6 publicações marcadas com esta tag.
TxBench é um novo benchmark que reúne 1.012 transações de ataque confirmadas por evidência, extraídas de 602 incidentes reais em sete blockchains compatíveis com EVM, totalizando US$ 868,1 milhões em valor extraído. O trabalho expõe que LLMs usados como detectores de fraude identificam no máximo 43% dos ataques e nenhum comprometimento de chave privada.
Fonte ↗Pesquisadores apresentam o CyberClear, um benchmark que avalia se agentes baseados em LLM conseguem reconstruir campanhas completas de APT a partir de logs de segurança extensos, gerando grafos de proveniência com entidades, relações causais, técnicas MITRE ATT&CK e evidências forenses. Os sistemas multiagente mais avançados ainda erram bastante na tarefa, o que motivou a proposta de um harness complementar, o CyberProvenance, focado em acumulação de evidências e validação por execução.
Fonte ↗Diário do SANS ISC detalha uma cadeia de infecção que começa com um e-mail falso de banco e um RAR malicioso, passa por scripts VBS/PowerShell ofuscados e termina com um script AutoIT injetando shellcode no processo legítimo charmap.exe para executar o keylogger VIPKeylogger. A análise expõe cada camada de ofuscação e as chamadas de API usadas na injeção.
Fonte ↗O grupo iraniano MuddyWater foi flagrado usando um backdoor inédito, batizado de UDPGangster, contra alvos na Turquia, Israel e Azerbaijão, com canal de comando e controle operando sobre UDP para escapar de defesas de rede tradicionais. A campanha usa documentos Word com macro maliciosa disfarçados de convite oficial de um ministério e uma imagem-isca em hebraico sobre cortes de telefonia em Israel. O malware ainda faz uma bateria extensa de checagens anti-sandbox e anti-VM antes de se instalar.
Fonte ↗O DFIR Report, em parceria com a Proofpoint, documentou desde maio de 2025 uma campanha ligada ao Interlock que compromete sites legítimos para exibir um falso CAPTCHA e induzir a vítima a colar e executar um comando PowerShell (padrão FileFix/ClickFix). A partir de junho de 2025 os autores identificaram uma nova variante do RAT Interlock reescrita em PHP, abandonando a base anterior em JavaScript (NodeSnake), com canal de comando e controle escondido atrás de túneis Cloudflare. O relatório traz a cadeia de execução completa, TTPs mapeados no MITRE ATT&CK e indicadores de comprometimento.
Fonte ↗O DFIR Report reconstruiu uma intrusão iniciada em novembro de 2024 por password spray contra um servidor RDP exposto à internet, que evoluiu ao longo de seis dias até a implantação do ransomware RansomHub. O invasor combinou Mimikatz, ferramentas de varredura de rede, software de RMM legítimo (Atera, Splashtop) e Rclone para exfiltrar cerca de 2 GB de dados antes de encriptar o ambiente. O relatório detalha cada fase da cadeia de ataque com IOCs e mapeamento MITRE ATT&CK.
Fonte ↗