Amea\u00a7as cibern\u00e9ticas: RCE no Apache OFBiz, invas\u00e3es e fraudes revelam riscos crescentes

\n

Uma simples credencial roubada pode abrir portas em v\u00e1rias redes. Configura\u00e7\u00f5es consideradas confi\u00e1veis podem ser viradas contra os pr\u00f3prios usu\u00e1rios, bloqueando o acesso. Mesmo uma c\u00f3pia de arquivo, quando mal gerenciada, alcan\u00e7a sistemas onde n\u00e3o deveria estar. Enquanto novas ferramentas aceleram a identifica\u00e7\u00e3o de vulnerabilidades, alguns sistemas cr\u00edticos ainda demoram meses, ou mais de um ano, para receber um patch. A disparidade entre a velocidade de descoberta e a corre\u00e7\u00e3o continua a ampliar a janela de exposi\u00e7\u00e3o.

\n

O Centro Nacional de Cibersegurança do Reino Unido (NCSC) alertou que a disponibilidade generalizada de ferramentas cibern\u00e9ticas baseadas em IA \”quase certamente\” aumentou a descoberta de vulnerabilidades zero-day. \”Ferramentas defensivas de IA reduziram o tempo entre o surgimento de um defeito e sua classifica\u00e7\u00e3o como n-day, acelerando o processo de corre\u00e7\u00e3o\”, destacou o NCSC. \”Contudo, sem uma configura\u00e7\u00e3o correta e ampla, muitos sistemas seguem vulner\u00e1veis a atacantes que usam ferramentas de IA para identificar e explorar fraquezas. Os processos internos de corre\u00e7\u00e3o e testes das organiza\u00e7\u00f5es precisam evoluir para acompanhar o ritmo acelerado da descoberta de vulnerabilidades.\”

\n

Uma an\u00blise de cerca de 383.000 CVEs divulgados entre 1999 e setembro de 2026 revela que o tempo mediano para corrigir uma falha ultrapassa um ano em equipamentos de rede. Aproximadamente 2.000 CVEs (cerca de 0,5%) foram associados a explora\u00e7\u00e9s reais. \”A corre\u00e7\u00e9o de vulnerabilidades leva cerca de duas semanas em workstations Windows, mas mais de um m\u00e9s em servidores Windows\”, informou a Microsoft. \”O prazo se estende por mais de 10 semanas em servidores Linux e aplica\u00e7\u00e9s macOS, e ultrapassa um ano em equipamentos de rede. Essa lacuna representa a janela de oportunidades para actors amea\u00e7adores, mais ampla nos sistemas cr\u00edticos que permanecem expostos por mais tempo.\”

\n

As autoridades prenderam sete suspeitos ligados a um esquema de fraude de investimento que atingiu v\u00edtimas em mais de 50 pa\u00edses, segundo a Europol. Os danos estimados ultrapassam US$ 4,5 milh\u00f5es. A opera\u00e7\u00e3o \”crime-as-a-service\”, operada por uma empresa com sede no Chipre e em Israel, fornecia a grupos criminosos uma s\u00e9rie de sites de trading e call centers fraudados para convencer pessoas a transferir suas economias. Os call centers funcionavam a partir da Alban\u00edia, Kosovo e Maced\u00f4nia do Norte. \”Mais de 100 servidores foram apreendidos e sete suspeitos detidos em uma a\u00e7\u00e3o coordenada em 3 de novembro de 2026\”, relatou a Europol. \”Foram realizadas buscas em 17 endere\u00e7os, confiscando servidores, outras provas e ativos.\”\n

A plataforma fraudulenta utilizava publicidade enganosa para direcionar pessoas a investimentos fict\u00edcios, prometendo ganhos r\u00e1pidos com criptomoedas e moedas estrangeiras. Mesmo que as v\u00edtimas fossem incentivadas a enviar pequenas quantias, os operadores exibiam ganhos il\u00f3ciosos para persuadi-las a investir quantias cada vez maiores. Quando as v\u00edtimas tentavam retirar fundos, os operadores recorriam a t\u00e1ticas de adiamento para bloquear os pagamentos. \”Por tr\u00e1s de plataformas aparentemente leg\u00edtimas, supostos corretores utilizavam lucros fict\u00edcios e press\u00e3o psicol\u00f3gica para convencer as v\u00edtimas a investir mais\”, informou a Europol. \”Os dados pessoais coletados durante o processo eram vendidos a grupos criminosos que operavam call centers, que ent\u00e3o entravam em contato com novas v\u00edtimas oferecendo oportunidades de investimento falsas.\”

\n

O Google ampliou seu Programa de Recompensas por Vulnerabilidades na Cloud (VRP) com um novo pr\u00eamio de alto valor para falhas arquitet\u00f4nicas de impacto cr\u00edtico, oferecendo at\u00e9 US$ 250.000 por bugs Root-in-Cloud, como burlas de isolamento de inquilinos e falhas l\u00f3gicas complexas entre servi\u00e7os que permitam aos atacantes obter controle administrativo completo sobre organiza\u00e7\u00e9es Google Cloud arbitra\u00e9rias. \”Para receber este pr\u00eamio m\u00a1 nivel, \u00e9 preciso demonstrar controle administrativo completo, equivalente a ‘roles/owner’ ou controle IAM total, sobre organiza\u00e7\u00e9es ou projetos Google Cloud sem acesso pr\u00e9vio ou configura\u00e7\u00e9o especial\”, destacou a empresa. \”Reportagens v\u00a1lidas que demonstrem execu\u00e7\u00e3o remota de c\u00f3digo (RCE) na infraestrutura de produ\u00e7\u00e3o subjacente (Borg) ou consigam root-in-prod ser\u00e3o automaticamente avaliadas pelo painel VRP da Google Cloud para elegibilidade de root-in-cloud.\”

\n

A Microsoft anunciou que o navegador Edge agora desativa automaticamente notifica\u00e7\u00f5es de sites que exibem alertas de golpe ou scareware, como falsos avisos de v\u00edrus ou alertas de seguran\u00e7a. \”A partir da implementa\u00e7\u00e3o do Edge 156 no m\u00eas passado, quando o Microsoft Defender SmartScreen ou o bloqueador de scareware detecta um golpe enviado por notifica\u00e7\u00e3o, o Edge desativa automaticamente as notifica\u00e7\u00f5es do site que as enviou\”, informou a Microsoft. \”Na pr\u00f3xima inicializa\u00e7\u00e3o do Edge, uma barra de informa\u00e7\u00e3es explica o que aconteceu. Se voc\u00ea acredita que um site foi bloqueado incorretamente, \u00e9 poss\u00edvel revisar os sites com notifica\u00e7\u00e9es bloqueadas e desbloque\u00e1-las nas configura\u00e7\u00e9s do Edge, mantendo o controle do usu\u00e1rio.\”

\n

Dois canadenses, Ryan James Roach, 35 anos, e Mathiew James Stubbings, 41 anos, foram indiciados nos Estados Unidos por invadir diversas universidades americanas e usar o acesso obtido para miner criptomoedas. Ambos foram acusados de conspirar para obter acesso ilegal e realizar atividades de minera\u00e7\u00e9o n\u00e3o autorizada, entre outras viola\u00e7\u00f5es. As acusa\u00e7\u00f5es destacam o uso indevido de sistemas educacionais para fins lucrativos criminosos. As autoridades continuam a monitorar e a perseguir judicialmente aqueles que exploram vulnerabilidades em institui\u00e9ses de ensino para fins de miner\u00e9cia digital.

\n

Com informa\u00e7\u00f5es de: The Hacker News (THN)