Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

A CERT-UA revelou uma campanha gigantesca escondida atrás de mais de 100 sites comprometidos, todos contaminados com JavaScript malicioso para distribuir um ladrão de informações chamado LunexStealer. A operação, rastreada como UAC-0277, foi identificada em setembro de 2026 e se disfarça como uma verificação de humanidade da Cloudflare.

O truque é brutal pela simplicidade. O visitante é instruído a executar um comando para provar que é humano, e esse comando baixa silenciosamente um pacote MSI malicioso de um servidor remoto. Os atacantes ainda usam contratos inteligentes nas redes Polygon e Ethereum para buscar seus domínios, o que torna qualquer derrubada um verdadeiro pesadelo.

São três variantes do MSI, e a mais perigosa cega softwares de segurança usando um driver AMD vulnerável e dribla as defesas do Windows. Depois de entrar, o LunexStealer instala uma extensão falsa de editor do Word que rouba cookies, credenciais e histórico de navegação, além de controlar o navegador à distância. Fique atento, restrinja a instalação de extensões e nunca cole comandos de estranhos no Executar.

Se você quer uma camada real de privacidade entre você e a web, vale conhecer o ProtonVPN: https://pad.vg/vpn

Mais de 100 sites sequestrados falsificam verificações da Cloudflare para instalar o malware LunexStealer

#cybersecurity #privacy #cloudflare #malware #windows #phishing #infostealer

Ver detalhe →

Um grupo de ameaças rastreado como UAT-11587 está se infiltrando silenciosamente em redes de governos e órgãos de política em toda a Ásia, e sua arma mais nova se esconde à vista de todos. O até então desconhecido backdoor Antino roda discretamente no Windows e, em vez de depender de servidores suspeitos, se comunica por meio do Microsoft 365, usando o Graph para conversar com o Outlook e o OneDrive.

A Cisco Talos rastreou a campanha em Taiwan, Índia, Filipinas, Camboja, Paquistão, Tailândia e Mianmar, com pelo menos 16 entidades atingidas e um pico de ataques entre março e o início de junho de 2026. As iscas são enganosas e incluem uma falsa prévia de anexo do Gmail reconstruída com imagens em Base64 que leva as vítimas a páginas controladas pelos atacantes.

Com código compilado em Rust, carregamento de shellcode em memória e reconhecimento completo do host, isso é espionagem feita para durar. Se sua organização usa o Microsoft 365, redobre a atenção, reforce o fluxo de e-mails e desconfie de todo anexo.

Hackers ligados à China escondem o novo backdoor Antino dentro do Outlook e do OneDrive

#china #cybersecurity #backdoor #malware #microsoft365 #espionage

Ver detalhe →

Uma nova backdoor de WordPress apelidada de SC está transformando a limpeza de sites em um pesadelo. Pesquisadores de segurança afirmam que ela se reconstrói a partir de pelo menos oito locais, incluindo arquivos, banco de dados e memória compartilhada.

O malware usa comando e controle via blockchain Ethereum, se esconde da tela de plugins e pode criar contas de administrador ocultas. Ele também se espalha por temas, drop-ins, plugins falsos e tarefas cron, então apagar todos os arquivos pode não ser suficiente.

O recado para donos de sites é direto: infecções modernas no WordPress podem agir como um sistema resiliente, não como um único arquivo malicioso. Atualize rápido, audite tudo e trate cada camada como comprometida.

Nova backdoor de WordPress que se autorreconstrói desafia qualquer tentativa de limpeza

#cybersecurity #infosec #wordpress #backdoor #malware #blockchain

Ver detalhe →

Uma campanha nova e bem montada está transformando o recurso de GPTs personalizados da OpenAI em arma. Pesquisadores da Huntress identificaram criminosos criando GPTs falsos chamados "Plus 5.6" que se passam por upgrades oficiais de assinatura do ChatGPT e empurram as vítimas para uma página no Google Sites com um CAPTCHA falso da Cloudflare. Se você seguir as instruções, uma isca ClickFix convence você a colar e executar um comando PowerShell malicioso na própria máquina.

O que vem depois é pesado. Um instalador MSI assinado abusa de um binário legítimo da Canon para carregar uma DLL maliciosa, extrai um loader criptografado escondido dentro de um arquivo de áudio .WAV e libera um trojan de acesso remoto completo. Esse RAT consegue acessar câmera, microfone e áudio do sistema, abrir sessões de área de trabalho remota, vasculhar arquivos e resolver seu servidor de comando e controle via DNS-over-HTTPS, ficando invisível nos logs de DNS locais. Pelo menos 40 usuários já foram infectados, muitas vezes após clicar em um resultado patrocinado na busca por "chatgpt".

A lição é direta: nunca execute comandos ou instaladores só porque um chatbot ou um CAPTCHA falso mandou, e confie apenas em fontes oficiais. Se proteger seu tráfego importa, ferramentas de privacidade como a ProtonVPN mantêm sua conexão criptografada e longe de infraestruturas suspeitas.

Hackers estão sequestrando GPTs falsos do ChatGPT para espalhar um RAT sorrateiro

#ai #cybersecurity #chatgpt #privacy #malware #clickfix #rat

Ver detalhe →

Uma nova plataforma de malware como serviço chamada Lunex está causando impacto no submundo cibercriminoso, e usa um driver vulnerável da AMD Radeon para cegar ferramentas de segurança antes de roubar seus dados mais sensíveis. Descoberta pela Ontinue, a cadeia de ataque começa com uma página de CAPTCHA falsa e termina com um agente de comando e controle completo que extrai credenciais de sete navegadores baseados em Chromium e cinco carteiras de criptomoedas desktop.

A técnica é um raro ataque 'bring your own vulnerable driver' (BYOVD), explorando a CVE-2023-20598 para escalar privilégios e desativar a proteção de endpoint enquanto mantém os processos em execução. Uma vez dentro, o LunexLoader instala um host de mensagens nativas do Chrome persistente que concede aos atacantes acesso remoto ao sistema de arquivos, sobrevivendo a reinicializações e até à exclusão do binário do stealer.

Com 28 painéis ativos em 13 países e um desenvolvedor de língua russa, o Lunex representa uma grande expansão do ecossistema MaaS. Para se proteger, mantenha seus drivers AMD atualizados, use uma VPN confiável como a ProtonVPN e evite clicar em prompts de CAPTCHA suspeitos.

Lunex stealer abusa de driver da AMD para desativar segurança e roubar credenciais do navegador

#cybersecurity #malware #infostealer #credential-theft #amd #byovd #crypto-wallets

Ver detalhe →

Uma nova e perigosa variante do infostealer MacSync está caçando usuários de Mac, e é bem mais sofisticada do que tudo que já vimos. Segundo a Kaspersky, o malware se espalha por meio de um falso aplicativo de carteira cripto chamado Toria, promovido no X e no Telegram, e depois assume a máquina para roubar credenciais, dados de carteiras cripto, histórico do navegador, cookies, configurações de SSH e AWS e até o arquivo do Keychain.

O detalhe mais assustador é a entrega: em uma das campanhas, os atacantes esconderam os comandos dentro de um evento público de calendário do iCloud. O sistema executava o arquivo linha por linha no zsh até chegar às instruções maliciosas colocadas depois do campo DESCRIPTION, transformando um calendário inofensivo em vetor de ataque. Um backdoor persistente disfarçado de Finder ainda se reinstala via LaunchAgents, entradas no .zshrc e hooks do Git, matando silenciosamente os processos do macOS que alertariam o usuário.

Fica o recado: privacidade e segurança não são opcionais. Uma VPN confiável e uma conexão criptografada são higiene básica para quem guarda cripto ou credenciais de trabalho em um Mac.

Novo malware MacSync esconde comandos de ataque em um evento do calendário do iCloud

#cybersec #privacy #malware #macos #crypto #infostealer #kaspersky

Ver detalhe →

Uma nova campanha ClickFix está sequestrando sites legítimos de empresas ucranianas, de uma clínica de tratamento capilar a uma livraria especializada, e trocando o conteúdo por telas falsas de verificação da Cloudflare. A vítima é instruída a colar um comando do Windows Installer no diálogo Executar, que baixa silenciosamente um infostealer até então desconhecido, batizado de Psychedelic.

Depois de entrar no sistema, o malware coleta senhas salvas e tokens de conta do Chrome, Edge, Brave, Opera, Vivaldi e Yandex, e ainda varre extensões e aplicativos de carteiras de criptomoedas como MetaMask, Trust Wallet, OKX Wallet, Exodus e Electrum. Ele também cria persistência via tarefa agendada e segue consultando seu servidor de comando e controle em busca de novas ordens.

Pesquisadores da Arctic Wolf ligaram a operação a artefatos em russo e a um painel de gestão de iscas exposto chamado Rublevka TDS, com a Ucrânia concentrando a esmagadora maioria das vítimas registradas. O recado é direto: se uma página pedir para você colar um comando no Executar do Windows para provar que é humano, feche a aba. Reforce sua privacidade com uma VPN confiável antes que a próxima isca chegue.

Sites ucranianos invadidos usam falsa verificação da Cloudflare para instalar o Psychedelic Stealer

#cybersecurity #privacy #cloudflare #ukraine #malware #infostealer #clickfix

Ver detalhe →

Um novo implante para Windows chamado CLOSEDQUORUM faz algo que os pesquisadores nunca tinham documentado antes: entrega as decisões de comando e controle para a inteligência artificial. Em vez de esperar ordens de um servidor do atacante, ele pergunta a até quatro serviços comerciais de IA, DeepSeek, Qwen, Mistral e Google Gemini, qual deve ser o próximo passo, e executa a ação que receber mais votos.

As opções são pesadas. O malware pode extrair credenciais da memória do Windows, roubar senhas salvas do Chrome, Edge e Firefox e varrer dados de carteiras cripto como MetaMask, Exodus e Ethereum. Também consegue injetar código em outros processos e criar três formas diferentes de persistência com nomes temáticos de Windows Update para parecer atividade normal do sistema.

A Cisco Talos, que encontrou a amostra, afirma que a versão pública está incompleta e nunca foi vista funcionando de ponta a ponta, mas o design sozinho já marca uma virada. Os atacantes estão terceirizando decisões para serviços que não controlam, uma arquitetura tão frágil quanto assustadora. A recomendação é caçar comportamento, não domínios, e observar tráfego de IA se misturando silenciosamente com acesso ao LSASS, injeção de processos e webhooks do Discord. Se você se importa com sua privacidade, uma VPN confiável e hábitos mais rígidos deixaram de ser opcionais.

Este malware para Windows deixa quatro modelos de IA votarem sobre o que fazer em seguida

#ai #cybersec #seguridad #threat-intelligence #malware #windows #privacidad #cisco-talos

Ver detalhe →

Nesta semana em cibersegurança, a Cisco emitiu um alerta urgente sobre uma falha de autenticação de severidade máxima no Identity Services Engine (ISE) que já está sendo explorada ativamente. A vulnerabilidade, rastreada como CVE-2026-76460 com pontuação CVSS 10.0, permite que atacantes remotos não autenticados contornem a autenticação e acessem a interface de gerenciamento web.

Enquanto isso, pesquisadores demonstraram o Plugin4Shell, uma vulnerabilidade de execução remota de código sem clique que afeta os principais agentes de codificação de IA, como Claude Code, OpenAI Codex, GitHub Copilot e Google Gemini CLI. Em uma divulgação relacionada, a Hacktron revelou como usou o Claude Opus 5 da Anthropic para encadear duas falhas críticas e obter acesso não autorizado às contas ChatGPT de funcionários da OpenAI. Outros destaques incluem a apreensão dos domínios NightmareStresser pelos EUA, o novo malware bancário KREMLIN visando bancos brasileiros e um aumento nos ataques ClickFix. Fique atento e aplique as correções imediatamente.

Resumo semanal de cibersegurança: 0-day da Cisco, RCE em agentes de IA e nova onda de sequestros de navegador

#ai #openai #cybersecurity #rce #vulnerabilities #cisco #malware

Ver detalhe →

Um novo malware para Android chamado RatHat está transformando celulares comuns em dispositivos de vigilância totalmente controlados à distância, e pesquisadores apontam que ele é operado por atores de ameaça baseados na China. A distribuição acontece por SMS de phishing, anúncios maliciosos e portais de download de terceiros nada confiáveis, seguida por camadas de truques anti-análise feitos para quebrar scanners automáticos.

O mais assustador vem depois. O RatHat abusa das permissões de acessibilidade do Android para liberar as opções de desenvolvedor, ativar a depuração sem fio e roubar o código de pareamento ADB de seis dígitos, o que permite instalar daemons nativos rodando com privilégios de shell. Mesmo que você apague o aplicativo, o atacante continua com uma porta dos fundos ativa dentro do seu aparelho.

Os pesquisadores da Zimperium também descobriram que o malware conversa com um assistente de IA generativa popular para ler sua tela, localizar botões e disparar toques sintéticos, enquanto um túnel reverso FRP garante acesso persistente para capturar SMS, senhas, teclas digitadas e gravações de tela. Segurança móvel baseada em assinaturas simplesmente não foi feita para isso, então a defesa real começa limitando o que seus apps podem fazer. Se você vive em Wi-Fi público e links de download duvidosos, este é o momento de blindar sua conexão e parar de entregar uma estrada livre para os atacantes dentro do seu celular.

Malware RatHat mantém o controle do seu Android mesmo depois de você desinstalá-lo

#ai #cybersec #hacking #privacy #android #malware #adb

Ver detalhe →

Bastou uma única chave de API da Cloudflare com permissões totais, embutida direto no código-fonte. A Brevo confirmou que atacantes roubaram essa credencial e a usaram para criar um Cloudflare Worker malicioso que reescrevia o conteúdo na borda da CDN, injetando scripts ClickFix no brevo.com, no sendinblue.com, nas páginas de login e onboarding e nos scripts de formulários, conversas e SDK que os clientes embutem em seus próprios sites. A janela de exposição durou cerca de cinco horas e meia em 14 de setembro, e a empresa de segurança Sansec estima que até 100 mil sites que dependem desses componentes foram atingidos.

Como o payload era servido pela borda e removia cabeçalhos de segurança como o Content-Security-Policy, servidores de origem e arquivos pareciam totalmente limpos, e as verificações padrão de integridade nunca dispararam. Visitantes viam uma falsa página de verificação da Cloudflare seguida de instruções ClickFix mandando executar um comando no Windows. Em sites WordPress, o script injetado checava se o visitante era um administrador logado e tentava instalar um plugin falso chamado Web Media Optimizer, que se esconde da lista de plugins, se enterra no diretório must-use, busca JavaScript novo em servidores remotos e traz uma chave embutida capaz de gerar uma sessão de administrador válida sem precisar da senha.

A Brevo afirma que removeu o Worker, revogou a chave, apagou a credencial embutida do código, deletou domínios controlados pelos atacantes e limpou os caches da borda, além de garantir que o app, a API, a entrega de e-mails e os dados de contas não foram afetados. Administradores de WordPress que navegaram em um site afetado logados no dia 14 de setembro devem auditar plugins instalados naquele dia e trocar as senhas de administrador. A lição é dura e direta: uma credencial esquecida no código e uma CDN confiável bastam para incendiar toda uma cadeia de suprimentos. É por isso que telemetria na borda, gestão de segredos e uma camada séria de VPN e DNS criptografado nas máquinas que acessam sistemas de produção deixaram de ser opcionais.

Ataque na cadeia de suprimentos da Brevo envenenou sites de clientes com malware ClickFix por mais de cinco horas

#cybersecurity #infosec #cloudflare #wordpress #data-breach #supply-chain-attack #malware #clickfix

Ver detalhe →

Atores cibernéticos ligados ao Estado iraniano estão usando um malware para Windows chamado CHOSEN BRICK para espionar dissidentes, ativistas e jornalistas no Reino Unido, nos Estados Unidos e na Holanda, segundo um alerta conjunto do NCSC britânico, do FBI e do AIVD holandês. A campanha está ativa desde pelo menos 2025.

Os ataques começam no WhatsApp e no Telegram, onde o invasor se passa por um contato conhecido ou pelo suporte da plataforma, ganha confiança e envia um arquivo disfarçado de software legítimo, como falsos instaladores de Telegram, KeePass e Norton Antivirus, ou até resultados de exames de ressonância magnética. Depois de aberto, o CHOSEN BRICK adiciona exclusões ao Microsoft Defender, sobrevive a reinicializações, captura telas, liga o microfone, rouba e-mails e mensagens, baixa mais malware ou apaga o dispositivo.

As agências alertam que a inteligência iraniana já planejou sequestros e operações letais contra pessoas vistas como inimigas do regime, o que transforma o caso em uma questão de segurança física, não apenas digital. As organizações devem compartilhar o alerta com funcionários em risco e verificar também os dispositivos pessoais, enquanto ferramentas de privacidade como o ProtonVPN ajudam a reduzir a exposição.

Hackers estatais iranianos usam malware CHOSEN BRICK para espionar dissidentes e jornalistas

#iran #cybersecurity #privacy #threat-intelligence #malware #windows #espionage

Ver detalhe →