Uma nova campanha maliciosa chamada DOUBLECUP explora a técnica ClickFix e PNGs em cache para distribuir dois malwares: CountLoader e DeviceManager RAT. Anatomia de um ataque em duas etapas.
2 h ago 24 3
Unidade 42 (Palo Alto) documenta um caso concreto de agente LLM autônomo: uma única instrução enviada no Telegram é suficiente para fazer varreduras na Internet, escolher um exploit público e atacar — sem nova intervenção humana.
Jul 31, 2026 18 3
Anthropic executou o Claude Mythos Preview como um agente semi-autônomo em primitivas criptográficas: *effective keysize* do HAWK-256 caiu de 2^64 para 2^38, ataque AES de 7 rodadas acelerado ×200 a ×800, recuperação de chave LEA de 13 rodadas em menos de uma hora. Duas CVE reais (OpenSSL, wolfSSL) no processo. Custo: ~100 000 $ de API por tópico.
Jul 28, 2026 20 4
CVE-2026-54121, CVSS 8.8. Uma conta de domínio sem privilégios é suficiente para obter um certificado AD CS assinado para a identidade de um Domain Controller, autenticar-se via PKINIT e extrair krbtgt via DCSync. Corrigido em 14 de julho de 2026, exploit público desde hoje.
Jul 24, 2026 3 1
O construtor suíço de trens Stadler Rail foi alvo do grupo Everest por meio de uma plataforma de troca de dados com um fornecedor. Ele se recusa a pagar os 10 milhões de francos suíços (~12,3 milhões de dólares) solicitados — e, até o momento, a Everest não publicou nada em seu site de vazamentos, o que é incomum.
Jul 23, 2026 5 2
Zenity Labs tornou público em 23 de julho de 2026 uma falha no construtor de agentes do ChatGPT que permitia instalar silenciosamente um agente malicioso herdando todos os conectores da vítima (Outlook, Slack, Drive…). Corrigida em 9 de junho — mas a classe de vulnerabilidade permanece a ser monitorada.
Jul 23, 2026 7 2
Uma vulnerabilidade na extensão do navegador Adobe Acrobat permite que sites maliciosos leiam os dados do WhatsApp Web da vítima — um contorno clássico da Same-Origin Policy por meio de uma extensão privilegiada.
Jul 23, 2026 18 3
Um simples comentário oculto em um pull request do Azure DevOps pode virar o agente de IA de revisão de código contra si mesmo — e fazê-lo drenar projetos aos quais o invasor normalmente não teria acesso. A vulnerabilidade está no servidor MCP oficial da Microsoft.
Jul 22, 2026 8 2
A cadeia americana de fast-food notifica seus clientes sobre um incidente relacionado a uma campanha de *credential stuffing* — um lembrete de que a reutilização de senhas continua, em 2026, um dos vetores mais rentáveis para os atacantes.
Jul 22, 2026 22 3
Desviar a agenda como caixa de correio clandestina: HollowGraph usa os eventos do Microsoft 365 — com vinte e quatro anos de antecedência — para exfiltrar arquivos e receber suas ordens sem levantar alertas.
Jul 21, 2026 8 2
Uma operação de engenharia social industrial transforma o GitHub em vetor de distribuição: 7.600 repositórios falsos, um mesmo carregador, uma mesma lição de higiene da cadeia de suprimentos.
Jul 21, 2026 7 2
Um dump de 11 GB contendo os dados de mais de 23 milhões de usuários do Paidwork foi colocado à venda em um fórum de hackers e posteriormente adicionado ao Have I Been Pwned em 19 de julho de 2026. Contas bancárias, endereços, datas de nascimento e bcrypt: o inventário é extenso. O Paidwork ainda não se manifestou publicamente.
Jul 20, 2026 20 4
