A semana foi marcada por vulnerabilidades críticas em produtos amplamente utilizados por empresas, exploração ativa de falhas conhecidas e novas campanhas direcionadas a ambientes corporativos.
Entre os destaques estão uma vulnerabilidade zero-day do Windows utilizada em ataques contra organizações dos setores de defesa e aeroespacial, uma campanha de ransomware que explora equipamentos Fortinet para obter acesso inicial e contornar mecanismos de autenticação, além da rápida adoção de uma falha do Microsoft SharePoint por criminosos após a divulgação pública de um código de exploração.
Outro caso chamou atenção para um tema recorrente na comunidade de segurança: a divulgação responsável de vulnerabilidades. Um pesquisador publicou detalhes sobre uma nova falha de elevação de privilégios no Windows Defender enquanto ainda não havia uma correção específica disponibilizada pela Microsoft.
Apesar de apresentarem características diferentes, os quatro casos reforçam um mesmo ponto: o intervalo entre a descoberta de uma vulnerabilidade e sua exploração está cada vez menor, aumentando a importância de processos eficientes de gestão de vulnerabilidades, aplicação de patches e monitoramento contínuo.
Grupo norte-coreano explora zero-day do Windows
Pesquisadores identificaram hackers ligados à Coreia do Norte utilizando uma vulnerabilidade zero-day do Windows em ataques direcionados principalmente aos setores de defesa, aeroespacial e aviação.
A falha, identificada como CVE-2026-68820, foi explorada antes da disponibilização de uma correção oficial e posteriormente corrigida pela Microsoft nas atualizações da Patch Tuesday de agosto de 2026.
Segundo a investigação, a vulnerabilidade foi incorporada às operações do grupo Lazarus, conhecido por campanhas avançadas de espionagem e roubo de informações.
A atividade faz parte da chamada Operação Dream Job, campanha que utiliza falsas oportunidades profissionais como mecanismo de engenharia social para atingir funcionários de organizações estratégicas.
Como funciona a CVE-2026-68820
A vulnerabilidade está localizada no componente AFD.sys, utilizado pelo Windows em funções relacionadas à comunicação de rede.
Segundo a Microsoft, trata-se de uma falha do tipo use-after-free, condição na qual um programa tenta utilizar uma região da memória depois que ela já foi liberada.
Em determinadas situações, essa condição permite que um invasor aumente seus privilégios dentro do sistema.
Para explorar a falha, o criminoso precisa inicialmente conseguir executar um aplicativo malicioso no computador.
Depois disso, pode explorar uma condição de corrida e elevar seus privilégios até obter acesso como SYSTEM, o nível mais elevado de permissões no Windows.
Isso significa que a vulnerabilidade não representa necessariamente o primeiro estágio do ataque.
Normalmente, o invasor já precisa ter conseguido algum nível de acesso ao computador. A falha então pode ser utilizada para ampliar seus privilégios e assumir maior controle sobre o ambiente.
Vulnerabilidade foi utilizada para instalar rootkit
Segundo pesquisadores da Check Point, o grupo Lazarus incorporou a exploração a uma nova versão do malware FudModule.
O FudModule funciona como um rootkit executado em modo kernel.
Esse tipo de malware opera em uma camada profunda do sistema operacional e pode ser utilizado para:
- Ocultar processos;
- Interferir em ferramentas de segurança;
- Manipular componentes do sistema;
- Reduzir a visibilidade das equipes de defesa;
- Manter persistência;
- Facilitar novas etapas do ataque.
A nova versão identificada pelos pesquisadores também consegue interferir em sistemas de EDR e reduzir a telemetria utilizada para detectar comportamentos suspeitos.
O malware ainda pode interferir no Smart App Control do Windows, recurso responsável por ajudar a impedir a execução de aplicações consideradas potencialmente perigosas.
Falsas oportunidades de emprego continuam sendo utilizadas
A Operação Dream Job utiliza engenharia social direcionada a profissionais que atuam em setores estratégicos.
Os atacantes criam falsas ofertas de emprego e abordam funcionários de empresas de:
- Defesa;
- Aviação;
- Aeroespacial;
- Tecnologia;
- Engenharia;
- Pesquisa.
A vítima pode receber uma proposta aparentemente legítima e ser incentivada a abrir documentos, acessar links ou instalar aplicações relacionadas a um suposto processo seletivo.
Segundo os pesquisadores, a campanha recente teve como foco organizações europeias e indianas.
Em pelo menos um caso, uma organização francesa comprometida teria sido posteriormente utilizada como ponto de apoio para ataques de spear-phishing contra outros alvos.
Novo backdoor oferece controle amplo sobre os sistemas
Além do FudModule, os pesquisadores identificaram um novo backdoor chamado Troy.
O malware possui pelo menos 17 comandos e permite que os invasores executem diferentes atividades nos computadores comprometidos.
Entre elas estão:
- Coletar informações sobre o sistema;
- Listar processos;
- Fazer upload de arquivos;
- Baixar arquivos;
- Excluir informações;
- Executar comandos;
- Encerrar processos;
- Injetar DLLs;
- Exfiltrar informações;
- Alterar parâmetros de comunicação.
Esses recursos permitem manter acesso prolongado ao sistema e adaptar o ataque de acordo com as características de cada organização.
Roundcube também aparece nas investigações
Outra frente identificada pela Check Point envolveu instalações vulneráveis do Roundcube, plataforma de webmail utilizada por diferentes organizações.
Pesquisadores observaram varreduras contra servidores e posteriormente identificaram sistemas comprometidos por um web shell denominado RelayShell.
Um web shell é um código malicioso instalado em um servidor que permite a execução remota de comandos por meio de uma interface web.
Segundo a investigação, os atacantes possivelmente utilizaram credenciais previamente comprometidas antes de explorar a CVE-2025-49113, vulnerabilidade que pode permitir execução remota de código em determinadas condições.
Ao menos 17 servidores foram identificados pelos pesquisadores como comprometidos pelo RelayShell.
Campanha também apresentou atividade no Brasil
A investigação indica que as atividades não ficaram restritas à Europa e à Ásia.
Segundo a Check Point, também foram observados sinais da campanha na América do Sul, incluindo o Brasil.
O foco continuou concentrado principalmente em organizações relacionadas a tecnologias militares, como:
- Sistemas de vigilância;
- Drones;
- Robótica;
- Componentes aeroespaciais;
- Tecnologias de defesa.
Os pesquisadores também observaram que os atacantes passaram a utilizar servidores legítimos comprometidos para hospedar ferramentas ou esconder comunicações maliciosas.
Isso dificulta a detecção porque o tráfego pode ter origem em infraestruturas que normalmente seriam consideradas confiáveis.
Como reduzir os riscos
Organizações devem priorizar:
- Aplicação das correções para a CVE-2026-68820;
- Atualização de servidores Roundcube;
- Monitoramento de alterações em soluções EDR;
- Investigação de tentativas de desativar ferramentas de segurança;
- Monitoramento de servidores web;
- Busca por web shells;
- Utilização de indicadores de comprometimento;
- Uso de regras YARA disponibilizadas por pesquisadores;
- Reforço da autenticação;
- Eliminação da reutilização de senhas;
- Treinamento contra falsas oportunidades de emprego;
- Monitoramento de campanhas de spear-phishing.
A combinação entre vulnerabilidades técnicas e engenharia social demonstra que apenas manter o sistema atualizado não elimina completamente o risco.
Ransomware explora equipamentos Fortinet para entrar em empresas
Outra ameaça destacada nesta semana envolve ataques relacionados ao ransomware Gunra.
Um comunicado conjunto de diferentes órgãos de segurança alertou que afiliados da operação estão explorando vulnerabilidades conhecidas em equipamentos Fortinet expostos à internet.
Entre as entidades envolvidas no alerta estão FBI, CISA, NSA, Serviço Secreto dos Estados Unidos e autoridades sul-coreanas.
Segundo o comunicado, os criminosos exploram principalmente dispositivos utilizados para VPN e acesso remoto.
Depois de obter acesso inicial, os invasores procuram:
- Roubar credenciais;
- Contornar mecanismos de autenticação;
- Movimentar-se lateralmente;
- Acessar ambientes em nuvem;
- Exfiltrar informações;
- Criptografar os sistemas.
Os ataques representam risco especialmente relevante para setores como saúde, serviços financeiros, indústria crítica, transporte e governo.
Gunra opera no modelo Ransomware as a Service
O Gunra surgiu em abril de 2025 como uma operação de dupla extorsão.
Nesse modelo, os criminosos primeiro roubam informações e depois criptografam os sistemas.
A vítima passa então a enfrentar duas formas de pressão:
- indisponibilidade dos dados e sistemas;
- ameaça de divulgação ou venda das informações roubadas.
Segundo as autoridades, o ransomware teria sido desenvolvido a partir do código-fonte vazado do Conti.
No início de 2026, a operação passou a funcionar no modelo Ransomware as a Service, conhecido como RaaS.
Nesse formato, desenvolvedores mantêm a infraestrutura e as ferramentas enquanto afiliados executam os ataques em troca de uma parcela dos pagamentos obtidos.
O FBI também identificou uma mudança de marca da operação para Golden Community.
Vulnerabilidades conhecidas da Fortinet são utilizadas como porta de entrada
Os investigadores identificaram duas falhas principais:
- CVE-2024-55591;
- CVE-2025-24472.
Ambas afetam determinadas versões do FortiOS e FortiProxy e podem permitir o contorno de mecanismos de autenticação.
Em um dos incidentes investigados, os criminosos também encontraram uma conta administrativa de SSL-VPN utilizando credenciais padrão e sem mecanismos adequados de bloqueio.
Depois de obter acesso, os invasores alteraram componentes responsáveis pela autenticação de um portal de infraestrutura de desktop virtual.
Essa modificação permitiu que uma senha de uso único escolhida pelos próprios criminosos fosse aceita pelo sistema.
MFA não resolve o problema quando o próprio mecanismo de autenticação é comprometido
O episódio demonstra uma limitação importante da autenticação multifator.
O MFA é extremamente relevante para impedir ataques baseados apenas no roubo de senhas.
Entretanto, se o invasor consegue modificar o próprio componente responsável por validar a autenticação, ele pode alterar as regras que determinam se determinado acesso deve ser considerado legítimo.
Por isso, as organizações também precisam monitorar a integridade dos sistemas responsáveis pela autenticação.
Além de habilitar MFA, é importante monitorar:
- Alterações em arquivos de autenticação;
- Novos módulos;
- Configurações inesperadas;
- Criação de contas administrativas;
- Mudanças em políticas;
- Alterações em servidores VPN;
- Modificações em ambientes VDI.
Ferramentas legítimas são utilizadas para movimento lateral
Depois de obter acesso, os operadores do Gunra utilizam ferramentas conhecidas para ampliar o comprometimento.
Entre os componentes identificados estão ferramentas do projeto Impacket, incluindo:
psexec.py;smbclient.py;secretsdump.py.
Essas ferramentas possuem usos legítimos em administração e testes de segurança, mas também podem ser empregadas por criminosos.
Os atacantes utilizam esses recursos para interagir com serviços SMB, movimentar-se entre computadores e extrair credenciais armazenadas em controladores de domínio.
As credenciais obtidas podem permitir técnicas como:
- Pass-the-hash;
- Pass-the-ticket;
- Sequestro de sessões;
- Uso indevido de contas privilegiadas.
Investigadores também identificaram casos envolvendo roubo de cookies de sessões VPN.
Dados são roubados antes da criptografia
O Gunra segue uma estratégia de dupla extorsão.
Antes de criptografar os computadores, os criminosos coletam grandes volumes de dados corporativos.
Segundo o comunicado, uma ferramenta denominada main.exe foi utilizada para coletar arquivos de ambientes Microsoft OneDrive e SharePoint.
Os dados são posteriormente compactados e enviados para serviços externos.
Ferramentas legítimas também aparecem na operação, como:
- 7-Zip;
- RClone;
- FileZilla.
Em alguns incidentes, o volume de informações exfiltradas chegou a dezenas de terabytes.
Criptografia ocorre apenas na etapa final
Depois da coleta das informações, o ransomware é implantado.
A carga maliciosa utiliza os algoritmos ChaCha20 e RSA-4096 para criptografar os arquivos.
Os dados comprometidos recebem a extensão:
.ENCRT
Uma nota de resgate denominada:
R3ADM3.txt
é criada nos diretórios afetados.
As vítimas são direcionadas para canais utilizados pelos criminosos para realizar negociações.
Segundo o comunicado, normalmente é estabelecido um prazo de cinco a sete dias antes da ameaça de divulgação ou venda das informações.
Como se proteger contra ataques semelhantes
Entre as principais medidas estão:
- Atualizar VPNs e firewalls;
- Corrigir vulnerabilidades em dispositivos expostos;
- Eliminar credenciais padrão;
- Restringir interfaces administrativas;
- Monitorar alterações nos componentes de autenticação;
- Utilizar MFA resistente a phishing;
- Implementar segmentação de rede;
- Manter backups offline;
- Utilizar backups imutáveis;
- Monitorar indicadores relacionados aos ataques;
- Revisar equipamentos Fortinet expostos;
- Monitorar acessos ao OneDrive e SharePoint;
- Criar alertas para transferências anormais de dados.
A principal lição é que um equipamento de borda comprometido pode se transformar na porta de entrada para toda a infraestrutura corporativa.
Falha crítica do SharePoint começa a ser explorada
Outra vulnerabilidade que exige atenção envolve instalações locais do Microsoft SharePoint.
A falha, identificada como CVE-2026-55040, permite contornar mecanismos de autenticação durante a validação de tokens JWT.
Em determinadas condições, um invasor sem privilégios pode se passar por um usuário ou administrador de um site SharePoint.
A exploração pode permitir:
- Acesso não autorizado;
- Leitura de informações;
- Alteração de documentos;
- Modificação de dados armazenados;
- Uso indevido de identidades.
A vulnerabilidade afeta instalações locais e híbridas.
Segundo o material, o SharePoint Online gerenciado pela Microsoft não exige ação dos usuários relacionada a essa falha.
Código público de exploração aumentou o risco
A vulnerabilidade havia sido corrigida pela Microsoft nas atualizações da Patch Tuesday de julho de 2026.
O cenário se tornou mais preocupante depois que um pesquisador da Rapid7 publicou uma análise técnica acompanhada de uma prova de conceito.
Poucas horas depois, a empresa Defused informou que já observava tentativas de exploração utilizando o código contra seus honeypots.
Honeypots são sistemas propositalmente expostos para observar o comportamento de invasores.
O caso demonstra como rapidamente um código de exploração publicado pode ser incorporado a atividades maliciosas.
Mais de 8.500 servidores estavam expostos
Segundo dados citados no material, a organização Shadowserver identificava mais de 8.500 servidores SharePoint acessíveis diretamente pela internet.
Entretanto, não era possível determinar quantos estavam atualizados ou quantos poderiam ser sistemas de monitoramento.
Apesar das tentativas observadas em honeypots, a Microsoft ainda não havia confirmado ataques bem-sucedidos contra servidores reais de produção relacionados especificamente à vulnerabilidade.
A CISA, porém, já havia recomendado medidas para reduzir a exposição.
Como proteger servidores SharePoint
Entre as principais recomendações estão:
- Aplicar imediatamente as atualizações disponíveis;
- Evitar exposição direta dos servidores à internet;
- Bloquear acesso externo à Administração Central;
- Restringir comunicação com bancos de dados;
- Utilizar proxy reverso de camada 7;
- Monitorar autenticações incomuns;
- Revisar logs de acesso;
- Identificar alterações inesperadas em documentos;
- Monitorar contas administrativas;
- Reduzir a superfície exposta.
Servidores SharePoint merecem atenção especial porque frequentemente concentram grandes volumes de documentos corporativos.
Plataforma possui histórico de exploração
A preocupação não está limitada a uma única vulnerabilidade.
Segundo o material, desde novembro de 2021 a CISA identificou 14 vulnerabilidades do SharePoint exploradas ativamente.
Oito delas também foram relacionadas a ataques de ransomware.
Outra falha, identificada como CVE-2026-45659, também teria passado a ser utilizada por grupos de ransomware.
O cenário reforça a importância de incluir aplicações corporativas expostas à internet entre os ativos de maior prioridade dentro dos programas de gestão de vulnerabilidades.
Nova vulnerabilidade do Windows Defender é divulgada sem correção específica
Outro caso desta semana envolve uma nova vulnerabilidade relacionada ao Windows Defender.
Segundo o material, pesquisadores independentes identificaram uma falha de elevação de privilégios capaz de permitir que um invasor passe de uma conta com permissões limitadas para um nível de acesso elevado.
A prova de conceito foi publicada antes da disponibilização de uma correção específica para o problema.
Segundo o pesquisador responsável, a vulnerabilidade afetaria:
- Windows 10;
- Windows 11;
- Windows 11 25H2;
- Windows Server 2025.
Para explorar o problema, o código malicioso precisa ser executado localmente no dispositivo.
Falha pode permitir privilégios elevados
Uma vulnerabilidade de elevação local de privilégios não fornece automaticamente acesso remoto ao equipamento.
Primeiro, o invasor precisa encontrar uma maneira de executar código no dispositivo.
Isso pode acontecer por meio de:
- Phishing;
- Malware;
- Aplicativo malicioso;
- Arquivo adulterado;
- Credencial comprometida;
- Outro exploit.
Depois disso, uma vulnerabilidade desse tipo pode permitir que uma conta limitada obtenha permissões administrativas ou privilégios de sistema.
Segundo o pesquisador, o método denominado ShieldBreak permitiria alcançar controle elevado sobre o computador.
Um segundo especialista também teria verificado o funcionamento da exploração.
Novo método contorna proteção anterior
O pesquisador afirma que o ShieldBreak utiliza conceitos de uma exploração anterior denominada RoguePlanet.
A Microsoft já havia publicado uma correção relacionada ao método anterior.
Entretanto, segundo a análise divulgada, o novo mecanismo contornaria parte da proteção implementada.
Até o momento descrito no material, não havia uma atualização específica para o ShieldBreak.
Por ter sido divulgado antes de existir uma correção específica, o pesquisador classificou o problema como zero-day.
Caso ocorre em meio a disputa sobre divulgação de vulnerabilidades
A publicação aconteceu em meio a uma disputa entre o pesquisador e a Microsoft relacionada ao processo de comunicação e divulgação de falhas.
Segundo o material, o pesquisador afirmou anteriormente que determinados relatórios de vulnerabilidade não teriam recebido tratamento satisfatório.
A Microsoft também havia publicado uma manifestação mencionando possíveis medidas legais contra pesquisadores que divulgassem vulnerabilidades zero-day fora de determinadas regras.
Essa posição recebeu críticas de membros da comunidade de segurança, e posteriormente a empresa recuou de parte das declarações feitas anteriormente.
O episódio reforça um debate antigo no setor sobre o equilíbrio entre:
- Divulgação responsável;
- Tempo necessário para desenvolvimento de patches;
- Transparência;
- Interesse público;
- Pressão sobre fabricantes;
- Risco de fornecer informações para criminosos.
Como reduzir a exposição enquanto não há correção
Como a exploração depende da execução de código local, algumas medidas ajudam a diminuir o risco:
- Não executar programas desconhecidos;
- Bloquear aplicações não autorizadas;
- Utilizar soluções de Application Control;
- Manter Windows e Defender atualizados;
- Utilizar contas sem privilégios administrativos;
- Monitorar processos elevados;
- Restringir execução de scripts;
- Utilizar EDR;
- Monitorar alterações em componentes do sistema;
- Treinar usuários contra engenharia social.
O material também destaca a importância de manter os mecanismos de proteção ativos enquanto uma atualização específica não estiver disponível.
O que os acontecimentos da semana têm em comum
Apesar de envolverem ameaças diferentes, os casos apresentam padrões importantes.
O primeiro é a velocidade.
Uma vulnerabilidade pode passar de descoberta técnica para exploração real em um intervalo cada vez menor.
O caso do SharePoint mostra como a publicação de uma prova de conceito pode ser seguida rapidamente por tentativas de exploração.
O segundo padrão é a importância dos sistemas de borda.
VPNs, firewalls, portais corporativos e servidores expostos são constantemente monitorados por criminosos.
Uma única vulnerabilidade nesses equipamentos pode permitir o acesso inicial necessário para executar ataques muito mais complexos.
O terceiro ponto é que autenticação multifator, embora essencial, não deve ser considerada uma proteção absoluta.
Se o invasor consegue controlar o próprio sistema responsável por validar a autenticação, determinados mecanismos de MFA podem ser neutralizados.
O quarto elemento é a combinação de falhas técnicas com engenharia social.
Na Operação Dream Job, falsas oportunidades profissionais são utilizadas para conseguir a primeira interação da vítima. Depois disso, vulnerabilidades e ferramentas avançadas ampliam o nível de comprometimento.
Prioridades para as organizações
Diante dos acontecimentos desta semana, empresas devem priorizar:
- Identificação de ativos expostos à internet;
- Atualização imediata de sistemas críticos;
- Priorização de vulnerabilidades exploradas;
- Inventário de VPNs, firewalls e aplicações de borda;
- Monitoramento de componentes responsáveis pela autenticação;
- Uso de MFA resistente a phishing;
- Monitoramento de transferências de grandes volumes de dados;
- Proteção de OneDrive e SharePoint;
- Segmentação de rede;
- Controle de execução de aplicações;
- Monitoramento de endpoints com EDR;
- Backups offline e imutáveis;
- Treinamento contra engenharia social;
- Testes periódicos de resposta a incidentes.
Também é importante estabelecer indicadores para medir quanto tempo a organização leva entre:
descoberta da vulnerabilidade → identificação dos ativos afetados → priorização → correção → validação.
Esse intervalo está se tornando um dos principais indicadores da capacidade de defesa de uma organização.
Conclusão
Os conteúdos desta semana mostram que a janela disponível para corrigir vulnerabilidades antes da exploração está diminuindo rapidamente.
Grupos avançados conseguem incorporar zero-days a operações direcionadas, enquanto criminosos especializados em ransomware continuam aproveitando falhas conhecidas em equipamentos que deveriam ter sido atualizados há meses.
A publicação de provas de conceito também acelera esse processo. Quando detalhes técnicos e códigos funcionais se tornam públicos, milhares de sistemas expostos podem ser testados automaticamente em poucas horas.
Por isso, a gestão de vulnerabilidades não pode mais funcionar apenas com ciclos mensais ou listas extensas baseadas exclusivamente na pontuação de severidade.
É necessário considerar também:
- Exploração ativa;
- Exposição à internet;
- Criticidade do ativo;
- Existência de código público;
- Privilégios obtidos pela falha;
- Importância operacional do sistema;
- Possibilidade de movimento lateral;
- Presença da vulnerabilidade em catálogos como o KEV.
Outro aprendizado importante envolve a identidade.
A autenticação multifator continua sendo um dos controles mais relevantes contra comprometimento de contas, mas os ataques do Gunra demonstram que proteger apenas a etapa de login não é suficiente.
Os componentes que validam identidades, tokens, sessões e credenciais também precisam ser monitorados contra alterações.
Os acontecimentos envolvendo o Windows reforçam ainda outro aspecto: vulnerabilidades de elevação de privilégio tornam-se especialmente perigosas quando combinadas com uma técnica capaz de obter acesso inicial.
Um phishing aparentemente simples pode ser apenas o primeiro estágio de uma operação que posteriormente utiliza exploits, rootkits e ferramentas de administração para assumir controle completo do ambiente.
Em um cenário no qual novas vulnerabilidades são rapidamente transformadas em ferramentas de ataque, a capacidade de identificar ativos afetados e aplicar correções com velocidade deixa de ser apenas uma atividade operacional de TI.
Ela passa a ser parte essencial da estratégia de continuidade e segurança do negócio.
