Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Uma campanha de roubo de credenciais batizada de wfx-loot está injetando cargas maliciosas em dezenas de milhares de repositórios do GitHub desde 10 de novembro, e em mais de 1.800 deles o malware realmente executou e enviou segredos do GitHub Actions e credenciais de nuvem direto para servidores controlados pelo atacante. Os pesquisadores contabilizaram 4.837 contas comprometidas abrindo pull requests de sondagem em 61.764 repositórios, sendo 10.431 deles em projetos que as contas nem possuíam.

O roteiro é rápido e cruel: o atacante abre um pull request chamado docs: dependency audit notes para confirmar acesso de escrita, injeta cerca de 1.500 linhas de shell script em um workflow existente ou em um branch descartável, e então reverte a mudança e apaga a execução e os logs em menos de um minuto. O script coleta segredos do Actions, arquivos de credenciais de nuvem e SSH, históricos de shell e tokens de ferramentas de IA, depois avança para AWS, GCP e Azure, criando chaves de acesso de longa duração, reescrevendo políticas de confiança de roles e adicionando credenciais federadas no Azure que sobrevivem a uma rotação completa de segredos.

A caça deve começar por branches wfx-docs, pelos pull requests de sondagem e por commits como ci: refresh build cache e chore: add dependency audit workflow. Se a carga executou, trate cada segredo e cada role de nuvem alcançável por esses workflows como comprometido, porque os mecanismos de persistência continuam ativos mesmo depois da rotação das credenciais.

Ataque massivo à cadeia de suprimentos do GitHub rouba segredos de dezenas de milhares de repositórios

#cybersecurity #privacy #supply-chain-attack #cloud-security #github #devsecops #secrets

Ver detalhe →

Uma batalha cibernética de quase 26 horas na Railway colocou o LLMjacking no centro do debate. Atacantes exploraram vulnerabilidades na infraestrutura de build da plataforma, roubaram credenciais de IA e geraram cerca de US$ 740 mil em cobranças fraudulentas de computação, com acesso potencial a até 100 mil credenciais de workspace. A empresa afirma que removeu os invasores, redefiniu tokens vinculados e está trabalhando para reembolsar clientes afetados.

O caso mostra por que chaves de IA estão se tornando os novos números de cartão de crédito: são baratas de coletar em escala, fáceis de revender e poderosas o suficiente para rodar destilação de modelos às custas de outra pessoa. A divulgação transparente da Railway é um alerta para qualquer plataforma que armazena variáveis de ambiente sensíveis, e uma lembrança de que a segurança de identidades precisa acompanhar as credenciais mantidas por máquinas.

Brecha na Railway expõe a ameaça crescente do LLMjacking

#ai #cybersecurity #cloud-security #credentials #llmjacking #railway

Ver detalhe →

A NEAR AI confirmou um incidente grave: um atacante explorou uma falha de execução remota de código no SGLang e invadiu um de seus servidores de inferência. O ataque alcançou até requisições processadas em modo confidencial, revelando a fragilidade dos ambientes de execução confiável quando o software interno tem vulnerabilidades.

O invasor também acessou um sistema interno atrás do produto Private Chat, já descontinuado, e baixou nomes e e-mails de cerca de 100 usuários, além de dados de plano e saldo de algumas contas. Dezoito agentes de IA em uma implantação antiga foram comprometidos, com histórico de conversas, configurações e logs roubados, e duas chaves de API expostas em logs.

A empresa diz que revogou sessões e credenciais administrativas, trocou tokens, corrigiu a falha no SGLang e restaurou o acesso. A lição é dura: IA confidencial exige engenharia de segurança de verdade, não apenas o selo de um TEE.

Ataque RCE no SGLang atinge a NEAR AI: chats confidenciais, agentes e dados de usuários expostos

#ai #cybersecurity #rce #data-breach #cloud-security #near-ai #sglang

Ver detalhe →

Pesquisadores de segurança do Google e da Mandiant estão alertando sobre o LLMjacking, um ataque que sequestra o acesso corporativo a grandes modelos de linguagem e transforma chaves de API roubadas em faturas de nuvem fora de controle. Em alguns casos, cobranças fraudulentas passaram de US$ 100 mil em um único dia, com prejuízos acumulados chegando a US$ 1 milhão antes do acesso ser revogado.

Os criminosos entram por tokens de nuvem expostos, chaves de API vazadas, contas de serviço mal configuradas e até portais falsos que enganam usuários para colar dados de sessão ativos. O Google diz que a campanha atingiu organizações de finanças, varejo, tecnologia e transporte na América do Norte, América do Sul e Ásia-Pacífico.

A receita é rápida e agressiva: credenciais roubadas viram escalada de privilégios, reconhecimento interno, clonagem de repositórios de código e novas contas de backdoor. A lição é clara: trate chaves de API de LLM como segredos de alto valor, faça rotação frequente, monitore picos súbitos de gastos na nuvem e desligue endpoints expostos antes que a conta exploda.

Ataques de LLMjacking podem gerar US$ 1 milhão em faturas de nuvem antes de as empresas perceberem

#cybersecurity #cybercrime #ai-security #cloud-security #api-keys #llmjacking #google-threat-intelligence

Ver detalhe →

Pesquisadores do Google Threat Intelligence Group e da Mandiant expuseram um esquema criminoso em plena expansão chamado LLMJacking: invasores arrombam contas corporativas na nuvem e revendem o acesso roubado a modelos de IA premium em mercados clandestinos, deixando a conta para a vítima pagar. Em alguns casos os valores passaram de 100 mil dólares em um único dia e chegaram a 1 milhão de dólares antes do corte do acesso.

O roteiro é brutalmente simples. Os atacantes colhem chaves de API em repositórios públicos do GitHub, abusam de chaves de conta de serviço mal configuradas ou enganam usuários para colar tokens de sessão ativos em portais falsos de comunidades de LLM. Depois, reativam os serviços de IA e começam a monetizar as cotas por meio de proxy de tokens, streaming automatizado de modelos e provisionamento de GPU, tudo isso enquanto a defesa ainda nem percebeu o movimento.

Serviços como o Jet Night anunciam acesso ilimitado aos modelos mais avançados por cerca de 60 dólares por mês, um preço que só fecha com chaves roubadas, e um único ator chegou a disparar mais de 500 mil chamadas de modelo em menos de oito horas. O recado para os times de segurança é direto: monitore mudanças silenciosas em contas de IA, rotacione credenciais sem preguiça e trate tokens de API expostos como a porta de entrada para um incidente caríssimo.

Chaves de IA roubadas estão transformando contas de nuvem em prejuízos de um milhão de dólares

#ai #cybersecurity #data-breach #cybercrime #cloud-security #llm

Ver detalhe →

O mercado de cibersegurança ganha novo fôlego com vagas em segurança de nuvem, governança de identidade, DevSecOps, análise de ameaças e defesa de redes. Empresas buscam profissionais capazes de transformar frameworks de segurança em proteção real em ambientes híbridos e cloud-native.

As oportunidades vão de Cyber Security Architect e Cloud Security Engineer a Identity Governance Engineer e Lead DevSecOps Engineer. A procura reforça como controle de acesso, gestão de riscos, resposta a incidentes e pipelines seguros se tornaram essenciais para organizações modernas.

Mercado de cibersegurança aquece com vagas em nuvem, identidade e defesa de redes

#cybersecurity #network-security #cloud-security #jobs #devsecops #identity-governance

Ver detalhe →

Uma varredura de 7,25 milhões de repositórios públicos do Gitee encontrou 26.400 credenciais funcionais, incluindo milhares de pares de AccessKey do Alibaba Cloud, chaves de API do YouTube, chaves do DeepSeek e chaves da OpenAI. Os segredos expostos ainda estavam válidos nos testes, transformando código público em uma porta aberta para contas de nuvem e IA.

O caso escancara uma verdade dura do desenvolvimento moderno: apagar uma chave do código não a revoga. Quem já enviou credenciais para um repositório público precisa trocá-las agora, verificar cobranças inesperadas e restringir o acesso às APIs antes que outra pessoa use a conta.

26.400 chaves válidas de nuvem e IA expostas em repositórios públicos do Gitee

#ai #cybersecurity #privacy #cloud-security #credentials #data-exposure #gitee

Ver detalhe →

As equipes de segurança acabam de receber uma nova leva de ferramentas feitas para acelerar a defesa sem abrir mão dos controles. O Virtual Patching da Sweet Security promete proteção com um clique para workloads de nuvem e IA em execução, permitindo blindar vulnerabilidades conhecidas enquanto a correção definitiva ainda está em desenvolvimento.

O NexusAI da ThreatModeler leva modelagem de ameaças com IA para a plataforma Nexus; o PolicyArc da IDENTOS oferece acesso segmentado e com prazo limitado para agentes de IA; e os controles ampliados de zero trust da AppGate para OT adicionam monitoramento de sessões em tempo real e o poder de encerrar sessões de risco. A mensagem é clara: automação e governança de acesso estão se tornando partes centrais da defesa moderna.

Esta semana em infosec: patch instantâneo na nuvem, threat modeling com IA e controle de acesso mais rígido

#cybersecurity #infosec #cloud-security #zero-trust #threat-modeling

Ver detalhe →

A Microsoft está elevando a aposta na soberania de dados com uma ampliação importante de suas ofertas de nuvem soberana, adicionando recursos de segurança, governança e IA para organizações que querem mais controle sobre onde os dados ficam e quem pode acessá-los.

O movimento responde à crescente pressão na Europa e em outras regiões por infraestrutura de nuvem capaz de resistir a mudanças regulatórias, geopolíticas e de segurança. Entre as novidades estão o Sovereign Control Panel, gestão externa de chaves, salas limpas confidenciais e opções locais do Azure, dando às empresas mais alavancagem sobre cargas sensíveis sem tirar a Microsoft completamente da equação.

Microsoft amplia nuvem soberana enquanto crescem as preocupações com controle de dados

#data-privacy #microsoft #cloud-security #azure #compliance #sovereign-cloud

Ver detalhe →

A ConnectWise desligou o serviço Cloud Backup e desativou sete identidades de aplicação depois que agentes de ameaça desconhecidos obtiveram acesso não autorizado a essas identidades e entraram direto nos tenants de Microsoft 365 dos clientes. O bloqueio foi aplicado em 17 de outubro de 2026, com a revogação dos certificados das conexões afetadas para todos os usuários, e a empresa também colocou o SaaS Security e o Cloud Management offline enquanto a investigação avança.

O ataque é perigoso justamente porque ignora a porta mais óbvia. Em vez de roubar a senha de cada cliente, um invasor que detém uma credencial de aplicação roubada pode se autenticar como o próprio aplicativo, solicitar tokens ao Microsoft Entra ID com base nas permissões que aquele app já tem e alcançar caixas de correio, documentos do SharePoint, mensagens do Teams e informações de diretório. Como as ferramentas da ConnectWise operam com permissões amplas para backup e gestão, esse ponto de apoio pode ser escalado para papéis de Administrador Global, novos client secrets em aplicações confiáveis e até novos apps com permissões próprias, criando persistência que sobrevive à revogação da credencial original.

Pesquisadores da Huntress relatam que os logins maliciosos do endereço original foram vistos pela última vez em 15 de outubro às 08:45 UTC, com atividade manual direcionada até cerca de 14:20 UTC, e têm alta confiança de que o agente também mirou os apps de Cloud Management para Exchange Online, Teams e SharePoint, com abuso do app do Teams confirmado em pelo menos um tenant. Os backups agendados não estão rodando, os arquivos e a restauração seguem inacessíveis, e a ConnectWise garante que os arquivos armazenados permanecem criptografados e isolados, sem evidência de violação. Se uma única identidade de aplicação consegue abrir milhares de tenants de uma vez, higiene de identidade deixou de ser item de conformidade para virar o perímetro de segurança inteiro.

ConnectWise desliga o Cloud Backup após invasores sequestrarem tenants do Microsoft 365

#cybersecurity #ransomware #data-breach #cloud-security #microsoft365 #identity-security #connectwise

Ver detalhe →

Uma credencial comprometida ligada ao ConnectWise Cloud Backup, antigo SkyKick, foi usada para entrar em 173 tenants do Microsoft 365 de parceiros e clientes em uma única varredura automatizada no dia 15 de outubro. Pesquisadores da Huntress rastrearam a atividade até um endereço IP que percorreu os tenants em ordem de GUID, com segundos de diferença entre cada um, assinatura clássica de um script rodando a partir de uma lista de alvos.

O estrago real nasce do próprio modelo de confiança. Um aplicativo de backup precisa de acesso amplo e permanente a caixas de correio, OneDrive, SharePoint, Teams e dados de diretório em todos os tenants onde é consentido, então quem tem a credencial herda todo esse alcance. Os investigadores também encontraram outro aplicativo de gestão da ConnectWise para Teams se promovendo a Administrador Global e inserindo novos segredos em duas outras aplicações privilegiadas, ampliando silenciosamente o raio de destruição para além da conta do fornecedor.

A ConnectWise desativou o acesso do aplicativo Cloud Backup até segunda ordem e afirma não ter encontrado evidências de que os dados de backup dos parceiros tenham sido comprometidos. Revogar sessões de usuário não corta tokens já emitidos, que seguem válidos por até 90 minutos, então as equipes de segurança precisam revisar os logs de login de entidades de serviço, caçar acessos vindos de fora das faixas esperadas do Azure e rotacionar credenciais rápido. Se a sua operação depende de manter dados na nuvem blindados, proteger o próprio tráfego com uma VPN reforçada é uma primeira camada óbvia.

Uma única credencial roubada da ConnectWise abriu a porta para 173 tenants do Microsoft 365

#cybersecurity #threat-intelligence #data-breach #cloud-security #microsoft-365 #connectwise

Ver detalhe →

Uma falha crítica recém-divulgada no kernel do Linux, apelidada de PwnEscape e rastreada como CVE-2026-99999, permite que código executado dentro de uma máquina virtual leia a memória do host que a executa. O pesquisador de segurança Paulos Yibelo demonstrou o vazamento contra sandboxes reais da nuvem da Vercel, onde cada pacote especialmente criado podia trazer cerca de 32 bytes da memória do host de volta ao convidado.

O bug está no código de rede do kernel, justamente a camada compartilhada que quase toda grande nuvem usa para separar as cargas dos clientes, então o impacto vai muito além de um único provedor. Os mantenedores atribuíram nota 9.3 de 10, ou crítica, mas não há indício de uso em ataques reais, e a exploração exige que o atacante já execute código dentro de um convidado.

Uma correção pontual de Michael S. Tsirkin, da Red Hat, já foi mesclada e aplicada às branches estáveis, protegendo hosts com versões corrigidas do kernel. Se você opera infraestrutura, atualize o kernel do host e reinicie nele, em vez de atualizar apenas os convidados, e mantenha suas próprias conexões privadas com uma VPN confiável enquanto a poeira baixa.

Falha crítica PwnEscape permite que VMs convidadas leiam a memória do host em grandes nuvens

#cybersec #vulnerability #cve #cloud-security #linux #kernel #vercel

Ver detalhe →