Os principais acontecimentos de segurança cibernética desta semana demonstram que ataques modernos estão combinando diferentes estratégias para alcançar usuários, empresas e infraestruturas críticas.
Uma campanha identificada nos fóruns do Steam utiliza falsas soluções para problemas em jogos com o objetivo de convencer usuários a executar comandos maliciosos no PowerShell. Nos Estados Unidos, autoridades investigam acessos não autorizados contra mais de 30 sistemas comunitários de abastecimento de água. Paralelamente, um novo relatório aponta recorde mundial de vítimas de ransomware, enquanto pesquisadores acompanham uma botnet que teria comprometido aproximadamente 200 mil dispositivos conectados à internet.
Embora os casos envolvam ambientes distintos, todos apresentam um elemento em comum: os criminosos procuram explorar pontos nos quais tecnologia, configuração e comportamento humano se encontram.
Falsas soluções para jogos distribuem malware pelo PowerShell
Criminosos estão utilizando fóruns de discussão do Steam para publicar falsas soluções para problemas comuns em jogos, como travamentos, falhas de desempenho e erros relacionados ao inventário.
As mensagens são apresentadas como tutoriais técnicos e orientam o usuário a abrir o PowerShell com privilégios administrativos e executar um comando fornecido pelos próprios autores da publicação.
Em vez de corrigir o problema, o comando inicia o download e a instalação silenciosa de um minerador de criptomoedas.
A campanha utiliza uma técnica conhecida como ClickFix, na qual o próprio usuário é convencido a executar a ação responsável pelo comprometimento do dispositivo. Segundo o material analisado, contas recém-criadas no Steam estavam publicando respostas aparentemente úteis em tópicos de suporte, mas os comandos instalavam o minerador XMRig nos computadores das vítimas.
Como funciona o ataque ClickFix
Diferentemente de ataques que exploram automaticamente uma vulnerabilidade, o ClickFix depende de engenharia social.
O criminoso cria uma justificativa aparentemente legítima para que a vítima:
- Abra uma ferramenta administrativa;
- Copie um comando;
- Conceda privilégios elevados;
- Ignore avisos de segurança;
- Execute o procedimento manualmente.
Como a ação parte do próprio usuário, determinadas proteções podem interpretar a execução como legítima.
O golpe pode aparecer em diferentes formatos, incluindo:
- Falsas correções para erros;
- Tutoriais de otimização;
- Verificações de segurança;
- Instruções para desbloquear conteúdos;
- Soluções para problemas de navegador;
- Supostas atualizações obrigatórias;
- Procedimentos para validar contas.
No caso identificado no Steam, o usuário era orientado a abrir o PowerShell como administrador. O comando iniciava a instalação do malware em segundo plano.
Script simula manutenção do Windows
Após a execução, o script se apresenta como uma ferramenta de otimização chamada “msf utility \ PC Opt”.
Para transmitir uma aparência de legitimidade, ele exibe mensagens que simulam diferentes tarefas de manutenção, como:
- Limpeza de arquivos temporários;
- Limpeza do cache DNS;
- Atualização de drivers;
- Verificação de disco;
- Reparo da imagem do Windows;
- Execução do System File Checker;
- Busca por arquivos maliciosos.
Parte dessas operações é apenas simulada. O script apresenta barras de progresso e pequenas pausas enquanto executa as atividades maliciosas em segundo plano.
Esse comportamento busca reduzir a desconfiança da vítima. Ao observar mensagens conhecidas de manutenção do Windows, o usuário pode acreditar que o procedimento está funcionando normalmente.
Malware altera configurações de segurança
Quando executado com privilégios administrativos, o script cria a pasta:
C:\Windows\Background
Em seguida, adiciona esse diretório à lista de exclusões do Microsoft Defender. Com isso, arquivos armazenados no local podem deixar de ser analisados normalmente pela solução de segurança.
O script também cria uma regra temporária no firewall do Windows para permitir comunicação com a infraestrutura utilizada pelos invasores.
Posteriormente, realiza o download do XMRig, software legítimo de mineração de criptomoedas que também pode ser utilizado de maneira maliciosa.
O executável é salvo com o nome:
system.exe
O uso de um nome genérico procura fazer com que o arquivo pareça um componente legítimo do sistema operacional.
Tarefa agendada mantém a infecção ativa
Para garantir persistência, o malware cria uma tarefa agendada com o nome:
XMRig-[nome do computador]
Essa tarefa é configurada para iniciar automaticamente quando o Windows for ligado e pode ser executada com privilégios de sistema.
A permanência do minerador pode causar:
- Uso elevado do processador;
- Lentidão no computador;
- Aumento do consumo de energia;
- Aquecimento excessivo;
- Desgaste dos componentes;
- Instabilidade em jogos e aplicações;
- Comunicação recorrente com servidores externos.
Além do impacto provocado pela mineração, o dispositivo comprometido pode ter sofrido outras alterações que não sejam imediatamente visíveis.
Por isso, apenas encerrar o processo do minerador não é suficiente para garantir que o sistema esteja seguro.
Como identificar os sinais da infecção
Usuários que executaram comandos semelhantes devem verificar a presença dos seguintes indicadores:
- Pasta
C:\Windows\Background; - Arquivo
system.exedentro desse diretório; - Exclusão da pasta nas configurações do Microsoft Defender;
- Tarefa agendada com nome iniciado por
XMRig-; - Regras de firewall criadas recentemente;
- Processos com consumo anormal de CPU;
- Conexões externas desconhecidas.
A presença de um ou mais desses elementos pode indicar comprometimento.
Caso os indicadores sejam encontrados, recomenda-se remover a tarefa agendada, excluir a exceção criada no Microsoft Defender, bloquear as comunicações identificadas e realizar uma varredura completa.
Em situações nas quais não seja possível determinar tudo o que foi executado pelo script, a reinstalação do sistema operacional pode ser a opção mais segura.
Como evitar ataques baseados em falsos tutoriais
Usuários e empresas devem estabelecer uma regra simples: comandos administrativos não devem ser executados apenas porque foram publicados em fóruns, comentários, redes sociais ou vídeos.
Medidas importantes incluem:
- Não executar comandos de PowerShell fornecidos por desconhecidos;
- Confirmar a orientação em canais oficiais;
- Desconfiar de soluções que exigem privilégios administrativos;
- Não desativar antivírus para executar ferramentas;
- Verificar a reputação da conta que publicou a instrução;
- Manter o sistema e as soluções de segurança atualizados;
- Monitorar alterações nas exclusões do antivírus;
- Restringir o uso do PowerShell em ambientes corporativos;
- Registrar e monitorar a criação de tarefas agendadas.
Empresas também podem utilizar políticas de execução, controles de aplicações e ferramentas de EDR para identificar comandos suspeitos.
Ataque coordenado atinge sistemas de abastecimento de água
Autoridades do estado de Minnesota, nos Estados Unidos, investigam uma série de acessos não autorizados contra mais de 30 sistemas comunitários de abastecimento de água.
Os eventos ocorreram entre os dias 26 e 27 de julho de 2026.
Segundo a Minnesota IT Services, agência responsável pelos serviços de tecnologia do estado, foram identificados acessos maliciosos direcionados aos sistemas afetados.
O FBI também acompanha a investigação e presta apoio às organizações envolvidas.
Até o momento das informações divulgadas, não havia recomendação para que a população alterasse o consumo de água potável nem indicação de comprometimento da qualidade do abastecimento.
Investigação permanece sem atribuição oficial
As autoridades ainda não divulgaram quem está por trás dos acessos.
Especialistas afirmaram que o momento dos ataques, os métodos empregados e a seleção dos alvos possuem semelhanças com campanhas anteriores contra infraestruturas hídricas norte-americanas.
Essa comparação, entretanto, não representa uma atribuição formal.
A Minnesota IT Services ressaltou que ainda é cedo para determinar a origem da operação.
Também não foram divulgados:
- Indicadores de comprometimento;
- Vulnerabilidades exploradas;
- Credenciais utilizadas;
- Endereços IP envolvidos;
- Equipamentos afetados;
- Métodos de persistência;
- Informações sobre movimentação lateral.
Nenhuma organização criminosa havia assumido a responsabilidade pelos ataques até a última atualização presente no material.
Equipamentos industriais expostos aumentam os riscos
Nos últimos anos, autoridades norte-americanas atribuíram outras campanhas contra sistemas de água a grupos ligados ao Irã.
Em abril de 2026, a CISA havia publicado um alerta sobre criminosos explorando controladores lógicos programáveis e interfaces homem-máquina expostos diretamente à internet.
Esses dispositivos são empregados para visualizar e controlar processos industriais.
Entre suas possíveis funções estão:
- Acionar bombas;
- Controlar válvulas;
- Monitorar níveis;
- Ajustar pressão;
- Administrar processos de tratamento;
- Emitir alertas operacionais.
O alerta inicialmente envolvia equipamentos da Rockwell Automation. Posteriormente, foi ampliado para incluir produtos da Schneider Electric, Siemens e possivelmente outros fabricantes.
O fato de campanhas anteriores terem sido atribuídas a determinados grupos não permite concluir que os mesmos atores estejam envolvidos no incidente atual.
Ataques cibernéticos podem produzir impactos físicos
Incidentes contra sistemas industriais apresentam características diferentes de ataques direcionados apenas a ambientes corporativos.
Em uma rede tradicional, o comprometimento pode resultar em roubo de dados, indisponibilidade ou fraude.
Em ambientes de tecnologia operacional, um invasor também pode tentar alterar processos que controlam equipamentos físicos.
Dependendo do sistema afetado, isso pode provocar:
- Paralisação de operações;
- Alteração de parâmetros;
- Danos a equipamentos;
- Riscos à segurança dos operadores;
- Interrupção de serviços essenciais;
- Impactos ambientais;
- Comprometimento da população atendida.
No incidente investigado em Minnesota, não foram divulgadas evidências de que os invasores tenham alterado a qualidade da água ou causado impactos físicos.
A preocupação está relacionada ao potencial de danos caso acessos semelhantes alcancem equipamentos industriais mal protegidos.
Como proteger ambientes de água, energia e saneamento
Operadores de infraestruturas críticas devem adotar controles específicos para ambientes industriais.
Entre as principais recomendações estão:
- Remover equipamentos de controle da exposição direta à internet;
- Restringir acessos remotos;
- Utilizar VPN para conexões externas;
- Implementar autenticação multifator;
- Segmentar redes de TI e OT;
- Bloquear comunicações desnecessárias;
- Atualizar firmwares e sistemas;
- Alterar credenciais padrão;
- Criar contas individuais para administradores;
- Monitorar alterações nos controladores;
- Manter cópias das configurações;
- Desenvolver planos de resposta específicos para OT;
- Testar procedimentos manuais de continuidade.
As recomendações presentes no material reforçam a segmentação entre redes corporativas e industriais, o monitoramento contínuo e a revisão periódica das permissões de acesso.
Ransomware registra novo recorde mundial
Um relatório publicado pela empresa de segurança Black Kite aponta que 7.551 organizações foram divulgadas publicamente como vítimas de ransomware entre abril de 2025 e março de 2026.
O número representa crescimento de 24,9% em comparação com o período anterior.
Segundo o levantamento, este foi o quarto ano consecutivo de aumento no número de vítimas divulgadas.
O ecossistema criminoso também apresentou expansão. O total de grupos ativos identificados passou de 127 para 146 até junho de 2026.
Esses números devem ser interpretados como casos conhecidos ou publicados. O volume real pode ser superior, pois nem todas as organizações divulgam os incidentes e nem todos os ataques são publicados em sites de vazamento.
Segundo semestre apresentou aceleração dos ataques
O relatório indica que o crescimento não ocorreu de maneira uniforme.
Nos primeiros seis meses do período analisado, foram registradas 2.904 vítimas.
No segundo semestre, o número chegou a 4.647 casos, representando aumento de 60% no ritmo mensal.
Somente em março de 2026, o levantamento registrou 861 vítimas, maior número mensal observado pela Black Kite.
Para os pesquisadores, esses dados indicam uma mudança estrutural no mercado de ransomware, e não apenas uma elevação temporária.
Setor industrial permanece como principal alvo
Pelo quarto ano consecutivo, o setor industrial foi o mais afetado.
Foram identificadas 1.660 vítimas nesse segmento, correspondendo a aproximadamente 22% dos casos analisados.
Em seguida aparecem:
- Serviços profissionais, científicos e técnicos;
- Construção civil;
- Outros setores com dependência operacional elevada.
Os dois primeiros segmentos concentraram aproximadamente 40% das organizações comprometidas durante o período.
A indústria é especialmente atrativa para grupos de ransomware porque interrupções podem gerar prejuízos imediatos.
Quando linhas de produção, sistemas logísticos ou operações industriais ficam indisponíveis, a vítima pode sofrer pressão para restaurar os serviços rapidamente.
Europa apresenta crescimento acelerado
Os Estados Unidos continuaram concentrando o maior número absoluto de vítimas, mas sua participação relativa caiu de 51,9% para 49,3%.
Enquanto isso, diferentes países europeus registraram crescimento:
- Alemanha: aumento de 48%;
- Itália: crescimento de 96%;
- Espanha: alta próxima de 50%;
- França: alta próxima de 50%.
O relatório alerta que organizações que concentram seus programas de segurança apenas nas ameaças observadas no mercado norte-americano podem subestimar o avanço do ransomware em outras regiões.
Empresas de médio porte estão no foco
Outro dado relevante é o aumento das vítimas com faturamento entre 50 milhões e 100 milhões de dólares.
Essas organizações passaram a representar 29,3% dos casos conhecidos.
O resultado indica que os criminosos não estão concentrados apenas em grandes corporações.
Empresas de médio porte podem reunir características atrativas para os invasores:
- Operações suficientemente relevantes;
- Dependência de sistemas digitais;
- Dados de clientes e fornecedores;
- Menor orçamento de segurança;
- Equipes reduzidas;
- Menor capacidade de resposta;
- Pressão para restaurar rapidamente os serviços.
Esse cenário reforça que ransomware não é um risco exclusivo de grandes empresas.
Cadeia de fornecedores amplia a superfície de ataque
O relatório também destaca o uso crescente de fornecedores de software e serviços como porta de entrada.
Em vez de comprometer cada organização individualmente, grupos criminosos podem explorar uma plataforma utilizada por várias empresas.
O material menciona campanhas envolvendo tecnologias como:
- Salesforce;
- Oracle E-Business Suite;
- PeopleSoft.
O comprometimento de um fornecedor, aplicação compartilhada ou credencial terceirizada pode permitir que diversos clientes sejam atingidos.
Por isso, a gestão de riscos deve incluir parceiros, prestadores e aplicações externas.
Organizações continuam vulneráveis depois do incidente
Um dos dados mais preocupantes do levantamento é que muitas vítimas permanecem expostas mesmo após a recuperação inicial.
Na reavaliação realizada pela Black Kite:
- 43,5% ainda possuíam vulnerabilidades críticas sem correção;
- 30,8% continuavam expostas a falhas presentes em catálogos de exploração conhecida;
- A exposição de credenciais provenientes de infostealers aumentou 175% após os incidentes.
Esses dados indicam que recuperar servidores e restaurar backups não é suficiente.
A organização precisa investigar e eliminar a causa que permitiu o comprometimento.
Caso contrário, os atacantes podem retornar utilizando a mesma vulnerabilidade, credencial ou acesso de terceiro.
Inteligência artificial reduz barreiras de entrada
Segundo o relatório, a inteligência artificial está diminuindo o custo operacional de determinadas etapas dos ataques.
Isso não significa que as campanhas de ransomware sejam completamente automatizadas.
Entretanto, ferramentas de IA podem ajudar criminosos a:
- Pesquisar possíveis alvos;
- Organizar informações;
- Criar scripts;
- Produzir mensagens de phishing;
- Traduzir comunicações;
- Clonar vozes;
- Criar áudios falsos;
- Analisar dados roubados;
- Adaptar campanhas de engenharia social.
O relatório menciona o JADEPUFFER como exemplo documentado de uso de agentes de inteligência artificial em etapas como reconhecimento de alvos e execução do ransomware com menor intervenção humana.
Como reduzir os riscos de ransomware
As organizações devem combinar prevenção, detecção e capacidade de recuperação.
Entre as principais medidas estão:
- Corrigir vulnerabilidades críticas rapidamente;
- Priorizar falhas exploradas ativamente;
- Implementar autenticação multifator;
- Proteger acessos remotos;
- Monitorar credenciais expostas;
- Utilizar EDR em servidores e estações;
- Segmentar redes;
- Limitar privilégios administrativos;
- Avaliar fornecedores;
- Manter backups isolados;
- Testar a restauração;
- Desenvolver planos de resposta;
- Realizar exercícios simulados;
- Treinar colaboradores contra phishing.
O relatório reforça especialmente a gestão de vulnerabilidades, o monitoramento contínuo e a proteção da cadeia de fornecedores.
Nova botnet teria infectado aproximadamente 200 mil dispositivos
Pesquisadores da empresa QiAnXin XLab identificaram uma botnet chamada Dysphoria.
Segundo a pesquisa, aproximadamente 200 mil dispositivos teriam sido comprometidos globalmente.
A ameaça é utilizada para realizar ataques distribuídos de negação de serviço e transformar equipamentos infectados em servidores de retransmissão de tráfego.
A campanha começou a ser acompanhada no primeiro trimestre de 2026 e apresentou diferentes atualizações em poucos meses.
Uma botnet é uma rede de dispositivos comprometidos que pode ser controlada remotamente.
Roteadores, câmeras e equipamentos de Internet das Coisas são alvos frequentes porque muitos permanecem conectados à internet com senhas fracas ou sistemas desatualizados.
Blockchain é utilizada para localizar servidores de comando
Um dos elementos mais relevantes da Dysphoria é a utilização de serviços relacionados a blockchain para localizar sua infraestrutura de comando e controle.
Segundo os pesquisadores, a botnet utiliza domínios registrados no Ethereum Name Service e no Solana Name Service.
Os endereços dos servidores também seriam ocultados em sequências que simulam endereços IPv6 e recuperados por meio de um algoritmo próprio.
Essa técnica pode dificultar o bloqueio da infraestrutura.
Em botnets tradicionais, equipes de segurança podem tentar:
- Remover domínios;
- Apreender servidores;
- Bloquear endereços IP;
- Interromper provedores de hospedagem;
- Redirecionar comunicações maliciosas.
Quando os operadores utilizam mecanismos descentralizados, o desmantelamento pode exigir ações mais complexas e coordenadas.
Malware apresentou evolução rápida
A Dysphoria foi detectada pela primeira vez em 25 de março de 2026.
Desde então, os pesquisadores identificaram versões com diferentes modificações:
- Novo algoritmo para localizar servidores;
- Suporte a múltiplas blockchains;
- Novos domínios de comunicação;
- Separação entre variantes de DDoS e proxy;
- Mudanças destinadas a dificultar interrupções.
A velocidade das alterações sugere que os responsáveis continuam desenvolvendo e adaptando a infraestrutura.
Dispositivos recebem ordens para ataques DDoS
Após o comprometimento, o dispositivo infectado estabelece comunicação periódica com o servidor de comando.
O equipamento informa que permanece ativo e recebe instruções como:
- Endereço do alvo;
- Tipo de ataque;
- Duração;
- Parâmetros da operação.
Milhares de dispositivos podem receber o mesmo comando e enviar tráfego simultaneamente contra um serviço.
Esse comportamento caracteriza um ataque distribuído de negação de serviço.
O objetivo é consumir recursos de rede ou processamento até que o serviço fique lento ou indisponível.
Variante transforma equipamentos em servidores proxy
No final de junho, os pesquisadores identificaram uma nova variante que não realizava ataques DDoS.
Em vez disso, os dispositivos comprometidos eram utilizados como servidores proxy.
Essa função permite que terceiros redirecionem conexões através do equipamento infectado, fazendo com que a atividade pareça ter origem no endereço IP da vítima.
Os criminosos podem utilizar proxies comprometidos para:
- Ocultar a origem de ataques;
- Realizar fraudes;
- Criar contas falsas;
- Executar varreduras;
- Enviar mensagens maliciosas;
- Acessar serviços bloqueados;
- Tentar comprometer outras organizações.
A variante explorava o recurso UPnP para criar até 155 regras de encaminhamento de portas, expondo serviços internos à internet.
Roteadores, câmeras e dispositivos IoT são os principais alvos
A botnet se espalha principalmente por meio de:
- Senhas fracas em serviços Telnet;
- Senhas fracas em SSH;
- Vulnerabilidades em roteadores;
- Falhas em câmeras IP;
- Equipamentos IoT desatualizados.
Os pesquisadores relacionaram a campanha a vulnerabilidades recentes e antigas, incluindo falhas em equipamentos de diferentes fabricantes.
A permanência de dispositivos sem atualização permite que botnets continuem explorando vulnerabilidades divulgadas há vários anos.
Rede movimenta grande volume de conexões
Entre 14 e 20 de julho, pesquisadores registraram um pico de aproximadamente 740 mil comunicações diárias provenientes dos equipamentos acompanhados.
No mesmo período, foram observadas cerca de 239 mil conexões internacionais.
Com base nos dados coletados, os pesquisadores estimaram que a botnet possuía aproximadamente 200 mil dispositivos infectados.
Os operadores promovem a infraestrutura publicamente como um serviço de testes de estresse e alegam capacidade para produzir ataques de até 4 terabits por segundo.
Essa capacidade foi anunciada pelos próprios responsáveis e não deve ser tratada como uma medição independente.
Ainda assim, mesmo volumes inferiores podem causar interrupções significativas em serviços conectados à internet.
Como proteger equipamentos contra botnets
As principais recomendações incluem:
- Atualizar o firmware dos equipamentos;
- Alterar senhas padrão;
- Utilizar senhas fortes e exclusivas;
- Desativar Telnet;
- Restringir o uso de SSH;
- Desabilitar acesso remoto quando desnecessário;
- Revisar configurações de UPnP;
- Bloquear portas não utilizadas;
- Isolar dispositivos IoT;
- Monitorar comunicações externas;
- Substituir equipamentos sem suporte;
- Revisar periodicamente os ativos conectados.
Dispositivos IoT também devem fazer parte do inventário e do programa de gestão de vulnerabilidades da empresa.
Equipamentos esquecidos, instalados por fornecedores ou mantidos fora do gerenciamento central podem representar pontos de entrada relevantes.
Conclusão
Os acontecimentos desta semana demonstram que a segurança cibernética não pode ser tratada apenas como uma disputa entre ferramentas defensivas e códigos maliciosos.
No golpe distribuído por fóruns do Steam, o elemento central foi a confiança do usuário em uma orientação aparentemente útil. Nos ataques contra sistemas de abastecimento de água, a preocupação está relacionada à exposição de ambientes industriais e ao potencial de impactos físicos. No cenário de ransomware, os dados mostram uma estrutura criminosa em expansão, com novos grupos, maior número de vítimas e uso crescente de fornecedores como porta de entrada. Já a botnet Dysphoria demonstra como dispositivos conectados e tecnologias descentralizadas podem ser utilizados para criar infraestruturas maliciosas mais resistentes.
Esses casos também evidenciam que a superfície de ataque de uma organização vai muito além de servidores e estações de trabalho.
Ela inclui:
- Comportamento dos usuários;
- Equipamentos industriais;
- Roteadores;
- Câmeras;
- Dispositivos IoT;
- Prestadores de serviço;
- Aplicações externas;
- Credenciais corporativas;
- Sistemas sem atualização;
- Ferramentas administrativas.
Uma estratégia efetiva precisa combinar conscientização, gestão de vulnerabilidades, monitoramento contínuo, segmentação de redes e capacidade de resposta.
Também é necessário reduzir o intervalo entre a descoberta de uma falha e sua correção. Vulnerabilidades antigas continuam sendo exploradas porque muitos equipamentos permanecem expostos durante anos sem atualização.
Da mesma forma, a recuperação de um ataque não deve terminar quando os sistemas voltam a funcionar. As organizações precisam investigar a causa, remover acessos persistentes, rotacionar credenciais, corrigir vulnerabilidades e verificar se os mesmos fatores continuam presentes.
Em um cenário no qual criminosos utilizam engenharia social, automação, inteligência artificial e infraestrutura descentralizada, a maturidade dos processos internos passa a ser tão importante quanto as ferramentas adquiridas.
Conhecer os ativos, controlar acessos, atualizar sistemas, proteger fornecedores e preparar as pessoas continua sendo a base para reduzir riscos e preservar a continuidade dos negócios.
