Relatórios descrevem o trojan bancário Sturnus em desenvolvimento, direcionado a Android e com foco aparente em interceptar mensagens de WhatsApp, Telegram e Signal. A cobertura indica alvo na Europa, mas não fornece vetores, capacidades técnicas ou IOCs confirmados.
Pesquisadores da Zscaler identificaram a CVE-2025-50165, uma falha crítica (CVSS 9.8) no Windows Graphics Component (windowscodecs.dll) que permite execução remota via JPEGs forjados. A Microsoft publicou correção em 12/08/2025 (builds 10.0.26100.4851 → 10.0.26100.4946). A exploração pode ocorrer sem interação do usuário, por anexos ou previews; não há relatos de exploração em campo até o momento.
Exploração de CVE‑2025‑61882 (CVSS 9.8) permitiu execução remota pré‑autenticada em Oracle E‑Business Suite (12.2.3–12.2.14). Ataques rastreados desde julho de 2025 resultaram em vazamentos e extorsão atribuídos ao Clop/FIN11; Oracle liberou patch emergencial em 4 de outubro de 2025 e CISA listou a falha no KEV em 6 de outubro.
A campanha TamperedChef distribui instaladores falsos assinados com certificados EV comprados por shell companies para entregar backdoors. A operação usa SEO e malvertising para atrair vítimas, cria uma tarefa agendada via task.xml e executa JavaScript ofuscado como payload, mantendo persistência e permitindo execução remota.
Pesquisadores da Trend Micro documentaram cinco variantes de ransomware que atacam buckets Amazon S3 explorando credenciais roubadas, permissões excessivas e configurações inseguras (desativação de versioning, ausência de Object Lock). Uma técnica particularmente perigosa usa SSE‑C (Server‑Side Encryption with Customer‑Provided Keys), criando dados irrecuperáveis quando a chave do atacante é usada para criptografar objetos.
Pesquisadores relatam o botnet Tsundere, que combina pacotes npm maliciosos, instaladores disfarçados e smart contracts Ethereum para armazenar e rotear endereços de C2. O malware instala runtime Node.js legítimo, usa pm2 para persistência e pacotes como ws e ethers para comunicação via WebSocket. A técnica torna bloqueios baseados em IPs ineficazes e amplia risco em ambientes de desenvolvimento e endpoints.
Horizon3.ai descreve uma cadeia de vulnerabilidades em N‑able N‑central (CVE‑2025‑9316 e CVE‑2025‑11700) que permite bypass de autenticação, leitura de arquivos e exfiltração de segredos. N‑able lançou a versão 2025.4.0.9 em 05/11/2025 para mitigar os endpoints SOAP legados; organizações devem atualizar e rotacionar credenciais expostas.
A CTM360 mapeou a campanha HackOnChat, que utiliza páginas de autenticação falsas e engenharia social para sequestrar contas do WhatsApp via WhatsApp Web. Investigadores identificaram milhares de URLs maliciosas, com alcance global declarado; as fontes não informam números de vítimas confirmadas.
Pesquisadores demonstraram uma falha de enumeração que poderia permitir a raspagem de identificadores de até 3,5 bilhões de contas do WhatsApp; segundo o SecurityWeek, a vulnerabilidade já foi corrigida, mas expõe riscos de engenharia social e campanhas em larga escala.
Um anúncio em fórum clandestino afirma a venda de um zero‑day RCE com escape de sandbox para Microsoft Office por US$30.000. A oferta, atribuída ao ator “Zeroplayer”, permanece não verificada publicamente; se verdadeira, permitiria execução arbitrária via documentos e neutralizaria uma camada crítica de proteção do Office.
NSA, em parceria com CISA, FBI e parceiros internacionais, publicou orientação operacional para ISPs e defensores de rede visando mitigar riscos de bulletproof hosting, recomendando KYC mais rígido, curadoria de blocklists, filtragem granular e análise de tráfego por anomalias.
Auditoria da SonarSource encontrou Out‑Of‑Bounds Write no parser de modelos mllama do Ollama, permitindo RCE via arquivos GGUF maliciosos; a correção foi lançada na versão 0.7.0, que reescreveu o componente vulnerável em Go.
Kaspersky GReAT descreve o Tsundere, botnet Node.js distribuído via MSI e PowerShell que usa um smart contract Ethereum para publicar endereços WebSocket de C2; o ecossistema inclui painel com marketplace e builds, e IoCs (IPs, hashes) estão listados no relatório.
Análise técnica do loader do stealer Rhadamanthys revela anti‑sandbox comportamental (monitoramento do cursor e janelas por 45s), flattening do fluxo de controle, codificação "Flutter" e criptografia SM4; sandboxes avançadas como CAPE e VMRay podem acionar o payload quando corretamente configuradas.
Relatos indicam exploração ativa de uma vulnerabilidade RCE em 7‑Zip, com um proof‑of‑concept público. Embora as matérias não citem CVE nem versões afetadas, a presença do PoC aumenta o risco de ataques via arquivos maliciosos; equipes devem isolar processamento e monitorar EDR até correção oficial.