Ataques de phishing de código de dispositivo aumentam 37 vezes com 11 novos kits, TA416 vinculado à China tem como alvo governos europeus, LinkedIn BrowserGate verifica mais de 6,000 extensões, Qilin Ransomware atinge o partido político alemão

Os ataques de phishing de código de dispositivo OAuth explodiram 37 vezes em 2026, já que pelo menos 11 kits de phishing como serviço democratizaram a técnica. O TA416 APT da China retoma a espionagem agressiva contra governos europeus com PlugX atualizado. O LinkedIn foi flagrado examinando secretamente mais de 6,000 extensões de navegador. O ransomware Qilin rouba dados do partido alemão Die Linke. O malware de roubo de criptografia SparkCat retorna às lojas de aplicativos iOS e Android.

1. Ataques de phishing de código de dispositivo aumentam 37 vezes – 11 kits PhaaS agora disponíveis

Pesquisadores de segurança da Segurança push documentaram um aumento explosivo no phishing de código de dispositivo, uma técnica que abusa do fluxo de concessão de autorização de dispositivo OAuth 2.0 projetado para dispositivos com entrada restrita, como TVs inteligentes e hardware IoT. O ataque engana as vítimas para que insiram um código de dispositivo gerado pelo invasor em uma página de login legítima da Microsoft, concedendo, sem saber, ao invasor acesso persistente por meio de tokens válidos.

Como funciona o ataque

O agente da ameaça envia uma solicitação de autorização do dispositivo ao provedor de identidade e recebe um código. Esse código é entregue à vítima por meio de iscas de phishing – normalmente páginas com tema SaaS que imitam DocuSign, SharePoint, Microsoft Teams ou Adobe. Quando a vítima insere o código na página de login legítima, o dispositivo do invasor recebe acesso válido e tokens de refresh, ignorando totalmente o MFA.

11 kits de phishing concorrentes

A plataforma de phishing como serviço EvilTokens, documentada pela Sekoia no início desta semana, tem sido o principal impulsionador da adoção convencional. No entanto, a Push Security identificou 10 kits concorrentes adicionais:

• VENENO — Kit de código fechado que oferece recursos de phishing de código de dispositivo e AiTM; parece ser um clone do EvilTokens
• COMPARTILHAR — Iscas com tema Citrix ShareFile com back-ends baseados em nós
• CLURA — Tema SharePoint com endpoints rotativos API na DigitalOcean
• LINKID – Microsoft Teams e atrações temáticas da Adobe com desafios Cloudflare
• AUTOV — Hospedado em workers.dev com entrada de código de dispositivo baseada em pop-up
• DOCUPOLL — GitHub Réplicas de fluxo de trabalho DocuSign hospedadas em páginas
• FLOW_TOKEN – Backend Tencent Cloud com iscas temáticas de RH
• PÁPRICA — Clones de login da Microsoft hospedados no AWS S3 com rodapé falso do Okta
• DCSTATUS — Kit mínimo com iscas genéricas do Microsoft 365
• DOLCE — Implementação provavelmente de equipe vermelha hospedada em PowerApps

Recomendações defensivas

• Desative o fluxo de concessão de autorização de dispositivo por meio de políticas de acesso condicional quando não for necessário
• Monitore eventos inesperados de autenticação de código de dispositivo em logs do provedor de identidade
• Alerta sobre sessões originadas de endereços IP ou geolocalizações incomuns
• Implemente autenticação baseada em FIDO2/chave de acesso sempre que possível
• Treine os usuários para reconhecer iscas de phishing de código de dispositivo

2. TA416, ligado à China, retoma a espionagem do governo europeu com PlugX

Os pesquisadores da Proofpoint documentaram Campanha de espionagem renovada do TA416 contra organizações governamentais e diplomáticas europeias desde meados de 2025. O grupo alinhado à China – que se sobrepõe a DarkPeony, RedDelta, Red Lich, SmugX, UNC6384 e Vertigo Panda – direcionou missões diplomáticas à UE e à OTAN em vários países europeus.

Cadeia de Ataque em Evolução

TA416 evoluiu continuamente suas técnicas de infecção ao longo da campanha:

• Abuso da catraca Cloudflare — Usando páginas de desafio CAPTCHA legítimas para bloquear a entrega de malware
• Exploração de redirecionamento OAuth — Abuso de aplicativos em nuvem Microsoft Entra ID e pontos de extremidade de autorização OAuth para redirecionar as vítimas para domínios controlados pelo invasor
• Abuso de arquivo de projeto C# — Usando o MSBuild para compilar automaticamente arquivos CSPROJ maliciosos que atuam como downloaders PlugX
• Diversificação de hospedagem em nuvem — Hospedagem de arquivos maliciosos no Azure Blob Storage, Google Drive e instâncias comprometidas do SharePoint

Expansão no Oriente Médio

Para além da Europa, o TA416 também lançou campanhas visando entidades diplomáticas e governamentais no Médio Oriente após o conflito EUA-Israel-Irão no final de Fevereiro de 2026, provavelmente em busca de inteligência regional.

Detalhes técnicos

A cadeia de ataque de fevereiro de 2026 baixa arquivos do Google Drive ou de instâncias comprometidas do SharePoint contendo um executável MSBuild legítimo e um arquivo de projeto C# malicioso. O arquivo CSPROJ decodifica três URLs codificados em Base64 para buscar uma tríade de carregamento lateral de DLL de um domínio controlado por TA416, executando PlugX por meio da técnica de carregamento lateral de DLL característica do grupo.

Indicadores e Mitigações

• Monitore execuções inesperadas do MSBuild fora dos ambientes de desenvolvimento
• Bloqueie a infraestrutura TA416 C2 conhecida no nível da rede
• Revise as permissões do aplicativo OAuth no Entra ID para aplicativos de terceiros não autorizados
• Habilite a detecção de rastreamento de bugs da web em gateways de segurança de e-mail
• Alerta sobre padrões de carregamento lateral de DLL envolvendo executáveis ​​legítimos

3. LinkedIn "BrowserGate" — Plataforma Microsoft verifica mais de 6,000 extensões do Chrome

Um relatório dublado "NavegadorGate" por Fairlinked e.V. revela que o LinkedIn da Microsoft está usando JavaScript oculto para verificar os navegadores dos visitantes em busca de extensões instaladas e coletar dados do dispositivo. O BleepingComputer confirmou as afirmações de forma independente, observando um arquivo JavaScript com um nome de arquivo aleatório carregado pelo site do LinkedIn que verificava 6,236 extensões de navegador.

O que o LinkedIn coleta

• Extensões de navegador — Verifica 6,236 extensões, incluindo mais de 200 ferramentas de vendas concorrentes (Apollo, Lusha, ZoomInfo)
• Contagem de núcleos da CPU e memória disponível
• Resolução da tela e fuso horário
• Configurações de idioma e status da bateria
• Informações de áudio e recursos de armazenamento

Escopo crescente

A verificação de extensões tem aumentado: de aproximadamente 2,000 extensões em 2025, para 3,000 há dois meses, para as atuais 6,236. Além das extensões relacionadas ao LinkedIn, o script também detecta ferramentas de linguagem, extensões gramaticais, ferramentas fiscais profissionais e recursos aparentemente não relacionados.

Preocupações com Inteligência Competitiva

O relatório alega que o LinkedIn usa esses dados para mapear quais empresas usam produtos concorrentes, extraindo efetivamente listas de clientes concorrentes dos navegadores dos usuários. O LinkedIn supostamente enviou ameaças de aplicação a usuários de ferramentas de terceiros com base em dados obtidos por meio de varredura secreta.

Resposta do LinkedIn

O LinkedIn não contesta a detecção de extensões, mas afirma que a prática serve para proteção da plataforma. A empresa afirma que a conta do autor do relatório foi banida por raspagem e violação dos termos de serviço. O LinkedIn afirma que a detecção de extensões ajuda a identificar ferramentas que coletam dados sem o consentimento dos membros.

4. Qilin Ransomware rouba dados do partido político alemão Die Linke

O Grupo de ransomware Qilin assumiu a responsabilidade por um ataque contra Morre Linke (A Esquerda), um partido político socialista democrático alemão atualmente representado no Bundestag com 64 membros e 123,000 membros registrados. O ataque de 27 de Março forçou uma interrupção dos sistemas informáticos na sede do partido.

O que foi roubado

• Dados internos confidenciais dos sistemas de organização partidária
• Informações pessoais dos funcionários da sede
• O banco de dados de membros foi não comprometido — os invasores não conseguiram obter dados dos membros

Dimensões Políticas

Die Linke descreveu os atacantes como cibercriminosos de língua russa com motivações financeiras e políticas, afirmando que o ataque "não parece ser coincidência". O partido caracterizou os ataques de ransomware contra organizações políticas como “parte de uma guerra híbrida” e “um ataque a infraestruturas críticas”. Grupos ligados à Rússia já tinham como alvo os partidos políticos alemães – em 2024, o APT29 teve como alvo a CDU com o backdoor WineLoader.

Ações de resposta

• Autoridades alemãs notificadas e queixa criminal apresentada
• Especialistas independentes em TI contratados para restauração do sistema
• Qilin listou Die Linke em seu site de vazamento em 1º de abril, sem publicar amostras de dados
• Ameaça de vazamento de dados sendo usada como pressão para extrair pagamento de resgate

5. Malware SparkCat para roubo de criptografia retorna às lojas de aplicativos iOS e Android

Os pesquisadores da Kaspersky descobriram um nova versão do malware SparkCat na Apple App Store e na Google Play Store, mais de um ano após o trojan ter sido documentado pela primeira vez. O malware se esconde em aplicativos aparentemente benignos – mensageiros empresariais e serviços de entrega de comida – enquanto escaneia silenciosamente as galerias de fotos das vítimas em busca de frases de recuperação de carteiras de criptomoedas.

Evolução Técnica

• Virtualização de código — Novas camadas de ofuscação tornam a análise significativamente mais difícil
• Linguagens multiplataforma — Evita ferramentas de análise tradicionais
• Extração baseada em OCR — Usa reconhecimento óptico de caracteres para identificar frases iniciais da carteira em capturas de tela
• Segmentação multilíngue — A versão Android verifica palavras-chave em japonês, coreano e chinês; A variante iOS verifica frases mnemônicas em inglês para um alcance mais amplo

Escopo e Atribuição

A Kaspersky encontrou dois aplicativos infectados na App Store e um no Google Play, visando principalmente usuários de criptomoedas na Ásia. A operação é atribuída a uma operadora de língua chinesa. A varredura em inglês da variante iOS torna seu alcance potencialmente mais amplo, afetando usuários globalmente, independentemente da região.

Proteções do usuário

• Nunca capture ou fotografe frases de recuperação de carteira de criptomoeda
• Revise as permissões do aplicativo – desconfie de solicitações de acesso à galeria de fotos de aplicativos não relacionados
• Use soluções de segurança móvel que verificam assinaturas de malware conhecidas
• Armazene frases-semente off-line usando apenas mídia física

Resumo do cenário de ameaças