De acordo com o comunicado de serviço público do FBI , o Kali365 surgiu em abril de 2026 e é distribuído por meio de canais do Telegram para cibercriminosos que buscam uma maneira mais fácil de comprometer contas do Microsoft 365 sem roubar senhas ou interceptar códigos de autenticação multifator (MFA). 

A plataforma utiliza phishing de código de dispositivo, um método cada vez mais popular que abusa do fluxo legítimo de concessão de autorização de dispositivo OAuth 2.0 da Microsoft para obter acesso a contas do Microsoft Entra e do Microsoft 365.

Este método de autenticação foi criado para permitir que dispositivos com capacidades de entrada limitadas, como smart TVs, sistemas de salas de conferência, dispositivos de streaming, impressoras e dispositivos IoT, se autentiquem por meio de outro dispositivo usando um código curto no portal de login de código de dispositivo da Microsoft, http://microsoft.com/devicelogin .

Em fevereiro, o BleepingComputer noticiou que quadrilhas de extorsão, incluindo o grupo de cibercriminosos ShinyHunters, estavam visando contas do Microsoft Entra por meio de phishing de código de dispositivo e de voz.

Nesses ataques, os agentes maliciosos iniciam o processo de autorização do dispositivo para gerar um código e, em seguida, enganam as vítimas para que o insiram na página de login da Microsoft por meio de phishing e engenharia social.

Assim que a vítima insere o código e conclui a autenticação multifator (MFA), a Microsoft emite um token de acesso OAuth que concede ao invasor acesso total à conta sem exigir que ele resolva quaisquer desafios de MFA.

Os agentes maliciosos agora têm acesso total a todos os aplicativos que o usuário normalmente acessa por meio de sua conta de login único, incluindo o Microsoft 365, o Salesforce ou qualquer outra plataforma SaaS na nuvem, que são então usados ​​para roubar dados.

O FBI alerta que o Kali365 dá até mesmo a atacantes com pouca experiência acesso a recursos avançados de phishing, incluindo iscas de phishing geradas por IA, modelos de campanha automatizados, painéis de rastreamento de vítimas em tempo real e funcionalidade de captura de tokens. 

Pesquisadores de segurança da Arctic Wolf relataram a atividade do Kali365 em abril, após observarem uma campanha generalizada visando organizações em todo o mundo.

Os pesquisadores afirmaram que as campanhas visavam principalmente ambientes do Microsoft 365, utilizando e-mails de phishing que direcionavam as vítimas para o portal de login do código do dispositivo da Microsoft, onde, sem saber, elas autorizavam os invasores a acessar suas contas.

Os pesquisadores afirmaram que os ataques resultantes deram aos hackers acesso às suas caixas de correio, onde criaram regras maliciosas na caixa de entrada, projetadas para ocultar sua atividade.

Em alguns dos ataques, os invasores também registraram novos dispositivos nos ambientes Microsoft das vítimas, ampliando ainda mais seu acesso à rede comprometida.

A Arctic Wolf descobriu que o Kali365 opera como uma empresa, com administradores que gerenciam o desenvolvimento do produto, revendedores que promovem o serviço para outros agentes maliciosos e afiliados que realizam ataques de phishing.

Os pesquisadores afirmam que a plataforma oferece dois modos de ataque distintos: o primeiro é o phishing do código do dispositivo e o segundo é um modo de ataque do tipo “adversário no meio” (AitM, na sigla em inglês), denominado “Cookie Link”.

O Cookie Link utiliza proxys para encaminhar as vítimas através de uma infraestrutura controlada pelo atacante, que captura sessões de navegador autenticadas, cookies de sessão e tokens após o login dos alvos, resolvendo assim os desafios de autenticação multifator (MFA).

O FBI recomenda que as empresas restrinjam ou bloqueiem completamente os fluxos de autenticação por código de dispositivo usando políticas de Acesso Condicional sempre que possível, auditem o uso existente de códigos de dispositivo e bloqueiem políticas de transferência de autenticação que permitam que as sessões de autenticação se movam entre dispositivos. 

A agência também recomendou que as organizações afetadas relatem os incidentes ao Centro de Reclamações sobre Crimes na Internet (Internet Crime Complaint Center) e preservem e-mails de phishing, informações de login suspeitas e registros de dispositivos não autorizados. 

O phishing de código de dispositivo teve ampla adoção em 2026, com outros agentes de ameaças e plataformas agora o utilizando como parte de suas campanhas e ataques de phishing.

Essa adoção inclui o EvilTokens PhaaS e  o Tycoon2FA , que também a estão usando para comprometer contas do Microsoft 365 e da Entra.

As atualizações de hoje são obrigatórias, pois contêm os  patches de segurança da Patch Tuesday de maio de 2026 para 120 vulnerabilidades descobertas nos meses anteriores.

Você pode instalar a atualização de hoje acessando  Iniciar  >  Configurações  >  Windows Update  e clicando em  “Verificar se há atualizações “.

Você também pode baixar e instalar a atualização manualmente a partir do  Catálogo do Microsoft Update .

Esta é a quinta atualização de segurança da “Terça-feira de Atualizações” de 2026 e é baseada na versão 24H2, o que significa que a versão 25H2 também receberá a mesma atualização. Não há alterações exclusivas ou especiais. Você receberá as mesmas correções nas duas versões do Windows 11.

O que há de novo na atualização de terça-feira de maio de 2026?

Após a instalação das atualizações de segurança de hoje, o Windows 11 25H2 ( KB5089549 ) terá seu número de compilação alterado para 26200.8457 (25H2) e 26100.8457 (24H2), e o 23H2 ( KB5087420 ) será alterado para 22631.7079.

Após a atualização, o Modo Xbox foi adicionado à área de trabalho, permitindo que você tenha uma experiência semelhante à de um console Xbox no seu PC. Além disso, a Microsoft corrigiu problemas com a barra de tarefas e melhorou a confiabilidade do Windows Hello.

Segue a lista completa de melhorias e correções:

• [Explorador de Arquivos]
  • Novidade!   Esta atualização expande a lista de formatos de arquivo que podem ser usados ​​no Explorador de Arquivos para incluir uu, cpio, xar e Pacotes NuGet (nupkg).
  • Com esta atualização, as preferências de visualização e classificação são preservadas em pastas como Downloads e Documentos quando os aplicativos iniciam o Explorador de Arquivos diretamente nesses locais.
  • Esta atualização remove um flash branco que podia aparecer ao abrir  Este Computador  ou ao redimensionar o painel Detalhes no modo escuro.
  • Esta atualização melhora a confiabilidade dos processos explorer.exe relevantes, garantindo que eles sejam encerrados após o fechamento das janelas do Explorador de Arquivos.
• [Entrada]
  • Novidade!   Agora você pode sentir os efeitos de feedback tátil em dispositivos de entrada compatíveis ao realizar determinadas ações, como alinhar objetos no PowerPoint, encaixar ou redimensionar janelas. Esses sinais táteis podem ser ativados ou desativados em  Configurações  >  Bluetooth e dispositivos  >  Mouse, touchpad ou caneta  >  Sinais táteis . Essa experiência é compatível com  a Surface Slim Pen 2 , a ASUS Pen 3.0 e  a MSI Pen 2 com feedback tátil . O suporte para outros dispositivos compatíveis, incluindo mouses selecionados como o Logitech MX Master 4, poderá ser disponibilizado conforme os parceiros de hardware lançarem atualizações.
  • Novidade!   A digitação por voz no teclado virtual agora está mais simples e intuitiva. O design atualizado remove a sobreposição em tela cheia e exibe as animações de digitação por voz diretamente na tecla de ditado, ajudando você a manter o foco sem distrações visuais extras.
  • Novidade!   O layout de teclado Árabe 101 Legacy já está disponível. Você pode adicioná-lo ao selecionar um teclado para árabe em  Hora e Idioma  >  Idioma e Região . Esta opção é para quem prefere o design de teclado usado antes  das recentes alterações com o AltGr .
  • Esta atualização melhora a confiabilidade da configuração de ferramentas personalizadas em  Configurações  >  Bluetooth e dispositivos  >  Roda .
  • Esta atualização melhora a persistência da configuração de Ditado Fluido na digitação por voz.
  • Esta atualização melhora a confiabilidade da navegação por teclado nos painéis de emojis ( tecla do logotipo do Windows  +  ponto ).
  • Esta atualização melhora a confiabilidade da digitação ao usar o teclado ADLaM.
• [Compartilhamento]  Novidade!  A bandeja de arrastar agora se chama bandeja de soltar. Suas configurações agora estão em  Configurações  >  Sistema  >  Multitarefa  (antes Compartilhamento por proximidade). A bandeja de soltar usa uma visualização prévia menor. Essa melhoria ajuda a evitar que a bandeja de soltar abra acidentalmente e facilita o fechamento quando você estiver trabalhando perto da parte superior da tela.
• [Impressão]  Novidade!  Esta atualização adiciona um novo ícone para indicar quais impressoras são compatíveis com  o Modo de Impressão Protegida do Windows  nas configurações de impressão.
• [Segurança e desempenho aprimorados para arquivos em lote]  Novo!   Administradores e autores de políticas do Application Control for Business agora têm controle adicional sobre como o sistema processa arquivos em lote e scripts do Prompt de Comando (CMD). A partir desta versão, os administradores podem habilitar um modo de processamento mais seguro para arquivos em lote. Esse modo impede que os arquivos em lote sejam alterados durante a execução.
  
  Para habilitar essa configuração, adicione o seguinte valor ao registro:
  
  Chave do Registro:  HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor
  
  Nome do valor : LockBatchFilesWhenInUse
  
  Tipo:  DWORD
  
  Dados a serem definidos:  0 (desabilitado) ou 1 (habilitado)
  
  Os autores de políticas também podem habilitar esse modo usando o controle de manifesto do aplicativo LockBatchFilesWhenInUse, conforme documentado no esquema de manifesto do Application Control for Business.
• [Microsoft Store]  Esta atualização reduz erros inesperados ao baixar e instalar aplicativos da Microsoft Store, incluindo os erros 0x80070057, 0x80240008 e 0x80073d28.
• [Fontes]  Esta atualização inclui melhorias na família de fontes Leelawadee UI para os alfabetos tailandês, laosiano, khmer e lontara, a fim de aprimorar a sequência, o posicionamento e a renderização dos glifos.
• [Áudio]  Esta atualização melhora a compatibilidade de drivers de terceiros com o midisrv.exe.
• [Barra de tarefas]  Esta atualização melhora a confiabilidade do carregamento da área da bandeja do sistema na barra de tarefas.
• [Windows Hello]  Esta atualização melhora:
  • Confiabilidade do recurso de reconhecimento facial do Windows Hello.
  • Persistência da impressão digital do Windows Hello após atualizações.
• [Armazenamento]  Esta atualização melhora:
  • Desempenho ao visualizar informações de armazenamento para grandes volumes em  Configurações  >  Sistema  >  Armazenamento  >  Configurações avançadas de armazenamento  >  Discos e volumes .
  • O limite de tamanho para formatar volumes FAT32 a partir da linha de comando varia de 32 GB a 2 TB.
• [Otimização de Entrega]  Esta atualização melhora o uso da memória, reduzindo a probabilidade de utilização de uma quantidade inesperadamente grande de memória.
• [Exibição e gráficos]  Esta atualização melhora a persistência e a disponibilidade das opções de perfil de cores para monitores compatíveis.
• [Modo quiosque]  Esta atualização simplifica a configuração de aplicativos empacotados permitidos em quiosques quando o Microsoft Edge é um dos aplicativos permitidos.
• [Desempenho geral]  Esta atualização melhora o desempenho da inicialização de aplicativos após ligar o dispositivo (aplicativos listados em  Configurações  >  Aplicativos  >  Inicialização ).
• [Confiabilidade geral]  Esta atualização traz alterações internas para ajudar a melhorar a confiabilidade do explorer.exe, inclusive durante o login, ao interagir com os menus da barra de tarefas e a Visualização de Tarefas, ao desafixar itens do Acesso Rápido do Explorador de Arquivos e muito mais.

A Microsoft não tem conhecimento de nenhum problema novo com a atualização de segurança deste mês, principalmente porque não se trata de uma atualização tão extensa quanto as anteriores.

Ao mesmo tempo, é possível que a atualização não apresente problemas conhecidos porque a Microsoft se comprometeu com uma experiência estável e confiável do Windows.

A Microsoft confirmou que está trabalhando em uma grande atualização de qualidade para o Windows 11 2026 que restaura a barra de tarefas móvel e melhorará significativamente o desempenho das interfaces modernas, incluindo o menu de contexto (clique com o botão direito do mouse).

A Microsoft também planeja limitar a integração do Copilot no Windows 11, reduzir os anúncios e tornar a experiência inicial mais rápida com a opção de ignorar as atualizações do Windows.

Esta atualização de segurança de terça-feira corrige 17 vulnerabilidades “críticas”, das quais 14 são de execução remota de código, 2 são de elevação de privilégios e 1 é uma falha de divulgação de informações.

O número de bugs em cada categoria de vulnerabilidade está listado abaixo:

• 61 Vulnerabilidades à Elevação de Privilégios
• 6 vulnerabilidades de bypass de recursos de segurança
• 31 Vulnerabilidades de Execução Remota de Código
• 14 Vulnerabilidades na Divulgação de Informações
• 8 Vulnerabilidades de Negação de Serviço
• 13 Vulnerabilidades de Spoofing

Quando o BleepingComputer publica atualizações de segurança da Patch Tuesday, consideramos apenas as lançadas pela Microsoft hoje.

Portanto, o número de falhas não inclui as falhas no Mariner, Azure, Copilot, Microsoft Teams e Microsoft Partner Center que foram corrigidas pela Microsoft no início deste mês. Também houve 131 falhas no Microsoft Edge/Chromium que foram corrigidas pelo Google neste mês, e que foram excluídas.

Para saber mais sobre as atualizações não relacionadas à segurança lançadas hoje, você pode consultar nossos artigos dedicados às  atualizações cumulativas KB5089549 e KB5087420 do Windows 11  e à  atualização de segurança estendida KB5087544 do Windows 10 .

Vulnerabilidades notáveis

A Microsoft não divulgou nenhuma vulnerabilidade zero-day na atualização de segurança deste mês. No entanto, existem algumas vulnerabilidades corrigidas hoje que os administradores de TI e segurança devem conhecer.

Como parte das atualizações de hoje, a Microsoft corrigiu diversas vulnerabilidades no Microsoft Office, Word e Excel que poderiam levar à execução remota de código.

Essas falhas são exploradas através da abertura de arquivos maliciosos, o que pode resultar na execução remota de código. Como muitas delas podem ser exploradas por meio do painel de visualização, é altamente recomendável atualizar o Microsoft Office o mais rápido possível, principalmente se você costuma receber anexos.

Uma lista das falhas do Microsoft Office, Word e Excel pode ser encontrada em nosso relatório da atualização de segurança de maio de 2026 .

Outras vulnerabilidades interessantes são:

• CVE-2026-35421 – Vulnerabilidade de Execução Remota de Código no GDI do Windows: Esta falha pode ser explorada abrindo um arquivo Enhanced Metafile (EMF) malicioso usando o Microsoft Paint.
• CVE-2026-40365 – Vulnerabilidade de Execução Remota de Código no Microsoft SharePoint Server:  Um atacante autenticado pode realizar um ataque baseado em rede que executa código remotamente em um servidor SharePoint.
• CVE-2026-41096 – Vulnerabilidade de Execução Remota de Código no Cliente DNS do Windows: Um servidor DNS controlado por um atacante poderia enviar uma resposta DNS especialmente criada para um sistema Windows vulnerável, fazendo com que o Cliente DNS processasse a resposta incorretamente e corrompesse a memória. Isso permitiria que o atacante executasse código remotamente no sistema vulnerável.

Atualizações recentes de outras empresas

Outros fornecedores que divulgaram atualizações ou avisos em maio de 2026 incluem:

• A Adobe lançou atualizações de segurança para After Effects, Premiere Pro, Media Encoder, Commerce, Illustrator e outros.
• A AMD divulgou atualizações para uma vulnerabilidade de elevação de privilégios no cache de operações (op/µop) da CPU em arquiteturas baseadas em Zen 2.
• A Apple  lançou atualizações de segurança para macOS, iOS, watchOS, iPadOS, visionOS e tvOS. 
• A Cisco lançou atualizações de segurança para diversos produtos, incluindo uma falha de negação de serviço (DoS) que exige a reinicialização manual dos sistemas afetados para recuperação.
• A Fortinet  lançou atualizações de segurança para duas falhas críticas no  FortiSandbox e no FortiAuthenticator .
• O Google lançou  o boletim de segurança de maio do Android , que corrige 10 vulnerabilidades.
• A Ivanti lançou atualizações de segurança para uma vulnerabilidade de execução remota de código de alta gravidade no Endpoint Manager Mobile (EPMM), que foi explorada em ataques de dia zero.
• A Mozilla lançou atualizações de segurança para cinco vulnerabilidades do Firefox.
• A Palo Alto Networks alertou sobre uma falha crítica no Portal de Autenticação de ID de Usuário do PAN-OS , que foi explorada em ataques como uma vulnerabilidade zero-day . Correções ainda não foram lançadas, mas medidas de mitigação estão disponíveis.
• A SAP lançou as atualizações de segurança de maio , que incluem correções para uma falha de alta gravidade e duas falhas críticas.
• A VM2 lançou atualizações de segurança para uma vulnerabilidade crítica na popular biblioteca de sandbox do Node.js.

Atualizações de segurança da Patch Tuesday de maio de 2026

Abaixo está a lista completa de vulnerabilidades corrigidas nas atualizações de segurança de maio de 2026 (Patch Tuesday).

Para acessar a descrição completa de cada vulnerabilidade e os sistemas afetados, você pode consultar o  relatório completo aqui .

Os usuários do macOS se beneficiarão desse recurso de segurança em uma futura versão do Chrome, que ainda não foi anunciada.

A nova proteção foi anunciada em 2024 e funciona vinculando criptograficamente a sessão de um usuário ao seu hardware específico, como o chip de segurança de um computador – o Trusted Platform Module (TPM) no Windows e o Secure Enclave no macOS.

Como as chaves públicas/privadas exclusivas para criptografar e descriptografar dados confidenciais são geradas pelo chip de segurança, elas não podem ser exportadas da máquina.

Isso impede que o invasor utilize dados de sessão roubados, pois a chave privada exclusiva que os protege não pode ser exportada da máquina.

“A emissão de novos cookies de sessão de curta duração depende da comprovação, pelo Chrome, de que este possui a chave privada correspondente”, afirma o Google em um comunicado divulgado hoje.

Sem essa chave, qualquer cookie de sessão extraído expira e se torna inútil para um invasor quase que imediatamente.

Um cookie de sessão funciona como um token de autenticação, geralmente com um tempo de validade mais longo, e é criado no servidor com base no seu nome de usuário e senha.

O servidor utiliza o cookie de sessão para identificação e o envia ao navegador, que o apresenta quando você acessa o serviço online.

Como permitem a autenticação em um servidor sem o fornecimento de credenciais, os agentes maliciosos usam um malware especializado chamado infostealer para coletar cookies de sessão.

O Google afirma que várias famílias de malware de roubo de informações, como o LummaC2, “tornaram-se cada vez mais sofisticadas na coleta dessas credenciais”, permitindo que hackers acessem as contas dos usuários.

“Crucialmente, uma vez que um malware sofisticado obtém acesso a uma máquina, ele pode ler os arquivos locais e a memória onde os navegadores armazenam cookies de autenticação. Como resultado, não há maneira confiável de impedir a exfiltração de cookies usando apenas software em qualquer sistema operacional” – Google

O protocolo DBSC foi projetado para ser privado desde a sua concepção, com cada sessão protegida por uma chave distinta. Isso impede que sites correlacionem a atividade do usuário em várias sessões ou sites no mesmo dispositivo.

Além disso, o protocolo permite uma troca mínima de informações que requer apenas a chave pública por sessão necessária para certificar a comprovação de posse, e não vaza identificadores de dispositivos.

Após um ano de testes com uma versão inicial do DBSC em parceria com diversas plataformas web, incluindo a Okta, o Google observou uma queda significativa nos casos de roubo de sessão.

O Google fez uma parceria com a Microsoft para desenvolver o protocolo DBSC como um padrão web aberto e recebeu contribuições “de muitos profissionais do setor responsáveis ​​pela segurança na web”.

Os sites podem atualizar para sessões mais seguras e vinculadas ao hardware, adicionando endpoints dedicados de registro e atualização aos seus backends, sem sacrificar a compatibilidade com o frontend existente.

Os desenvolvedores web podem consultar o guia do Google para obter detalhes sobre a implementação do DBSC . As especificações estão disponíveis no site do World Wide Web Consortium (W3C), e uma explicação pode ser encontrada no GitHub.

Os aplicativos que continham o código malicioso incluíam programas de limpeza, galerias de imagens e jogos. Eles não exigiam permissões suspeitas e forneciam a funcionalidade prometida.

Após executar um aplicativo infectado, o malware tentou obter acesso root no dispositivo explorando vulnerabilidades antigas do Android que receberam correções entre 2016 e 2021.

Pesquisadores da empresa de cibersegurança McAfee descobriram a operação NoVoice, mas não conseguiram associá-la a um agente de ameaças específico. No entanto, destacaram que o malware apresentava semelhanças com o  trojan Triada para Android .

Cadeia de infecção NoVoice

Segundo pesquisadores da McAfee, o agente malicioso ocultou componentes maliciosos no  pacote com.facebook.utils , misturando-os com as classes legítimas do SDK do Facebook.

Um payload criptografado (enc.apk) oculto dentro de um arquivo de imagem PNG usando esteganografia é extraído ( h.apk ) e carregado na memória do sistema, enquanto todos os arquivos intermediários são apagados para eliminar vestígios.

A McAfee observa que o agente malicioso evita infectar dispositivos em certas regiões, como Pequim e Shenzhen, na China, e implementou 15 verificações para emuladores, depuradores e VPNs. Se as permissões de localização não estiverem disponíveis, o malware continua a cadeia de infecção.

O malware então contata o servidor de comando e controle (C2) e coleta informações do dispositivo, como detalhes de hardware, versão do kernel, versão do Android (e nível de patch), aplicativos instalados e status de root, para determinar a estratégia de exploração.

Em seguida, o malware consulta o servidor de comando e controle (C2) a cada 60 segundos e baixa vários componentes para exploits específicos do dispositivo, projetados para obter acesso root ao sistema da vítima.

Os pesquisadores criaram um mapa da cadeia de infecção, desde a fase de entrega até a fase de injeção.

A McAfee afirma ter observado 22 vulnerabilidades, incluindo bugs de kernel do tipo “use-after-free” (uso após liberação de memória) e falhas no driver da GPU Mali. Essas vulnerabilidades concedem aos operadores acesso root e permitem que eles desativem a aplicação do SELinux no dispositivo, eliminando efetivamente suas proteções de segurança fundamentais.

Após o processo de root no dispositivo, bibliotecas de sistema essenciais como libandroid_runtime.so e libmedia_jni.so são substituídas por wrappers maliciosos que interceptam chamadas de sistema e redirecionam a execução para código de ataque.

O rootkit estabelece múltiplas camadas de persistência, incluindo a instalação de scripts de recuperação, a substituição do gerenciador de falhas do sistema por um carregador de rootkit e o armazenamento de payloads de fallback na partição do sistema.

Como essa parte do armazenamento do dispositivo não é apagada durante uma restauração de fábrica, o malware persistirá mesmo após uma limpeza completa.

Um serviço de monitoramento é executado a cada 60 segundos para verificar a integridade do rootkit e reinstalar automaticamente os componentes ausentes. Se as verificações falharem, ele força a reinicialização do dispositivo, fazendo com que o rootkit seja recarregado.

Roubo de dados do WhatsApp

Durante a fase de pós-exploração, o código controlado pelo atacante é injetado em todos os aplicativos executados no dispositivo. Dois componentes principais são implantados: um que permite a instalação ou remoção silenciosa de aplicativos e outro que opera dentro de qualquer aplicativo com acesso à internet.

Este último serve como principal mecanismo de roubo de dados, e a McAfee observou que ele tinha como alvo principal o aplicativo de mensagens WhatsApp.

Quando o WhatsApp é iniciado em um dispositivo infectado, o malware extrai dados confidenciais necessários para replicar a sessão da vítima, incluindo bancos de dados de criptografia, chaves do protocolo Signal e identificadores de conta, como número de telefone e detalhes de backup do Google Drive.

Essas informações são então extraídas para o servidor de comando e controle (C2), permitindo que os atacantes clonem a sessão do WhatsApp da vítima em seu próprio dispositivo.

Os pesquisadores observaram que, embora tenham recuperado apenas uma carga útil focada no WhatsApp, o design modular do NoVoice torna tecnicamente possível o uso de outras cargas úteis direcionadas a qualquer aplicativo no dispositivo.

Os aplicativos maliciosos para Android que continham o código NoVoice foram removidos do Google Play após a McAfee, membro da App Defense Alliance, denunciá-los ao Google.

No entanto, os usuários que já os instalaram devem considerar que seus dispositivos e dados estão comprometidos.

Como o NoVoice visa falhas corrigidas até maio de 2021, a atualização para um dispositivo com um patch de segurança mais recente mitiga efetivamente essa ameaça em sua forma atual.

Recomenda-se que os usuários do Android atualizem para modelos com suporte ativo e instalem apenas aplicativos de desenvolvedores confiáveis ​​e conhecidos, mesmo na Google Play.

As contas comerciais do TikTok podem ser alvo de ataques devido ao seu alto potencial de abuso em campanhas de malvertising, fraude publicitária e distribuição de conteúdo malicioso.

A Push Security, empresa de detecção e resposta a ameaças em navegadores, relaciona a campanha a uma já documentada no ano passado, que tinha como alvo contas do Google Ad Manager.

O TikTok já foi usado para disseminar malware que rouba informações por meio de vídeos maliciosos, bem como golpes com criptomoedas através de promoções falsas . As contas do TikTok para empresas são ideais para esses fins devido ao seu maior alcance e à legitimidade percebida.

Em um relatório compartilhado com o BleepingComputer, a Push Security afirma que as vítimas são atraídas para páginas de phishing hospedadas na Cloudflare e registradas em 24 de março por meio da NiceNIC, um registrador frequentemente denunciado por pesquisadores de segurança cibernética por ser usado para atividades cibercriminosas.

A Push Security não conseguiu determinar o mecanismo de entrega inicial, mas acredita que o agente da ameaça utiliza um método semelhante ao observado nas atividades relatadas pela Sublime Security .

O link inicial redireciona através de um URL legítimo do Google Storage, bloqueia bots usando uma verificação do Cloudflare Turnstile e, em seguida, redireciona para as páginas maliciosas.

Os domínios apresentam nomes semelhantes e estão todos hospedados no mesmo bucket do Google Storage:

• welcome.careerscrews[.]com
• bem-vindo.funcionáriodecarreira[.]com
• bem-vindo.carreirasfluxodetrabalho[.]com
• welcome.careerstransform[.]com
• bem-vindo.careersupskill[.]com
• bem-vindo.sucessonacarreira[.]com
• welcome.careersstaffgrid[.]com
• bem-vindo.progressonacarreira[.]com
• bem-vindo.careersgrower[.]com
• welcome.careersengage[.]com
• welcome.careerscrews[.]com

As páginas maliciosas se fazem passar pelas páginas “Agendar uma chamada” do TikTok for Business e do Google Careers, solicitando aos visitantes que insiram informações básicas em um formulário para validar se estão usando um endereço de e-mail comercial.

Após essa etapa, as vítimas são direcionadas para uma página de login falsa, que é um proxy reverso projetado para capturar credenciais e cookies de sessão e exfiltrá-los para o atacante.

Como a página atua como intermediária entre o usuário legítimo e o serviço, o agente malicioso pode sequestrar contas mesmo quando a autenticação de dois fatores (2FA) está ativa.

A Push Security também observa que os titulares de contas comerciais costumam fazer login no TikTok por meio do serviço de login único (SSO) do Google. “Isso significa que qualquer pessoa que use o Google para fazer login em sua conta do TikTok terá efetivamente as duas contas usadas para distribuir anúncios comprometidas de uma só vez.”

Os usuários devem ser extremamente cautelosos com convites e ofertas de emprego suspeitos e nunca confiar em links enviados por contatos desconhecidos. Sempre verifique o domínio antes de inserir suas credenciais e use senhas para proteger contas importantes.

Após investigar o incidente (registrado sob o número EX1256020 ), a Microsoft descobriu que a causa principal foi uma conta virtual recém-criada.

No sábado, começaram a trabalhar para reverter a alteração como uma possível solução a longo prazo para mitigar o impacto, após não conseguirem resolver o problema reiniciando a infraestrutura afetada.

“Este problema pode afetar intermitentemente alguns usuários que tentam acessar o serviço Exchange Online por meio dos aplicativos móveis do Outlook ou do novo cliente de desktop Outlook para Mac”, disse a Microsoft.

“Após uma avaliação mais aprofundada, confirmamos que a alteração identificada no serviço Exchange Online, que tinha como objetivo introduzir uma nova conta virtual, causou impacto. Para solucionar esse problema, estamos desativando a alteração nos ambientes afetados. Assim que possível, forneceremos um cronograma de resolução.”

Embora a Microsoft não tenha divulgado quais regiões ou quantos usuários foram afetados, classificou essa interrupção de serviço como um incidente, o que geralmente se aplica a problemas críticos de serviço com impacto perceptível nos usuários.

Há uma semana, a Microsoft resolveu mais uma interrupção do Exchange Online que estava impedindo os clientes de acessar suas caixas de correio e calendários pelo Outlook na Web, Outlook para desktop, Exchange ActiveSync e outros protocolos de conexão do Exchange Online.

No mesmo dia, a empresa corrigiu um problema separado que causava dificuldades de acesso ao Office.com ou ao login na web do Microsoft 365 Copilot devido ao que a empresa descreveu na época como “um alto volume de tráfego”, afetando o aplicativo Microsoft Copilot para desktop, o Copilot no Microsoft Teams e o Copilot nos aplicativos do Office.

A Microsoft também solucionou uma interrupção no serviço Exchange Online em janeiro, que bloqueava intermitentemente o envio de e-mails pelo protocolo IMAP4 (Internet Mailbox Access Protocol 4), e um incidente semelhante em novembro , que bloqueou o acesso ao Exchange Online pelo cliente de desktop Outlook clássico.

Pesquisadores da Aikido , Socket , Step Security e da comunidade OpenSourceMalware identificaram coletivamente 433 componentes comprometidos neste mês em ataques atribuídos ao GlassWorm.

A evidência de que um único agente malicioso está executando as campanhas do GlassWorm em vários repositórios de código aberto é fornecida pelo uso do mesmo endereço de blockchain Solana para atividades de comando e controle (C2), payloads idênticos ou funcionalmente semelhantes e infraestrutura compartilhada.

O GlassWorm foi observado pela primeira vez em outubro passado , com atacantes usando caracteres Unicode “invisíveis” para ocultar código malicioso que coletava dados de carteiras de criptomoedas e credenciais de desenvolvedores.

A campanha prosseguiu com várias ondas  e expandiu-se para o mercado oficial do Visual Studio Code da Microsoft e para o registro OpenVSX usado por IDEs não suportados, conforme descoberto pelo pesquisador da Secure Annex, John Tuckner.

Os sistemas macOS também foram alvos, com a introdução de clientes trojanizados para Trezor e Ledger, e posteriormente, desenvolvedores foram atacados por meio de extensões OpenVSX comprometidas .

A mais recente onda de ataques do GlassWorm é muito mais extensa e se espalhou para:

• 200 repositórios Python no GitHub
• 151 repositórios GitHub JS/TS
• 72 extensões para VSCode/OpenVSX
• 10 pacotes npm

A invasão inicial ocorre no GitHub, onde as contas são comprometidas para forçar o envio de commits maliciosos.

Em seguida, pacotes e extensões maliciosos são publicados no npm e no VSCode/OpenVSX, apresentando código ofuscado (caracteres Unicode invisíveis) para evitar a detecção.

Em todas as plataformas, a blockchain Solana é consultada a cada cinco segundos em busca de novas instruções. De acordo com a Step Security, entre 27 de novembro de 2025 e 13 de março de 2026, houve 50 novas transações, a maioria para atualizar o URL do payload.

As instruções estavam incorporadas como memorandos nas transações e levavam ao download do ambiente de execução do Node.js e à execução de um programa de roubo de informações baseado em JavaScript. 

O malware tem como alvo dados de carteiras de criptomoedas, credenciais e tokens de acesso, chaves SSH e dados do ambiente de desenvolvimento.

A análise dos comentários no código indica que o GlassWorm é orquestrado por agentes de ameaças que falam russo. Além disso, o malware ignora a execução se o idioma russo for encontrado no sistema. No entanto, esses dados são insuficientes para uma atribuição precisa.

A Step Security recomenda que os desenvolvedores que instalam pacotes Python diretamente do GitHub ou executam repositórios clonados verifiquem se há sinais de comprometimento, procurando em seu código-fonte pela variável marcadora “lzcdrtfxyqiplpd”, um indicador do malware GlassWorm.

Eles também recomendam inspecionar os sistemas em busca da presença do arquivo ~/init.json , usado para persistência, bem como instalações inesperadas do Node.js no diretório home (por exemplo, ~/node-v22*).

Além disso, os desenvolvedores devem procurar arquivos 
i.js suspeitos em projetos clonados recentemente e revisar os históricos de commits do Git em busca de anomalias, como commits em que a data do committer é significativamente mais recente do que a data do autor original.

A falha CVE-2026-20643 permite que conteúdo malicioso da web ignore a política de mesma origem do navegador.

A Apple afirma que a falha era um problema de origem cruzada na API de Navegação, que foi resolvido com uma validação de entrada aprimorada.

ulnerabilidade foi descoberta pelo pesquisador de segurança Thomas Espach, e a nova atualização está disponível para iOS 26.3.1, iPadOS 26.3.1, macOS 26.3.1 e macOS 26.3.2.

Esta versão marca a primeira vez que a Apple implementa uma correção de segurança através do seu novo recurso de Melhorias de Segurança em Segundo Plano, que é utilizado para distribuir pequenas correções fora do ciclo normal de atualizações de segurança.

“As melhorias de segurança em segundo plano fornecem atualizações de segurança mais leves para componentes como o navegador Safari, a pilha de estrutura WebKit e outras bibliotecas do sistema que se beneficiam de correções de segurança menores e contínuas entre as atualizações de software”, explica a Apple .

“Em casos raros de problemas de compatibilidade, as Melhorias de Segurança em Segundo Plano podem ser removidas temporariamente e aprimoradas em uma atualização de software subsequente.”

No passado, as atualizações de segurança da Apple exigiam que os usuários instalassem uma nova versão do sistema operacional e reiniciassem o dispositivo. No entanto, com as Melhorias de Segurança em Segundo Plano, a Apple agora pode fornecer pequenas atualizações que são aplicadas a componentes específicos em segundo plano.

A Apple adicionou o recurso no iOS 26.1, iPadOS 26.1 e macOS 26.1, afirmando que ele seria usado para corrigir rapidamente falhas de segurança entre as versões.

Os usuários podem acessar o recurso por meio das configurações do dispositivo, no menu Privacidade e Segurança.

• No iPhone e iPad: Acesse Ajustes e toque em Privacidade e Segurança.
• No Mac: No menu Apple, escolha Ajustes do Sistema. Em seguida, clique em Privacidade e Segurança.

A Apple alerta que desinstalar uma atualização de Melhorias de Segurança em Segundo Plano remove todos os patches de segurança aplicados anteriormente, revertendo o dispositivo para a versão original do sistema operacional (como o iOS 26.3.1) sem nenhuma das correções de segurança adicionais.

Isso remove efetivamente as proteções de segurança de resposta rápida fornecidas por meio desse recurso, deixando os dispositivos no nível de segurança básico até que as atualizações sejam reaplicadas ou incluídas em uma futura atualização completa.

Portanto, a menos que uma melhoria básica de segurança cause algum problema no seu dispositivo, é altamente recomendável que ela não seja desinstalada.

Os dispositivos Bluetooth não aparecerão nas Configurações do Windows nem nas Configurações Rápidas, mesmo que estejam funcionando corretamente e conectados aos sistemas afetados.

Esse bug também pode impedir que alguns usuários adicionem novos dispositivos Bluetooth, pois os dispositivos disponíveis não aparecerão na lista de conexões.

A atualização KB5084897 fora de banda (OOB) foi lançada na segunda-feira para sistemas que executam as versões 25H2 e 24H2 do Windows 11 e será instalada automaticamente sem a necessidade de reinicialização.

“A Microsoft identificou um problema que afeta as edições Enterprise do Windows com hotpatch ativado, no qual os dispositivos Bluetooth podem não aparecer na página Bluetooth e dispositivos nas Configurações do Windows ou nas Configurações Rápidas, mesmo que os dispositivos estejam conectados e funcionando conforme o esperado”, explicou a Microsoft .

Além disso, os usuários podem não conseguir adicionar dispositivos Bluetooth porque os dispositivos disponíveis não aparecem na lista de conexões.

Esta atualização cumulativa OOB inclui todas as melhorias e correções de segurança que foram lançadas com as atualizações de hotpatch do Windows de março de 2026 e não será instalada em dispositivos corporativos que recebem atualizações padrão do Windows.

Na sexta-feira, a Microsoft lançou mais uma atualização de segurança OOB para o Windows 11 Enterprise (KB5084597) para corrigir três vulnerabilidades de alta gravidade na ferramenta de gerenciamento do Serviço de Roteamento e Acesso Remoto do Windows (RRAS), que poderiam permitir que invasores executassem código malicioso remotamente ao se conectarem a um servidor malicioso.

“Um invasor autenticado no domínio poderia explorar essa vulnerabilidade enganando um usuário ingressado no domínio para que enviasse uma solicitação a um servidor malicioso por meio do snap-in do Serviço de Roteamento e Acesso Remoto (RRAS)”, observou a empresa em comunicados divulgados na semana passada.

“Este problema aplica-se apenas a um conjunto limitado de cenários envolvendo dispositivos de clientes corporativos que executam atualizações de hotpatch e são usados ​​para gerenciamento remoto de servidores.”

Conforme explica a Microsoft, as atualizações de hotpatch aplicam correções de vulnerabilidades executando patches na memória dos processos em execução e atualizando arquivos no disco, garantindo que as correções permaneçam em vigor após a reinicialização do sistema.