Pacific News #308: O Inimigo da Vizinhança

Assunto do momento:  Um grupo de ameaças está alvejando instituições financeiras brasileiras

O que aconteceu? O Slim Spider, um grupo de ameaças cibernéticas até então não documentado, está atacando instituições financeiras brasileiras desde pelo menos março de 2026, mirando a infraestrutura financeira como um todo, sistema de pagamento pix e até criptomoedas. 

Por que isso importa? O Slim Spider não apenas tem por objetivo comprometer os sistemas, mas sim chegar cada vez mais perto dos ativos financeiros. O grupo tem atividades registradas no Brasil e no restante das Américas, com um alto domínio da infraestrutura financeira brasileira, incluindo o serviço de pagamento Pix, plataformas de ativos digitais e ambientes de nuvem de entidades financeiras. 

Táticas, técnicas e procedimentos: O grupo desenvolveu scripts personalizados em Bash para consultar metadados de instâncias na nuvem e roubar credenciais temporárias. Com o acesso inicial, executam uma extensa enumeração de segredos armazenados no ambiente, buscando qualquer ligação destes segredos com ativos financeiros diversos. Para garantir movimentação lateral, estabelecem acesso a nós rodando em cluster de serviço de containers na nuvem, implantando backdoors que imitam binários de infraestrutura legítima para se camuflar. 

Criptomoedas: Em casos onde há presença de ativos digitais, o Slim Spider usa o toolkit Foundry Ethereum para derivar o endereço da carteira Ethereum associado a uma chave privada roubada, implementando assinatura criptográfica nativa, aumentando as chances de evasão. 

As ferramentas: Diferentes etapas da operação são automatizadas. Usam o NEXUS para varrer e classificar as APIs em diversas categorias (fintech, banking, cripto, etc). Também usam um Painel Pix projetado para executar transferências Pix em massa não autorizadas a partir de contas comprometidas. Já em seus alvos, o MikeDor é o backdoor escolhido para coletar informações sensíveis, manter persistência e monitorar a atividade das vítimas. 

Não é um caso isolado: Outro grupo de língua portuguesa, o Breeze Comet (também rastreado como CL-CRI-1163, Plump Spider e SHADOW-AETHER-064), mira organizações financeiras brasileiras desde 2024. Segundo Google Threat Intelligence Group e Mandiant, o objetivo é obter acesso aos sistemas de pagamento das vítimas para executar transações fraudulentas via Pix, Boleto e Sistema de Transferência de Reservas. O grupo já abusou de sites governamentais brasileiros mal protegidos para hospedar malware, e tentou replicar essa fórmula em municípios de outros países, como Nigéria, Paraguai, Gana e Venezuela.

TVs LG podem te espionar mesmo estando desligadas

O que aconteceu? Uma investigação que contou com a participação da Gamers Nexus, pesquisadores de segurança independentes e a Level1Techs apontou que TVs OLED da LG fazem varreduras locais na rede e fazem captação e armazenagem do áudio pelo microfone mesmo em modo standby ou com a tela desligada. 

Por que isso importa? De acordo com a investigação, uma Smart TV na sua sala pode mapear todos os arredores, como quem mora na casa, quais aparelhos são conectados na rede e toda a conversa das pessoas no ambiente. Esses dados podem ser usados posteriormente de diversas maneiras, como para alimentar publicidade direcionada.

Os testes: Encabeçados por Steve Burke, da Gamer Nexus, eles aconteceram em modelos de varejo e mostraram as TVs identificando smartphones e outros dispositivos inteligentes conectados na rede, além de catalogar nomes e força de sinal das redes WiFi de vizinhos, criando um verdadeiro mapa dos arredores. Além da rede, os pesquisadores viram que todo o áudio ambiente também foi gravado, comportamento que se repetiu mesmo com o cabo Ethernet desconectado e a tela da TV desligada. Nesse caso, o áudio seria enviado para os servidores da LG assim que a TV se conectar à internet.

Com a palavra, o especialista: Pieter Arntz, pesquisador de inteligência de malware na Malwarebytes, disse que o problema vai além da marca, mencionando que smartTVs são, na prática, computadores conectados à internet com microfone, loja de aplicativos e sistema de publicidade, mas não são tratados com o mesmo cuidado de segurança cibernética como são computadores e celulares. Na opinião de Pieter, os fatos justificam tratar a TV como um dispositivo sensível. 

O que diz a marca? A LG afirmou publicamente que suas TVs não coletam, gravam ou armazenam conversas do ambiente. Além disso, dizem que os recursos de reconhecimento de voz são opcionais e precisam ser ativados pelo usuário. Desde a pesquisa da Gamer Nexus, entretanto, a LG não se manifestou publicamente sobre os achados.

Papo Rápido

@Ataques

Um serviço de phishing-as-a-service chamado BigBear 2.0 contornou o MFA em 258 organizações e roubou mais de 5 mil credenciais do Microsoft 365, afetando vítimas em mais de 40 países. Entre as medidas recomendadas estão revogar sessões e tokens e adotar métodos de autenticação resistentes a phishing como FIDO2/WebAuthn. (BleepingComputer)

Pesquisadores de cibersegurança descobriram um worm no aplicativo WeChat capaz de sequestrar contas no Android e iPhone apenas com uma chamada recebida, sem requerer interação da vítima. O worm também se propaga pelos contatos. A Tencent, silenciosamente, corrigiu a falha, mas ainda podem existir versões vulneráveis e desatualizadas. (TheHackerNews)

@Atualizações

A Adobe lançou uma correção de emergência para a CVE-2026-75650, um zero-day de altíssima severidade, apelidado de “StyleSmuggler”, que impactou versões múltiplas do Magento e Adobe Comerce. Essa falha foi explorada para implantar backdoors em diversos websites vulneráveis. A orientação é atualizar para a versão mais recente de forma imediata. (BleepingComputer)

@Mundo

Uma falha de segurança expôs 220 milhões de registros de passageiros e tripulantes ligados a viagens pelo Vietnã, incluindo informações de identidade, passaporte e vôos. O banco de dados, que reunia registros de 2017 a 2026, ficou exposto por uma combinação de configurações de segurança incorretas e só foi protegido após alerta de pesquisadores. (BleepingComputer)

A fiscalização britânica (NAO) publicou um relatório apontando sobre como ataques cibernéticos são hoje a principal ameaça à cadeia de suprimento de alimentos no Reino Unido, trazendo ataques como o executado em desfavor do Co-op em 2025, onde 6,5 milhões de membros tiveram dados roubados e ao Mark & Spencer, com prejuízo médio de 136 milhões de libras. O pedido é que o governo reforce a preparação junto à indústria antes que um novo incidente aconteça. (TheRegister)

Quer saber mais? Siga-nos nas redes sociais: Linkedin, Instagram.
Segurança nunca é demais, ainda mais nos dias de hoje.
Compartilhe o conhecimento, espalhe a segurança!

Siga nossa Newsletter e se mantenha atualizado sobre as últimas tendências em Cybersec!

Escrito por: Thaís Hudari Abib, Murilo Lopes e Cíntia Baltar
Arte: George Lopes e Anselmo Costa