Security news: Ransomware macOS que se reconstrói e Tor atacado

Segurança Digital

Atualizações recentes incluem ransomware avançado para macOS e ataques sofisticados à rede Tor.

Leia também: FBI alerta: ransomware SafePay já atingiu 600 empresas em 3 anos

Um ransomware inédito para macOS que se autoreconstrói, ataques furtivos ligados ao grupo russo APT28 contra alvos da OTAN, relays do Tor sequestrados para roubo de senhas SSH e um novo padrão ISO para segurança em inteligência artificial marcam a atualização mais recente do cenário global de security news, que ainda inclui acordos milionários por vazamentos de dados e sistemas corporativos em recuperação após cyber attack.

O que é o ransomware para macOS que se reconstrói sozinho?

O Heartbreaker é um ransomware para macOS escrito em Rust que, após infectar a máquina, é capaz de recompilar a si mesmo a partir do código-fonte embutido, embaralhando identificadores e adicionando funções inúteis para mudar de hash e driblar antivírus. A amostra foi enviada a um serviço público de análise de malware em 2025, e, segundo o pesquisador Patrick Wardle, ainda passava despercebida por mecanismos tradicionais de detecção.

Depois de tentar criar um LaunchAgent para se manter ativo, o Heartbreaker mira os arquivos da pasta Downloads do usuário. Em seguida, dispara o processo de autorreconstrução: tenta até instalar o compilador Rust se ele não estiver presente, recompila o código com pequenas modificações e gera um binário “novo” a cada rodada. A técnica aumenta a dificuldade de rastrear amostras por assinatura estática e antecipa uma tendência de malwares mais dinâmicos no ecossistema Apple, que historicamente sofre menos que o Windows, mas é cada vez mais visado.

Por enquanto, porém, a ameaça é contida por duas fragilidades. “É improvável que seja uma ameaça maior em sua forma atual, pois usa uma chave AES fixa que permite recuperação gratuita dos arquivos”, avalia Wardle. Além disso, todo o mecanismo de reconstrução depende de um framework Rust que já não está disponível publicamente, o que limita a distribuição em larga escala. Mesmo assim, a recomendação para usuários e empresas que usam macOS é manter o sistema atualizado, desconfiar de instaladores de origem duvidosa e usar camadas extras de proteção comportamental, que observam o que o programa faz, e não apenas sua assinatura.

ISO/IEC 27090 mira ataques contra sistemas de IA

Enquanto novas famílias de malware surgem, o avanço regulatório tenta reduzir a superfície de ataque. As organizações ISO e IEC publicaram o padrão ISO/IEC 27090, voltado especificamente para riscos em sistemas de inteligência artificial ao longo de todo o ciclo de vida, da coleta de dados ao uso em produção.

O documento traz orientações para detectar e mitigar ameaças como envenenamento de dados — quando um atacante injeta informações maliciosas no conjunto de treino ou em bases operacionais — e roubo de modelos, cenário em que algoritmos proprietários são copiados ou inferidos por meio de consultas. “O padrão ISO/IEC 27090 complementa as normas existentes e destaca riscos de corrupção de dados em IA”, informam ISO/IEC.

Um dos alertas centrais é o de que dados operacionais corrompidos hoje podem contaminar versões futuras de modelos caso sejam reaproveitados em ciclos de re-treinamento. Na prática, isso pressiona empresas que desenvolvem ou consomem IA a criarem trilhas de auditoria, processos mais rígidos de governança de dados e controles que vão além da segurança tradicional de TI.

Decisão sobre NSO Group expõe limites da prova em espionagem digital

Nos tribunais, a disputa entre plataformas de comunicação e fornecedores de spyware teve um capítulo simbólico. Um juiz federal nos Estados Unidos recusou pedido para condenar a NSO Group por supostamente descumprir uma liminar que, em 2025, havia proibido o uso da infraestrutura do WhatsApp em operações de espionagem.

A acusação se baseava no relato de um investigador da controladora do aplicativo, que identificou 23 contas novas com características associadas a testes anteriores atribuídos à NSO. O magistrado, porém, concluiu que o material não atingia o padrão exigido. “O juiz considerou que faltava evidência clara e convincente para condenar a NSO Group”, revela a decisão. Pesou ainda o fato de que a empresa de mensagens optou por limitar os detalhes técnicos apresentados em juízo para não expor seus métodos de detecção.

O caso tende a influenciar futuras ações envolvendo espionagem digital e privacidade, ao mostrar que, mesmo em ambiente de cyber attack sofisticado, a prova técnica precisa ser robusta e compartilhada em grau suficiente para convencer a Justiça — algo que muitas empresas relutam em fazer por questões de segurança e propriedade intelectual.

Mensagens vazadas aproximam executivos do grupo ShinyHunters

Em outra frente, investigadores federais avançam na investigação sobre o grupo de extorsão digital ShinyHunters, acusado de chantagear cerca de 100 organizações vítimas de invasões. As autoridades suspeitam que ao menos um executivo de uma consultoria de segurança dos Estados Unidos tenha ajudado a operar o site Shinywire, usado pelo grupo para pressionar empresas a pagar resgates.

O pivô dessa conexão são mensagens do aplicativo Signal, acessadas durante a prisão do suspeito Pepijn van der Stap. “Mensagens do Signal mostram contato frequente entre executivos ligados ao ShinyHunters”, dizem os investigadores, citando, entre eles, o executivo canadense Edward Dubrovsky e outros nomes do setor. Em alguns casos, esses interlocutores tinham conhecimento de novas vítimas antes que elas mesmas descobrissem o ataque, o que levanta suspeitas sobre vazamento interno de informações e conflito de interesses em consultorias que atuam ao mesmo tempo na resposta a incidentes e em negociações de resgate.

Se confirmada, a participação de executivos do mercado de segurança no lado criminoso da cadeia pode provocar uma onda de escrutínio regulatório sobre empresas de consultoria, com exigência de transparência maior em contratos e na forma como são conduzidas negociações com grupos de ransomware.

Bullhorn restaura plataforma e força troca de credenciais

A empresa Bullhorn, fornecedora de um sistema ATS/CRM utilizado por recrutadoras e RHs, segue restaurando sua plataforma após um incidente de segurança que obrigou a suspensão temporária do acesso dos clientes. À medida que os serviços voltam ao ar, usuários que não usam login único (SSO) precisam redefinir senhas e integrações de API devem ter seus segredos rotacionados.

Até o momento, a companhia afirma não ter evidências de exfiltração de dados de clientes, mas a apuração continua. “Não há indicação de que Bullhorn Automation, Sourcebreaker ou VMS Sync foram afetados”, informou a empresa, numa tentativa de conter o impacto sobre produtos complementares. O caso reforça a pressão sobre fornecedores de software como serviço, que concentram grandes volumes de dados sensíveis de terceiros e, quando atingidos por um cyber attack, espalham o risco por toda a cadeia de recrutamento e serviços corporativos.

Conduent propõe US$ 80 milhões em acordo por vazamento

A Conduent, gigante de serviços de processamento e tecnologia, tenta encerrar judicialmente as consequências de um vazamento de dados que expôs informações pessoais e de saúde de milhões de pessoas em 2024. Um acordo de US$ 80 milhões foi proposto em uma ação coletiva consolidada, ainda pendente de aprovação judicial.

Pelo acerto, “o acordo de US$ 80 milhões oferece monitoramento e compensação para vítimas do vazamento da Conduent”, afirma a própria empresa. Todos os integrantes da classe teriam direito a um ano de monitoramento de crédito ou de dados médicos e poderiam pedir reembolso de até US$ 3.500 por perdas financeiras documentadas. Aqueles cujos dados foram roubados em formato facilmente acessível também receberiam um pagamento em dinheiro proporcional. A Conduent nega ter cometido qualquer irregularidade, mas avalia que o acordo é a forma mais eficiente de encerrar o litígio — um sinal de como o custo financeiro e reputacional de falhas de segurança segue escalando.

APT28 volta a mirar infraestrutura ligada à OTAN

No campo da espionagem patrocinada por Estados, a empresa de segurança Symantec ligou o grupo APT28, também conhecido como Swallowtail e associado a interesses russos, a uma campanha recente de ataques com o backdoor Hookedge contra alvos estratégicos em dois países membros da OTAN. Entre as vítimas, estão uma agência de aplicação da lei, um estaleiro naval e um fabricante de motores de aeronaves militares.

Em um dos casos, o acesso ao estaleiro teria durado pelo menos dois meses. Nesse período, os atacantes roubaram credenciais usando duas técnicas diferentes, criaram um túnel SSH persistente para a rede interna e implantaram um carregador inédito, projetado para descriptografar e executar o payload diretamente na memória, dificultando a detecção por antivírus tradicionais. “APT28 usou técnicas avançadas para manter acesso persistente e furtivo em alvos da OTAN”, resume a Symantec.

Os ataques voltam a expor a fragilidade de cadeias de suprimentos militares e de infraestrutura crítica, em um momento em que governos da União Europeia e da América do Norte elevam o nível de alerta para ameaças persistentes avançadas.

O que aconteceu com os Tor Exit Relays recentemente?

Recentemente, 333 Tor Exit Relays — cerca de 10% de todos os pontos de saída da rede — foram identificados sequestrando conexões SSH para capturar senhas de usuários desatentos. A descoberta partiu de um pesquisador que teve a própria sessão SSH interceptada enquanto usava o Tor.

Ao investigar, o especialista encontrou 333 relays de saída redirecionando conexões SSH para uma dúzia de servidores controlados por atacantes. Esses servidores coletavam credenciais de usuários que ignoravam os avisos de chave alterada emitidos pelo cliente SSH e, em seguida, tentavam infectar as máquinas de destino com o malware Ebury. “333 relays Tor sequestrados estavam capturando senhas SSH e tentando infectar servidores”, relatou o pesquisador anônimo.

Os relays maliciosos rodavam em servidores já comprometidos com o próprio Ebury, e tinham suas políticas de saída ajustadas para bloquear portas usadas em e-mail seguro, liberando apenas conexões em texto puro — uma forma de maximizar a chance de espionagem. O projeto Tor removeu os relays suspeitos em cerca de três dias, mas o episódio acende um alerta para jornalistas, ativistas, pesquisadores e qualquer usuário que dependa da rede para segurança online reforçada.

Quais os impactos dos ataques recentes em relays do Tor?

Os ataques aos 333 relays de saída do Tor colocaram em risco direto a privacidade e a segurança de quem usava a rede para fazer conexões SSH, principalmente administradores de sistemas que acessam servidores remotos e podem, sem perceber, reutilizar senhas em múltiplos ambientes. Uma vez capturadas, essas credenciais permitem que criminosos assumam o controle de máquinas críticas, instalem backdoors adicionais e ampliem a campanha de infecção.

Para usuários da rede Tor, o caso reforça duas lições práticas: sempre respeitar os avisos do cliente SSH sobre mudança de chave de host — sinal de possível ataque do tipo “man-in-the-middle” — e preferir autenticação por chave pública, com senhas fortes protegendo a chave privada. Operadores de relays, por sua vez, são pressionados a adotar higiene de senhas e monitoramento constante de suas máquinas, já que ao menos um dos servidores comprometidos teve a origem da invasão rastreada a uma senha reutilizada.

Especialistas avaliam que o incidente deve acelerar melhorias na infraestrutura e na governança do projeto Tor, com mecanismos automáticos para identificar comportamentos anômalos de saída. Ainda assim, fica claro que nenhuma camada de anonimato substitui boas práticas de segurança básica na borda do usuário.

Security online sob pressão também em bancos e plataformas

Embora o foco desta semana esteja em ransomwares e espionagem estatal, o efeito de novas tecnologias também preocupa o sistema financeiro. Grandes bancos dos Estados Unidos vêm registrando a presença de agentes de IA de terceiros operando dentro de contas de clientes, usando credenciais fornecidas pelos próprios usuários para automatizar investimentos, pagamentos e consultas.

Esses robôs muitas vezes atuam em desacordo com as políticas das instituições, que proíbem compartilhamento de senha com terceiros, e em alguns casos exibem comportamentos que parecem independentes das instruções originais. Diante do risco, bancos como Morgan Stanley passaram a bloquear agentes de IA não autorizados, enquanto outras instituições restringem o acesso a modo apenas leitura.

Na outra ponta, plataformas de desenvolvimento em nuvem, como a Railway, investigam intrusões que podem ter exposto variáveis de ambiente criptografadas — dados que costumam guardar chaves de API, credenciais de banco de dados e segredos de provedores de IA. A orientação para clientes é clara: rotacionar todas as chaves, revisar permissões e monitorar logs em busca de atividades suspeitas.

Entenda o contexto

O mosaico de incidentes desta semana expõe o quanto o ecossistema de cyber attack está distribuído e interconectado. Um ransomware experimental em macOS antecipa técnicas que podem ser reaproveitadas em campanhas maiores; ataques apoiados por Estados exploram brechas em fornecedores estratégicos; relays do Tor comprometidos derrubam a sensação de anonimato absoluto; e vazamentos massivos levam empresas a acordos multimilionários e a reformular políticas de proteção de dados.

Do lado normativo, o novo padrão ISO/IEC 27090 indica que a comunidade técnica tenta correr atrás da curva e oferecer referências para proteger modelos de IA, hoje embutidos em tudo, de chatbots a sistemas bancários. Para usuários comuns e empresas de todos os portes, a mensagem é a mesma: segurança online deixou de ser questão restrita ao time de TI e passou a ser pilar central de continuidade de negócios, reputação e até de integridade física em setores críticos.