LTX Stealer é um info‑stealer baseado em Node.js identificado em 2026. O instalador empacota o runtime Node.js, extrai chaves de navegadores Chromium e exfiltra senhas, cookies e carteiras. Pesquisadores recomendam bloquear IoCs, detectar binários grandes e monitorar acessos a "Local State".
Roundcube corrigiu uma vulnerabilidade em seu sanitizador HTML que permitia carregar recursos remotos via SVG (<feImage>), comprometendo a opção de bloquear imagens remotas. As versões 1.5.13 e 1.6.13 incluem o patch; administradores self-hosted devem atualizar imediatamente.
Autoridades de Cingapura atribuíram a um grupo ligado à China uma campanha direcionada contra as quatro principais operadoras de telecomunicações do país. A ação foi classificada como espionagem sofisticada; a matéria não traz IoCs ou detalhes técnicos sobre vetores e medidas corretivas, indicando investigação em andamento.
A ferramenta RecoverIt modifica configurações de recuperação de serviços do Windows (FailureCommand/FailureActions) para executar payloads após falhas, evitando detecção que monitora apenas ImagePath. Detectar requer monitorar mudanças nessas chaves e processos-filhos de services.exe.
Pesquisadores relatam aumento de APTs que exploram vulnerabilidades em dispositivos de borda (firewalls, roteadores, VPNs) para obter persistência. Operações em 2025 somaram 510 casos documentados; TeamT5 identificou 27 vulnerabilidades críticas no ano.
Microsoft investiga um problema em Exchange Online que está marcando e movendo mensagens legítimas para quarentena. Não há detalhes públicos sobre escala ou causa; equipes devem auditar quarentenas e contatar suporte.
Pesquisa publica PoC de minifilter (Sanctum/fs_minifilter) que intercepta eventos de escrita e renomeação no Windows para detectar padrões de ransomware, incluindo renomeações para extensões ligadas a IOCs e análise de entropia. Projeto inclui simulador em Rust e propostas de melhorias.
Autoridades da Comissão Europeia identificaram sinais de um incidente em sistemas de Mobile Device Management (MDM). A publicação pública é limitada: não há confirmação de escopo, IOCs ou exploração de dados. A investigação está em curso.
Fortinet divulgou CVE-2026-21643, uma SQL Injection em FortiClientEMS (CVSSv3 9.1) que pode permitir execução remota sem autenticação. A Fortinet recomenda atualizar 7.4.4 para 7.4.5; FortiEMS Cloud e branches 8.0/7.2 não são afetadas. Ainda não há provas públicas de exploração ativa.
Campanha identificada pela Morphisec ativa repositórios GitHub reativados para distribuir PyStoreRAT, um loader persistente que entrega stealers (ex.: Rhadamanthys) e adapta sua execução quando detecta produtos de segurança. Alvo declarado: administradores de TI e profissionais de OSINT. Recomendações incluem defesa comportamental e bloqueio de execução de scripts não verificados.
SlowMist e Koi Security identificaram centenas de skills maliciosas no marketplace ClawHub do OpenClaw. Atacantes esconderam comandos Base64 em SKILL.md que acionavam curl|bash para baixar stealers (ex.: Atomic macOS Stealer), exfiltrando Keychain e pastas do usuário. Pesquisas listam domínios, IPs e hashes como IOCs.
Symantec observou campanhas do Black Basta que embutem um driver vulnerável (NsecSoft NSecKrnl) no próprio payload para neutralizar soluções de segurança (BYOVD). A exploração associada ao CVE‑2025‑68947 permite requisições I/O control maliciosas para terminar agentes de proteção, facilitando a criptografia sem bloqueio pelos EDRs.
Campanha de phishing observada pela Cyfirma manipula fluxos legítimos de autenticação do Telegram para obter sessões autorizadas sem roubar senhas. Páginas hospedadas em domínios efêmeros direcionam o usuário a aprovar prompts no app, criando acesso persistente. Não há evidência de exploração em servidores do Telegram; trata‑se de abuso de fluxo de autorização e engenharia social.
Relatos apontam exploração ativa de CVE‑2026‑21509 em Microsoft Office por um grupo associado à Rússia (APT28) para distribuir o framework Covenant via documentos de phishing. O ataque emprega WebDAV, COM hijacking e usa Filen.io como C2; o CERT‑UA recomenda mitigação por registro e bloqueio de IOCs.
A infraestrutura de hospedagem previamente usada pelo Notepad++ foi comprometida entre junho e dezembro de 2025, redirecionando atualizações a servidores maliciosos. O projeto lançou a versão v8.8.9 com validações fortalecidas e anunciou futura exigência de XMLDSig. A matéria não traz IOCs nem estimativa de vítimas; equipes devem atualizar e aguardar dados técnicos adicionais.