66 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a edr.
Malwares modernos como o LummaC2 usam análise trigonométrica do movimento do mouse e camuflagem de tráfego para detectar sandboxes de antivírus e evadir detecção, exigindo defesas comportamentais avançadas como EDR e XDR.
Pesquisadores descobriram falha crítica no Live Terminal do Cortex XDR que permite a atacantes usar a ferramenta legítima de EDR como canal de C2 silencioso. A exploração, ainda ativa, não requer ferramentas externas e mistura-se ao tráfego normal, representando alto risco para empresas que utilizam a solução.
Pesquisadores da esentire detalharam campanhas do Prometei que visam servidores Windows via RDP, implementando persistência como serviço "UPlugPlay", módulos de roubo de credenciais (Mimikatz) e comunicação via TOR. A recomendação é reforçar MFA, reduzir exposição RDP, e usar EDR e detecção comportamental com YARA fornecida para caça a artefatos.
Microsoft liberou correção para CVE‑2026‑21513, um zero‑day no MSHTML (CVSS 8.8) que estava sendo explorado em ataques reais. A falha permite contornar prompts de segurança em Windows 10/11 e Server, requer engenharia social e não exige privilégios elevados. CISA adicionou o CVE ao catálogo de Exploited Vulnerabilities; organizações devem aplicar patches imediatamente.
A ferramenta RecoverIt modifica configurações de recuperação de serviços do Windows (FailureCommand/FailureActions) para executar payloads após falhas, evitando detecção que monitora apenas ImagePath. Detectar requer monitorar mudanças nessas chaves e processos-filhos de services.exe.
Pesquisa publica PoC de minifilter (Sanctum/fs_minifilter) que intercepta eventos de escrita e renomeação no Windows para detectar padrões de ransomware, incluindo renomeações para extensões ligadas a IOCs e análise de entropia. Projeto inclui simulador em Rust e propostas de melhorias.
A CISA incluiu CVE‑2025‑11953 no seu catálogo KEV: trata‑se de uma injeção de comandos no React Native Community CLI em exploração ativa. O vetor atinge servidores Metro expostos e permite execução remota de comandos; há prazo federal para correção. Recomenda‑se patch imediato, bloqueio de portas (8081) e caça via EDR.
DesckVB RAT v2.9 combina um stager WSH ofuscado, um estágio PowerShell com checagens anti‑análise e um loader .NET que executa em memória. Sua arquitetura plugin‑based permite entrega dinâmica de keylogger, webcam e módulos AV‑enumerator. Recomendações: restringir wscript.exe, habilitar logging do PowerShell e usar EDR com telemetria de execução em memória.
O grupo Interlock está usando a ferramenta "Hotta Killer" que explora um driver de anti‑cheat vulnerável (CVE‑2025‑61155) para executar comandos no kernel e encerrar processos de segurança, facilitando exfiltração e criptografia em ataques direcionados ao setor educacional.
Pesquisadores da Cyble descreveram o ShadowHS, um framework fileless para Linux que executa payloads cifrados em memória via file descriptors anônimos. O malware inclui rotinas de fingerprint de EDR, módulos latentes para roubo de credenciais, movimentação lateral, exfiltração por túneis em espaço de usuário e até capacidades de mineração. A operação exclusiva em memória complica resposta a incidentes e requer coleta de memória ativa.