Pesquisadores da esentire detalharam campanhas do Prometei que visam servidores Windows via RDP, implementando persistência como serviço "UPlugPlay", módulos de roubo de credenciais (Mimikatz) e comunicação via TOR. A recomendação é reforçar MFA, reduzir exposição RDP, e usar EDR e detecção comportamental com YARA fornecida para caça a artefatos.
Pesquisa técnica revela campanha com o loader RenEngine que distribui Lumma e ACR Stealer via jogos e repacks piratas. O mecanismo usa HijackLoader para injetar payloads em memória; Brasil está entre os países com maior incidência. Recomendações incluem evitar software pirata, reforçar controles de execução e usar detecção comportamental.
Cephalus é um ransomware escrito em Go que segue playbook de dupla extorsão; começa em RDP exposto sem MFA, faz reconhecimento rápido, tampering em Defender e encriptação AES‑256 com chaves RSA. Recomenda‑se fechar RDP, impor MFA, monitorar tarefas agendadas e proteger backups.
Analistas reportam o grupo Coinbase Cartel, que desde set/2025 prioriza exfiltração de dados e extorsão sem cifrar sistemas. O grupo já reivindicou dezenas de vítimas em saúde, tecnologia e transporte; mitigação exige MFA, DLP e resposta rápida.
Socelars é um stealer ativo que atinge estações Windows para extrair cookies de sessão (Chrome/Firefox) — com foco em contas do Facebook Ads Manager — e usa técnicas de elevação e exfiltração para facilitar takeover e fraude publicitária.
Campanha com instalador falso do 7‑Zip (domínio 7zip[.]com) entrega componentes maliciosos que registram serviços SYSTEM, alteram firewall e transformam máquinas domésticas em proxies residenciais. Malwarebytes identifica arquivos Uphero.exe, hero.exe e hero.dll instalados em C:\Windows\SysWOW64\hero\; bloqueio de domínios C2 e remoção via AV são recomendados.
Pesquisa da Forcepoint detalha campanha que usa arquivos .lnk com dupla extensão para entregar o ransomware Global Group (linha Mamona/Phorpiex). O malware opera em modo offline e emprega técnicas anti‑forense.
A SmarterTools confirmou invasão pela gangue Warlock após comprometimento de um sistema de e-mail; a empresa afirma que aplicações de negócio e dados de contas não foram afetados. A cobertura não detalha vetores técnicos nem alcance, recomendando revisão de logs, autenticação e investigação forense por clientes e integradores.
Pesquisas indicam exploração ativa de falhas no SolarWinds Web Help Desk (WHD) para execução remota de código e implantação de ferramentas legítimas de forense como Velociraptor, usadas para persistência. A matéria não detalha CVE, versões afetadas ou escala da campanha; recomenda-se isolar instâncias expostas, aplicar correções e buscar indicadores de compromisso.
BridgePay Network Solutions informou estar trabalhando com FBI e U.S. Secret Service após incidente tratado como ransomware que causou interrupções nos serviços de pagamento para clientes em Texas e Flórida. Detalhes sobre exfiltração, família de ransomware ou pagamento de resgate não foram divulgados; investigação federal está em curso.
