A semana concentrou ataques por consentimento OAuth, sequestro de contas de mensagens, cadeias com PlugX e Cobalt Strike, bypass em arquivos compactados e uso de IA contra uma plataforma interna.
| Componente | Aplicações OAuth, contas Signal e WhatsApp, ambientes cloud, microcontroladores RH850, arquivos ZIP, endpoints Windows, Microsoft 365, GitHub, plataformas de IA e ferramentas RMM. |
| Vetor | Consentimento de aplicação maliciosa, phishing de códigos e PINs, exploração de software de terceiros, arquivos LNK em ZIP, ISO com tema de currículo, sessões Quick Assist induzidas por engenharia social, repositórios falsos e arquivos compactados com cabeçalhos malformados. |
| Impacto | Acesso a arquivos e e-mails via token OAuth, tomada de contas de mensageria, persistência em nuvem, evasão de EDR, implantação de PlugX, Cobalt Strike, A0Backdoor e ladrões de informação, além de risco de falso negativo em inspeção de ZIP. |
| Prioridade | Revisar consentimentos OAuth, bloquear sessões remotas não aprovadas, monitorar arquivos compactados e atalhos, validar políticas de RMM, reforçar proteção de contas de mensagens e priorizar correção de software exposto em nuvem. |
| Artefatos | CVE-2026-0866, PlugX, Cobalt Strike, BlackSanta EDR, A0Backdoor, BoryptGrab, TunnesshClient, Vidar Stealer, HeaconLoad, JSOutProx, ScreenConnect, Tactical RMM, MeshAgent e Sysmon integrado ao Windows. |
Aplicações OAuth maliciosas continuam sendo um caminho de alto impacto porque exploram uma etapa legítima do fluxo de identidade: a tela de consentimento. A técnica não depende de senha roubada. O usuário concede permissões a um aplicativo com nome visualmente confiável, e o atacante passa a operar com um token autorizado dentro do tenant. O risco aumenta quando usuários aprovam solicitações por hábito, sem avaliar escopos, editor, redirecionamento e finalidade da aplicação.
Uma campanha em larga escala ativa no início de 2025 usou 19 aplicações OAuth distintas se passando por marcas conhecidas, incluindo Adobe, DocuSign e OneDrive, contra múltiplas organizações. Após o aceite, o token era enviado para uma URL de redirecionamento controlada pelo operador, permitindo acesso a arquivos ou e-mails sem conhecer a senha da vítima. A defesa deve tratar consentimento OAuth como superfície de ataque: inventariar aplicativos autorizados, restringir consentimento por usuário, exigir verificação de editor e alertar sobre redirecionamentos anômalos.
Grupos vinculados à Rússia foram observados tentando assumir contas Signal e WhatsApp de autoridades governamentais, jornalistas e militares. A cadeia descrita não quebra a criptografia dos aplicativos; ela contorna a proteção ao induzir o usuário a entregar códigos de verificação, PINs ou a aprovar dispositivos vinculados. O ponto sensível é a confiança em mensagens que simulam suporte ou procedimentos legítimos de recuperação.
O abuso da função de dispositivos vinculados amplia a persistência, porque o invasor pode acompanhar comunicações enquanto a conta principal continua operacional. Para defesa, a telemetria mais útil está em avisos de novo dispositivo vinculado, mudanças inesperadas de PIN, solicitações recorrentes de código, contato por perfis que imitam suporte e relatos de usuários recebendo orientação para compartilhar verificações. Organizações com pessoal exposto a espionagem devem padronizar procedimentos de recuperação de contas e proibir suporte por canais não verificados.
Ambientes cloud tiveram mudança relevante no vetor de acesso inicial investigado: ataques baseados em vulnerabilidades de software de terceiros ganharam espaço enquanto falhas de configuração e interfaces sensíveis expostas tiveram queda nos percentuais citados. O dado central é a compressão do intervalo entre divulgação e exploração em massa, que passou de semanas para dias, reduzindo a margem operacional para ciclos lentos de correção.
Nos incidentes de nuvem mencionados, os objetivos observados incluíram exfiltração silenciosa de grandes volumes de dados sem extorsão imediata e manutenção de persistência por prazo maior. Esse padrão exige priorização por exposição real, não apenas por severidade nominal. Serviços publicados, bibliotecas de terceiros, appliances, painéis administrativos, APIs e integrações com dados sensíveis precisam ser correlacionados com inventário, versão, exploração conhecida e logs de acesso. Guardrails de identidade e configuração ajudam, mas não substituem correção rápida de software vulnerável.
Pesquisas sobre microcontroladores RH850 demonstraram bypass da proteção de depuração baseada em senha de 16 bytes por meio de injeção de falha de tensão em menos de um minuto. A técnica altera o comportamento do chip por subalimentação ou sobrealimentação controlada, incluindo uma variante em que a alimentação é curto-circuitada ao terra por intervalo preciso. O impacto é físico e depende de acesso ao componente, mas é relevante para fabricantes, análise de firmware e cadeias automotivas ou embarcadas que confiam na barreira de debug como controle forte.
A técnica chamada Zombie ZIP recebeu o identificador CVE-2026-0866 e explora arquivos compactados especialmente preparados com cabeçalhos malformados. O problema operacional é a divergência entre ferramentas: mecanismos antivírus e EDR podem classificar o arquivo como benigno ou falhar na inspeção, enquanto alguns extratores ainda conseguem descompactar o conteúdo. A mitigação não deve depender de um único analisador. Gateways, EDRs e sandboxes precisam validar arquivos ZIP com múltiplos parsers, registrar erros de cabeçalho e tratar inconsistência de parsing como sinal de risco.
Campanhas contra entidades no Catar usaram conteúdo relacionado a conflitos como isca para entregar PlugX e Cobalt Strike. Uma cadeia empregou arquivos LNK dentro de ZIP; ao serem abertos, acionavam download de estágio posterior a partir de servidor comprometido, exibiam documento de distração e usavam sideloading de DLL para implantar PlugX. A atividade detectada em 1º de março de 2026 foi atribuída a Mustang Panda, também conhecido como Camaro Dragon.
Outra cadeia usou arquivo protegido por senha para executar um loader em Rust ainda não documentado, responsável por implantar Cobalt Strike via sideloading. O componente abusado foi nvdaHelperRemote.dll, associado ao leitor de tela NVDA, técnica já vista em um número limitado de campanhas alinhadas à China. Em paralelo, uma campanha contra RH e recrutadores começou com ISO tematizado como currículo e incluiu módulo BlackSanta EDR, que usa drivers de núcleo legítimos, mas vulneráveis, para prejudicar antivírus, EDR, agentes de telemetria e logs antes de estágios posteriores ainda não identificados.
Duas prisões na Índia foram relacionadas à operação Solar Spider, voltada a fraudes contra sistemas bancários cooperativos. O histórico técnico associado ao grupo inclui spear-phishing, roubo de credenciais, adulteração de transações NEFT e RTGS e foco em infraestruturas SFMS e H2H. A estrutura JSOutProx aparece como artefato usado pelo grupo desde pelo menos 2019, o que indica continuidade operacional contra instituições financeiras na Índia e no Oriente Médio.
Outra frente atingiu organizações financeiras e de saúde por Microsoft Teams. O operador primeiro inundava a caixa de entrada da vítima com spam e depois se apresentava como equipe de TI, oferecendo ajuda para resolver o problema. O acesso era obtido por uma sessão Quick Assist, seguida da implantação de pacotes MSI assinados digitalmente, alguns hospedados em armazenamento cloud da Microsoft vinculado a contas pessoais. O fluxo resultava em carregamento de DLL, execução de shellcode, verificações anti-análise e instalação do A0Backdoor, que usa tunelamento DNS para comunicação de comando.
Uma campanha de ladrão de informações distribuiu BoryptGrab por mais de 100 repositórios públicos no GitHub que prometiam ferramentas gratuitas e usavam termos de SEO para atrair vítimas. A cadeia começava em uma página falsa de download e entregava um ZIP. O malware coletava dados de navegador, carteiras de criptomoedas, informações do sistema, capturas de tela, arquivos comuns, informações do Telegram, tokens do Discord e senhas.
A mesma operação também entregou TunnesshClient, que estabelece túnel SSH reverso e atua como proxy SOCKS5. Algumas variações distribuíram Vidar Stealer ou um downloader em Go chamado HeaconLoad, usado para baixar e executar cargas adicionais. Em outra campanha, phishing contra Microsoft 365 abusou de serviços da Cloudflare para atrasar detecção, usando verificação humana, listas de bloqueio de IP, checagens de agente de usuário, múltiplos sites e redirecionamentos. A defesa deve correlacionar origem do clique, mudanças de domínio, desafios intermediários e submissões de credenciais.
Um agente de IA de segurança ofensiva comprometeu a plataforma interna Lili, da McKinsey, e obteve acesso de leitura e escrita ao ambiente de chatbot em cerca de duas horas. O acesso expôs a capacidade de alcançar banco de dados de produção com 46,5 milhões de mensagens, 728 mil arquivos com dados confidenciais de clientes, 57,8 mil contas de usuário e 95 prompts de sistema. O problema foi corrigido, e o material analisado afirma não haver evidência de exploração em ambiente real.
O achado técnico central foi a identificação de mais de 200 endpoints expostos, incluindo 22 sem proteção. Um endpoint que gravava consultas de busca de usuários no banco tinha injeção SQL, com potencial para acesso a dados sensíveis e reescrita silenciosa de prompts de sistema. Para equipes que operam plataformas de IA internas, a lição defensiva é tratar prompts, APIs auxiliares, endpoints de busca e bancos vetoriais ou relacionais como superfície crítica, com autenticação, autorização por função, auditoria de escrita e testes de injeção em rotas não óbvias.
A telemetria desta semana converge em alguns sinais práticos: consentimentos OAuth recém-aprovados com escopos amplos, dispositivos Signal ou WhatsApp vinculados sem justificativa, anexos ZIP com erro de parsing, LNK executado a partir de arquivo compactado, ISO recebido por recrutamento, execução de DLL por binário legítimo fora do padrão, instalação simultânea de RMMs e sessões Quick Assist iniciadas após contato por Teams. Em nuvem, a caça deve cruzar divulgação recente de vulnerabilidades com exposição pública e volumes incomuns de leitura.
A resposta deve priorizar redução de superfície antes de novas regras pontuais. Restringir consentimento OAuth, revisar aplicações já autorizadas, exigir aprovação administrativa para escopos sensíveis, bloquear RMM não aprovado, registrar Quick Assist, endurecer execução de arquivos LNK e ISO, inspecionar ZIPs com parsers redundantes, manter Sysmon habilitado quando aplicável e acelerar correções de software exposto são medidas diretamente conectadas aos vetores observados.
- Alertar sobre tokens OAuth emitidos após consentimento de aplicativo novo com editor não verificado.
- Investigar criação de dispositivo vinculado em contas de mensageria usadas por perfis sensíveis.
- Tratar ZIP com cabeçalhos malformados como artefato suspeito mesmo quando uma ferramenta não extrair conteúdo.
- Bloquear ScreenConnect, Tactical RMM, MeshAgent e Quick Assist quando não houver fluxo corporativo aprovado.
- Procurar sideloading envolvendo DLLs incomuns, inclusive
nvdaHelperRemote.dll, em diretórios temporários ou de usuário. - Correlacionar ISO de currículo, DLL carregada por aplicativo legítimo, verificação anti-sandbox e tentativa de interferência em EDR.
0 Comentários