Autoridades dos EUA apreenderam servidores e domínios da exchange E-Note, apontada por investigação reproduzida pelo BleepingComputer como meio para lavar mais de US$70 milhões originados em pagamentos de ransomware. O extrato disponível não detalha prisões, documentos judiciais ou evidências técnicas.
Pesquisadores da Unit42 documentaram uma atualização no RansomHouse (RaaS), agora focada em hypervisors VMware ESXi. A operação combina roubo de dados com criptografia em larga escala usando componentes chamados MrAgent e Mario, que empregam processamento fragmentado e dupla chave, dificultando recuperação. Organizações devem reforçar proteção de virtualização e backup.
Alerta conjunto de agências descreve hacktivistas pró-Rússia explorando VNC exposto para acessar HMIs em OT. Grupos escaneiam portas 5900, usam brute-force contra senhas fracas e manipulam GUIs, causando perda de visibilidade operacional. Recomendações incluem segmentação e MFA.
Autoridades francesas prenderam um suspeito de 22 anos ligado a um ataque que mirou o Ministério do Interior no início do mês. A detenção foi reportada pela BleepingComputer, mas detalhes técnicos e o alcance do dano ainda não foram divulgados pelas autoridades.
Pesquisadores da Recorded Future (Insikt Group) atribuem a APT28 uma operação sustentada de colheita de credenciais contra usuários do webmail UKR.net, observada entre junho de 2024 e abril de 2025. O relatório confirma continuidade em relação a descobertas de maio de 2024, mas não traz números de vítimas ou IOCs públicos.
A operação ForumTroll retomou ataques direcionados a cientistas políticos com e‑mails que simulam relatórios de plágio; o ZIP entregue contém um atalho .lnk que dispara um PowerShell para baixar um loader OLLVM e implantar o framework Tuoni. Persistência é estabelecida via COM Hijacking; IOCs incluem domínios em fastly.net e e-library[.]wiki.
Operação do grupo BlindEagle mirou uma agência do Ministério de Comércio da Colômbia, usando conta interna comprometida e anexo SVG para entregar payloads fileless que culminaram na injeção do DCRAT em MSBuild.exe.
Relatório da Cato Networks, republicado no Cyber Security News, alerta que caixas de monitoramento de strings com Modbus/TCP exposto (porta 502) permitem a atacantes cortar ou reduzir produção de usinas solares em minutos.
NoName057(16) usa DDoSia, um projeto crowdsourced que recruta voluntários via Telegram para lançar DDoS contra alvos NATO e europeus. Infraestrutura em duas camadas, alta rotatividade de C2 e predominância de ataques TCP e camada de aplicação em portas 443/80.
Exploração ativa de CVE-2025-59718 e CVE-2025-59719 permite logins SSO não autenticados em appliances Fortinet com FortiCloud SSO habilitado. Atacantes teriam acessado contas administrativas e exportado configurações; Fortinet liberou patches e a recomendação é desabilitar o SSO e atualizar imediatamente.
