📝 Sumário Executivo e Destaques da Semana
A semana de 05 a 11 de novembro de 2025 foi marcada pela exploração ativa de zero-days críticos, incluindo um em dispositivos Samsung, usado em ataques de spyware com alerta da CISA, e um no Kernel do Windows (CVE-2025-62215), já explorado na natureza e corrigido no Microsoft Patch Tuesday. Estes incidentes, somados a falhas em firewalls da WatchGuard, evidenciam um risco sistêmico em infraestruturas digitais. No cenário de ransomware, a campanha do grupo Cl0p contra o Oracle E-Business Suite expandiu-se, afetando o The Washington Post e outras vítimas. No Brasil, a siderúrgica Noroaco foi atacada pelo Beast ransomware, e o novo trojan bancário "Maverick" começou a visar clientes de bancos brasileiros via WhatsApp Web.
⚠️ Zero-Days em Foco
Exploração ativa de vulnerabilidades críticas em dispositivos Samsung (usada em ataques de spyware), no Kernel do Windows (CVE-2025-62215) e em firewalls da WatchGuard, exigindo patches emergenciais.
🚨 Campanha Cl0p/Oracle se Expande
O The Washington Post confirmou ser uma das quase 30 vítimas da campanha que explora uma falha no Oracle E-Business Suite, juntando-se a outras grandes organizações como a Harvard University.
🔓 Violações de Dados em Larga Escala
A University of Pennsylvania sofreu uma violação que afetou 1,2 milhão de pessoas, e um caso de ameaça interna na Intel resultou no roubo de 18.000 arquivos confidenciais.
🎯 Brasil na Mira
A siderúrgica Noroaco foi atacada pelo Beast ransomware, e o novo trojan bancário "Maverick" começou a se espalhar via WhatsApp. Estatísticas revelam que o Brasil sofre 15 ataques por hora e que 84% das empresas atacadas pagam resgate.
🎣 Golpe Global no Booking.com
Uma campanha de phishing sofisticada, apelidada de "I Paid Twice", comprometeu sistemas de hotéis em todo o mundo para enganar hóspedes e roubar pagamentos.
💰 Incransom em Ascensão
O grupo de ransomware Incransom emergiu como o mais ativo em 12 de novembro, com 8 novas vítimas em um único dia, incluindo alvos na Costa Rica, Argentina e EUA.
🌴 Incidentes Críticos no Brasil
👹 Beast Ransomware Ataca Líder Siderúrgica Noroaco
Em 9 de novembro, o grupo de ransomware Beast reivindicou a responsabilidade por um ciberataque contra a Noroaco – Ferro e Aço, uma importante empresa do setor siderúrgico brasileiro. O ataque destaca a contínua ameaça de ransomware contra a infraestrutura industrial do país, onde a interrupção das operações pode ter consequências econômicas significativas e muito relevantes.
📲 Novo Trojan Bancário "Maverick" se Espalha via WhatsApp
Um novo e sofisticado trojan bancário, apelidado de "Maverick", foi identificado nestes dias, em 10 de novembro. O malware se espalha através do WhatsApp Web e tem como alvo principal os clientes de bancos brasileiros. Utilizando o PowerShell para sequestrar sessões de navegador, o Maverick representa uma evolução nas táticas de fraude financeira. Pesquisadores notaram uma semelhança significativa com o trojan Coyote, sugerindo uma possível conexão ou compartilhamento de código entre os grupos criminosos que atuam no Brasil.
📈 Estatísticas Alarmantes Revelam a Escala dos Ataques
⏰ Frequência de Ataques
O Brasil registra uma média de 15 ataques digitais por hora, com um alerta especial para o aumento de golpes durante o período da Black Friday em novembro.
📱 Ataques a Smartphones
O país é alvo de dois ciberataques por minuto contra smartphones, concentrando 54% de todos os ataques desse tipo na América Latina.
💰 Pagamento de Resgate
Um estudo revelou que 84% das empresas brasileiras que sofrem ataques de ransomware acabam pagando o resgate para recuperar seus dados, uma das taxas mais altas do mundo, o que financia e incentiva a continuidade desse tipo de crime.
🏛️ Volume de Incidentes Governamentais
O Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) registrou 14.000 notificações de incidentes e vulnerabilidades cibernéticas em órgãos governamentais até o final de outubro de 2025.
📈 Aumento de Crimes Cibernéticos
O Banco Central do Brasil confirmou que os crimes cibernéticos mais que dobraram em um ano, com o número de ataques registrados até agosto de 2025 já se aproximando do total de todo o ano de 2024.
🌎 Incidentes na América Latina
😈 Incransom Ativo na Costa Rica e Argentina
O grupo de ransomware Incransom, que demonstrou uma atividade intensa durante a semana, teve como alvo várias organizações na América Latina. Em 12 de novembro, o grupo reivindicou ataques contra:
☢️ latamlex (gyg.local): Um escritório de advocacia na Costa Rica;
☢️ Grupo Via Argentina: Uma empresa na Argentina.
Esses ataques mostram que grupos de ransomware estão ativamente na América Latina, provavelmente percebendo-os como alvos com defesas potencialmente mais fracas em comparação com empresas na América do Norte ou Europa.
📱 Brasil como Hub de Ataques a Smartphones
A estatística de que o Brasil concentra 54% de todos os ataques a smartphones na América Latina é significativa. Isso indica que as táticas, ferramentas e infraestruturas desenvolvidas e testadas no mercado brasileiro são provavelmente exportadas e adaptadas para atacar usuários em outros países da região. A prevalência de trojans bancários brasileiros, como o recém-descoberto Maverick, é um exemplo claro dessa tendência.
🚧 Desafios Comuns na Região
A América Latina continua a enfrentar desafios estruturais em cibersegurança, incluindo:
💸 Falta de Investimento: Muitas empresas ainda não priorizam o investimento em cibersegurança, tornando-se alvos fáceis;
🕺🏻 Escassez de Talentos: A falta de profissionais qualificados dificulta a implementação de defesas robustas e a resposta eficaz a incidentes;
🖥️ Digitalização Acelerada: A rápida adoção de tecnologias digitais muitas vezes não é acompanhada por um aumento proporcional nas medidas de segurança, criando novas superfícies de ataque.
🌐 Incidentes Globais Relevantes
🚨 Campanha Cl0p/Oracle: The Washington Post Confirma Violação
A saga da exploração em massa de vulnerabilidades no Oracle E-Business Suite pelo grupo de ransomware Cl0p ganhou um novo capítulo de grande repercussão. O jornal The Washington Post confirmou que foi uma das vítimas da campanha. A confirmação veio depois que o Cl0p publicou o nome do jornal em seu site de vazamentos, uma tática de pressão usada para forçar o pagamento do resgate. O incidente se junta a uma lista de quase 30 organizações, incluindo a Harvard University, que foram comprometidas através da mesma vulnerabilidade, destacando o enorme impacto de uma única falha em um software corporativo amplamente utilizado.
🎓 Violação Massiva na University of Pennsylvania Afeta 1,2 Milhão
O setor de educação superior, um repositório de vastas quantidades de dados de pesquisa e informações pessoais, foi novamente alvo de um ataque massivo. A University of Pennsylvania revelou uma violação de dados que impactou 1,2 milhão de pessoas, incluindo doadores da instituição. O incidente, conhecido como "Penn Donor Breach", ressalta a atratividade das universidades como alvos para cibercriminosos que buscam dados para roubo de identidade e fraude.
⚠️ Ameaça Interna na Intel: Engenheiro Acusado de Roubar 18.000 Arquivos
Um processo judicial movido pela Intel em 12 de novembro trouxe à tona um caso clássico de ameaça interna. A empresa acusou um ex-engenheiro de software de roubar aproximadamente 18.000 arquivos confidenciais poucos dias antes de sua demissão. O incidente é um lembrete crítico de que nem todas as ameaças são externas e que funcionários descontentes ou que estão de saída podem representar um risco significativo para a propriedade intelectual e os segredos comerciais de uma organização.
💡 Outras Violações e Incidentes Notáveis
🚗 Hyundai AutoEver America
A subsidiária de tecnologia do grupo Hyundai divulgou uma violação de dados em 5 de novembro, aumentando a lista de empresas do setor automotivo recentemente atingidas por ciberataques.
💰 Balancer DeFi Protocol Exploit
O mundo das finanças descentralizadas (DeFi) foi abalado por um exploit de US$ 128,6 milhões no protocolo Balancer em 3 de novembro, demonstrando a contínua volatilidade e os riscos de segurança no ecossistema de criptomoedas.
🎰 BetMGM
A gigante de apostas online confirmou ter sofrido uma violação de dados, expondo informações de seus clientes a riscos de fraude.
🦠 Ataques de Ransomware
O grupo Incransom atacou a empresa de medicina forense Forensic Medical nos EUA, enquanto a AsahiKASEI MICRODEVICES no Japão foi atingida pelo grupo Crypto24.
⚠️ Golpes
🏨 Phishing "I Paid Twice" no Booking.com
Uma campanha de phishing altamente sofisticada e em larga escala, apelidada de "I Paid Twice", teve como alvo a indústria hoteleira global através da plataforma Booking.com. Relatórios da Sekoia.io e de outras empresas de segurança, divulgados entre 5 e 7 de novembro, detalharam como os criminosos primeiro comprometem os sistemas internos dos hotéis para roubar dados de clientes. Em seguida, usando o acesso às contas Booking.com dos hotéis, eles enviam mensagens fraudulentas aos hóspedes, alegando problemas com o pagamento e solicitando um novo pagamento para um link malicioso. A campanha utiliza o malware PureRAT para o roubo inicial de dados e emprega táticas de engenharia social convincentes, explorando a confiança dos clientes na plataforma Booking.com.
📱 Google Processa Rede de Smishing "Lighthouse"
Em uma ação ofensiva contra o cibercrime, o Google entrou com um processo judicial em 12 de novembro contra uma rede criminosa baseada na China, conhecida como "Lighthouse". Este grupo é acusado de orchestrar uma operação massiva de smishing (phishing via SMS), enviando milhões de mensagens de texto fraudulentas que se passam por serviços como o sistema de pedágio E-ZPass e o serviço postal dos EUA (USPS). O objetivo é enganar as vítimas para que cliquem em links maliciosos e insiram suas informações pessoais e financeiras.
💰 Nova Força-Tarefa dos EUA Combate Golpes de Cripto de US$ 10 Bilhões
Em resposta à epidemia de fraudes de investimento em criptomoedas, o governo dos EUA anunciou em 12 de novembro a criação de uma nova força-tarefa, a "Scam Center Strike Force". A iniciativa visa combater especificamente os golpes de "pig butchering" (abate de porcos), muitos dos quais se originam no Sudeste Asiático e que já fraudaram vítimas em mais de US$ 10 bilhões. Apenas no ano fiscal de 2025, o Serviço Secreto dos EUA atendeu a cerca de 3.000 vítimas desses esquemas.
🚨 Outras Tendências de Golpes
📢 Anúncios Fraudulentos na Meta
Uma investigação da Reuters revelou que, segundo documentos internos, a Meta projetou que 10% de sua receita de 2024 viria de anúncios de golpes e produtos proibidos, destacando a escala do problema de anúncios fraudulentos na plataforma.
📧 Phishing de Filtro de Spam
Uma nova tática de phishing envolve o envio de e-mails que se parecem com alertas de filtros de spam, enganando os usuários para que cliquem em links maliciosos para "liberar" e-mails supostamente legítimos.
🎁 Golpes de Feriado
Com a aproximação da temporada de compras de fim de ano, alertas foram emitidos sobre o aumento de golpes que usam iscas como atualizações de envio falsas, ofertas de reembolso e "promoções exclusivas" para roubar dados dos consumidores.
💥 Grupos de Ameaças Ativos e Atividades Relevantes
👾 Cl0p: Expansão da Campanha Oracle EBS
O grupo Cl0p continuou a capitalizar sobre a exploração de vulnerabilidades no Oracle E-Business Suite (CVE-2025-61882). Após o ataque inicial a várias organizações, o grupo começou a publicar os nomes das vítimas que se recusaram a pagar o resgate. A confirmação do The Washington Post como uma das vítimas, juntamente com a nomeação de quase 30 outras organizações no site de vazamento do Cl0p, demonstra a eficácia da estratégia do grupo de visar falhas em softwares corporativos de nicho, mas amplamente utilizados, para maximizar o impacto e a pressão para o pagamento.
🔥 Incransom: Surto de Atividade
O grupo de ransomware Incransom teve um surto de atividade notável, emergindo como o grupo mais ativo em 12 de novembro. Em um único dia, o grupo reivindicou a responsabilidade por ataques a oito organizações diferentes em todo o mundo, incluindo KohaFoods Hawaii (EUA), Latamlex (Costa Rica), Grupo Via Argentina (Argentina) e Forensic Medical (EUA). Essa rápida sucessão de ataques indica que o Incransom possui uma operação de afiliados bem estabelecida e está ativamente expandindo seu alcance geográfico e setorial.
🇧🇷🏭 Beast Ransomware: Foco na Indústria Brasileira
O ataque do grupo Beast ransomware à siderúrgica brasileira Noroaco mostra um foco contínuo de grupos de ransomware na infraestrutura industrial da América Latina. Ao visar setores críticos como a siderurgia, esses grupos não apenas buscam um pagamento financeiro, mas também causam uma disrupção significativa que pode ter impactos em cascata na economia.
🏦 Trojans Bancários no Brasil: A Ameaça Persistente
O surgimento do trojan bancário "Maverick", que se espalha via WhatsApp Web, é o mais recente exemplo da inovação contínua dos cibercriminosos brasileiros no desenvolvimento de malware financeiro. A semelhança com o trojan Coyote sugere um ecossistema de desenvolvedores de malware que compartilham ou vendem código, levando a uma evolução rápida e a uma ameaça persistente para os usuários de serviços bancários online no Brasil.
🕵️ Outros Grupos Ativos
🏠 RansomHouse
Ativo na Europa, com ataques reivindicados contra empresas na Suíça e na Itália.
⚡ Akira
Continua a ser um dos principais grupos, com um ataque reivindicado contra a Treetop Companies nos EUA.
🌍 Devman e Crypto24
Grupos menos conhecidos, mas ativos, com ataques direcionados a alvos na Espanha e no Japão, respectivamente.
📈 Métricas e Estatísticas
🕵️♀️ Estatísticas de Golpes e Violações de Dados
⏰ Ataques por Hora
Média de ataques digitais por hora no Brasil, com alerta para a Black Friday. (Canaltech)
📱 Ataques a Smartphones por Minuto
O Brasil concentra 54% de todos os ataques a smartphones na América Latina. (ConvergenciaDigital)
💸 Taxa de Pagamento de Resgate
Porcentagem de empresas brasileiras que pagaram resgate após um ataque de ransomware.
📝 Notificações ao Governo Federal
Número de notificações de incidentes e vulnerabilidades ao CTIR Gov até outubro de 2025. (JOTA)
🌐 Estatísticas Globais do Cibercrime e Ransomware
🚨 Top Vulnerabilidades, IoCs e Alertas Ativos
📱 Zero-Day em Dispositivos Samsung
Em 10 de novembro, a CISA emitiu um alerta urgente sobre uma vulnerabilidade zero-day crítica em dispositivos móveis da Samsung. A falha, que permite a um atacante assumir controle total do dispositivo, foi confirmada como sendo ativamente explorada em ataques de spyware ligados à campanha "LandFall". A CISA exigiu que as agências federais dos EUA aplicassem o patch imediatamente, um sinal da gravidade da ameaça.
💻 Zero-Day no Kernel do Windows (CVE-2025-62215)
O Microsoft Patch Tuesday de 12 de novembro corrigiu 63 vulnerabilidades, mas o destaque foi a correção para a CVE-2025-62215, uma falha no Kernel do Windows com CVSS 7.0. A Microsoft confirmou que esta vulnerabilidade já estava sendo ativamente explorada na natureza como um zero-day, embora tenha uma alta complexidade de ataque.
🔥 Falha Crítica em Firewalls da WatchGuard
Também em 12 de novembro, a CISA adicionou uma vulnerabilidade crítica de "out-of-bounds write" em firewalls da WatchGuard ao seu catálogo de vulnerabilidades exploradas (KEV). Com mais de 54.000 instâncias ainda vulneráveis, segundo a Shadowserver Foundation, a falha representa um risco significativo para a segurança de redes corporativas.
🏦 Campanha de Exploração do Oracle E-Business Suite
🐛 Vulnerabilidade
A falha CVE-2025-61882 no Oracle E-Business Suite continuou a ser o vetor de ataque para a campanha massiva do grupo Cl0p. A lista de vítimas cresceu para quase 30 grandes organizações, incluindo o The Washington Post.
🔍 IoCs
As organizações que utilizam o Oracle E-Business Suite devem monitorar ativamente seus sistemas em busca de atividades suspeitas, especialmente tráfego de rede incomum e tentativas de acesso a arquivos de RH e dados financeiros.
😈 Indicadores de Comprometimento (IoCs) - Táticas e Técnicas
🦠 Malware "Maverick" (Brasil)
Fique atento a mensagens suspeitas no WhatsApp Web. O trojan se espalha através desta plataforma e usa o PowerShell para sequestrar sessões de navegador. O monitoramento de scripts PowerShell incomuns em estações de trabalho é uma medida de mitigação importante.
🎣 Campanha "I Paid Twice" (Booking.com)
Hotéis devem reforçar a segurança de suas contas na plataforma Booking.com e treinar seus funcionários para identificar e-mails de phishing. Hóspedes devem desconfiar de qualquer solicitação de pagamento adicional feita fora dos canais oficiais da plataforma e sempre verificar diretamente com o hotel por telefone.
🤖 Técnica "CometJacking"
Uma nova técnica de ataque de prompt injection, chamada "CometJacking", foi demonstrada contra o navegador de IA Comet, da Perplexity. A técnica explora parâmetros de URL para passar instruções ocultas à IA, permitindo o acesso a dados sensíveis. Isso representa uma nova fronteira de ataque contra a crescente onda de aplicações baseadas em IA.
📈 Tendências Emergentes
🔗 Ataques à Cadeia de Suprimentos de Segurança (Supply Chain of Trust)
A violação da F5 Networks representa o ápice de uma tendência alarmante: ataques que visam a própria cadeia de suprimentos de segurança. Ao comprometer um fornecedor de cibersegurança e roubar seu código-fonte e detalhes de vulnerabilidades, os atores de ameaça ganham uma "chave mestra" para atacar milhares de clientes que confiam nesses produtos. Isso mina a confiança fundamental no ecossistema de segurança e representa uma ameaça sistêmica. Espera-se que mais atores estado-nação e grupos de elite do cibercrime mirem fornecedores de segurança, auditores e empresas de resposta a incidentes.
☁️ Fragilidade da Infraestrutura de Nuvem Centralizada
A interrupção massiva da AWS na região US-EAST-1 serve como um lembrete contundente da fragilidade inerente a um ecossistema digital que depende de poucos provedores de nuvem hiperescala. Embora a resiliência da nuvem seja um de seus principais argumentos de venda, uma falha em uma única região pode causar um efeito cascata global. A tendência é que as organizações reavaliem suas estratégias de multinuvem e resiliência, mas a dependência de gigantes como AWS, Azure e Google Cloud torna a mitigação desse risco sistêmico extremamente complexa.
⚡ Aceleração da Exploração de Zero-Days em Dispositivos de Infraestrutura
A campanha "Operation Zero Disco", que explorou uma vulnerabilidade zero-day em dispositivos de rede Cisco, e a confirmação de exploração ativa de falhas no Oracle E-Business Suite, demonstram uma aceleração no ciclo de vida da exploração de vulnerabilidades. Os atores de ameaças estão se tornando mais rápidos em encontrar e armar falhas em dispositivos de infraestrutura crítica (roteadores, switches, firewalls, servidores de aplicação), que são alvos de alto valor por fornecerem um ponto de entrada profundo nas redes corporativas.
👥 Dinâmica de Poder em Mutação no Ecossistema de Ransomware
A ascensão do RansomHub ao topo do ranking de grupos mais prolíficos, superando o LockBit, indica uma fluidez e uma competição acirrada no mercado de Ransomware-as-a-Service (RaaS). Afiliados (os operadores que realizam os ataques) estão migrando para plataformas que oferecem melhores condições, ferramentas mais eficazes ou maior anonimato. Essa dinâmica de "mercado livre" para o cibercrime leva a uma inovação mais rápida nas táticas de ataque e a uma maior dificuldade de atribuição e desmantelamento dos grupos.
🎯 Ataques de Múltiplos Vetores e Pressão Coordenada
O caso da Volkswagen, supostamente atacada por dois grupos de ransomware diferentes (Qilin e 8Base) na mesma semana, pode apontar para uma nova tática de pressão. Embora possa ser uma coincidência, também pode representar uma forma de ataque coordenado ou uma competição direta pela mesma vítima. A tendência é que alvos de alto valor enfrentem ataques de múltiplos vetores simultaneamente, aumentando a complexidade da defesa e da resposta a incidentes.
🛡️ Recomendações Importantes
Com base nos incidentes e tendências observados, as seguintes recomendações são cruciais para fortalecer a postura de segurança das organizações:
🎯 Adotar uma Estratégia de Gerenciamento de Vulnerabilidades Baseada em Risco e Ameaças
Priorizar Patches de Zero-Days e Vulnerabilidades Exploradas: Focar na correção de falhas ativamente exploradas (catálogo KEV da CISA) é mais eficaz que apenas o CVSS.
Implementar Patching Virtual: Use soluções de IPS/IDS para bloquear explorações em sistemas legados ou enquanto aguarda patches, ganhando tempo crítico para a correção.
🔗 Fortalecer a Defesa Contra Ataques à Cadeia de Suprimentos
Auditar Fornecedores Críticos: Realize auditorias rigorosas em parceiros com acesso a dados sensíveis, pois a segurança de sua organização reflete a deles.
Implementar Arquitetura Zero Trust: Adote microssegmentação e autenticação estrita para limitar o impacto de ataques originados de softwares de fornecedores comprometidos.
🛡️ Reforçar a Resiliência Contra Ransomware e Extorsão
Testar Planos de Resposta a Incidentes e de Recuperação de Desastres: Simule ataques para garantir uma recuperação rápida, evitando o pagamento de resgates e financiando o cibercrime.
Implementar Backups Imutáveis e Isolados: Garanta cópias de backup que não possam ser alteradas ou excluídas, incluindo ao menos uma versão offline (air-gapped).
🎣 Combater a Engenharia Social e o Phishing
Treinamento Contínuo e Simulações de Phishing: Invista em conscientização para funcionários e realize testes regulares para identificar e mitigar riscos de engenharia social.
Implementar Autenticação Multifator (MFA) em Todos os Serviços: Habilite MFA em todos os serviços críticos, preferencialmente métodos resistentes a phishing como chaves FIDO2, para proteger contra roubo de credenciais.
✍🏼 Assine o RIC
Google Docs
Cadastre-se para receber o RIC semanal da minutocyber
Mantenha-se à frente das ameaças digitais com inteligência estratégica semanal. Tenha acesso exclusivo a uma coleção abrangente de relatórios semanais de cibersegurança que mapeiam o cenário de ameaças no Brasil, América Latina e cenário global. Cada edição oferece relatos cronológicos detalhados, identificados por códigos de versão e datas precisas, construídos a partir de mais de 90 fontes de pesquisa especializadas e confiáveis. O que você receberá: 📊 Análises aprofundadas de incidentes e vu
minutocyber © 2025 por Julio Signorini está licenciado sob CC BY-NC-SA 4.0
📊 Relatório de Incidentes Cibernéticos