32 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a ioc.
A WatchGuard confirmou exploração ativa do zero‑day CVE‑2025‑14733 em appliances Firebox — uma falha crítica no processo iked que permite execução remota sem autenticação. Foram divulgadas correções (Fireware 2025.1.4, 12.11.6, 12.5.15), IoCs e a recomendação de rotacionar segredos caso haja evidência de comprometimento.
A operação ForumTroll retomou ataques direcionados a cientistas políticos com e‑mails que simulam relatórios de plágio; o ZIP entregue contém um atalho .lnk que dispara um PowerShell para baixar um loader OLLVM e implantar o framework Tuoni. Persistência é estabelecida via COM Hijacking; IOCs incluem domínios em fastly.net e e-library[.]wiki.
Pesquisadores mapearam novos clusters de infraestrutura ligados ao APT‑C‑35 (DoNot) usando padrões de resposta Apache e correlação por ASN. Foram encontrados ~73 resultados equivalentes a 36 IPs únicos; o relatório fornece assinaturas práticas para hunting, mas não lista vítimas confirmadas.
A campanha ClickFix abusa do utilitário finger.exe para recuperar scripts via protocolo finger (TCP 79) quando vítimas executam comandos induzidas por CAPTCHAs falsos. Os atacantes retornam PowerShell codificado que baixa payloads maliciosos. Recomenda‑se bloquear porta 79, monitorar tráfego finger, detectar PowerShell Base64 e educar usuários contra execução manual de comandos.
Pesquisadores identificaram a campanha 'Operation MoneyMount-ISO', que entrega o infostealer Phantom por meio de arquivos ISO auto-montáveis anexados em e-mails de confirmação de pagamento. O ataque foca equipes financeiras, utiliza execução em memória via DLLs e exfiltra dados por Telegram, Discord e FTP. Recomenda-se bloquear anexos containerizados, desabilitar montagem automática de ISOs e reforçar detecções EDR.
ANY.RUN adicionou ao Threat Intelligence Lookup contexto por indústria e país, fornecendo risk scores por setor, famílias de ameaças associadas e países de submissão com base em amostras de sandbox. A base, segundo a empresa, reflete análises de mais de 15.000 organizações e destina‑se a priorizar detecções e playbooks em SOCs e MSSPs.
Barracuda identificou o kit GhostFrame, usado em mais de 1 milhão de ataques. O kit usa iframes invisíveis, subdomínios únicos por alvo e técnicas anti-análise para evadir scanners e dificultar inspeção. Recomendações focam em defesa em camadas: gateways de e-mail, restrição de iframes e treinamento de usuários.
Campanha de exploração do zero-day CVE-2025-61882 contra Oracle E-Business Suite, com CVSS 9.8, levou o grupo Clop a comprometer servidores web em várias organizações; Canon confirmou impacto contido em um servidor de subsidiária e diz ter isolado sistemas. Pesquisadores apontam exploração ativa desde agosto e listam IoCs publicados.
A campanha vinculada ao coletivo ShinyHunters explora tokens OAuth de integrações Gainsight para obter acesso a instâncias Salesforce, com reivindicação de impacto em mais de 200 empresas. Salesforce desabilitou conexões de aplicativos Gainsight em 20/11/2025 e ambas as plataformas notificam clientes afetados; IoCs públicos incluem múltiplos IPs de proxies/VPN e user agents suspeitos.
O grupo UNC1549, ativo desde 2023, usa phishing dirigido, abuso de fornecedores e DLL search order hijacking para operar contra organizações aeroespaciais e de defesa. Relatos apontam uso de backdoors customizados (TWOSTROKE), payloads com hashes únicos e persistência de longo prazo, dificultando resposta e forense.