Internacional
Grupo chinês Fire Ant compromete routers Cisco para roubar credenciais e apagar registos
O grupo de espionagem ligado à China conhecido como Fire Ant alargou uma campanha que já durava mais de um ano, deixando de atacar apenas hipervisores VMware para comprometer também routers Cisco IOS XR, servidores TACACS e sistemas Linux usados para encaminhar tráfego, autenticar utilizadores e gerir redes de elevado valor. A investigação, conduzida pela empresa de resposta a incidentes Sygnia, identificou o acesso a partir de um túnel GRE ativo num router Cisco que não constava de nenhuma configuração nem histórico de alterações registado.
Ao instalar-se diretamente na infraestrutura que liga e autentica outros sistemas, em vez de se limitar a máquinas individuais, o grupo consegue intercetar credenciais e apagar registos de segurança para dificultar a deteção. Este tipo de alvo, mais próximo da espinha dorsal da rede do que dos postos de trabalho, torna a limpeza e a atribuição do ataque particularmente difíceis para as equipas de resposta.
Microsoft alerta para ataques ‘TerminalFix’ que instalam túneis reversos via falso CAPTCHA
A Microsoft identificou uma nova variante da técnica ClickFix, batizada de TerminalFix, que usa páginas de verificação Cloudflare falsificadas em sites comprometidos para convencer as vítimas a colar e executar comandos PowerShell maliciosos diretamente no Windows Terminal. Ao contrário de outros golpes deste tipo, a vítima acredita estar apenas a confirmar que não é um robô, quando na realidade está a instalar o malware manualmente.
Depois da execução inicial, o ataque estabelece túneis reversos que dão aos atacantes acesso persistente e remoto às redes das organizações afetadas, contornando muitas das defesas de perímetro tradicionais. A Microsoft recomenda formação específica das equipas sobre este tipo de engenharia social, já que o vetor de entrada depende inteiramente da ação voluntária do utilizador.
Grupo de ransomware Aurora usa assistente de IA Cursor em ataques a pelo menos dez alvos
Investigadores da CloudSEK e da Gambit Security identificaram que operadores do ransomware Aurora, um grupo de língua russa também conhecido como Aur0ra, têm recorrido ao assistente de programação com inteligência artificial Cursor para desenvolver e afinar as ferramentas usadas para invadir redes de pelo menos dez alvos. As conclusões partem da análise de infraestrutura do grupo que ficou exposta publicamente.
O caso ilustra como ferramentas de programação assistida por IA, pensadas para acelerar o trabalho de programadores legítimos, estão a ser adotadas por cibercriminosos para acelerar o desenvolvimento de malware e scripts de intrusão, reduzindo a barreira técnica necessária para montar ataques de ransomware.
Berlim recusa pagar resgate depois de ataque do grupo Rhysida roubar dados do governo
O presidente da câmara de Berlim, Kai Wegner, confirmou que a administração da cidade recebeu um pedido de resgate depois de o grupo de ransomware Rhysida ter reivindicado o roubo de dados governamentais num ataque descoberto em meados de agosto. A cidade colocou o incidente na lista de vítimas divulgada pelo grupo no seu site de fugas de dados, usado habitualmente para pressionar as vítimas a pagar.
As autoridades da cidade decidiram não ceder à extorsão, uma postura que segue a orientação recomendada por vários governos europeus para entidades públicas atingidas por ransomware. A recusa não elimina o risco de os dados roubados serem divulgados publicamente, mas evita financiar diretamente o grupo criminoso.
Infostealers sequestram sessões do Claude e esgotam subscrições de utilizadores
A Anthropic confirmou que vários tipos de malware infostealer conseguiram roubar sessões de autenticação ativas de utilizadores do Claude, permitindo a atacantes aceder às contas sem precisar da palavra-passe nem contornar diretamente a autenticação de dois fatores. Entre o malware identificado em computadores Windows estão o Vidar, o Lumma, o StealC, o RedLine e o Acreed, enquanto um número menor de dispositivos macOS foi infetado com o Atomic Stealer.
A empresa sublinha que este malware é de utilização genérica, distribuído normalmente através de downloads de fontes não oficiais ou aplicações maliciosas, e não está relacionado com uma falha específica do Claude. A Anthropic está a revogar o acesso das sessões comprometidas e a reembolsar utilização indevida associada aos consumos gerados pelos atacantes.
Portugal
CNCS alerta para falha crítica no Screen Sharing do macOS já explorada para minerar criptomoeda
O Centro Nacional de Cibersegurança emitiu alertas para vulnerabilidades que afetam o serviço Screen Sharing do macOS e várias versões do Apache Tomcat, com confirmação de exploração ativa no caso da falha da Apple, que já permitiu a atacantes obter privilégios de root em sistemas comprometidos. A vulnerabilidade mais grave, identificada como CVE-2026-65400, está relacionada com a forma como o serviço, que utiliza o porto TCP 5900, implementa o protocolo Secure Remote Password.
Um erro na validação do comprimento dos frames permite que uma ligação seja considerada autenticada sem que tenham sido verificadas credenciais válidas, bastando ao atacante ter acesso de rede a esse porto. O CNCS recomenda às organizações que restrinjam o acesso ao serviço e apliquem as correções já disponibilizadas pela Apple e pela Apache o mais rapidamente possível.
Também em destaque
Mais de 100 empresas tecnológicas pedem resposta conjunta contra ciberataques potenciados por IA
OpenAI, Anthropic, Microsoft, Google e Amazon estão entre mais de cem organizações que subscreveram uma carta conjunta a pedir uma mobilização coordenada entre governos e setor privado para reforçar a cibersegurança antes de os ataques baseados em inteligência artificial se tornarem substancialmente mais frequentes. Entre os restantes signatários contam-se a Broadcom, a Cloudflare, a CrowdStrike, a IBM, a Oracle, a Mastercard, a Visa, a General Motors e a Shopify.
A carta defende que existe uma janela de tempo limitada para reforçar as defesas do ecossistema digital antes de os modelos de IA tornarem os ataques automatizados significativamente mais acessíveis a atacantes menos sofisticados. O apelo surge num momento em que várias destas mesmas empresas já reportam publicamente incidentes em que ferramentas de IA foram usadas do lado ofensivo.
Pedro Tavares is a professional in the field of information security working as an Ethical Hacker/Pentester, Malware Researcher and also a Security Evangelist. He is also a founding member at CSIRT.UBI and Editor-in-Chief of the security computer blog seguranca-informatica.pt.
In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, exploitation, hacking, IoT and security in Active Directory networks. He is also Freelance Writer (Infosec. Resources Institute and Cyber Defense Magazine) and developer of the 0xSI_f33d – a feed that compiles phishing and malware campaigns targeting Portuguese citizens.
Read more here.