MestreInvestirInvestimentos & Ganhos · masterinvest.info

Um worm USB atacou detentores de criptomoedas, a Apple corrigiu uma vulnerabilidade perigosa nos Beats Studio Buds e outros eventos de cibersegurança

20-06-2026, 07:00
Um worm USB atacou proprietários de criptomoedas, a Apple corrigiu uma vulnerabilidade perigosa nos Beats Studio Buds e outros eventos de cibersegurança

Coletamos as notícias mais importantes sobre cibersegurança da semana.

Um clipper de criptomoeda foi distribuído usando uma reputação falsa no GitHub e no YouTube

Um atacante desconhecido lançou uma campanha de distribuição de malware em larga escala, usando técnicas de marketing legítimas para criar uma falsa "economia de reputação." Isso foi relatado por especialistas da Check Point Research.

O objetivo final dos ataques é implantar clippers de criptomoeda disfarçados como ferramentas de negociação nos ecossistemas Solana e Pump.fun, bem como software para prever resultados de apostas.

De acordo com os especialistas, o clipper em si é escrito em Rust e visa os sistemas operacionais Windows e macOS. O malware monitora de forma encoberta e contínua a área de transferência do dispositivo. Quando detecta um endereço de carteira de criptomoeda copiado, o software instantaneamente o troca pelos detalhes do atacante, redirecionando os ativos digitais.

Para ganhar a confiança das vítimas — principalmente investidores em criptomoedas e jogadores online — o hacker construiu uma complexa infraestrutura multiplataforma de "Ghost Networks." Analistas registraram atividade coordenada na plataforma VirusTotal: um grupo de contas falsas deixou comentários e curtidas positivas em massa para classificar falsamente arquivos maliciosos como seguros.

Manipulação de métricas semelhante também é usada em outros recursos:

Pesquisadores da Check Point enfatizaram que a manipulação de plataformas de crowdsourcing aponta para uma mudança perigosa nas táticas de engenharia social. O esquema testado com sucesso de inflação de reputação multiplataforma poderia, no futuro, ser usado para a distribuição em massa de ransomware e infostealers mais sofisticados.

Um worm USB se propagou automaticamente através de atalhos ocultos do Windows para roubar criptomoedas.

Especialistas da Microsoft revelaram detalhes de uma campanha de distribuição de malware autorreplicante direcionada a detentores de criptomoedas.

O processo de infecção é acionado quando a vítima abre um arquivo de atalho modificado (.LNK) em um pen drive. Após o lançamento, o worm baixa secretamente cargas adicionais de um servidor de comando localizado na zona de domínio .onion.

O malware escaneia o sistema local em busca de documentos do usuário. Ao encontrá-los, o programa oculta os originais e os substitui por atalhos maliciosos com nomes idênticos. Como resultado, o software é ativado toda vez que o usuário tenta abrir seus arquivos de trabalho. Para se autorreplicar, o worm cria uma tarefa agendada que monitora as portas. Assim que um novo pen drive é inserido no computador, o vírus instantaneamente se copia para a mídia externa.

O ladrão entra em sua fase ativa apenas se o "Gerenciador de Tarefas" não estiver em execução no sistema. Ele estabelece uma conexão com o servidor de comando através de um executável Tor embutido e monitora a área de transferência a cada meio segundo em busca de dados sensíveis:

Quando detecta um endereço copiado, o programa instantaneamente o troca pelos detalhes do atacante. Para enganar a vítima, o algoritmo escolhe carteiras cujos caracteres iniciais combinam visualmente com os originais.

Além da interceptação da área de transferência, a cada dez segundos o vírus tira cinco capturas de tela e as envia para os hackers usando a utilidade Curl. Sob comando de um servidor especial, o software pode baixar e executar scripts JavaScript arbitrários na máquina infectada.

A atividade deste worm USB tem sido continuamente registrada desde pelo menos fevereiro. Pesquisadores enfatizaram que os indicadores mais óbvios de infecção são comportamentais, em vez de baseados em assinatura. As principais "bandeiras vermelhas" de uma comprometimento são a atividade de fundo suspeita dos processos wscript.exe e cscript.exe, lançamentos inesperados do Curl, PowerShell e cmd.exe, bem como conexões de rede não autorizadas para localhost:9050 (a porta padrão do servidor proxy Tor).

A polícia da Coreia do Sul desmantelou uma rede de lavagem de criptomoedas que servia a um sindicato cambojano.

A polícia da Coreia do Sul deteve 23 suspeitos em um caso de lavagem de fundos para uma organização de phishing cambojana. Isso foi relatado pela Newsis.

O esquema foi realizado por meio de uma complexa rede de roteamento de transações usando tanto exchanges de criptomoedas domésticas da Coreia do Sul quanto estrangeiras. De acordo com a investigação, de fevereiro de 2024 a abril de 2025, o grupo movimentou cerca de 11,1 milhões de USDT.

A polícia apontou para a escala colossal da infraestrutura envolvida: para lavar o dinheiro, os atacantes usaram cerca de 11.300 contas diferentes. Essas contas de trânsito estavam diretamente ligadas a fundos roubados totalizando aproximadamente $17 milhões, que os criminosos obtiveram como resultado de 265 incidentes.

Durante as operações policiais, foram apreendidos lucros criminosos no valor de 650 milhões de won (cerca de $430.000). Ao mesmo tempo, a fase ativa da operação de aplicação da lei ainda não está completa: o suspeito organizador do grupo ainda está foragido. Um "aviso vermelho" da Interpol já foi emitido para ele, implicando uma busca internacional e extradição.

Pesquisadores descobriram um novo trojan para Android para roubar criptomoedas.

Pesquisadores de segurança da Zimperium descobriram um trojan para Android com o objetivo de roubar criptomoedas.

De acordo com os analistas, o arsenal do malware Rokarolla compreende 137 comandos remotos. O kit de ferramentas possibilita interceptar códigos PIN, ler e enviar SMS, manipular a área de transferência para roubar ativos digitais e desativar forçadamente os mecanismos de proteção embutidos do sistema operacional.

O software é distribuído através de sites maliciosos disfarçados como instaladores de serviços populares, como TikTok e Google Chrome.

Na primeira etapa, a vítima baixa um programa que imita visualmente o componente do sistema Google Play Protect. Usando esse disfarce, o dropper utiliza engenharia social para forçar o usuário a conceder acesso à "Acessibilidade." Tendo obtido permissão, o malware implanta a carga principal e, antes de tudo, desativa o verdadeiro scanner do Play Protect.

Rokarolla baixa páginas de autorização HTML falsas de seu servidor para cada aplicativo ativo da lista alvo. Quando a vítima abre uma carteira de criptomoedas legítima, o trojan instantaneamente sobrepõe uma janela falsa e intercepta todos os detalhes inseridos.

Além disso, uma sobreposição separada imita exatamente a tela de bloqueio padrão do Android. Isso permite que o software roube um código PIN, senha ou chave de padrão, dando aos operadores a capacidade de controlar o smartphone mesmo em estado bloqueado. Para roubar criptomoedas, o trojan usa um clipper embutido: ele monitora secretamente a área de transferência e troca endereços de carteira copiados pelos detalhes dos atacantes, redirecionando transações.

Para superar a autenticação de dois fatores, Rokarolla lê todas as SMS no dispositivo e pode enviar mensagens por conta própria, interceptando códigos bancários de uso único. Além disso, ao se definir como o aplicativo padrão para chamadas e SMS, o trojan é capaz de bloquear chamadas recebidas — assim, uma chamada de aviso do sistema antifraude do banco simplesmente não chegará ao proprietário.

Especialistas enfatizaram que a principal proteção contra tais ameaças é a vigilância aumentada ao conceder permissões de "Acessibilidade", uma vez que são precisamente essas que lançam toda a cadeia de ataque.

Organizadores de golpes de criptomoedas usaram correios para coletar dinheiro

Os atacantes começaram a contratar correios para coletar fundos de vítimas cujas transações estão bloqueadas por sistemas de segurança bancária. O FBI relatou sobre essa nova tática dos operadores de esquemas de "pig butchering" de criptomoedas.

Geralmente, essas fraudes começam com golpistas entrando em contato com potenciais vítimas através de redes sociais, sites de namoro e mensageiros, ganhando sua confiança e, em seguida, atraindo-as para esquemas de investimento falsos.

Convencendo a vítima a retirar dinheiro (por exemplo, sob o pretexto de um "congelamento" temporário da conta), os golpistas enviam um correio para a pessoa que confiou neles. Uma senha pré-acordada ou o número de série de uma nota de dólar específica é usado para identificação. Após receber o dinheiro, os hackers simulam um aumento no saldo da carteira virtual da vítima e reiniciam o ciclo, exigindo novas contribuições para pagar "impostos" fictícios sobre a retirada de fundos.

De acordo com dados do FBI para 2025, fraudes com criptomoedas e investimentos continuam sendo a "forma mais destrutiva" de cibercrime nos EUA: representaram 49% de todos os incidentes, com um dano total de $8,6 bilhões.

Uma vulnerabilidade em fones de ouvido sem fio permitiu que hackers espionassem usuários de iPhone

A Apple lançou uma atualização de firmware para os fones de ouvido sem fio Beats Studio Buds que fecha uma vulnerabilidade de alta severidade.

A falha, relatada por especialistas da SentinelOne em janeiro, permitia que atacantes se conectassem secretamente ao dispositivo e usassem o microfone embutido para espionagem.

O problema, que recebeu o identificador CVE-2025-20701, está relacionado à autorização incorreta no SDK de áudio Bluetooth do desenvolvedor de chips Airoha. O defeito permite que um hacker dentro do alcance do Bluetooth conecte remotamente seu próprio equipamento aos fones de ouvido sem o conhecimento ou consentimento do usuário — desde que o headset ainda não esteja emparelhado e esteja ativamente buscando conexões. A vulnerabilidade foi eliminada com sucesso na atualização de firmware dos Beats versão 1B211.

De acordo com os especialistas, a exploração pode ser ativada via Bluetooth padrão ou pelo protocolo de baixa energia (BLE) sem qualquer autenticação. Além de escuta, o ataque dá aos atacantes quase controle total sobre o dispositivo: permite ler e sobrescrever a RAM e a memória flash dos fones de ouvido. Além disso, hackers podem sequestrar relacionamentos de confiança estabelecidos com smartphones previamente emparelhados, o que abre um vetor para o desenvolvimento de ataques multiestágio mais sofisticados.

Também no ForkLog:

O que ler no fim de semana?

Ideias que mudam o mundo quase sempre nascem na periferia — entre pessoas que seus contemporâneos consideram excêntricas. Em um novo artigo, o ForkLog explorou por que pioneiros, como Jack Parsons, muitas vezes permanecem à sombra das revoluções que provocaram.

Fonte: ForkLog