A gangue de ransomware LeakNet combina a engenharia social ClickFix com um carregador de memória baseado em Deno para evitar a detecção. A campanha ForceMemo da GlassWorm usa tokens GitHub roubados para injetar malware em centenas de repositórios Python por meio de push forçado. O botnet RondoDox atinge o pico nas tentativas de exploração 15,000 diariamente em vulnerabilidades 174. O relatório Pentera revela que 67% dos CISOs têm visibilidade limitada sobre o uso de IA. As consequências da violação do Oracle EBS continuam com quatro grandes empresas ainda em silêncio. Gigantes da tecnologia assinam pacto industrial anti-fraude.
O Grupo de ransomware LeakNet evoluiu a sua estratégia de acesso inicial, combinando a Técnica de engenharia social ClickFix com um novo carregador de malware construído no Tempo de execução Deno JavaScript/TypeScript, de acordo com pesquisa publicada hoje pela ReliaQuest.
LeakNet instala o executável Deno legítimo e assinado nos sistemas das vítimas e o usa para executar JavaScript malicioso diretamente na memória. Como o Deno é uma ferramenta confiável para desenvolvedores, ele ignora a maioria das listas de bloqueio de endpoints e controles de listas brancas de aplicativos. ReliaQuest chama isso de "Traga seu próprio tempo de execução" (BYOR) ataque.
A sequência completa do ataque se desenrola em vários estágios:
Romeo*.ps1 e Juliet*.vbs) instale o Deno e execute a carga JavaScript na memóriajli.dll carregado através de Java em C:\ProgramData\USOSharedklist para descoberta de credenciaisApesar da sofisticação, a cadeia de ataque oferece sinais de detecção claros:
misexec execução de navegadoresDe acordo com o Artigo NIS2 21, entidades essenciais e importantes devem implementar medidas para segurança da cadeia de suprimentos e tratamento de incidentes. A técnica BYOR que explora tempos de execução legítimos destaca a necessidade de detecção comportamental além da simples lista de permissões – um requisito que a validação contínua de segurança por meio de pentesting automatizado pode atender.
O Campanha de malware GlassWorm gerou uma nova fase perigosa chamada ForceMemo, que aproveita tokens GitHub roubados para injetar malware em centenas de repositórios Python, de acordo com StepSecurity.
setup.py, main.py, ou app.py dispara quando alguém corre pip install ou executa código clonadoO malware verifica se a localidade do sistema está definida como russo — se sim, ele pula a execução. Esta é uma tática comum dos agentes de ameaças ligados à Rússia para evitar comprometer os sistemas nacionais, sugerindo fortemente a origem da campanha.
Os projetos direcionados incluem Aplicativos Django, código de pesquisa de ML, painéis Streamlit e pacotes PyPI. As primeiras injeções datam de Março 8, 2026, o que significa que potencialmente milhares de desenvolvedores já podem ter executado código comprometido nos últimos nove dias.
git reflogsetup.py, main.py, e app.py arquivos para conteúdo codificado em Base64 anexadoO Botnet RondoDox intensificou significativamente a sua actividade, atingindo o pico 15,000 tentativas de exploração por dia enquanto visa um arsenal expandido de Vulnerabilidades conhecidas do 174, de acordo com a SecurityWeek.
Ao contrário das botnets spray-and-pray, a RondoDox adotou uma abordagem mais direcionada, concentrando as tentativas de exploração em classes de vulnerabilidade e tipos de dispositivos específicos, em vez de examinar indiscriminadamente a Internet.
174 CVEs direcionados · 15,000 tentativas de exploração/dia no pico · Focado em dispositivos IoT, dispositivos de rede e aplicações web sem patch · Múltiplas cadeias de exploração combinando acesso inicial com escalonamento de privilégios
A expansão da botnet ressalta a importância crítica de gerenciamento de patches oportuno e verificação contínua de vulnerabilidades — especialmente para infraestruturas voltadas para a Internet, onde mesmo um breve atraso na correção pode resultar em comprometimento.
Um novo Relatório de referência de testes de IA e adversários 2026 da Pentera, pesquisando 300 CISOs e líderes seniores de segurança dos EUA, revela uma grande lacuna entre a velocidade de adoção da IA e a prontidão para a segurança.
O relatório destaca que os sistemas de IA introduzem novos vetores de risco – tomada de decisão autônoma, caminhos de acesso indiretos e interações privilegiadas entre sistemas — que endpoints tradicionais, aplicativos e ferramentas de segurança API nunca foram projetados para detectar ou controlar. A lacuna de competências, e não o orçamento, é o principal estrangulamento.
Como as consequências do Violação do Oracle E-Business Suite continua, SecurityWeek relata que Broadcom, Bechtel, Estée Lauder e Abbott Technologies continuam a ser as únicas grandes empresas que não emitiram declarações públicas sobre o impacto potencial.
O silêncio é notável dado que outras organizações afetadas já divulgaram detalhes e iniciaram processos de notificação aos clientes. Sob ambos Regras de divulgação de incidentes cibernéticos da SEC e Requisitos da UE NIS2, incidentes materiais de segurança cibernética devem ser relatados dentro de prazos definidos – 4 dias úteis para SEC e 24 horas para aviso prévio NIS2.
Várias grandes empresas de tecnologia e varejo, incluindo Google, Meta e Microsoft, assinaram um acordo da indústria para combater golpes e fraudes online. O acordo estabelece quadros partilhados para:
Embora a auto-regulação da indústria tenha historicamente mostrado resultados mistos, o envolvimento dos maiores operadores de plataformas sinaliza uma pressão crescente – tanto regulamentar como reputacional – para enfrentar a explosão de conteúdos fraudulentos gerados pela IA.
Tracebit levantou $20 milhões no financiamento para dimensionar sua plataforma de tecnologia de fraude nativa da nuvem. A empresa planeja expandir para novos mercados e aumentar suas equipes de marketing e engenharia. A tecnologia Deception – implantação de honeytokens, recursos chamariz e tripwires em ambientes de nuvem – ganhou força à medida que as organizações buscam métodos de detecção que não dependem de assinaturas ou padrões de ataque conhecidos.
CISA adicionou CVE-2025-47813, um ano de idade Vulnerabilidade do servidor FTP Wing, ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) após confirmar a exploração ativa em estado selvagem. A falha leva à divulgação do caminho completo de instalação local do aplicativo, que os invasores podem aproveitar para exploração posterior.
As agências federais são obrigadas a corrigir dentro do cronograma obrigatório do CISA. Todas as organizações que usam o Wing FTP Server devem atualizar imediatamente e auditar os logs de acesso em busca de sinais de exploração.
Desde ransomware usando tempos de execução legítimos até ataques à cadeia de suprimentos que sequestram suas dependências, a superfície de ataque continua se expandindo. A plataforma de segurança autônoma do KENSAI valida continuamente suas defesas contra ameaças do mundo real.
Execute uma verificação de segurança gratuita →Publicado pela equipe de pesquisa de segurança KENSAI · Março 17, 2026
Fontes: ReliaQuest, StepSecurity, SecurityWeek, BleepingComputer, The Hacker News, Pentera
🛡️ O seu site é seguro?
Descubra vulnerabilidades antes que os invasores o façam.
Digitalize seu site gratuitamente →