Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

A CERT-UA revelou uma campanha gigantesca escondida atrás de mais de 100 sites comprometidos, todos contaminados com JavaScript malicioso para distribuir um ladrão de informações chamado LunexStealer. A operação, rastreada como UAC-0277, foi identificada em setembro de 2026 e se disfarça como uma verificação de humanidade da Cloudflare.

O truque é brutal pela simplicidade. O visitante é instruído a executar um comando para provar que é humano, e esse comando baixa silenciosamente um pacote MSI malicioso de um servidor remoto. Os atacantes ainda usam contratos inteligentes nas redes Polygon e Ethereum para buscar seus domínios, o que torna qualquer derrubada um verdadeiro pesadelo.

São três variantes do MSI, e a mais perigosa cega softwares de segurança usando um driver AMD vulnerável e dribla as defesas do Windows. Depois de entrar, o LunexStealer instala uma extensão falsa de editor do Word que rouba cookies, credenciais e histórico de navegação, além de controlar o navegador à distância. Fique atento, restrinja a instalação de extensões e nunca cole comandos de estranhos no Executar.

Se você quer uma camada real de privacidade entre você e a web, vale conhecer o ProtonVPN: https://pad.vg/vpn

Mais de 100 sites sequestrados falsificam verificações da Cloudflare para instalar o malware LunexStealer

#cybersecurity #privacy #cloudflare #malware #windows #phishing #infostealer

Ver detalhe →

Times que usam Claude Code, Cursor ou um bot de tickets caseiro estão copiando chaves de modelo e credenciais MCP em cada notebook e runner de CI. Um único arquivo vazado entrega as chaves do seu GitHub, do Jira e de todos os provedores de modelo que você usa. O AI Agent Gateway da Tuskira é a resposta open-source para esse caos.

O gateway fica entre os seus agentes e tudo o que eles chamam. As credenciais permanecem em um armazenamento criptografado, as permissões são verificadas no exato momento de cada chamada e cada agente só enxerga as ferramentas que pode usar. Uma chave vazada vinculada a um perfil alcança apenas o que aquele perfil permite, e uma requisição negada nem chega ao backend.

Ele roda no seu próprio ambiente, sem conta de fornecedor, suporta Anthropic direto ou via AWS Bedrock, além de OpenAI e Gemini, e registra tokens e custo estimado por chamada. É gratuito no GitHub, pronto para macOS, Linux e Windows via WSL2.

Gateway open-source para agentes de IA mantém credenciais fora das configurações dos agentes

#open-source #cybersecurity #privacy #devops #ai-agents #mcp #credentials

Ver detalhe →

Uma vulnerabilidade crítica no IBM Langflow OSS permite que qualquer atacante remoto execute código arbitrário em instalações afetadas sem autenticação. Registrada como CVE-2026-104334, a falha recebeu nota 9.8 no CVSS, colocando toda implantação exposta na mira.

O problema vem do controle inadequado da geração de código, permitindo que atacantes injetem e executem seu próprio código nas versões 1.0.0 até 1.12.2. Atualize imediatamente para a versão corrigida, restrinja instâncias expostas na internet e revise cada entrada de geração de código antes que ela vire um incidente real.

Langflow é atingido por falha de execução remota de código sem autenticação com nota 9.8 crítica

#cybersecurity #infosec #rce #vulnerability #cve #ibm #langflow

Ver detalhe →

O Google pausou o pagamento por relatórios de vulnerabilidade de produto em seu Programa de Recompensas por Vulnerabilidades de Software de Código Aberto. Desde 1º de outubro, pesquisadores não podem mais ganhar recompensas por falhas em projetos de código aberto de nível flagship e importante, como Go, Angular, Flutter, Bazel e Protocol Buffers. A empresa afirma que um aumento massivo de envios automatizados, a maioria inválidos, forçou a parada temporária.

Relatórios sobre comprometimento da cadeia de suprimentos ainda são aceitos e pagos, e relatórios enviados antes do corte não foram afetados. O Google não disse quando as recompensas por vulnerabilidades de produto voltarão, apenas que planeja reformular o programa até o início de 2027. A medida expõe como o ruído gerado por IA está sobrecarregando programas de bug bounty e a segurança do código aberto.

Pesquisadores ainda podem reportar por meio do Cloud VRP, Patch Rewards e outros programas do Google. O projeto Go agora pede explicitamente que relatórios gerados por LLMs não sejam enviados sem revisão e filtragem. É um alerta para um ecossistema de segurança afogado em achados automatizados de baixa qualidade.

Google suspende recompensas de bug bounty de código aberto após enxurrada de relatórios inválidos gerados por IA

#ai #open-source #cybersecurity #google #bug-bounty #security-research

Ver detalhe →

A Dinamarca acabou de viver um dos maiores vazamentos de dados de sua história. Atacantes abusaram do acesso legítimo de uma empresa privada ao Registro Central de Pessoas (CPR) e levaram nomes, endereços e números de CPR de 8,8 milhões de pessoas, cerca de 80 por cento de todo o registro.

Esses números de CPR de dez dígitos são a espinha dorsal da vida dinamarquesa, movimentando tudo, de impostos e saúde a serviços bancários, o que transforma esse vazamento em uma mina de ouro para fraudadores. As autoridades cortaram o acesso da empresa, abriram investigação policial e agora pedem que todo cidadão fique atento e nunca entregue senhas, nem mesmo a alguém que já saiba seu nome, endereço e número de CPR.

Momentos como esse são um lembrete forte de que os dados pessoais são o novo campo de batalha. Proteger sua pegada digital com ferramentas criptografadas e focadas em privacidade nunca foi tão urgente.

Registro populacional da Dinamarca sofre vazamento massivo e expõe 8,8 milhões de pessoas

#cybersec #security #cyberattack #privacy #data-breach #denmark #cpr

Ver detalhe →

O FBI afastou um contratado da Accenture depois que um patch de segurança simplesmente não foi aplicado em uma plataforma de terceiros, abrindo a porta que o ShinyHunters precisava para roubar dados pessoais de milhares de funcionários da agência. Segundo a Reuters, a plataforma em questão é o Oracle PeopleSoft, que o grupo criminoso diz ter explorado para invadir o portal de vagas do FBI no mês passado.

As investigações apontam para a CVE-2026-35273, uma falha que permite burlar uma regra de firewall de aplicação web que protegia o endpoint vulnerável do Environment Management Hub usando um truque de codificação de URL. A Mandiant avaliou a técnica, e o resultado foi imediato: o contratado foi removido, as mitigações foram aplicadas e o FBI afirma que mais prisões devem acontecer após dois membros do ShinyHunters já terem sido detidos.

A lição é dura para qualquer organização que terceiriza a própria segurança. Um único sistema sem correção, gerenciado por outra empresa, bastou para expor uma força de trabalho federal inteira. Se fornecedores externos cuidam dos seus dados, a disciplina de patch deles é a sua superfície de ataque, e o preço de confiar às cegas acabou de subir de novo.

FBI demite contratada após brecha do ShinyHunters expor dados de milhares de funcionários

#cybersec #privacy #vulnerability #data-breach #shinyhunters #fbi #oracle

Ver detalhe →

$A Microsoft liberou atualizações de segurança fora do ciclo normal para uma falha de alta severidade no Exchange Server, registrada como CVE-2026-96940 e com nota 8.8 no sistema CVSS. Uma autorização fraca na plataforma permite que um atacante autenticado eleve privilégios pela rede e entre em caixas de correio de outros usuários da mesma organização, lendo mensagens e anexos sem restrição. Clientes do Exchange Online já estão protegidos por uma correção feita do lado do serviço, então a pressão recai sobre quem administra instalações locais: Exchange Server Subscription Edition RTM, Exchange Server 2016 CU23 e Exchange Server 2019 CU14 e CU15. A Microsoft classificou o bug como exploração mais provável, o que no vocabulário corporativo significa agir agora, não no próximo trimestre. Ainda não há abuso confirmado em campo, mas o contexto é barulhento: a divulgação vem dias depois de a Symantec alertar que um grupo ligado à China encadeia falhas no SharePoint para espalhar ransomware contra organizações de países de língua portuguesa e espanhola. Atualize seus servidores, restrinja permissões de caixa postal e trate a infraestrutura de e-mail como o ativo crítico que ela é. Em redes inseguras, uma VPN robusta na frente das sessões de administrador é seguro barato.$