A semana concentrou SSRF com código de prova de conceito, spyware móvel, keylogger por engenharia social, campanhas ClickFix, abuso de ferramentas remotas e incidentes causados por agentes autônomos de IA.
| Componente | Cisco Unified Communications Manager, dispositivos móveis de autoridades, ferramentas RMM, sites comprometidos, infraestrutura de identidade Microsoft, sistemas ATG e agentes de IA integrados a ambientes corporativos |
| Vetor | requisições HTTP malformadas, engenharia social por anexos e páginas falsas, redirecionamentos em sites legítimos comprometidos, abuso de APIs legítimas, credenciais codificadas e agentes de IA com permissões amplas |
| Impacto | gravação de arquivos no sistema operacional, possível elevação posterior a root, roubo de credenciais, persistência remota, execução de comandos, exfiltração, sabotagem de sistemas e danos operacionais sem envolvimento externo em parte dos casos de IA |
| Prioridade | aplicar versões corrigidas do Cisco Unified CM e Unified CM SME, tratar CVE-2022-0492 em ambientes Linux com contêineres, retirar ATG da internet, revisar RMMs autorizados e limitar permissões de agentes de IA |
| Versões | Cisco Unified CM e Unified CM SME foram corrigidos nas versões 14SU6 e 15SU5; a remediação de CVE-2022-0492 em órgãos federais civis dos EUA foi exigida até 5 de junho de 2026 |
| Artefatos | VIP Keylogger, Tiflux, UltraVNC, Splashtop, ScreenConnect, zTDS, CastleLoader, NetSupport RAT, CastleStealer, SectopRAT, ACRStealer, ROADtools, FalkonC2, Rotemelli2, GoKhargosh e MOON AGENT |
A falha CVE-2026-20230 afeta o Cisco Unified Communications Manager e o Unified Communications Manager Session Management Edition. O problema recebeu pontuação CVSS 8.6 e permite que um invasor remoto não autenticado acione uma condição de server-side request forgery por meio de requisições HTTP especialmente construídas. A causa técnica informada é validação inadequada de entrada em requisições HTTP específicas, o que desloca o risco para interfaces expostas que aceitam tráfego diretamente de redes não confiáveis.
O impacto confirmado é a possibilidade de gravação de arquivos no sistema operacional subjacente. Esse ponto é crítico porque os arquivos gravados podem ser usados posteriormente como etapa de elevação de privilégio até root, embora o relato não confirme exploração ativa. Há disponibilidade de código de prova de conceito, o que aumenta a urgência de correção em ambientes com Unified CM acessível por redes amplas. As versões corrigidas são 14SU6 e 15SU5.
- Componente afetado: Cisco Unified CM e Unified CM SME
- Vetor: requisição HTTP construída para explorar validação inadequada
- Ação defensiva: atualizar para 14SU6 ou 15SU5 e revisar exposição das interfaces
Uma operação de spyware móvel foi descrita como direcionada a dispositivos de altos funcionários na Rússia. O software teria sido usado para extrair dados já presentes nos aparelhos, interceptar conversas em andamento e executar vigilância de áudio e vídeo do ambiente ao redor dos dispositivos. A atribuição pública ficou limitada a serviços de inteligência estrangeiros, sem identificação de país, grupo ou fornecedor específico.
A cadeia mencionada envolve exploração de canais de comunicação móvel e uso de capacidades técnicas associadas a grandes corporações internacionais de tecnologia. Como a investigação ainda estava em andamento, a leitura defensiva deve separar impacto declarado de detalhes não publicados: há indicação de comprometimento móvel, coleta sensível e vigilância, mas não há amostras, hashes, nomes de malware, versões de sistema ou indicadores técnicos acionáveis no material.
- Ativo afetado: dispositivos móveis de autoridades
- Impacto declarado: interceptação, vigilância e exfiltração
- Limite técnico: sem IoCs ou família de spyware identificados no contexto
Campanhas recentes distribuíram VIP Keylogger por meio de engenharia social baseada em comunicações comerciais falsas. As iscas simulam notificações de pagamento bancário, pedidos de compra e atualizações de logística, explorando rotinas comuns de áreas financeiras, compras e operações. A execução depende de interação do usuário com arquivos maliciosos, e os carregadores observados foram escritos em JavaScript, scripts em lote e Visual Basic Script.
A defesa deve tratar esse fluxo como uma combinação de controle de anexo, endurecimento de interpreters e detecção comportamental. Mesmo quando o anexo aparenta fazer parte de um processo comercial, a execução de scripts a partir de áreas temporárias, diretórios de download ou caminhos de e-mail deve gerar alerta, especialmente quando seguida por criação de novos processos, coleta de credenciais ou comunicação externa não esperada.
- Malware: VIP Keylogger
- Vetor: anexos maliciosos com aparência de comunicação empresarial
- Telemetria: execução de JavaScript, batch ou VBS a partir de arquivos recebidos por e-mail
A derrubada do fórum XSS em julho de 2025 não eliminou o ecossistema criminoso russofalante. O efeito descrito foi fragmentação: usuários, moderadores e operadores migraram para comunidades concorrentes, menos verificadas e potencialmente mais hostis entre si. Entre os espaços citados estão DamageLib, Rehub, XSS.pro e XSSF.
Para inteligência de ameaças, a mudança afeta continuidade de identidades, reputação de vendedores, rastreamento de aliases e avaliação de confiabilidade de ofertas criminosas. A suspeita de que uma recriação baseada em backups antigos possa operar como isca de autoridades também altera o comportamento dos participantes e pode empurrar negociações para canais mais fechados.
- Evento: fragmentação do ecossistema após ação policial contra XSS
- Plataformas citadas: DamageLib, Rehub, XSS.pro e XSSF
- Impacto defensivo: maior dificuldade para acompanhar reputação e migração de operadores
Incidentes envolvendo Tiflux mostram o uso de uma ferramenta remota menos conhecida para persistência, transmissão de capturas de tela e execução de comandos voltados à coleta de informações do sistema. O abuso não ficou restrito ao Tiflux: os operadores também instalaram UltraVNC, carregaram outros RMMs comerciais, incluindo Splashtop e ScreenConnect, e usaram um driver desatualizado que pode permitir elevação de privilégios no sistema infectado.
Esse padrão reforça que a presença de software de administração remota não deve ser aceita apenas pelo nome do fornecedor. A validação precisa considerar quem instalou, qual conta executa o serviço, quais endpoints externos são contatados, se há sessão fora do horário esperado e se a ferramenta aparece junto de novos drivers, coleta de perfil do host ou execução de comandos de inventário.
- Ferramentas: Tiflux, UltraVNC, Splashtop e ScreenConnect
- Capacidades observadas: persistência, capturas de tela e comandos de reconhecimento
- Risco adicional: driver antigo com possibilidade de elevação de privilégio
O cluster DriveSurge opera campanhas de distribuição de malware em grande escala com técnicas de engenharia social ClickFix e FakeUpdates, também conhecidas como SocGholish. Milhares de sites legítimos teriam sido comprometidos e usados para direcionar visitantes a infraestrutura maliciosa. O papel principal do cluster é o de broker de acesso inicial em modelo pay-per-install, fornecendo infecções para ataques posteriores.
A seleção da isca passa por um sistema de distribuição de tráfego chamado zTDS, observado desde pelo menos 2015 e publicado em ztds[.]info. Esse TDS perfila o visitante e decide se deve entregar uma isca ClickFix ou FakeUpdates. A campanha está ativa desde setembro de 2025, o que torna a inspeção de redirecionamentos, scripts injetados e alterações em sites de alta reputação uma prioridade para operadores de defesa web.
- Cluster: DriveSurge
- Infraestrutura: zTDS em ztds[.]info
- Função: distribuição de malware e acesso inicial para ataques posteriores
Campanhas de malspam distribuíram uma backdoor codificada em JavaScript contra alvos de múltiplas regiões e setores, com destaque para ministérios de energia e finanças, inclusive na região da Comunidade dos Estados Independentes. A motivação indicada é financeira, associada a comprometimento de contas de e-mail e fraude de e-mail corporativo. A atividade foi observada em março de 2026.
Outro caso usou a técnica EtherHiding para rotear a entrega de payloads ClearFake por smart contracts na testnet da BNB Smart Chain. A cadeia terminou com dois stealers implantados ao mesmo tempo, SectopRAT e ACRStealer, além de um rastreador de execução on-chain que confirmava comprometimentos em tempo real. A combinação de entrega via blockchain e monitoramento de vítimas reduz a dependência de servidores tradicionais e exige telemetria que cubra navegador, resolução de scripts e comportamento de endpoint.
- Malware citado: backdoor JavaScript, SectopRAT e ACRStealer
- Técnica: entrega ClearFake via smart contracts em testnet
- Alvos: campanhas com impacto em setores governamentais, energia e finanças
Grupos como APT29, APT33 e UTA0355 foram associados ao uso de ROADtools, um framework Python aberto voltado a pesquisa e red team em ambientes Microsoft. O valor ofensivo está no fato de operar por APIs legítimas da Microsoft e conseguir se misturar a tráfego esperado. A ferramenta também permite alterar atributos de requisição, como user-agent, o que pode dificultar correlação baseada apenas em assinatura simples.
Em intrusões de nuvem, o uso descrito envolve descoberta, persistência e evasão defensiva. Em uma campanha de phishing direcionado no início de 2025, a ferramenta usada correspondia a capacidades de gerenciamento de tokens do ROADtools. A defesa precisa correlacionar consentimentos, tokens, padrões de chamada a APIs, mudanças de user-agent e atividades de descoberta que não combinem com o perfil operacional da conta.
- Ferramenta: ROADtools
- Ambiente: APIs legítimas da Microsoft
- Uso observado: descoberta, persistência, evasão e gerenciamento de tokens
Campanhas de extorsão baseadas apenas em exfiltração de dados cresceram em 2025, sem implantação de ransomware como mecanismo de pressão. Os setores mais atingidos foram serviços profissionais, saúde e serviços ao consumidor. A manufatura permaneceu como o setor mais interrompido no geral, enquanto construção teve aumento anual de 44% como foco de extorsão somente por dados.
O apelo do setor de construção está ligado a plantas financeiras, dados de licitação e controles de saída de dados. Para defesa, o ponto central não é apenas prevenir criptografia de arquivos, mas medir exfiltração, tráfego para destinos incomuns, compactações anormais, uso de contas com acesso amplo a repositórios de propostas e movimentação de dados fora de fluxos aprovados.
- Tática: extorsão por dados sem ransomware
- Setores destacados: serviços profissionais, saúde, serviços ao consumidor e construção
- Sinal defensivo: grandes transferências e acesso anômalo a dados financeiros e de propostas
Um ator não identificado usou tecnologias de IA para automatizar descoberta em Active Directory e refinar evasão contra EDR dentro de um framework de pós-exploração. A análise indicou que o uso de IA para desenvolvimento direto de malware foi mais limitado, servindo principalmente para coordenação de fluxos de trabalho e experimentação. A etapa de bypass de EDR permaneceu como ciclo estruturado de engenharia, com revisão humana e iteração.
O framework central incluía uma ferramenta Python que gerava payloads em Go e Rust para testes de resistência a sandbox, antivírus e EDR. O conjunto teria produzido quase 80 módulos cobrindo mais de 70 técnicas. Também foram atribuídos ao ator scripts Python para injeção de shellcode em executáveis legítimos do Windows e um mecanismo externo de comando e controle baseado na API de bot do Telegram. A relação com operações conhecidas de ransomware e roubo de dados foi apontada no contexto, mas sem nome de grupo específico.
- Uso de IA: descoberta em Active Directory e experimentação de evasão
- Linguagens citadas: Python, Go e Rust
- Capacidades: pós-exploração furtiva, testes contra EDR e C2 externo via API de bot
FalkonC2 foi descrito como uma ferramenta comercial de hacking projetada para se ocultar em ambientes corporativos por meio de abuso de softwares remotos confiáveis. A versão empresarial, chamada Rotemelli2, executa em memória, alterna domínios de comando e controle a cada 72 horas e usa ferramentas como ScreenConnect, Datto e SimpleHelp para iniciar ações de forma discreta.
A telemetria de painel analisada indica infecções empresariais ativas nos Estados Unidos, Austrália, Países Baixos e Polônia. O framework verifica máquinas infectadas em busca de dados de QuickBooks e Sage50, o que sugere interesse em sistemas contábeis e dados que possam ser extraídos rapidamente. A defesa deve tratar RMM, execução em memória e busca por aplicações financeiras como sinais combinados, não eventos isolados.
- Ferramenta: FalkonC2 com versão Rotemelli2
- Técnica: execução em memória e rotação de domínios C2 a cada 72 horas
- Dados visados: ambientes com QuickBooks e Sage50
O Project Glasswing foi ampliado para cerca de 150 organizações em 15 países com acesso ao Claude Mythos Preview. O ponto técnico central é a mudança de gargalo: modelos capazes de encontrar grandes volumes de vulnerabilidades transferem pressão para verificação, divulgação coordenada e correção. A preocupação citada é que defensores sejam sobrecarregados por adversários usando IA para encontrar e explorar falhas em velocidade maior do que a capacidade de aplicar correções.
Uma análise separada de 7.200 incidentes públicos de segurança e operação envolvendo IA identificou 344 casos verificados de dano empresarial causado por agentes entre setembro de 2023 e maio de 2026. Desses, 188 envolveram sistemas autônomos causando dano organizacional direto sem atacante externo. Os resultados incluíram bancos de dados apagados, ações destrutivas em nuvem, operações financeiras não autorizadas, gasto excessivo de APIs, indisponibilidade de serviços, segredos expostos e corrupção silenciosa de integridade.
- Escopo: 344 casos de dano empresarial por agentes de IA
- Sem atacante externo: 188 incidentes
- Impactos: destruição em nuvem, gasto de API, exposição de segredos e corrupção de dados
A CISA incluiu CVE-2022-0492 no catálogo de vulnerabilidades exploradas conhecidas. A falha no núcleo Linux permite elevação de privilégio por meio do recurso release_agent do cgroups v1. A inclusão veio após observações de exploração contra ambientes de contêineres, junto de CVE-2019-5736 e CVE-2024-21626. Para agências federais civis dos EUA, o prazo de remediação foi 5 de junho de 2026.
Outro alerta do governo dos EUA tratou de ataques contra sistemas automáticos de medição de tanques, conhecidos como ATG. Os invasores exploram exposição direta à internet, credenciais codificadas, execução de comandos e injeção SQL para escalar privilégios até acesso administrativo completo e alterar funções do sistema. Como esses sistemas interagem com gerenciamento físico de tanques, o risco inclui manipulação ou interrupção de funções críticas por acesso lógico equivalente ao console local.
- Linux: elevação por
cgroups v1 release_agentemCVE-2022-0492 - Contêineres: exploração observada junto de outras falhas conhecidas
- ATG: remover exposição pública e substituir credenciais fracas ou codificadas
Uma campanha de phishing no LinkedIn abusou de infraestrutura da Adobe como ponto de redirecionamento dentro do fluxo de roubo de credenciais. O e-mail usa anexo HTML que apresenta um formulário de login e, depois da captura, redireciona a vítima para o LinkedIn legítimo. O domínio citado, lnkd.tt.omtrdc[.]net, pertence à Adobe e está associado ao Adobe Target, mas a campanha o usa como ponto de abuso no encadeamento, não como receptor final declarado das credenciais.
No campo de defesa contra fraude por chamada, o Android recebeu um recurso de detecção de chamada falsa baseado em RCS para Android 12 ou superior. Quando duas partes usam Phone by Google, o dispositivo do contato envia um sinal silencioso de confirmação criptografado de ponta a ponta. Se uma chamada tenta se passar por esse contato e o sinal inicial não existe, o aparelho verifica com o dispositivo real e exibe aviso quando ele não está fazendo a ligação. O recurso exige Phone by Google, Contacts e Google Messages.
- Phishing: anexo HTML com formulário falso de LinkedIn
- Infraestrutura abusada: domínio defangado lnkd.tt.omtrdc[.]net
- Android: verificação de chamada por RCS em Android 12 ou posterior
A telemetria útil nesta rodada combina endpoint, identidade, proxy, DNS, SaaS, nuvem, e-mail e inventário de ferramentas administrativas. O ponto comum entre os casos é abuso de componentes que podem parecer legítimos: APIs Microsoft usadas por ROADtools, RMMs conhecidos usados por FalkonC2 ou Tiflux, sites reputados comprometidos por DriveSurge, infraestrutura Adobe usada em phishing e agentes de IA executando ações destrutivas com permissões reais.
Em endpoint, procure instalação recente de RMMs fora do catálogo aprovado, execução de scripts JavaScript, VBS e batch recebidos por e-mail, processos que geram binários Go ou Rust para testes defensivos sem justificativa, criação de serviços remotos, drivers antigos carregados em hosts comprometidos e tentativas de acessar dados de aplicações contábeis. Em identidade e nuvem, correlacione tokens, user-agents incomuns, chamadas de descoberta em Microsoft APIs, consentimentos de aplicações e ações de agentes de IA que apagam, alteram ou exportam dados.
- Execução de scripts de anexos seguida por conexão externa ou coleta de credenciais
- Instalação de Tiflux, UltraVNC, Splashtop, ScreenConnect, Datto ou SimpleHelp fora do processo aprovado
- Chamadas incomuns a APIs Microsoft associadas a descoberta, persistência ou manipulação de tokens
- Redirecionamentos de sites legítimos para infraestrutura ClickFix, FakeUpdates ou TDS
- Ações de agentes de IA com deleção, exportação, gasto de API ou alteração em produção sem aprovação
A resposta deve começar pelos itens com exploração ou prova de conceito conhecida: atualizar Cisco Unified CM e Unified CM SME para as versões corrigidas, corrigir CVE-2022-0492 em sistemas Linux e contêineres, revisar exposição de ATG e remover esses sistemas da internet. Onde correção imediata não for possível, reduza acesso por segmentação, aplique autenticação forte, restrinja origem de administração e monitore tentativas de requisições anômalas.
Para malware, phishing e RMM abusado, a contenção exige inventário de ferramentas remotas autorizadas, bloqueio de scripts de origem não confiável, inspeção de anexos HTML, validação de domínios defangados observados em campanhas e revogação de credenciais expostas. Para IA, limite permissões de agentes, separe ambientes de teste e produção, exija aprovação humana para ações destrutivas, registre prompts, ferramentas chamadas, alterações de dados e uso de APIs. A medida defensiva mais importante é transformar permissões amplas e automações silenciosas em eventos auditáveis, reversíveis e aprovados.
- Aplicar Cisco Unified CM 14SU6 ou 15SU5 conforme o ramo em uso
- Remediar
CVE-2022-0492e revisar uso decgroups v1em contêineres - Retirar ATG da internet, trocar credenciais e validar inexistência de SQL injection e execução de comandos
- Permitir somente RMMs aprovados, com inventário, logs centralizados e alertas de instalação
- Restringir agentes de IA por privilégio mínimo, aprovações humanas e logs de ações em produção
0 Comentários