O sinal desta manhã é feio, mas claro. Os ataques de identidade ainda são a forma mais barata de entrada, o escalonamento no nível do hardware está se tornando mais prático, as equipes de ransomware continuam refinando a evasão da defesa e os antigos operadores estão finalmente sendo nomeados. Os defensores deveriam gastar hoje em proteção MFA, controle de driver e contenção rápida, não em painéis personalizados.
A notícia principal é uma campanha de pulverização de senhas ligada ao Irã que atingiu mais de 300 organizações Microsoft 365 em Israel, com alvos de repercussão na Europa, nos EUA, no Reino Unido, na Arábia Saudita e nos Emirados Árabes Unidos. Isso é importante porque a pulverização de senhas permanece embaraçosamente eficaz contra propriedades de nuvem que ainda toleram senhas fracas, acesso condicional permissivo ou aplicação irregular de MFA.
Ao mesmo tempo, os pesquisadores detalharam o GPUBreach, uma técnica de rowhammer em GPU que pode corromper a memória GDDR6, adulterar tabelas de páginas da GPU e potencialmente comprometer totalmente o sistema por meio de bugs de driver NVIDIA. Isso não é apenas uma curiosidade de laboratório. É um sinal de alerta para as equipes que apostam fortemente na infraestrutura de aceleradores compartilhados para cargas de trabalho de IA.
A Check Point vinculou três ondas de ataque de março a um operador ligado ao Irã usando pulverização de senhas do Tor e da infraestrutura VPN comercial. A campanha supostamente se concentrou em organizações governamentais, municipais, de tecnologia, transporte, energia e do setor privado, tendo o roubo de dados de caixas de correio como um objetivo provável.
A lição é chata e brutal. A pulverização de senhas continua funcionando porque muitos locatários ainda permitem protocolos legados, restrições geográficas fracas, contas de serviço obsoletas e MFA inconsistentes. Se sua camada de identidade estiver frouxa, um invasor não precisará de uma exploração, apenas de paciência.
Pesquisadores da Universidade de Toronto mostraram que as inversões de bits no GDDR6 podem corromper tabelas de páginas da GPU e fornecer acesso arbitrário de leitura e gravação da memória da GPU para um kernel CUDA sem privilégios. A partir daí, bugs de driver recém-descobertos podem permitir um salto em direção a um comprometimento mais amplo do host, mesmo com o IOMMU habilitado.
Isso deve preocupar qualquer equipe que execute frotas de GPU compartilhadas para treinamento de IA, inferência ou pesquisa multilocatário. GPUs de consumo sem ECC parecem particularmente expostas. As histórias de isolamento de hardware em torno das pilhas de IA não são maduras o suficiente para serem confiáveis cegamente.
A polícia federal alemã identificou dois cidadãos russos como líderes do GandCrab e do REvil e os vinculou a pelo menos 130 casos de extorsão na Alemanha. Identificar publicamente os atores anos mais tarde não irá desfazer os danos, mas aumenta o custo da reciclagem aberta de infraestruturas antigas, de marcas antigas e de antigas redes de confiança de afiliados.
O valor estratégico é a pressão, não o encerramento. Os ecossistemas de ransomware sobrevivem com a crença de que os operadores podem desaparecer no mito. A atribuição pública prejudica esse escudo, mesmo quando as prisões demoram.
Cisco Talos e Trend Micro descreveram as campanhas Qilin e Warlock, que usam técnicas BYOVD (traga seu próprio driver vulnerável), cargas úteis na memória, supressão de ETW e encerramento de processo em mais de 300 drivers EDR. Em linguagem simples, os grupos estão dedicando seu tempo silenciando seus sensores antes de detonar suas cargas.
Essa é a verdadeira lição operacional desta manhã. As invasões de ransomware maduro não são mais ataques oportunistas e imediatos. São campanhas de preparação silenciosas. Se você medir apenas a prontidão do ransomware no momento da criptografia, estará medindo o estado de falha.
Primeiro, revise a telemetria de login para verificar se há pulverização lenta de senhas, viagens impossíveis e falhas repetidas em muitas contas usando um pequeno conjunto de senhas. Em segundo lugar, restrinja o acesso condicional e elimine a autenticação legada, se ela ainda existir. Terceiro, valide as regras de bloqueio de driver e as proteções contra adulteração de EDR nos endpoints mais importantes.
Finalmente, se você opera uma infraestrutura de IA apoiada por GPU, trate os hosts aceleradores como ativos críticos. Separe os locatários, prefira hardware compatível com ECC sempre que possível, reforce a higiene de atualização de drivers e pare de fingir que a camada de IA está magicamente isolada do resto da propriedade.
Transforme as manchetes de hoje em ação.
KENSAI ajuda as equipes de segurança a transformar relatórios de ameaças em validação concreta, triagem mais rápida e evidências de que os controles ainda funcionam sob pressão.
Comece sua verificação gratuita →