Pacific News #301: O Admirável Mundo Novo

Assunto do momento: Falha no Meta Quest permite que atacantes espionem câmera e microfone 

O que aconteceu? Pesquisadores da Mobile Hacking Labs identificaram uma vulnerabilidade no óculos de realidade virtual Meta Quest. Ela acontecia no componente Meta Horizon Shell e permitia a qualquer aplicativo instalado no dispositivo assumir o controle do teclado e mouse virtuais do sistema, sem pedir permissão nenhuma para isso.

Na prática: Isso significa que um app malicioso podia clicar sozinho nos pop-ups de permissão do Android, aceitando automaticamente o acesso às câmeras de passagem, ao microfone e ao armazenamento do headset. Tudo isso acontecia em segundos, sem exigir um único toque do usuário.

O ataque: Um ofensor pode criar um aplicativo malicioso que interage com o componente “GauntletTestPanelActivity”, que não ficava restrito ao sistema do Meta Quest, mas escutava comandos no headset. Com isso, uma sequência de 13 comandos de tecla (como SPACE, TAB e ENTER) eram enviados na velocidade certa, exatamente como se fosse alguém navegando manualmente pelos pop-ups de permissão do Android e clicando em "Aceitar" em cada um. Vale destacar que a vítima precisa ter o aplicativo instalado em seu headset para o ataque funcionar. 

O impacto: Com as permissões concedidas, o aplicativo malicioso era capaz de:

• Tirar fotos do ambiente físico do usuário pela câmera de passagem;
• Gravar áudio ambiente pelo microfone;
• Ler e escrever qualquer arquivo de mídia salvo no armazenamento do headset.

E as permissões concedidas persistem mesmo após reiniciar o aparelho.

Sim, mas: Este ataque é uma prova de conceito criada pelos pesquisadores da Mobile Hacking Lab e não há confirmação que esta vulnerabilidade tenha sido explorada na vida real. A PoC do apk malicioso pode ser conferida no GitHub.

O que fazer? A falha foi reportada em abril de 2026 e a Meta a corrigiu em junho de 2026, na versão 204.0.0.558.431 do Horizon Shell. A recomendação é garantir que o headset esteja atualizado para essa versão ou posterior.

Pesquisadores observam primeiro ataque cibernético quase autônomo conduzido por IA contra alvo governamental em Taiwan

O que aconteceu? Segundo a empresa israelense de cibersegurança Dream, cibercriminosos supostamente ligados à China utilizaram modelos de inteligência artificial de código aberto para conduzir uma operação contra o governo de Taiwan. O episódio seria o primeiro caso publicamente conhecido de um ataque cibernético quase autônomo conduzido por IA contra um alvo governamental.

Por que isso importa? Os atacantes configuraram o sistema para se adaptar ao longo da operação com pouca intervenção humana. A estrutura executava fases dedicadas de pesquisa, chamadas de “Ciclos de Aprendizado”, nas quais a IA consultava autonomamente bancos de dados de vulnerabilidades, repositórios do GitHub e pesquisas de segurança para identificar técnicas aplicáveis à infraestrutura dos alvos. Segundo a Dream, a operação também se expandiu além dos programas inicialmente visados. O sistema passou a analisar, em paralelo, fornecedores da cadeia de suprimentos de TI do governo, uma agência de segurança nuclear, uma plataforma governamental de e-mail e mais de sete empresas do setor de energia, procurando configurações incorretas, interfaces administrativas expostas e vulnerabilidades exploráveis.

O impacto: De acordo com os pesquisadores, os ofensores conseguiram extrair mais de 2.500 registros de funcionários, além de outros dados. A Dream destacou o grau de independência alcançado pelo sistema durante as diferentes etapas da ofensiva.

Saiba mais: Os atacantes teriam utilizado duas estruturas populares de IA de código aberto, Hermes e OpenClaw, para montar a operação. Segundo a Dream, as salvaguardas dos modelos foram contornadas ao apresentar as atividades maliciosas como se fizessem parte de testes de intrusão autorizados.

Papo Rápido

@Ataques

Pesquisadores descobriram que cartões SIM maliciosos podem enviar comandos diretamente ao modem de smartphones e dispositivos IoT, permitindo roubar informações, executar comandos e derrubar conexões. Os ataques também podem afetar carregadores de veículos elétricos, carros conectados e equipamentos industriais. (TechXplore)

Uma nova combinação de malwares Android, WindRelay e SpyNote, está sendo usada em golpes nos quais criminosos se passam por funcionários de bancos, assumem o controle do celular da vítima, contratam empréstimos em seu nome e retransmitem dados de cartões via NFC para realizar compras fraudulentas. Em um caso investigado pela Group-IB, todo o ataque ocorreu durante uma ligação de apenas 13 minutos. (BleepingComputer)

@Patches

Atacantes passaram a explorar uma falha crítica no Microsoft SharePoint após a divulgação de um código de prova de conceito. A vulnerabilidade (CVE-2026-55040) permite burlar a autenticação e se passar por usuários ou administradores, possibilitando o acesso a arquivos e alteração de dados em servidores desatualizados. A Microsoft já disponibilizou a correção em julho, e recomenda-se atualizar o quanto antes. (TheHackerNews)

@Mundo

Uma nova campanha de espionagem chamada PATCHCORD está atacando empresas de telecomunicações do Afeganistão e infraestruturas críticas na Índia e no Sul da Ásia. O malware se disfarça de ferramentas legítimas e usa Google Sheets e GitHub Gists como canais de comando e controle (C2), além de manter persistência no Windows e executar comandos remotamente. (TheHackerNews)

A Trezor, fabricante de carteiras físicas de criptomoedas, confirmou que uma falha em sua empresa de logística expôs dados de mais de 13 mil clientes, incluindo nomes, e-mails, telefones e endereços de entrega de compradores em países como Brasil, EUA e Reino Unido. A empresa afirma que seus sistemas continuam seguros, mas alerta para possíveis golpes de phishing e está criando uma opção de entrega anônima para reduzir esse tipo de risco. (TheRegister)

Quer saber mais? Siga-nos nas redes sociais: Linkedin, Instagram.
Segurança nunca é demais, ainda mais nos dias de hoje.
Compartilhe o conhecimento, espalhe a segurança!

Siga nossa Newsletter e se mantenha atualizado sobre as últimas tendências em Cybersec!

Escrito por: Thaís Hudari Abib, Murilo Lopes e Cíntia Baltar
Arte: George Lopes e Anselmo Costa