Internacional
Atacantes transformam o interpretador Node.js num vetor de distribuição de malware
Vários grupos de ameaça têm vindo a explorar o ambiente de execução Node.js para distribuir malware em ataques dirigidos a departamentos governamentais, empresas tecnológicas e hotéis, numa campanha ativa desde fevereiro de 2026 identificada pela equipa de investigação de ameaças da Symantec. O grupo KongTuke, também conhecido como Woodgnat, atua como corretor de acesso inicial particularmente ativo nesta operação. A técnica tira partido do facto de o binário node.exe ser uma ferramenta legítima e assinada digitalmente, ficando o código malicioso alojado em scripts interpretados em vez de executáveis compilados, o que dificulta a deteção baseada em assinaturas.
Entre os payloads identificados nesta campanha contam-se o AdaptixC2, beacons Cobalt Strike, o RAT ModeloRAT e a backdoor Mistic, a backdoor C2Looper escrita em Rust, uma variante em Node.js do AsukaStealer, o RAT EtherRAT, a extensão maliciosa para Chrome NexShield e o payload em .NET GateKeeper. A infeção inicial ocorre normalmente através de campanhas ClickFix, enquanto a comunicação com os servidores de comando e controlo recorre à técnica EtherHiding, que usa a blockchain Polygon para contornar bloqueios tradicionais de domínios.
Spyware Pegasus infetou telemóvel de ativista do movimento estudantil na Sérvia
O telemóvel de um membro do movimento de protesto estudantil na Sérvia foi infetado com o spyware Pegasus, do grupo israelita NSO Group, segundo uma investigação do Citizen Lab em colaboração com a SHARE Foundation. A infeção resultou de um exploit zero-click para iMessage, uma falha já corrigida pela Apple no iOS 18.4.1, em abril de 2025, e terá ocorrido entre dezembro de 2025 e janeiro de 2026, sem se poder excluir a existência de outras infeções. O ataque insere-se numa campanha mais alargada que visou pelo menos catorze pessoas na Sérvia desde o início de 2026, incluindo ativistas estudantis, políticos da oposição e autarcas locais, com um calendário que coincidiu com as eleições locais de 29 de março de 2026.
A mesma investigação identificou outros casos de vigilância na Sérvia: o telemóvel de outro ativista estudantil foi comprometido com o spyware Android NoviSpy após uma detenção policial, e uma nova variante de spyware para Android, com capacidades de evasão à deteção, foi encontrada num segundo dispositivo depois de mensagens privadas terem sido divulgadas por um canal de televisão pró-governamental.
Grupo Breeze Comet ataca sistema financeiro do Brasil com fraudes através do Pix
O grupo de cibercrime Breeze Comet, anteriormente identificado como UNC5669 e descrito pela Mandiant como o threat actor mais significativo na América Latina, tem vindo a atacar instituições financeiras, empresas de fintech, retalho, pontos de venda e comércio eletrónico no Brasil desde 2024. O objetivo é manipular sistemas de pagamento e software bancário para desviar dinheiro através de transferências fraudulentas, visando organizações com permissões para movimentar fundos através do Pix, do STR e de boletos, incluindo bancos, processadores de pagamento, retalhistas e plataformas de câmbio.
O acesso inicial é conseguido através de password spraying e de engenharia social, fazendo-se passar por suporte técnico para convencer as vítimas a instalar ferramentas de gestão remota como o AnyDesk ou a executar scripts em PowerShell. Investigadores observaram o grupo a alojar essas ferramentas, juntamente com infostealers e o malware XWORM, em sites de câmaras municipais brasileiras comprometidos, e o grupo concretizou pelo menos um roubo na ordem das dezenas de milhares de dólares. A atividade sobrepõe-se a clusters seguidos pela CrowdStrike como Plump Spider e pela Trend Micro como SHADOW-AETHER-064.
Falha na Thomson Reuters expôs dados judiciais confidenciais de tribunais dos Estados Unidos e do Canadá
Uma falha de segurança na C-Track, plataforma de gestão de processos judiciais operada por uma subsidiária da Thomson Reuters, expôs dados confidenciais de tribunais em pelo menos doze estados norte-americanos, entre os quais Alabama, Kentucky, Montana, Nevada, New Hampshire, Dakota do Norte, Carolina do Sul, Tennessee, Wyoming, Pensilvânia, Ohio e Oregon, além das Ilhas Virgens Americanas e do Canadá, incluindo o Ontário. O acesso não autorizado ocorreu em março, só foi descoberto a 30 de junho e os tribunais afetados só foram notificados a 23 de julho.
Entre a informação exposta contam-se nomes, números de segurança social, números de carta de condução, dados médicos, datas de nascimento e informação de seguro de saúde, além de conteúdo processual confidencial, redigido ou selado por ordem judicial. A Thomson Reuters garante que a plataforma em si não foi interrompida, diz ter implementado novas medidas de segurança e está a oferecer doze meses de monitorização de crédito gratuita às pessoas afetadas, sem no entanto revelar como o atacante obteve acesso nem a identidade do responsável.
Documentos vazados revelam como a Rússia recruta e treina estudantes de engenharia para o GRU
Mais de dois mil documentos internos da Universidade Técnica Estatal Bauman, em Moscovo, revelam a existência de um departamento secreto, designado Departamento N.º 4 ou “Treino Especial”, que funciona dentro do Centro de Treino Militar da universidade sem constar do organograma público. Os documentos, que cobrem registos académicos e administrativos até 2025, ligam antigos alunos à Unidade Militar 26165, associada ao grupo APT28, à Unidade Militar 74455, associada ao Sandworm, e à Unidade Militar 29155, ligada a operações de sabotagem. O major-general Viktor Netyksho, antigo comandante da Unidade 26165, surge identificado como responsável pela supervisão do departamento.
Ao longo de seis anos letivos, cerca de 250 estudantes, entre alunos de carreira e da reserva, passaram pelo programa, do qual entre dez e quinze eram selecionados anualmente para funções ligadas ao GRU, o serviço de inteligência militar russo. O currículo incluía três especialidades: inteligência especial, operações cibernéticas e proteção de sistemas informáticos. A investigação foi conduzida por um consórcio internacional que inclui o The Insider, o The Guardian, o Le Monde e o Der Spiegel, com análise técnica independente de investigadores da DomainTools.
Portugal
CNCS alerta para falhas críticas no Microsoft Exchange Server e no cPanel & WHM
O Centro Nacional de Cibersegurança publicou dois alertas de vulnerabilidade que recomenda resolver com prioridade. O primeiro refere-se ao CVE-2026-62911, uma falha de privilege escalation no Microsoft Exchange Server, com gravidade elevada e pontuação CVSS de 8,0, que resulta de um problema de autenticação por captura e repetição e permite que um atacante já autenticado na rede aumente os privilégios da conta. A vulnerabilidade afeta o Exchange Server 2016 CU23, o Exchange Server 2019 CU14 e CU15 e o Exchange Server Subscription Edition RTM, existe código de prova de conceito disponível publicamente, e a Microsoft disponibilizou a correção a 11 de agosto.
O segundo alerta diz respeito ao CVE-2026-41940, uma falha crítica de gestão de sessões no cPanel & WHM, com pontuação CVSS de 9,3, que permite contornar a autenticação: um pedido especialmente preparado pode fazer com que uma sessão não autenticada seja tratada como válida. A falha afeta o cPanel & WHM a partir da versão 11.40 sem a correção aplicada, bem como o WP Squared, está a ser ativamente explorada e consta do catálogo de vulnerabilidades exploradas da CISA desde abril. O CNCS recomenda a atualização imediata dos servidores, existindo medidas temporárias do fabricante para os sistemas onde a atualização não é possível de imediato.
Também em destaque
Modelo Astra da OpenAI atinge o nível máximo de risco por explorar vulnerabilidades sozinho
A OpenAI classificou o novo modelo Astra no nível “Critical”, o mais elevado do Preparedness Framework de risco cibernético da empresa, tornando-o o primeiro modelo a atingir este patamar. Segundo a OpenAI, o Astra consegue encontrar falhas de segurança até então desconhecidas e construir formas de as explorar em múltiplos sistemas bem protegidos, sem necessitar de orientação humana constante. Nos testes, o modelo obteve 100% de sucesso no ExploitBench, o benchmark que avalia a conversão de vulnerabilidades conhecidas em exploits funcionais, e identificou duas vulnerabilidades zero-day durante os próprios testes de avaliação.
O Astra também demonstrou capacidade para construir cadeias de ataque completas, incluindo o comprometimento de um browser com escape de sandbox seguido de execução de comandos no sistema operativo do equipamento, e para encadear falhas em sistemas operativos hardened até conseguir fazer privilege escalation. Em resposta, a OpenAI pausou uma fase do treino do modelo para reforçar o isolamento e a monitorização, elevou a taxa de recusa a pedidos prejudiciais para 91,5% face aos 59% do modelo anterior, e restringiu o acesso, primeiro a testadores alfa e depois a um programa chamado “Daybreak Blue”, vocacionado para uso defensivo.
Pedro Tavares is a professional in the field of information security working as an Ethical Hacker/Pentester, Malware Researcher and also a Security Evangelist. He is also a founding member at CSIRT.UBI and Editor-in-Chief of the security computer blog seguranca-informatica.pt.
In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, exploitation, hacking, IoT and security in Active Directory networks. He is also Freelance Writer (Infosec. Resources Institute and Cyber Defense Magazine) and developer of the 0xSI_f33d – a feed that compiles phishing and malware campaigns targeting Portuguese citizens.
Read more here.