Pacific News #310: O Flautista

Assunto do momento: Falha na Steam pode elevar privilégios locais no Windows

O que aconteceu? O pesquisador de cibersegurança “KillaBoi” publicou em seu GitHub a prova de conceito intitulada “BrokenPipe”, com o potencial de elevar um usuário comum do Windows a NT AUTHORITY\SYSTEM através do Steam Client Service, sem UAC e sem credenciais de admin. 

Por que isso importa? Malwares comuns, infostealers e RATs costumam buscar exatamente esse tipo de brecha para escalar privilégios depois de um primeiro acesso. Como o Steam está instalado em milhões de máquinas, a superfície de ataque é grande. 

O teste: A prova de conceito foi validada na versão 10.96.30.42 do Steam, em Windows 10 e 11 de 64 bits. Não é preciso estar logado na Steam nem ter um jogo aberto. 

O ataque: O exploit conecta ao serviço do Steam sem privilégios de admin e usa a função IClientInstallUtils::AddInstallScriptToWhiteList, combinando um arquivo de instalação genuinamente assinado pela Valve com um caminho de instalação controlado pelo atacante. A assinatura é válida, mas não cobre esse caminho. Isso faz o serviço, que roda como SYSTEM, executar um launcher realocado com privilégios totais. O pesquisador reforça que não há forja nem quebra da assinatura, apenas uma lacuna no que ela cobre. 

Sem correção até agora: Não há patch disponível. A recomendação de segurança é monitorar processos SYSTEM inesperados originados pelo serviço do Steam. 

Saiba mais: O que temos até aqui é o repositório do pesquisador no GitHub e a cobertura da CyberInsider, que também não obteve resposta da Valve. Não há confirmação independente de terceiros nem um CVE atribuído até o momento, e não foram registrados casos de exploração real até agora. Vale tratar a gravidade com cautela, afinal, trata-se de uma PoC divulgada por um único pesquisador, ainda sem validação oficial da fabricante.

Quando Inteligência Artificial, crimes e armas biológicas se encontram

O que aconteceu? A Anthropic publicou um relatório de inteligência sobre o uso malicioso do Claude. Entre dezembro de 2025 e agosto de 2026, a empresa identificou e interrompeu operações envolvendo ataques cibernéticos, espionagem, campanhas de influência, desenvolvimento de armas biológicas e tentativas de extrair as capacidades do Claude para treinar outros modelos.

Por que isso importa? A IA já está sendo incorporada em diferentes etapas de operações criminosas, reduzindo o esforço necessário para executar tarefas que antes exigiam conhecimento especializado. E o problema vai além do Claude: modelos concorrentes e sistemas de IA open source com menos restrições podem ampliar ainda mais esse cenário

O risco biológico: A Anthropic identificou cinco casos em que o Claude foi usado em pesquisas que poderiam apoiar o desenvolvimento de armas biológicas, incluindo estudos sobre vírus com potencial pandêmico e toxinas. Nos casos analisados, os usuários tentaram contornar as regras dos modelos acessados ou tentaram ocultar a finalidade da pesquisa. A empresa espera que a divulgação desses casos estimule o debate entre a indústria de IA e governos sobre os riscos biológicos emergentes e como contê-los.

Os ataques: Grupos estatais e criminosos usaram o Claude em diferentes etapas de operações cibernéticas, incluindo reconhecimento, invasão de redes, roubo de dados e extorsão. A Anthropic também identificou o uso do modelo em operações de vigilância e em campanhas de desinformação e influência política em países como Quênia e Bangladesh.

Alimentando outras IAs: Laboratórios de IA tentaram usar o Claude para gerar grandes volumes de dados e extrair suas capacidades por meio de distillation(técnica que usa as respostas de um modelo para treinar outro). A Anthropic atribuiu essas operações a empresas como Alibaba, Moonshot, DeepSeek, Zhipu e Xiaomi, com algumas campanhas envolvendo milhões de interações.

O cenário:  A Anthropic afirmou ter interrompido os casos identificados, mas reconhece que os atacantes aprimoram constantemente suas técnicas para contornar restrições e explorar novas formas de uso dos modelos. O objetivo é que o relatório ajude desenvolvedores a reconhecerem padrões semelhantes em suas plataformas e a fortalecerem a defesa coletiva contra ameaças emergentes.

Papo Rápido

@Ataques

Uma campanha de varredura em massa detectada em agosto explorou a CVE-2026-39364, falha no Vite (ferramenta popular em ambientes de desenvolvimento front-end), para extrair credenciais de AWS e Azure, arquivos de configuração e dados de infraestrutura de servidores de desenvolvimento expostos à internet. Muitos desenvolvedores expõem o servidor Vite acidentalmente via Docker ou flags de configuração sem perceber que estão abrindo uma porta para o ambiente de produção na nuvem.  (TheHackerNews)

A conta oficial da HBO Max no Reddit foi comprometida e usada para divulgar mais de 100 anúncios maliciosos com golpes ClickFix contra dispositivos Windows e macOS. As vítimas eram direcionadas a páginas falsas que instruíam a execução de comandos capazes de instalar malwares para roubar informações, credenciais e criptomoedas. A operação fazia parte de uma campanha de publicidade maliciosa de 48 horas que explorou marcas conhecidas, como HBO Max e OpenAI, para tornar os golpes mais convincentes. (TheRegister)

Um invasor comprometeu o site do Admin Menu Editor Pro e distribuiu versões maliciosas do plugin para WordPress. As versões 2.35 e 2.36 criavam contas ocultas e instalavam um backdoor. Pelo menos 230 clientes instalaram as versões em cerca de 1.500 sites. A versão gratuita não foi afetada e a 2.34 é considerada segura. Usuários afetados devem restaurar um backup anterior a 14 de setembro ou excluir o plugin, o diretório /wp-content/object-cache/ e as entradas maliciosas do banco de dados. (BleepingComputer)

@Atualizações

A Cisco alertou sobre uma falha crítica no Secure Email Gateway(CVE-2026-76461) que já está sendo explorada por criminosos. A falha permite o envio de emails maliciosos e execução de comandos com privilégios de root, sem precisar de autenticação. São afetadas algumas versões do AsyncOS e já existem correções disponíveis. Não há alternativa além de atualizar o sistema. A CISA também adicionou a falha ao catálogo de vulnerabilidades exploradas e determinou que órgãos federais dos EUA façam a correção até 17 de setembro.(TheHackerNews)

@Mundo

Um tribunal de Zurique condenou a quase 13 anos de prisão o desenvolvedor ucraniano responsável pelo código por trás dos ransomwares LockerGoga, MegaCortex e Nefilim, com operações que atacaram mais de 1.800 alvos em 71 países. A sentença reforça que escrever o código de ransomware, mesmo sem liderar os ataques, já é suficiente para uma condenação pesada na Europa. O suposto mentor das três operações, Volodymyr Tymoshchuk, ainda está foragido e com recompensa de US$11 milhões. (TheRegister)

Quer saber mais? Siga-nos nas redes sociais: Linkedin, Instagram.
Segurança nunca é demais, ainda mais nos dias de hoje.
Compartilhe o conhecimento, espalhe a segurança!

Siga nossa Newsletter e se mantenha atualizado sobre as últimas tendências em Cybersec!

Escrito por: Thaís Hudari Abib, Murilo Lopes e Cíntia Baltar
Arte: George Lopes e Anselmo Costa