CVE-2025-40551 (SolarWinds Web Help Desk) permite RCE sem autenticação; Shadowserver mapeou ~170 instâncias expostas, CISA incluiu a falha no catálogo KEV e SolarWinds lançou a versão 2026.1.
Pesquisadores relatam campanha ligada a atores russos que explora vulnerabilidade no Microsoft Office para visar organizações marítimas e de transporte na Europa; reportagem não divulga CVE nem IoCs.
Relatos técnicos mostram que configurações do VS Code são executadas automaticamente em GitHub Codespaces ao abrir repositórios ou PRs, criando risco de execução de código malicioso. Recomendações incluem revisar devcontainer e desabilitar execução automática em ambientes gerenciados.
Pesquisadores descobriram uma rede de mais de 150 domínios clonando sites de escritórios de advocacia com auxílio de IA, usando Cloudflare e rotação de IP para escapar de bloqueios. A campanha visa ganhar credibilidade em golpes de engenharia social.
Investigação pública reporta comprometimento de ao menos 70 instituições em 37 países, com acessos mantidos por meses; em um país houve acesso a parlamento e a um alto representante eleito. As divulgações públicas não incluem todos os IoCs ou TTPs para validação independente.
Pesquisadores identificaram que o cluster ShadowSyndicate passou a usar um método de "server transition" para rotacionar chaves SSH entre servidores, dificultando rastreamento. Três fingerprints principais e pelo menos 20 servidores C2 foram correlacionados a frameworks e grupos de ransomware conhecidos.
A fintech Betterment confirmou que sistemas foram violados em janeiro, resultando na exposição de cerca de 1,4 milhão de contas e na divulgação de e‑mails e outras informações pessoais. A matéria não detalha vetores, IOCs ou a extensão dos dados além dos e‑mails.
A Microsoft passou a oferecer o Sysmon como recurso nativo no Windows 11 Insider Preview (build 26300.7733, KB5074178). A funcionalidade vem desativada por padrão, exige desinstalar a versão legada e permite configuração via XML; grava eventos no Windows Event Log para integração com SIEMs.
O governo da Itália informou ter impedido uma série de ataques cibernéticos que, segundo autoridades, teriam ligação com atores russos e tinham como alvos sites dos Jogos de Inverno e escritórios do Ministério das Relações Exteriores, incluindo uma representação em Washington. A matéria não traz evidências técnicas públicas sobre vetores, IOCs ou exfiltração.
Pesquisadores da Unit42 detectaram um kit de phishing que cria portais falsos de pagamento de multas para colher PII e dados de cartão. Mais de 70 domínios apontavam para um único IP; infraestrutura usa 45.156.87.0/24. Recomendações incluem digitar URLs oficiais, habilitar alertas de cartão e aplicar DNS filtering.
Advisory descreve CVE‑2026‑20098 em Cisco Meeting Management (≤3.12) que permite upload de arquivos não validados e execução como root. A Cisco recomenda atualização imediata para 3.12.1 MR; não há workarounds oficiais. Vulnerabilidade foi reportada pelo NATO Cyber Security Centre.
Uma nova onda de spam está sendo gerada por instâncias mal configuradas do Zendesk, com usuários reportando centenas de emails automáticos e assuntos como “Activate account...”. Equipes de segurança devem revisar automations, triggers e integrações para conter disparos e mitigar risco de phishing e ruído operacional.
Unit 42 observou que o grupo KongTuke passou a usar registros DNS TXT como mecanismo de staging no esquema ClickFix: o snippet executado pelo usuário consulta TXT records para obter o comando que dispara um PowerShell malicioso. A técnica dificulta detecção por ferramentas que não inspecionam DNS ou correlacionam logs de execução.
Gen Threat Labs descreve uma cadeia de malvertising que usa anúncios pagos do Facebook para redirecionar usuários a um kit de scam hospedado em Azure. Os atacantes rotacionaram >100 domínios em sete dias e usaram um site isca como buffer. Recomendações incluem monitorar redirecionamentos de anúncios, bloquear domínios recém‑registrados e revisar campanhas de ad ops.
DesckVB RAT v2.9 combina um stager WSH ofuscado, um estágio PowerShell com checagens anti‑análise e um loader .NET que executa em memória. Sua arquitetura plugin‑based permite entrega dinâmica de keylogger, webcam e módulos AV‑enumerator. Recomendações: restringir wscript.exe, habilitar logging do PowerShell e usar EDR com telemetria de execução em memória.