As principais notícias de cybersecurity para serem lidas em menos de 3 minutos, todo dia em seu e-mail.

Criminosos estão enviando golpes relacionados à restituição do Imposto de Renda 2023 por meio de mensagens e sites fraudulentos, antes mesmo do início do prazo para entrega das declarações, que começa nesta semana. As abordagens incluem promessas de recebimento antecipado do montante ou valores adicionais por uma ação rápida, links para cadastro ou acesso ao sistema para visualização de comprovantes de pagamento ou realização de saques, e solicitação de dados pessoais e de cartão de crédito. A Receita Federal alerta para que todo o acesso seja feito pelo portal oficial do órgão e desconfie de serviços de terceiros.

O malware bancário altamente modular Xenomorph atingiu mais de 400 instituições financeiras em todo o mundo, incluindo grandes bancos brasileiros, como Bradesco, Itaú e Santander, além de empresas de criptomoedas. Distribuído a partir de aplicativos fraudulentos na Google Play Store, o malware é capaz de exibir telas sobrepostas e obter códigos de autenticação em notificações, além de registrar códigos de autenticação em duas etapas gerados por aplicativos. A nova versão do Xenomorph pode ser operada de forma autônoma, com ações pré-programadas. A recomendação é ter atenção ao download de aplicativos, mesmo que eles venham da Google Play.

Atacantes desconhecidos usaram exploits zero-day para abusar de uma nova falha no FortiOS em ataques que visaram governos e grandes organizações. A vulnerabilidade de segurança ( CVE-2022-41328 ) permitiu que os invasores executem código ou comandos não autorizados. A Fortinet lançou atualizações de segurança em 7 de março para corrigir a falha. A empresa não mencionou que o bug foi explorado na natureza antes que as correções fossem lançadas. No entanto, um relatório da Fortinet publicado na semana passada revelou que os exploits CVE-2022-41328 foram usados para hackear vários dispositivos de firewall FortiGate.

A Offensive Security lançou o Kali Linux 2023.1, a primeira versão de 2023 e o 10º aniversário do projeto, com uma nova distribuição chamada 'Kali Purple', voltada para equipes de segurança defensiva. O Kali Linux é uma distribuição projetada para hackers éticos realizar testes de penetração, auditorias de segurança e pesquisa de cibersegurança em redes. Com esta versão, a equipe do Kali Linux apresenta uma variedade de novos recursos e oito novas ferramentas, incluindo o CyberChef e o Arkime.

A Housing Authority da cidade de Los Angeles foi alvo de um ataque do ransomware LockBit, resultando em vazamento de dados. O ataque ocorreu em dezembro de 2022, e o grupo ameaçou publicar todos os arquivos roubados da rede da agência governamental em janeiro de 2023. A investigação concluiu que hackers tiveram acesso não autorizado aos sistemas da Housing Authority entre janeiro e dezembro de 2022, e informações pessoais como nome completo, número do seguro social, número de passaporte, entre outros, podem ter sido acessadas.

A Agência de Cibersegurança e Segurança de Infraestrutura dos EUA (CISA) anunciou um novo programa piloto chamado "Ransomware Vulnerability Warning Pilot" (RVWP) para ajudar as entidades de infraestrutura crítica a proteger seus sistemas de informações contra ataques de ransomware. O programa tem dois objetivos: examinar as redes das entidades de infraestrutura crítica para identificar sistemas vulneráveis que os hackers de ransomware frequentemente exploram para invadir redes e ajudar as organizações vulneráveis a corrigir as falhas antes que sejam hackeadas. O RVWP é parte de um esforço mais amplo para impedir a crescente ameaça de ransomware que começou há quase dois anos.

A Microsoft adicionará recursos de autenticação multifator (MFA) ao cliente de e-mail Outlook para impulsionar a adoção do MFA em sua plataforma de produtividade em nuvem Microsoft 365. Os usuários poderão concluir solicitações de MFA para aplicativos do Microsoft 365 diretamente no aplicativo Outlook por meio de um novo recurso chamado Authenticator Lite. Com o Authenticator Lite, os usuários poderão acessar suas contas de trabalho ou escola por meio do Outlook com uma camada extra de segurança. A autenticação MFA será disponibilizada em dispositivos iOS e Android e provavelmente exigirá que os usuários insiram um código ou aprovem uma notificação após inserir sua senha.

O protocolo de empréstimo Euler Finance foi atingido por um ataque de flash loan no domingo, com o autor do crime roubando US $ 197 milhões em várias criptomoedas. O roubo envolveu vários tokens, incluindo $ 8,75 milhões em DAI, $ 18,5 milhões em WBTC, $ 33,85 milhões em USDC e $ 135,8 milhões em stETH. A empresa por trás do Euler Finance, a Euler Labs, compartilhou uma breve declaração no Twitter, dizendo que atualmente está trabalhando com profissionais de segurança e agências de aplicação da lei e divulgará mais informações quando estiver pronta.

A desenvolvedora ucraniana GSC Game World foi vítima de um ataque cibernético, que resultou em roubo de ativos do jogo altamente antecipado "STALKER 2: Heart of Chornobyl". Os atacantes, que afirmam ser uma comunidade de uma rede social russa, estão ameaçando divulgar os dados roubados, incluindo a história completa, descrições de cenas cortadas, arte conceitual e mapas globais. Os hackers exigem que a empresa mude sua atitude em relação aos jogadores da Bielorrússia e da Rússia, levante a proibição de um usuário específico e introduza a localização russa no jogo. A GSC Game World alertou os jogadores para não assistirem ou redistribuírem quaisquer vazamentos de dados que possam aparecer online.

A NordVPN anunciou que sua ferramenta Meshnet, que permite criar túneis privados e criptografados entre dispositivos confiáveis, agora está disponível gratuitamente para todos. A funcionalidade foi lançada em junho de 2022 como uma opção paga, permitindo ao usuário rotear o tráfego de rede de seus dispositivos através de outros computadores, em qualquer lugar do mundo, para acessar dispositivos internos e plataformas geograficamente restritas. Com a mudança, a NordVPN também implementou um recurso de compartilhamento de arquivos de qualquer tamanho com segurança e a possibilidade de personalizar opções de conectividade.

Golpistas estão usando um novo ataque chamado CryptoRom, que combina fraudes em aplicativos românticos com golpes no comércio de criptomoedas. As vítimas são contatadas em aplicativos de namoro e redes sociais, e posteriormente são levadas a instalar aplicativos falsos de criptomoedas em seus celulares. Os golpistas prometem retornos rápidos e atraentes, solicitando uma pequena quantia inicial de transferência financeira. Esse ganho fácil faz com que as vítimas invistam cada vez mais recursos em busca de lucros irreais. Os criminosos estão contornando os rígidos protocolos de segurança da Apple, aumentando seu grupo de possíveis vítimas.

A operação de ransomware conhecida como Medusa tem aumentado sua atividade em 2023, visando vítimas corporativas em todo o mundo com pedidos de resgate de milhões de dólares. A gangue de ransomware lançou um "Medusa Blog" para vazar dados de vítimas que se recusam a pagar o resgate. O Medusa ganhou atenção da mídia após reivindicar a responsabilidade por um ataque ao distrito escolar de Minneapolis e compartilhar um vídeo dos dados roubados. A criptografia usada pelo Medusa é diferente da usada pelo MedusaLocker, e nenhuma fraqueza no ransomware permite que as vítimas recuperem seus arquivos gratuitamente.

Pesquisadores da Escola de Segurança Cibernética da Universidade da Coreia do Sul criaram um novo ataque de canal oculto chamado CASPER, que pode vazar dados de computadores isolados de rede para um smartphone próximo a uma taxa de 20bits/seg. O ataque usa as caixas de som internas do computador como canal de transmissão de dados para enviar áudio de alta frequência que o ouvido humano não pode ouvir e transmitir código binário ou Morse a um microfone a até 1,5m de distância. O ataque exige que o sistema seja previamente infectado com malware.

A Essendant, distribuidora atacadista de materiais de escritório, está enfrentando uma "pane" em seus sistemas que impede que clientes e fornecedores realizem pedidos e entregas online. A empresa, de propriedade da Staples, gera mais de US$ 5,4 bilhões em receita anual e emprega mais de 6.400 pessoas. A causa da pane ainda não foi revelada, mas a empresa informou que as horas de recebimento e pedidos foram restritas até novo aviso. A Essendant atende a cerca de 30.000 clientes revendedores, o que significa que a pane deve ter um impacto significativo na cadeia de suprimentos.

O malware downloader conhecido como BATLOADER está usando anúncios do Google para distribuir cargas secundárias como Vidar Stealer e Ursnif, segundo a empresa de cibersegurança eSentire. Os anúncios maliciosos são usados para falsificar uma ampla gama de aplicativos e serviços legítimos, como Adobe, Spotify e Zoom. O BATLOADER é responsável por distribuir malware de próxima geração, incluindo malware bancário, Cobalt Strike e ransomware. A operação do BATLOADER usa táticas de falsificação de software para a entrega de malware, criando sites semelhantes que hospedam arquivos de instalador do Windows disfarçados de aplicativos legítimos.

A Agência de Segurança de Infraestrutura e Cibersegurança dos EUA (CISA) adicionou uma vulnerabilidade de execução remota de código (RCE) de quase três anos no Plex Media Server ao seu catálogo de falhas de segurança exploradas em ataques. A falha, rastreada como CVE-2020-5741 , permite que os invasores executem código Python arbitrário remotamente com privilégios de administrador, em ataques de baixa complexidade que não exigem interação do usuário. Embora a CISA não forneça informações sobre os ataques em que a CVE-2020-5741 foi explorada, acredita-se que esteja relacionada ao hackeamento do engenheiro sênior de DevOps da LastPass no ano passado.

O grupo de ransomware Clop começou a extorquir empresas cujos dados foram roubados usando uma vulnerabilidade zero-day da solução de compartilhamento seguro de arquivos Fortra GoAnywhere MFT. O grupo disse que usou a falha por mais de 10 dias para roubar dados de 130 empresas. Desde o lançamento do patch para a falha, duas empresas, Community Health Systems e Hatch Bank, divulgaram que seus dados foram roubados. O grupo Clop começou a adicionar empresas afetadas em seu site de vazamento de dados e algumas vítimas começaram a receber demandas de resgate.

Uma nova variante do malware de botnet Prometei infectou mais de 10.000 sistemas em todo o mundo desde novembro de 2022, com a maioria das vítimas relatadas no Brasil, Indonésia e Turquia. O malware é conhecido por sua capacidade de explorar falhas no Microsoft Exchange Server e é usado principalmente para mineração de criptomoedas e coleta de credenciais. A nova versão, chamada v3, possui recursos avançados para desafiar a análise forense e aprofundar ainda mais o acesso nas máquinas das vítimas. Acredita-se que os atores por trás da operação estejam na Rússia, já que o malware evita atacar o país.

Uma campanha de hacking com suspeita de ter ligação com a China está atacando dispositivos SonicWall Secure Mobile Access (SMA) 100 não corrigidos para instalar malware e estabelecer persistência a longo prazo. O malware é capaz de roubar credenciais de usuário, fornecer acesso ao shell e persistir por meio de atualizações de firmware. A empresa de cibersegurança Mandiant, que está rastreando a atividade, disse que o objetivo geral por trás das ferramentas personalizadas parece ser o roubo de credenciais. SonicWall lançou atualizações para o SMA 100, incluindo File Integrity Monitoring e identificação de processos anômalos.

Uma operação coordenada de aplicação da lei internacional derrubou a infraestrutura online associada ao trojan de acesso remoto multiplataforma NetWire. O site de vendas www.worldwiredlabs[.]com foi apreendido e um cidadão croata suspeito de ser o administrador do site foi preso. O malware é distribuído por meio de campanhas malspam e dá a um atacante remoto controle total sobre um sistema Windows, macOS ou Linux. Ele também vem com capacidades de roubo de senhas e keylogging. O NetWire tem sido usado por vários atores de ameaças, incluindo TA2541 e OPERA1ER, para invadir alvos de interesse e coletar informações sensíveis.