Uma falha grave no plugin Sneeit Framework, utilizado em sites WordPress, está sendo explorada ativamente por hackers, segundo dados da empresa Wordfence. Classificada como CVE-2025-6389 e com pontuação CVSS de 9.8, a vulnerabilidade permite execução remota de código (RCE) e afeta todas as versões do plugin até a 8.3 que soma mais de 1.700 instalações ativas. A correção foi disponibilizada na versão 8.4, lançada em 5 de agosto de 2025. De acordo com a Wordfence , a falha decorre do uso inseguro da função sneeit_articles_pagination_callback(), que repassa entrada fornecida pelo usuário para call_user_func(). Isso permite que invasores não autenticados executem funções PHP arbitrárias, como wp_insert_user(), possibilitando a criação de usuários administradores maliciosos. Com esse acesso, os hackers conseguem assumir o controle do site e injetar códigos que redirecionam visitantes para páginas fraudulentas, malware ou spam. Os ataques começaram no mesmo dia em que a falha foi divulgada publicamente, em 24 de novembro de 2025. Desde então, a Wordfence afirma ter bloqueado mais de 131 mil tentativas de exploração, incluindo 15.381 ataques apenas nas últimas 24 horas . Entre as táticas observadas estão requisições manipuladas ao endpoint /wp-admin/admin-ajax.php para criar usuários falsos como “arudikadis” e enviar arquivos PHP maliciosos como tijtewmg.php. Esses arquivos funcionam como backdoors e podem ler, editar, apagar arquivos, escanear diretórios e extrair ZIPs. Outras variantes identificadas incluem xL.php, Canonical.php, .a.php e simple.php. O shell xL.php, por exemplo, é baixado por up_sf.php, o qual também recupera um arquivo .htaccess do domínio racoonlab[.]top para garantir execução de scripts mesmo em diretórios normalmente restritos. ICTBroadcast explorado para distribuir o botnet Frost Enquanto isso, a empresa VulnCheck alertou sobre ataques ativos explorando a vulnerabilidade CVE-2025-2611 no sistema ICTBroadcast. Os ataques visam baixar um shell script stager responsável por instalar diferentes versões de um binário chamado Frost, compatível com múltiplas arquiteturas. Cada versão é executada e, em seguida, removida junto com o stager para dificultar a análise forense. O Frost combina ferramentas de DDoS com mecanismos de propagação que incluem 14 exploits cobrindo 15 CVEs. Segundo Jacob Baines , pesquisador da VulnCheck, o Frost opera de forma seletiva: “O operador não dispara exploits indiscriminadamente pela internet. O Frost verifica primeiro as condições do alvo e só continua se encontrar exatamente os indicadores que espera.” Um exemplo: o Frost só explora a falha CVE-2025-1610 quando recebe, em duas requisições HTTP consecutivas, as strings “Set-Cookie: user=(null)” e “Set-Cookie: user=admin”. Caso contrário, o malware permanece inativo. Os ataques recentes vêm do IP 87.121.84[.]52, e, embora várias botnets já tenham utilizado essas vulnerabilidades, os pesquisadores apontam que esta campanha específica parece mais focada e limitada, já que menos de 10 mil sistemas expostos são vulneráveis. Isso sugere que o grupo por trás da operação é pequeno, mas possui ferramentas adicionais além daquelas identificadas no binário Frost. Via - THN

Pesquisadores revelaram detalhes sobre duas novas famílias de malware voltadas para Android FvncBot e SeedSnatcher além de uma versão significativamente aprimorada do spyware ClayRat, que tem sido observado em campanhas recentes. As descobertas foram realizadas por equipes da Intel 471 , CYFIRMA e Zimperium . O primeiro deles, FvncBot, se disfarça como um aplicativo de segurança desenvolvido pelo banco polonês mBank, com o objetivo de atingir usuários de mobile banking na Polônia. Diferentemente de trojans consolidados como o ERMAC cujo código já vazou publicamente o FvncBot foi inteiramente escrito do zero, demonstrando esforço claro de inovação por parte dos hackers. Segundo a Intel 471, o malware incorpora um conjunto robusto de funcionalidades: keylogging por meio da exploração dos serviços de acessibilidade do Android, ataques de web-inject, streaming de tela e o uso de hidden VNC (HVNC), que permite controlar o dispositivo remotamente sem que a vítima perceba. O app falso atua como loader, instalando silenciosamente o payload malicioso após enganar o usuário com um suposto componente do Google Play, alegado como essencial para “segurança e estabilidade”. Na prática, essa etapa serve para contornar restrições das versões mais recentes do Android (13+) que limitam abusos de acessibilidade. Durante a execução, o FvncBot se comunica com um servidor remoto no domínio naleymilva.it.com, onde envia registros de atividade e recebe comandos. Os identificadores encontrados apontam que o alvo são usuários poloneses e que o malware ainda está em fase inicial de desenvolvimento. Uma vez instalado, o FvncBot solicita permissões de acessibilidade para operar com privilégios elevados e conectar-se a um servidor externo via HTTP, registrando o dispositivo e recebendo instruções por Firebase Cloud Messaging (FCM). Entre suas capacidades estão: Controle remoto da navegação na tela por WebSocket, incluindo cliques, rolagem e gestos; Exfiltração de eventos de acessibilidade, apps instalados e informações do dispositivo; Exibição de overlays maliciosos sobre aplicativos legítimos para roubo de dados sensíveis; Keylogging por acessibilidade; Streaming da tela via MediaProjection; Inspeção do layout da tela mesmo em apps com FLAG_SECURE , impedindo screenshots. Até o momento, não há confirmação de como o FvncBot é distribuído, mas campanhas semelhantes já utilizaram golpes via SMS e lojas de aplicativos de terceiros. Enquanto isso, o SeedSnatcher, distribuído no Telegram sob o nome “Coin”, foca no roubo de seed phrases de carteiras de criptomoedas. O malware também intercepta mensagens SMS para capturar códigos de 2FA, permitindo invasões de contas. Além disso, coleta dados do dispositivo, contatos, registros de chamadas, arquivos e informações sensíveis por meio de overlays de phishing. Indicadores linguísticos sugerem que o grupo responsável pelo SeedSnatcher seja chinês ou de língua chinesa. A CYFIRMA destaca que o SeedSnatcher usa técnicas avançadas de evasão, como carregamento dinâmico de classes, injeção oculta de conteúdo em WebView e uso de instruções de comando com base em inteiros. O malware começa pedindo permissões mínimas, mas gradualmente amplia seu acesso ao dispositivo. Já o ClayRat conhecido spyware Android recebeu uma atualização significativa, tornando-se mais agressivo e difícil de remover. A análise da Zimperium mostra que o malware agora abusa dos serviços de acessibilidade, captura teclas digitadas, grava a tela, cria overlays persistentes (incluindo falsos avisos de atualização do sistema) e até desbloqueia automaticamente o PIN, senha ou padrão do dispositivo. Ele também coleta notificações e mantém controle contínuo do aparelho. O ClayRat tem sido disseminado por meio de 25 domínios fraudulentos que imitam serviços populares, como YouTube, oferecendo supostas versões “Pro” com reprodução em segundo plano e suporte HDR. Outras variantes têm sido distribuídas por apps disfarçados como serviços russos de táxi e estacionamentos. Pesquisadores alertam que o conjunto de novas técnicas transforma o ClayRat em um spyware extremamente perigoso, capaz de se manter ativo mesmo quando a vítima tenta reiniciar ou desinstalar o app. Via - THN

Pesquisadores identificaram uma nova onda de ataques direcionados a desenvolvedores por meio de extensões maliciosas publicadas no marketplace do Microsoft Visual Studio Code (VS Code). As extensões, que aparentavam ser apenas temas escuros “premium” ou assistentes de código com inteligência artificial, operavam como ferramentas de espionagem capazes de roubar dados sensíveis e instalar malware adicional. As extensões BigBlack.bitcoin-black e BigBlack.codo-ai somavam pouco mais de 40 instalações antes de serem removidas pela Microsoft entre os dias 5 e 8 de dezembro de 2025. Um terceiro pacote do mesmo publicador, BigBlack.mrbigblacktheme, também foi retirado após confirmação de que continha código malicioso. Embora uma delas fosse ativada a cada ação no VS Code, a Codo AI escondia seu comportamento dentro de um recurso funcional, dificultando a detecção pelos usuários. Segundo Idan Dardikman , da Koi Security, os invasores tinham acesso a praticamente tudo que estivesse na tela ou no sistema: “Seu código, seus e-mails, suas conversas do Slack… o que estiver na sua tela, eles veem também. E isso é só o começo.” Além disso, o malware obtinha senhas de redes Wi-Fi, conteúdo da área de transferência e sessões de navegador. Versões iniciais das extensões baixavam um arquivo ZIP protegido por senha a partir de um servidor externo e extraíam o payload usando múltiplas técnicas. Em determinado momento, o invasor chegou a distribuir, por engano, uma versão que abria uma janela visível do PowerShell o que poderia alertar usuários mais atentos. Depois, o processo foi “aperfeiçoado” para rodar silenciosamente, usando scripts em batch e comandos curl. O ataque se apoiava ainda em DLL hijacking utilizando o executável legítimo do aplicativo Lightshot. A biblioteca maliciosa capturava screenshots, lista de processos, apps instalados, cookies de navegadores e outras informações sensíveis, enviando tudo para um servidor controlado pelo hacker. O malware também iniciava Chrome e Edge em modo headless para sequestrar sessões de login. A investigação acontece em paralelo a descobertas feitas pela empresa Socket, que detectou pacotes maliciosos também nos ecossistemas Go, npm e Rust. Entre eles: Go: pacotes falsos como bpoorman/uuid e bpoorman/uid, publicados desde 2021, imitam bibliotecas legítimas e enviam dados para um serviço de paste anônimo ao serem executados com uma função chamada valid. npm: ao menos 420 pacotes seguindo o padrão de nome elf-stats-, atribuídos a um possível hacker francófono, incluíam código para abrir reverse shells e exfiltrar arquivos para um endpoint no Pipedream. Rust: o pacote finch-rust , que se passava pela ferramenta de bioinformática finch, servia como carregador de uma payload maliciosa hospedada em outro crate, sha-rust, ativado ao chamar determinadas rotinas de serialização. O pesquisador Kush Pandya, da Socket, explica que o design modular torna a detecção mais complexa: “O finch-rust parece benigno por si só, mas contém uma linha de código que carrega e executa o payload. Já o sha-rust guarda o malware real. Essa separação dificulta identificar o ataque.” O caso reforça um alerta que vem crescendo no setor: ambientes de desenvolvimento estão se tornando alvos prioritários para hackers, que exploram a cadeia de supply chain de software para atingir empresas inteiras por meio de um único desenvolvedor comprometido. Via - THN

Em meio à crescente preocupação com ataques digitais que miram desde infraestrutura crítica até satélites comerciais, a OTAN realizou nesta semana o maior exercício de ciberdefesa já promovido pela aliança . Cerca de 1.300 participantes, provenientes de 29 países membros e sete nações parceiras, foram desafiados a responder a ataques simulados contra usinas de energia, depósitos de combustível, redes militares e sistemas espaciais. O treinamento, batizado de Cyber Coalition, ocorreu no cyber range nacional da Estônia, o CR14 uma instalação desenvolvida pelo Ministério da Defesa estoniano. O objetivo do exercício vai além da proteção de redes tradicionais: ele simula cenários complexos semelhantes aos observados em conflitos recentes, nos quais ataques digitais coexistem com campanhas de desinformação, tentativas de provocar instabilidade social e ações coordenadas que visam enfraquecer a capacidade militar dos países. Segundo o diretor do exercício, o comandante da Marinha dos EUA Brian Caplan, a proposta não é competir, mas criar sinergia entre as nações. “Aqui, o mais forte ajuda o mais fraco. O único objetivo é garantir que todos estejam mais preparados”, afirmou. A maior parte dos participantes mais de 1.000 atuou de forma remota, em bases militares e centros de operações ao redor do mundo. Isso permitiu reproduzir com maior fidelidade situações reais, nas quais incidentes cibernéticos afetam simultaneamente múltiplos setores e países. O exercício ocorre em um momento em que o Conselho do Atlântico Norte alerta para ameaças híbridas provenientes da Rússia, que têm impactado aliados e parceiros da OTAN. Os cenários apresentados no exercício incluíam a identificação de malware desconhecido, análises de anomalias em fluxos de dados de satélites, falhas inexplicáveis na distribuição de combustível e alertas inesperados em redes elétricas. Para avançar em cada etapa, os participantes precisavam compartilhar inteligência entre si, distinguindo se um incidente era um acidente, um ataque conduzido por hackers com fins criminosos ou uma campanha silenciosa de um Estado-nação. Segundo Caplan, essa abordagem ressalta a interdependência entre países e setores. “No ciberespaço, não há fronteiras. Um incidente em uma nação pode gerar efeitos imediatos em outras. Por isso, confiança e colaboração são fundamentais.” Os organizadores reforçam que nenhum país conseguiria “vencer” os cenários sozinho apenas o intercâmbio constante de informações permitia compreender o ataque e responder adequadamente. Pela primeira vez, o exercício incluiu também um cenário espacial, inspirado no ataque à rede de satélites da Viasat no início da invasão russa à Ucrânia. Segundo o vice-diretor do exercício, Ezio Cerrato, “um incidente no espaço não fica só no espaço ele afeta imediatamente sistemas aéreos, marítimos e civis”. Além dos analistas técnicos, equipes jurídicas, especialistas em logística e planejadores militares participaram das simulações. Eles tinham de responder simultaneamente aos desafios técnicos e às questões legais, como o momento adequado de acionar autoridades civis ou compartilhar inteligência militar com órgãos de aplicação da lei. Um oficial britânico, que falou sob anonimato, destacou a dificuldade de lidar com cenários híbridos. “Os primeiros impactos não parecem militares: atingem energia, mídia, opinião pública. Mas tudo isso pode afetar o apoio nacional em situações de tensão ou ameaça de invasão.” Para Caplan, o caráter anual do Cyber Coalition é essencial para acompanhar o ritmo de evolução tecnológica e tática. “A cada ano, tecnologia, políticas e ameaças mudam. Este exercício permite que a OTAN e seus parceiros se adaptem juntos antes que uma crise real os obrigue a fazê-lo.” Via - RFN

A Polícia Federal deflagrou nesta quarta-feira (3/12) a Operação Power OFF, voltada a desmantelar um grupo especializado na oferta de serviços ilegais de ataques distribuídos de negação de serviço (DDoS) sob demanda prática conhecida no submundo digital como booters ou stressers. Esses serviços permitem que qualquer pessoa, mesmo sem conhecimento técnico, contrate um ataque para derrubar sistemas e tornar serviços indisponíveis. A ação cumpre quatro mandados de busca e apreensão e dois mandados de prisão temporária nas cidades de São Paulo (SP), São Caetano do Sul (SP), Rio de Janeiro (RJ) e Tubarão (SC). Os alvos incluem administradores das plataformas ilegais e indivíduos que utilizaram esses serviços para atacar sistemas considerados estratégicos. As investigações tiveram apoio internacional do FBI, responsável por compartilhar informações que ajudaram a rastrear servidores em nuvem distribuídos em diversos países infraestrutura usada pelos operadores para mascarar a origem das ofensivas. Segundo a PF, as plataformas ofereciam pacotes de ataque mediante pagamento e eram utilizadas por hackers em escala mundial. Entre os ataques já atribuídos aos usuários dessas ferramentas estão ofensivas contra órgãos de alta relevância no Brasil, como a Polícia Federal, em 2020, além de SERPRO, DATAPREV e o Centro Integrado de Telemática do Exército Brasileiro, em 2018. Esses ataques impactaram a disponibilidade de serviços públicos essenciais e demonstraram o potencial destrutivo desse tipo de contratação clandestina. Os investigados poderão responder por associação criminosa e interrupção ou perturbação de serviço telemático ou de informação de utilidade pública, crimes previstos na legislação penal brasileira. A PF reforça que a operação envolve cooperação entre polícias, agências de combate ao crime e instituições acadêmicas, evidenciando o compromisso em enfrentar ameaças cibernéticas que colocam em risco a segurança de serviços críticos no país. Via - Gov.BR

O Ministério do Interior do Reino Unido (Home Office) anunciou que pretende expandir significativamente o uso de tecnologias de reconhecimento facial e sistemas semelhantes pelas forças de segurança. Antes da ampliação, o governo iniciou uma nova consulta pública para estabelecer um arcabouço legal mais robusto que regulamente o uso dessas ferramentas e proteja a privacidade dos cidadãos. A pesquisa foi disponibilizada on-line e permanecerá aberta até 12 de fevereiro. Desde 2017, a polícia britânica utiliza reconhecimento facial, mas o tema provoca polêmica crescente, sobretudo com a adoção de reconhecimento facial ao vivo, que analisa imagens em tempo real de pessoas que passam diante das câmeras, comparando-as com bases de dados policiais. Segundo a ministra de Policiamento e Crime, Sarah Jones, a tecnologia tem sido “uma ferramenta valiosa no combate a crimes graves”, contribuindo para diversas prisões. Contudo, ela reconhece preocupações levantadas por organizações da sociedade civil quanto à supervisão, transparência e possíveis vieses algorítmicos. Jones defende que, embora já exista legislação que permita o uso da tecnologia, uma expansão responsável exige regras mais claras e específicas. “Para que o uso seja seguro, consistente e em maior escala, precisamos de um arcabouço legal mais detalhado”, escreveu a ministra no documento de abertura da consulta. Ela afirma que pesquisas mostram que dois terços da população apoiam o uso do reconhecimento facial desde que existam proteções adequadas. Poucas horas após a abertura da consulta pública , o Home Office publicou um segundo relatório, desta vez apresentando resultados de testes conduzidos pelo National Physical Laboratory (NPL). O estudo revelou que, embora eficaz, a tecnologia apresenta maior probabilidade de identificar incorretamente alguns grupos demográficos, evidenciando potenciais vieses que podem ampliar desigualdades no sistema de vigilância. A polícia metropolitana de Londres (Met Police) afirma ter realizado mais de 1.300 prisões com auxílio de reconhecimento facial desde 2023, incluindo suspeitos de estupro e crimes violentos. Ainda assim, especialistas em privacidade pedem cautela. Eles lembram que, em 2012, a Alta Corte britânica determinou que a polícia estava agindo ilegalmente ao reter fotos de centenas de milhares de pessoas que haviam sido presas, mas nunca acusadas decisão que foi ignorada por anos, até que o governo definisse que manteria essas imagens por seis anos, contrariando a ordem judicial. Embora o Home Office argumente que coletar imagens faciais é “menos intrusivo” do que coletar DNA ou impressões digitais, autoridades independentes discordam. Em 2015, o então comissário de biometria, Alastair MacGregor, alertou que um banco de dados policial com imagens faciais pesquisáveis “representa uma ameaça ainda maior à privacidade individual”. Comissários subsequentes reforçaram a crítica, e no ano passado Fraser Sampson acusou o governo britânico de “vandalismo” pelas tentativas de enfraquecer proteções já existentes contra vigilância excessiva no espaço público. A consulta pública busca opiniões sobre quais tecnologias devem ser reguladas, quais instituições devem estar sujeitas às novas regras, quando e como esses sistemas devem ser usados e quais salvaguardas são necessárias para proteger a privacidade dos cidadãos. Via - THN

A Amazon apresentou recentemente seu novo sistema Trainium3 UltraServer, e a semelhança com os racks Nvidia GB200 e GB300 NVL72 chamou atenção imediata da indústria. À medida que a corrida pela computação de IA entra em seu quarto ano, a infraestrutura usada pelos grandes provedores começa a convergir para arquiteturas e padrões visivelmente semelhantes, reforçando a tendência de modularização e compatibilidade entre plataformas. A AWS já opera milhares de racks Nvidia NVL72 e, diante da aparência quase idêntica entre os UltraServers e os sistemas da rival, especialistas acreditam que parte considerável da arquitetura física pode ser compartilhada. A própria Amazon confirmou que o Trainium4, já anunciado , será compatível com o mesmo chassi MGX usado pelas GPUs da Nvidia uma integração que sugere um ecossistema cada vez mais padronizado. Do ponto de vista de escala, essa padronização faz sentido. A AWS, como maior provedora de nuvem do mundo, reduz custos e complexidade ao operar infraestruturas modulares e intercambiáveis, em vez de manter racks exclusivos para cada geração de chips. Essa estratégia está alinhada aos princípios promovidos por iniciativas como o Open Compute Project (OCP), do qual Amazon e Meta são fundadoras. Em outubro, Nvidia contribuiu com os designs MGX para o OCP, enquanto AMD e Meta apresentaram um novo rack de largura dupla baseado na arquitetura Helios. Além da aparência semelhante, o design computacional também converge. No re:Invent, Peter DeSantis mostrou a nova lâmina computacional Trainium3, equipada com um CPU Graviton, quatro aceleradores Trainium3 e duas unidades Nitro. Até então, os sistemas Trainium utilizavam processadores Intel, mas a mudança aproxima o design da AWS das arquiteturas vistas em racks da AMD que combinam quatro GPUs MI400 com um único processador Venice e smartNICs e dos racks GB300 da Nvidia, que utilizam dois CPUs Grace. A ascensão dos fabrics scale-up Cada rack Trainium3 UltraServer reúne 36 lâminas computacionais, totalizando 144 aceleradores, interconectados via a nova tecnologia NeuronSwitch. Embora a AWS ainda não tenha divulgado detalhes da topologia, a configuração lembra a arquitetura dos sistemas Nvidia e AMD, que utilizam dezenas de switches para agregar a capacidade computacional e de memória em um único cluster lógico. Esses fabrics de alta velocidade permitem que 72, 144 ou mais chips funcionem como um único superacelerador. A diferença está nos protocolos: a AWS usa NeuronSwitch; a AMD encapsula o protocolo UALink sobre Ethernet; e a Nvidia opera com NVLink e NVSwitch. Curiosamente, a AWS já anunciou que seus próximos chips Trainium4 irão adotar tanto UALink quanto NVLink Fusion, indicando que o NeuronSwitch pode ser transitório. Historicamente, até o Trainium2, a AWS usava malhas 2D e 3D Torus para interconectar aceleradores. Mas segundo Nafea Bshara, cofundador da Annapurna Labs, os workloads atuais especialmente inferência em larga escala exigem baixa latência e acesso amplo à memória agregada, o que favorece fabrics com switches. “A geração de tokens na etapa de decode exige largura e latência muito baixa. O switch nos permite escalar desse jeito”, explicou. O preço da flexibilidade, no entanto, é a complexidade: meshes não precisam de switches, enquanto fabrics precisam e ainda não vimos designs escalando muito além de 144 aceleradores por cluster. Google: o ponto fora da curva Enquanto Amazon, Nvidia e AMD convergem para arquiteturas baseadas em switches, o Google segue uma rota distinta. Seus clusters TPU 7ª geração (Ironwood) utilizam malhas 2D e 3D Torus capazes de escalar até 9.216 TPUs em um único domínio computacional algo muito superior à escala observada em designs baseados em switches. O segredo está no uso agressivo de interconexões ópticas, tecnologia que Nvidia, AMD e Amazon evitam devido ao maior consumo energético. O Google mitiga esse impacto usando optical circuit switching (OCS), uma espécie de “mesa telefônica óptica automatizada”, que permite reorganizar clusters inteiro de TPUs removendo nós defeituosos e adicionando novos com poucos comandos. Com a AWS adotando fabrics com switches, o Google se torna um dos últimos grandes provedores a manter arquiteturas baseadas em torus para treinamento e inferência de IA em escala massiva. Via - TR

A gigante do setor de produtos e serviços para animais de estimação, Petco, confirmou nesta quarta-feira uma falha de segurança que resultou na exposição de informações pessoais de seus clientes. O incidente foi divulgado em uma notificação enviada ao gabinete do procurador-geral da Califórnia, conforme exige a legislação estadual para casos que afetem 500 ou mais residentes. Segundo a carta disponibilizada pelo estado , a Petco identificou uma configuração inadequada em um de seus aplicativos internos, o que permitiu que determinados arquivos ficassem acessíveis publicamente na internet. A empresa afirma ter descoberto o problema por conta própria e tomado medidas imediatas para corrigir a vulnerabilidade e remover os arquivos expostos do ambiente on-line. Apesar da confirmação do incidente, a notificação não detalha quais tipos de dados pessoais foram comprometidos. A porta-voz Ventura Olvera afirmou que informações adicionais foram fornecidas diretamente às pessoas afetadas. No entanto, a executiva não esclareceu pontos essenciais, como a quantidade total de clientes atingidos ou a natureza exata dos dados vazados, deixando lacunas importantes sobre a dimensão real do impacto. A legislação da Califórnia estabelece que empresas devem oferecer serviços gratuitos de monitoramento de crédito e de roubo de identidade caso números de carteira de motorista ou Social Security sejam expostos. A Petco confirmou que está fornecendo esses serviços às vítimas, o que indica que dados sensíveis podem ter sido comprometidos. Além disso, a companhia informou ter aplicado novas medidas de segurança e controles técnicos adicionais para evitar incidentes semelhantes, embora não tenha detalhado quais práticas foram fortalecidas. Massachusetts e Montana também registraram notificações vinculadas ao vazamento, incluindo três indivíduos no estado de Montana, o que reforça que o incidente não se limitou à Califórnia. Via - TC

Uma conexão instável de internet pode ter consequências muito mais profundas do que frustrações momentâneas: ela pode influenciar decisões críticas em entrevistas de emprego, consultas médicas virtuais e até audiências judiciais. É o que revela um novo estudo publicado na Nature , mostrando que falhas técnicas como travamentos, atrasos e áudio distorcido prejudicam a percepção das pessoas e podem alterar julgamentos que impactam a vida de indivíduos no mundo real. Desde o início da pandemia de Covid-19, as videochamadas se tornaram parte essencial da rotina profissional e pessoal. No entanto, cerca de um terço dessas reuniões é afetado por problemas de conectividade. Para compreender o impacto disso, a pesquisadora Melanie Brucks, da Columbia University, e sua equipe conduziram experimentos com mais de 3.000 participantes, que avaliaram gravações de entrevistas de emprego simulando videochamadas reais. Candidatos cujas entrevistas apresentaram falhas técnicas receberam significativamente menos recomendações de contratação. Os efeitos negativos também aparecem na telemedicina. Entre 497 participantes que receberam aconselhamento médico virtual, 77% relataram confiança no profissional quando a ligação estava estável, mas o número caiu para 61% quando a chamada apresentou problemas de áudio ou vídeo. A equipe ainda analisou 472 audiências judiciais on-line e concluiu que conexões ruins reduziram as chances de réus obterem liberdade condicional. De acordo com os autores, falhas visuais e sonoras “quebram a ilusão” da interação presencial, prejudicando julgamentos sociais e criando uma sensação de estranheza o chamado uncanny effect. Um rosto congelado, um áudio atrasado ou movimentos truncados podem transmitir, mesmo sem intenção, insegurança, desatenção ou falta de credibilidade. E quanto mais “estranho” o glitch, maior o impacto negativo. O estudo alerta ainda que a situação pode piorar. Embora tecnologias antigas, como chamadas telefônicas, sejam hoje mais estáveis, elas continuam sendo substituídas por soluções que demandam muito mais largura de banda, como videochamadas em alta resolução, ambientes 3D, recursos interativos e até reuniões em realidade virtual. Segundo os pesquisadores, infraestrutura melhor não significa necessariamente menos problemas muitas vezes, apenas abre espaço para aplicações ainda mais exigentes. “À medida que buscamos simular interações cada vez mais próximas da vida real, qualquer falha técnica tende a parecer mais incômoda e perturbadora”, concluem os autores. Em outras palavras, o futuro das comunicações digitais pode tornar os efeitos psicológicos dos glitches ainda mais intensos e suas consequências, ainda mais relevantes. Via - TR

A Cloudflare confirmou que a queda massiva registrada na madrugada de sexta-feira foi provocada por uma tentativa mal-sucedida de corrigir a vulnerabilidade crítica React2Shell (CVE-2025-55182), que vem sendo explorada intensamente por hackers desde sua divulgação. Segundo a empresa, cerca de 28% do tráfego HTTP mundial foi impactado, fazendo sites de todos os tamanhos ficarem temporariamente fora do ar. De acordo com o diretor de tecnologia da Cloudflare, Dane Knecht, o incidente não teve relação com ataque hacker ou atividade maliciosa contra a empresa. “A falha foi causada internamente, durante mudanças em nossa lógica de parsing de requisições, implementadas para detectar e mitigar a vulnerabilidade recém-divulgada nos React Server Components”, afirmou em publicação oficial. A pressa para blindar a infraestrutura diante da exploração internacional da falha acabou desencadeando o apagão. A vulnerabilidade React2Shell, descoberta pelo pesquisador Lachlan Davidson e avaliada com pontuação 10.0 no CVSS, permite que um invasor execute código remoto sem autenticação em aplicações que utilizam a biblioteca React e frameworks correlatos, como Next.js. A falha desencadeou uma avalanche de exploração: provas de conceito funcionais (e outras falsas) começaram a circular poucas horas após a divulgação da falha, enquanto grupos hackers ligados ao governo chinês, incluindo Earth Lamia e Jackpot Panda, iniciaram varreduras e ataques direcionados. Dezenas de equipes de inteligência global vêm detectando atividades como reconhecimento, tentativas de roubo de credenciais AWS, coleta de arquivos de configuração e instalação de downloaders conectados a infraestrutura de comando e controle. Segundo a CISA, o bug entrou na lista de vulnerabilidades ativamente exploradas em tempo recorde. Analistas alertam ainda que grupos de ransomware e corretores de acesso inicial estão próximos de automatizar ataques baseados nessa falha. Enquanto POCs legítimas começaram a surgir, uma enxurrada de códigos falsos se espalhou rapidamente, confundindo equipes de TI. Davidson reforçou que muitos desses POCs “não representam exploração real” e dependem de funcionalidades perigosas que somente seriam acionadas caso o próprio desenvolvedor tivesse exposto métodos críticos ao cliente, o que não se aplica à maioria das aplicações. Apesar disso, a circulação de PoCs falsos criou uma falsa sensação de segurança em algumas organizações. O episódio reacendeu debates sobre o modelo de divulgação responsável de vulnerabilidades, especialmente no ecossistema de código aberto. Para Pascal Geenens, da Radware, talvez seja hora de repensar a dinâmica de divulgação limitada: “Governos e grupos hackers com grande capacidade técnica conseguem desenvolver exploits rapidamente, mesmo com poucas informações. Já defensores e provedores de segurança, sem detalhes completos, podem reagir mais devagar e isso favorece os atacantes”. Ele destaca que a falta de clareza inicial pode ter prejudicado mitigadores e contribuído para ações de resposta menos eficazes. A Cloudflare, por sua vez, indicou que continuará investigando o impacto total da falha interna e reforçará mecanismos de validação para evitar que ajustes emergenciais resultem em interrupções desse porte. A empresa também recomenda que organizações atualizem imediatamente seus sistemas React e frameworks associados, dada a escala de exploração já observada. Via - TR

O grupo hacker conhecido como Silver Fox foi identificado conduzindo uma operação de falsa bandeira para simular a atuação de hackers russos em ataques direcionados a organizações na China. A campanha, ativa desde novembro de 2025, utiliza SEO poisoning para manipular resultados de busca e induzir usuários a baixar um instalador falso do Microsoft Teams. O arquivo, que contém elementos em cirílico para confundir analistas e dificultar atribuição, instala o malware ValleyRAT (Winos 4.0) uma variante do Gh0st RAT amplamente associada a grupos hackers chineses. Segundo o pesquisador Hayden Evans , da ReliaQuest, a campanha mira usuários que falam chinês, incluindo funcionários de empresas ocidentais que operam no país. Ao acessar um site fraudulento que imita a página oficial do Teams, a vítima é induzida a baixar um arquivo ZIP hospedado na nuvem da Alibaba. O pacote contém um instalador adulterado (“Setup.exe”), projetado para desativar proteções, manipular exclusões do Microsoft Defender e depositar um instalador malicioso secundário (“Verifier.exe”) no diretório AppData. Uma vez iniciado, o malware cria e manipula diversos arquivos internos, carrega uma DLL maliciosa no processo legítimo rundll32.exe e, em seguida, se conecta a um servidor externo para baixar o payload final. Com isso, o ValleyRAT obtém acesso remoto ao sistema, podendo executar comandos arbitrários, exfiltrar dados sensíveis e manter persistência prolongada dentro da rede comprometida. A ReliaQuest observa que os objetivos do Silver Fox combinam ganhos financeiros como golpes, fraudes e roubos com coleta de inteligência estratégica. A divulgação ocorre no momento em que a empresa Nextron Systems chamou atenção para outra cadeia de ataque envolvendo o ValleyRAT, desta vez distribuído por um instalador trojanizado do Telegram. Esse ataque multiparte é particularmente sofisticado, utilizando a técnica Bring Your Own Vulnerable Driver (BYOVD) para carregar o driver vulnerável “NSecKrnl64.sys” e derrubar ferramentas de segurança. O instalador fraudulento também configura exclusões perigosas no Microsoft Defender, extrai executáveis adicionais e cria persistência por meio de tarefas agendadas e scripts codificados. Um componente chamado men.exe coordena a instalação dos módulos maliciosos, manipula permissões de arquivos e utiliza binaries assinados para fazer DLL sideloading do ValleyRAT. Ele também carrega drivers vulneráveis usando “NVIDIA.exe” e executa o malware final. Outro arquivo, “bypass.exe”, é usado para explorar uma falha de elevação de privilégios e contornar o UAC , ampliando o controle do invasor sobre o sistema. “Para a vítima, tudo parece um instalador comum”, destaca o pesquisador Maurice Fielenbach . “Mas em segundo plano, o ataque prepara o ambiente, desativa defesas, instala drivers e abre um canal de acesso persistente para os hackers.” Via - THN

Um grave defeito de segurança foi revelado no Apache Tika, colocando organizações que dependem da ferramenta em risco de ataques de XML External Entity ( XXE ). A vulnerabilidade, catalogada como CVE-2025-66516 , recebeu pontuação 10.0 no CVSS, o nível máximo de severidade, indicando potencial para comprometer completamente sistemas que processam arquivos manipulados. Segundo o alerta oficial, a falha afeta os módulos tika-core (1.13 a 3.2.1), tika-pdf-module (2.0.0 a 3.2.1) e tika-parsers (1.13 a 1.28.5). Um hacker pode explorar o problema por meio de um arquivo PDF contendo um componente XFA especialmente construído, permitindo que o XML seja interpretado de forma maliciosa e executando uma XXE. Esses ataques são capazes de expor arquivos internos do servidor, acessar informações sensíveis e, em cenários mais críticos, até abrir caminho para execução remota de código. A equipe do Apache Tika confirmou que o novo CVE amplia o impacto de uma falha relatada anteriormente, CVE-2025-54988 , corrigida em agosto de 2025. Embora ambas estejam relacionadas ao módulo PDF, a vulnerabilidade atual foi identificada no tika-core, o que significa que administradores que atualizaram apenas o módulo PDF continuam vulneráveis caso não tenham instalado a versão corrigida do núcleo (3.2.2 ou superior). Outro ponto destacado é que, nas versões 1.x do Tika, o mecanismo PDFParser estava localizado dentro do módulo “tika-parsers”, ampliando a superfície de risco. Diante da gravidade da falha e do amplo uso do Apache Tika em soluções de análise de documentos e detecção de conteúdo, os mantenedores reforçam que a aplicação das atualizações deve ser tratada como ação urgente. As versões corrigidas tika-core 3.2.2, tika-parser-pdf-module 3.2.2, e tika-parsers 2.0.0 eliminam o risco e bloqueiam a exploração do XXE. Via - THN