A semana concentrou ataques contra infraestrutura fora da cadeia, exploração de falhas em automação residencial, cadeia de suprimentos JavaScript, phishing, extensões de navegador e abuso de recursos nativos do macOS.
| Componente | Infraestrutura DeFi, registros npm, MajorDoMo, Apache ActiveMQ Jolokia, macOS, extensões Chrome e Edge, Joomla, Perforce P4 e serviços de proxy móvel. |
| Vetor | Comprometimento de nós RPC, DDoS contra nó de verificação, exploração remota de falhas, pacotes maliciosos, phishing com anexos, abuso de recursos nativos e configuração insegura exposta à internet. |
| Impacto | Roubo de US$ 290 milhões em KelpDAO, execução remota de código, implantação de backdoors, coleta de dados, persistência, fraude por infraestrutura móvel, spam em sites e exposição de código-fonte em servidores mal configurados. |
| Prioridade | Revisar dependências e tokens, corrigir serviços expostos, endurecer autenticação, auditar telemetria de endpoints e rede, conter artefatos persistentes e validar configurações de infraestrutura pública. |
| Versões | ActiveMQ 6.0.0 a 6.1.1 foi citado no encadeamento Jolokia; mgc 1.2.1 a 1.2.4 e @velora-dex/sdk 9.4.1 aparecem como pacotes comprometidos. |
| Artefatos | Foram citados webshell PHP, payload meterpreter, RAT XWorm, minirat em macOS, Gh0st RAT, CloverPlus, Formbook, backdoor PHP para Joomla e extensões StealTok. |
O boletim descreve uma concentração de eventos que têm um ponto comum: o alvo principal nem sempre foi a aplicação final. Em vários casos, o caminho explorado passou por infraestrutura de suporte, cadeia de suprimentos, configuração insegura, recursos nativos do sistema operacional ou serviços intermediários usados para verificar, empacotar, autenticar ou distribuir software. Para equipes de segurança, isso desloca a investigação para dependências, nós de RPC, registros de pacotes, extensões instaladas, serviços expostos e controles de identidade, não apenas para o código da aplicação de negócio.
O caso de maior impacto financeiro envolveu o projeto DeFi KelpDAO, com roubo de US$ 290 milhões atribuído como provável atividade de atores norte-coreanos rastreados como TraderTraitor. A cadeia descrita não foi apresentada como falha de contrato inteligente, mas como manipulação de infraestrutura fora da cadeia usada para validação. Dois nós RPC hospedados pela LayerZero teriam sido comprometidos, enquanto um terceiro nó sofreu DDoS, permitindo que dados falsos influenciassem uma configuração de verificação com ponto único de falha. A resposta incluiu congelamento temporário de 30.766 ETH no Arbitrum One vinculados ao exploit.
Também houve exploração de vulnerabilidades em MajorDoMo, pacotes npm maliciosos com roubo de dados e backdoors, abuso de recursos do macOS para execução furtiva, phishing para entrega de Formbook, campanhas com Gh0st RAT e adware, investigação regulatória sobre Telegram, sanções contra operações de influência, derrubada de bot farm na Ucrânia, extensões StealTok com rastreamento oculto, backdoor PHP em Joomla, serviço Leak Bazaar para tratar dados roubados, varredura RDP concentrada em 21 endereços IP e exposição de servidores Perforce P4 por configuração permissiva. O conjunto reforça a necessidade de tratar telemetria de endpoint, identidade, rede, navegador, CI/CD e exposição pública como uma superfície única de investigação.
O roubo contra o KelpDAO foi descrito como um ataque contra infraestrutura off-chain de verificação, não como exploração direta de lógica de contrato inteligente. O fluxo técnico informado envolve comprometimento de dois nós RPC hospedados pela LayerZero e indisponibilização simultânea de um terceiro nó por DDoS. Essa combinação teria permitido envenenar a infraestrutura downstream de RPC usada por uma DVN da LayerZero Labs para verificar transações, criando a condição para que um contrato no Ethereum liberasse fundos com base em uma queima de token fantasma na cadeia de origem.
A atribuição foi apresentada como provável e associada ao conjunto TraderTraitor, ligado a atividades norte-coreanas. A matéria também conecta esse perfil a roubo anterior de US$ 1,5 bilhão na Bybit e menciona ligação recente do Lazarus Group a roubo de US$ 285 milhões no Drift Protocol, mas a atribuição no caso KelpDAO deve ser tratada como inferência de inteligência, não como prova operacional independente. Para defesa, o ponto técnico central é reduzir dependência de validadores únicos, monitorar divergência entre fontes RPC, registrar decisões de DVN e acionar alarmes quando a disponibilidade de nós externos coincidir com eventos financeiros anômalos.
A exploração contra MajorDoMo envolve duas falhas distintas. CVE-2026-27175 foi descrita como injeção crítica de comandos com exploração observada a partir de 13 de abril. A atividade terminou na implantação de uma webshell PHP para acesso persistente. CVE-2026-27174 permite execução remota de código sem autenticação por meio do console PHP no painel administrativo e teve exploração detectada a partir de 18 de abril, com entrega de payload meterpreter em uma cadeia observada. O risco direto é tomada do servidor de automação residencial, execução de comandos e persistência por artefatos web.
No Apache ActiveMQ, a cadeia Jolokia combina CVE-2026-34197 com CVE-2024-32114. A segunda falha remove autenticação do endpoint Jolokia em versões 6.0.0 a 6.1.1 do ActiveMQ; combinada à primeira, o resultado descrito é RCE sem credenciais. Também foram mencionadas tentativas contra CVE-2025-22952, SSRF em Elestio Memos, e CVE-2024-57046, bypass de autenticação em roteadores NETGEAR DGN2200. A prioridade operacional é localizar instâncias expostas, confirmar versão, revisar logs de console administrativo, tráfego para endpoints Jolokia, criação de arquivos PHP inesperados e processos iniciados pelo serviço web ou broker.
O registro npm concentrou uma série de pacotes maliciosos ou comprometidos. Entre os nomes citados estão ixpresso-core, forge-jsx, @genoma-ui/components, @needl-ai/common, rrweb-v1, cjs-biginteger, sjs-biginteger, bjs-biginteger, @fairwords/websocket, @fairwords/loopback-connector-es, @fairwords/encryption, js-logger-pack e @kindo/selfbot. As capacidades descritas incluem roubo de dados sensíveis, reconhecimento do sistema, implantação de backdoor SSH pela inclusão de chave pública em ~/.ssh/authorized_keys, entrega de infostealer e propagação do RAT XWorm.
Os pacotes sob o escopo @fairwords foram descritos com autopropagação para todos os pacotes npm acessíveis pelo token da vítima e tentativa de propagação cruzada para PyPI via injeção em arquivo .pth. Novas versões de js-logger-pack usaram repositório Hugging Face para consultar atualizações e como destino de roubo de dados. O pacote legítimo @velora-dex/sdk na versão 9.4.1 foi comprometido para decodificar e executar conteúdo Base64 que buscava um script remoto, com persistência de um RAT Go chamado minirat em macOS. O pacote mgc, nas versões 1.2.1 a 1.2.4, recebeu um dropper que detectava sistema operacional e buscava RAT específico em GitHub Gist. A defesa deve revisar lockfiles, caches de CI, tokens npm, chaves SSH alteradas, execuções pós-instalação e publicações não autorizadas.
Foram descritos 10 novos payloads de prompt injection indireto contra agentes de IA. O padrão técnico começa com conteúdo web controlado pelo atacante, escondido da visão humana, mas ingerido pelo agente. O modelo não separa adequadamente instruções confiáveis de texto externo e pode acionar ações reais, incluindo fraude financeira, destruição de dados, roubo de chaves de API ou negação de serviço contra o próprio agente. O retorno para o atacante pode ocorrer por canal de exfiltração encoberto associado à ação executada.
Outro ponto envolve o aplicativo desktop Claude, que foi observado criando arquivos de configuração em locais usados por navegadores Chromium, como Brave, Chrome, Edge e Vivaldi. Esses manifestos de Native Messaging pré-autorizariam a interação com o navegador, inclusive antes de alguns navegadores estarem instalados no computador. O risco aqui não é exploração remota confirmada, mas ampliação de permissão e coleta potencial de dados de navegação sob um padrão de autorização considerado problemático para privacidade. Equipes devem auditar manifestos de Native Messaging, permissões de aplicativos de IA e integrações que dão capacidade de ação a agentes.
No macOS, foi relatado abuso de recursos legítimos para execução e staging furtivo. O recurso Remote Application Scripting pode permitir execução remota por componentes scriptáveis, enquanto comentários do Finder e metadados Spotlight podem armazenar payloads codificados fora dos locais mais inspecionados por EDR. A técnica descrita também inclui uso de protocolos nativos como SMB, Netcat, Git, TFTP e SNMP para movimentar ferramentas ou estabelecer persistência fora da telemetria baseada em SSH. Em alguns cenários, o Terminal é usado como proxy de execução para contornar restrições internas.
Campanhas de phishing separadas miraram empresas gregas, espanholas, eslovenas, bósnias, latinas e centro-americanas para entrega do Formbook, malware de roubo de dados em Windows capaz de coletar credenciais, dados de navegador e capturas de tela. Outra campanha usa um loader para entregar Gh0st RAT junto com o adware CloverPlus, combinando acesso persistente com monetização por alteração de comportamento do navegador. Também foi descrito framework pós-exploração de múltiplos estágios contra organizações do Oriente Médio e setores financeiros da EMEA, abusando do utilitário assinado IAStorHelp.exe e do mecanismo .NET AppDomainManager para executar código dentro de binário confiável sem modificar o executável original.
A plataforma ProxySmart foi descrita como solução associada a fazendas de SIM em escala industrial, com 87 painéis de controle em 17 países, ligação com pelo menos 24 provedores comerciais de proxy e 35 operadoras celulares. A pegada inclui 94 locais de phone farm distribuídos por 19 estados dos Estados Unidos e por países da Europa e da América do Sul. Os dispositivos seriam telefones Android físicos ou modems USB 4G/5G, com gerenciamento por painel web, rotação automática de IP, controle remoto, provisionamento de clientes e recursos de spoofing de impressão digital de rede. A empresa contestou a caracterização e afirmou operar plataforma de gerenciamento de proxy de dados para usos comerciais legítimos.
Extensões maliciosas de Chrome e Edge, agrupadas como StealTok, somaram mais de 130 mil instalações. Elas se passavam por ferramentas de download de vídeos do TikTok e estavam nas lojas oficiais, mas incluíam rastreamento encoberto, coleta de dados e configuração remota capaz de alterar comportamento após aprovação no marketplace. Em Joomla, uma campanha implantou backdoor PHP para injetar spam de SEO: o script coleta informações do site infectado e aguarda instruções remotas para servir conteúdo de spam a visitantes e mecanismos de busca. Em ambos os casos, a defesa precisa tratar navegador e CMS como superfícies executáveis, com inventário, revisão de extensões e comparação de arquivos alterados.
No campo de influência e abuso de plataformas, o Ofcom abriu investigação sobre o Telegram para apurar deveres relacionados a conteúdo ilegal e CSAM sob o Online Safety Act do Reino Unido. A União Europeia sancionou Euromore e Pravfond por suporte a operações híbridas de influência pró-Rússia contra Europa e Ucrânia. Autoridades ucranianas desmontaram uma bot farm que teria fornecido milhares de contas falsas a serviços de inteligência russos; quase 20 mil perfis fraudulentos foram bloqueados, e o suspeito teria vendido mais de 3 mil contas Telegram por mês criadas com números móveis ucranianos.
Entre grupos criminosos, a rivalidade entre Krybit e 0APT resultou em comprometimento mútuo de infraestrutura. O 0APT divulgou banco de dados da operação Krybit com registros de vítimas, credenciais em texto claro, carteiras Bitcoin, tokens de criptografia e inventário de exfiltração. Em resposta, Krybit comprometeu servidor do 0APT, desfigurou o site de vazamento e publicou código-fonte, histórico de shell, logs Nginx e arquivos de sistema. Outro serviço, Leak Bazaar, foi anunciado em fórum russo como camada pós-exfiltração para organizar dados roubados de extorsão e ransomware e torná-los mais legíveis e comercializáveis.
A atividade de varredura RDP apareceu concentrada em um pequeno conjunto de 21 endereços IP, responsável por quase metade do tráfego de scanning RDP público observado. Os endereços foram registrados para a ColocaTel, AS213438, baseada em Seychelles. A mesma análise destacou que surtos de varredura vêm antecedendo divulgações de vulnerabilidades com maior frequência: 49% dos picos ocorreram em até 10 dias de uma divulgação e 78% em até 21 dias. Para SOCs, isso transforma scanning em sinal de antecipação, não apenas ruído de fundo.
Servidores Perforce P4 expostos também apareceram como risco relevante. Quase três quartos dos servidores conectados à internet estariam mal configurados e vazando código-fonte ou arquivos sensíveis. As configurações padrão citadas permitem criação de contas por usuários não autenticados, listagem de usuários, acesso a contas sem senha e, até a versão 2025.1, sincronização remota de repositórios. Ambientes de jogos, saúde, automotivo, finanças e governo foram citados como setores potencialmente expostos. A correção envolve exigir autenticação forte, desativar criação automática de contas e elevar níveis de segurança do serviço.
A investigação deve começar por pontos em que houve ação observável: logs de nós RPC e DVN, indisponibilidade coordenada por DDoS, chamadas Jolokia sem autenticação, criação de webshell PHP, processos filhos anômalos de serviços web, mudanças em authorized_keys, tokens npm usados para publicação inesperada e downloads em pipelines CI/CD. Em macOS, a coleta deve incluir metadados Spotlight, comentários do Finder, uso de Remote Application Scripting, manifestos de Native Messaging e persistência associada a binários aparentemente legítimos.
Em endpoint Windows, sinais relevantes incluem arquivos LNK em anexos ZIP, execução de utilitário assinado fora do caminho esperado, uso de .NET AppDomainManager, artefatos de Formbook, Gh0st RAT e alteração de navegador por adware. Em navegador e SaaS, audite extensões com configuração remota, permissões excessivas e comportamento pós-instalação. Em rede, monitore RDP scanning, tráfego para painéis de proxy móvel, variações abruptas de ASN de origem e endpoints de atualização usados por pacotes suspeitos.
- Criação ou alteração inesperada de
~/.ssh/authorized_keysem estáções de desenvolvimento e servidores de build. - Publicações npm realizadas com tokens de mantenedores fora de janelas normais de release.
- Acesso sem autenticação ou requisições incomuns a endpoints Jolokia em ActiveMQ 6.0.0 a 6.1.1.
- Arquivos PHP recentes em diretórios de CMS, especialmente quando associados a spam de SEO ou comunicação remota.
- Metadados Spotlight e comentários do Finder contendo dados codificados ou scripts em macOS.
- Extensões Chrome e Edge com endpoint de configuração remota ou coleta não alinhada à funcionalidade prometida.
A ordem de resposta deve priorizar ativos com execução remota, credenciais e impacto financeiro. Instâncias MajorDoMo e ActiveMQ expostas precisam ser corrigidas, isoladas ou retiradas da internet até validação. Projetos que consomem npm devem congelar builds, revisar lockfiles, invalidar tokens de publicação, remover pacotes citados quando presentes e procurar persistência em chaves SSH, agentes de CI e estáções de mantenedores. Em DeFi e infraestrutura distribuída, a mitigação passa por redundância real de validação, remoção de ponto único de falha em DVN, monitoramento de divergência entre RPCs e resposta automatizada a degradação simultânea.
Para endpoints, revise controles que confiam apenas em assinatura de binário, pois abuso de utilitários legítimos e mecanismos nativos pode manter a execução dentro de componentes confiáveis. No macOS, inclua metadados e protocolos nativos na caça. Em navegadores, inventarie extensões, remova aquelas sem necessidade operacional, bloqueie instalação fora de catálogo aprovado e monitore mudanças por configuração remota. Em Perforce P4, ajuste autenticação, desative criação automática de contas e aumente o nível de segurança antes de considerar o serviço apto para exposição pública.
- Corrigir ou isolar MajorDoMo e ActiveMQ vulneráveis antes de restaurar exposição externa.
- Rotacionar tokens npm, credenciais de CI/CD e chaves SSH quando houver dependência dos pacotes citados.
- Bloquear extensões não aprovadas e revisar permissões de Native Messaging em estáções com agentes de IA.
- Auditar Joomla por arquivos PHP novos, loaders remotos e conteúdo de spam servido condicionalmente.
- Endurecer Perforce P4 com autenticação forte, bloqueio de criação automática de contas e revisão de acesso anônimo.
- Usar passkeys onde aplicável para reduzir risco de phishing contra contas de alto valor.
0 Comentários