Esta publicação tem como objetivo divulgar o documento desenvolvido pela equipe de Threat Intelligence da Service IT Security que foi desenvolvido e fundamentado utilizando as documentações oficiais do NIST (National Institute Of Standards and Technology), MITRE e CVE.org, que são conhecidas mundialmente na área de cibersegurança, como modelo e padronização de melhores práticas de segurança, pesquisa de metodologias de ataques e defesa cibernética, e pesquisa e catalogação de novas vulnerabilidades em sistemas operacionais e aplicações.
Vulnerabilidades e Ameaças Descobertas:
1. CVE-2026-72018 — Linux Kernel: Falha Pode Permitir Escalada de Privilégios para Root
Descrição: Falha de escrita fora dos limites no driver dibs_loopback pode comprometer estruturas de credenciais do kernel.
Exploração: Usuário local com CAP_NET_ADMIN pode manipular comunicações SMC-D para alterar estruturas de memória do kernel.
Impacto: Pode permitir escalada de privilégios para root e comprometimento da confidencialidade, integridade e disponibilidade.
Mitigação: Atualizar o kernel e remover CAP_NET_ADMIN de aplicações e contêineres que não necessitem da capacidade.
2. SectopRAT — Malware Oculto em Software Windows Adulterado
Descrição: Variante do SectopRAT é distribuída incorporada a software legítimo adulterado, utilizando componentes criptografados para ocultar o malware.
Exploração: Bibliotecas modificadas e tarefas agendadas carregam o malware diretamente na memória durante a execução do aplicativo.
Impacto: Permite controle remoto e coleta de dados de navegadores, e-mails, aplicativos e carteiras digitais.
Mitigação: Utilizar somente softwares de fontes oficiais, validar assinaturas e investigar DLLs e tarefas agendadas suspeitas.
3. RedFlick — CosmicPulse Distribuído por Phishing e Tarefas Agendadas
Descrição: Campanha de phishing distribui o backdoor CosmicPulse por arquivos VHDX, LNK e scripts maliciosos.
Exploração: Arquivos compactados levam a um LNK que executa BAT e baixa componentes maliciosos, com tarefas agendadas garantindo persistência.
Impacto: Pode estabelecer persistência, permitir acesso remoto e possibilitar espionagem e comprometimento de informações corporativas.
Mitigação: Bloquear anexos suspeitos, investigar tarefas agendadas e evitar a execução de LNK, BAT, MSI e VHDX recebidos por e-mail.
4. Ferramentas RMM — Falsos Instaladores de Zoom e PDF
Descrição: Campanha de phishing utiliza falsos instaladores para distribuir ferramentas legítimas de acesso remoto, como MSP360 RMM e ScreenConnect.
Exploração: Após instalar o falso aplicativo e obter privilégios administrativos, o atacante configura o RMM para inicialização automática e acesso remoto.
Impacto: Pode permitir controle do dispositivo, execução de comandos, roubo de credenciais e movimentação lateral.
Mitigação: Monitorar RMMs não autorizados, restringir privilégios administrativos e instalar aplicações somente de fontes oficiais.
5. Antino — Backdoor Utiliza Microsoft 365 como Canal de C2
Descrição: Backdoor utiliza Microsoft Graph, Outlook e OneDrive como infraestrutura de comando e controle.
Exploração: Distribuído por phishing e instaladores falsos, pode usar DLL Sideloading, PowerShell e serviços do Microsoft 365 para receber comandos e exfiltrar dados.
Impacto: Pode permitir execução de comandos, coleta de informações, exfiltração de arquivos e manutenção de acesso.
Mitigação: Monitorar Microsoft Graph, Outlook e OneDrive, investigar processos suspeitos e correlacionar eventos do endpoint com logs do Microsoft 365.
6. WordPress — Backdoor Autorreparável Restaura Malware Removido
Descrição: Backdoor SC utiliza múltiplos mecanismos de persistência para restaurar componentes maliciosos após tentativas de remoção.
Exploração: O malware se espalha por arquivos, banco de dados, plugins, temas e tarefas agendadas, recriando componentes removidos.
Impacto: Pode manter acesso administrativo, executar código PHP, roubar sessões e alterar o conteúdo do site.
Mitigação: Preservar evidências, remover todos os mecanismos de persistência, atualizar o WordPress e alterar credenciais após a contenção.
7. CVE-2026-96512 — Sudo: Bypass de Restrições Temporais
Descrição: Falha no processamento da variável TZ permite contornar restrições temporais configuradas em regras do Sudo.
Exploração: Usuário local pode utilizar um valor TZ especialmente elaborado para fazer autorizações expiradas ou futuras serem interpretadas como válidas.
Impacto: Pode permitir execução de comandos privilegiados fora do período autorizado e resultar em escalada de privilégios.
Mitigação: Atualizar o Sudo, revisar regras NOTBEFORE/NOTAFTER e monitorar comandos executados fora dos horários permitidos.
Para obter mais detalhes e verificar a versão completa do documento desta publicação, acesse-o clicando aqui.
