o código e o comportamento indicam tratar-se de uma única operação conduzida por um mesmo grupo hacker ou, no mínimo, por um toolkit compartilhado. Extensões identificadas DataByCloud Access – 251 instalações Tool Access 11 – 101 instalações DataByCloud 1 – 1.000 instalações DataByCloud 2 – 1.000 instalações Software Access – 27 instalações Com exceção da Software Access, todas já foram removidas da Chrome Web Store. Ainda assim, continuam disponíveis em sites de download de terceiros, como o Softonic, o que amplia o risco para usuários corporativos. As extensões eram anunciadas como ferramentas de produtividade, prometendo acesso facilitado a recursos premium de plataformas de RH e ERP. Uma vez instaladas, solicitavam permissões extensivas incluindo acesso a cookies, scripts, armazenamento e regras de rede nos domínios do Workday, NetSuite e SuccessFactors. Na prática, o comportamento malicioso incluía: Exfiltração contínua de cookies de autenticação para servidores controlados pelos hackers Manipulação do DOM para apagar conteúdos e redirecionar páginas críticas Bloqueio de interfaces administrativas, como gerenciamento de autenticação, proxies de segurança, controle de sessões, redefinição de senha, 2FA e logs de auditoria Injeção de cookies roubados diretamente no navegador do invasor, clonando a sessão da vítima A extensão Software Access se destacou como a mais avançada, pois além de roubar cookies, consegue receber cookies de terceiros e injetá-los no navegador, efetivando o sequestro direto da sessão corporativa. Esse método permite que o hacker acesse o ambiente da vítima como se fosse um usuário legítimo, sem necessidade de senha ou autenticação multifator. Outro ponto relevante é que todas as extensões monitoravam a presença de 23 extensões de segurança populares, como EditThisCookie, ModHeader, Redux DevTools e SessionBox. O objetivo seria identificar se o navegador da vítima possuía ferramentas capazes de revelar ou interferir no roubo de cookies, funcionando como um mecanismo de autoproteção da campanha maliciosa. Especialistas alertam que usuários que tenham instalado qualquer uma dessas extensões devem removê-las imediatamente, redefinir senhas, revisar acessos suspeitos e validar logs de login por IP e dispositivo. O caso evidencia como extensões de navegador se tornaram um vetor crítico de ataque em ambientes SaaS corporativos, especialmente quando combinam engenharia social, abuso de permissões e técnicas avançadas de evasão. THN

Pesquisadores identificaram uma nova técnica de evasão adotada pelo GootLoader , um loader  de malware em JavaScript (JScript), que passou a utilizar arquivos ZIP malformados compostos pela concatenação de 500 a 1.000 arquivos ZIP . A estratégia tem como objetivo dificultar a análise automática e contornar mecanismos de detecção utilizados por soluções de segurança. De acordo com pesquisadores da Expel , os hackers criam intencionalmente arquivos ZIP corrompidos como técnica de anti-análise. A maioria das ferramentas populares de descompactação, como WinRAR  e 7-Zip , falha ao processar esse tipo de arquivo. No entanto, o descompactador padrão do Windows  consegue abrir o conteúdo normalmente, o que aumenta a chance de sucesso do ataque contra usuários finais. Na prática, isso bloqueia fluxos automatizados de análise de malware, enquanto permite que a vítima extraia e execute o código malicioso sem perceber. O GootLoader é comumente distribuído por meio de técnicas de SEO poisoning  e malvertising , direcionando usuários que buscam modelos de documentos legais para sites WordPress  comprometidos, que hospedam os arquivos ZIP maliciosos. Ativo desde pelo menos 2020, o GootLoader é conhecido por atuar como um estágio inicial de infecção, sendo utilizado para entregar cargas secundárias, incluindo ransomware. Em campanhas mais recentes, observadas no final de 2025, os hackers introduziram novos mecanismos de ofuscação, como o uso de fontes WOFF2 com substituição de glyphs  para mascarar nomes de arquivos e a exploração do endpoint de comentários do WordPress (/wp-comments-post.php) para entregar os ZIPs maliciosos quando o usuário clica em botões de “Download”. Principais técnicas de evasão observadas Concatenação de 500 a 1.000 arquivos ZIP  para criar um único arquivo malicioso Truncamento do registro EOCD (End of Central Directory) , removendo bytes críticos e causando erros de parsing Randomização de campos não críticos do ZIP, como número de disco, levando ferramentas a esperar arquivos inexistentes Segundo os pesquisadores, essas técnicas caracterizam um método conhecido como hashbusting , no qual cada vítima recebe um arquivo ZIP único. Isso torna inútil a simples verificação por hash, já que o mesmo arquivo nunca se repete entre diferentes downloads. A cadeia de ataque envolve ainda a entrega do ZIP como um blob  codificado em XOR, que é decodificado no navegador da vítima e anexado repetidamente a si mesmo até atingir um tamanho específico. Ao ser aberto, o arquivo executa um JavaScript via wscript.exe, cria persistência por meio de um atalho LNK na pasta de inicialização e, em seguida, utiliza PowerShell  para avançar a infecção, coletar informações do sistema e se comunicar com servidores remotos. Como medidas de mitigação, especialistas recomendam bloquear a execução de wscript.exe e cscript.exe para conteúdos baixados, quando não forem estritamente necessários, além de configurar políticas de grupo (GPO) para que arquivos .js sejam abertos por padrão em editores de texto, e não executados automaticamente.

A OpenAI anunciou que começará a exibir anúncios no ChatGPT para usuários adultos, logados, nos Estados Unidos que utilizam os planos Free e ChatGPT Go. A mudança deve ser implementada nas próximas semanas e marca um passo importante na estratégia de monetização da empresa, ao mesmo tempo em que expande globalmente o acesso ao seu plano de baixo custo. Em comunicado oficial, a OpenAI reforçou que dados e conversas dos usuários não são vendidos a anunciantes e que as respostas do chatbot não são influenciadas por publicidade. Segundo a empresa, os anúncios serão claramente identificados, aparecerão na parte inferior das conversas e os usuários terão controle sobre a experiência, incluindo a possibilidade de desativar a personalização e fornecer feedback sobre os anúncios exibidos. A companhia posiciona a publicidade como um meio de tornar os benefícios da inteligência artificial avançada mais acessíveis ao público em geral. Para a OpenAI, o modelo pode ser “transformador” especialmente para pequenos negócios e marcas emergentes que buscam competir em um ambiente cada vez mais digital. Ainda assim, a empresa não detalhou exatamente quais dados serão utilizados para direcionar anúncios, limitando-se a afirmar que os usuários poderão entender por que estão vendo determinada publicidade ou optar por descartá-la. Usuários dos planos Plus, Pro, Business e Enterprise não verão anúncios. Além disso, a OpenAI afirmou que, durante a fase inicial de testes, anúncios não serão exibidos em contas de menores de 18 anos nem associados a temas sensíveis ou regulados, como saúde, saúde mental e política. Em publicação na rede social X, o CEO da OpenAI, Sam Altman, afirmou que a empresa não aceitará dinheiro para influenciar respostas do ChatGPT. Segundo ele, há uma grande demanda por uso intensivo de IA por pessoas que não desejam ou não podem pagar por assinaturas, tornando a publicidade um possível modelo sustentável. A decisão representa uma mudança relevante de postura: em um evento na Harvard University em 2024, Altman havia classificado anúncios como “último recurso” e descrevido a combinação de IA com publicidade como algo “inquietante”. Com custos elevados para manter e evoluir seus modelos, a OpenAI passa a enxergar a publicidade como uma nova fonte de receita estratégica. O ChatGPT, segundo a empresa, já conta com cerca de 800 milhões de usuários ativos semanais, o que torna o movimento especialmente relevante para o futuro do negócio e para o mercado de tecnologia como um todo. THN

Autoridades da Ucrânia e da Alemanha identificaram dois cidadãos ucranianos suspeitos de atuar para o grupo hacker Black Basta, uma operação de ransomware ligada à Rússia que funcionava no modelo ransomware-as-a-service (RaaS). Paralelamente, o suposto líder do grupo, o cidadão russo Oleg Evgenievich Nefedov, de 35 anos, foi incluído na lista dos Mais Procurados da União Europeia e recebeu um Red Notice da INTERPOL , ampliando a pressão internacional por sua captura. Segundo a Polícia Cibernética da Ucrânia, os suspeitos tinham atuação técnica direta em invasões a sistemas protegidos e participavam da preparação de ataques com ransomware. A investigação aponta que eles operavam como hash crackers especialistas em extrair senhas de sistemas de informação com softwares dedicados. Após a obtenção das credenciais, integrantes do grupo invadiam redes corporativas, implantavam o ransomware e exigiam pagamentos para a recuperação dos dados criptografados. Durante buscas realizadas nas cidades de Ivano-Frankivsk e Lviv, as autoridades apreenderam dispositivos de armazenamento digital e ativos em criptomoedas. O Black Basta surgiu em abril de 2022 e teria atacado mais de 500 empresas na América do Norte, Europa e Austrália, acumulando centenas de milhões de dólares em criptomoedas por meio de extorsões. No início do ano passado, o vazamento de cerca de um ano de conversas internas do grupo expôs sua estrutura , membros-chave e as vulnerabilidades exploradas para obter acesso inicial às organizações. Esses registros identificaram Nefedov como o principal líder da operação, revelando também uma série de apelidos usados por ele, como Tramp, Trump, GG e AA. Alguns documentos sugerem possíveis vínculos com políticos russos de alto escalão e até com serviços de inteligência, como FSB e GRU alegações que indicariam proteção informal e facilidades para escapar da Justiça internacional. Relatórios posteriores, incluindo análises da Trellix, indicam que Nefedov chegou a ser detido em Yerevan, na Armênia, em junho de 2024, mas acabou libertado. Embora se acredite que ele esteja atualmente na Rússia, seu paradeiro exato é desconhecido. Há ainda evidências que o ligam ao grupo Conti, desativado em 2022, que foi responsável por alguns dos maiores ataques de ransomware do mundo. Com a exposição interna, o Black Basta entrou em aparente colapso , retirando seu site de vazamento de dados do ar em fevereiro. No entanto, especialistas alertam que o fim de um grupo raramente significa o fim da ameaça. De acordo com análises da Trend Micro, há indícios de que ex-afiliados do Black Basta tenham migrado para a operação de ransomware CACTUS, coincidindo com um aumento expressivo de vítimas listadas por esse novo grupo em 2025. THN

A National Security Agency (NSA) anunciou oficialmente a nomeação de Tim Kosiba como novo diretor adjunto da agência, encerrando um impasse político que se arrastava há meses dentro do governo dos Estados Unidos. O retorno de Kosiba ocorre após a administração de Donald Trump recuar de uma indicação anterior, alvo de críticas de setores conservadores. Em comunicado, Kosiba afirmou que é uma honra “voltar para casa” e assumir o cargo de número dois da NSA. O executivo possui mais de três décadas de experiência no serviço público e havia deixado o governo em 2021. Ao longo da carreira, ocupou posições de liderança tanto na NSA quanto no Federal Bureau of Investigation (FBI), incluindo o posto de vice-comandante da unidade da NSA na Geórgia, um dos principais polos operacionais da agência. A nomeação encerra um episódio iniciado em agosto, quando o governo havia anunciado Joe Francescon, também ex-integrante da NSA, para o cargo. A escolha, no entanto, foi rapidamente contestada por opositores , que alegaram vínculos políticos do indicado com parlamentares democratas. Segundo reportagens, Francescon acabou sendo informado de que não assumiria o posto e migrou para o setor privado. Com a saída de Francescon, integrantes conservadores da administração pressionaram Trump a optar por Kosiba, considerado um nome de perfil mais alinhado internamente. Como diretor adjunto, ele será responsável por supervisionar as operações diárias da NSA e atuar como um filtro estratégico, encaminhando apenas as informações mais críticas ao diretor da agência função que também acumula o comando do United States Cyber Command. O general do Exército William Hartman, que lidera a NSA e o Cyber Command de forma interina desde abril, destacou que a experiência de Kosiba será essencial para fortalecer missões de inteligência de sinais e cibersegurança. Com a nomeação confirmada, o foco agora se volta para a escolha definitiva do líder das duas organizações, ainda pendente de aprovação do Senado. O United States Senate Armed Services Committee deve realizar a audiência de confirmação do general Joshua Rudd em 15 de janeiro. Já o United States Senate Intelligence Committee, que também tem jurisdição sobre a indicação, deve promover uma nova audiência na semana de 26 de janeiro, após mais de nove meses sem um líder confirmado no cargo.

Pesquisadores divulgaram detalhes de uma campanha ativa de malware que explora uma técnica conhecida como DLL side-loading em um binário legítimo associado à biblioteca open source c-ares . A estratégia permite que hackers contornem controles de segurança tradicionais e distribuam uma ampla variedade de trojans e ladrões de informações (stealers) sem levantar alertas imediatos. Segundo a Trellix , os hackers combinam uma DLL maliciosa chamada libcares-2.dll com qualquer versão assinada do executável legítimo ahost.exe frequentemente renomeado para enganar as vítimas. Ao explorar a ordem de busca de DLLs do sistema operacional, o binário acaba carregando o arquivo malicioso em vez da biblioteca legítima, concedendo execução de código ao invasor. Esse método é particularmente eficaz porque utiliza arquivos assinados digitalmente, o que ajuda a burlar mecanismos de detecção baseados em assinatura. A campanha já foi observada distribuindo diversas famílias conhecidas de malware, incluindo Agent Tesla, CryptBot, Formbook, Lumma Stealer, Vidar Stealer, Remcos RAT, Quasar RAT, DCRat e XWorm. Os principais alvos são funcionários das áreas financeira, compras, cadeia de suprimentos e administração, em setores comerciais e industriais como petróleo e gás, importação e exportação. As iscas de phishing são redigidas em árabe, espanhol, português, farsi e inglês, indicando foco regional bem definido. O executável ahost.exe explorado nessa campanha é assinado pela GitKraken e normalmente faz parte da aplicação GitKraken Desktop. Amostras analisadas no VirusTotal mostram que o malware é distribuído sob dezenas de nomes diferentes, como “Fatura da DHL.exe” e “PO-069709-Order.pdf.exe”, reforçando o uso de temas de faturas e pedidos de cotação (RFQ) para induzir usuários ao erro. Além dessa campanha, a Trellix também alertou para um aumento significativo de golpes de phishing no Facebook que utilizam a técnica Browser-in-the-Browser (BitB). Nesse método, hackers simulam uma janela de login falsa dentro do próprio navegador da vítima, tornando extremamente difícil diferenciar uma página legítima de uma fraudulenta. As campanhas frequentemente se passam por notificações legais ou alertas de segurança, levando as vítimas a páginas falsas hospedadas em serviços legítimos como Netlify e Vercel, além do uso de encurtadores de URL. As descobertas coincidem ainda com uma campanha de phishing em múltiplos estágios que distribui o AsyncRAT por meio de arquivos hospedados no Dropbox e túneis TryCloudflare. Pesquisadores da Forcepoint X-Labs e da Trend Micro identificaram o uso intensivo de técnicas living-off-the-land, abusando de ferramentas nativas do Windows, scripts em Python e da infraestrutura gratuita da Cloudflare para manter persistência e evitar detecção. Em muitos casos, um PDF falso é exibido como distração enquanto o malware se instala em segundo plano. THN

A companhia aérea espanhola Iberia afirmou que os dados vazados e divulgados nesta semana por uma empresa de cibersegurança foram roubados durante um incidente já identificado em novembro do ano passado. A declaração surge após a publicação de um relatório da Hudson Rock, que detalha atividades de um hacker conhecido como Zestix, responsável por leiloar informações supostamente extraídas de cerca de 50 grandes empresas e escritórios de advocacia. De acordo com os pesquisadores, o hacker teria utilizado malware do tipo infostealer para comprometer o dispositivo de um funcionário, capturar credenciais e acessar o portal corporativo de compartilhamento de arquivos da Iberia. O ambiente afetado utilizava o ShareFile, uma solução amplamente adotada por grandes organizações para armazenamento e troca de documentos internos. Segundo o relatório, aproximadamente 77 GB de dados foram extraídos, incluindo materiais técnicos das aeronaves Airbus A320 e A321, documentos de manutenção, dados de motores e outros arquivos internos. Entre os conteúdos comprometidos estariam gráficos de danos em aeronaves, informações confidenciais da frota e documentação técnica sensível. Em resposta um porta-voz da Iberia afirmou que as conclusões da Hudson Rock se referem ao mesmo incidente ocorrido em novembro , quando o hacker exigiu um resgate de US$ 150 mil pelo conjunto de dados. Na época, a companhia notificou diversos reguladores espanhóis, incluindo a Spanish Data Protection Agency, e enviou comunicados de violação a centenas de clientes. Em cartas enviadas às vítimas, a Iberia destacou que as informações armazenadas no sistema afetado eram limitadas e não operacionais, garantindo que a segurança dos voos não foi comprometida. Ainda assim, a empresa confirmou que o vazamento incluiu dados pessoais de clientes, como nomes, endereços de e-mail, números de telefone e números de associação ao programa Iberia Club, além de alguns códigos de reserva de voos futuros. Como medida de mitigação, a companhia informou que ativou autenticação de dois fatores (2FA) para todos os clientes afetados, impedindo alterações não autorizadas em reservas, transações via aplicativo, site ou central de atendimento. A Iberia não comentou, no entanto, detalhes técnicos adicionais sobre os documentos aeronáuticos vazados. A Hudson Rock ressaltou que o conjunto de dados inclui assinaturas digitais e variações proprietárias de configuração, informações que podem ter valor estratégico para concorrentes ou até mesmo para Estados-nação. Segundo a empresa, o hacker Zestix atua desde o fim de 2024 em fóruns fechados de língua russa como corretor de acesso inicial, vendendo acessos comprometidos em troca de Bitcoin. Outras empresas de segurança associam um dos pseudônimos do invasor a um cidadão iraniano e ao grupo hacker Funksec. RFN

O Google começou a remover os chamados AI Overviews (resumos gerados por IA) de determinadas buscas relacionadas à saúde após uma investigação do jornal The Guardian apontar que a ferramenta estava fornecendo informações potencialmente enganosas em consultas médicas sensíveis. Segundo a reportagem, ao pesquisar termos como “qual é o intervalo normal para exames de sangue do fígado”, usuários recebiam valores de referência genéricos, que não consideravam variáveis clínicas importantes como idade, sexo, etnia ou nacionalidade. Esse tipo de resposta poderia levar pacientes a interpretar erroneamente seus resultados como normais, quando, na realidade, não eram. Após a repercussão, o Guardian constatou que o Google removeu os AI Overviews para consultas como “what is the normal range for liver blood tests” e “what is the normal range for liver function tests”. No entanto, variações dessas buscas como “lft reference range” ainda chegaram a apresentar resumos gerados por IA em testes iniciais. Horas depois da publicação da matéria, novas verificações indicaram que esses resumos também haviam sido retirados, embora o Google ainda ofereça a opção de refazer a consulta no modo de busca com IA. Em resposta ao Guardian, um porta-voz do Google afirmou que a empresa não comenta remoções individuais, mas trabalha continuamente para promover “melhorias amplas” na busca. O porta-voz acrescentou que uma equipe interna de clínicos revisou as consultas destacadas e concluiu que, em muitos casos, as informações não eram tecnicamente incorretas e estavam respaldadas por sites considerados de alta qualidade. Apesar disso, especialistas em saúde demonstram preocupação com o modelo. Vanessa Hebditch, diretora de comunicação e políticas da British Liver Trust, classificou a remoção como uma “excelente notícia”, mas alertou que o problema é mais profundo. Segundo ela, desligar os resumos de IA em buscas específicas não resolve o risco sistêmico do uso de respostas automatizadas em temas médicos sensíveis. TC

A Fortinet publicou atualizações de segurança para corrigir uma vulnerabilidade crítica no FortiSIEM que poderia permitir a execução remota de código por um hacker sem necessidade de autenticação. A falha, identificada como CVE-2025-64155, recebeu pontuação 9,4/10 no CVSS, indicando alto impacto e facilidade de exploração em ambientes vulneráveis. Segundo a empresa, trata-se de uma vulnerabilidade de injeção de comandos no sistema operacional (OS Command Injection – CWE-78), causada pela neutralização inadequada de caracteres especiais utilizados em comandos do sistema. O problema afeta exclusivamente os nós Super e Worker do FortiSIEM e pode ser explorado por meio de requisições TCP especialmente construídas, resultando na execução de comandos não autorizados no appliance. Versões afetadas e correções A Fortinet informou que o problema foi corrigido nas versões mais recentes e recomenda migração ou atualização imediata conforme o cenário abaixo: FortiSIEM 6.7.0 a 6.7.10 – migrar para uma versão corrigida FortiSIEM 7.0.0 a 7.0.4 – migrar para uma versão corrigida FortiSIEM 7.1.0 a 7.1.8 – atualizar para 7.1.9 ou superior FortiSIEM 7.2.0 a 7.2.6 – atualizar para 7.2.7 ou superior FortiSIEM 7.3.0 a 7.3.4 – atualizar para 7.3.5 ou superior FortiSIEM 7.4.0 – atualizar para 7.4.1 ou superior FortiSIEM 7.5 – não afetado FortiSIEM Cloud – não afetado Detalhes técnicos do ataque A falha foi descoberta e reportada em agosto de 2025 pelo Pesquisador Zach Hanley, da Horizon3.ai. De acordo com a análise técnica , a exploração envolve duas etapas principais: Injeção de argumentos sem autenticação, que permite escrita arbitrária de arquivos e resulta em execução remota de código com privilégios de administrador. Escalada de privilégios, em que a sobrescrita de arquivos leva à execução de código como root, comprometendo totalmente o appliance. O ponto central do problema está no serviço phMonitor, um processo backend crítico do FortiSIEM responsável por monitoramento de saúde , distribuição de tarefas e comunicação entre nós via porta TCP 7900. Esse serviço expõe diversos manipuladores de comandos sem exigir autenticação e processa requisições relacionadas ao envio de logs para o Elasticsearch. Ao invocar um script de shell com parâmetros controlados pelo invasor, o serviço abre caminho para injeção de argumentos via curl, permitindo a gravação arbitrária de arquivos no disco. Um hacker pode explorar esse comportamento para gravar um shell reverso no arquivo /opt/charting/redishb.sh, que é executado automaticamente a cada minuto por um cron job com privilégios de root. Com isso, ocorre a escalada de privilégios de administrador para root, garantindo controle total do sistema. Outra falha crítica corrigida Além do FortiSIEM, a Fortinet também corrigiu uma vulnerabilidade crítica no FortiFone (CVE-2025-47855, CVSS 9,3). Essa falha permite que um hacker obtenha a configuração do dispositivo por meio de uma requisição HTTP(S) especialmente construída ao portal web. Versões afetadas do FortiFone: 3.0.13 a 3.0.23 – atualizar para 3.0.24 ou superior 7.0.0 a 7.0.1 – atualizar para 7.0.2 ou superior 7.2 – não afetado Recomendações A Fortinet orienta que todos os clientes atualizem imediatamente seus ambientes para as versões corrigidas. Como medida temporária para o CVE-2025-64155, a empresa recomenda restringir o acesso à porta TCP 7900, reduzindo a superfície de ataque até a aplicação do patch definitivo.A Fortinet publicou atualizações de segurança para corrigir uma vulnerabilidade crítica no FortiSIEM que poderia permitir a execução remota de código por um hacker sem necessidade de autenticação. A falha, identificada como CVE-2025-64155, recebeu pontuação 9,4/10 no CVSS, indicando alto impacto e facilidade de exploração em ambientes vulneráveis. Segundo a empresa, trata-se de uma vulnerabilidade de injeção de comandos no sistema operacional (OS Command Injection – CWE-78), causada pela neutralização inadequada de caracteres especiais utilizados em comandos do sistema. O problema afeta exclusivamente os nós Super e Worker do FortiSIEM e pode ser explorado por meio de requisições TCP especialmente construídas, resultando na execução de comandos não autorizados no appliance. Versões afetadas e correções A Fortinet informou que o problema foi corrigido nas versões mais recentes e recomenda migração ou atualização imediata conforme o cenário abaixo: FortiSIEM 6.7.0 a 6.7.10 – migrar para uma versão corrigida FortiSIEM 7.0.0 a 7.0.4 – migrar para uma versão corrigida FortiSIEM 7.1.0 a 7.1.8 – atualizar para 7.1.9 ou superior FortiSIEM 7.2.0 a 7.2.6 – atualizar para 7.2.7 ou superior FortiSIEM 7.3.0 a 7.3.4 – atualizar para 7.3.5 ou superior FortiSIEM 7.4.0 – atualizar para 7.4.1 ou superior FortiSIEM 7.5 – não afetado FortiSIEM Cloud – não afetado Detalhes técnicos do ataque A falha foi descoberta e reportada em agosto de 2025 pelo Pesquisador Zach Hanley, da Horizon3.ai. De acordo com a análise técnica, a exploração envolve duas etapas principais: Injeção de argumentos sem autenticação, que permite escrita arbitrária de arquivos e resulta em execução remota de código com privilégios de administrador. Escalada de privilégios, em que a sobrescrita de arquivos leva à execução de código como root, comprometendo totalmente o appliance. O ponto central do problema está no serviço phMonitor, um processo backend crítico do FortiSIEM responsável por monitoramento de saúde, distribuição de tarefas e comunicação entre nós via porta TCP 7900. Esse serviço expõe diversos manipuladores de comandos sem exigir autenticação e processa requisições relacionadas ao envio de logs para o Elasticsearch. Ao invocar um script de shell com parâmetros controlados pelo invasor, o serviço abre caminho para injeção de argumentos via curl, permitindo a gravação arbitrária de arquivos no disco. Um hacker pode explorar esse comportamento para gravar um shell reverso no arquivo /opt/charting/redishb.sh, que é executado automaticamente a cada minuto por um cron job com privilégios de root. Com isso, ocorre a escalada de privilégios de administrador para root, garantindo controle total do sistema. Outra falha crítica corrigida Além do FortiSIEM, a Fortinet também corrigiu uma vulnerabilidade crítica no FortiFone (CVE-2025-47855, CVSS 9,3). Essa falha permite que um hacker obtenha a configuração do dispositivo por meio de uma requisição HTTP(S) especialmente construída ao portal web. Versões afetadas do FortiFone: 3.0.13 a 3.0.23 – atualizar para 3.0.24 ou superior 7.0.0 a 7.0.1 – atualizar para 7.0.2 ou superior 7.2 – não afetado Recomendações A Fortinet orienta que todos os clientes atualizem imediatamente seus ambientes para as versões corrigidas. Como medida temporária para o CVE-2025-64155, a empresa recomenda restringir o acesso à porta TCP 7900, reduzindo a superfície de ataque até a aplicação do patch definitivo.