Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Uma nova plataforma de malware como serviço chamada Lunex está causando impacto no submundo cibercriminoso, e usa um driver vulnerável da AMD Radeon para cegar ferramentas de segurança antes de roubar seus dados mais sensíveis. Descoberta pela Ontinue, a cadeia de ataque começa com uma página de CAPTCHA falsa e termina com um agente de comando e controle completo que extrai credenciais de sete navegadores baseados em Chromium e cinco carteiras de criptomoedas desktop.

A técnica é um raro ataque 'bring your own vulnerable driver' (BYOVD), explorando a CVE-2023-20598 para escalar privilégios e desativar a proteção de endpoint enquanto mantém os processos em execução. Uma vez dentro, o LunexLoader instala um host de mensagens nativas do Chrome persistente que concede aos atacantes acesso remoto ao sistema de arquivos, sobrevivendo a reinicializações e até à exclusão do binário do stealer.

Com 28 painéis ativos em 13 países e um desenvolvedor de língua russa, o Lunex representa uma grande expansão do ecossistema MaaS. Para se proteger, mantenha seus drivers AMD atualizados, use uma VPN confiável como a ProtonVPN e evite clicar em prompts de CAPTCHA suspeitos.

Lunex stealer abusa de driver da AMD para desativar segurança e roubar credenciais do navegador

#cybersecurity #malware #infostealer #credential-theft #amd #byovd #crypto-wallets

Ver detalhe →

Uma nova e perigosa variante do infostealer MacSync está caçando usuários de Mac, e é bem mais sofisticada do que tudo que já vimos. Segundo a Kaspersky, o malware se espalha por meio de um falso aplicativo de carteira cripto chamado Toria, promovido no X e no Telegram, e depois assume a máquina para roubar credenciais, dados de carteiras cripto, histórico do navegador, cookies, configurações de SSH e AWS e até o arquivo do Keychain.

O detalhe mais assustador é a entrega: em uma das campanhas, os atacantes esconderam os comandos dentro de um evento público de calendário do iCloud. O sistema executava o arquivo linha por linha no zsh até chegar às instruções maliciosas colocadas depois do campo DESCRIPTION, transformando um calendário inofensivo em vetor de ataque. Um backdoor persistente disfarçado de Finder ainda se reinstala via LaunchAgents, entradas no .zshrc e hooks do Git, matando silenciosamente os processos do macOS que alertariam o usuário.

Fica o recado: privacidade e segurança não são opcionais. Uma VPN confiável e uma conexão criptografada são higiene básica para quem guarda cripto ou credenciais de trabalho em um Mac.

Novo malware MacSync esconde comandos de ataque em um evento do calendário do iCloud

#cybersec #privacy #malware #macos #crypto #infostealer #kaspersky

Ver detalhe →

Uma nova campanha ClickFix está sequestrando sites legítimos de empresas ucranianas, de uma clínica de tratamento capilar a uma livraria especializada, e trocando o conteúdo por telas falsas de verificação da Cloudflare. A vítima é instruída a colar um comando do Windows Installer no diálogo Executar, que baixa silenciosamente um infostealer até então desconhecido, batizado de Psychedelic.

Depois de entrar no sistema, o malware coleta senhas salvas e tokens de conta do Chrome, Edge, Brave, Opera, Vivaldi e Yandex, e ainda varre extensões e aplicativos de carteiras de criptomoedas como MetaMask, Trust Wallet, OKX Wallet, Exodus e Electrum. Ele também cria persistência via tarefa agendada e segue consultando seu servidor de comando e controle em busca de novas ordens.

Pesquisadores da Arctic Wolf ligaram a operação a artefatos em russo e a um painel de gestão de iscas exposto chamado Rublevka TDS, com a Ucrânia concentrando a esmagadora maioria das vítimas registradas. O recado é direto: se uma página pedir para você colar um comando no Executar do Windows para provar que é humano, feche a aba. Reforce sua privacidade com uma VPN confiável antes que a próxima isca chegue.

Sites ucranianos invadidos usam falsa verificação da Cloudflare para instalar o Psychedelic Stealer

#cybersecurity #privacy #cloudflare #ukraine #malware #infostealer #clickfix

Ver detalhe →

Um novo implante para Windows chamado CLOSEDQUORUM faz algo que os pesquisadores nunca tinham documentado antes: entrega as decisões de comando e controle para a inteligência artificial. Em vez de esperar ordens de um servidor do atacante, ele pergunta a até quatro serviços comerciais de IA, DeepSeek, Qwen, Mistral e Google Gemini, qual deve ser o próximo passo, e executa a ação que receber mais votos.

As opções são pesadas. O malware pode extrair credenciais da memória do Windows, roubar senhas salvas do Chrome, Edge e Firefox e varrer dados de carteiras cripto como MetaMask, Exodus e Ethereum. Também consegue injetar código em outros processos e criar três formas diferentes de persistência com nomes temáticos de Windows Update para parecer atividade normal do sistema.

A Cisco Talos, que encontrou a amostra, afirma que a versão pública está incompleta e nunca foi vista funcionando de ponta a ponta, mas o design sozinho já marca uma virada. Os atacantes estão terceirizando decisões para serviços que não controlam, uma arquitetura tão frágil quanto assustadora. A recomendação é caçar comportamento, não domínios, e observar tráfego de IA se misturando silenciosamente com acesso ao LSASS, injeção de processos e webhooks do Discord. Se você se importa com sua privacidade, uma VPN confiável e hábitos mais rígidos deixaram de ser opcionais.

Este malware para Windows deixa quatro modelos de IA votarem sobre o que fazer em seguida

#ai #cybersec #seguridad #threat-intelligence #malware #windows #privacidad #cisco-talos

Ver detalhe →

Nesta semana em cibersegurança, a Cisco emitiu um alerta urgente sobre uma falha de autenticação de severidade máxima no Identity Services Engine (ISE) que já está sendo explorada ativamente. A vulnerabilidade, rastreada como CVE-2026-76460 com pontuação CVSS 10.0, permite que atacantes remotos não autenticados contornem a autenticação e acessem a interface de gerenciamento web.

Enquanto isso, pesquisadores demonstraram o Plugin4Shell, uma vulnerabilidade de execução remota de código sem clique que afeta os principais agentes de codificação de IA, como Claude Code, OpenAI Codex, GitHub Copilot e Google Gemini CLI. Em uma divulgação relacionada, a Hacktron revelou como usou o Claude Opus 5 da Anthropic para encadear duas falhas críticas e obter acesso não autorizado às contas ChatGPT de funcionários da OpenAI. Outros destaques incluem a apreensão dos domínios NightmareStresser pelos EUA, o novo malware bancário KREMLIN visando bancos brasileiros e um aumento nos ataques ClickFix. Fique atento e aplique as correções imediatamente.

Resumo semanal de cibersegurança: 0-day da Cisco, RCE em agentes de IA e nova onda de sequestros de navegador

#ai #openai #cybersecurity #rce #vulnerabilities #cisco #malware

Ver detalhe →

Um novo malware para Android chamado RatHat está transformando celulares comuns em dispositivos de vigilância totalmente controlados à distância, e pesquisadores apontam que ele é operado por atores de ameaça baseados na China. A distribuição acontece por SMS de phishing, anúncios maliciosos e portais de download de terceiros nada confiáveis, seguida por camadas de truques anti-análise feitos para quebrar scanners automáticos.

O mais assustador vem depois. O RatHat abusa das permissões de acessibilidade do Android para liberar as opções de desenvolvedor, ativar a depuração sem fio e roubar o código de pareamento ADB de seis dígitos, o que permite instalar daemons nativos rodando com privilégios de shell. Mesmo que você apague o aplicativo, o atacante continua com uma porta dos fundos ativa dentro do seu aparelho.

Os pesquisadores da Zimperium também descobriram que o malware conversa com um assistente de IA generativa popular para ler sua tela, localizar botões e disparar toques sintéticos, enquanto um túnel reverso FRP garante acesso persistente para capturar SMS, senhas, teclas digitadas e gravações de tela. Segurança móvel baseada em assinaturas simplesmente não foi feita para isso, então a defesa real começa limitando o que seus apps podem fazer. Se você vive em Wi-Fi público e links de download duvidosos, este é o momento de blindar sua conexão e parar de entregar uma estrada livre para os atacantes dentro do seu celular.

Malware RatHat mantém o controle do seu Android mesmo depois de você desinstalá-lo

#ai #cybersec #hacking #privacy #android #malware #adb

Ver detalhe →

Bastou uma única chave de API da Cloudflare com permissões totais, embutida direto no código-fonte. A Brevo confirmou que atacantes roubaram essa credencial e a usaram para criar um Cloudflare Worker malicioso que reescrevia o conteúdo na borda da CDN, injetando scripts ClickFix no brevo.com, no sendinblue.com, nas páginas de login e onboarding e nos scripts de formulários, conversas e SDK que os clientes embutem em seus próprios sites. A janela de exposição durou cerca de cinco horas e meia em 14 de setembro, e a empresa de segurança Sansec estima que até 100 mil sites que dependem desses componentes foram atingidos.

Como o payload era servido pela borda e removia cabeçalhos de segurança como o Content-Security-Policy, servidores de origem e arquivos pareciam totalmente limpos, e as verificações padrão de integridade nunca dispararam. Visitantes viam uma falsa página de verificação da Cloudflare seguida de instruções ClickFix mandando executar um comando no Windows. Em sites WordPress, o script injetado checava se o visitante era um administrador logado e tentava instalar um plugin falso chamado Web Media Optimizer, que se esconde da lista de plugins, se enterra no diretório must-use, busca JavaScript novo em servidores remotos e traz uma chave embutida capaz de gerar uma sessão de administrador válida sem precisar da senha.

A Brevo afirma que removeu o Worker, revogou a chave, apagou a credencial embutida do código, deletou domínios controlados pelos atacantes e limpou os caches da borda, além de garantir que o app, a API, a entrega de e-mails e os dados de contas não foram afetados. Administradores de WordPress que navegaram em um site afetado logados no dia 14 de setembro devem auditar plugins instalados naquele dia e trocar as senhas de administrador. A lição é dura e direta: uma credencial esquecida no código e uma CDN confiável bastam para incendiar toda uma cadeia de suprimentos. É por isso que telemetria na borda, gestão de segredos e uma camada séria de VPN e DNS criptografado nas máquinas que acessam sistemas de produção deixaram de ser opcionais.

Ataque na cadeia de suprimentos da Brevo envenenou sites de clientes com malware ClickFix por mais de cinco horas

#cybersecurity #infosec #cloudflare #wordpress #data-breach #supply-chain-attack #malware #clickfix

Ver detalhe →

Atores cibernéticos ligados ao Estado iraniano estão usando um malware para Windows chamado CHOSEN BRICK para espionar dissidentes, ativistas e jornalistas no Reino Unido, nos Estados Unidos e na Holanda, segundo um alerta conjunto do NCSC britânico, do FBI e do AIVD holandês. A campanha está ativa desde pelo menos 2025.

Os ataques começam no WhatsApp e no Telegram, onde o invasor se passa por um contato conhecido ou pelo suporte da plataforma, ganha confiança e envia um arquivo disfarçado de software legítimo, como falsos instaladores de Telegram, KeePass e Norton Antivirus, ou até resultados de exames de ressonância magnética. Depois de aberto, o CHOSEN BRICK adiciona exclusões ao Microsoft Defender, sobrevive a reinicializações, captura telas, liga o microfone, rouba e-mails e mensagens, baixa mais malware ou apaga o dispositivo.

As agências alertam que a inteligência iraniana já planejou sequestros e operações letais contra pessoas vistas como inimigas do regime, o que transforma o caso em uma questão de segurança física, não apenas digital. As organizações devem compartilhar o alerta com funcionários em risco e verificar também os dispositivos pessoais, enquanto ferramentas de privacidade como o ProtonVPN ajudam a reduzir a exposição.

Hackers estatais iranianos usam malware CHOSEN BRICK para espionar dissidentes e jornalistas

#iran #cybersecurity #privacy #threat-intelligence #malware #windows #espionage

Ver detalhe →

Um novo malware bancario brasileiro chamado KREMLIN esta transformando navegadores comuns em maquinas de roubo de credenciais. Pesquisadores da Elastic Security Labs, que rastreiam o grupo como REF9334, descobriram que a operacao se passa por uma duzia de bancos brasileiros para convencer a vitima a abrir uma falsa fatura ou documento bancario, instalando silenciosamente uma extensao maliciosa no Google Chrome e no Microsoft Edge.

O que deixa essa campanha realmente assustadora e a dificuldade de derrubar. Os atacantes guardam os enderecos de comando e controle dentro de contratos inteligentes na Ethereum e usam a blockchain como dead drop resolver: bloquear um servidor nao resolve nada, basta atualizar o contrato e voltar com dominios novos. Depois de instalada, a extensao rouba senhas, tokens de sessao, cookies, armazenamento local, historico de navegacao e ate o codigo completa das paginas, enviando ainda um identificador unico da vitima para os operadores.

Os carregadores escapam de sandboxes, maquinas virtuais e limites de CPU e memoria, e ainda usam o binario de uma empresa legitima de seguranca para carregar o payload sem levantar suspeitas. Se voce usa Chrome ou Edge para acessar banco, compras ou qualquer conta sensivel, trate documentos inesperados e extensoes desconhecidas como ameaca direta. Revise tudo o que esta instalado no seu navegador e proteja sua conexao com ferramentas de privacidade como o ProtonVPN antes do proximo roubo em massa.

Malware KREMLIN sequestra Chrome e Edge para esvaziar contas bancarias e esconde seus servidores na blockchain Ethereum

#banking #cybersec #privacy #malware #chrome #ethereum #browsers

Ver detalhe →

Um grupo de espionagem ligado à China está transformando um dos teclados mais populares do mundo em uma fábrica de backdoors. Pesquisadores da Gen Digital alertam que o grupo UNC3569 explora ativamente a CVE-2026-51990, uma falha crítica de execução remota de código com um único clique no Sogou Input Method, da Tencent, para instalar silenciosamente o malware GrayRabbit nas máquinas das vítimas.

A cadeia de ataque é engenhosa. Um link sgbiz: criado para o efeito aciona o manipulador de protocolo do Sogou, que repassa argumentos de linha de comando não validados para um executável legítimo e força o navegador Chromium embutido a carregar uma página controlada pelo atacante. Como esse motor está preso no Chromium 80, roda sem sandbox e tem proteções de segurança desativadas, o exploit consegue execução de código e instala um backdoor 64-bit maduro, com shells reversos, transferência de arquivos e carregamento de plugins direto na memória.

A Tencent lançou a correção na versão 16.3.0.3498, em 21 de abril, mas os pesquisadores avisam que o navegador interno continua desatualizado e sem isolamento. Com centenas de milhões de instalações na China, o recado é direto: atualize agora, desconfie de links de um clique e proteja sua navegação com uma VPN confiável.

Hackers exploram falha em app da Tencent para instalar o backdoor GrayRabbit

#cybersecurity #privacy #backdoor #malware #zero-day #tencent #sogou

Ver detalhe →

Atacantes estão encadeando três vulnerabilidades no JFrog Artifactory para driblar a autenticação, gerar tokens de administrador e instalar um backdoor em Rust feito sob medida em servidores self-hosted. Segundo a Wiz, em alguns casos a invasão saiu do zero ao acesso total de administrador em menos de cinco minutos.

Os números assustam: entre 49% e 62% das instâncias Artifactory acessíveis pela internet estão expostas a pelo menos uma dessas falhas. A cadeia explora CVE-2026-42018 e CVE-2026-42016, com a CVE-2026-82329 abrindo a porta para a falsificação de tokens administrativos.

Se você roda Artifactory, atualize agora para as versões 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 ou 7.161.20 e procure por administradores fantasmas, tokens inesperados e plugins Groovy suspeitos. Em redes públicas, uma VPN mantém sua conexão longe dos curiosos.

JFrog Artifactory sob ataque: falhas encadeadas instalam backdoor em Rust

#cybersecurity #infosec #vulnerabilities #backdoor #malware #jfrog #artifactory

Ver detalhe →

O programa de acesso antecipado do Google Play foi sequestrado, e o estrago é enorme. Pesquisadores encontraram milhares de apps enganosos explorando o recurso que mantém avaliações e notas escondidas, transformando uma ferramenta feita para desenvolvedores em porta aberta para cassinos falsos, falsos esquemas de recompensa e clones que imitam marcas conhecidas, já somando milhões de downloads.

O roteiro é brutalmente simples. As vítimas são atraídas por anúncios no TikTok e no Facebook, alguns com deepfakes de celebridades gerados por inteligência artificial, prometendo dinheiro instantâneo, pagamentos via PayPal e cartões-presente. Quando o usuário chega ao limite de saque, o progresso trava e o dinheiro prometido nunca aparece, enquanto os apps continuam lucrando com anúncios sem fim.

Como esses títulos escapam das regras de jogos de azar e da verificação de idade se disfarçando de caça-níqueis e jogos de quebra-cabeça, os sinais tradicionais de confiança simplesmente não funcionam. Se você quer uma camada extra de proteção no seu aparelho, uma ferramenta de privacidade confiável como a ProtonVPN é um ótimo primeiro passo.

Programa de acesso antecipado do Google Play está sendo usado para inundar o Android com milhares de apps enganosos

#cybersecurity #privacy #android #malware #protonvpn #google-play

Ver detalhe →