Dicas e notícias para manter seus dados e sua vida digital protegidos.

Segurança

Funko lança coleção inspirada em Guerreiras do K-pop; confira os colecionáveis

Resident Evil Requiem: Veja a senha de todos os cofres do jogo

Xbox anuncia Project Helix, console de nova geração que roda jogos de PC

Epic Games Store libera dois jogos grátis por tempo limitado nesta quinta (05)! Resgate agora

Aniversário da Netshoes tem até 80% OFF em novas ofertas e cupom de desconto

Steam recebe 4 jogos grátis nesta semana! Veja lista e resgate (6)

Localização de todos os Mr Raccoon em Resident Evil Requiem: veja o guia de colecionáveis

Resident Evil Requiem: Solução dos puzzles para abrir a porta do Centro de Cuidados 

Puzzle final de Resident Evil Requiem é solucionado! Veja como resolver

Amazon atualiza app do Fire TV para celular com nova interface

Epic Games libera ótimo jogo grátis no celular! Resgate agora no Android (08)

12 filmes de ficção mal avaliados que merecem uma chance

Onde assistir todas as temporadas de Outlander e seu spin-off

Palpites para São Paulo x Palmeiras: Análises e Onde Assistir (21/03/2026)

Play Store libera 5 jogos grátis por tempo limitado! Resgate agora (04)

Prime Gaming: Amazon Luna libera mais de 10 jogos grátis em março! Veja a lista e como resgatar

Por Onde Anda Michael Rosembaum, o Lex Luthor de Smallville?

Filmes canônicos de Resident Evil: veja a lista e onde assistir cada um deles

'Cadê a empresa bilionária?': Keeta faz demissão em massa e funcionários protestam

Codiguin Free Fire março de 2026: veja a lista de códigos para resgatar

Luigi’s Mansion 3 e mais jogos para Switch com até 90% OFF na eShop

Expedition 33 e mais jogos para PC com até 94% OFF na Steam

Que fim levou o Nero, o clássico programa para 'queimar' CDs?

10 filmes de zumbi que (provavelmente) você não conhece

The Boys temporada 5 ganha trailer final com reencontro de Supernatural

Cillian Murphy não voltará ao papel de Tommy Shelby após Peaky Blinders: O Homem Imortal

Final explicado de O Agente Secreto: entenda o desfecho misterioso do filme brasileiro

Desinstalações do ChatGPT disparam em 295% após acordo da OpenAI com os EUA

Óculos inteligentes da Samsung terão câmera e chegam ainda em 2026

Marshals tem quantos episódios? Veja calendário de lançamento da série de Yellowstone

large_pix-cmsw-adrianocamacho.jpg

medium_pix-cmsw-adrianocamacho.jpg

small_pix-cmsw-adrianocamacho.jpg

thumbnail_pix-cmsw-adrianocamacho.jpg

pix-cmsw-adrianocamacho.jpg

Grupo criminoso Dragonforce alega novo vazamento envolvendo a C&M Software que totaliza 392 GB, mas empresa nega e afirma que arquivos são os mesmos do ataque de junho.

No último sábado (22), o grupo especializado em sequestro de dados Dragonforce anunciou a suposta invasão da C&amp;M Software. Na publicação, os cibercriminosos afirmam possuir 392 GB de informações vazadas da empresa, que fornece suporte tecnológico ao sistema PIX para instituições bancárias no Brasil. Como de costume, o texto inclui um prazo máximo para a negociação entre as partes, simbolizado por um contador – ao chegar a zero, todos os arquivos são divulgados. Em resposta ao TecMundo Security, a C&amp;M Software negou o incidente.Na publicação, não há muitas informações sobre o que teria sido obtido pelos cibercriminosos. O anúncio contém apenas uma imagem com a marca da C&amp;M Software, além de uma breve descrição de sua relevância no mercado, e o suposto volume de dados. Seguindo o histórico do grupo, não há inclusão de amostras ou provas de invasão. Apesar disso, a falta de evidências ainda descredibiliza a legitimidade do vazamento.No posicionamento cedido ao TecMundo Security, a C&amp;M Software afirmou que “não há qualquer evidência de novo acesso indevido aos nossos ambientes”. A empresa também esclarece que “o material mencionado nessas postagens corresponde a arquivos que concluímos estarem relacionados ao incidente de 30 de junho”.Você pode conferir o comunicado completo da C&amp;M Software no texto a seguir.<h2>C&amp;M Software foi vítima de um dos maiores ataques hackers no Brasil</h2>Se confirmado, o incidente marcaria a segunda ocorrência de sequestro de dados contra a C&amp;M Software apenas em 2025 – prática também conhecida pelo termo “Ransomware”. Na primeira delas, referido no comunicado como “incidente de 30 de junho”, cibercriminosos utilizaram credenciais legítimas de clientes da empresa para desviar ao menos R$ 800 milhões. Segundo investigações da Polícia Federal, os acessos foram obtidos por meio de um funcionário terceirizado, que as vendeu por R$ 15 mil após ter sido aliciado pelos hackers.Desde então, em conjunto com a Interpol, a chamada Operação Magna Fraus já realizou ao menos 19 prisões e buscas em diversos estados do Brasil. Além disso, a Justiça brasileira também bloqueou R$ 640 milhões dos indivíduos investigados, junto da apreensão de 15 carros de luxos e bloqueio de 26 imóveis.<h2>C&amp;M Software nega invasão e afirma que dados são antigos</h2>Nesta segunda-feira (24), a C&amp;M Software cedeu um posicionamento exclusivo ao TecMundo Security para esclarecer o caso. Leia na íntegra:“Nas últimas horas circularam publicações sugerindo a existência de um novo vazamento envolvendo a CMSW. Após análise interna e revisão dos logs de segurança, confirmamos que não há qualquer evidência de novo acesso indevido aos nossos ambientes. O material mencionado nessas postagens corresponde a arquivos que concluímos estarem relacionados ao incidente de 30 de junho, antes das correções profundas, da implementação das novas resoluções do Banco Central do Brasil e dos reforços de segurança realizados nas semanas seguintes. Nosso ambiente permanece íntegro, monitorado e operando normalmente. Seguimos em total transparência com clientes, reguladores e parceiros, mantendo os mesmos padrões de segurança, disponibilidade e governança que norteiam nossas operações.”<h2>Como se proteger de ataques Ransomware?</h2>Embora os ataques de sequestro de dados, ou Ransomware, tenham se popularizado pelos danos causados a empresas e entidades financeiras, eles também podem afetar usuários. Nesses casos, a infecção costuma acontecer ao instalar programas ou aplicativos de fontes desconhecidas, frequentemente se tratando de softwares pirateados.&nbsp;Abaixo, o TecMundo Security lista algumas formas de se proteger:<ul><li>Mantenha backups de fotos e arquivos importantes em nuvem ou HD externo;</li><li>Atualize o celular e o computador sempre que aparecer uma nova versão;</li><li>Desconfie de links e anexos enviados por e-mail, WhatsApp ou redes sociais;</li><li>Use senhas fortes e ative a verificação em duas etapas onde for possível;</li><li>Instale um antivírus confiável e deixe-o ativo em tempo real;</li><li>Evite instalar apps fora das lojas oficiais, como a Google Play ou a App Store;</li><li>Não conecte pendrives desconhecidos ao seu computador;</li><li>Faça uma checagem periódica das suas contas e dispositivos para notar algo estranho cedo.</li></ul>Até o momento desta publicação, o contador na publicação da Dragonforce marca um prazo de quatro dias até a liberação dos arquivos. O TecMundo Security seguirá acompanhando o caso e atualizará a reportagem com quaisquer novas informações. Até lá, seguimos aceitando denúncias pelos e-mails:<ul><li><a href="mailto:denuncia@tecmundo.com.br">denuncia@tecmundo.com.br</a></li><li><a href="mailto:contato@adrianocamacho.com">contato@adrianocamacho.com</a></li></ul>

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>O grupo hacker Dragonforce afirmou ter realizado um novo ataque à C&M Software, alegando posse de 392 GB de dados vazados; a empresa nega a ocorrência de nova invasão.</li>
 <li>Segundo a C&M Software, os arquivos mencionados correspondem ao incidente anterior de 30 de junho, e não há evidências de acesso indevido recente aos seus sistemas.</li>
 <li>O ataque de junho envolveu o uso de credenciais legítimas de clientes, resultando no desvio de R$ 800 milhões; a Polícia Federal e a Interpol já realizaram 19 prisões e bloqueios de bens.</li>
 <li>A empresa afirma que seu ambiente está íntegro, monitorado e operando normalmente, com reforços de segurança implementados após o incidente anterior.</li>
 <li>O TecMundo Security segue monitorando o caso, enquanto o grupo Dragonforce mantém um contador com prazo de quatro dias para possível divulgação dos arquivos.</li>
 </ul>
</section>

C&M Software, intermediária do PIX, pode ter sido vítima de novo ataque hacker; empresa nega

large_gmail-logo-aplicativo.jpg

medium_gmail-logo-aplicativo.jpg

small_gmail-logo-aplicativo.jpg

thumbnail_gmail-logo-aplicativo.jpg

gmail-logo-aplicativo.jpg

Em comunicado, empresa argumenta que recursos inteligentes do Gmail estão ativados há algum tempo, mas não envolvem usar o conteúdo de mensagens para melhorar o Gemini.

O <a href="https://www.tecmundo.com.br/tags/google" target="_blank">Google</a> se manifestou sobre a acusação de que ela agora vai acessar o Gmail dos usuários para treinar seus modelos de inteligência artificial (IA). A <a href="https://www.tecmundo.com.br/seguranca/408752-gmail-pode-ler-mensagens-e-anexos-de-usuarios-para-treinar-ia-saiba-como-desativar.htm" target="_blank">postagem original do site Malwarebytes Labs</a> sobre o tema viralizou na última semana e aparentemente chamou atenção da própria gigante.Em comunicado ao TecMundo, a empresa negou qualquer alteração nas políticas de privacidade dos usuários ou nos recursos oferecidos pelo cliente de e-mails.Confira a nota do Google na íntegra:<blockquote>"Esses relatos são enganosos – não alteramos as configurações de ninguém; os Recursos Inteligentes do Gmail existem há muitos anos e não usamos o conteúdo da sua conta de Gmail para treinar o Gemini, nosso modelo de IA. Por fim, sempre somos transparentes e claros quando fazemos alterações em nossos termos de serviço e políticas".</blockquote><h2>Relembre a polêmica</h2><ul><li>A publicação que originalmente acusou o Google foi publicada na última quinta-feira (20), alegando que mudanças implementadas discretamente nos termos de uso agora permitiam a leitura de mensagens para treinamento de IA;</li><li>Como resultado, vários usuários desligaram a ferramenta nas configurações do e-mail, tanto em contas pessoais quanto em perfis do Google Workspace;</li><li>O próprio Malwarebytes Labs <a href="https://www.malwarebytes.com/blog/news/2025/11/gmail-is-reading-your-emails-and-attachments-to-train-its-ai-unless-you-turn-it-off" target="_blank">fez uma correção na matéria original</a> ao reconhecer que "contribuiu para uma tempestade perfeita de compreensão equivocada". O problema estaria na nomeação de funções da plataforma como “Recursos Inteligentes”, um termo que tende a ser relacionado com IA;</li></ul><figure class="image"><img src="https://tm.ibxk.com.br/2025/11/21/gmail_c6a40b072f.png" alt="gmail.png" srcset="https://tm.ibxk.com.br/2025/11/21/thumbnail_gmail_c6a40b072f.png 158w,https://tm.ibxk.com.br/2025/11/21/small_gmail_c6a40b072f.png 500w,https://tm.ibxk.com.br/2025/11/21/medium_gmail_c6a40b072f.png 750w,https://tm.ibxk.com.br/2025/11/21/large_gmail_c6a40b072f.png 1000w," sizes="100vw"><figcaption>A tela dos recursos inteligentes. &nbsp;(Imagem: André Dias/TecMundo)</figcaption></figure><ul><li>Na descrição, os recursos inteligentes não são detalhados pela empresa, que apenas avisa que a opção ligada por padrão permite que "o Gmail, o Chat e o Meet usem seu conteúdo de vídeo, e-mails e conversas para personalizar sua experiência";</li><li>Segundo o site, porém, as opções de fato não são novas, mas "a forma com que o Google recentemente reescreveu" o conteúdo fez muita gente acreditar que conteúdos do Gmail de fato estariam sendo usados para treinar o Gemini;</li><li>Além disso, o site reforça que o Google de fato faz uma varredura das mensagens do Gmail para os tais recursos inteligentes. Mesmo não relacionados com IA, eles envolvem fatores como promoção de anúncios direcionados, organização de e-mails em abas e integração com a Agenda, entre outros casos.</li></ul><div class="raw-html-embed"><iframe width="560" height="315" src="https://www.youtube.com/embed/fxf-4R1KIzQ?si=lvHOfg_Q8bJRy0ij" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" referrerpolicy="strict-origin-when-cross-origin" allowfullscreen=""></iframe></div>O receio do público também se justifica por ações parecidas de outras empresas: <a href="https://www.tecmundo.com.br/mercado/289708-linkedin-usa-dados-treinar-ia-veja-remover-opcao.htm" target="_blank">a rede social LinkedIn</a> e <a href="https://www.tecmundo.com.br/internet/289508-meta-admite-usar-postagens-publicas-2007-treinamento-ia.htm" target="_blank">as plataformas da Meta</a> (dona de Instagram e Facebook) já iniciaram a coleta de informações ou publicações para treinamento das suas IAs próprias.Quer ficar informado sobre as principais novidades do setor de IA? Confira a seção especial sobre o tema <a href="https://tecmundo.com.br/inteligencia-artificial" target="_blank">no site do TecMundo</a>!

Kenneth Cheung/Getty Images

The Verge

ZDNet

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>O Google negou que esteja utilizando o conteúdo de e-mails do Gmail para treinar seu modelo de inteligência artificial Gemini, afirmando que não houve mudanças nas políticas de privacidade.</li>
 <li>A polêmica surgiu após uma publicação do site Malwarebytes Labs alegar que alterações nos termos de uso permitiriam a leitura de mensagens para fins de IA, o que levou usuários a desativarem recursos nas configurações.</li>
 <li>O próprio Malwarebytes Labs corrigiu a matéria, reconhecendo que a confusão foi causada pela interpretação do termo “Recursos Inteligentes”, que não está diretamente ligado ao treinamento de IA.</li>
 <li>O Google confirmou que realiza varreduras nos e-mails para funcionalidades como organização de mensagens, anúncios personalizados e integração com outros serviços, mas sem relação com o Gemini.</li>
 <li>O caso gerou preocupação entre usuários devido a práticas semelhantes adotadas por outras empresas, como LinkedIn e Meta, que utilizam dados para treinar suas IAs.</li>
 </ul>
</section>

Google nega rumor sobre Gmail ler mensagens para treinar IA

large_GettyImages-crowdstrike-logo-prédio.jpg

medium_GettyImages-crowdstrike-logo-prédio.jpg

small_GettyImages-crowdstrike-logo-prédio.jpg

thumbnail_GettyImages-crowdstrike-logo-prédio.jpg

GettyImages-crowdstrike-logo-prédio.jpg

Empresa confirma incidente de segurança após investigação; coletivo Scattered Lapsus$ Hunters não conseguiu invadir sistemas.

A empresa de cibersegurança <a href="https://www.tecmundo.com.br/mercado/287236-crowdstrike-saiba-empresa-que-causou-o-apagao-cibernetico.htm">CrowdStrike</a> confirmou que demitiu um funcionário acusado de roubo e venda de informações da companhia para cibercriminosos. O caso aconteceu ao longo do mês de outubro deste ano.O comportamento suspeito do colaborador foi encontrado após a confirmação de que ele tirou capturas de tela de sistemas internos, que foram compartilhadas posteriormente no Telegram pelo coletivo hacker Scattered Lapsus$ Hunters.Os conteúdos em questão envolveriam painéis de controle corporativo, com a entrega adicional de cookies de identificação SSO (Single Sign-On) pela pessoa infiltrada para permitir o acesso remoto a sistemas e configurações corporativas pelos criminosos.<h2>O que dizem os envolvidos</h2>Ainda não há informações concretas sobre a tentativa de ataque, nem se ele teria ligação com invasões massivas recentes realizadas pelo coletivo. <a href="https://www.tecmundo.com.br/seguranca/407529-novo-site-de-hackers-expoe-dados-de-clientes-salesforce-e-impoe-prazo-ate-10-de-outubro.htm">Em outubro deste ano</a>, uma plataforma ligada à empresa Salesforce teve dados roubados envolvendo uma série de clientes.Apesar da negação por parte de ambas as partes, o ataque pode ainda estar relacionado à brecha de segurança exposta pela Gainsight, uma plataforma de gerenciamento de clientes que trabalha com a Salesforce e teve informações roubadas pelo grupo.<ul><li>De acordo com a CrowdStrike, que enviou um comunicado ao site BleepingComputer, os sistemas da empresa não foram comprometidos e os consumidores seguem protegidos. Detalhes a respeito do caso já estão em posse de agências policiais e jurídicas.</li><li>"Identificamos e encerramos o vínculo com um intruso suspeito no último mês seguindo uma investigação que determinou que ele compartilhou fotos do seu computador externamente", diz a nota da CrowdStrike.</li><li>O Bleeping Computer ainda teve acesso a uma reposta do próprio ShinyHunters, um dos grupos cibercriminosos que teria oferecido US$ 25 mil (cerca de R$ 134,5 mil) ao funcionário pelos conteúdos roubados.</li><li>Segundo os hackers, a empresa detectou o suspeito e fechou o acesso aos próprios sistemas antes que uma invasão acontecesse.</li></ul>A nova aliança é composta por cibercriminosos das gangues ShinyHunters, Scattered Spider e LAPSUS$ — todas com um histórico já cheio de invasões a empresas de grande porte. O grupo <a href="https://www.tecmundo.com.br/seguranca/407011-grupo-hacker-scattered-lapsus-hunters-anuncia-fim-repentino-das-atividades.htm">chegou a anunciar o fim das atividades</a> há alguns meses, mas não seguiu com os planos.Recentemente, elas têm demonstrado uma preferência pelo uso de ransomwares nos ataques e venda de kits de invasão para outros interessados (o chamado ransomware-as-a-service).A Intel também passou por um incidente parecido com um ex-funcionário que roubos informações internas. Saiba mais sobre o caso <a href="https://www.tecmundo.com.br/mercado/408416-ex-funcionario-da-intel-rouba-18-mil-arquivos-internos-apos-saber-de-demissao.htm">nesta matéria</a>!

Justin Sullivan/Getty Images

Bleeping Computer

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>A CrowdStrike demitiu um funcionário acusado de vender informações internas da empresa para cibercriminosos, após investigação interna realizada em outubro.</li>
 <li>O colaborador teria compartilhado capturas de tela de sistemas corporativos e cookies de autenticação SSO com o grupo hacker Scattered Lapsus$ Hunters via Telegram.</li>
 <li>Segundo a empresa, os sistemas não foram comprometidos e os dados dos clientes permanecem protegidos; o caso foi encaminhado às autoridades competentes.</li>
 <li>O grupo ShinyHunters teria oferecido US$ 25 mil ao funcionário pelos dados, mas a CrowdStrike detectou a atividade suspeita e bloqueou o acesso antes de uma invasão.</li>
 <li>A aliança entre os grupos ShinyHunters, Scattered Spider e LAPSUS$ continua ativa, com foco em ataques via ransomware e venda de ferramentas de invasão.</li>
 </ul>
</section>

CrowdStrike demite suspeito de vender acesso interno para hackers

Trojan bancário Sturnus usa permissões de acessibilidade para ler mensagens já descriptografadas diretamente da tela do dispositivo.

Pesquisadores de segurança identificaram o <a href="https://www.threatfabric.com/blogs/sturnus-banking-trojan-bypassing-whatsapp-telegram-and-signal">Sturnus</a>, um novo trojan bancário para Android. O malware, ainda em fase de desenvolvimento, já demonstra capacidades avançadas e tem como alvo instituições financeiras do sul e centro da Europa, sugerindo que os criminosos estão se preparando para uma campanha maior.O diferencial preocupante do Sturnus é sua habilidade de monitorar conversas em aplicativos com criptografia ponta a ponta como WhatsApp, Telegram e Signal. É importante reforçar que a criptografia desses apps não foi quebrada.Na verdade, o malware usa uma técnica mais perigosa — ele captura o conteúdo diretamente da tela do celular depois que as mensagens já foram descriptografadas pelo próprio aplicativo legítimo.Os pesquisadores ainda não detalharam como o malware se espalha, então é importante reforçar o cuidado ao navegar pela internet. Falando sobre Brasil, a região é atacado pelo Eternidade Stealer, <a href="https://www.tecmundo.com.br/seguranca/408710-virus-que-ataca-whatsapp-de-brasileiros-se-chama-eternidade.htm">que você pode conhecer melhor aqui</a>.<h2>Como o malware funciona</h2>O Sturnus é classificado como um trojan bancário completo, com recursos que vão muito além do roubo de credenciais financeiras. Depois de instalado no dispositivo Android, ele solicita permissões de acessibilidade — aquelas que foram criadas para ajudar pessoas com deficiência a usar o celular.Com essas permissões ativas, o malware consegue ver tudo que aparece na tela, registrar cada toque e cada palavra digitada. É como se alguém estivesse literalmente olhando por cima do seu ombro enquanto você usa o telefone, mas de forma completamente invisível.O sistema de comunicação do Sturnus com seus servidores de comando é particularmente robusto. Ele estabelece uma conexão inicial via HTTP, recebe um identificador único e uma chave de criptografia RSA do servidor. Em seguida, gera uma chave AES de 256 bits localmente no dispositivo, criptografa essa chave usando RSA e envia de volta.A partir daí, toda comunicação é protegida com criptografia AES forte, usando um vetor de inicialização diferente para cada mensagem. Isso dificulta a detecção por sistemas de segurança que analisam padrões de tráfego de rede. O malware ainda mantém um canal WebSocket paralelo, usado especialmente durante sessões de controle remoto.<h2>O truque que burla a criptografia do WhatsApp, Telegram e Signal</h2>Aqui está o ponto mais preocupante: o Sturnus não precisa quebrar a criptografia ponta a ponta desses aplicativos. Ele simplesmente espera que o aplicativo legítimo faça o trabalho de descriptografar a mensagem para exibi-la na tela.Quando você abre o WhatsApp, Telegram ou Signal, o malware detecta automaticamente e ativa seu sistema de monitoramento. Ele passa a ler toda a árvore de interface do usuário — uma estrutura que descreve cada elemento visível na tela: contatos, conversas, o conteúdo de cada mensagem que chega ou é enviada.O usuário vê a interface normal do aplicativo, com o cadeadinho de segurança indicando que a conversa está protegida. Mas do ponto de vista prático, toda aquela proteção criptográfica já não importa. O ataque acontece depois da descriptografia, no momento em que a informação precisa ser exibida para você ler.Essa técnica é particularmente eficaz porque funciona em tempo real e não deixa vestígios óbvios. Não há necessidade de interceptar pacotes de rede, não há sinais de que alguém está "escutando" a conversa. O malware simplesmente registra o que você já pode ver.<h2>Controle total do seu celular sem você perceber</h2>Além de espionar mensagens, o Sturnus oferece aos atacantes controle remoto completo do dispositivo através de duas técnicas complementares. A primeira usa o sistema nativo de captura de tela do Android para transmitir vídeo em tempo real. A segunda funciona como backup: quando a captura tradicional está bloqueada, o malware usa o serviço de acessibilidade para tirar screenshots.Mas o recurso mais sofisticado não envolve vídeo. Em vez de transmitir imagens da tela (que consomem muita banda e podem ser detectadas), o Sturnus envia descrições estruturadas de cada elemento da interface. Ele mapeia botões, campos de texto, menus e tudo que está visível — e envia essa informação ao atacante.Com esse mapa em mãos, os criminosos conseguem clicar em qualquer lugar, digitar em qualquer campo, rolar a tela, abrir aplicativos e até confirmar permissões. Tudo isso remotamente, sem que apareçam indicadores de captura de tela que normalmente alertariam o usuário.Uma das funcionalidades mais perigosas é o "black overlay" — uma tela preta que cobre completamente o dispositivo enquanto o malware executa operações em segundo plano. Você vê o celular com a tela escura, aparentemente desligado ou travado, mas na verdade transações bancárias fraudulentas estão sendo realizadas naquele exato momento.O Sturnus também mantém um arsenal de templates de phishing em HTML armazenados no dispositivo. Cada arquivo corresponde a um aplicativo bancário específico. Quando você abre o app do banco, o malware sobrepõe uma tela falsa perfeitamente idêntica à original, captura suas credenciais e as envia aos criminosos.<h2>A persistência que dificulta a remoção</h2>Remover o Sturnus não é simples. O malware consegue privilégios de administrador do dispositivo e defende ativamente esses privilégios. Quando você tenta acessar as configurações para desativar o status de administrador, o malware detecta através do monitoramento de acessibilidade e automaticamente navega para longe da tela de configurações.Enquanto mantém esses privilégios, o Sturnus pode travar o dispositivo remotamente e bloqueia qualquer tentativa de desinstalação — tanto pela interface normal quanto por ferramentas técnicas como ADB. É uma proteção em múltiplas camadas que garante a sobrevivência do malware.O sistema de monitoramento ambiental do Sturnus é igualmente impressionante. Doze receptores internos rastreiam continuamente atividade do sistema, mudanças de conectividade, estados de bateria, transições de cartão SIM, instalação de apps e comportamento USB.Ele também monitora configurações de segurança como modo desenvolvedor, depuração ADB, status do SELinux e nível de patch de segurança do Android. Qualquer mudança é imediatamente reportada aos operadores, permitindo que adaptem suas táticas.Coletando informações de sensores, rede, hardware e lista de aplicativos instalados, o malware constrói um perfil detalhado do dispositivo. Isso ajuda os atacantes a avaliar riscos, detectar ambientes de análise (como emuladores usados por pesquisadores) e garantir que estão operando em dispositivos reais de vítimas reais.<h2>Como se proteger do Sturnus</h2>A proteção contra o Sturnus começa com práticas básicas de segurança, mas exige atenção redobrada por se tratar de uma ameaça sofisticada.<ul><li>Baixe aplicativos apenas de fontes oficiais. O Sturnus, como a maioria dos trojans Android, precisa ser instalado pela vítima. Evite lojas de aplicativos alternativas e desconfie de APKs recebidos por mensagens ou e-mails, mesmo que pareçam vir de conhecidos;</li><li>Revise permissões de acessibilidade regularmente. Acesse as configurações do Android, procure por "Acessibilidade" e verifique quais aplicativos têm essas permissões ativas. Se encontrar algo suspeito ou que você não reconhece, desative imediatamente. Aplicativos legítimos raramente precisam de permissões de acessibilidade;</li><li>Desconfie de apps que pedem para se tornarem administradores do dispositivo. Pouquíssimos aplicativos legítimos precisam desse nível de privilégio. Se um app solicita isso sem uma razão clara e justificável, não conceda;</li><li>Mantenha o Android atualizado. Atualizações de segurança corrigem vulnerabilidades que podem ser exploradas por malware. Configure seu dispositivo para instalar atualizações automaticamente quando disponíveis;</li><li>Use soluções de segurança confiáveis. Antivírus móveis de empresas reconhecidas podem detectar comportamentos suspeitos e bloquear instalações maliciosas antes que causem dano;</li><li>Ative a autenticação de dois fatores baseada em aplicativo autenticador em vez de SMS. Embora o Sturnus consiga interceptar códigos exibidos na tela, aplicativos autenticadores adicionam uma camada extra de proteção que dificulta fraudes mesmo se suas credenciais forem roubadas;</li><li>Fique atento a comportamentos estranhos no celular: bateria descarregando rápido sem motivo, celular esquentando quando não está em uso, tela preta inexplicável, aplicativos abrindo sozinhos ou lentidão repentina podem ser sinais de infecção.</li></ul>Se suspeitar que seu dispositivo está comprometido, o ideal é fazer um backup dos dados pessoais importantes (fotos, contatos) em um computador, restaurar o celular para as configurações de fábrica e reinstalar aplicativos apenas de fontes oficiais. Também mude todas as senhas de contas importantes usando um dispositivo limpo.Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube. &nbsp;

ThreatFabric

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>O Sturnus é um novo trojan bancário para Android que utiliza permissões de acessibilidade para espionar mensagens de aplicativos como WhatsApp, Telegram e Signal, sem quebrar a criptografia.</li>
 <li>O malware captura o conteúdo das mensagens diretamente da tela após a descriptografia feita pelos próprios apps, permitindo leitura em tempo real sem deixar vestígios visíveis.</li>
 <li>Além de espionar, o Sturnus permite controle remoto completo do dispositivo, incluindo execução de comandos, captura de tela e sobreposição de interfaces falsas para roubo de credenciais bancárias.</li>
 <li>O trojan dificulta sua remoção ao obter privilégios de administrador e monitorar tentativas de desinstalação, além de coletar dados detalhados do dispositivo para evitar detecção.</li>
 <li>Para se proteger, recomenda-se instalar apps apenas de fontes oficiais, revisar permissões de acessibilidade, evitar conceder privilégios de administrador e manter o sistema atualizado com soluções de segurança confiáveis.</li>
 </ul>
</section>

large_sturnusgemini.jpg

medium_sturnusgemini.jpg

small_sturnusgemini.jpg

thumbnail_sturnusgemini.jpg

sturnusgemini.jpg

Novo malware rouba mensagens do WhatsApp, Telegram e Signal sem quebrar criptografia

large_burnout-soc-analyst.jpg

medium_burnout-soc-analyst.jpg

small_burnout-soc-analyst.jpg

thumbnail_burnout-soc-analyst.jpg

burnout-soc-analyst.jpg

Especialistas exaustos estão se tornando um elo crítico na defesa digital, e o avanço do burnout em cibersegurança já representa um risco real para a produtividade, a resiliência e a proteção das empresas.

Outubro marcou o Mês da Conscientização em Cibersegurança, um período que costuma concentrar debates sobre tecnologia, proteção de dados e novos vetores de ataque. Entretanto, há um tema que, embora menos visível, é igualmente urgente: o impacto humano na defesa digital. Por trás das plataformas, dos alertas e das respostas a incidentes, há profissionais que vivem sob pressão constante e o esgotamento desses especialistas já se tornou um risco para os negócios.De acordo com o Relatório sobre o Custo Humano da Vigilância 2025 da Sophos – empresa que lidero no Brasil –, 76% dos profissionais de segurança cibernética afirmaram ter sofrido burnout no último ano e um em cada cinco descreveu o problema como recorrente. O dado mais alarmante é a tendência de agravamento: 69% relataram que a situação piorou entre 2023 e 2024. Além disso, o impacto não se limita ao bem-estar individual: 39% dos entrevistados mencionaram uma queda na produtividade, 29% tiveram que se afastar do trabalho e 22% consideraram pedir demissão.O burnout entre agentes de tecnologia e segurança da informação é um fenômeno crescente. Um levantamento da International Stress Management Association no Brasil (ISMA-BR) revelou em 2024 que 32% dos brasileiros sofrem da síndrome e 72% se sentem estressados no trabalho – com destaque para áreas de alta demanda mental, como TI e cibersegurança –, ressaltando o aumento expressivo de diagnósticos da doença e evidenciando o esgotamento físico e emocional de colaboradores expostos a longas jornadas e responsabilidades críticas.No campo da cibersegurança, esse desgaste tem consequências diretas. Com equipes reduzidas, sobrecarga de alertas e pressão por respostas rápidas, profissionais lidam com um nível de estresse que mina a atenção e a eficiência – justamente os elementos que deveriam sustentar a defesa digital. Além disso, segundo estudo da ISC2, o mundo enfrenta hoje um déficit superior a 4 milhões de especialistas em segurança cibernética. Essa escassez, combinada ao esgotamento emocional, cria um ciclo perigoso: quanto mais reduzidos e pressionados os times, maiores as chances de erro humano – que ainda é o elo mais fraco da cadeia de proteção.Os dados mostram que o burnout na área de cibersegurança não é apenas uma questão de saúde mental, ele deixa as empresas mais expostas. Quando as equipes estão exaustas, erros acontecem, o tempo de resposta diminui e a probabilidade de uma violação aumenta. Ignorar esse problema é como deixar a porta destrancada para os atacantes: ameaça diretamente a resiliência, a reputação e os resultados financeiros das organizações.Diante deste cenário, torna-se fundamental repensar o equilíbrio entre tecnologia e pessoas. Soluções como Detecção e Resposta Gerenciada (MDR), já amplamente adotadas por companhias parceiras da Sophos, ajudam a aliviar a sobrecarga das equipes internas, permitindo que os profissionais foquem em tarefas estratégicas e sustentáveis.Mas, vale lembrar que a tecnologia, sozinha, não basta: é preciso promover uma cultura organizacional que reconheça a importância do descanso, do apoio psicológico e da capacitação contínua. Por isso, o debate sobre burnout na cibersegurança é também uma discussão sobre soberania digital. Nenhum país, empresa ou instituição pode ser verdadeiramente protegido se seus especialistas estão exaustos e desmotivados.O futuro da segurança digital não depende apenas de firewalls e algoritmos, mas da capacidade de manter quem os opera saudável, engajado e preparado. Ignorar isso é correr o risco de ver não apenas redes comprometidas, mas também talentos – e milhões em produtividade – drenados por uma crise silenciosa, porém devastadora.

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>O burnout entre profissionais de cibersegurança é crescente e já representa um risco real para a produtividade, resiliência e proteção das empresas.</li>
 <li>Segundo relatório da Sophos, 76% dos especialistas da área sofreram burnout em 2023, sendo que 69% relataram piora em 2024; 39% apontaram queda de produtividade e 22% cogitaram pedir demissão.</li>
 <li>Estudo da ISMA-BR indica que 32% dos brasileiros têm burnout e 72% se sentem estressados no trabalho, com destaque para áreas como TI e segurança da informação.</li>
 <li>A escassez global de mais de 4 milhões de profissionais de cibersegurança agrava o problema, aumentando a sobrecarga e o risco de erros humanos nas defesas digitais.</li>
 <li>Especialistas defendem o uso de soluções como MDR e a criação de uma cultura organizacional que valorize o bem-estar, o apoio psicológico e a capacitação contínua.</li>
 </ul>
</section>

Burnout virou a brecha mais perigosa da cibersegurança

notificacoes-de-emails-recebidos-aparecendo-na-tela-do-notebook

large_gmail-lendo-emails-de-usuarios.jpg

medium_gmail-lendo-emails-de-usuarios.jpg

small_gmail-lendo-emails-de-usuarios.jpg

thumbnail_gmail-lendo-emails-de-usuarios.jpg

gmail-lendo-emails-de-usuarios.jpg

O compartilhamento dos conteúdos de emails é ativado por padrão, mas o usuário pode desativar o recurso manualmente.

O Gmail pode acessar mensagens privadas e anexos armazenados no serviço de email para treinar seus modelos de inteligência artificial (IA), após mudanças implementadas discretamente nos termos de uso. É o que apontam relatos de usuários que notaram as alterações na plataforma, esta semana.Como destaca o Malwarebytes Labs, a gigante de Mountain View quer analisar conteúdos da caixa de entrada para refinar recursos baseados no Gemini que <a href="https://www.tecmundo.com.br/software/408352-gemini-agora-realiza-pesquisa-profunda-no-gmail-e-drive.htm" target="_blank">têm chegado ao Gmail</a>, como a sugestão de palavras e frases e as respostas geradas por IA. O acesso aos emails é ativado por padrão, mas o usuário pode desabilitá-lo.<div class="raw-html-embed"><blockquote class="twitter-tweet">IMPORTANT message for everyone using Gmail. You have been automatically OPTED IN to allow Gmail to access all your private messages &amp; attachments to train AI models. You have to manually turn off Smart Features in the Setting menu in TWO locations. Retweet so every is aware. <a href="https://t.co/54FKcr4jO2">pic.twitter.com/54FKcr4jO2</a>— Dave Jones (@eevblog) <a href="https://twitter.com/eevblog/status/1991293066175492297?ref_src=twsrc%5Etfw">November 19, 2025</a></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script></div><h2>Como impedir o Gmail de ler seus emails e anexos?</h2>Apesar das melhorias que o compartilhamento dos conteúdos pode trazer para os recursos de IA e da promessa do Google de anonimizar os <a href="https://www.tecmundo.com.br/mercado/286566-treinamento-gemini-emissao-poluentes-do-google-disparar.htm" target="_blank">dados usados em treinamentos</a>, muitas pessoas não querem que a empresa leia suas mensagens. Se é o seu caso, faça a desativação manualmente.Para evitar que a big tech use seus emails para treinar o Gemini, desative os “Recursos Inteligentes” do Gmail:<ul><li>Abra o Gmail, clique no ícone da engrenagem e em “Mostrar todas as configurações”, na versão web, ou toque em Menu &gt; Configurações no app;</li><li>Role a tela até a seção “Recursos inteligentes” e desmarque esta opção;</li><li>Clique em “Salvar alterações”, no final da página, para concluir o processo.</li></ul><figure class="image"><img src="https://tm.ibxk.com.br/2025/11/21/gmail_lendo_emails_de_usuarios_1_658297c454.jpg" alt="configuracoes-do-gmail" srcset="https://tm.ibxk.com.br/2025/11/21/thumbnail_gmail_lendo_emails_de_usuarios_1_658297c454.jpg 245w,https://tm.ibxk.com.br/2025/11/21/small_gmail_lendo_emails_de_usuarios_1_658297c454.jpg 500w,https://tm.ibxk.com.br/2025/11/21/medium_gmail_lendo_emails_de_usuarios_1_658297c454.jpg 750w," sizes="100vw"><figcaption>A desativação dos recursos inteligentes deve ser feita nas configurações do Gmail e do Workspace. (Imagem: André Dias/TecMundo)</figcaption></figure>Também é importante fazer a desativação no Google Workspace:<ul><li>Nas configurações da plataforma, localize a seção de recursos inteligentes e clique em “Gerenciar configurações inteligentes de recursos do Workspace”;</li><li>Desative as opções “Recursos inteligentes no Google Workspace” e “Recursos inteligentes em outros produtos do Google”;</li><li>Clique em “Salvar”.</li></ul>&nbsp;Nos smartphones Android e iPhone, o caminho é o mesmo:<ul><li>Abra o app do Gmail, toque no menu e vá em “Configurações”;</li><li>Caso tenha mais de uma conta logada, selecione a conta que quer desativar a opção;</li><li>Desça até a aba “Geral” ou até a opção “Privacidade dos dados” e desmarque a opção de “Recursos inteligentes”.</li></ul><figure class="image"><img src="https://tm.ibxk.com.br/2025/11/21/gmail_c6a40b072f.png" alt="gmail.png" srcset="https://tm.ibxk.com.br/2025/11/21/thumbnail_gmail_c6a40b072f.png 158w,https://tm.ibxk.com.br/2025/11/21/small_gmail_c6a40b072f.png 500w,https://tm.ibxk.com.br/2025/11/21/medium_gmail_c6a40b072f.png 750w,https://tm.ibxk.com.br/2025/11/21/large_gmail_c6a40b072f.png 1000w," sizes="100vw"><figcaption>É possível desabilitar os recursos inteligentes do Gmail acessando as configurações.</figcaption></figure>De acordo com a publicação, a gigante da tecnologia separa os recursos inteligentes do Workspace das <a href="https://www.tecmundo.com.br/software/407803-gemini-vai-te-ajudar-a-marcar-reunioes-no-gmail.htm" target="_blank">ferramentas baseadas em IA</a> utilizadas nos demais apps. Dessa forma, é necessário desabilitar o compartilhamento nos dois locais para impedir o acesso total aos materiais.O Google lançou a atualização de maneira gradual, por isso nem todas as contas terão essas opções de recursos inteligentes ativadas por padrão. Mas quando isso acontecer, basta seguir as dicas acima para impedir que o Gemini acesse os conteúdos de seus emails.Em nota, a empresa negou categoricamente que o Gmail lê mensagens de usuários para treinar a sua inteligência artificial. Confira na íntegra:“Esses relatos são enganosos – não alteramos as configurações de ninguém; os Recursos Inteligentes do Gmail existem há muitos anos e não usamos o conteúdo da sua conta de Gmail para treinar o Gemini, nosso modelo de IA. Por fim, sempre somos transparentes e claros quando fazemos alterações em nossos termos de serviço e políticas.”E você, o que pensa sobre o Gmail lendo as mensagens dos usuários para treinar o Gemini? Comente nas redes sociais do TecMundo.*A matéria foi atualizada em 24/11/2025 com o posicionamento do Google negando a prática no Gmail.

André Dias/Tecmundo

juststock/Getty Images

Malwarebytes Labs

X/eevblog

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>O Gmail passou a acessar mensagens e anexos dos usuários para treinar modelos de inteligência artificial, como parte de mudanças discretas nos termos de uso.</li>
 <li>Esse acesso é ativado por padrão e visa aprimorar recursos baseados no Gemini, como sugestões de texto e respostas automáticas.</li>
 <li>Usuários podem desativar manualmente a função nas configurações do Gmail e do Google Workspace, tanto na versão web quanto em dispositivos móveis.</li>
 <li>É necessário desabilitar os “Recursos inteligentes” em dois locais distintos para impedir completamente o uso dos dados.</li>
 <li>O Google ainda não se pronunciou oficialmente sobre a nova política, e a ativação está sendo feita de forma gradual nas contas.</li>
 </ul>
</section>

Gmail pode “ler” mensagens e anexos de usuários para treinar IA; saiba como desativar

Aplicativos maliciosos monitoram câmeras, microfones e conversas sem deixar rastro

Celulares e tablets de crianças e adolescentes são invadidos por programas que você nem imagina que existem. Spyware e stalkerware se espalham de forma silenciosa e comprometem a privacidade dos menores de idade — até transformando dispositivos em ferramentas de vigilância, segundo a empresa de cibersegurança ESET.Os aplicativos maliciosos se instalam sem que ninguém perceba e permitem que terceiros monitorem tudo: atividades, câmeras, microfones, dados pessoais. Chegam até a manipular mensagens e senhas. Um pesadelo que acontece debaixo do nariz dos pais.<h2>A diferença entre espionar e perseguir</h2>Spyware e stalkerware compartilham funcionalidades, mas os propósitos são bem diferentes. O primeiro foca no roubo de informações confidenciais — credenciais bancárias, históricos de navegação, dados que valem dinheiro. Já o stalkerware é usado para vigiar pessoas conhecidas, especialmente em contextos de relacionamentos abusivos, assédio ou controle excessivo."As infecções por spyware podem ocorrer de muitas formas: ao clicar em links falsos, abrir anexos de e-mails fraudulentos ou baixar aplicativos aparentemente inofensivos que escondem funções de espionagem. Já o software de assédio costuma ser instalado manualmente por alguém com acesso físico ao dispositivo", explica Camilo Gutierrez Amaya, chefe do Laboratório de Pesquisa da ESET América Latina.<h2>O caso Ratel: espionagem disfarçada de jogo</h2>Em 2024, a ESET identificou um canal no Telegram que distribuía o spyware Ratel, disfarçado de Hamster Kombat. O malware sequestrava mensagens SMS e permitia que criminosos pagassem assinaturas e serviços com o dinheiro da vítima. Tudo sem deixar rastro. O aplicativo falso não exibia interface. Ao ser aberto, pedia acesso às notificações para interceptar comunicações e ocultar alertas legítimos. A vítima não sabia de nada.<h2>Stalkerware: o espião invisível</h2>O stalkerware é mais difícil de detectar. Ele opera disfarçado sob o nome e ícone de outro aplicativo, executando-se em segundo plano para registrar localização, comportamento e uso do aparelho. Em 2021, a ESET analisou 86 aplicativos de vigilância para Android. O resultado? Falhas graves de segurança em 58 deles, expondo tanto as vítimas quanto os próprios agressores ao risco de roubo de dados e invasão de contas."A diferença entre o stalkerware e os aplicativos de controle parental é a transparência. Enquanto as ferramentas para pais são criadas para proteger e acompanhar as crianças de forma ética, o stalkerware atua em segredo. Por isso, é essencial que o monitoramento digital seja feito com diálogo e consentimento, explicando às crianças o propósito e o alcance dessas ferramentas", afirma Gutierrez.<h2>Os sinais de que algo está errado</h2>O dispositivo começou a se comportar de forma estranha? Fique atento. Entre os sinais de alerta estão:<ul><li>Superaquecimento sem motivo aparente;</li><li>Consumo elevado de bateria e dados;</li><li>Travamentos recorrentes;</li><li>Aplicativos desconhecidos com nomes genéricos como "Serviço do sistema" ou “Administrador do dispositivo”;</li><li>Mudanças automáticas nas configurações de privacidade;</li><li>Ativação repentina do GPS;</li><li>Luz da câmera que pisca sem uso.</li></ul>Alguns desses programas têm a capacidade de registrar em tempo real tudo o que acontece na tela do celular. Eles capturam imagens, mensagens, senhas digitadas e até conversas em aplicativos de bate-papo. Tudo é armazenado temporariamente antes de ser enviado aos invasores.Versões mais sofisticadas conseguem ocultar totalmente sua presença no menu principal do dispositivo. Mesmo quando desinstaladas, algumas deixam resquícios de código malicioso capazes de continuar coletando dados ou reativar o acesso remoto.Por isso, especialistas recomendam o uso de ferramentas de segurança confiáveis, capazes de identificar e eliminar ameaças mesmo quando elas tentam se esconder sob permissões do sistema."Os antivírus atuais contam com tecnologias de análise comportamental que conseguem detectar esse tipo de atividade suspeita, como gravações não autorizadas ou transmissões de dados anormais, permitindo uma limpeza completa do dispositivo e reduzindo os riscos de novas infecções", orienta Camilo Gutierrez Amaya.<h2>O que fazer se o aparelho foi comprometido</h2>Suspeita de infecção? Aja rápido. A orientação inicial é instalar um antivírus confiável, preferencialmente de uma empresa reconhecida, e garantir que o software esteja atualizado com as últimas definições de segurança.Essa medida é essencial para detectar ameaças recentes, que muitas vezes se disfarçam de aplicativos legítimos.Em seguida, desconecte o aparelho da internet — seja do Wi-Fi ou da rede móvel. Isso impede que os invasores mantenham acesso remoto ao dispositivo ou continuem enviando e recebendo informações.<ul><li><a href="https://www.tecmundo.com.br/seguranca/404632-cupom-nordvpn.htm" target="_blank">Navegue com mais segurança e economia usando o cupom NordVPN!</a></li></ul>Com o aparelho offline, realize uma varredura completa do sistema, examinando todos os arquivos e aplicativos instalados.Se o antivírus apontar a presença de um programa suspeito, remova-o imediatamente. Se possível, reinicie o dispositivo no modo de segurança para garantir que nenhum processo oculto permaneça ativo.Após a limpeza, altere todas as senhas associadas ao celular: e-mails, redes sociais, aplicativos bancários e serviços em nuvem. Esses dados podem ter sido interceptados.Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>Aplicativos espiões como spyware e stalkerware estão invadindo dispositivos de crianças e adolescentes, comprometendo sua privacidade ao monitorar câmeras, microfones, mensagens e dados pessoais.</li>
 <li>O spyware visa roubar informações confidenciais, enquanto o stalkerware é usado para vigilância pessoal em contextos abusivos; ambos operam de forma oculta e difícil de detectar.</li>
 <li>Em 2024, a ESET identificou o spyware Ratel, disfarçado de jogo no Telegram, que sequestrava mensagens SMS e permitia fraudes financeiras sem deixar rastros.</li>
 <li>Sinais de infecção incluem superaquecimento, consumo anormal de bateria, travamentos, aplicativos desconhecidos e alterações nas configurações de privacidade.</li>
 <li>Especialistas recomendam o uso de antivírus confiáveis, desconexão da internet e varredura completa do sistema para remover ameaças e proteger os dados do usuário.</li>
 </ul>
</section>

large_criança-chat-gpt.png

medium_criança-chat-gpt.png

small_criança-chat-gpt.png

thumbnail_criança-chat-gpt.png

criança-chat-gpt.png

Crianças e adolescentes são alvo de aplicativos espiões

Um novo vírus que se espalha via arquivos ZIP maliciosos ataca o WhatsApp de brasileiros. Para se proteger, evite baixar arquivos .ZIP e .PDF no WhatsApp, além de usar um bom antivírus.

Um novo vírus que se espalha via arquivos ZIP maliciosos ataca o WhatsApp de brasileiros. Além de roubar contatos de vítimas — e se espalhar por meio deles —, o trojan chamado Eternidade consegue invadir contas bancárias, roubar arquivos e capturas de telas.O método começa a virar clássico: ele usa o WhatsApp móvel para enganar a vítima e força a abertura do WhatsApp Web para o download do malware final.A descoberta, feita por pesquisadores de segurança da SpiderLabs Threat Research Team (<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/spiderlabs-ids-new-banking-trojan-distributed-through-whatsapp/">Trustwave</a>), revela uma campanha criminosa que mistura táticas de engenharia social para infectar smartphones com o chamado ‘Eternidade Stealer’.Interessante notar que o cibercrime brasileiro, com os recentes ataques de trojans e malwares localizados, começa a pisar em um território mais sofisticado que foge dos padrões phishing e páginas falsas. Além disso, o software malicioso possui similares de assinatura referente ao cibercriminoso Water Saci, envolvido com os malwares <a href="https://www.tecmundo.com.br/seguranca/407811-maverick-novo-malware-se-espalha-pelo-whatsapp-para-controlar-dispositivos.htm">Maverick</a>, <a href="https://www.tecmundo.com.br/seguranca/407548-brasil-e-alvo-de-virus-que-se-espalha-sozinho-pelo-whatsapp.htm">Coyote e Sorvepotel</a>.De acordo com a equipe que fez a descoberta, o Eternidade é um trojan bancário escrito na linguagem Delphi. “Ele usa o Protocolo de Acesso a Mensagens da Internet (IMAP) para recuperar endereços de comando e controle (C2) de forma dinâmica, permitindo que o atacante atualize seu servidor C2”, explica a equipe.O modus operandi do Eternidade Stealer acontece da seguinte maneira:&nbsp;<ul><li>Cibercriminosos levantam informações relacionadas ao alvo (dados vazados, contas usadas, assuntos interessantes etc);</li><li>Alvo recebe uma mensagem instigante com arquivo ZIP para download;</li><li>O arquivo ZIP possui um script VBS (Visual Basic Script) ofuscado, que automatiza tarefas no Windows.</li></ul>Assim que executado, ele age de duas maneiras: é disseminado aos contatos da conta via script Pyhton (como um worm) e ativa um instalador MSI com script AutoIt para acionar o Eternidade Stealer. A partir deste ponto, dados bancários podem ser roubados; falaremos mais para frente sobre isso.<figure class="image"><img src="https://tm.ibxk.com.br/2025/11/19/templete_1a1c5d67b4.jpg" alt="templete.jpg" srcset="https://tm.ibxk.com.br/2025/11/19/thumbnail_templete_1a1c5d67b4.jpg 245w,https://tm.ibxk.com.br/2025/11/19/small_templete_1a1c5d67b4.jpg 500w,https://tm.ibxk.com.br/2025/11/19/medium_templete_1a1c5d67b4.jpg 750w," sizes="100vw"><figcaption>Template de mensagem no código do trojan (Fonte: Trustwave)</figcaption></figure><h2>Cadeia de infecção</h2>Segundo os pesquisadores, o Eternidade faz conexão com um servidor remoto e abusa do projeto WPPConnect, que tem código aberto. O WPPConnect é uma ferramenta livre para automatizações de WhatsApp. Dessa maneira, o cibercriminoso obtém toda a lista de contatos da vítima (nome completo e número telefônico associado).“Os contatos são roubados e enviados para um servidor C2 assim que são coletados, sem qualquer possibilidade de impedimento”, explicam os pesquisadores. “Cada contato inclui o número de telefone e o nome da vítima, tornando-o valioso para ataques direcionados. O ID da sessão e o nome da máquina permitem que os atacantes correlacionem dados de múltiplas infecções. Os dados são então enviados via HTTP POST em texto simples (embora o HTTPS seja usado, os dados em si não são criptografados)”.Então, assim que o arquivo ZIP é baixado, o malware envia uma mensagem para todos os contatos da conta WhatsApp da vítima, “junto de uma saudação personalizada, o arquivo malicioso e uma mensagem de acompanhamento”. A mensagem força o download via WhatsApp Web para ativar o vírus Eternidade.<figure class="image"><img src="https://tm.ibxk.com.br/2025/11/19/3_ab9eeab553.jpg" alt="3.jpg" srcset="https://tm.ibxk.com.br/2025/11/19/thumbnail_3_ab9eeab553.jpg 245w,https://tm.ibxk.com.br/2025/11/19/small_3_ab9eeab553.jpg 500w," sizes="100vw"><figcaption>Cadeia de infecção (Fonte: Trustwave)</figcaption></figure><h2>Eternidade Stealer</h2>O trojan bancário Eternidade tem a capacidade de roubar informações diversas de um dispositivo infectado. Entre as mais ‘básicas’, estão os dados de hardware do computador, como:<ul><li>Nome do computador;</li><li>Versão e compilação do SO;</li><li>Nome de usuário;</li><li>Endereço IP local e público;</li><li>Data e hora atuais;</li><li>Software antivírus, firewall e antispyware instalados, incluindo seu estado.</li></ul>As informações mais graves que ele tem a capacidade roubar envolvem credenciais (logins e senhas) e mensagens de autenticação. Ele faz isso simulando páginas falsas de bancos usados pela vítima, assim, ela preenche os campos com todos os dados necessários para acesso.Os pesquisadores também afirmam que o vírus escaneia o computador para encontrar dados associados de serviços bancários e de criptomoedas.&nbsp;Nomes de bancos escaneados: Santander, Banco do Brasil, Banrisul, Tribanco, Bradesco, Sicredi, Sicoob, BMG, BTG Pactual, BS2, Itaú, Caixa Econômica Federal (CEF), Banco Mercantil, Banco do Nordeste (BNB) e Banco da Amazônia.Nomes de serviços de pagamento e carteiras escaneados: MercadoPago, RecargaPay, Stripe, Electrum, Exodus, Atomic Wallet, MetaMask, Ledger Live, Trust Wallet, Blockchain.com, Coinomi, Phantom Wallet, Solflare, TokenPocket e Math Wallet.Nomes de plataformas digitais (criptomoedas) escaneadas: Binance, OKX, Crypto.com, Coinbase, Foxbit, Novadax, Bitget, Bybit, Coinext, Kucoin, Kraken, Bitstamp, Bitfinex, Poloniex, Huobi, Gate.io e Gemini.“Esse tipo de comportamento reflete uma tática clássica de malwares bancários (bankers) e stealers de sobreposição (que simulam páginas falsas), onde componentes maliciosos permanecem inativos até que a vítima abra um aplicativo bancário ou de carteira digital alvo, garantindo que o ataque seja acionado apenas em contextos relevantes e permaneça invisível para usuários comuns ou ambientes de sandbox”, adicionam.<figure class="image"><img src="https://tm.ibxk.com.br/2025/11/19/caixa4_c8b7500f54.jpg" alt="caixa4.jpg" srcset="https://tm.ibxk.com.br/2025/11/19/thumbnail_caixa4_c8b7500f54.jpg 245w,https://tm.ibxk.com.br/2025/11/19/small_caixa4_c8b7500f54.jpg 500w,https://tm.ibxk.com.br/2025/11/19/medium_caixa4_c8b7500f54.jpg 750w,https://tm.ibxk.com.br/2025/11/19/large_caixa4_c8b7500f54.jpg 1000w," sizes="100vw"><figcaption>Tela falsa da CAIXA simulada pelo malware (Fonte: Trustwave)</figcaption></figure>Por último, as capacidades do Eternidade também envolvem capturas de tela enviadas aos operadores, bem como arquivos diversos presentes no sistema operacional — incluindo fotos, vídeos etc.“O Eternidade Stealer é uma ameaça ativa e em constante evolução que destaca duas tendências preocupantes: o uso crescente do WhatsApp como vetor de distribuição e o desenvolvimento contínuo do malware, incluindo recuperação dinâmica de C2 baseada em IMAP, técnicas de evasão aprimoradas e geolocalização para atingir vítimas brasileiras. Os profissionais de segurança cibernética devem permanecer vigilantes quanto a atividades suspeitas no WhatsApp, execuções inesperadas de MSI ou scripts e indicadores relacionados a essa campanha em andamento”, finalizam os pesquisadores.<figure class="image"><img src="https://tm.ibxk.com.br/2025/11/19/22222_f086bb6ed6.jpg" alt="22222.jpg" srcset="https://tm.ibxk.com.br/2025/11/19/thumbnail_22222_f086bb6ed6.jpg 151w,https://tm.ibxk.com.br/2025/11/19/small_22222_f086bb6ed6.jpg 485w,https://tm.ibxk.com.br/2025/11/19/medium_22222_f086bb6ed6.jpg 728w,https://tm.ibxk.com.br/2025/11/19/large_22222_f086bb6ed6.jpg 970w," sizes="100vw"><figcaption>Print do vírus buscando infectar vítima; texto em inglês sobrepondo texto em português (Fonte: Trustwave)</figcaption></figure><h2>Como se proteger de trojans, malwares e worms</h2>O TecMundo recomenda os seguintes passos para se proteger de ameaças em aplicativos, emails e redes sociais:<ul><li>Utilize antivírus: mantenha um bom antivírus instalado no seu celular e computador (Avast, Kaspersky, ESET, MalwareBytes etc);</li><li>Atenção aos golpes direcionados: confie na sensação de estranhamento em mensagens recebidas; não faça o download de arquivos recebidos via WhatsApp, principalmente arquivos .ZIP e .PDF;</li><li>Atenção ao CPF: utilize o Registrato, do Banco Central, para acompanhar movimentações no seu CPF;</li><li>Proteja-se: tenha segundo fator de autenticação em todas as suas contas (se possível, com app terceiro, sem SMS);</li><li>Utilize novas senhas longas (mais de 12 caracteres) e complexas;</li><li>Altere suas senhas a cada seis meses e não repita entre serviços;</li><li>Mantenha seu sistema operacional atualizado com a última versão disponível. &nbsp;</li></ul>

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>O trojan bancário chamado Eternidade está se espalhando entre brasileiros via arquivos ZIP maliciosos enviados pelo WhatsApp, utilizando engenharia social para enganar as vítimas.</li>
 <li>O malware rouba contatos da vítima, se propaga automaticamente por meio deles e tem capacidade de invadir contas bancárias, capturar telas e extrair arquivos do sistema.</li>
 <li>O Eternidade é escrito em Delphi, utiliza o protocolo IMAP para atualizar dinamicamente seus servidores de comando e controle (C2) e abusa do projeto WPPConnect para acessar contatos do WhatsApp.</li>
 <li>O vírus simula páginas falsas de bancos e carteiras digitais para capturar credenciais, além de escanear o sistema em busca de dados relacionados a instituições financeiras e plataformas de criptomoedas.</li>
 <li>Especialistas recomendam o uso de antivírus, atenção a arquivos suspeitos no WhatsApp, autenticação em dois fatores e senhas fortes como medidas de proteção contra esse tipo de ameaça.</li>
 </ul>
</section>

large_whatsapp.jpg

medium_whatsapp.jpg

small_whatsapp.jpg

thumbnail_whatsapp.jpg

whatsapp.jpg

Vírus ataca WhatsApp de brasileiros em mensagens urgentes e enganosas

large_vulnerabilidade-no-chrome.jpg

medium_vulnerabilidade-no-chrome.jpg

small_vulnerabilidade-no-chrome.jpg

thumbnail_vulnerabilidade-no-chrome.jpg

vulnerabilidade-no-chrome.jpg

O update de segurança já está disponível nas versões do Chrome para Windows, Linux e macOS.

O Google disponibilizou na segunda-feira (17) uma nova atualização para a versão desktop do Chrome com importantes correções de segurança, solucionando uma falha de dia zero explorada em ataques no navegador. A brecha é considerada de alta gravidade, exigindo a instalação imediata do update para reduzir riscos.Esta é a sétima vulnerabilidade zero-day no browser corrigida pela companhia de Mountain View em 2025. Neste tipo de campanha maliciosa, cibercriminosos se antecipam para <a href="https://www.tecmundo.com.br/seguranca/280324-ataques-dia-zero-eles-funcionam.htm" target="_blank">explorar bugs desconhecidos</a> antes que medidas de proteção sejam implementadas, podendo causar danos significativos.<h2>Google não forneceu detalhes sobre os ataques</h2>Registrada como CVE-2025-13223, a vulnerabilidade de segurança no Chrome tem relação com uma confusão tipográfica no motor JavaScript V8 do navegador. O problema foi identificado na última semana por Clement Leigne, que integra o Grupo de Análise de Ameaças do Google (TAG).<ul><li>Embora tenha sido classificada como de <a href="https://www.tecmundo.com.br/seguranca/407329-falha-de-seguranca-em-roteadores-da-cisco-e-explorada-em-ataques-dos.htm" target="_blank">alta gravidade</a>, a gigante das buscas não divulgou maiores detalhes a respeito da brecha, até o momento;</li><li>As restrições devem ser mantidas até que a maioria dos usuários do browser instale a correção disponibilizada, como explicou a empresa;</li><li>“Também manteremos restrições se o bug existir em uma biblioteca de terceiros da qual outros projetos também dependem, mas ainda não corrigiram”, completou a companhia;</li><li>O relatório confirmou, ainda, a existência de uma campanha em andamento que explora essa vulnerabilidade.</li></ul><figure class="image"><img src="https://tm.ibxk.com.br/2025/11/19/vulnerabilidade_no_chrome_1_1f2181d29a.png" alt="tela-de-atualizacao-do-chrome" srcset="https://tm.ibxk.com.br/2025/11/19/thumbnail_vulnerabilidade_no_chrome_1_1f2181d29a.png 245w,https://tm.ibxk.com.br/2025/11/19/small_vulnerabilidade_no_chrome_1_1f2181d29a.png 500w,https://tm.ibxk.com.br/2025/11/19/medium_vulnerabilidade_no_chrome_1_1f2181d29a.png 750w,https://tm.ibxk.com.br/2025/11/19/large_vulnerabilidade_no_chrome_1_1f2181d29a.png 1000w," sizes="100vw"><figcaption>Atualize o Chrome para mitigar os riscos relacionados à vulnerabilidade. (Imagem: BleepingComputer/Reprodução)</figcaption></figure>Apesar da falta de informações sobre que tipo de ataque tem relação com a brecha corrigida, os pesquisadores de segurança do TAG normalmente focam na identificação de falhas de dia zero exploradas por cibercriminosos associados a governos, como lembrou o BleepingComputer.Em geral, esses invasores estão envolvidos em <a href="https://www.tecmundo.com.br/seguranca/407959-campanha-de-espionagem-ataca-governos-no-brasil.htm" target="_blank">campanhas de espionagem online</a> que miram alvos como políticos de oposição, ativistas, advogados, jornalistas e outros indivíduos de alto risco. Porém, não se sabe se a operação realmente inclui o uso de spyware.<h2>Como atualizar o Chrome?</h2>As atualizações de segurança do <a href="https://www.tecmundo.com.br/internet/42331-ios-como-limpar-o-historico-de-navegacao-do-chrome.htm" target="_blank">navegador do Google</a> são instaladas automaticamente, assim que liberadas. Porém, é possível checar a disponibilidade do update clicando no ícone dos três pontinhos, no canto direito superior do Chrome, e depois em “Ajuda” e “Sobre o Google Chrome”.Se a atualização estiver disponível, será iniciada automaticamente, bastando aguardar o término do processo e clicar em “Reiniciar”, ao final, para completar a instalação e obter a proteção. A correção faz parte das versões 142.0.7444.175.176 para Windows, 142.0.7444.176 para Mac e 142.0.7444.175 para Linux.E você, já atualizou o Chrome? Interaja com a gente, comentando nas redes sociais do TecMundo.

BleepingComputer/Reprodução

PUGUN SJ/Getty Images

BleepingComputer

Google

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>O Google lançou em 17 de junho uma atualização de segurança para o Chrome nas versões desktop (Windows, macOS e Linux), corrigindo uma falha de dia zero considerada de alta gravidade.</li>
 <li>A vulnerabilidade, identificada como CVE-2025-13223, está relacionada a uma confusão tipográfica no motor JavaScript V8 e foi descoberta por Clement Leigne, do Grupo de Análise de Ameaças do Google.</li>
 <li>Esta é a sétima falha de dia zero corrigida no Chrome em 2025; a empresa confirmou que a brecha está sendo explorada em uma campanha ativa, mas não divulgou detalhes sobre os ataques.</li>
 <li>O Google manterá restrições de divulgação até que a maioria dos usuários atualize o navegador ou que bibliotecas de terceiros afetadas também sejam corrigidas.</li>
 <li>A atualização é instalada automaticamente, mas pode ser verificada manualmente no menu “Ajuda” > “Sobre o Google Chrome”; as versões corrigidas são 142.0.7444.175.176 (Windows), 142.0.7444.176 (Mac) e 142.0.7444.175 (Linux).</li>
 </ul>
</section>

Google lança atualização para corrigir falha de segurança grave no Chrome

O Google finalmente uniu Android e iPhone, facilitando a transferência de fotos e arquivos de forma nativa. Elon Musk está no mesmo nível de Leonardo da Vinci, Jesus Cristo e LeBron James, segundo classificação do próprio Grok. O Spotify agora importa playlists de outras plataformas, a Galaxy Store da Samsung tá dando cupons de até 90% em apps. A IA deu um salto: o ChatGPT liberou chats em grupo no Brasil para até 20 pessoas, e o Google lançou o Nano Banana Pro. Mas atenção: o Google liberou uma atualização urgente para o Chrome, corrigindo a sétima falha de dia zero que estava sendo atacada. 🌌 SEU SINAL CHEGOU! ✨ Play na Black da Acer com até 35% OFF em setups, frete sudeste GRÁTIS, +12% OFF no Pix/à vista e 12x SEM JUROS! 🚀 Acesse JÁ e faça o seu UPGRADE! ➡️ <a href="https://" target="_blank" rel="nofollow noopener">https://</a>encurtador.com.br/OuOko 🚨 VEM PRO GUIA DE COMPRAS! <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/guia-de-compras/?utm_source=youtube&utm_medium=video&utm_campaign=hoje-no-tecmundo ✅ Inscreva-se no Clube de Membros TecMundo e tenha acesso a benefícios exclusivos: <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>youtube.com/@tecmundo/membership 🔔 Marque na agenda: 27 e 28/11! 🔴 TecMundo ao vivo no YouTube com cobertura da Black Friday! Análise honesta, comparativo de preços e bloco Acer! Ative o sininho! 🛍️ - Guia de Compras TecMundo: <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/guia-de-compras/ - Newsletter do Guia de Compras: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>mailchi.mp/nzn/newsletter-guiadecompras - Entre no nosso canal de ofertas no WhatsApp: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/tecmundoofertas ⚠️ Assine a newsletter do The BRIEF e seja sempre o mais informado no café da empresa: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>thebrief-newsletter.beehiiv.com/subscribe?utm_source=youtube&utm_medium=hojenotec&utm_campaign=maio #[Tipo: Hoje no Tecmundo] 00:00 Notícias de Hoje 01:14 Android agora é compatível com AirDrop para transferir arquivos com o iPhone <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/produto/408723-android-agora-e-compativel-com-air-para-transferir-arquivos-com-o-iphone.htm 03:29 Spotify finalmente vai permitir importar playlists de outras plataformas <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/software/408729-spotify-finalmente-vai-permitir-importar-playlists-de-outras-plataformas.htm 05:44 Conversas em grupo no ChatGPT chegam ao Brasil para todos usuários <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/software/408707-conversas-em-grupo-no-chatgpt-chegam-ao-brasil-para-todos-usuarios.htm 07:34 Google lança Nano Banana Pro para gerar imagens realistas com IA <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/produto/408726-google-lanca-nano-banana-pro-para-gerar-imagens-realistas-com-ia.htm 08:45 Google lança atualização para corrigir falha de segurança grave no Chrome <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/seguranca/408702-google-lanca-atualizacao-para-corrigir-falha-de-seguranca-grave-no-chrome.htm 10:20 IA Grok 'alucina' no X e diz que Musk é melhor até que Jesus; entenda <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/redes-sociais/408741-ia-grok-alucina-no-x-e-diz-que-musk-e-melhor-ate-que-jesus-entenda.htm 11:10 Galaxy Store dá cupons de até 90% para apps e jogos em promoção <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/software/408703-galaxy-store-da-cupons-de-ate-90-para-apps-e-jogos-em-promocao.htm 12:14 Aconteceu na História 13:04 Bom final de semana, pessoal! Extensão do TecMundo: encontre cupons escondidos nas principais lojas online: <a href="http://" target="_blank" rel="nofollow noopener">http://</a>bit.ly/3ZkKOji - Os melhores cupons Online para você! <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/cupons 💡 Participe dos canais do TecMundo no WhatsApp! - TecMundo: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/whatstecmundo - Voxel: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/whatsvoxel - Mega Curioso: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/whatsmegacurioso - Minha Série: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/whatsminhaserie 💡 Temos grupos também no Telegram! - TecMundo: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/3JZoTbm - Voxel: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/telegramvoxel - Mega Curioso: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/telegrammegacurioso - Minha Série: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/telegramminhaserie CRÉDITOS Roteiro: Amanda Fleure Apresentação: Amanda Fleure Imagens e áudio: Amanda Fleure Produção: Amanda Fleure Edição de vídeo: Rafael Nogoceke Motion Graphics: Gustavo Silva Arte da thumb: Arthur Russo A melhor programação está no TecMundo - História da Tecnologia - Análises, Unboxings e tudo sobre Produtos! - TecDocs - Matérias especiais - Assistência Tec - Lives de tradução e cobertura de eventos - Listas - Hoje no TecMundo #Google #Android #iPhone #ElonMusk #Spotify #Samsung #GalaxyStore #ChatGPT #InteligenciaArtificial #NanoBananaPro #GoogleChrome #SegurancaDigital #Tecnologia #Apps #AtualizacaoUrgente

ELON MUSK maior que LEBRON JAMES e JESUS? FINALMENTE ANDROID + iPHONE JUNTOS e ChatGPT para GRUPOS!

Trojan consegue redirecionar chamadas, tirar fotos, interceptar SMS e extrair seed phrases de carteiras enquanto se esconde de ferramentas de análise em laboratório

Três variantes de um trojan bancário sofisticado foram descobertas mirando principalmente usuários do Sudeste Asiático. O malware, que recebeu o nome de Android/BankBot-YNRK, tem foco especial em bancos do Vietnã, Indonésia, Malásia e Índia — e traz um arsenal impressionante de funcionalidades para roubar dinheiro e criptomoedas.Os três arquivos maliciosos identificados têm aproximadamente 23.88 MB e foram disfarçados sob o nome "IdentitasKependudukanDigital.apk". Em indonésio, isso significa algo como "Identidade Civil Digital" — claramente tentando se passar por um aplicativo governamental legítimo para ganhar a confiança das vítimas.O que torna esse malware particularmente perigoso é o abuso sistemático dos Serviços de Acessibilidade do Android. Com as permissões de acessibilidade, o Android/BankBot-YNRK consegue automatizar cliques, navegar pelos menus, ler tudo que aparece na tela e preencher campos de texto — tudo isso como se fosse você operando o celular.<h2>Como funciona o golpe</h2>A primeira coisa que o malware faz quando infecta um dispositivo é silenciar completamente o celular. Ele acessa o AudioManager do Android e zera o volume de todos os canais de áudio: música, toque, notificações, alertas — tudo vai para zero.O objetivo é fazer com que o usuário não perceba o que está acontecendo. Nada de notificações de transações bancárias suspeitas, nada de chamadas, nada de mensagens. A vítima fica literalmente no escuro enquanto o malware opera livremente em segundo plano.<figure class="image"><img src="https://tm.ibxk.com.br/2025/11/18/Bank_Bot_YNRK_ace5f3f0a5.png" alt="Android/BankBot-YNRK.png" srcset="https://tm.ibxk.com.br/2025/11/18/thumbnail_Bank_Bot_YNRK_ace5f3f0a5.png 245w,https://tm.ibxk.com.br/2025/11/18/small_Bank_Bot_YNRK_ace5f3f0a5.png 500w,https://tm.ibxk.com.br/2025/11/18/medium_Bank_Bot_YNRK_ace5f3f0a5.png 750w,https://tm.ibxk.com.br/2025/11/18/large_Bank_Bot_YNRK_ace5f3f0a5.png 1000w," sizes="100vw"><figcaption>Todas as notificações e sons do celular da vítima ficam desativados, dando passe livre para que os criminosos controlem o aparelho de forma remota. Imagem: Cyfirma</figcaption></figure>Depois de silenciar o dispositivo, o Android/BankBot-YNRK recebe um comando "OPEN_ACCESSIBILITY" do servidor de comando e controle. Esse comando faz o malware redirecionar programaticamente para a tela de configurações dos Serviços de Acessibilidade, incentivando você a habilitar o serviço malicioso.Esse truque funciona perfeitamente em dispositivos rodando Android 13 ou versões anteriores. Até o Android 13, era possível usar os Serviços de Acessibilidade para conceder outras permissões automaticamente, sem o usuário precisar autorizar cada uma individualmente.A partir do Android 14, o Google introduziu restrições mais rígidas e proibiu esse tipo de abuso. Mas a realidade é que a maioria dos celulares no Sudeste Asiático ainda roda versões mais antigas do sistema operacional, deixando milhões de usuários vulneráveis.Uma vez que você habilita o serviço de acessibilidade o malware imediatamente exibe uma tela cheia com uma mensagem em indonésio que imita um prompt de "Verificação de Informações Pessoais".&nbsp;A tela pede para você aguardar, enquanto nos bastidores o trojan está usando as permissões de acessibilidade para habilitar tudo que precisa: outras permissões críticas, serviços necessários para sua operação e até se adiciona como aplicativo administrador do dispositivo.<h2>Google News é o disfarce perfeito</h2>O Android/BankBot-YNRK tem uma técnica interessante de camuflagem. Quando uma atividade específica chamada GoAppLauncher é acionada, o malware usa uma configuração técnica chamada activity-alias para trocar completamente sua identidade.O nome e ícone do aplicativo são substituídos pela marca Google News, e o app carrega o site legítimo news.google.com dentro de um WebView — basicamente um navegador embutido no aplicativo. Para quem olha de fora, parece que é só o aplicativo do Google News funcionando normalmente.<h2>A infraestrutura por trás do ataque</h2>O malware se comunica com um servidor de comando e controle localizado em ping.ynrkone.top, usando a porta 8181. A primeira coisa que ele faz é enviar um identificador único do dispositivo infectado junto com o nome do aplicativo que serviu de porta de entrada.Em seguida, o trojan requisita uma lista de aplicativos bancários que pode atacar. O servidor responde com uma lista extensa de "package identifiers" — aqueles nomes únicos que cada aplicativo Android tem.A lista é focada no Sudeste Asiático e afeta bancos como MoMo, SCB Mobile Banking, BCA, BRI, Maybank, Public Bank, SBI Yono, ICICI e Axis Bank.&nbsp;Depois de identificar os alvos, o malware envia informações detalhadas sobre o dispositivo: fuso horário, se o serviço de acessibilidade está ativo, marca do celular, status de otimização de bateria e uma lista completa de todos os aplicativos instalados com nomes, identificadores e versões.Tudo isso vai para um sistema de chat automatizado no servidor que gerencia todos os dispositivos infectados ao mesmo tempo — como um centro de comando digital controlando um exército de celulares comprometidos.O malware também tem capacidade de comunicação via WebSocket na porta 8989 usando o servidor Janus WebRTC, embora essa funcionalidade não tenha sido observada durante a análise. Existem ainda tentativas de carregar conteúdo de outros domínios como plp.foundzd.vip, plp.e1in2.top e plp.en1inei2.top, mas esses endereços não puderam ser resolvidos nos testes.<h2>Um controle remoto completo do seu celular</h2>A lista de comandos é absurda. O trojan consegue:<ul><li>Gerenciamento de apps: instala, desinstala, abre aplicativos específicos;</li><li>Interação com dispositivo: desbloqueia tela, navega menus (Home, Back, Recentes), acende/apaga tela, simula cliques, swipes e gestos complexos;</li><li>Controle do sistema: ativa/desativa Acessibilidade, define privilégios de administrador, configura métodos de entrada alternativos;</li><li>Exfiltração de dados: coleta contatos, todas as mensagens SMS, lista de apps instalados, status do dispositivo e localização GPS em tempo real;</li><li>Manipulação de comunicação: ativa redirecionamento de chamadas usando códigos MMI (formato *21*{número}#), cancela redirecionamentos, envia SMS;</li><li>Operações de mídia: tira fotos com suas câmeras, esconde janelas flutuantes, preenche campos automaticamente, baixa arquivos, executa módulos adicionais.</li></ul>A ameaça às criptomoedasTalvez a funcionalidade mais preocupante: sistema completo de automação de carteiras de criptomoedas. O malware funciona literalmente como um bot controlador de wallets, abrindo aplicativos de carteira e interagindo através dos Serviços de Acessibilidade.Consegue ler todo o conteúdo na tela e automatizar ações de input. Isso significa que extrai saldos, detalhes de transações e, principalmente, seed phrases e chaves privadas se aparecerem na tela. E ao contrário de conta bancária tradicional, não existe "central de atendimento" para recuperar criptomoedas roubadas.Carteiras visadas (16 no total): Exodus, MetaMask, Trust Wallet, Coinomi, Coin98 Super Wallet, BitKeep, Blockchain Wallet, imToken, SafePal, TokenPocket, Status, Krystal, MeWallet e outras.O trojan tem flag autoCloseBiometrics que descarta automaticamente prompts biométricos. Ele não rouba sua impressão digital — esses dados ficam seguros no hardware — mas contorna essas proteções para acessar o que está por trás.<h2>Persistência que sobrevive até reinicialização</h2>O malware usa o JobScheduler do Android para garantir que continua operando mesmo depois de reiniciar o celular. Cria um job recorrente através do JobHandlerService com latência mínima e backoff de apenas 30 segundos — marcado como "persisted".Essa marcação significa que o job sobrevive a reinicializações completas. Você pode desligar e ligar o celular quantas vezes quiser: a cada 30 segundos, o malware reagenda suas tarefas automaticamente. &nbsp;Além disso, tenta se adicionar como aplicativo administrador do dispositivo. Com esses privilégios, pode prevenir a própria desinstalação e controlar configurações críticas do sistema.<h2>A arte de não ser pego</h2>O código foi ofuscado usando nmm-protect, dificultando análise por pesquisadores de segurança. Mas a proteção vai além: o malware tem múltiplas camadas de detecção de ambiente para evitar revelar capacidades quando está sendo analisado em laboratório.Inspeciona atributos do dispositivo procurando por strings características de emuladores. Verifica se está rodando em OPPO, Realme, ROMs ColorOS, Google Pixels e Samsungs. Tem um HashMap que associa modelos específicos de dispositivos às suas resoluções de tela — incluindo variedade enorme de aparelhos: Xiaomi (linha Redmi), Samsung, Vivo, Oppo/Realme, Nokia e Infinix.Com esse mapa, adapta seu comportamento para cada tipo de dispositivo ou simplesmente não executa em ambientes de teste. Se detecta que está em emulador de laboratório, fica completamente quieto, escondendo suas verdadeiras capacidades.<h2>O silêncio suspeito durante os testes</h2>Detalhe importante: durante análises, o servidor de comando e controle não enviou muitos comandos adicionais. O trojan executou rotinas básicas de coleta mas não revelou todas as funcionalidades esperadas.Três explicações possíveis: detectou ambiente de análise e ocultou capacidades intencionalmente; estava em dormência aguardando app bancário específico ser instalado; ou esperava condições específicas — horário, data, comando manual dos operadores.Essa cautela é característica de malware sofisticado operado por grupos organizados que priorizam evitar detecção e manter operações de longo prazo. É um jogo de gato e rato entre criminosos e pesquisadores de segurança.<h2>Como se proteger</h2>Mas há boas notícias: você pode se proteger. O Android/BankBot-YNRK, por mais sofisticado tecnicamente, ainda depende de você cometer alguns erros básicos:<ul><li>Nunca instale apps fora da Google Play Store. Side-loading é o vetor primário deste e de muitos outros malwares Android. Se você precisa ativar "Fontes Desconhecidas" ou "Instalar apps desconhecidos", isso é um alerta vermelho gigante;</li><li>Nunca dê permissão de Acessibilidade para apps que você não conhece completamente. Esta é a permissão mais perigosa no Android. Se um app está pedindo Serviços de Acessibilidade e você não entende exatamente por que — e a razão não é óbvia e legítima — recuse imediatamente;</li><li>Mantenha seu Android atualizado. Se possível, use Android 14 ou superior. Versões mais recentes têm proteções específicas contra abuso de Serviços de Acessibilidade;</li><li>Desconfie de aplicativos que se apresentam como serviços governamentais. Apps oficiais de identidade digital ou serviços públicos sempre devem ser baixados de canais oficiais. Pesquise no site oficial do governo para encontrar o link correto;</li><li>Use autenticação de dois fatores em tudo que for crítico. Preferencialmente, use app autenticador (Google Authenticator, Microsoft Authenticator, Authy) ou chave de segurança física. Evite usar SMS como segundo fator sempre que possível, já que o malware intercepta mensagens;</li><li>Para usuários de criptomoedas: considere hardware wallets. Carteiras como Ledger ou Trezor mantêm suas chaves privadas em dispositivo físico separado, fora do alcance de malwares. E nunca, jamais, tire foto ou screenshot da sua seed phrase.</li></ul> Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>O trojan Android/BankBot-YNRK, com três variantes identificadas, foca em usuários do Sudeste Asiático e visa bancos e carteiras de criptomoedas, utilizando técnicas avançadas para roubo de dados e controle remoto de dispositivos Android.</li>
 <li>Disfarçado como um app governamental chamado "IdentitasKependudukanDigital.apk", o malware abusa dos Serviços de Acessibilidade para automatizar ações, ocultar sua presença e obter permissões críticas sem o conhecimento do usuário.</li>
 <li>Entre suas capacidades estão interceptação de SMS, redirecionamento de chamadas, coleta de dados sensíveis, controle total do sistema e extração de seed phrases de carteiras como MetaMask, Trust Wallet e Exodus.</li>
 <li>O trojan se camufla como o app Google News, persiste após reinicializações e adapta seu comportamento conforme o modelo do dispositivo, evitando execução em ambientes de análise para dificultar a detecção.</li>
 <li>Para se proteger, recomenda-se evitar instalação de apps fora da Play Store, não conceder permissões de acessibilidade sem necessidade clara, manter o Android atualizado e utilizar autenticação de dois fatores e carteiras físicas para criptomoedas.</li>
 </ul>
</section>

large_ataque-sms

medium_ataque-sms

small_ataque-sms

thumbnail_ataque-sms

ataque-sms

Trojan bancário ataca Samsung e Xiaomi em busca de bancos e carteiras de criptomoeda

large_capa-petrobras-adriano-camacho.jpg

medium_capa-petrobras-adriano-camacho.jpg

small_capa-petrobras-adriano-camacho.jpg

thumbnail_capa-petrobras-adriano-camacho.jpg

capa-petrobras-adriano-camacho.jpg

Ao TecMundo, o grupo Everest afirmou que o vazamento de mais de 176 GB ocorreu via credenciais da SA Exploration. A Petrobras confirma exposição indevida de dados por parte de empresa contratada.

No último dia 14 de novembro, o Grupo Everest anunciou o comprometimento dos sistemas da SA Exploration, que presta serviços à Petrobras. Em sua página na Dark Web, os cibercriminosos alegam possuir dois conjuntos de dados, que incluiriam informações sensíveis sobre a operação das empresas. Na noite desta segunda-feira (17), eles publicaram um contador acompanhado do aviso: “um representante da companhia deve seguir as instruções para nos contatar antes que o prazo expire”. Ao TecMundo, a Petrobras nega invasão de seus sistemas internos.Em mais detalhes, o suposto vazamento é composto por dois pacotes: há uma base de dados de 90 GB apenas da Petrobras e outra maior, de 176 GB, também incluindo dados da SA Exploration. A descrição de ambos os anúncios é similar, com o Grupo Everest detalhando as informações obtidas e imagens anexadas.Conforme aponta o título de uma das publicações, parte do material ligado à Petrobras estaria relacionado a pesquisas sísmicas na Bacia de Campos, localizada aproximadamente a 100 km da cidade de Campos dos Goytacazes, no interior do Rio de Janeiro. Nesse contexto, é fato relevante que a empresa anunciou a descoberta de petróleo na região ainda ontem (17), mesmo dia em que o prazo do Grupo Everest foi divulgado.<figure class="image"><img src="https://tm.ibxk.com.br/2025/11/18/everest_post_tecmundo_195005f958.jpg" alt="everest-post-tecmundo.jpg" srcset="https://tm.ibxk.com.br/2025/11/18/thumbnail_everest_post_tecmundo_195005f958.jpg 245w,https://tm.ibxk.com.br/2025/11/18/small_everest_post_tecmundo_195005f958.jpg 500w,https://tm.ibxk.com.br/2025/11/18/medium_everest_post_tecmundo_195005f958.jpg 750w,https://tm.ibxk.com.br/2025/11/18/large_everest_post_tecmundo_195005f958.jpg 1000w," sizes="100vw"><figcaption>Publicação do Grupo Everest na Dark Web. (Fonte: Adriano Camacho, TecMundo)</figcaption></figure>O TecMundo Security entrou em contato com a Petrobras, que negou uma invasão aos seus sistemas, mas confirmou a “uma ocorrência pontual de exposição não autorizada de informações” de uma empresa contratada – no caso, a SA Exploration. Também falamos com o Grupo Everest por meio do aplicativo qTox, utilizando o endereço compartilhado em sua página da Dark Web. Você confere o posicionamento exclusivo da empresa e a entrevista com o grupo no texto abaixo.<h2>Grupo Everest alega possuir dados capazes de prejudicar Petrobras</h2>Segundo as publicações, o Grupo Everest possui: “dados brutos de navegação sísmica, incluindo coordenadas de navios, posições de nós OBN, precisão do DGPS e dados de controle de qualidade das linhas de levantamento.” Além disso, o pacote ainda incluiria relatórios e detalhes técnicos, conforme descrito abaixo:<ul><li>Relatórios sobre disparos e direções das fontes;</li><li>Profundidades de hidrofone e das fontes;</li><li>Pressões de disparo;</li><li>Metadados sobre equipamentos e configurações de nós;</li><li>Relatórios iniciais de controle de qualidade sobre o status do sistema e precisão das medições;</li><li>Arquivos PDF processados que resumem o progresso do levantamento, resultados preliminares de controle de qualidade e conclusões linha a linha;</li><li>Distâncias e direções entre fontes e nós;</li><li>Deslocamentos das fontes ao longo e através das linhas;</li><li>Parâmetros de movimento do navio;</li><li>Orientação dos equipamentos.</li></ul>Junto da descrição técnica, o Grupo Everest também alertou para a potencial gravidade dos dados supostamente vazados: “Se esses dados vazarem cedo no projeto, podem causar sérias perdas financeiras para o contratante,” alegam, “Além disso, concorrentes que tiverem acesso aos dados poderiam identificar a precisão do posicionamento, configuração dos equipamentos e padrões de movimento dos navios, permitindo replicar ou otimizar modelos semelhantes e reduzir a vantagem estratégica da empresa.”<figure class="image"><img src="https://tm.ibxk.com.br/2025/11/18/vazamento_petrobras_2_0622594cc0.jpg" alt="vazamento-petrobras-2.jpg" srcset="https://tm.ibxk.com.br/2025/11/18/thumbnail_vazamento_petrobras_2_0622594cc0.jpg 245w,https://tm.ibxk.com.br/2025/11/18/small_vazamento_petrobras_2_0622594cc0.jpg 500w,https://tm.ibxk.com.br/2025/11/18/medium_vazamento_petrobras_2_0622594cc0.jpg 750w,https://tm.ibxk.com.br/2025/11/18/large_vazamento_petrobras_2_0622594cc0.jpg 1000w," sizes="100vw"><figcaption>Suposto material vazado da Petrobras. (Fonte: Adriano Camacho, TecMundo)</figcaption></figure><h2>Vazamento dos dados foi feito com credenciais da SA Exploration, alega Grupo Everest</h2>O TecMundo Security entrou em contato com o grupo cibercriminoso Everest para entender suas motivações além da obviedade financeira, tentar traçar um potencial modus operandi e descobrir possíveis informações sobre a vulnerabilidades exploradas. O Grupo Everest, quando perguntado sobre a diferença entre os arquivos supostamente roubados da Petrobras e SA Exploration, se limitou a responder que “os volumes totais são diferentes”. Tratando de qual vulnerabilidade foi explorada para realizar o ataque, o Grupo Everest afirmou que entrou no sistema via comprometimento de credenciais. No caso, potencialmente vemos um ataque de credential stuffing, em que criminosos armazenam e utilizam senhas corporativas vazadas.<figure class="image"><img src="https://tm.ibxk.com.br/2025/11/18/everest_conversa_adrianocamacho_1ef94bab2d.jpg" alt="everest-conversa-adrianocamacho.jpg" srcset="https://tm.ibxk.com.br/2025/11/18/thumbnail_everest_conversa_adrianocamacho_1ef94bab2d.jpg 245w,https://tm.ibxk.com.br/2025/11/18/small_everest_conversa_adrianocamacho_1ef94bab2d.jpg 500w,https://tm.ibxk.com.br/2025/11/18/medium_everest_conversa_adrianocamacho_1ef94bab2d.jpg 750w,https://tm.ibxk.com.br/2025/11/18/large_everest_conversa_adrianocamacho_1ef94bab2d.jpg 1000w," sizes="100vw"><figcaption>Diálogo com o Grupo Everest, no qTox. (Fonte: Adriano Camacho, TecMundo)</figcaption></figure>Ao serem questionados sobre os valores exigidos para o resgate dos dados, o Grupo Everest também não elaborou e apenas respondeu: “O comprometimento ocorreu com as credenciais da SA Exploration. Ninguém entrou em contato com a gente, então o valor ainda não foi anunciado. A Petrobras é dona dos arquivos. Nós não criptografamos os dados”.<h2>Petrobras nega invasão de sistemas, mas confirma exposição de dados</h2>Após a publicação desta reportagem, a Petrobras enviou um posicionamento oficial ao TecMundo. Leia na íntegra, a seguir: "A Petrobras esclarece que não houve qualquer registro de acesso não autorizado ou incidente de segurança em seus sistemas internos. Todos os dados sensíveis e estratégicos da companhia permanecem seguros, em conformidade com os mais rigorosos padrões de segurança da informação. A companhia foi comunicada sobre uma ocorrência pontual de exposição não autorizada de informações, a partir do ambiente de uma prestadora de serviços de exploração, que não compromete as operações, clientes ou colaboradores da Petrobras. A Petrobras está acompanhando o caso junto à fornecedora, reforçando orientações de segurança e monitoramento. Atenciosamente, Gerência de Imprensa Petrobras"<h2>Suposto ataque do Grupo Everest está ligado ao recente anúncio da Petrobras?</h2>Nesta segunda-feira (17), a Petrobras anunciou o descobrimento de petróleo na Bacia de Campos, a cerca de 100 km da cidade de Campos dos Goytacazes, Rio de Janeiro. Com 734 metros de profundidade, o depósito está localizado na camada pós-sal e é parte do bloco Sudoeste da Tartaruga Verde – região exclusivamente explorada pela empresa.Até o momento, as amostras descobertas e retiradas do poço exploratório (4-BRSA-1403D-RJS) seguem para análise nos laboratórios da Petrobras, com objetivo de verificar sua qualidade.Na mesma data, conforme citado anteriormente no texto, o Grupo Everest iniciou o contador contra a Petrobras e a SA Exploration – provavelmente na expectativa do pagamento de um resgate. Em sua página da Dark Web, uma das publicações é justamente intitulada “Dados de pesquisa sísmica 3D e 4D da Bacia de Campos da Petrobras” em tradução livre para o português. Nesse contexto, é possível afirmar uma correlação direta?<figure class="image"><img src="https://tm.ibxk.com.br/2025/11/18/petrobras_vazamento_3_bd4f173dd0.jpg" alt="petrobras-vazamento-3.jpg" srcset="https://tm.ibxk.com.br/2025/11/18/thumbnail_petrobras_vazamento_3_bd4f173dd0.jpg 245w,https://tm.ibxk.com.br/2025/11/18/small_petrobras_vazamento_3_bd4f173dd0.jpg 500w,https://tm.ibxk.com.br/2025/11/18/medium_petrobras_vazamento_3_bd4f173dd0.jpg 750w,https://tm.ibxk.com.br/2025/11/18/large_petrobras_vazamento_3_bd4f173dd0.jpg 1000w," sizes="100vw"><figcaption>Suposto registro vazado da Petrobras. (Fonte: Adriano Camacho, TecMundo)</figcaption></figure>Apesar da coincidência, é improvável que os eventos tenham relação direta. Para começar, o anúncio do comprometimento de dados, tecnicamente, ocorreu ainda no último dia 14 de novembro, conforme exposto pelo Grupo Everest – enquanto apenas o contador foi iniciado na noite de ontem (17). Além disso, a referida Bacia de Campos é uma região extensa, com mais de 100 mil metros quadrados e 800 poços exploratórios.Como é responsável por mais de 80% da produção de petróleo nacional, é apenas natural que a região da Bacia de Campos receba um número elevado de pesquisa – que podem ter sido afetadas pelo vazamento. Especulando, já que não há confirmação do Grupo Everest ou Petrobras, é possível que o título tenha sido escolhido especificamente para aumentar o senso de gravidade da publicação, como um blefe.O TecMundo Security seguirá acompanhando o caso e atualizará a reportagem com quaisquer novas informações.<h2>Como fazer denúncias ao TecMundo Security</h2>Pesquisadores, hackers e analistas de segurança podem enviar relatos ou denúncias ao TecMundo Security pelos canais abaixo:<ul><li><a href="mailto:denuncia@tecmundo.com.br">denuncia@tecmundo.com.br</a></li><li><a href="mailto:contato@adrianocamacho.com">contato@adrianocamacho.com</a></li></ul>

Adriano Camacho

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>O grupo hacker Everest afirmou ter comprometido sistemas da Petrobras e da SA Exploration, alegando posse de dois pacotes de dados, incluindo 90 GB exclusivamente da Petrobras e 176 GB no total.</li>
 <li>Entre os dados supostamente vazados estão informações técnicas sobre pesquisas sísmicas na Bacia de Campos, como coordenadas de navios, parâmetros de equipamentos e relatórios de controle de qualidade.</li>
 <li>O grupo alertou que o vazamento precoce dessas informações pode causar prejuízos financeiros e perda de vantagem estratégica para a Petrobras.</li>
 <li>Segundo o Everest, o acesso aos sistemas foi obtido por meio de credenciais comprometidas da SA Exploration, possivelmente via ataque de credential stuffing.</li>
 <li>Até o momento, a Petrobras não confirmou o incidente, e o grupo afirma que ainda não foi contatado nem anunciou valor de resgate.</li>
 </ul>
</section>

Petrobras tem 90 GB de dados confidenciais roubados em ataque hacker; empresa investiga

Petrobras tem 90 GB de dados confidenciais roubados em ataque hacker. WhatsApp expôs dados de 206 milhões de brasileiros como celular, foto ou Pix. Anatel cobra Vivo e dá prazo para mudanças em plano de banda larga por fibra. Empresa corta robô ao vivo para provar que ele não é um humano. Banco Central decretou a liquidação extrajudicial do Banco Master. Empresa dona dos bonecos Funko corre risco de falência e Pix completa cinco anos movimentando R$ 75,4 trilhões. 🚨 VEM PRO GUIA DE COMPRAS! <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/guia-de-compras/?utm_source=youtube&utm_medium=video&utm_campaign=hoje-no-tecmundo ✅ Inscreva-se no Clube de Membros TecMundo e tenha acesso a benefícios exclusivos: <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>youtube.com/@tecmundo/membership 🔔 Marque na agenda: 27 e 28/11! 🔴 TecMundo ao vivo no YouTube com cobertura da Black Friday! Análise honesta, comparativo de preços e bloco Acer! Ative o sininho! 🛍️ - Guia de Compras TecMundo: <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/guia-de-compras/ - Newsletter do Guia de Compras: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>mailchi.mp/nzn/newsletter-guiadecompras - Entre no nosso canal de ofertas no WhatsApp: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/tecmundoofertas ⚠️ Assine a newsletter do The BRIEF e seja sempre o mais informado no café da empresa: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>thebrief-newsletter.beehiiv.com/subscribe?utm_source=youtube&utm_medium=hojenotec&utm_campaign=maio #[Tipo: Hoje no Tecmundo] Notícias de Hoje Petrobras tem 90 GB de dados confidenciais roubados em ataque hacker; empresa investiga <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/seguranca/408660-petrobras-tem-90-gb-de-dados-confidenciais-roubados-em-suposto-ataque-hacker.htm Frase do Dia! WhatsApp expôs dados de 206 milhões de brasileiros como celular, foto ou Pix <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/seguranca/408644-falha-no-whatsapp-expos-35-bilhoes-de-numeros-de-telefone-206-mi-do-brasil.htm Anatel cobra Vivo e dá prazo para mudanças em plano de banda larga por fibra <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/mercado/408695-anatel-cobra-vivo-e-da-prazo-para-mudancas-em-plano-de-banda-larga-por-fibra.htm Empresa corta robô ao vivo para provar que ele não é um humano <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/produto/408659-empresa-corta-robo-ao-vivo-para-provar-que-ele-nao-e-um-humano.htm Notícias The Brief: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>thebrief-newsletter.beehiiv.com/p/ainda-nao-da-pra-confiar-na-ia Redação Recomenda Aconteceu na História Bom feriado pessoal! Extensão do TecMundo: encontre cupons escondidos nas principais lojas online: <a href="http://" target="_blank" rel="nofollow noopener">http://</a>bit.ly/3ZkKOji - Os melhores cupons Online para você! <a href="https://www." target="_blank" rel="nofollow noopener">https://www.</a>tecmundo.com.br/cupons 💡 Participe dos canais do TecMundo no WhatsApp! - TecMundo: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/whatstecmundo - Voxel: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/whatsvoxel - Mega Curioso: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/whatsmegacurioso - Minha Série: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/whatsminhaserie 💡 Temos grupos também no Telegram! - TecMundo: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/3JZoTbm - Voxel: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/telegramvoxel - Mega Curioso: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/telegrammegacurioso - Minha Série: <a href="https://" target="_blank" rel="nofollow noopener">https://</a>bit.ly/telegramminhaserie CRÉDITOS Roteiro: Amanda Fleure Apresentação: Amanda Fleure Imagens e áudio: Felipe Pedro (Felps) Produção: Vitória Schmitz Edição de vídeo: Rafael Nogoceke Motion Graphics: Gustavo Silva Arte da thumb: Arthur Russo A melhor programação está no TecMundo - História da Tecnologia - Análises, Unboxings e tudo sobre Produtos! - TecDocs - Matérias especiais - Assistência Tec - Lives de tradução e cobertura de eventos - Listas - Hoje no TecMundo # # #TecMundo

PETROBRAS sofre MEGA ATAQUE! 206 MILHÕES atingidos no WHATSAPP; FUNKO POP em falência e mais!

large_operacao-curso-de-desbloqueio-de-celulares.jpg

medium_operacao-curso-de-desbloqueio-de-celulares.jpg

small_operacao-curso-de-desbloqueio-de-celulares.jpg

thumbnail_operacao-curso-de-desbloqueio-de-celulares.jpg

operacao-curso-de-desbloqueio-de-celulares.jpg

A nova fase da Operação Rastreio da Polícia Civil do Rio mira uma rede criminosa nacional de receptação e revenda de smartphones furtados e roubados.

Mais de 30 pessoas foram presas em flagrante por suspeita de envolvimento com cursos de desbloqueio de celulares roubados, ministrados via internet, durante uma nova fase da Operação Rastreio, deflagrada pela Polícia Civil do Rio de Janeiro na última segunda-feira (17). As detenções aconteceram em vários estados.O trabalho dos investigadores começou em maio, a partir da prisão de Alan Gonçalves, responsável pelas aulas online que ensinavam a destravar os <a href="https://www.tecmundo.com.br/seguranca/404489-celular-seguro-sistema-enviou-via-whatsapp-quase-2-mil-alertas-de-aparelhos-roubados.htm">smartphones obtidos de maneira ilícita</a> e considerado referência no assunto. Os oficiais identificaram uma vasta rede criminosa em todo o país, envolvida com o esquema.<h2>Desbloqueio de IMEI e abertura de contas</h2>Com diligências em 11 estados, incluindo São Paulo, Minas Gerais, Paraná, Santa Catarina, Alagoas e Rondônia, e apoio das Polícias Civis locais, a nova etapa da Operação Rastreio cumpriu 132 mandados de busca e apreensão. Os alvos eram “clientes” do homem detido no primeiro semestre.<ul><li>Segundo a investigação, essas pessoas forneciam celulares roubados para que o especialista os desbloqueasse e, na sequência, faziam a reintrodução dos aparelhos no mercado, como se fossem legalizados;</li><li>Muitos dos endereços são estabelecimentos comerciais, como quiosques, boxes e lojas, que realizavam a revenda dos aparelhos desbloqueados;</li><li>A Polícia Civil do Rio diz que o responsável pelos cursos de desbloqueio também afirmava ser capaz de remover IMEIs do <a href="https://www.tecmundo.com.br/celular/405701-governo-regulamenta-cadastro-de-celulares-roubados-ou-furtados-veja-como-acessar.htm">Cadastro Nacional de Celulares com Restrição</a> (CNCR);</li><li>O sistema mantido pelo governo impede a ativação de aparelhos que possuam anotação de furto, roubo ou extravio junto às operadoras.</li></ul><figure class="image"><img src="https://tm.ibxk.com.br/2025/11/18/operacao_curso_de_desbloqueio_de_celulares_1_01785bac40.jpg" alt="ladrao-furtando-celular-do-bolso-de-um-homem" srcset="https://tm.ibxk.com.br/2025/11/18/thumbnail_operacao_curso_de_desbloqueio_de_celulares_1_01785bac40.jpg 234w,https://tm.ibxk.com.br/2025/11/18/small_operacao_curso_de_desbloqueio_de_celulares_1_01785bac40.jpg 500w," sizes="100vw"><figcaption>Os suspeitos detidos forneciam celulares furtados e roubados para o desbloqueio. (Imagem: Diy13/Getty Images)</figcaption></figure>Ainda conforme o relatório, parte dos alvos solicitava o desbloqueio dos smartphones com o objetivo de coletar dados pessoais armazenados neles. O <a href="https://www.tecmundo.com.br/seguranca/406937-novo-malware-raton-pode-roubar-contas-bancarias-e-invadir-conta-whatsapp.htm">acesso a apps de contas bancárias</a> era uma das prioridades, fazendo transferências de valores e contraindo empréstimos sem autorização.Essas informações sigilosas encontradas nos dispositivos furtados ou roubados também poderiam ser aproveitadas para a abertura de contas em nome de terceiros, segundo a investigação, resultando em grandes prejuízos financeiros.<h2>Milhares de celulares recuperados</h2>Apontada pela Polícia Civil como a “maior operação da história contra roubo, furto e receptação de celulares do Rio de Janeiro”, a Operação Rastreio já possibilitou a recuperação de mais de 10 mil smartphones. Desses, 2,8 mil aparelhos foram <a href="https://www.tecmundo.com.br/seguranca/403243-policia-de-sp-devolve-mais-de-700-celulares-roubados-em-um-dia-veja-como-reaver-o-seu.htm">devolvidos aos proprietários</a>.Com ações contínuas, a iniciativa também resultou na prisão de mais 700 suspeitos, de acordo com a investigação, entre acusados de roubo, furto e receptação dos dispositivos.Gostou do conteúdo? Continue acompanhando o TecMundo e compartilhe as notícias com os amigos nas redes sociais.

Diy13/Getty Images

SimonSkafar/Getty Images

Agência Brasil

Polícia Civil do Rio de Janeiro

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>Mais de 30 pessoas foram presas em flagrante por envolvimento com cursos online de desbloqueio de celulares roubados, durante nova fase da Operação Rastreio da Polícia Civil do Rio de Janeiro.</li>
 <li>A investigação teve início com a prisão de Alan Gonçalves, considerado referência na prática, e revelou uma rede criminosa nacional de receptação e revenda de smartphones furtados.</li>
 <li>Foram cumpridos 132 mandados de busca e apreensão em 11 estados; os alvos incluíam estabelecimentos comerciais que revendiam os aparelhos desbloqueados.</li>
 <li>Além do desbloqueio, os suspeitos acessavam dados pessoais dos dispositivos para realizar transações bancárias e abrir contas fraudulentas, causando prejuízos financeiros.</li>
 <li>A operação já resultou na recuperação de mais de 10 mil celulares e na prisão de mais de 700 suspeitos envolvidos em crimes relacionados a roubo, furto e receptação.</li>
 </ul>
</section>

Polícia prende envolvidos em ‘cursos de desbloqueio’ de celulares roubados

large_logitech-vazamento.jpg

medium_logitech-vazamento.jpg

small_logitech-vazamento.jpg

thumbnail_logitech-vazamento.jpg

logitech-vazamento.jpg

Companhia acredita que dados sensíveis de usuários não foram afetados, mas informações de funcionários e fornecedores teriam vazado

A Logitech, empresa conhecida por seu destaque no ramo de periféricos de computador, confirmou ter sido vítima de um vazamento de dados recente. A empresa relata um “incidente de cibersegurança” que ocasionou a exfiltração de dados de consumidores, negócios, e até mesmo de funcionários.Detalhes aprofundados sobre o ataque ainda não são conhecidos, mas um invasor teria utilizado uma vulnerabilidade de dia zero para acessar uma plataforma de terceiros da empresa. Dessa forma, o atacante conseguiu copiar dados importantes do sistema de IA da companhia suíça.Informações relacionadas com dados financeiros ou sigilosos de clientes, como número de identidade e cartão de crédito, não devem ter sido vazadas. Dados mais limitados, como de fornecedores e clientes diretos da empresa, são mais prováveis de terem sido copiados durante esse ciberataque.<figure class="image"><img src="https://tm.ibxk.com.br/2025/07/23/23005649502034.jpg" alt="logitech-mx-keys-s-destaque" srcset="https://tm.ibxk.com.br/2025/07/23/23005649268017.jpg 245w,https://tm.ibxk.com.br/2025/07/23/23005649346025.jpg 500w,https://tm.ibxk.com.br/2025/07/23/23005649377031.jpg 750w,https://tm.ibxk.com.br/2025/07/23/23005649377030.jpg 1000w," sizes="100vw"><figcaption>Informações sobre produtos da Logitech não teriam vazado (Imagem: Felipe Vidal/TecMundo)</figcaption></figure>Apesar disso, a nota oficial da Logitech confirma que essa vulnerabilidade explorada já foi corrigida por meio de um patch. A empresa já teria entrado em contato com comissões norte-americanas e autoridades da Suíça, enquanto aguarda o desenrolar de suas investigações internas para determinar o ocorrido.<h2>Grupo Clop pode estar por trás do roubo</h2>Mesmo que a fabricante de periféricos não tenha disponibilizado informações complexas sobre o vazamento, o site especializado BleepingComputer aponta para um grupo cibercriminoso conhecido. Segundo o veículo, um dos possíveis responsáveis seria o coletivo “Clop”, que já atacou grandes empresas no passado.<ul><li>O Clop, também conhecido como TA505 e FIN11, é um grupo criminoso que utiliza ransomwares para roubar credenciais de acesso;</li><li>Criado em 2019, o coletivo utiliza uma variante do ransomware CryptoMix para exfiltrar os dados;</li><li>O método preferido dos criminosos é explorar vulnerabilidades zero-day, como essa da Logitech, para acessar os sistemas;</li><li>Recentemente, <a href="https://www.tecmundo.com.br/seguranca/407530-grupo-extorque-clientes-da-oracle-e-ameaca-vazar-dados.htm">o grupo extorquiu a Oracle</a> após capturarem dados da empresa por meio de um bug;</li><li>Os criminosos também atacaram empresas como Accellion, SolarWinds, GoAnywhere e MOVEit entre 2020 e 2023;</li><li>São oferecidos cerca de R$ 50 milhões pelo Departamento de Defesa dos EUA para quem tiver informações sobre o grupo hacker.</li></ul>Mesmo assim, ainda não há nenhuma confirmação de que o Clop está diretamente ligado ao vazamento. Seja como for, a maior recomendação caso você esteja cadastrado no site ou plataformas da Logitech, é alterar sua senha e optar por um <a href="https://www.tecmundo.com.br/seguranca/406253-o-que-e-autenticacao-multifatorial-e-porque-voce-deveria-habilita-la-em-todas-as-suas-contas.htm">mecanismo de autenticação de dois fatores</a>.Quer acompanhar novidades sobre cibersegurança e tecnologia em geral? Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.

solarseven/GettyImages e Felipe Vidal

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>A Logitech confirmou um vazamento de dados após um incidente de cibersegurança que envolveu a exploração de uma vulnerabilidade de dia zero em uma plataforma de terceiros.</li>
 <li>Dados financeiros e sensíveis de clientes não teriam sido comprometidos, mas informações de funcionários, fornecedores e clientes diretos podem ter sido copiadas.</li>
 <li>A empresa afirmou que a falha já foi corrigida com um patch e notificou autoridades dos EUA e da Suíça enquanto conduz investigações internas.</li>
 <li>O grupo cibercriminoso Clop é apontado como possível responsável pelo ataque, embora ainda não haja confirmação oficial.</li>
 <li>Usuários das plataformas da Logitech são orientados a alterar suas senhas e ativar a autenticação em dois fatores como medida preventiva.</li>
 </ul>
</section>

Logitech confirma vazamento de dados após brecha em sistemas

large_WhatsApp - icone.jpg

medium_WhatsApp - icone.jpg

small_WhatsApp - icone.jpg

thumbnail_WhatsApp - icone.jpg

WhatsApp - icone.jpg

Falha no WhatsApp pode ter exposto 3,5 bilhões de números de telefone, ou praticamente todos os usuários do aplicativo de mensagens.

Um grupo de pesquisadores descobriu que o WhatsApp possui uma falha de segurança simples, porém massiva, que pode ter exposto 3,5 bilhões de números de telefone. O número corresponde, basicamente, ao total de usuários ativos na plataforma. Só no Brasil, são mais de 200 milhões de números cadastrados.A descoberta foi feita por pesquisadores da Universidade de Viena e revelada pela Wired nesta terça-feira (18). A coleta de dados acontece no recurso de busca por números do próprio WhatsApp, criando a possibilidade de expor dados como nome, foto de perfil, recado, links e até Chave Pix, caso as informações estejam disponíveis de forma pública.Esse recurso funciona assim: basta digitar um número de telefone válido no WhatsApp e o aplicativo vai exibir os detalhes do perfil. A pesquisa se apoiou na ferramenta para identificar e explorar, de forma responsável, a extração de informações pessoais de uma parcela gigantesca da população mundial.Ao TecMundo, o WhatsApp informa que algumas dessas informações de um contato, por padrão, não são visíveis para todos os usuários da plataforma. Um exemplo é a chave Pix no perfil, que fica protegida para os contatos até que o usuário altere a exibição, assim como as publicações da aba status e os grupos.A pesquisa não verificou a quantidade de chaves Pix disponíveis de forma pública em perfis do WhatsApp. Logo, a quantidade de chaves visíveis a outros usuários não reflete a quantidade de números verificados pelos pesquisadores em território brasileiro.<figure class="image"><img src="https://tm.ibxk.com.br/2025/11/18/Whats_App_pesquisa_de_numeros_6eb7590e24.jpg" alt="WhatsApp - pesquisa de números.jpg" srcset="https://tm.ibxk.com.br/2025/11/18/thumbnail_Whats_App_pesquisa_de_numeros_6eb7590e24.jpg 245w,https://tm.ibxk.com.br/2025/11/18/small_Whats_App_pesquisa_de_numeros_6eb7590e24.jpg 500w,https://tm.ibxk.com.br/2025/11/18/medium_Whats_App_pesquisa_de_numeros_6eb7590e24.jpg 750w,https://tm.ibxk.com.br/2025/11/18/large_Whats_App_pesquisa_de_numeros_6eb7590e24.jpg 1000w," sizes="100vw"><figcaption>Ao digitar um número aleatório, porém válido, o WhatsApp pode exibir informações do perfil.</figcaption></figure>Com a simplicidade de exploração, os pesquisadores afirmam que foi possível verificar quase 100 milhões de números por hora.Dos 3,5 bilhões de números extraídos, 57% tiveram fotos de perfil expostas e outros 29% exibiram o recado de perfil. O pesquisador Aljosha Judmayer diz que o caso “marca a exposição mais extensa de números de telefone e dados de usuários relacionados já documentada”.<h2>WhatsApp é o app mais usado do Brasil</h2>O caso preocupa não só pela facilidade em que a função podia ser explorada para extrair dados de bilhões de pessoas, mas também pela massividade. A pesquisa "Panorama" de janeiro, do site Mobile Time, revelou que o WhatsApp é o aplicativo mais usado do Brasil.Entre os países analisados pela pesquisa, o Brasil é um dos grandes destaques na coleta de dados: o número representa quase a totalidade da população.<ul><li>Índia: 750 milhões de números;</li><li>Brasil: 206 milhões de números;</li><li>Estados Unidos: 137 milhões de números.</li></ul>Os pesquisadores teriam identificado a possibilidade de acessar tais dados, inicialmente, em 2024. Eles descobriram que o WhatsApp não limitava a taxa com que um usuário poderia fazer esse tipo de extração. “Em meia hora, tínhamos cerca de 30 milhões de números baseados nos EUA”, disse um dos pesquisadores.<figure class="image"><img src="https://tm.ibxk.com.br/2025/11/18/Whats_App_seguranca_bloqueio_513bb8db04.jpg" alt="WhatsApp segurança bloqueio.jpg" srcset="https://tm.ibxk.com.br/2025/11/18/thumbnail_Whats_App_seguranca_bloqueio_513bb8db04.jpg 234w,https://tm.ibxk.com.br/2025/11/18/small_Whats_App_seguranca_bloqueio_513bb8db04.jpg 500w,https://tm.ibxk.com.br/2025/11/18/medium_Whats_App_seguranca_bloqueio_513bb8db04.jpg 750w,https://tm.ibxk.com.br/2025/11/18/large_Whats_App_seguranca_bloqueio_513bb8db04.jpg 1000w," sizes="100vw"><figcaption>WhatsApp já corrigiu os limites para evitar extração de dados dos usuários pela ferramenta de busca. (Imagem: Shutterstock/Reprodução)</figcaption></figure>Com os dados em mãos, golpistas e scammers poderiam gerenciar um banco de dados e, com efetividade, ludibriar usuários da plataforma. Os pesquisadores reforçam que os números de telefone “não foram projetados para serem usados como identificadores secretos para contas”.“Se você tem um grande serviço usado por mais de um terço da população mundial, e esse é o mecanismo de descoberta, isso é um problema”, apontou Aljosha Judmayer, pesquisador da Universidade de Viena.<h2>Meta já tinha sido alertada</h2>Os pesquisadores alertaram a Meta sobre a descoberta e apagaram a cópia extraída com 3,5 bilhões de números de telefone. A Meta corrigiu os limites da função de descoberta em larga escala em outubro. Max Günther, outro pesquisador que participou do estudo, diz que se eles conseguiram obter tantos dados “com tanta facilidade, outros também poderiam ter feito o mesmo”.Em nota, a Meta disse que os dados expostos consistem em “informações públicas básicas”. No entanto, desde dezembro de 2024, <a href="https://www.tecmundo.com.br/software/401068-whatsapp-lanca-atalho-para-compartilhar-chave-pix-dentro-do-app.htm" target="_blank">é possível compartilhar uma chave Pix com outros usuários diretamente do perfil</a>. A função foi pensada no público brasileiro e é visível apenas para os contatos, a menos que o usuário opte por tornar o dado público.Nitin Gupta, vice-presidente de engenharia do WhatsApp, disse que a pesquisa foi fundamental para definir um sistema anti-raspagem no serviço. Ele também afirma que não foram encontradas evidências “de agentes maliciosos” que exploraram a falha. Confira o posicionamento na íntegra a seguir:"Somos gratos aos pesquisadores da Universidade de Viena pela parceria responsável e diligência no âmbito do nosso programa de Bug Bounty. Essa colaboração identificou com sucesso uma técnica de enumeração inédita que superou nossos limites previstos, permitindo que os pesquisadores coletassem informações básicas disponíveis publicamente. Já estávamos trabalhando em sistemas anti-scraping líderes do setor, e este estudo foi fundamental para testar e confirmar a eficácia imediata dessas novas defesas. É importante ressaltar que os pesquisadores já deletaram de forma segura os dados coletados como parte do estudo, e não encontramos evidências de que agentes mal-intencionados tenham explorado esse vetor. Como lembrete, as mensagens dos usuários permaneceram privadas e seguras graças à criptografia de ponta a ponta padrão do WhatsApp, e nenhum dado não público esteve acessível aos pesquisadores.” – Nitin Gupta, VP de Engenharia do WhatsAppEm 2017, um outro pesquisador, Loran Kloeza, apontou que o uso de números de telefone já podia tornar públicos dados pessoais do WhatsApp. A plataforma vem trabalhando para utilizar números de usuário, como os já utilizados no Instagram, para identificar os perfis. <a href="https://www.tecmundo.com.br/software/408347-whatsapp-confirma-lancamento-de-nomes-de-usuarios-para-2026-saiba-como-vai-funcionar.htm" target="_blank">A mudança deve acontecer em 2026</a>.<h2>Como esconder informações no WhatsApp</h2>É possível ocultar informações do tipo na plataforma da Meta:<ul><li>Acesse as Configurações do WhatsApp;</li><li>Selecione a opção “Privacidade”;</li><li>Nas opções, escolha compartilhar dados individuais com “Todos”, “Meus contatos”, “Meus contatos, exceto…” ou com “Ninguém”.</li></ul>

Wired

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>Pesquisadores da Universidade de Viena identificaram uma falha no WhatsApp que pode ter exposto 3,5 bilhões de números de telefone, incluindo 206 milhões no Brasil.</li>
 <li>A falha está no recurso de busca por número do aplicativo, que permite visualizar dados como nome, foto de perfil, status, recado, links, grupos e até Chave Pix.</li>
 <li>Do total de números analisados, 57% exibiram fotos de perfil e 29% mostraram recados, configurando uma das maiores exposições de dados já documentadas.</li>
 <li>O Brasil é um dos países mais afetados, com número de usuários próximo à totalidade da população, segundo a pesquisa "Panorama" do Mobile Time.</li>
 <li>Os pesquisadores alertam que a ausência de limites na taxa de consultas facilitou a extração em massa e pode ser explorada por golpistas para fraudes.</li>
 </ul>
</section>

WhatsApp expôs dados de 206 milhões de brasileiros como celular, foto ou Pix

Malware retoma operações com técnica de fingerprinting que mapeia sistemas e dificulta detecção por segurança tradicional

O Lumma Stealer, malware ladrão de informações, começa a dar sinais de vida após vazamento de dados de membros do grupo. Na época, os cibercriminosos perderam clientes, que migraram para concorrentes como Vidar e StealC. Desde o dia 20 de outubro, a Trend Micro começou a registrar o ressurgimento das atividades do Lumma, mas com um novo comportamento mais sofisticado.Agora, o infostealer implementou técnicas de browser fingerprinting, que basicamente coleta uma quantidade absurda de dados sobre o ambiente da vítima por meio do navegador. Os cibercriminosos não mudaram o modus operandi completamente – só adicionaram mais uma camada à sua operação já existente.<figure class="image"><img src="https://tm.ibxk.com.br/2025/11/17/ataques_lumma_d5a1a8ec2f.png" alt="ataques-lumma.png" srcset="https://tm.ibxk.com.br/2025/11/17/thumbnail_ataques_lumma_d5a1a8ec2f.png 245w,https://tm.ibxk.com.br/2025/11/17/small_ataques_lumma_d5a1a8ec2f.png 500w,https://tm.ibxk.com.br/2025/11/17/medium_ataques_lumma_d5a1a8ec2f.png 750w,https://tm.ibxk.com.br/2025/11/17/large_ataques_lumma_d5a1a8ec2f.png 1000w," sizes="100vw"><figcaption>Quantidade de ataques via Lumma Stealer cresceram e se mantiveram consistentes desde outubro. Imagem: Trend Micro.</figcaption></figure><h2>Como funciona a nova técnica do Lumma Stealer</h2>O esquema funciona assim: o malware faz uma injeção de processo, especificamente usando uma técnica chamada "remote thread injection". Eles pegam um arquivo que parece legítimo, o MicrosoftEdgeUpdate.exe, e por meio dele criam uma thread, uma linha de execução, dentro de processos legítimos do Chrome que já estão rodando.Com isso, o malware consegue executar com a identidade do Chrome. Para os sistemas de segurança, parece que é só o navegador fazendo suas coisas normais. É uma camuflagem bem eficaz porque dificulta muito a detecção por sistemas de monitoramento de rede.Depois, ele se comunica com um endpoint novo no servidor de comando e controle, especificamente em "/api/set_agent". Um endpoint é basicamente um endereço específico no servidor onde você manda requisições.Nessa primeira conexão via HTTP GET, o malware envia alguns parâmetros na URL: um identificador único de 32 caracteres em hexadecimal que marca aquela infecção específica, um token de autenticação para validar a comunicação, e informações sobre qual navegador está sendo usado.<h2>Browser fingerprinting: a nova arma do malware</h2>O impressionante é a quantidade e qualidade das informações captadas pelo script de fingerprinting. Isso porque ele funciona como se estivesse pegando as digitais de um computador. Ele coleta detalhes do sistema operacional, informações de hardware como número de núcleos da CPU e memória do dispositivo, características gerais do navegador, mas vai muito além disso.Eles usam WebGL fingerprinting, que explora a API gráfica do navegador. WebGL é usado para renderizar gráficos 3D na web, e cada combinação de placa de vídeo, driver e sistema operacional processa essas informações de um jeito ligeiramente diferente.<figure class="image"><img src="https://tm.ibxk.com.br/2025/11/17/browser_fingerprinting_8890c38d34.png" alt="browser-fingerprinting.png" srcset="https://tm.ibxk.com.br/2025/11/17/thumbnail_browser_fingerprinting_8890c38d34.png 245w,https://tm.ibxk.com.br/2025/11/17/small_browser_fingerprinting_8890c38d34.png 500w,https://tm.ibxk.com.br/2025/11/17/medium_browser_fingerprinting_8890c38d34.png 750w,https://tm.ibxk.com.br/2025/11/17/large_browser_fingerprinting_8890c38d34.png 1000w," sizes="100vw"><figcaption>Funcionamento do código do browser fingerprinting. Imagem: Trend Micro.</figcaption></figure>O malware consegue extrair o vendor da placa gráfica, o nome do renderizador e as extensões suportadas, criando uma assinatura única daquela máquina. Tem também o canvas fingerprinting, que usa o elemento canvas do HTML5 para fazer o navegador desenhar textos e formas.Por causa de pequenas diferenças na forma como cada sistema renderiza fontes, anti-aliasing e cores, o resultado final tem variações mínimas mas detectáveis – como se várias pessoas desenhassem o mesmo desenho, mas cada uma com um traço levemente diferente.<h2>Técnicas avançadas de coleta de dados</h2>A análise de contexto de áudio usa a Web Audio API para coletar informações sobre como o sistema processa áudio, incluindo taxa de amostragem e configurações de canais. E tem a parte de WebRTC, que é especialmente interessante porque essa tecnologia foi originalmente feita para comunicação em tempo real, tipo chamadas de vídeo no navegador, mas acaba vazando informações sobre as interfaces de rede da máquina.Através dos ICE candidates e dados do SDP, que são basicamente informações sobre como estabelecer uma conexão de rede, o malware consegue descobrir endereços IP locais e informações sobre a configuração de rede da vítima, mesmo que ela esteja atrás de um firewall ou NAT.Além disso tudo, coleta tipo de conexão, largura de banda efetiva, medições de tempo de ida e volta na rede, resolução de tela, profundidade de cor, orientação, fontes disponíveis e informações sobre plugins do navegador.Depois de coletar tudo isso, o script serializa em formato JSON, que é um formato de dados estruturado e fácil de processar, e manda de volta pro servidor via POST no mesmo endpoint, mas agora com um parâmetro adicional "act=log". Depois de enviar, o navegador é redirecionado para "about:blank" para minimizar a chance da vítima perceber o que aconteceu.<h2>Por que essa técnica é perigosa</h2>A implicação tática disso é clara: com esse perfil detalhado do sistema, os operadores conseguem identificar se estão em uma máquina virtual, sandbox ou ambiente de análise, e podem evitar revelar as funcionalidades completas do malware nesses casos.Eles também conseguem selecionar melhor as vítimas e direcionar payloads específicos baseado nas capacidades do sistema. E como tudo isso acontece via processos legítimos de navegador usando HTTP padrão, fica muito mais difícil de detectar – para sistemas de segurança que só olham o tráfego de rede, parece que o Chrome está só fazendo requisições web normais.<h2>Lumma mantém estratégia híbrida de ataque</h2>O interessante é que, apesar desse upgrade, o malware mantém os protocolos de comunicação antigos. Eles ainda transmitem os parâmetros tradicionais de comando e controle usando WinHTTP APIs, que são funções do Windows para fazer requisições HTTP de baixo nível.Os parâmetros incluem o "uid" que identifica o operador e a campanha específica do Lumma, e o "cid" que marca recursos adicionais ativados.Então é uma estratégia híbrida mesmo, uma abordagem em camadas: mantém o sistema antigo funcionando para compatibilidade com a infraestrutura existente e todas as ferramentas que os operadores já usam, mas adiciona essa nova capacidade de fingerprinting para melhorar substancialmente a coleta de inteligência sobre as vítimas.<h2>Grupo mantém perfil baixo após doxxing</h2>Pelo que a Trend observou também, a presença deles em fóruns underground diminuiu bastante. Tem contas falsas no Telegram se passando por canais legítimos do Lumma, criando confusão no ecossistema. Os novos samples até contêm domínios de comando e controle desatualizados, incluindo alguns já bloqueados pela Microsoft através de sinkholing.Isso contrasta bastante com as práticas anteriores deles, que eram bem mais sofisticadas em termos de rotação de domínios e segurança operacional.A avaliação da Trend, com confiança média, é que os operadores estão mantendo perfil baixo intencionalmente, provavelmente para evitar chamar atenção de autoridades e concorrentes, mas continuam operando de forma mais cautelosa.<blockquote>Não parece que eles fecharam as portas, mas sim que estão esperando o momento certo para voltar com tudo.</blockquote>Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

<section class="summary">
 <h3>Sumário</h3>
 <ul>
 <li>O malware Lumma Stealer retomou suas atividades desde outubro, agora com técnicas mais sofisticadas de coleta de dados, como browser fingerprinting.</li>
 <li>O novo método injeta código malicioso em processos legítimos do Chrome, dificultando a detecção por sistemas de segurança tradicionais.</li>
 <li>O script de fingerprinting coleta informações detalhadas do sistema da vítima, incluindo dados de hardware, navegador, rede e áudio, criando uma assinatura única do dispositivo.</li>
 <li>Essas informações permitem ao malware identificar ambientes de análise e selecionar alvos com mais precisão, mantendo comunicação via HTTP padrão para evitar suspeitas.</li>
 <li>Apesar das melhorias, o Lumma mantém sua infraestrutura antiga e adota uma estratégia híbrida, operando com perfil mais discreto após vazamento de dados de seus operadores.</li>
 </ul>
</section>