Brésil

Selon GBHackers Security, le Socket Threat Research Team a mis au jour une nouvelle vague de « spamware » visant les utilisateurs de WhatsApp Web, avec 131 extensions Chrome malveillantes actives sur le Chrome Web Store. ⚠️ 131 extensions Chrome malveillantes ciblent les utilisateurs de WhatsApp Web Des chercheurs de l’équipe Socket Threat Research ont découvert 131 extensions Chrome malveillantes sur le Chrome Web Store, utilisées pour automatiser des campagnes de spam à grande échelle visant principalement les utilisateurs de WhatsApp Web au Brésil. Ces extensions, bien qu’elles ne diffusent pas de malware classique, agissent comme des outils d’automatisation à haut risque, violant les politiques de Google et de WhatsApp. ...

Selon Socket (Socket.dev), l’équipe Socket Threat Research Team a mis au jour une campagne coordonnée opérant depuis au moins neuf mois et distribuant 131 clones rebrandés d’une extension d’automatisation pour WhatsApp Web via le Chrome Web Store, visant des utilisateurs brésiliens. • Nature de la menace: un cluster de spamware permettant l’automatisation d’envois massifs de messages sur WhatsApp Web, en violation des politiques du Chrome Web Store et de WhatsApp. La campagne opère sur un modèle de revente/franchise, avec des variantes différenciées par noms, logos et pages d’atterrissage, mais partageant le même code et la même infrastructure. 🚨 ...

Selon la Polícia Federal (Brésil), une opération nommée Decrypt a été déclenchée vendredi 17/10 pour enquêter sur des attaques ransomware menées par une organisation criminelle transnationale. 🚓 L’opération comprend l’exécution de deux mandats de perquisition et saisie dans l’État de Minas Gerais et un mandat de perquisition ainsi qu’**un mandat d’**arrestation temporaire dans l’État de São Paulo. 🔐 L’enquête vise à éclaircir la participation d’un citoyen brésilien au sein d’un groupe spécialisé dans les attaques de type ransomware — une intrusion des systèmes, chiffrement des données, puis exigence de rançon, généralement en cryptomonnaies, pour la libération des informations. ...

Selon Securelist (Kaspersky), des chercheurs ont mis au jour « Maverick », un trojan bancaire sophistiqué diffusé via WhatsApp au Brésil. En octobre (10 premiers jours), la campagne a été suffisamment active pour que 62 000 tentatives d’infection soient bloquées. Le malware s’appuie sur une chaîne d’infection entièrement fileless et se propage en détournant des comptes WhatsApp grâce à WPPConnect. La campagne utilise des archives ZIP contenant des fichiers LNK malveillants comme vecteur initial. Ces LNK exécutent des scripts PowerShell obfusqués avec une validation de User-Agent personnalisée. La charge est traitée en plusieurs étapes: payloads chiffrés par XOR (clé stockée en fin de fichier), emballés en shellcode Donut, et exécutés via .NET et PowerShell. Le code présente des recoupements significatifs avec le trojan bancaire Coyote et inclut des éléments de développement assisté par IA. ...

Source: Sophos News — Secureworks Counter Threat Unit enquête sur une campagne active depuis le 29 septembre 2025 visant des utilisateurs WhatsApp au Brésil 🇧🇷. L’opération mêle ingénierie sociale, auto‑propagation via WhatsApp Web et livraison de trojans bancaires avec des similarités techniques aux opérations Coyote. Plus de 400 environnements clients et >1 000 endpoints sont concernés. Le vecteur initial repose sur un fichier LNK malveillant contenu dans une archive ZIP, reçu depuis des contacts WhatsApp compromis. À l’exécution, des commandes PowerShell obfusquées sont lancées, récupérant un second étage depuis des C2 qui désactivent Windows Defender et l’UAC 🧩. ...

Selon Trend Micro Research, une campagne agressive de malware baptisée SORVEPOTEL exploite WhatsApp comme vecteur principal d’infection et touche surtout des organisations au Brésil. Le malware se diffuse via des archives ZIP piégées déguisées en documents légitimes envoyées sur WhatsApp (et potentiellement par email). Une fois ouvertes, des fichiers LNK malveillants déclenchent des commandes PowerShell obfusquées (fenêtre cachée et payload Base64) qui téléchargent des scripts depuis une infrastructure d’attaque dédiée. SORVEPOTEL établit une persistance sur Windows et détourne les sessions WhatsApp Web actives pour envoyer automatiquement le ZIP malveillant à tous les contacts et groupes, entraînant une propagation rapide et des bannissements fréquents de comptes. ...

Selon StrikeReady (blog), une campagne de spearphishing a exploité un 0‑day dans Zimbra Collaboration Suite, CVE-2025-27915, via un fichier calendrier .ICS contenant du JavaScript, envoyé depuis une adresse usurpant le Bureau du Protocole de la Marine libyenne et visant l’armée brésilienne. Les auteurs soulignent que l’exploitation directe, par email, de suites collaboratives open source (Zimbra, Roundcube) demeure rare. 🗓️ Point d’entrée et détection: l’équipe a repéré l’attaque en surveillant les fichiers ICS de plus de 10 Ko contenant du JavaScript, un signal suffisamment rare pour permettre une revue manuelle. Le message provenait de l’IP 193.29.58.37 et contenait une pièce jointe .ICS malveillante déclenchant du JS côté webmail Zimbra. ...

Selon ThreatFabric, « PhantomCard » est un nouveau Trojan Android de relais NFC ciblant les clients bancaires au Brésil, dans la continuité de NFSkate/NGate (03/2024) et Ghost Tap, avec un intérêt cybercriminel croissant pour ce vecteur. L’outil, opéré sous modèle Malware-as-a-Service (MaaS), pourrait s’étendre à d’autres régions. Dans la campagne observée, PhantomCard se fait passer pour l’application « Proteção Cartões » sur de fausses pages Google Play avec de faux avis positifs. Une fois installé, il ne requiert pas d’autorisations supplémentaires, demande à la victime de taper sa carte au dos du téléphone, affiche « carte détectée », puis transmet les données via un serveur de relais NFC. L’application sollicite ensuite le code PIN (4 ou 6 chiffres) afin d’authentifier les transactions. Le dispositif établit ainsi un canal temps réel entre la carte physique de la victime et un terminal de paiement/ATM auprès du fraudeur, démontré par une vidéo partagée sur Telegram. ...

Selon une publication d’Akamai, une nouvelle variante du malware Coyote a été découverte, exploitant pour la première fois le framework UI Automation (UIA) de Microsoft de manière malveillante. Ce malware cible principalement les utilisateurs brésiliens, s’attaquant à leurs informations bancaires et à celles de 75 institutions financières et plateformes d’échange de cryptomonnaies. Il utilise le framework UIA pour extraire des identifiants de connexion. Le malware Coyote a été initialement découvert en février 2024 et a depuis causé des dégâts significatifs en Amérique latine. Il utilise des techniques telles que le keylogging et les phishing overlays pour voler des informations sensibles. ...

L’article de TV Globo relate l’arrestation d’un homme à São Paulo, impliqué dans une attaque de phishing par SMS utilisant un véhicule spécialement équipé avec un système SMS Blaster. Everton Oliveira, âgé de 22 ans, a été arrêté pour avoir conduit un véhicule équipé d’un ordinateur et d’une antenne qui envoyaient des SMS frauduleux à des passants dans des embouteillages. Ces messages imitaient des notifications de banques nationales, incitant les victimes à cliquer sur un lien et à fournir leurs informations bancaires. ...