← Voltar ao Blog

SentinelOne mapeia cadeia de intrusão em 8 fases, SANS analisa o impacto da IA na força de trabalho e Kaspersky liga Coruna ao framework Triangulation

O Relatório Anual de Ameaças 2026 da SentinelOne documenta uma nova cadeia de eliminação de invasões na fase 8, onde os invasores ignoram MFA, armam a automação da nuvem e completam campanhas completas em menos de 4 horas. O relatório 2026 Cyber ​​Workforce do SANS Institute revela que a IA está remodelando fundamentalmente as habilidades necessárias e ampliando a lacuna de talentos. Os pesquisadores da Kaspersky confirmam que as explorações do Coruna iOS compartilham a linhagem de código com a infame estrutura da Operação Triangulação. Sansec descobre um novo skimmer de pagamento baseado em WebRTC que evita os controles de segurança tradicionais.

---

1. Relatório Anual de Ameaças SentinelOne 2026 – Cadeia de eliminação de intrusão de fase 8

SentinelOne lançou seu Relatório Anual de Ameaças 2026, legendado "Manual de um defensor na linha de frente" e a principal descoberta é um modelo de intrusão recentemente documentado: os agentes de ameaças modernos estão executando ataques através de um Cadeia de eliminação de fase 8 que compacta o que costumavam ser semanas de atividade em uma única campanha coordenada com duração inferior a 4 horas.

A cadeia de destruição tradicional da Lockheed Martin (reconhecimento → armamento → entrega → exploração → instalação → comando e controle → ações em objetivos) tem sido o modelo padrão desde 2011. A pesquisa do SentinelOne mostra que os ataques no mundo real evoluíram muito além desta estrutura linear.

As fases 8

Com base na análise de milhares de incidentes em ambientes empresariais, de nuvem e híbridos em todo o 2025, o SentinelOne identifica:

1. Reconhecimento e segmentação: Verificação automatizada combinada com inteligência dark web para identificar alvos de alto valor com serviços vulneráveis ​​conhecidos
2. Acesso inicial: Principalmente por meio de credenciais roubadas, técnicas de desvio de MFA (proxies adversários no meio, trocas de SIM e fadiga push) e comprometimento da cadeia de suprimentos
3. MFA Ignorar e sequestro de sessão: Uma fase distinta - não apenas parte do acesso inicial - onde os invasores derrotam especificamente a autenticação multifator, muitas vezes por meio de ferramentas de proxy de phishing em tempo real, como Evilginx3 ou estruturas AiTM personalizadas
4. Pivô da nuvem: Movimento lateral imediato da identidade comprometida para serviços em nuvem (Azure AD, AWS IAM, Google Workspace), aproveitando relações de confiança de SSO para expandir o acesso sem acionar detecções de endpoint
5. Armamento de automação: Usando as próprias ferramentas de automação da vítima – pipelines de CI/CD, infraestrutura como código, plataformas de orquestração – para implantar cargas maliciosas em todo o ambiente na velocidade da máquina
6. Preparação e exfiltração de dados: Coleta seletiva de dados otimizada para valor de extorsão, exfiltrada por meio de serviços legítimos de armazenamento em nuvem para evitar detecção em nível de rede
7. Persistência e Seguro: Estabelecer vários mecanismos de persistência nas camadas de identidade, nuvem e endpoint para sobreviver à remediação parcial, incluindo a criação de novas contas de administrador, a implantação de canais C2 de backup e a implantação de malware inativo
8. Monetização: Execução simultânea de implantação de ransomware e demandas de extorsão, muitas vezes combinadas com ameaças de liberação de dados roubados (extorsão dupla) ou contato direto com clientes/parceiros (extorsão tripla)

Principais estatísticas do relatório

• Desvio MFA esteve presente em 73% de invasões corporativas — acima de 41% em 2024
• Ataques nuvem-solo (começando na nuvem, migrando para o local) aumentou 340% ano após ano
• Tempo médio de permanência diminuiu para 3.8 horas para invasores motivados financeiramente, versus 11 dias em 2023
• Abuso de automação — usando as próprias ferramentas CI/CD e IaC da vítima — apareceu em 58% de incidentes originados na nuvem
• Campanhas da fase 8 mostrou uma taxa de sucesso 92% em alcançar pelo menos a exfiltração parcial de dados antes da contenção

Perspectiva KENSAI

O modelo de fase 8 confirma o que os defensores suspeitavam: os ataques não seguem mais um caminho linear. Eles são paralelos, automatizados e projetados para superar a resposta humana. Os testes de penetração contínuos do KENSAI visam especificamente as vulnerabilidades que os invasores exploram nas fases 1-4 – serviços expostos, autenticação mal configurada, cadeias de confiança de SSO fracas e configurações incorretas na nuvem. Quando os invasores comprimem sua cadeia de eliminação para menos de 4 horas, apenas a varredura automatizada contínua fornece a defesa proativa necessária para eliminar vulnerabilidades antes que elas sejam transformadas em armas.

---

2. Relatório da força de trabalho cibernética do SANS Institute 2026 – IA remodela a profissão de segurança

O SANS Institute publicou seu Força de trabalho cibernética 2026: habilidades, escassez e mudanças na era da IA relatório, que fornece a análise mais abrangente até agora sobre como a inteligência artificial está transformando o mercado de trabalho em segurança cibernética. As descobertas são simultaneamente alarmantes e esperançosas – dependendo de onde você está.

A lacuna de competências está aumentando, não diminuindo

Apesar de anos de investimento na educação em segurança cibernética, a lacuna global da força de trabalho continua a aumentar. Estimativas SANS 4.7 milhões de vagas não preenchidas em segurança cibernética em todo o mundo – passando de 3.9 milhões para 2024. Mas a natureza da lacuna mudou fundamentalmente:

• Habilidades tradicionais (gerenciamento de firewall, detecção baseada em assinaturas, análise manual de logs) estão sendo automatizadas mais rápido do que a força de trabalho pode treinar novamente
• Novas habilidades em demanda: Segurança de IA/ML, engenharia imediata para ferramentas de segurança, supervisão de sistema autônomo, arquitetura de segurança nativa da nuvem e gerenciamento de estrutura de identidade
• O “meio” está desaparecendo: Analistas juniores que realizam tarefas repetitivas estão sendo substituídos pela IA, enquanto a demanda por arquitetos seniores que possam projetar e supervisionar sistemas de segurança baseados em IA dobrou

Como a IA está mudando o trabalho diário de segurança

O relatório entrevistou profissionais de segurança cibernética 8,500 em todos os países 142. Principais conclusões sobre o impacto da IA:

• 67% de analistas SOC relatam que as ferramentas de IA lidam com sua triagem de alerta inicial - de 23% a 2024
• 41% de testadores de penetração use ferramentas de descoberta de vulnerabilidades assistidas por IA como parte de seu fluxo de trabalho padrão
• Relatórios gerados por IA agora respondem pela maioria dos primeiros relatórios de incidentes e documentação de conformidade
• No entanto: 78% dos entrevistados dizem que as ferramentas de IA frequentemente produzem falsa confiança – gerando análises que parecem plausíveis, mas incorretas, que requerem revisão humana experiente para serem detectadas.

A função emergente: operador de segurança de IA

SANS identifica um novo papel emergente nas organizações: o Operador de segurança de IA — alguém que não apenas usa ferramentas de segurança, mas também gerencia, ajusta e valida os sistemas de IA que tomam cada vez mais decisões de segurança. Essa função requer uma combinação única de conhecimento de segurança tradicional, conhecimento em ciência de dados e julgamento para saber quando as recomendações de IA devem ser confiáveis ​​ou ignoradas.

Perspectiva KENSAI

O KENSAI foi desenvolvido para a realidade da força de trabalho que o SANS descreve. Em vez de exigir que equipes de testadores de penetração executem avaliações manuais, o KENSAI fornece verificação de segurança autônoma que opera continuamente — aumentar equipes de segurança menores com cobertura na velocidade da máquina. A plataforma lida com o trabalho repetitivo e escalonável (verificação contínua de vulnerabilidades, monitoramento de superfícies de ataque), enquanto os especialistas humanos se concentram nas decisões estratégicas que a IA não pode tomar: priorização de riscos, contexto de negócios e estratégia de remediação.

---

3. Kaspersky vincula explorações do Coruna iOS à estrutura de triangulação de operação

Em 2023, Kaspersky descobriu Operação Triangulação — uma das cadeias de ataque iOS mais sofisticadas já documentadas. O ataque explorou quatro vulnerabilidades de dia zero em sequência, incluindo uma exploração em nível de hardware visando um recurso não documentado nos chips personalizados da Apple. A sofisticação era tão extrema que levantou questões sobre se os invasores tinham acesso à documentação interna da Apple.

Agora, a pesquisa mais recente da Kaspersky revela que o Kit de exploração Coruna iOS, que CISA adicionou ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) em março 8, compartilha código significativo com Triangulação:

• Primitivas de exploração compartilhadas: Técnicas de corrupção de memória e métodos de escape de sandbox em Coruna reutilizam versões refinadas da abordagem de Triangulação, adaptadas para versões mais recentes do iOS
• Atualizado, mas reconhecível: Embora as vulnerabilidades específicas visadas sejam diferentes (Coruna tem como alvo as vulnerabilidades 23 iOS versus 4 da Triangulation), a estrutura de exploração - a estrutura que encadeia as explorações - mostra uma linhagem evolutiva clara
• Segmentação expandida: Coruna tem como alvo uma gama mais ampla de versões iOS (iOS 16 até iOS 18.2) e tipos de dispositivos, sugerindo que os desenvolvedores investiram pesadamente na expansão de seus recursos desde a exposição da Triangulação
• Evolução da persistência: A triangulação se destacou por sua falta de persistência (operava inteiramente na memória). Coruna apresenta um novo mecanismo de persistência que sobrevive a reinicializações por meio da manipulação dos serviços do sistema iOS

Implicações de atribuição

A Kaspersky não chega a uma atribuição definitiva, mas observa que a linhagem do código, combinada com os recursos necessários para desenvolver e manter uma cadeia de exploração de múltiplas vulnerabilidades iOS, restringe o campo a um pequeno número de atores em nível estadual. A evolução da Triangulação até à Corunha representa anos de desenvolvimento contínuo – isto não é exploração oportunista, mas sim um programa sustentado e bem financiado.

O que as organizações devem fazer

• Certifique-se de que todos os dispositivos iOS estejam atualizados para iOS 18.4 ou posterior – a Apple corrigiu todas as vulnerabilidades 23 visadas por Coruna
• As organizações governamentais, de defesa e de infraestrutura crítica devem considerar a implantação de soluções de gerenciamento de dispositivos móveis (MDM) com políticas de atualização obrigatórias
• Revise o modo de bloqueio da Apple para indivíduos de alto risco – embora inconveniente, reduz significativamente a superfície de ataque iOS
• Monitore as atualizações do CISA KEV para entradas adicionais relacionadas ao iOS à medida que a pesquisa em Coruna continua

Perspectiva KENSAI

Embora KENSAI se concentre em aplicações web e segurança de infraestrutura, em vez de endpoints móveis, a conexão Coruna-Triangulação ilustra um princípio crítico: invasores sofisticados iteram e desenvolvem suas ferramentas continuamente. O mesmo padrão se aplica à infraestrutura de ataque voltada para a Web. A verificação contínua do KENSAI garante que, à medida que os invasores atualizam suas técnicas, suas defesas sejam testadas contra o cenário de vulnerabilidade mais recente — e não contra o instantâneo do último trimestre.

---

4. Sansec descobre skimmer de pagamento baseado em WebRTC – uma nova fronteira de evasão

Skimmers de cartões de pagamento (ataques do tipo Magecart) normalmente funcionam injetando JavaScript malicioso em páginas de checkout de comércio eletrônico. O script injetado captura detalhes do cartão de pagamento conforme os clientes os digitam e, em seguida, exfiltra os dados para servidores controlados pelo invasor – geralmente por meio de solicitações HTTP padrão ou incorporando dados em URLs de imagem.

O skimmer recém-descoberto quebra totalmente esse padrão usando Canais de dados ponto a ponto WebRTC para exfiltração:

Como funciona

1. Injeção inicial: O skimmer é injetado na página de checkout por meio de uma biblioteca JavaScript de terceiros comprometida – um vetor comum do Magecart
2. Captura de dados: O registro de pressionamento de tecla padrão captura números de cartão de pagamento, CVVs e informações de cobrança à medida que os clientes os inserem
3. Estabelecimento de canal WebRTC: Em vez de fazer solicitações HTTP, o skimmer estabelece uma conexão de peer WebRTC usando um servidor STUN/TURN como intermediário
4. Exfiltração de dados: Os dados de pagamento capturados são transmitidos através do canal de dados WebRTC – uma conexão binária, criptografada e ponto a ponto que a maioria das ferramentas de segurança não inspeciona

Por que isso é importante

• Desvio de CSP: Os cabeçalhos da Política de Segurança de Conteúdo – uma das principais defesas contra ataques Magecart – normalmente restringem as conexões HTTP, mas não bloqueiam o tráfego WebRTC, que usa diferentes APIs e protocolos de navegador (DTLS/SRTP sobre UDP)
• Invisível para monitoramento HTTP: Firewalls de aplicativos da Web, servidores proxy e ferramentas de monitoramento de rede que inspecionam o tráfego HTTP/HTTPS não verão o tráfego do canal de dados WebRTC
• Criptografado por padrão: As conexões WebRTC são criptografadas com DTLS, tornando a inspeção profunda de pacotes ineficaz, mesmo que o tráfego seja capturado
• Sem indicadores do lado do servidor: A detecção tradicional do skimmer depende da identificação de solicitações HTTP de saída inesperadas das páginas de checkout. A exfiltração WebRTC não deixa artefatos HTTP

Detecção e Mitigação

• Monitore o uso do WebRTC API nas páginas de checkout – sites legítimos de comércio eletrônico raramente precisam de recursos WebRTC em formulários de pagamento
• Implementar integridade de sub-recursos (SRI) para todos os scripts de terceiros para evitar injeção através de dependências comprometidas
• Bloqueie WebRTC em páginas confidenciais: Considere usar restrições WebRTC no nível do navegador para fluxos de checkout ou implantar JavaScript que desative RTCPeerConnection nas páginas de pagamento
• Verifique regularmente scripts de terceiros para mudanças comportamentais — mesmo que o URL do script permaneça o mesmo, o conteúdo pode ter sido modificado

Perspectiva KENSAI

O skimmer WebRTC representa o tipo de ameaça da web em evolução que torna verificação contínua de segurança essencial. O teste de penetração automatizado do KENSAI examina aplicativos da web em busca de vulnerabilidades de injeção, recursos de terceiros comprometidos e comportamento anômalo do lado do cliente. À medida que os invasores desenvolvem novas técnicas de exfiltração que contornam os controles tradicionais, somente uma varredura abrangente e atualizada regularmente pode identificar as vulnerabilidades subjacentes que permitem esses ataques.

---

5. Push Security — Estado dos ataques baseados em navegador em 2026

Push Security lançou um Estado da segurança do navegador série de pesquisas, apresentando contribuições de pesquisadores de segurança notáveis, incluindo John Hammond, Troy Hunt e Matt Johansen. A investigação centra-se numa realidade que muitas organizações ainda subestimam: o navegador se tornou a principal superfície de ataque para comprometimento corporativo.

Principais conclusões das parcelas iniciais da pesquisa:

• Phishing Adversário no Meio (AiTM) agora é responsável por 47% de ataques de roubo de credenciais contra empresas – acima de 12% em 2023. Esses ataques interceptam a autenticação em tempo real, capturando senhas e tokens de sessão
• Ataques ConsentFix - uma técnica em que os invasores enganam os usuários para que concedam consentimento OAuth a aplicativos maliciosos - surgiram como um vetor importante para contornar totalmente o MFA
• Sequestro de sessão por meio de cookies de navegador roubados, há mais acesso inicial do que o preenchimento de credenciais tradicional, porque os tokens de sessão ignoram todas as formas de MFA
• Extensões de navegador permanecem um ponto cego persistente: o funcionário médio da empresa tem extensões de navegador 11 e 34% dessas extensões solicitam permissões que podem permitir a exfiltração de dados

A lacuna de segurança do navegador

A pesquisa destaca uma desconexão fundamental: as organizações investem pesadamente em segurança de rede, detecção de endpoints e segurança na nuvem — mas o navegador, que é onde os funcionários realmente interagem com aplicativos SaaS, inserem credenciais e processam dados confidenciais, recebe comparativamente pouco investimento em segurança. Push Security descreve isso como o problema da “última milha” — protegendo tudo, exceto o ponto onde os humanos e as aplicações realmente se encontram.

Perspectiva KENSAI

Os ataques baseados em navegador dependem, em última análise, dos aplicativos da Web e dos sistemas de autenticação que visam. A verificação de segurança do KENSAI avalia aplicativos da web em busca dos tipos de vulnerabilidades que permitem ataques AiTM, configuração incorreta do OAuth e pontos fracos de gerenciamento de sessão. Ao testar continuamente seus aplicativos voltados para a Web, o KENSAI ajuda a garantir que, mesmo com a evolução das técnicas de ataque baseadas em navegador, os aplicativos subjacentes não forneçam os pontos de apoio de que os invasores precisam.

---

6. Agentic GRC – As dores crescentes da governança da indústria

Análise de anedotas de GRC Agente A adoção (Governança, Risco e Conformidade) revela que, embora as ferramentas GRC baseadas em IA estejam sendo amplamente implantadas, o principal desafio não é a tecnologia – é mentalidade organizacional.

A pesquisa identifica um padrão entre organizações que adotam agentes de IA para conformidade e gestão de riscos:

• A automação funciona: Os agentes de IA podem automatizar a coleta de evidências, a verificação de políticas e a documentação de conformidade com alta precisão
• Mas as equipes resistem: As equipes de GRC acostumadas com processos manuais lutam para fazer a transição de “fazer o trabalho” para “supervisionar a IA que faz o trabalho”
• A verdadeira mudança: O papel dos profissionais de GRC deve evoluir desde a execução (coleta de evidências, redação de relatórios) até liderança de risco (interpretar resultados, tomar decisões estratégicas, desafiar suposições de IA)
• O perigo da falsa automação: As organizações que implantam GRC agente sem reestruturar fluxos de trabalho acabam com equipes que verificam manualmente cada resultado de IA – anulando totalmente os ganhos de eficiência

Isso reflete o tema mais amplo da pesquisa da semana: A IA está mudando o que os profissionais de segurança fazem, não os substituindo. O valor muda da execução para o julgamento, das tarefas repetitivas para a supervisão estratégica.

---

Resumo de pesquisa e indústria

Pesquisar	Impacto	Tipo	Principal vantagem
Relatório Anual de Ameaças SentinelOne 2026	CRÍTICO	Inteligência de ameaças	Ataques da fase 8 são concluídos em <4 horas
Relatório de força de trabalho cibernética SANS 2026	ALTO	Pesquisa da Indústria	4.7M posições não preenchidas; Habilidades de remodelação de IA
Kaspersky: Coruna ↔ Link de triangulação	ALTO	Pesquisa de ameaças	Evolução da exploração iOS em nível de estado confirmada
Sansec: Skimmer de pagamento WebRTC	ALTO	Descoberta de ameaças	Nova técnica de evasão contorna CSP e WAFs
Segurança push: estado de ataque ao navegador	ESTRATÉGICO	Pesquisa de segurança	O navegador é a principal superfície de ataque corporativo
Anedotas: Adoção Agentic GRC	INFORMAÇÕES	Análise da Indústria	Mudança de mentalidade > tecnologia para governança de IA

---