📰 Informação fresquinha chegando para você!
A notÃcia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
O Gen Threat Labs acompanhou duas campanhas do primeiro semestre de 2026, nas quais os invasores usaram contas legÃtimas, configurações do navegador e dados de blockchain como parte do caminho de ataque.
O Gen Threat Report é uma análise semestral das maiores ameaças cibernéticas que moldam o cenário digital, oferecendo uma visão aprofundada das tendências que afetam os consumidores em todo o mundo. O Relatório de Ameaças do primeiro semestre de 2026 da Gen tem sua parcela de números de manchete.
Os golpes foram responsáveis por quase 46% das detecções de ameaças da Geração no primeiro semestre do ano. A malvertising representou quase outros 30%. Gen bloqueou 114,2 milhões de ataques fraudulentos em lojas eletrônicas e 20,3 milhões de ataques fraudulentos de suporte técnico durante o mesmo perÃodo.
Esses números são úteis, mas comprimem ataques muito diferentes em algumas categorias. Uma contagem de detecção não mostra como a primeira isca se tornou a execução do script, como o script se tornou uma alteração de navegador ou proxy ou como um endereço de carteira foi substituÃdo antes de a vÃtima assinar uma transação.
Vale a pena examinar detalhadamente duas investigações do primeiro semestre. No primeiro, uma campanha de malware bancário começou com caixas de correio corporativas comprometidas e terminou com manipulação de proxy e navegador.
No segundo, uma campanha de criptomoeda usou um clipper baseado em Rust e recuperou indicadores de infraestrutura de comando e controle da Binance Smart Chain.
As cargas eram diferentes, mas nenhuma das campanhas dependia da quebra do sistema confiável na frente do usuário. A campanha bancária usou uma conta legÃtima para entregar a isca. O clipper permite que o blockchain registre uma transação válida após alterar o endereço de destino localmente.
O e-mail comercial realmente veio de uma empresa
A campanha bancária teve como alvo utilizadores na Chéquia, Eslováquia, Polónia e Lituânia. As iscas pareciam e-mails comerciais normais: avisos de remessa, mensagens relacionadas a faturas e notificações de documentos digitalizados. Um deles simplesmente informava ao destinatário que uma cópia digitalizada de uma remessa estava anexada.
Em vários casos, as mensagens foram enviadas de caixas de correio corporativas comprometidas. O e-mail não foi feito para parecer que veio de uma empresa legÃtima. Veio de uma conta legÃtima que os invasores já haviam assumido.
SPF e DKIM ainda podem passar quando uma mensagem é enviada através de infraestrutura autorizada, enquanto os sistemas de reputação podem ver um remetente com um histórico legÃtimo.
O anexo lançou um conta-gotas de JavaScript. A partir daÃ, a cadeia passou pelos estágios do PowerShell antes de chegar ao shellcode e à funcionalidade bancária. Os indicadores disponÃveis apontaram para o GepyS.
O malware modificou as configurações de proxy e instalou um complemento do navegador, colocando-se próximo à sessão bancária da vÃtima.
Em um nÃvel simplificado, a cadeia ficou assim: caixa de correio comprometida -> conta-gotas de JavaScript -> estágios do PowerShell -> carregador de shellcode -> manipulação de proxy e navegador.
Uma carga útil do estágio três usou um carregador independente de posição de 32 bits. A análise estática mostrou instruções inúteis MMX e SSE, saltos no meio das instruções e uma rotina de descriptografia baseada em um fluxo de chaves gerado por LFSR seguido por XOR.
Nenhuma dessas técnicas era nova, mas juntas acrescentavam fricção suficiente para tornar uma passagem estática rápida menos produtiva.
Em toda a cadeia, o e-mail precisava apenas fazer com que o usuário abrisse o anexo. O JavaScript e o PowerShell cuidaram da preparação, o carregador desacelerou a análise e as alterações no proxy e no navegador moveram a operação para a sessão bancária.
Campanhas comparáveis do primeiro semestre usaram padrões regionais e operacionais semelhantes com cargas úteis diferentes. Na Itália, PDFs de faturas falsas, incluindo iscas com tema Booking.com, levaram a scripts hospedados em Vercel com ofuscação de JavaScript por vÃtima, estágios PowerShell hospedados em Blogspot e XWorm.
Na Polônia, o phishing com tema de fatura entregou um carregador .NET esteganográfico que instalou o Remcos RAT.
Leia o relatório de ameaças da geração H1 2026
O Gen Threat Labs analisou a atividade do primeiro semestre de 2026 em fraudes, malware, exposição de identidade, privacidade e ameaças baseadas em IA.
O relatório completo inclui telemetria, estudos de caso e orientações sobre como os ataques estão se movendo através de fluxos de trabalho confiáveis.
Leia o relatório
A área de transferência era a camada de pagamento
A segunda campanha abusou de uma interação muito menor do usuário: copiar e colar um endereço de criptomoeda.
A carga final foi um sequestrador de área de transferência compilado pelo Rust. Ele monitorou conteúdo copiado para endereços de carteira em 21 tipos de blockchain, incluindo BTC, ETH e LTC. Quando o malware reconheceu um endereço compatÃvel, ele o substituiu por um controlado pelo invasor.
Do ponto de vista da vÃtima, a transação ainda poderia parecer normal: copiar um endereço, colá-lo em uma carteira ou exchange e aprovar o pagamento.
A blockchain não foi comprometida e a criptografia da carteira não foi quebrada. A transação em si era válida, mas o destino já havia sido alterado localmente antes da assinatura.
Os endereços da carteira são longos, visua
O Gen Threat Report é uma análise semestral das maiores ameaças cibernéticas que moldam o cenário digital, oferecendo uma visão aprofundada das tendências que afetam os consumidores em todo o mundo. O Relatório de Ameaças do primeiro semestre de 2026 da Gen tem sua parcela de números de manchete.
Os golpes foram responsáveis por quase 46% das detecções de ameaças da Geração no primeiro semestre do ano. A malvertising representou quase outros 30%. Gen bloqueou 114,2 milhões de ataques fraudulentos em lojas eletrônicas e 20,3 milhões de ataques fraudulentos de suporte técnico durante o mesmo perÃodo.
Esses números são úteis, mas comprimem ataques muito diferentes em algumas categorias. Uma contagem de detecção não mostra como a primeira isca se tornou a execução do script, como o script se tornou uma alteração de navegador ou proxy ou como um endereço de carteira foi substituÃdo antes de a vÃtima assinar uma transação.
Vale a pena examinar detalhadamente duas investigações do primeiro semestre. No primeiro, uma campanha de malware bancário começou com caixas de correio corporativas comprometidas e terminou com manipulação de proxy e navegador.
No segundo, uma campanha de criptomoeda usou um clipper baseado em Rust e recuperou indicadores de infraestrutura de comando e controle da Binance Smart Chain.
As cargas eram diferentes, mas nenhuma das campanhas dependia da quebra do sistema confiável na frente do usuário. A campanha bancária usou uma conta legÃtima para entregar a isca. O clipper permite que o blockchain registre uma transação válida após alterar o endereço de destino localmente.
O e-mail comercial realmente veio de uma empresa
A campanha bancária teve como alvo utilizadores na Chéquia, Eslováquia, Polónia e Lituânia. As iscas pareciam e-mails comerciais normais: avisos de remessa, mensagens relacionadas a faturas e notificações de documentos digitalizados. Um deles simplesmente informava ao destinatário que uma cópia digitalizada de uma remessa estava anexada.
Em vários casos, as mensagens foram enviadas de caixas de correio corporativas comprometidas. O e-mail não foi feito para parecer que veio de uma empresa legÃtima. Veio de uma conta legÃtima que os invasores já haviam assumido.
SPF e DKIM ainda podem passar quando uma mensagem é enviada através de infraestrutura autorizada, enquanto os sistemas de reputação podem ver um remetente com um histórico legÃtimo.
O anexo lançou um conta-gotas de JavaScript. A partir daÃ, a cadeia passou pelos estágios do PowerShell antes de chegar ao shellcode e à funcionalidade bancária. Os indicadores disponÃveis apontaram para o GepyS.
O malware modificou as configurações de proxy e instalou um complemento do navegador, colocando-se próximo à sessão bancária da vÃtima.
Em um nÃvel simplificado, a cadeia ficou assim: caixa de correio comprometida -> conta-gotas de JavaScript -> estágios do PowerShell -> carregador de shellcode -> manipulação de proxy e navegador.
Uma carga útil do estágio três usou um carregador independente de posição de 32 bits. A análise estática mostrou instruções inúteis MMX e SSE, saltos no meio das instruções e uma rotina de descriptografia baseada em um fluxo de chaves gerado por LFSR seguido por XOR.
Nenhuma dessas técnicas era nova, mas juntas acrescentavam fricção suficiente para tornar uma passagem estática rápida menos produtiva.
Em toda a cadeia, o e-mail precisava apenas fazer com que o usuário abrisse o anexo. O JavaScript e o PowerShell cuidaram da preparação, o carregador desacelerou a análise e as alterações no proxy e no navegador moveram a operação para a sessão bancária.
Campanhas comparáveis do primeiro semestre usaram padrões regionais e operacionais semelhantes com cargas úteis diferentes. Na Itália, PDFs de faturas falsas, incluindo iscas com tema Booking.com, levaram a scripts hospedados em Vercel com ofuscação de JavaScript por vÃtima, estágios PowerShell hospedados em Blogspot e XWorm.
Na Polônia, o phishing com tema de fatura entregou um carregador .NET esteganográfico que instalou o Remcos RAT.
Leia o relatório de ameaças da geração H1 2026
O Gen Threat Labs analisou a atividade do primeiro semestre de 2026 em fraudes, malware, exposição de identidade, privacidade e ameaças baseadas em IA.
O relatório completo inclui telemetria, estudos de caso e orientações sobre como os ataques estão se movendo através de fluxos de trabalho confiáveis.
Leia o relatório
A área de transferência era a camada de pagamento
A segunda campanha abusou de uma interação muito menor do usuário: copiar e colar um endereço de criptomoeda.
A carga final foi um sequestrador de área de transferência compilado pelo Rust. Ele monitorou conteúdo copiado para endereços de carteira em 21 tipos de blockchain, incluindo BTC, ETH e LTC. Quando o malware reconheceu um endereço compatÃvel, ele o substituiu por um controlado pelo invasor.
Do ponto de vista da vÃtima, a transação ainda poderia parecer normal: copiar um endereço, colá-lo em uma carteira ou exchange e aprovar o pagamento.
A blockchain não foi comprometida e a criptografia da carteira não foi quebrada. A transação em si era válida, mas o destino já havia sido alterado localmente antes da assinatura.
Os endereços da carteira são longos, visua
#samirnews #samir #news #boletimtec #emails #reais, #pagamentos #sequestrados: #duas #cadeias #de #ataque #no #primeiro #semestre #de #2026
🎉 Obrigado por acompanhar, até a próxima notÃcia!
Postar um comentário