12 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a ofuscacao.
Foi identificado um backdoor crítico (CVE‑2026‑0920, CVSS 9.8) no plugin LA‑Studio Element Kit para Elementor que permitia a criação de contas administrativas sem autenticação. A falha afeta versões ≤1.5.6.3; a correção (1.6.0) foi publicada em 14/01/2026. Administradores devem atualizar, auditar contas e procurar sinais de comprometimento.
PixelCode é um proof‑of‑concept que codifica executáveis em pixels de vídeo e os hospeda em plataformas públicas. Um loader baixa o vídeo e um stager reconstrói o binário em memória. A técnica explora a baixa inspeção de conteúdo multimídia e complica detecção baseada em arquivos.
Pesquisa da ASEC reporta campanha que distribui Remcos RAT usando instaladores falsos do VeraCrypt e outras iscas; cadeia de oito estágios em VBS/PowerShell termina com injector .NET comunicando-se por Discord webhooks.
O packer pkr_mtsi tem servido como loader genérico em campanhas de malvertising que trojanizam instaladores de ferramentas populares (PuTTY, Rufus, Teams), entregando famílias como Oyster, Vidar e Vanguard. ReversingLabs documenta evolução em ofuscação, uso de ZwAllocateVirtualMemory e módulos UPX adulterados que complicam análise.
A operação ForumTroll retomou ataques direcionados a cientistas políticos com e‑mails que simulam relatórios de plágio; o ZIP entregue contém um atalho .lnk que dispara um PowerShell para baixar um loader OLLVM e implantar o framework Tuoni. Persistência é estabelecida via COM Hijacking; IOCs incluem domínios em fastly.net e e-library[.]wiki.
Campanha ClickFix exibe falso erro “Word Online” que coloca comando PowerShell na área de transferência; ao colar e executar, vítimas baixam um HTA que prepara e instala o DarkGate RAT. Point Wild identificou a técnica baseada em ação humana e múltiplas camadas de ofuscação; alcance e vítimas ainda não foram divulgados.
BC Security lançou o Empire 6.3.0, que amplia suporte a agentes (PowerShell, Python, C#, Go), incorpora GUI Starkiller e técnicas de evasão (JA3/S, JARM) e expande a biblioteca de módulos para exercícios ofensivos.
Operation FrostBeacon usa campanhas por e‑mail com arquivos LNK e documentos Word explorando CVE‑2017‑0199 e CVE‑2017‑11882 para entregar Cobalt Strike. O HTA reconstroi scripts ofuscados que executam shellcode em memória; infraestrutura aponta para domínios russos.
Pesquisadores detalham como variantes do QuasarRAT usam AES-256/CBC e PBKDF2 para proteger configurações; analistas extraem chaves e strings ao inspecionar IL (.cctor, ldstr, stsfld) com dnlib e scripts em Python, permitindo revelar infraestrutura C2 sem execução.
O downloader BadAudio, atribuído ao APT24, é um primeiro estágio ofuscado que descarrega payloads AES e tem sido distribuído via compromissos de sites legítimos, supply‑chain JS e phishing; analistas identificaram uso de Cobalt Strike em payloads subsequentes.