Pacific News #306: O Coelho e o Gato

Assunto do momento: NodeRabbit e PollCat: os novos malwares que se escondem em desafios de programação 

O que aconteceu? Pesquisadores da Kaspersky identificaram dois novos malwares batizados de NodeRabbit e PollCat. Eles são usados pelo grupo de espionagem Mirage Kitten e são escondidos dentro de falsos "testes técnicos" de recrutamento enviados via LinkedIn.

Por que isso importa? É a primeira vez que o Mirage Kitten é flagrado usando malware em Node.js e JavaScript, abandonando o código nativo (C/C++/Go) que sempre foi sua marca registrada. Isso permite que o código rode em vários sistemas operacionais, como Windows, Linux e MacOS, se camuflando dentro do fluxo de trabalho normal de um dev. 

O prexteto: Um perfil falso de recrutador no LinkedIn oferece uma vaga boa demais para um desenvolvedor recusar. O candidato é convidado a fazer um "teste técnico”, precisando baixar um projeto de código e corrigir alguns bugs, sob um prazo curto, bem similar a um processo seletivo normal, com o link do projeto sendo hospedado em serviços legítimos, como Amazon S3. 

Sim, mas: O projeto entregue é real e funcional, só que conta com um pacote instalado localmente, fora do npm oficial. Assim que o candidato roda o código para testar a correção dos bugs, esse pacote executa um backdoor em segundo plano. A partir daí, o invasor já tem acesso à máquina da vítima e pode executar comandos, ler e escrever arquivos e manter presença mesmo após reinicializações. 

Saiba mais: O malware PollCat se disfarça além do código, com projeto que simula um sistema de login com código OTP que supostamente "expira a cada 30 segundos", fornecido pelo próprio recrutador, aumentando a sensação de urgência pra pressionar a vítima a agir rápido. Mas isso não passa de teatro. O backdoor já começa a rodar em segundo plano antes mesmo de qualquer código ser validado. Leia a pesquisa completa da Kaspersky para mais detalhes.

Milhares de servidores Microsoft Exchange seguem vulneráveis a sequestro de caixas de e-mail

O que aconteceu? A falha CVE-2026-62911, de alta severidade, permite que um atacante com acesso básico ao servidor eleve privilégios e assuma as caixas de e-mail de todos os usuários. Isso inclui ler mensagens, baixar anexos e enviar e-mails em nome das vítimas.

Por que importa? A Shadowserver identificou 21.899 servidores Exchange expostos na internet e ainda sem correção. O maior volume está nos EUA (~6,2 mil) e Alemanha (~5,1 mil). Na Alemanha, estima-se que cerca de 85% dos servidores Exchange on-premises ainda estejam vulneráveis.

Quem está afetado: Exchange Server 2016, 2019 e Subscription Edition (SE). Microsoft corrigiu a falha no Patch Tuesday de agosto. Exchange 2016 e 2019 já dependem do programa de atualizações estendidas, que termina em outubro de 2026.

Conclusão: Organizações que ainda mantêm Exchange 2016 ou 2019 devem evitar exposição direta à internet e acelerar a migração para versões suportadas. A combinação de exploit público + milhares de servidores expostos + impacto total sobre o e-mail corporativo torna a janela de risco especialmente relevante.

Papo Rápido

@Ataques

Um novo malware brasileiro chamado BraZetsu transforma computadores comprometidos em mercadorias para o mercado clandestino de acesso inicial. A ferramenta realiza reconhecimento profundo de empresas na América Latina e Europa e utiliza IA para identificar e priorizar dados e sistemas valiosos, especialmente em ambientes financeiros e corporativos. (GroupIB)

Um grupo de criminosos ligado à Rússia encontrou uma forma de tentar enganar sistemas de segurança que usam IA para analisar malwares. Eles inserem nos arquivos maliciosos falsas instruções sobre armas nucleares para fazer a IA bloquear ou interromper a análise. A técnica foi usada contra um alvo na Ucrânia e pode dificultar a detecção de ataques por ferramentas automatizadas.(TheHackerNews)

@Atualizações

A ServiceNow corrigiu quatro vulnerabilidades, incluindo três falhas críticas de injeção de código com pontuação máxima no CVSS. As falhas podem permitir execução de código, acesso ou alteração de dados, elevação de privilégios e execução de comandos SQL arbitrários sem necessidade de autenticação. A empresa também corrigiu uma quarta vulnerabilidade de escape de sandbox, com CVSS 8,7, e recomenda que clientes auto-hospedados apliquem as correções o quanto antes. (SecurityWeek)

@Mundo

Dois ataques cibernéticos atingiram empresas de saúde nos EUA: na Boston Scientific, sistemas foram comprometidos e novos marca-passos perderam temporariamente o monitoramento remoto; na McKesson, invasores roubaram dados de pacientes por meio de sistemas Snowflake e Salesforce, após obterem acesso ao ambiente por meio de vishing contra diversos funcionários. (TheRegister)

Criminosos na China estão usando o Microsoft Teams e outras plataformas corporativas, como o Webex, para aplicar golpes, se passando por recrutadores, investidores ou possíveis parceiros amorosos. Vítimas relatam perdas de até centenas de milhares de dólares, enquanto os golpistas usam perfis falsos para dificultar sua identificação e o rastreamento das conversas. (Wired)

Quer saber mais? Siga-nos nas redes sociais: Linkedin, Instagram.
Segurança nunca é demais, ainda mais nos dias de hoje.
Compartilhe o conhecimento, espalhe a segurança!

Siga nossa Newsletter e se mantenha atualizado sobre as últimas tendências em Cybersec!

Escrito por: Thaís Hudari Abib, Murilo Lopes e Cíntia Baltar
Arte: George Lopes e Anselmo Costa