A semana trouxe novos exemplos de como vulnerabilidades críticas, automação e modelos criminosos cada vez mais estruturados estão ampliando a capacidade dos atacantes.
Entre os principais destaques estão a exploração de uma falha crítica no VMware vCenter Server capaz de abrir caminho para o comprometimento de ambientes virtualizados, o uso de inteligência artificial durante diferentes etapas de uma campanha de ransomware, a evolução da operação Medusa após cinco anos de atividade e um alerta da CISA sobre uma vulnerabilidade crítica do Windows que já estaria sendo explorada em ataques.
Apesar de envolverem tecnologias e grupos diferentes, os casos possuem um ponto em comum: o comprometimento inicial está sendo rapidamente transformado em acesso persistente, roubo de credenciais, exfiltração de informações e interrupção de serviços.
Falha crítica no VMware vCenter é utilizada como porta de entrada
Pesquisadores identificaram a exploração de uma vulnerabilidade crítica no VMware vCenter Server que pode permitir o comprometimento completo de ambientes de virtualização.
A falha, identificada como CVE-2026-59310, está relacionada ao servidor Syslog da plataforma e permite, segundo os pesquisadores, que invasores executem comandos com privilégios de root sem passar pelo processo convencional de autenticação.
A empresa de segurança QUIRSO GmbH identificou 361 endereços IP afetados em 47 países.
Organizações dos setores de:
- Tecnologia;
- Pesquisa;
- Educação;
- Telecomunicações;
estavam entre os ambientes observados.
Em um dos incidentes analisados, o comprometimento teria evoluído da exploração inicial para persistência no vCenter, acesso aos servidores ESXi e posterior implantação de ransomware.
Vulnerabilidade permite gravar arquivos em locais protegidos
A CVE-2026-59310 envolve uma condição de path traversal.
Esse tipo de vulnerabilidade permite manipular caminhos utilizados pelo sistema para tentar acessar ou gravar arquivos em diretórios que deveriam estar protegidos.
Segundo os pesquisadores, foram encontrados arquivos suspeitos no diretório:
/etc/cron.d
Esse diretório é utilizado pelo Linux para armazenar tarefas que podem ser executadas automaticamente pelo serviço cron.
A análise indicou que os invasores conseguiram inserir arquivos nesse local e fazer com que o próprio sistema executasse comandos controlados por eles com privilégios elevados.
Um detalhe importante foi a ausência de registros de autenticação correspondentes às ações executadas, apesar de os comandos aparecerem sendo processados com privilégios de root.
Atacantes estabeleceram múltiplos mecanismos de persistência
Depois do acesso inicial, os invasores criaram diferentes formas de manter o controle do ambiente.
Entre as técnicas observadas estavam:
- Criação de tarefas agendadas;
- Instalação de web shell;
- Criação de contas administrativas;
- Alterações no arquivo
sudoers; - Habilitação recorrente de SSH;
- Inclusão de novas chaves autorizadas para o usuário root;
- Tunelamento reverso por SSH.
O web shell oferece uma interface remota para execução de comandos.
Já o túnel reverso permite que o servidor comprometido inicie uma conexão de saída para a infraestrutura dos atacantes.
Essa técnica pode ajudar a contornar firewalls que bloqueiam conexões externas iniciadas diretamente contra o servidor.
Comprometimento do vCenter pode alcançar todos os servidores ESXi
O vCenter ocupa uma posição especialmente sensível porque centraliza o gerenciamento da infraestrutura VMware.
Ao conseguir controlar esse sistema, o invasor pode obter uma visão privilegiada sobre:
- Hosts ESXi;
- Máquinas virtuais;
- Datastores;
- Redes virtuais;
- Contas administrativas;
- Configurações;
- Recursos computacionais.
Nos incidentes investigados, os criminosos realizaram reconhecimento da infraestrutura e criaram contas administrativas diretamente nos hosts ESXi.
Posteriormente, copiaram executáveis e scripts para esses servidores.
O script identificado pelos pesquisadores interrompia máquinas virtuais, iniciava a criptografia dos volumes VMFS e removia componentes relacionados à alta disponibilidade da VMware.
Na prática, isso permite que o comprometimento de um único servidor de gerenciamento resulte na indisponibilidade de diversas aplicações hospedadas na infraestrutura.
Ransomware pode inutilizar máquinas virtuais
Os pesquisadores encontraram uma carga maliciosa derivada do código do ransomware Babuk.
Em arquivos VMDK de grande tamanho, responsáveis por armazenar discos virtuais, o malware não precisava criptografar todo o conteúdo.
Apenas parte dos arquivos era alterada, incluindo os primeiros 512 MB.
Mesmo uma criptografia parcial pode tornar uma máquina virtual completamente inutilizável.
Isso permite acelerar o ataque, pois o invasor não precisa processar integralmente discos que podem possuir centenas de gigabytes ou vários terabytes.
A presença de código relacionado ao Babuk, entretanto, não foi considerada suficiente para atribuir os ataques a um grupo específico.
Exploração começou poucos dias depois do alerta
Outro fator relevante é a velocidade.
Segundo a investigação, o primeiro contato observado com uma vítima ocorreu em 3 de agosto, apenas cinco dias depois do alerta do fornecedor.
Até 5 de agosto, 343 dos 361 endereços identificados já haviam aparecido relacionados à atividade maliciosa.
O comportamento sugere que os atacantes iniciaram rapidamente varreduras em busca de servidores vCenter vulneráveis e acessíveis.
Esse cenário reforça uma tendência observada repetidamente nos últimos meses: a janela entre a divulgação de uma vulnerabilidade e sua exploração em larga escala está diminuindo.
Como proteger ambientes VMware
Administradores devem tratar sistemas de gerenciamento como ativos críticos.
Entre as principais medidas estão:
- Aplicar imediatamente as atualizações disponíveis;
- Remover interfaces de administração da internet;
- Permitir gerenciamento apenas por redes autorizadas;
- Revisar novas contas administrativas;
- Auditar alterações no arquivo
sudoers; - Inspecionar
/etc/cron.d; - Verificar alterações nos serviços SSH;
- Procurar web shells;
- Monitorar conexões de saída incomuns;
- Revisar chaves SSH autorizadas;
- Preservar logs antes de iniciar limpeza;
- Trocar credenciais potencialmente comprometidas.
Caso existam sinais de exploração, não é suficiente analisar apenas o vCenter.
Os hosts ESXi acessíveis a partir dele também devem ser considerados potencialmente comprometidos.
Inteligência artificial é utilizada durante campanha de ransomware
Outro caso relevante desta semana envolve o uso de inteligência artificial em diferentes etapas de uma invasão real.
Segundo um relatório publicado pela Gambit Security, um suposto afiliado da operação de ransomware The Gentlemen utilizou o Claude Code, da Anthropic, como ferramenta de apoio durante praticamente todo o ataque.
A ligação com a operação The Gentlemen foi classificada pelos pesquisadores com confiança média.
Segundo o relatório, o agente de IA auxiliou em atividades que incluíram:
- Comprometimento de equipamentos VPN;
- Análise dos ambientes;
- Roubo de credenciais;
- Movimento lateral;
- Identificação de sistemas importantes;
- Preparação de bancos de dados para exfiltração.
Pelo menos oito organizações teriam sido comprometidas, incluindo empresas dos setores de energia, serviços financeiros, manufatura, tecnologia e distribuição.
É importante destacar que o relatório documenta o uso da ferramenta por um atacante. Isso não significa participação da fabricante do modelo nas atividades criminosas.
IA adaptava as ações de acordo com os resultados
O aspecto mais relevante do caso não foi apenas a geração de scripts.
Segundo os pesquisadores, o operador trabalhava de forma interativa com o modelo.
Os resultados dos comandos executados eram apresentados à inteligência artificial, que então sugeria ou produzia novas ações.
Quando uma tentativa não funcionava, o modelo ajustava:
- Formatos de credenciais;
- Caminhos de APIs;
- Comandos;
- Scripts;
- Estratégias de autenticação.
Isso representa uma utilização diferente da IA observada em campanhas mais antigas.
Em vez de funcionar apenas como uma ferramenta de criação de conteúdo, o modelo passou a participar do ciclo:
executar → observar resultado → interpretar → adaptar → executar novamente.
Segundo o relatório, teria sido utilizada uma versão anterior do Claude Sonnet, possivelmente por possuir mecanismos de segurança diferentes das versões mais recentes.
Configuração de VPN foi manipulada para roubar credenciais
Uma das técnicas descritas no relatório envolveu um ataque conhecido como pass-back LDAP.
O invasor alterou as configurações de autenticação de um firewall FortiGate.
Em vez de enviar solicitações para o servidor LDAP legítimo da organização, o equipamento passou temporariamente a direcioná-las para uma infraestrutura controlada pelo atacante.
O modelo ajudou a criar um servidor LDAP em Python para receber essas conexões.
Depois de algumas tentativas, um comando de teste de autenticação fez com que o firewall transmitisse a credencial de uma conta de serviço ao servidor do invasor.
Depois de conseguir a senha, o atacante restaurou as configurações originais para reduzir os indícios da alteração.
O episódio demonstra por que alterações em sistemas de autenticação precisam ser monitoradas continuamente.
Contas ocultas foram utilizadas para persistência
Depois do acesso aos dispositivos VPN, o agente criou uma conta chamada:
test
Segundo a investigação, a mesma senha codificada teria sido utilizada em diferentes organizações.
Em determinados ambientes, o acesso SSL-VPN também foi reativado mesmo depois de ter sido anteriormente desabilitado.
Isso acabou expondo novas redes internas.
Posteriormente, ferramentas como CrackMapExec foram utilizadas para mapear os ambientes e localizar sistemas estratégicos, incluindo:
- Controladores de domínio;
- Servidores de arquivos;
- Sistemas de backup;
- Bancos de dados;
- Repositórios de documentos.
IA também preparou dados para exfiltração
Em um dos ambientes investigados, o modelo identificou bancos de dados de produção e repositórios contendo documentos de clientes.
Os dados foram classificados de acordo com seu possível valor.
O agente posteriormente:
- Executou backups;
- Organizou os arquivos;
- Compactou informações;
- Preparou os dados para transferência.
A extração final teria sido realizada pelo operador humano.
Isso demonstra que a inteligência artificial não foi utilizada apenas para um momento isolado da invasão, mas em diferentes fases de uma operação mais ampla.
Automação também causou problemas para os próprios atacantes
O aumento da autonomia trouxe riscos até para o operador criminoso.
Durante uma tentativa de alterar configurações de um firewall pertencente a uma concessionária de energia, o modelo executou acidentalmente uma restauração completa da configuração de um VDOM.
O equipamento ficou inacessível.
Segundo a Gambit, verificações externas confirmaram que o dispositivo permaneceu indisponível depois do incidente.
O caso demonstra que agentes com permissões elevadas também podem cometer erros operacionais e gerar impactos imprevistos.
Essa preocupação vale tanto para o uso malicioso quanto para o uso legítimo de agentes autônomos em empresas.
IA começa a mudar a automação dos ataques
Modelos generativos já vinham sendo utilizados para:
- Criar phishing;
- Traduzir mensagens;
- Produzir scripts;
- Analisar códigos;
- Criar documentos falsos.
O caso documentado pela Gambit sugere um estágio mais avançado.
Um agente passa a interpretar resultados em tempo real e adaptar as próximas ações durante a própria invasão.
Isso pode reduzir a necessidade de conhecimento técnico profundo em determinadas etapas e permitir que operadores menos especializados executem campanhas mais complexas.
O relatório, entretanto, documenta um caso específico e não significa que ataques desse tipo já tenham se tornado totalmente autônomos ou generalizados.
Como organizações podem responder a ataques assistidos por IA
As medidas recomendadas continuam relacionadas aos fundamentos da segurança:
- Atualizar VPNs e equipamentos de borda;
- Eliminar contas desnecessárias;
- Remover credenciais padrão;
- Monitorar mudanças na autenticação;
- Restringir administração remota;
- Segmentar redes;
- Monitorar novas contas;
- Proteger sistemas de backup;
- Registrar alterações administrativas;
- Monitorar acesso a bancos de dados;
- Detectar atividades anormais independentemente da ferramenta utilizada.
A presença de inteligência artificial não elimina a necessidade de o atacante interagir com sistemas, credenciais e serviços reais.
Por isso, os controles tradicionais continuam sendo importantes para interromper a cadeia do ataque.
Ransomware Medusa completa cinco anos de atividade
O ransomware Medusa chegou a cinco anos de operação depois de surgir em janeiro de 2021.
Segundo o material analisado, a atividade ganhou maior visibilidade a partir de 2023, quando os operadores lançaram o site conhecido como Medusa Blog.
A partir desse momento, a operação passou a utilizar de maneira mais ampla uma estratégia de dupla extorsão.
Nesse modelo, os criminosos:
- comprometem o ambiente;
- roubam informações;
- criptografam sistemas;
- exigem pagamento;
- ameaçam divulgar os dados caso o resgate não seja realizado.
Isso cria duas formas diferentes de pressão contra a vítima.
Operação evoluiu para Ransomware as a Service
O Medusa teria começado como uma operação fechada, administrada diretamente por seus desenvolvedores.
Posteriormente, passou a operar por meio de um modelo conhecido como Ransomware as a Service, ou RaaS.
Nesse formato, diferentes participantes assumem funções específicas.
Os desenvolvedores mantêm:
- Malware;
- Infraestrutura;
- Painéis;
- Site de vazamento;
- Ferramentas;
- Processos de negociação.
Já os afiliados ficam responsáveis por comprometer as organizações.
Os lucros dos ataques são posteriormente divididos entre os participantes.
Corretores vendem acesso a organizações já comprometidas
A operação também utiliza os chamados Initial Access Brokers, ou IABs.
Esses agentes se especializam em conseguir acesso inicial a empresas.
Depois, podem vender esse acesso para grupos especializados em ransomware.
O acesso comercializado pode envolver:
- VPN;
- RDP;
- Conta administrativa;
- Credenciais válidas;
- Shell em servidor;
- Acesso a aplicações expostas.
Segundo as autoridades citadas no material, os valores oferecidos pelo Medusa a intermediários podem variar de US$ 100 até US$ 1 milhão, dependendo do tipo de acesso e do potencial financeiro da vítima.
Esse modelo demonstra a crescente profissionalização do ecossistema criminoso.
Um único grupo não precisa executar todas as etapas do ataque.
Operações diferentes utilizam o nome Medusa
Outro ponto importante é que o nome Medusa aparece associado a diferentes ameaças.
Além do ransomware analisado, existem outros malwares com nomes semelhantes.
O material destaca que:
- Medusa ransomware;
- MedusaLocker;
- Uma botnet baseada em Mirai;
- Um malware para Android;
não devem ser automaticamente tratados como uma única operação.
A semelhança dos nomes pode gerar confusão em relatórios e notícias sobre incidentes.
A atribuição correta exige avaliar indicadores técnicos, infraestrutura, notas de resgate e comportamento específico da ameaça.
Ataque contra escolas aumentou visibilidade da operação
O Medusa recebeu maior atenção pública depois de reivindicar um ataque contra o Distrito das Escolas Públicas de Minneapolis em março de 2023.
Na ocasião, os criminosos divulgaram um vídeo mostrando parte dos dados que alegavam ter obtido.
O episódio ajudou a aumentar a notoriedade da operação e marcou um período de expansão das atividades atribuídas ao grupo.
Modelo de afiliados aumenta a escala dos ataques
A estrutura baseada em afiliados permite que vários operadores utilizem as mesmas ferramentas.
Isso aumenta a capacidade de escala.
Enquanto os desenvolvedores se concentram em manter o ransomware e sua infraestrutura, afiliados podem trabalhar simultaneamente contra diferentes organizações.
Corretores de acesso inicial também alimentam esse ecossistema ao fornecer novas vítimas.
Esse modelo transforma o ransomware em uma cadeia criminosa especializada, na qual diferentes participantes executam partes específicas da operação.
Como reduzir a exposição a operações de ransomware
As principais medidas continuam sendo:
- Atualização constante de sistemas;
- Autenticação multifator;
- Monitoramento de credenciais comprometidas;
- Restrição de acessos remotos;
- Segmentação de rede;
- Backups offline;
- Backups protegidos contra alteração;
- Monitoramento de terceiros;
- Treinamento contra phishing;
- Detecção de exfiltração de dados.
As empresas também precisam monitorar fornecedores que possuem acesso privilegiado aos seus ambientes.
Um parceiro comprometido pode funcionar como ponto de entrada mesmo quando a infraestrutura principal está adequadamente protegida.
CISA alerta para exploração ativa de falha crítica do Windows
Outro destaque desta semana envolve a CVE-2026-33824, vulnerabilidade crítica presente no componente Windows IKE Extensions.
A CISA informou que a falha já está sendo explorada ativamente.
A vulnerabilidade afeta versões suportadas de:
- Windows 10;
- Windows 11;
- Windows Server.
O risco é especialmente relevante para equipamentos que utilizam o protocolo IKEv2.
Segundo as informações divulgadas, invasores não autenticados podem enviar pacotes especialmente preparados e, em determinadas condições, conseguir execução remota de código.
Vulnerabilidade está relacionada ao protocolo IKE
O Internet Key Exchange é utilizado durante o estabelecimento de conexões protegidas por IPsec.
Ele participa do processo responsável por negociar parâmetros e chaves utilizados para criar comunicações autenticadas e criptografadas.
A vulnerabilidade está relacionada a uma condição conhecida como double-free.
Esse problema ocorre quando o sistema tenta liberar duas vezes a mesma região da memória.
O comportamento pode provocar corrupção de memória e, em determinadas situações, permitir que um atacante altere a execução do sistema.
Ataque pode ocorrer remotamente e sem autenticação
Um dos elementos que tornam a vulnerabilidade especialmente preocupante é a ausência da necessidade de autenticação.
O atacante pode enviar pacotes maliciosos diretamente para sistemas vulneráveis utilizando:
- UDP 500;
- UDP 4500.
Essas portas estão associadas à comunicação IKE/IPsec.
Em determinadas condições, o envio de pacotes especialmente preparados pode resultar em execução remota de código.
Isso torna sistemas expostos à internet especialmente relevantes para os atacantes.
Microsoft corrigiu a vulnerabilidade anteriormente
A Microsoft disponibilizou uma correção durante a Patch Tuesday de abril de 2026.
Para organizações que ainda não conseguem aplicar a atualização, a recomendação apresentada no material é bloquear as portas UDP 500 e 4500 quando o protocolo IKE não estiver sendo utilizado.
Caso o serviço seja necessário, o acesso deve ser restrito a pares conhecidos por meio de regras de firewall.
A existência de patch desde abril também demonstra outro problema recorrente: vulnerabilidades continuam sendo exploradas meses depois da disponibilização de correções.
CISA inclui vulnerabilidade no catálogo KEV
A CISA adicionou a CVE-2026-33824 ao catálogo de Known Exploited Vulnerabilities, conhecido como KEV.
A inclusão significa que existem evidências de exploração da vulnerabilidade.
Segundo o material, órgãos civis federais dos Estados Unidos receberam prazo de três dias para realizar a correção.
A CISA também orientou organizações privadas a priorizarem o patch, mesmo que não estejam sujeitas às determinações aplicáveis aos órgãos federais.
Para equipes de gestão de vulnerabilidades, a presença de uma falha no KEV deve ser utilizada como um importante fator de priorização.
Vulnerabilidades Microsoft continuam sendo exploradas
Segundo os dados apresentados, desde novembro de 2021 a CISA registrou 385 vulnerabilidades relacionadas a produtos Microsoft como exploradas ativamente.
Desse total, 112 também teriam sido utilizadas em campanhas de ransomware.
O material também cita ataques recentes envolvendo vulnerabilidades do Windows Task Host e Microsoft SharePoint.
Esses números reforçam a importância de acompanhar não apenas a pontuação CVSS das vulnerabilidades, mas também evidências concretas de exploração.
Como proteger sistemas Windows
As principais medidas incluem:
- Aplicar a correção da CVE-2026-33824;
- Identificar todos os sistemas utilizando IKEv2;
- Bloquear UDP 500 e 4500 onde IKE não for necessário;
- Restringir conexões a endereços autorizados;
- Monitorar tráfego IKE;
- Priorizar sistemas expostos à internet;
- Revisar regras de firewall;
- Manter Windows Server atualizado;
- Utilizar indicadores de exploração ativa na priorização.
A correção deve ser especialmente urgente em equipamentos diretamente acessíveis pela internet.
O que os acontecimentos da semana mostram
Os quatro temas reforçam algumas tendências importantes.
A primeira é que sistemas de gerenciamento continuam entre os ativos mais valiosos para um atacante.
No caso do VMware vCenter, o acesso a uma única plataforma de administração pode fornecer um caminho para diversos hosts ESXi e centenas de máquinas virtuais.
A segunda tendência é a evolução da automação ofensiva.
O relatório sobre utilização do Claude Code mostra um cenário no qual a inteligência artificial pode ser usada para interpretar resultados e adaptar etapas de uma invasão.
A terceira é a profissionalização do ransomware.
Operações como o Medusa deixam de depender de uma única equipe e passam a funcionar como ecossistemas formados por:
- Desenvolvedores;
- Afiliados;
- Corretores de acesso;
- Operadores de infraestrutura;
- Negociadores.
Por fim, a exploração da vulnerabilidade do Windows mostra que disponibilizar um patch não encerra o risco.
Enquanto sistemas permanecerem desatualizados, a vulnerabilidade continua sendo uma oportunidade para os invasores.
Prioridades para as organizações
Os acontecimentos desta semana reforçam algumas prioridades:
- Conhecer todos os ativos expostos à internet;
- Remover interfaces administrativas da exposição pública;
- Priorizar vulnerabilidades presentes no KEV;
- Atualizar VPNs e dispositivos de borda;
- Monitorar contas administrativas;
- Controlar alterações em sistemas de autenticação;
- Segmentar redes;
- Proteger sistemas de virtualização;
- Monitorar servidores de backup;
- Revisar acessos de terceiros;
- Manter backups offline e imutáveis;
- Detectar transferências anormais de dados;
- Monitorar ferramentas administrativas legítimas;
- Criar processos rápidos de aplicação de patches.
A velocidade continua sendo um fator central.
Não basta descobrir que existe uma vulnerabilidade crítica. A organização precisa saber rapidamente:
Quais ativos estão vulneráveis?
Eles estão expostos?
A vulnerabilidade está sendo explorada?
Existe patch?
Há sinais de comprometimento anteriores à correção?
Conclusão
Os conteúdos desta semana mostram que a segurança cibernética está entrando em uma fase na qual automação, exploração rápida de vulnerabilidades e modelos criminosos especializados passam a trabalhar em conjunto.
Uma vulnerabilidade em um sistema de gerenciamento pode comprometer toda uma infraestrutura virtual.
Uma configuração alterada em uma VPN pode resultar no roubo de credenciais.
Um acesso adquirido por um corretor pode ser vendido para um grupo de ransomware.
E uma ferramenta de inteligência artificial pode auxiliar o atacante a interpretar resultados e adaptar diferentes etapas da operação.
Nesse cenário, a defesa não pode depender de um único controle.
Autenticação multifator, EDR, firewall, backup e antivírus continuam essenciais, mas precisam funcionar como partes de uma arquitetura de segurança integrada.
Também é fundamental reduzir a exposição dos ativos administrativos.
Sistemas como vCenter, firewalls, VPNs, consoles de backup e interfaces de gerenciamento não devem ser tratados como aplicações comuns. Quando comprometidos, eles podem fornecer aos invasores acesso privilegiado a grande parte da infraestrutura.
Outro ponto importante é a priorização de vulnerabilidades.
Não é possível tratar milhares de falhas com a mesma urgência.
Organizações precisam considerar fatores como:
- Exploração ativa;
- Exposição à internet;
- Presença no catálogo KEV;
- Privilégios obtidos;
- Existência de código público;
- Criticidade do ativo;
- Possibilidade de movimento lateral;
- Impacto operacional.
Os casos desta semana também mostram que a inteligência artificial não altera os fundamentos da segurança.
Mesmo ataques assistidos por IA continuam dependendo de credenciais, serviços expostos, configurações vulneráveis e sistemas sem atualização.
Por isso, inventário de ativos, controle de acesso, segmentação, monitoramento, gestão de vulnerabilidades e resposta a incidentes continuam sendo elementos fundamentais.
A principal diferença é que os atacantes agora podem executar algumas dessas etapas com maior velocidade.
E, quando a velocidade do ataque aumenta, a velocidade da defesa também precisa aumentar.
