331 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a supply-chain.
Três falhas críticas em Picklescan permitem execução de código ao carregar modelos PyTorch não confiáveis, contornando proteções do scanner; recomenda-se isolar carregamentos e validar proveniência de modelos.
Pesquisadores da Intrinsec relataram uma campanha que usa spear‑phishing e malware modular para atacar empresas aeroespaciais e fornecedores russos, com loaders em memória, injeção em explorer.exe e módulos para raspagem de emails e exfiltração; persistência via tarefas agendadas e ferramentas de atualização sequestradas.
SmartTube, cliente third‑party para Android TV, teve chaves de assinatura expostas; builds oficiais passaram a incluir um implant nativo (libalphasdk.so / libnativesdk.so) que coleta fingerprinting e usa infraestrutura Google para mascarar C2. Versões infectadas indicadas: 30.43–30.55; desenvolvedor revogou a assinatura.
A campanha GlassWorm reapareceu com 24 extensões maliciosas publicadas no Microsoft Visual Studio Marketplace e no Open VSX, impersonando ferramentas como Flutter, React, Tailwind, Vim e Vue; a operação já havia sido documentada em outubro de 2025 e faria uso da blockchain Solana para C2.
Uma investigação conjunta liderada por Mauro Eldritch (BCA LTD), com NorthScan e ANY.RUN, identificou uma rede de trabalhadores remotos ligada à divisão Famous Chollima do grupo Lazarus; pesquisadores afirmam ter documentado o esquema em operação, mas as fontes não publicam IOCs ou contagens de vítimas no material disponível.
A campanha Glassworm publicou 24 extensões maliciosas no Visual Studio Marketplace e no OpenVSX, clonando pacotes legítimos de frameworks como Flutter, Tailwind e Vue. Pesquisadores do Secure Annex apontam uso de implantes em Rust, manipulação de downloads e atualizações maliciosas que executam código no contexto do desenvolvedor.
A campanha Glassworm entrou em sua terceira onda, com 24 novos pacotes maliciosos detectados no OpenVSX e no Visual Studio Marketplace. A tática explora a confiança em pacotes de terceiros para distribuir código malicioso a estações de desenvolvimento; a cobertura não traz IOCs completos.
Pesquisadores da Nextron Systems identificaram uma extensão falsa do Material Icon Theme para VS Code (versão identificada como 5.29.1) que incluía implantes em Rust e um loader (extension.js) responsáveis por transformar a extensão em um backdoor capaz de recuperar estágios adicionais via dados em uma carteira Solana e, como fallback, via evento oculto no Google Calendar.
O cliente alternativo SmartTube para Android TV teve suas chaves de assinatura do desenvolvedor comprometidas, permitindo que um update malicioso assinado fosse distribuído a usuários; as fontes não detalham o alcance nem o payload.
Check Point Research reportou uma falha de command injection no Codex CLI que permitia executar comandos arbitrários a partir de configuração em repositórios; OpenAI corrigiu a falha em Codex CLI 0.23.0 — usuários devem atualizar e tratar configs .codex/.env como sensíveis.