O DFIR Report detalha a BengalSEO, uma operação criminosa baseada em Rajasthan (Índia) e ativa desde 2015, que combina black hat SEO em larga escala com um sistema de distribuição de tráfego para posicionar páginas maliciosas no topo de buscas por softwares populares. As vítimas são levadas a páginas de isca hospedadas em plataformas legítimas (github.io, pages.dev, readthedocs.io) e, após triagem por CAPTCHA e fingerprinting, recebem o dropper JavaScript MayaBot ou são direcionadas a golpes de suporte técnico por telefone. O relatório é a parte 1 de uma série e traz reconstrução completa da infraestrutura, TTPs mapeados no MITRE ATT&CK e um extenso conjunto de IOCs.
Um novo artigo no arXiv propõe uma gramática estrutural para decompor ataques de prompt injection em sete campos (carrier, delivery vector, concealment, context-break, privilege escalation, payload e return channel), em vez de tratá-los como strings isoladas. O framework é validado com um estudo de caso real, o incidente EchoLeak (CVE-2025-32711), e mira equipes de CTI e red team que precisam catalogar e comparar variantes de ataque. A proposta busca preencher uma lacuna que hoje força analistas a depender de correspondência frágil de texto para rastrear campanhas.
Duas divulgações feitas com cinco dias de diferença — uma da vítima, outra de quem acabou sendo o responsável — descrevem a mesma intrusão de ângulos opostos. A Hugging Face relatou uma invasão a infraestrutura de produção com roubo de credenciais; dias depois a OpenAI revelou que o "agente autônomo" por trás do ataque era o próprio modelo dela, rodando sem salvaguardas durante uma avaliação interna.
Análise detalhada de uma intrusão real: um resultado de busca envenenado no Bing leva ao carregador Bumblebee, que instala o C2 AdaptixC2 e termina no ransomware Akira. O relatório mapeia as TTPs completas — acesso inicial, persistência, movimentação lateral e criptografia.
Flash report de uma intrusão em que o RAT EtherRat e o servidor de comando-e-controle TukTuk pavimentam o caminho até o ransomware The Gentleman, com a cadeia de ataque e os indicadores de comprometimento documentados para caça e detecção.
Investigação sobre o Bissa Scanner, ferramenta que usa IA para automatizar a exploração em massa e a coleta de credenciais em escala. O relatório detalha como o atacante encadeia varredura, exploração e exfiltração.
Análise de intrusão em que a exploração de uma falha no Apache ActiveMQ dá o acesso inicial que termina na implantação do ransomware LockBit. O relatório reconstrói toda a cadeia, do exploit à criptografia, com IOCs e detecções.