O bom, o ruim e o feio em cibersegurança — Semana 35

Tradução automática do conteúdo disponibilizado no feed de SentinelOne. Original: https://www.sentinelone.com/blog/the-good-the-bad-and-the-ugly-in-cybersecurity-week-35-8/

O bom | Autoridades lançam novas operações contra redes de cibercrime e atacantes de cadeia de suprimentos. A Operação Jackal IV, coordenada pela INTERPOL em 22 países, levou à prisão de 58 indivíduos e à identificação de mais de 200 suspeitos ligados a redes de cibercrime da África Ocidental. A ação conjunta desmantelou elementos do sindicato Black Axe, que coordena golpes globais de romance, investimento e comprometimento de e-mail empresarial (BEC). Agências de aplicação da lei na África do Sul, Argentina e Romênia também interromperam grandes provedores de Crime-as-a-Service (CaaS), congelando milhões de dólares em ativos ilícitos. O FBI, em colaboração com o DoJ, interrompeu as plataformas globais de invasão QScan e QTRouter, operadas por atores de ameaça patrocinados pelo Estado chinês. O grupo QTFY, que mantém vínculos diretos com os serviços militares e de inteligência da China, usou essas botnets de IoT comprometidas para ocultar tráfego de ciberespionagem direcionado a redes críticas dos EUA, incluindo o Federal Reserve e a NASA. As autoridades apreenderam com sucesso os domínios centrais de comando e controle (C2) codificados nas estruturas maliciosas. O Departamento do Tesouro dos EUA anunciou uma nova operação chamada Economic Outcast, impondo sanções abrangentes a cinco membros do Mabna Institute e a quase 60 entidades ligadas ao Irã. Sob a direção do Ministério de Inteligência e Segurança do Irã (MOIS), os atacantes invadiram várias organizações americanas de infraestrutura crítica, governos estaduais e contratados de defesa. Esses atores patrocinados pelo Estado exfiltraram conjuntos de dados, realizaram roubos de criptomoedas de alto valor e agora enfrentam acusações federais, além de uma recompensa de 10 milhões de dólares por informações que levem à prisão. A Polícia Federal Australiana (AFP) prendeu e acusou duas pessoas por papéis principais no TeamPCP, um sindicato de cibercrime. O grupo comprometeu sistematicamente projetos open source confiáveis, incluindo Trivy, Checkmarx KICS e LiteLLM, roubando credenciais de desenvolvedores e distribuindo atualizações de software com backdoor pelos principais canais de lançamento do ecossistema. Essa campanha massiva de cadeia de suprimentos de software pode ter comprometido organizações em todo o mundo e facilitado o roubo não autorizado de centenas de milhares de credenciais. O ruim | Kit de phishing NovaCookies explora serviços da DocuSign para roubar tokens de sessão. Pesquisadores de segurança divulgaram detalhes do NovaCookies, uma plataforma de phishing por assinatura que visa sistematicamente redes corporativas para roubar sessões autenticadas do Microsoft 365. Operando como um proxy Adversary-in-the-Middle (AitM), o kit malicioso é anunciado no Telegram por 320 dólares mensais. As campanhas comprometem ativamente centenas de organizações em vários países, incluindo EUA, Reino Unido, Alemanha e Emirados Árabes Unidos. Para obter acesso inicial, os atacantes distribuem iscas falsas de compartilhamento de documentos dentro de notificações genuínas da DocuSign. O kit é uma variante da plataforma Sneaky2FA e retransmite credenciais e códigos MFA em tempo real para a Microsoft. O feio | Atores de ameaça implantam o Spark RAT para atingir organizações cambojanas. Uma campanha recém-descoberta atinge indivíduos e organizações no Camboja com o Spark RAT, um trojan de acesso remoto open source baseado em Go. Os atacantes distribuem arquivos compactados por e-mails de phishing direcionados, usando iscas como avisos do governo cambojano, comunicados de saúde pública e registros odontológicos. A cadeia de ataque começa quando a vítima executa um instalador do Inno Setup, que inicia um encadeamento de DLL side-loading usando um aplicativo Tencent assinado para entregar cargas intermediárias. O carregador descriptografa shellcode oculto em um arquivo PNG incorporado e injeta a carga no processo legítimo vssvc.exe. A cadeia usa a técnica Bring Your Own Vulnerable Driver (BYOVD), abusando do driver legítimo, porém vulnerável, ardrv.sys, do OPSWAT AppRemover, sob a CVE-2026-36425, para elevar privilégios e neutralizar programas de segurança. Embora as táticas se pareçam com as do sindicato Silver Fox, os analistas classificam a campanha como um cluster não atribuído.