Cadeia de RCE pré-autenticação no Progress ShareFile, recuperação da Stryker após ataque destrutivo a 200K dispositivos, campanha CERT-UA com AGEWHEEZE em 1M de e-mails e iscas PDF do Casbaneiro na América Latina e Europa

Progress ShareFile abriga uma cadeia de vulnerabilidade perigosa que permite a execução remota de código de pré-autenticação em instâncias não corrigidas. A gigante da tecnologia médica Stryker declara recuperação operacional total depois que um ataque de limpador destruiu 200,000 dispositivos. Uma campanha de phishing em grande escala que se faz passar pelo CERT-UA lançou o malware AGEWHEEZE em mais de um milhão de caixas de entrada. O trojan bancário Casbaneiro retorna com iscas dinâmicas de PDF na América Latina e na Europa. O malware VBS entregue pelo WhatsApp explora o desvio do UAC para sequestrar sistemas Windows. Os proxies residenciais agora evitam os controles de reputação de IP a uma taxa de 78% em quatro bilhões de sessões observadas.

1. Pré-autenticação do Progress ShareFile RCE – Cadeia de vulnerabilidade permite controle não autenticado

Progress ShareFile — uma plataforma corporativa de compartilhamento e colaboração de arquivos amplamente implantada — contém uma cadeia de vulnerabilidades que, quando combinadas, permitem que um invasor remoto e não autenticado alcance total execução remota de código (RCE) em instâncias de servidores vulneráveis.

A Cadeia de Vulnerabilidade

A cadeia de exploração liga dois pontos fracos distintos. O primeiro é um desvio de autenticação falha no aplicativo da web ShareFile que permite que solicitações não autenticadas cheguem a endpoints destinados apenas a usuários logados. O segundo é uma vulnerabilidade de desserialização do lado do servidor acessível através desses endpoints protegidos. Ao combinar os dois, um invasor pode fornecer uma carga serializada criada através do desvio de autenticação, desencadeando a execução arbitrária de código no contexto do processo do servidor web – sem a necessidade de credenciais em nenhum estágio.

Versões afetadas

• Controlador ShareFile StorageZones 5.12.x e anteriores
• Implantações locais do ShareFile em Servidor Windows 2016/2019/2022
• Os locatários do ShareFile hospedados na nuvem e gerenciados pela Progress são já corrigido
• As configurações de StorageZones auto-hospedadas e híbridas permanecem em risco até serem atualizadas

Risco de exploração

O Progress ShareFile é amplamente utilizado em setores regulamentados, incluindo serviços financeiros, jurídicos e de saúde – setores que armazenam documentos altamente confidenciais na plataforma. Uma pré-autenticação RCE bem-sucedida fornece aos invasores acesso direto ao servidor de arquivos subjacente, a todos os documentos armazenados e às credenciais armazenadas em cache no ambiente do aplicativo. Dado que vulnerabilidades semelhantes do Progress (por exemplo, MOVEit Transfer em 2023) foram exploradas em massa por grupos de ransomware poucos dias após a divulgação, tentativas ativas de exploração devem ser esperadas em breve.

Patches e mitigação

• Aplique o patch mais recente do Progress ShareFile StorageZones Controller imediatamente
• Se o patch for atrasado, isolar o controlador StorageZones do acesso voltado para a Internet
• Revise os logs do servidor web e do aplicativo para solicitações POST inesperadas para endpoints administrativos
• Rotacione todas as credenciais da conta de serviço ShareFile após a aplicação do patch
• Locatários do ShareFile hospedados na nuvem: verifique com Progress se seu locatário está na versão corrigida

2. Stryker totalmente operacional após ataque devastador de limpeza de dados em 200K dispositivos

Stryker Corporation, uma das maiores empresas de tecnologia médica do mundo, com operações que abrangem equipamentos cirúrgicos, implantes ortopédicos e logística hospitalar, confirmou que agora está totalmente operacional após um ataque de malware de limpeza que apagou dados de um número estimado 200,000 dispositivos em toda a sua infraestrutura.

Linha do tempo de ataque

• Meados de fevereiro 2026 — Intrusão inicial; os invasores estabelecem persistência na rede interna da Stryker
• Março 3, 2026 — Carga útil do limpador implantada simultaneamente em segmentos globais de fabricação e logística; ~200,000 dispositivos tornados inoperantes
• Março 3 – Março 14 — Resposta a crises; linhas de fabricação interrompidas, atrasos no envio relatados para linhas de produtos cirúrgicos e ortopédicos
• Março 14 – Março 28 — Recuperação em etapas usando imagens limpas, backups e hardware de substituição para dispositivos além da recuperação
• 1 de abril de 2026 — Stryker declara restauração operacional completa

Impacto e Recuperação

O uso de malware de limpeza no ataque — em vez de ransomware — indica que o objetivo principal era perturbação em vez de extorsão financeira. A destruição dos 200,000 dispositivos representou um golpe significativo para a capacidade de produção da Stryker, com atrasos em cascata nas cadeias de fornecimento hospitalar de componentes de substituição de articulações e instrumentos cirúrgicos. A recuperação exigiu uma combinação de recriação completa do sistema operacional a partir de imagens douradas reforçadas, substituição de hardware para dispositivos onde o armazenamento foi sobrescrito fisicamente além da recuperação e reconfiguração manual de milhares de sistemas de produção.

A Stryker não atribuiu publicamente o ataque a um ator de ameaça específico. A análise do comportamento do limpador compartilha características com ferramentas destrutivas anteriormente associadas atores patrocinados pelo estado operando em apoio a objetivos geopolíticos, embora esta atribuição permaneça não confirmada.

Lições principais

• Backups off-line e isolados mostraram-se críticos: dispositivos sem backups desconectados exigiram substituição completa de hardware
• Imagens douradas limpas do sistema operacional aceleraram dramaticamente a recriação de imagens em escala
• A segmentação da rede limitou a propagação lateral da carga útil do limpador
• As lacunas no monitoramento da rede de OT/fabricação permitiram que o tempo de permanência do invasor se estendesse por semanas sem ser detectado

3. Campanha de personificação da CERT-UA entrega malware AGEWHEEZE a 1 milhão de caixas de entrada

A comunidade de segurança cibernética da Ucrânia está respondendo a uma das maiores operações de phishing direcionadas ao país em 2026: uma campanha que personificou de forma convincente CERT-UA - o próprio órgão de resposta a emergências informáticas do governo ucraniano - para entregar uma família de malware anteriormente não documentada, chamada AGEWHEEZE, para mais de um milhão de destinatários.

Técnica de phishing

A campanha utilizou endereços de remetentes falsificados imitando de perto os domínios de e-mail oficiais do CERT-UA, combinados com conteúdo de e-mail que replicava a formatação, a marca e o tom dos avisos de segurança legítimos do CERT-UA. Os destinatários foram instruídos a baixar e executar um “patch de segurança urgente” ou “ferramenta de verificação obrigatória” para uma vulnerabilidade crítica fabricada – uma técnica de engenharia social que explora a relação de confiança entre o CERT-UA e as organizações que normalmente protege.

Os e-mails foram distribuídos em pelo menos três ondas, com linhas de assunto referenciando as atuais tensões geopolíticas e temas ativos adjacentes a conflitos para maximizar a urgência e as taxas de abertura. Os pesquisadores notaram que a lista de segmentação da campanha incluía ucraniano ministérios governamentais, organizações de apoio militar, operadores de infra-estruturas críticas e nações parceiras aliadas na Europa Oriental.

Capacidades de malware AGEWHEEZE

AGEWHEEZE é um implante modular com uma arquitetura em estágios projetada para minimizar o impacto inicial e, ao mesmo tempo, permitir recursos expansivos pós-exploração:

• Estágio 1: Dropper leve que valida o ambiente operacional e sinaliza para C2 para instruções de avançar/não avançar antes de executar mais
• Estágio 2: Backdoor persistente estabelecendo comunicação criptografada através de HTTPS para infraestrutura controlada pelo invasor disfarçada como tráfego legítimo de serviço em nuvem
• Coleta de credenciais: Extrai credenciais salvas de navegadores, clientes de e-mail e Windows Credential Manager
• Keylogging e captura de tela: Capacidade de vigilância contínua, uma vez totalmente implantada
• Movimento lateral: Aproveita credenciais coletadas para propagação baseada em SMB em redes corporativas
• Autoexclusão: Remove artefatos iniciais do dropper após a instalação bem-sucedida do implante

Indicadores de Compromisso (IoCs)

• Domínios de remetente falsificando cert-ua[.]gov[.]ua — procure por typosquats sutis (cert-uaa, cert-u4, certua)
• Nomes de anexos: CERT-UA_Advisory_March2026.exe, security_scanner_v2.zip
• Infraestrutura C2 aproveitando hospedagem à prova de balas em faixas IP não alocadas do Leste Europeu
• HTTPS sinalizando para domínios que imitam os principais provedores de nuvem (padrão azure-cdn-updates[.]net)
• Persistência do registro: HKCU\Software\Microsoft\Windows\CurrentVersion\Run\WinSecService

4. Trojan bancário Casbaneiro retorna com iscas dinâmicas de PDF visando a América Latina e a Europa

Casbaneiro (também conhecido como Metamorfo/Ponteiro), um trojan bancário latino-americano com uma história que remonta a 2018, retornou de uma forma significativamente evoluída. Pesquisadores de segurança identificaram uma campanha ativa usando iscas de PDF geradas dinamicamente como vetor de infecção inicial, substituindo a dependência anterior do grupo de documentos macro maliciosos do Office.

A técnica do PDF dinâmico

A inovação mais notável da campanha é a utilização de geração de PDF do lado do servidor para criar documentos de atração personalizados no momento da entrega. Ao contrário dos PDFs maliciosos estáticos que acionam produtos de segurança através da correspondência de assinaturas, estes documentos são gerados sob demanda e incorporam:

• Detalhes específicos da vítima (nome, banco, números parciais de contas) coletados de violações de dados anteriores, conferindo legitimidade
• Fontes e marcas incorporadas legítimas de instituições financeiras reais para derrotar a inspeção visual
• Integrado JavaScript que explora vulnerabilidades do leitor de PDF ou aciona um prompt de download para um "plugin de segurança necessário"
• Códigos QR redirecionando para infraestrutura controlada pelo invasor, ignorando filtros de reputação de URL que verificam links de e-mail

Regiões e instituições alvo

• Brasil — Alvo primário; grandes bancos de varejo, plataformas de pagamento digital e corretores de investimento personificados
• México, Colômbia, Argentina — Clientes bancários regionais em todas as principais instituições financeiras
• Espanha e Portugal — Expansão europeia alavancando idioma compartilhado e reconhecimento de marca bancária com metas na América Latina
• Itália — Setor bancário italiano visado por meio de um tema de atração separado que faz referência a notificações do INPS (segurança social)

Orientação de detecção

• Sinalize PDFs de entrada com JavaScript incorporado ou inicie ações em gateways de segurança de e-mail
• Alerta sobre processos do visualizador de PDF que geram processos filhos (cmd.exe, powershell.exe, mshta.exe)
• Bloquear links de códigos QR em ambientes de correio corporativo; exigir que os usuários relatem códigos QR suspeitos
• Monitore os padrões característicos de carregamento lateral de DLL do Casbaneiro e a persistência baseada em AutoHotkey
• Casbaneiro normalmente tem como alvo ataques de sobreposição de janela em tela cheia – detecta inicializações inesperadas de aplicativos em tela cheia

5. Malware VBS entregue pelo WhatsApp sequestra Windows via UAC Bypass

Uma campanha de malware recentemente identificada está explorando WhatsApp como canal de entrega para malware Visual Basic Script (VBS) direcionado a sistemas Windows. O ataque aproveita a confiança inerente que os usuários depositam nos arquivos recebidos por meio de mensagens pessoais – especialmente quando parecem originar-se de contatos conhecidos cujas contas foram comprometidas – para contornar o ceticismo de segurança que normalmente sinalizaria anexos de e-mail não solicitados.

Mecanismo de Entrega

As vítimas recebem uma mensagem no WhatsApp de um contato comprometido ou de um número desconhecido, entregando um arquivo compactado (ZIP/RAR) contendo um arquivo VBS disfarçado como um documento, fatura ou arquivo de mídia. Temas de isca comuns incluem:

• Notificações de envio falsas ("Não foi possível entregar seu pacote — veja detalhes")
• Documentos financeiros falsos ("Invoice_March2026.pdf.vbs" com ícone PDF)
• Comunicações governamentais falsificadas (avisos fiscais, notificações de multas)

Cadeia de Exploração

Uma vez executada, a carga útil do VBS executa um ataque em vários estágios:

1. Verificação do ambiente: Valida que está sendo executado em um ambiente de usuário real, não em uma sandbox ou VM de análise
2. Desvio do UAC: Explora uma técnica conhecida de desvio de controle de conta de usuário Windows por meio do fodhelper.exe mecanismo de elevação automática, obtendo privilégios elevados sem exibir um prompt do UAC
3. Persistência: Instala um backdoor baseado em PowerShell na pasta de inicialização Windows e cria uma tarefa agendada para resiliência
4. Sinalização C2: Estabelece conexão de saída HTTPS com a infraestrutura do invasor para entrega de comando e carga útil
5. Exfiltração de dados: Coleta credenciais do navegador, informações do sistema e documentos armazenados localmente

Ações Defensivas

• Treine os usuários de que os arquivos VBS, JS e WSF recebidos por QUALQUER canal (incluindo aplicativos de mensagens) são perigosos
• Configure Windows para bloquear a execução de VBScript por meio de Política de Grupo ou regras WDAC
• Monitorar para fodhelper.exe gerando processos filhos inesperados – um indicador confiável de desvio do UAC
• Alerta sobre tarefas agendadas criadas por mecanismos de script (wscript.exe, cscript.exe)
• Considere implantar regras de redução de superfície de ataque direcionadas à execução de scripts

6. Proxies residenciais alcançam evasão de reputação de IP de 78% em 4 bilhões de sessões

Uma análise abrangente de mais de quatro bilhões de sessões proxy conduzido por pesquisadores de inteligência de ameaças quantificou a escala em que as redes proxy residenciais prejudicam os controles de segurança baseados em IP. As descobertas representam um desafio significativo para as organizações que dependem de feeds de reputação de IP, cercas geográficas e listas de bloqueio como principais mecanismos de defesa.

Escala do problema

Redes proxy residenciais — que direcionam o tráfego de invasores através de conexões de Internet de consumidores involuntários cujos dispositivos foram registrados (geralmente por meio de aplicativos VPN gratuitos obscuros ou malware) — agora são usadas em cerca de 78% dos ataques de preenchimento de credenciais, tomada de conta e web scraping observados no conjunto de dados. Os endereços IP residenciais utilizados são indistinguíveis das conexões de banda larga domésticas legítimas, o que significa:

• Feeds de reputação de IP que sinalizam datacenters e IPs de hospedagem são em grande parte cego para tráfego proxy residencial
• O bloqueio geográfico é trivialmente contornado selecionando nós de saída no país de destino
• A limitação de taxa baseada no endereço IP é derrotada pela rotação entre milhares de IPs residenciais por campanha
• A sessão mediana do proxy residencial dura apenas 8 minutos antes de mudar para um novo IP, evitando bloqueio baseado em tempo

Recomendações de Defesa

A pesquisa ressalta que as defesas centradas em IP devem ser complementadas com sinais comportamentais e em nível de dispositivo:

• Impressão digital do dispositivo: Canvas, WebGL e impressão digital de áudio detectam clientes automatizados reutilizando o mesmo perfil de dispositivo em vários IPs
• Biometria comportamental: Padrões de movimento do mouse, cadência de digitação e comportamento de rolagem identificam bots independentemente da origem do IP
• Impressão digital TLS (JA3/JA4): Ferramentas automatizadas produzem perfis de handshake TLS distintos que não correspondem às distribuições reais do navegador
• Verificação baseada em desafio: Implemente CAPTCHA invisível ou desafios de prova de trabalho para endpoints de alto valor
• Anomalias de velocidade na lógica de negócios: Sinalize padrões incomuns nas ações da conta (tentativas de login de vários estados/cidades diferentes em minutos)

7. Imagem ISO atrai disseminação de RATs e criptomineradores em campanha ativa

Pesquisadores de segurança identificaram uma campanha ativa que explora Arquivos de imagem de disco ISO como um mecanismo de entrega para uma operação de carga dupla: um Trojan de acesso remoto (RAT) para acesso persistente e roubo de credenciais, combinado com um minerador de criptomoedas que monetiza recursos de computação comprometidos.

Método de distribuição

A campanha distribui arquivos ISO através de vários canais simultaneamente:

• E-mails de phishing com anexos ISO disfarçados de instaladores de licença de software, cracks de jogos ou configurações de aplicativos corporativos — gateways de e-mail que inspecionam tipos executáveis ​​comuns (EXE, DLL, SCR) geralmente passam arquivos ISO sem inspeção profunda
• Malvertising sobre pirataria de software e sites de torrent, apresentando ISOs como versões crackeadas de software comercial popular
• Discordância e telegrama comunidades de compartilhamento de software, onde ISOs são postados como coleções legítimas de ferramentas
• Resultados de pesquisa envenenados por SEO levando a páginas de destino falsas de download de software

Quando montado (Windows monta automaticamente arquivos ISO com um clique duplo em Windows 10+), o ISO apresenta uma interface de instalação convincente enquanto descarta e executa silenciosamente o RAT e o minerador. O minerador está configurado para limitar o uso da CPU durante sessões de usuário ativas para evitar detecção, funcionando com capacidade total somente durante períodos ociosos.

Ações Defensivas

• Bloqueie downloads de arquivos ISO no nível do gateway da web para usuários não administrativos
• Desative a montagem automática de ISO por meio da Política de Grupo: Configuração do computador > Modelos administrativos > Componentes Windows > Políticas de reprodução automática
• Alerta sobre picos incomuns de CPU durante períodos inativos esperados — um forte indicador de criptominerador
• Monitore processos gerados a partir de pontos de montagem de unidades virtuais (D:\, E:\ atribuídos dinamicamente)

8. Plataforma Mercor AI atingida pelo comprometimento da cadeia de suprimentos LiteLLM

Mercor, uma plataforma de recrutamento nativa de IA que usa grandes modelos de linguagem para combinar candidatos com oportunidades de emprego, revelou um incidente de segurança rastreado até um comprometimento da cadeia de suprimentos devido à sua dependência do LiteLLM. LiteLLM é uma biblioteca de código aberto popular usada para solicitações de proxy em várias APIs de provedores LLM (OpenAI, Anthropic, Azure OpenAI, etc.) a partir de uma interface unificada.

Natureza do Ataque

Os invasores introduziram código malicioso em uma versão do LiteLLM que foi posteriormente retirada como uma dependência pela infraestrutura de produção da Mercor. A versão do pacote malicioso continha um backdoor que:

• Chaves LLM API exfiltradas (OpenAI, Anthropic, Azure) armazenados no ambiente de aplicação — chaves com implicações significativas de faturamento e acesso a dados
• Solicitações e respostas registradas do LLM, potencialmente capturando informações confidenciais de candidatos enviadas por meio dos recursos alimentados por IA da plataforma
• Tentativa de movimento lateral dentro do ambiente de hospedagem, aproveitando os serviços de metadados do provedor de nuvem para obter credenciais de instância

Risco mais amplo da cadeia de suprimentos de IA

Este incidente destaca uma superfície de ataque emergente e subestimada: o Cadeia de dependência de aplicativos de IA. Somente o LiteLLM é usado por centenas de startups e empresas que criam aplicativos baseados em LLM. Uma única versão comprometida pode impactar simultaneamente dezenas de plataformas downstream, cada uma lidando com dados confidenciais de usuários processados ​​por meio de pipelines de IA.

Ações imediatas para usuários LiteLLM

• Audite a versão atual do LiteLLM em todos os ambientes de produção em relação à lista de versões limpas confirmadas
• Gire todas as chaves LLM API imediatamente se estiver executando uma versão potencialmente afetada
• Revise os controles de acesso de metadados de instâncias de nuvem para evitar roubo de credenciais por meio de endpoints de metadados/SSRF
• Implementar verificação de integridade de pacote (fixação de hash) para todas as dependências de AI/ML
• Considere fazer sandbox de serviços de proxy LLM para limitar seu acesso a variáveis ​​de ambiente confidenciais

Resumo do cenário de ameaças