24 de agosto – Relatório de inteligência de ameaças

Tradução automática do conteúdo disponibilizado no feed de Check Point Research. Original: https://research.checkpoint.com/2026/24th-august-threat-intelligence-report/

Para conhecer as descobertas mais recentes em pesquisa cibernética na semana de 24 de agosto, baixe o Boletim de Inteligência de Ameaças.

PRINCIPAIS ATAQUES E VAZAMENTOS

A Diretoria de Segurança Rodoviária da Letônia (CSDD) confirmou uma violação que afetou registros de pagamento de mais de 1,2 milhão de pessoas — aproximadamente dois terços da população do país — e 200.000 organizações. Os dados roubados incluíam números de identificação, placas, valores de pagamento, datas e endereços. Segundo relatos, os invasores exploraram uma vulnerabilidade em um sistema exposto à internet.

A Sakura Internet, provedora japonesa de nuvem e hospedagem, divulgou acesso não autorizado envolvendo ambientes de servidores alugados e um sistema separado de gerenciamento de vendas. Até 1,36 milhão de contas de clientes podem ter sido expostas. Os invasores também acessaram centenas de contas de servidores alugados e instalaram malware nos ambientes afetados.

O Hospital for Sick Children, maior hospital pediátrico do Canadá, divulgou um roubo de dados envolvendo um aplicativo de terceiros. O incidente afetou o site de carreiras e expôs informações de funcionários, candidatos e profissionais de organizações relacionadas. O hospital afirmou que sistemas clínicos e informações de pacientes não foram afetados.

Autoridades de Berlim isolaram os ministérios de desenvolvimento urbano e mobilidade da cidade das redes de TI do governo após uma violação de segurança. A medida interrompeu o acesso a e-mail e internet, obrigando funcionários a usar canais de comunicação alternativos e atrasando vários serviços públicos enquanto os ministérios permaneciam desconectados.

AMEAÇAS DE IA

Pesquisadores demonstraram um agente autônomo de IA explorando uma falha do GitHub Actions no repositório público da Snowflake e obtendo acesso de leitura ao sistema Jira interno da empresa. O agente exfiltrou tokens em segundos. A Snowflake corrigiu o fluxo de trabalho e alternou as credenciais após a demonstração, que não exigiu orientação humana.

Autoridades dos EUA alertam sobre ataques ativos assistidos por IA contra controladores industriais Siemens S7 em setores de manufatura, energia, água e outros setores críticos. Os invasores usam scripts gerados por IA disfarçados de ferramentas de monitoramento e bibliotecas de código aberto para sondar sistemas expostos à internet, tentando causar alterações de configuração não autorizadas, interrupção operacional ou danos a equipamentos industriais.

Pesquisadores analisaram o “Kriminal”, uma plataforma de IA publicamente acessível, comercializada como sem censura e que oferece assistência em engenharia social e exploração mediante assinaturas em criptomoedas. O serviço combina modelos como Grok, Claude e Llama, permitindo que usuários gerem conteúdo de phishing, código malicioso e outros materiais de cibercrime, reduzindo a dependência de um único provedor.

VULNERABILIDADES E CORREÇÕES

O GitLab lançou correções fora de ciclo para a CVE-2026-19478, uma vulnerabilidade crítica de injeção de código sem autenticação que afeta as edições Community e Enterprise autogerenciadas. Classificada como CVSS 9.4, a falha pode permitir que invasores remotos alterem ou excluam projetos públicos e dados de usuários. Tentativas de exploração foram observadas após a divulgação.

A Cisco lançou correções para nove vulnerabilidades críticas que afetam as plataformas Crosswork e o software Secure Workload, incluindo seis falhas classificadas como CVSS 10.0. Os problemas incluem falhas de autenticação, controle de acesso e sistema de arquivos que poderiam permitir acesso não autorizado ou comprometimento do sistema.

A Citrix publicou correções para as CVE-2026-19489 e CVE-2026-19490, que afetam o NetScaler ADC e o NetScaler Gateway. A falha crítica de bypass de autenticação pode permitir que invasores não autenticados acessem appliances configurados com autenticação SAML, enquanto a segunda vulnerabilidade pode causar negação de serviço.

A NASA/JPL corrigiu uma vulnerabilidade crítica no kit de ferramentas de código aberto AMMOS Instrument Toolkit AIT-GUI que permite execução de comandos sem autenticação por meio de seu console web. Classificada como CVSS 9.4, a falha pode permitir execução remota de comandos, lançamento de scripts e execução de sequências. A versão 2.5.2 do AIT-GUI contém a correção.

RELATÓRIOS DE INTELIGÊNCIA DE AMEAÇAS

A Check Point Research investigou a campanha StopAndProtect, que abusa de milhares de sites WordPress comprometidos para distribuir malware e armazenar dados roubados. A campanha combina ransomware com roubo de dados e usa a técnica ClickFix para infectar visitantes. Erros operacionais expuseram registros, capturas de tela e endereços IP das vítimas.

A Check Point Research investigou o driver de remoção no tempo de inicialização do Windows Defender, BTR.sys, demonstrando que o componente de correção assinado pela Microsoft pode ser reutilizado para realizar alterações privilegiadas em arquivos e no registro durante a inicialização. Os pesquisadores desenvolveram o BTR_CLI para criar tarefas criptografadas e descobriram que várias versões compartilham uma chave RC4 embutida no código.

A Check Point Research identificou um aumento nos ataques contra o setor educacional antes do início do ano letivo. As organizações tiveram uma média de 4.696 ataques semanais de janeiro a julho de 2026, um aumento de 8%. Os invasores também registraram domínios relacionados à educação e usaram iscas sazonais de phishing que imitavam escolas e programas de recompensas estudantis para roubar credenciais.

Os pesquisadores acompanharam uma campanha de extorsão do Cl0p que explora a CVE-2026-12569 no PTC Windchill e FlexPLM, com mais de 40 organizações citadas pelo grupo. A análise identificou um implante personalizado capaz de descriptografar credenciais, acessar bancos de dados e realizar roubo em massa de dados em ambientes comprometidos de gerenciamento do ciclo de vida de produtos. O Check Point IPS oferece proteção contra essa ameaça (PTC Multiple Products Remote Code Execution (CVE-2026-12569)).

A publicação 24th August – Threat Intelligence Report apareceu primeiro na Check Point Research.