Um ataque cibernético obrigou a Higham Lane School, no município de Nuneaton, a permanecer fechada após o recesso de Natal. Cerca de 1.500 estudantes foram informados de que as aulas presenciais não seriam retomadas imediatamente devido à indisponibilidade total dos sistemas de TI da instituição. Em comunicado enviado a pais e responsáveis, a escola afirmou que o incidente derrubou completamente o ambiente tecnológico, deixando professores e funcionários sem acesso a telefones, e-mails, servidores e ao sistema de gestão escolar. O diretor Michael Gannon explicou que a reabertura estava prevista, inicialmente, para a quarta-feira, mas ressaltou que o prazo depende do entendimento completo do impacto e do trabalho de recuperação necessário. A escola também solicitou que alunos não tentem acessar nenhum sistema digital até novo aviso, como medida de precaução. A administração da Central England Academy Trust, responsável pela Higham Lane School e por outras cinco instituições na região, confirmou que está gerenciando um incidente de cibersegurança que afetou partes críticas da infraestrutura de TI. Segundo a entidade, protocolos de resposta a incidentes já foram acionados, especialistas independentes em cibersegurança foram contratados para conduzir a investigação e autoridades regulatórias foram notificadas, incluindo o Information Commissioner's Office (ICO), responsável pela proteção de dados no Reino Unido. Até o momento, a natureza exata do ataque não foi confirmada e não há informações oficiais sobre exfiltração de dados. O episódio ocorre em um contexto preocupante: em 2024, mais de 80 ataques de ransomware contra o setor de educação e cuidados infantis foram reportados ao ICO. Naquele ano, diversas escolas britânicas precisaram suspender atividades após extorsões cibernéticas com ameaça de vazamento de dados. A Central England Academy Trust informou que novas atualizações serão compartilhadas com as famílias e destacou que não é apropriado especular enquanto a investigação estiver em andamento. “A escola leva a privacidade e a segurança de sua comunidade muito a sério e está tomando todas as medidas razoáveis para gerenciar o incidente e restaurar os sistemas de forma segura e o mais rápido possível”, concluiu o porta-voz. RFN

Hackers estão conduzindo uma nova campanha de phishing e distribuição de malware contra o setor de hotelaria e hospitalidade na Europa, utilizando uma técnica engenhosa: uma falsa “Blue Screen of Death” (tela azul da morte) para induzir vítimas a executar códigos maliciosos em seus próprios computadores. Pesquisadores da Securonix identificaram a operação, batizada de PHALT#BLYX, que se apoia em engenharia social avançada e exploração do comportamento humano diante de erros aparentes no sistema. O ataque começa com e-mails falsos de cancelamento de reserva, que imitam plataformas populares de hospedagem e direcionam os alvos para páginas fraudulentas. Ao clicar em links como “See Details”, a vítima é levada a um site falso de reservas, onde surge uma mensagem de erro informando que o carregamento está demorando. Em seguida, ao tentar “atualizar” a página, o usuário se depara com uma tela azul falsa, cuidadosamente animada para parecer legítima. Para “corrigir” o problema, a página instrui o usuário a copiar e colar um script no comando Executar do Windows ação que, na prática, instala o malware DCRat. O DCRat é um trojan de acesso remoto amplamente comercializado em fóruns clandestinos russos. Uma vez instalado, ele permite que os hackers capturem teclas digitadas, senhas, dados da área de transferência, além de desativar mecanismos de defesa como o Windows Defender. Para reduzir suspeitas, o ataque ainda abre uma página legítima de reservas como isca, enquanto o malware atua silenciosamente em segundo plano. Segundo a Securonix, diversos indícios técnicos apontam para a origem russa do grupo, incluindo strings de depuração em russo, uso de arquivos de projeto do MSBuild e infraestrutura de comando e controle geolocalizada na Rússia. A campanha se intensificou durante o outono europeu, período de alta demanda no setor de turismo, explorando o senso de urgência com cobranças falsas acima de €1.000. Os pesquisadores alertam que a operação representa uma evolução sofisticada na entrega de malware comum, combinando manipulação psicológica e abuso de binários confiáveis do próprio sistema operacional. O objetivo é evadir detecção, manter persistência de longo prazo e ampliar o impacto antes que soluções tradicionais de segurança consigam reagir. TR

O Google está testando um novo modelo de inteligência artificial para geração de imagens chamado Nano Banana 2 Flash, que deve se tornar o modelo mais rápido da companhia nessa categoria. A novidade faz parte da linha Flash do Gemini, conhecida por priorizar desempenho e velocidade em aplicações de IA generativa. De acordo com as primeiras informações , o Nano Banana 2 Flash será mais rápido e mais acessível do que o modelo atual Nano Banana Pro, embora não alcance o mesmo nível de capacidade e precisão. A expectativa é que o novo modelo atenda casos de uso em que tempo de resposta e custo sejam mais importantes do que máxima fidelidade visual ou raciocínio avançado. Vazamento indica novo modelo em fase de testes A existência do Nano Banana 2 Flash foi identificada em publicações na rede social X por MarsForTech, conhecido por antecipar lançamentos e testes internos relacionados aos modelos Gemini. Até o momento, o Google não confirmou oficialmente o novo modelo, mas os indícios apontam para testes avançados dentro do ecossistema da empresa. Atualmente, o Nano Banana Pro também chamado de Gemini 3 Pro Image é o modelo mais avançado de geração e edição de imagens do Google. Ele foi projetado para trabalhos criativos mais complexos, nos quais precisão, entendimento contextual e qualidade visual são fundamentais. Diferença entre Nano Banana Pro e Flash O Nano Banana Pro utiliza raciocínio mais sofisticado e um conhecimento mais amplo do mundo real, permitindo criar imagens mais refinadas a partir de textos ou conteúdos de referência. Isso inclui protótipos, diagramas, storyboards, infográficos e até imagens no estilo de relatórios meteorológicos ou receitas, especialmente quando integrado a dados em tempo real via busca. Já o Nano Banana 2 Flash deve seguir uma proposta semelhante, porém com menos poder cognitivo, focando em execuções rápidas e eficientes. Essa abordagem indica uma estratégia clara do Google: oferecer múltiplas camadas de IA, equilibrando custo, velocidade e qualidade conforme a necessidade do usuário ou da aplicação. Estratégia do Google para IA generativa O possível lançamento do Nano Banana 2 Flash reforça o movimento do Google em segmentar seus modelos de IA para diferentes perfis de uso desde aplicações leves e em larga escala até cenários criativos mais exigentes. Essa diferenciação também amplia a competitividade da empresa no mercado de IA generativa visual, cada vez mais disputado por big techs e startups especializadas. BC

A cerimônia de posse do novo prefeito de New York City, Zohran Mamdani, marcada para 2026, chamou a atenção da comunidade de tecnologia e segurança ao proibir explicitamente os dispositivos Flipper Zero e Raspberry Pi no evento. A restrição consta na lista oficial de itens vetados publicada no FAQ do evento, conforme apontado inicialmente pela Adafruit . Além desses dispositivos, a lista inclui itens tradicionalmente associados a riscos físicos e logísticos, como mochilas grandes, armas, fogos de artifício, drones, carrinhos de bebê, bebidas alcoólicas, substâncias ilegais e animais que não sejam de serviço. O que causou estranhamento foi o fato de Flipper Zero e Raspberry Pi terem sido citados nominalmente, diferentemente de outros itens tecnológicos, que normalmente são agrupados em categorias genéricas. Por que Flipper Zero e Raspberry Pi entraram na lista? O Flipper Zero é amplamente utilizado por Pesquisadores, desenvolvedores e entusiastas para testes e aprendizado de protocolos de comunicação sem fio, como RFID, NFC, infravermelho, Bluetooth e sinais de rádio. Já o Raspberry Pi é um computador de placa única, de baixo custo, capaz de rodar distribuições Linux completas e executar uma ampla gama de aplicações muitas delas equivalentes às de um notebook tradicional. Apesar de seu uso legítimo em educação, pesquisa e desenvolvimento, dispositivos como o Flipper Zero já foram alvo de questionamentos por governos ao redor do mundo, sob a justificativa de possível uso em furtos de veículos, invasões de redes e outras atividades ilícitas. Em alguns casos, isso levou a propostas de restrição, apreensões pontuais e até banimentos temporários em plataformas de e-commerce, como a Amazon, que no passado chegou a retirar o produto de sua loja por preocupações com card skimming. Críticas e incoerências levantadas por especialistas A decisão, no entanto, gerou confusão e críticas porque laptops e smartphones não aparecem na lista de itens proibidos, apesar de possuírem capacidade técnica igual ou superior. Notebooks modernos podem rodar distribuições de pentest como Kali Linux, enquanto smartphones suportam ferramentas avançadas como Kali NetHunter. O profissional de segurança Stefan Klatt ironizou a medida nas redes sociais, afirmando que a lista “nomeia explicitamente dois dispositivos do mundo de TI ao lado de armas e drones”, e questionou: “Como dizer que você não faz ideia do que está falando sem dizer isso?”. Até o momento, os organizadores do evento não apresentaram justificativas técnicas ou operacionais para a escolha específica desses dispositivos. A ausência de explicações reforça o debate sobre desconhecimento técnico em decisões de segurança, além do risco de estigmatizar ferramentas amplamente utilizadas para fins legítimos de educação e pesquisa. BC

A autoridade francesa de proteção de dados aplicou uma multa de €1,7 milhão (cerca de US$ 2 milhões) à empresa de software Nexpublica France por falhas graves de cibersegurança que resultaram em um vazamento de dados sensíveis. A penalidade foi anunciada pela CNIL , órgão responsável por fiscalizar o cumprimento das leis de proteção de dados na França. O incidente remonta a novembro de 2022, quando usuários de um portal operado pela Nexpublica relataram que conseguiam acessar documentos pertencentes a terceiros, sem qualquer tipo de autorização. Após receber as denúncias, a CNIL iniciou uma investigação formal e concluiu que o programa de segurança da informação da empresa era inadequado, expondo dados pessoais de forma indevida. Falhas conhecidas e ausência de medidas preventivas Segundo a CNIL, os problemas de segurança já eram conhecidos internamente pela Nexpublica antes do vazamento, mas nenhuma ação corretiva foi adotada até que o incidente se tornasse público. Esse fator agravou a penalidade, já que a empresa teve oportunidade de mitigar os riscos, mas falhou em fazê-lo. Em comunicado oficial, o regulador afirmou que o valor da multa levou em consideração diversos fatores, como a capacidade financeira da empresa, a falta de conhecimento sobre princípios básicos de segurança, o número de pessoas impactadas e a sensibilidade dos dados tratados. As práticas adotadas pela Nexpublica foram consideradas incompatíveis com as exigências do Regulamento Geral de Proteção de Dados (GDPR), legislação europeia que estabelece padrões rigorosos para a proteção de informações pessoais. Alerta para empresas que tratam dados sensíveis O caso reforça a postura cada vez mais rigorosa das autoridades europeias em relação à negligência em cibersegurança, especialmente quando envolve dados pessoais. Para a CNIL, o incidente demonstra que não basta reagir após um vazamento, sendo essencial manter controles preventivos, gestão de riscos e boas práticas de segurança continuamente atualizadas. A multa aplicada à Nexpublica serve como um alerta direto a empresas de tecnologia e prestadores de serviços digitais, destacando que falhas básicas de segurança podem resultar não apenas em incidentes operacionais, mas também em impactos financeiros e reputacionais significativos. RFN

PÚBLICIDADE | Conteúdo patrocinado por Black Box AI À medida que a Inteligência Artificial assume tarefas cada vez mais próximas às de um programador júnior, cresce também a discussão sobre até onde a automação pode ir sem comprometer o fator humano. Esse alerta foi feito por Don Murray , CEO da Safe Software, ao afirmar que a IA já é indispensável como assistente, mas nunca deve ser tratada como autoridade final. Esse ponto dialoga diretamente com a proposta da Black Box AI : usar a IA para potencializar o trabalho humano, acelerar análises, reduzir erros repetitivos e ampliar a capacidade técnica sem substituir o julgamento crítico de quem entende do negócio, do código ou do contexto. IA precisa de dados. Profissionais precisam de contexto. Murray destaca que a IA tem uma “sede infinita por dados”, mas que decisões críticas exigem algo que modelos sozinhos não possuem: experiência prática e responsabilidade humana. A Black Box AI nasce exatamente nesse equilíbrio. Na prática, a plataforma atua como uma copilota técnica, ajudando desenvolvedores, analistas e engenheiros a: Entender códigos complexos e legados; Detectar falhas de lógica, segurança e performance; Gerar explicações claras sobre o porquê de uma sugestão; Acelerar troubleshooting, refatoração e aprendizado técnico. Tudo isso mantendo o profissional no controle da decisão, reforçando o conceito de human in the loop citado por Murray. Precisão não é opcional em ambientes críticos O CEO da Safe Software chama atenção para um ponto sensível: 80% ou 90% de acurácia pode ser inaceitável em setores como engenharia, saúde ou infraestrutura crítica. É por isso que ferramentas de IA não podem ser usadas como “caixas-pretas” decisórias. A Black Box AI se diferencia justamente por: Tornar transparentes as sugestões geradas; Explicar raciocínios, dependências e impactos; Apoiar validações técnicas antes da execução; Reduzir o risco de “aceitar cegamente” uma resposta da IA. Ou seja, a IA acelera mas quem assina a decisão continua sendo o humano. O risco invisível: pular a formação de novos especialistas Um dos alertas mais fortes de Murray é estratégico: empresas que deixam de contratar profissionais juniores por confiar apenas na IA podem criar um vácuo de conhecimento no futuro. Experiência não se baixa como software ela se constrói. Nesse cenário, a Black Box AI atua como uma ferramenta de nivelamento técnico, permitindo que: Profissionais mais novos ganhem produtividade sem pular etapas de aprendizado; Profissionais experientes validem, corrijam e orientem decisões; O conhecimento seja transferido, documentado e compreendido com mais rapidez. A IA não substitui a carreira ela acelera a evolução dela. IA veio para ficar, mas não para decidir sozinha Assim como a internet deixou de ser vista como “bolha” para se tornar infraestrutura essencial, a IA seguirá evoluindo. A diferença estará em como ela é usada. Plataformas como a Black Box AI mostram que o futuro não é humano versus máquina é humano + IA, cada um no papel certo. Teste na prática Usando o cupom CYBER, você garante 1 mês de acesso gratuito à Black Box AI , com todos os recursos liberados, e pode experimentar como a IA pode acelerar seu trabalho técnico sem abrir mão do controle, da segurança e do pensamento crítico.

Moradores da Califórnia agora contam com uma nova ferramenta oficial para reduzir a capacidade de empresas que comercializam dados armazenarem e venderem informações pessoais. A iniciativa representa mais um avanço no fortalecimento das regras de privacidade no estado, hoje referência global em proteção de dados. Desde 2020, os residentes já possuíam o direito legal de solicitar que empresas interrompessem a coleta e a venda de seus dados. No entanto, o processo era considerado complexo e desgastante, pois exigia que cada cidadão realizasse pedidos individuais para centenas de empresas diferentes. Para enfrentar esse desafio, a Califórnia aprovou em 2023 o Delete Act , uma legislação criada para centralizar e simplificar esse procedimento. A lei agora passa a valer na prática com o lançamento da Delete Requests and Opt-Out Platform (DROP). A plataforma permite que moradores do estado, após validarem sua residência, façam um único pedido de exclusão, que será automaticamente encaminhado para mais de 500 empresas que comercializam dados registradas atualmente além de novas empresas que venham a se registrar futuramente. Apesar do avanço, a exclusão não ocorrerá de forma imediata. As empresas deverão iniciar o processamento das solicitações apenas em agosto de 2026, contando com um prazo adicional de até 90 dias para localizar os registros, excluir as informações e reportar o cumprimento da solicitação. Caso uma empresa não consiga identificar os dados do solicitante, o cidadão poderá fornecer informações complementares para auxiliar na localização. A legislação também estabelece limites claros. Organizações poderão manter dados primários, ou seja, informações coletadas diretamente de seus próprios clientes. A obrigação de exclusão se aplica exclusivamente a empresas cujo modelo de negócio envolve a compra, agregação ou venda de dados pessoais, um mercado que inclui informações sensíveis como número de seguridade social (Social Security Number), histórico de navegação, endereços de e-mail, números de telefone e outros identificadores. Alguns tipos de dados permanecem fora do escopo da exclusão, como registros públicos de veículos e cadastros eleitorais. Já informações médicas sensíveis continuam protegidas por legislações específicas, como a HIPAA, que regula a privacidade de dados de saúde nos Estados Unidos. De acordo com a California Privacy Protection Agency, além de ampliar o controle dos cidadãos sobre seus dados pessoais, a nova plataforma pode reduzir significativamente ligações, mensagens e e-mails indesejados, além de diminuir os riscos de roubo de identidade, fraudes, golpes com uso de inteligência artificial e vazamentos de dados. TC

A Trust Wallet confirmou que o roubo de aproximadamente US$ 8,5 milhões em criptomoedas, que afetou mais de 2.500 carteiras, está provavelmente ligado ao ataque à cadeia de suprimentos Shai-Hulud, registrado em novembro e considerado de impacto “industrial”. O incidente envolveu o comprometimento da extensão de navegador da Trust Wallet, amplamente utilizada por milhões de usuários. Com mais de 200 milhões de usuários em todo o mundo, a Trust Wallet permite armazenar, enviar e receber ativos como Bitcoin, Ethereum, Solana e milhares de outros tokens por meio de extensões de navegador e aplicativos móveis. O ataque, ocorrido em 24 de dezembro, teve início após hackers inserirem um arquivo JavaScript malicioso na versão 2.68.0 da extensão da Trust Wallet para Chrome, permitindo o roubo de dados sensíveis das carteiras e a execução de transações não autorizadas. Vazamento de segredos de desenvolvedor abriu caminho para o ataque Segundo a própria empresa , o vetor crítico do ataque foi a exposição de segredos de desenvolvedor no GitHub, o que concedeu aos hackers acesso ao código-fonte da extensão e à chave da API da Chrome Web Store (CWS). Com essa chave, os invasores obtiveram acesso total à API da loja, conseguindo publicar novas versões da extensão sem passar pelo processo interno padrão de aprovação e revisão manual da Trust Wallet. Na etapa seguinte, os hackers registraram o domínio metrics-trustwallet.com e o subdomínio api.metrics-trustwallet.com, usados para hospedar código malicioso que foi incorporado diretamente à extensão oficial adulterada. Como o build foi gerado a partir do código-fonte legítimo obtido com os segredos vazados, o malware conseguiu coletar dados sensíveis das carteiras sem recorrer a técnicas tradicionais de injeção de código, tornando a detecção ainda mais difícil. Utilizando a chave vazada da CWS, a versão 2.68 foi publicada e liberada automaticamente na loja do Chrome após passar pelas verificações da plataforma, ignorando os controles internos da empresa. Resposta ao incidente e alertas aos usuários Após identificar o ataque, a Trust Wallet revogou todas as APIs de release, bloqueando qualquer tentativa de publicação de novas versões comprometidas. A empresa também reportou os domínios maliciosos ao registrador NiceNIC, que os suspendeu rapidamente, impedindo novos roubos de dados. Além disso, a Trust Wallet iniciou o processo de reembolso das vítimas e alertou sobre uma nova onda de golpes secundários. Hackers estão se passando por contas oficiais de suporte, divulgando falsos formulários de compensação e promovendo fraudes por meio de anúncios no Telegram. Shai-Hulud: o ataque à supply chain por trás do incidente O Shai-Hulud (também conhecido como Shai-Hulud 2.0) foi um ataque massivo à cadeia de suprimentos que explorou o ecossistema do npm, repositório que hospeda mais de 2 milhões de pacotes. Na primeira onda, em setembro, hackers comprometeram mais de 180 pacotes, utilizando um payload auto-propagável para roubar segredos de desenvolvedores e chaves de API com a ferramenta TruffleHog. Na segunda fase, o ataque escalou rapidamente, impactando mais de 800 pacotes e adicionando 27 mil pacotes maliciosos ao npm. Ao todo, cerca de 400 mil segredos foram expostos e publicados em mais de 30 mil repositórios do GitHub, com mais de 60% dos tokens npm ainda válidos até dezembro. Pesquisadores da Wiz alertaram recentemente que os hackers estão aperfeiçoando operações de roubo de credenciais usando o ecossistema npm e o GitHub. Segundo eles, o volume de segredos já coletados indica que novos ataques são praticamente inevitáveis, tanto com técnicas semelhantes quanto explorando os dados já roubados. BC

A empresa de administração de sinistros Sedgwick confirmou que sua subsidiária voltada ao setor público está lidando com um incidente de cibersegurança. A confirmação veio após o grupo hacker de ransomware TridentLocker afirmar, na véspera do Ano Novo, que invadiu a Sedgwick Government Solutions e teria exfiltrado 3,4 GB de dados. Segundo a companhia, a unidade afetada presta serviços de gestão de riscos e administração de sinistros para diversas agências federais dos Estados Unidos, incluindo o Department of Homeland Security (DHS), Immigration and Customs Enforcement (ICE), Customs and Border Protection (CBP), Citizenship and Immigration Services (USCIS), Department of Labor e a Cybersecurity and Infrastructure Security Agency (CISA). Resposta ao incidente e escopo limitado Em comunicado oficial, um porta-voz da Sedgwick informou que, assim que o incidente foi identificado, a empresa acionou seus protocolos de resposta a incidentes e contratou especialistas externos em cibersegurança, por meio de assessoria jurídica, para apoiar a investigação. O foco da análise está em um sistema isolado de transferência de arquivos, que teria sido o único ambiente impactado. A empresa ressaltou que a Sedgwick Government Solutions é segmentada do restante da operação global, o que, segundo a organização, evitou impactos mais amplos. Até o momento, não há indícios de acesso aos servidores de gestão de sinistros, nem prejuízo à continuidade dos serviços prestados aos clientes governamentais. Comunicação com autoridades e clientes A Sedgwick informou ainda que notificou as autoridades policiais e está em contato direto com seus clientes para tratar do incidente. Procuradas pela imprensa, a CISA e o DHS não se manifestaram até o momento. Além do atendimento a órgãos federais, a Sedgwick também presta serviços para agências municipais nos 50 estados norte-americanos, bem como para instituições de grande relevância, como o Smithsonian Institution e a Port Authority of New York and New Jersey, o que amplia a atenção em torno do caso. TridentLocker e o foco em contratadas do governo O TridentLocker é um grupo hacker relativamente novo, surgido em novembro , segundo Pesquisadores de cibersegurança. Antes do ataque à Sedgwick, o grupo já havia reivindicado a autoria de uma invasão contra o serviço postal belga bpost, que confirmou recentemente uma violação de dados. Desde seu surgimento, o grupo listou 12 vítimas em seu site de vazamentos. O caso reforça uma tendência preocupante: contratadas do governo federal continuam sendo alvos prioritários de ataques de ransomware. Um exemplo recente foi o ataque à empresa Conduent, que resultou no vazamento de dados de mais de 10 milhões de pessoas no ano passado. RFN

Pesquisadores divulgaram detalhes de uma nova campanha de ciberespionagem atribuída ao grupo hacker Transparent Tribe, também conhecido como APT36, que tem como alvo órgãos governamentais, instituições acadêmicas e entidades estratégicas da Índia. Os ataques utilizam um trojan de acesso remoto (RAT) capaz de manter controle persistente sobre sistemas comprometidos, permitindo espionagem contínua das vítimas. De acordo com um relatório técnico da CYFIRMA , a campanha emprega técnicas sofisticadas de engenharia social e evasão. O vetor inicial é um e-mail de spear phishing que contém um arquivo ZIP com um atalho do Windows (LNK) disfarçado de documento PDF legítimo . Para aumentar a credibilidade, o arquivo inclui o conteúdo real do PDF, reduzindo a suspeita do usuário no momento da abertura. Cadeia de infecção baseada em mshta.exe e execução em memória Ao ser aberto, o arquivo LNK executa silenciosamente um script HTA remoto por meio do utilitário nativo do Windows mshta.exe. Esse script é responsável por descriptografar e carregar o payload final do RAT diretamente na memória, dificultando a detecção por soluções tradicionais de segurança. Paralelamente, um PDF isca é aberto para dar a impressão de que apenas um documento legítimo foi acessado. Segundo os Pesquisadores, o malware faz uso intensivo de objetos ActiveX, como o WScript.Shell, para interagir com o sistema operacional, realizar profiling do ambiente e ajustar sua execução conforme a configuração da máquina infectada. Essa abordagem aumenta significativamente a confiabilidade do ataque e demonstra um alto nível de maturidade operacional do grupo hacker. Persistência adaptativa conforme o antivírus instalado Um dos aspectos mais preocupantes dessa campanha é a capacidade do malware de adaptar seus mecanismos de persistência com base na solução antivírus detectada no sistema comprometido: Quando o Kaspersky é identificado, o malware cria um diretório em *C:\Users\Public\core*, grava um payload HTA ofuscado no disco e estabelece persistência por meio de um atalho LNK na pasta de inicialização do Windows, que executa o script via mshta.exe. Em sistemas com Quick Heal, a persistência é feita com a criação de um arquivo batch e um LNK malicioso na pasta Startup, que chamam o HTA gravado no disco. Caso sejam detectados Avast, AVG ou Avira, o payload é simplesmente copiado para o diretório de inicialização e executado diretamente. Se nenhum antivírus conhecido for encontrado, o malware recorre a uma combinação de execução via batch, persistência no registro do Windows e implantação do payload, antes de iniciar o script malicioso. RAT completo voltado à espionagem O estágio final da infecção envolve o carregamento de uma DLL chamada iinneldc.dll, que atua como um RAT completo. Entre suas funcionalidades estão controle remoto do sistema , gerenciamento de arquivos, exfiltração de dados, captura de screenshots, manipulação da área de transferência e controle de processos, características típicas de operações de espionagem patrocinadas por Estados-nação. O histórico do Transparent Tribe mostra um arsenal em constante evolução, com o uso anterior de famílias de malware como CapraRAT, Crimson RAT, ElizaRAT e DeskRAT. Ativo desde pelo menos 2013, o grupo é amplamente conhecido por conduzir campanhas prolongadas e direcionadas contra interesses estratégicos indianos, reforçando seu perfil como um ator persistente e altamente direcionado no cenário de ameaças cibernéticas. THN

Pesquisadores revelaram os detalhes de uma campanha avançada de phishing na qual hackers exploraram um recurso legítimo do Google Cloud para enviar e-mails falsos que se passam por notificações oficiais do próprio Google. A técnica permitiu que as mensagens fossem distribuídas a partir de um endereço legítimo noreply-application-integration@google[.]com aumentando drasticamente a taxa de sucesso do golpe ao contornar filtros tradicionais de segurança de e-mail. De acordo com a Check Point , os invasores abusaram do serviço Application Integration , mais especificamente da funcionalidade “ Send Email ”, criada para automações corporativas. Embora o recurso tenha sido projetado para facilitar notificações internas, os hackers conseguiram configurá-lo para enviar mensagens a endereços arbitrários, explorando a confiança associada à infraestrutura do Google para burlar mecanismos como DMARC e SPF. E-mails legítimos na aparência, maliciosos na prática Os e-mails simulavam notificações corporativas comuns, como alertas de correio de voz, solicitações de acesso a arquivos ou permissões para documentos compartilhados por exemplo, um suposto arquivo “Q4”. O visual, a linguagem e a estrutura seguiam fielmente o padrão das comunicações oficiais do Google, o que reduziu a desconfiança das vítimas e aumentou a taxa de cliques. Durante um período de 14 dias em dezembro de 2025, foram enviados 9.394 e-mails de phishing, atingindo cerca de 3.200 organizações em regiões como Estados Unidos, Europa, Canadá, América Latina e Ásia-Pacífico. Entre os setores mais afetados estão manufatura, tecnologia, finanças, serviços profissionais e varejo, embora áreas como educação, saúde, governo, energia e transporte também tenham sido impactadas. Cadeia de ataque em múltiplas etapas e infraestrutura confiável O ataque não se limitava ao e-mail. Ao clicar no link malicioso, a vítima era redirecionada inicialmente para um endereço hospedado em storage.cloud.google[.]com, outro serviço legítimo do Google Cloud. Em seguida, o fluxo levava para conteúdos hospedados em googleusercontent[.]com, onde era apresentada uma falsa verificação CAPTCHA técnica usada para bloquear scanners automatizados e ferramentas de segurança. Após essa etapa, o usuário era encaminhado para uma página falsa de login do Microsoft 365, hospedada fora dos domínios oficiais da Microsoft. Nesse ponto, qualquer credencial inserida era capturada pelos hackers, caracterizando o objetivo final da campanha: roubo de credenciais corporativas. Atualização: OAuth phishing e abuso de múltiplas nuvens Segundo novas análises divulgadas pela xorlab e pela Ravenmail , a campanha também incorporou técnicas de OAuth consent phishing. Nesse cenário, as vítimas eram induzidas a conceder permissões a um aplicativo malicioso no Azure AD, permitindo acesso persistente a recursos em nuvem, como VMs, storage, bancos de dados e assinaturas do Azure, mesmo após troca de senha. Além disso, páginas falsas de login também foram hospedadas em buckets do Amazon S3, ampliando o uso de infraestruturas confiáveis como Google, Microsoft e AWS em diferentes estágios do ataque. Essa estratégia distribuída torna a detecção extremamente complexa, já que nenhum ponto isolado do fluxo parece, à primeira vista, malicioso. Resposta do Google Em resposta às descobertas, o Google informou que bloqueou o abuso da funcionalidade de envio de e-mails no Application Integration e que está implementando medidas adicionais para evitar novos usos indevidos. O caso reforça como recursos legítimos de automação em nuvem podem ser transformados em vetores de ataque altamente eficazes quando explorados por hackers. THN

Pesquisadores identificaram o que aparenta ser uma nova variante do worm Shai-Hulud circulando no npm, com pequenas, porém relevantes, modificações em relação à campanha observada no final de 2025. A descoberta levanta novamente alertas sobre os riscos crescentes de ataques à cadeia de suprimentos de software, especialmente no ecossistema open source. O pacote malicioso identificado foi o @vietmoney/react-big-calendar , originalmente publicado em março de 2021 por um usuário chamado hoquocdat, mas que permaneceu inativo por anos. Somente em 28 de dezembro de 2025 o pacote recebeu sua primeira atualização, chegando à versão 0.26.2. Desde então, foram registrados 698 downloads no total, sendo 197 apenas da versão mais recente números relativamente baixos, mas suficientes para chamar a atenção dos Pesquisadores. A análise foi conduzida pela empresa de segurança Aikido, que afirma não ter identificado, até o momento, um surto significativo de infecções. Para os Pesquisadores, isso indica que o pacote pode ter sido usado como ambiente de teste para validar um novo payload do malware antes de uma campanha em larga escala. Segundo o Pesquisador Charlie Eriksen , o código apresenta sinais claros de reofuscação completa, e não apenas pequenas edições sobre o código original. Esse detalhe sugere que o autor da nova amostra teve acesso ao código-fonte original do Shai-Hulud, afastando a hipótese de um simples imitador. A conclusão reforça a ideia de continuidade da campanha por parte do mesmo grupo hacker. Evolução do Shai-Hulud e mudanças na nova variante O ataque Shai-Hulud veio a público pela primeira vez em setembro de 2025, quando pacotes trojanizados no npm passaram a roubar tokens do npm, GitHub, credenciais de nuvem e chaves de API, enviando esses dados para repositórios controlados pelos hackers. Em uma segunda onda, identificada em novembro, os repositórios de exfiltração traziam a descrição “Sha1-Hulud: The Second Coming”. O diferencial mais perigoso do Shai-Hulud sempre foi seu comportamento do tipo worm. Após comprometer um desenvolvedor, o malware utiliza os tokens roubados para identificar até 100 dos pacotes mais populares associados à mesma conta, inserir código malicioso neles e republicá-los no npm, ampliando exponencialmente o impacto do ataque à cadeia de suprimentos. Na nova variante, os Pesquisadores observaram alterações importantes, incluindo: Renomeação dos arquivos iniciais para bun_installer.js e environment_source.js Uso de novos nomes ofuscados para arquivos que armazenam segredos roubados Mudança na descrição dos repositórios de exfiltração para “Goldox-T3chs: Only Happy Girl” Remoção do “dead man switch”, que anteriormente acionava um wiper caso não fossem encontrados tokens válidos Melhor tratamento de erros, inclusive quando scanners como o TruffleHog apresentam timeout Ajustes na lógica de coleta, ordenação e publicação dos dados roubados Ataque semelhante também atinge o ecossistema Java Paralelamente, os Pesquisadores também identificaram um pacote malicioso no Maven Central, disfarçado como uma extensão legítima da popular biblioteca Jackson JSON. O pacote utilizava uma técnica conhecida como typosquatting, explorando a diferença sutil entre os namespaces legítimos e falsos para enganar desenvolvedores. Ao ser incluído em projetos Spring Boot, o malware era executado automaticamente durante a inicialização da aplicação, sem necessidade de chamadas explícitas no código. A partir daí, ele realizava verificações no sistema e baixava payloads específicos para cada sistema operacional, incluindo um beacon do Cobalt Strike , ferramenta legítima de simulação adversária frequentemente abusada por grupos hackers para comando e controle pós-exploração. Segundo a Aikido, esse tipo de ataque explora uma falha estrutural nos mecanismos de validação do Maven Central, que hoje não conseguem diferenciar com eficiência pacotes legítimos de cópias maliciosas que utilizam prefixos semelhantes. A recomendação é que repositórios passem a tratar namespaces críticos como ativos de alto valor, aplicando verificações adicionais antes da publicação. THN