As principais notícias de cybersecurity para serem lidas em menos de 3 minutos, todo dia em seu e-mail.

Hackers estão explorando uma vulnerabilidade zero-day no software de transferência de arquivos MOVEit Transfer para roubar dados de organizações. A Ipswitch, uma subsidiária da Progress Software Corporation, desenvolveu o MOVEit Transfer como uma solução de transferência de arquivos gerenciada (MFT) que permite às empresas transferir arquivos com segurança entre parceiros e clientes usando SFTP, SCP e uploads baseados em HTTP. A vulnerabilidade, que não teve informações detalhadas divulgadas, permite a execução remota de código. A Progress Software Corporation divulgou um aviso de segurança alertando sobre a vulnerabilidade crítica.

Pesquisadores descobriram um novo ataque ao repositório Python Package Index (PyPI) que utiliza código Python compilado para evitar a detecção por ferramentas de segurança de aplicativos. O ataque, identificado como fshec2, foi removido do registro de software de terceiros em 17 de abril de 2023, após divulgação responsável. Os arquivos PYC compilados são gerados pelo interpretador Python quando um programa Python é executado.

Um grupo de ameaças financeiramente motivadas está procurando instâncias desprotegidas do Apache NiFi na internet para instalar silenciosamente um minerador de criptomoedas e facilitar a movimentação lateral. A descoberta vem do SANS Internet Storm Center (ISC), que detectou um pico em solicitações HTTP para "/ nifi" em 19 de maio de 2023. O grupo de ameaças está usando o malware Kinsing para realizar seus ataques.

Pesquisadores de segurança cibernética encontraram um comportamento parecido com backdoor em sistemas da Gigabyte, que permite que o firmware UEFI dos dispositivos deixe um executável do Windows e busque atualizações em um formato inseguro. A empresa já reconheceu e resolveu o problema, que afeta cerca de 364 sistemas Gigabyte, com uma estimativa de 7 milhões de dispositivos.

O grupo responsável pelo ransomware BlackCat lançou uma nova versão chamada Sphynx, que prioriza velocidade e furtividade para evitar a detecção. O Sphynx incorpora código lixo e strings criptografadas, reorganiza os argumentos da linha de comando e usa um carregador para descriptografar o payload do ransomware. O BlackCat é o primeiro ransomware baseado na linguagem Rust a ser detectado e atingiu mais de 350 alvos desde novembro de 2021. O grupo também usa um esquema de extorsão dupla para roubar dados sensíveis antes de criptografá-los.

O Kali Linux 2023.2, distribuição de hackers éticos, inclui uma imagem pré-configurada do Hyper-V e 13 novas ferramentas, além de um novo subsistema de áudio PipeWire e atualizações para os ambientes de desktop Xfce e Gnome. A nova imagem Hyper-V é configurada para o modo de sessão aprimorada e permite que os usuários se conectem à máquina virtual usando o Protocolo de Área de Trabalho Remota (RDP). Entre as novas ferramentas está o framework Evilginx para roubo de credenciais e cookies de sessão.

Um ator conhecido como Spyboy está promovendo uma ferramenta chamada "Terminator" em um fórum de hackers de língua russa que pode supostamente encerrar qualquer plataforma de antivírus, XDR e EDR. No entanto, a CrowdStrike diz que é apenas um ataque BYOVD sofisticado. A ferramenta é capaz de contornar 24 soluções de segurança diferentes, incluindo o Windows Defender, mas é detectada por uma única ferramenta de verificação de malware no momento. O preço varia de US$ 300 a US$ 3.000.

O trojan de acesso remoto SeroXen tem sido utilizado por cibercriminosos devido à sua baixa taxa de detecção e alto poder de ataque. Vítimas da ferramenta incluem a comunidade de jogos, mas a sua popularidade pode se estender para grandes empresas e organizações. O malware é vendido como uma ferramenta legítima de acesso remoto para Windows 10 e 11, por US$ 15/mês ou em pagamento único de US$ 60.

A Toyota descobriu duas nuvens mal configuradas que vazaram informações pessoais de proprietários de carros por mais de sete anos. A primeira instância expôs informações de clientes da Toyota na Ásia e Oceania, enquanto a segunda continha dados menos sensíveis relacionados aos sistemas de navegação dos veículos. A Toyota diz que implementou um sistema para monitorar regularmente as configurações de nuvem e banco de dados para evitar vazamentos no futuro.

Foi publicado um exploit de prova de conceito para a vulnerabilidade CVE-2023-33733 que afeta a biblioteca Python ReportLab Toolkit, que é usada para gerar arquivos PDF a partir de entrada HTML. A vulnerabilidade permite a execução remota de código e pode ser explorada incorporando código malicioso em um arquivo HTML que será convertido em PDF pelo software que usa a biblioteca. A vulnerabilidade foi corrigida na versão 3.6.13 da biblioteca.

Falhas de segurança foram descobertas nos alto-falantes sem fio Sonos One (rastreadas como CVE-2023-27352 , CVE-2023-27355 , CVE-2023-27353 e CVE-2023-27354 ), podendo ser exploradas para divulgação de informações e execução remota de código. As vulnerabilidades foram demonstradas por três equipes diferentes no concurso de hacking Pwn2Own, com recompensas monetárias de US$ 105.000. As falhas foram corrigidas pela Sonos em suas versões de software S2 e S1.

A empresa de segurança Barracuda revelou que um bug de zero-day foi explorado por pelo menos sete meses para backdoor os dispositivos Email Security Gateway dos clientes com malware personalizado e roubar dados. A vulnerabilidade foi identificada em 19 de maio e corrigida em 20 de maio. A investigação em andamento descobriu que o bug foi explorado pela primeira vez em outubro de 2022. Barracuda diz que seus produtos são usados por mais de 200.000 organizações, incluindo empresas de alto perfil como Samsung, Delta Airlines, Mitsubishi e Kraft Heinz.

A empresa de desenvolvimento WordPress, Automattic, iniciou a instalação forçada de um patch de segurança em milhões de sites para corrigir uma vulnerabilidade crítica no plug-in Jetpack. Jetpack é um plug-in popular que fornece melhorias de gerenciamento de desempenho e segurança para sites WordPress. A vulnerabilidade, descoberta durante uma auditoria de segurança interna, poderia ser usada por autores em um site para manipular quaisquer arquivos na instalação do WordPress. O patch de segurança já foi instalado em mais de 4.130.000 sites.

O plugin premium do WordPress 'Gravity Forms' é vulnerável à injeção de objeto PHP não autenticada, afetando todas as versões abaixo da 2.7.4. A falha permite a injeção de objetos PHP arbitrários na aplicação, o que pode levar a acesso e modificação de arquivos, exfiltração de dados de usuários, execução de código e mais. Proprietários do site são aconselhados a aplicar a atualização de segurança o mais rápido possível.

A Apple corrigiu uma vulnerabilidade ( CVE-2023-32369 ) que permitia que atacantes com privilégios de root contornassem a Proteção de Integridade do Sistema (SIP) para instalar malware "não deletável" e acessar dados privados dos usuários no macOS. A falha, descoberta pela equipe de segurança da Microsoft, foi corrigida na atualização de segurança do macOS Ventura 13.4, macOS Monterey 12.6.6 e macOS Big Sur 11.7.7. Ataques que contornam a SIP podem permitir que o malware tenha efeitos de longo alcance e permitir que os atacantes acessem dados do usuário sem consentimento.

Um novo malware para Android, chamado SpinOk, foi descoberto em vários aplicativos, muitos deles anteriormente no Google Play e baixados coletivamente mais de 400 milhões de vezes. O malware pode roubar dados privados armazenados nos dispositivos dos usuários e enviá-los para um servidor remoto. O SpinOk é distribuído como um SDK de publicidade e usa minijogos para gerar interesse dos usuários, mas também é capaz de listar arquivos em diretórios, procurar arquivos específicos, fazer upload de arquivos do dispositivo, copiar e substituir conteúdo da área de transferência e modificar senhas e dados de cartão de crédito.

A campanha de distribuição do malware RomCom está se intensificando, com os atacantes utilizando a estratégia de impessoalidade de sites famosos ou fictícios de software para enganar os usuários e levá-los a baixar e instalar arquivos maliciosos. Ameaça foi descoberta pela TrendMicro, que segue o malware desde o verão de 2022. Os ataques já foram associados a ransomware, espionagem e guerra cibernética.

Serviços de quebra de CAPTCHA estão sendo vendidos para contornar sistemas que diferenciam usuários legítimos do tráfego de bots, alertam pesquisadores de segurança cibernética. Esses serviços funcionam ao enviar as solicitações recebidas por meio de clientes para solucionadores humanos, que resolvem os problemas e enviam as respostas de volta aos usuários. Isso permite que os clientes dos serviços de quebra de CAPTCHA desenvolvam ferramentas automatizadas contra serviços da web online, tornando a filtragem de tráfego de bots por meio dos testes ineficaz. Além disso, os atores de ameaças estão comprando esses serviços e combinando-os com ofertas de software de proxyware para obscurecer o endereço IP de origem e evitar barreiras antibot.

O grupo de hackers Dark Pink APT continua ativo em 2023, visando organizações governamentais, militares e educacionais em países da Ásia-Pacífico. O grupo implementou novas ferramentas de exfiltração de dados e tentou evitar a detecção, mesmo após ter sido exposto em relatórios anteriores. A ameaça deve continuar atualizando suas ferramentas e diversificando seus métodos.

O malware AceCryptor está sendo usado para empacotar diversas variedades de malwares desde 2016, incluindo o SmokeLoader, RedLine Stealer, RanumBot, Raccoon Stealer, Stop ransomware e Amadey. Segundo a ESET, mais de 240.000 detecções do crypter foram identificadas em sua telemetria em 2021 e 2022. O AceCryptor é entregue por meio de instaladores trojanizados de software pirata, e-mails de spam com anexos maliciosos ou outros malwares que já comprometeram um host.