Brésil

🔍 Contexte Cet article de recherche publié le 26 octobre 2026 par l’équipe Sansec Forensics documente une attaque de type supply chain ciblant la plateforme e-commerce brésilienne Convertr, opérateur de boutiques en ligne pour des dizaines de marques de mode brésiliennes représentant plus de R$2 milliards de transactions. 🎯 Vecteur d’attaque L’attaquant a modifié le script tracker Plausible Analytics hébergé sur le serveur propre de Convertr (analytics.convertr.app.br). Le vecteur d’entrée suspecté est CVE-2026-8467, une vulnérabilité critique dans Plausible Community Edition versions 3.0.0 à 3.2.0, permettant l’exécution de commandes à distance via un composant exposé sans authentification à /storybook. Convertr utilisait la version 3.0 installée en 2025, jamais mise à jour malgré le correctif disponible depuis mai 2026. ...

🔍 Contexte Publié le 25 août 2026 par Amnesty International, ce rapport présente les résultats d’une expérience menée par l’organisation pour tester la robustesse des systèmes de modération publicitaire de Meta/Facebook à l’approche de l’élection présidentielle brésilienne du 4 octobre 2026. 🧪 Méthodologie de l’expérience Amnesty International a soumis 15 publicités en portugais brésilien à Facebook, ciblant la population brésilienne en âge de voter : 14 publicités contenaient de la désinformation électorale 1 publicité neutre sans désinformation (utilisée comme contrôle) Les publicités ont été soumises depuis Londres, sans VPN, depuis un compte non vérifié Aucune publicité n’a été mise en ligne, les chercheurs ayant annulé les publications acceptées Les publicités couvraient trois catégories tactiques : ...

📌 Contexte : Le 14 septembre 2026, Elastic Security Labs publie une analyse technique approfondie de REF9334, une opération de malware bancaire brésilien active depuis mai 2025. Le toolkit est nommé KREMLIN par son auteur (Kr3mlin4rt1st), sans lien avec la Russie. Sept campagnes ont été documentées sur 15 mois. 🎯 Ciblage : Les leurres imitent douze banques brésiliennes (Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander, Mercado Pago). Les fichiers JavaScript utilisent des noms en portugais (COMPROVANTE, Extrato, PIX, etc.). 98,75% des 1 515 infections confirmées proviennent du Brésil. ...

🔍 Contexte Publié le 17 juin 2026 par Zscaler ThreatLabz (chercheurs Shruti Dixit et Manisha Ramcharan Prajapati), cet article documente une campagne ClickFix observée en mars 2026 utilisant des sites web générés par IA pour distribuer un nouveau RAT bancaire nommé SmartRAT. Trend Micro a également analysé ce malware sous le nom Banana RAT avec un vecteur d’attaque différent. 🎯 Vecteur d’infection Les acteurs malveillants ont enregistré le domaine typosquatté cartaobb[.]com imitant le domaine légitime cartaobrb[.]com[.]br d’une banque brésilienne populaire. La page frauduleuse, vraisemblablement générée par un outil de création de sites web IA, présente : ...

📅 Source : Gen Digital Blog (gendigital.com), publié le 10 juin 2026, par Vojtěch Krejsa, Threat Researcher at Gen. Contexte GoFlateLoader est un loader écrit en Go (Golang), suivi activement par Gen Threat Labs depuis début avril 2026. Malgré une conception technique simple, il est largement distribué : plus de 33 000 utilisateurs uniques ont été protégés depuis avril 2026, principalement au Brésil, Inde, Argentine, Mexique, Turquie et Espagne. Mécanisme technique Le loader réalise un chargement manuel de PE en mémoire selon le flux suivant : ...

🗞️ Contexte Source : KrebsOnSecurity — Publié le 30 avril 2026. Un fichier archive exposé dans un répertoire ouvert en ligne a été transmis à KrebsOnSecurity par une source anonyme. Ce fichier contient des éléments compromettants impliquant Huge Networks, une société brésilienne fondée à Miami en 2014, spécialisée dans la protection DDoS pour opérateurs réseau. 🎯 Activité malveillante identifiée L’archive exposée révèle qu’un acteur malveillant basé au Brésil a : Maintenu un accès root à l’infrastructure de Huge Networks Construit un botnet DDoS puissant en scannant massivement Internet à la recherche de routeurs TP-Link Archer AX21 vulnérables à CVE-2023-1389 (injection de commande non authentifiée, patchée en avril 2023) Utilisé des serveurs DNS mal configurés pour des attaques par réflexion/amplification DNS (facteur d’amplification x60-70) Ciblé exclusivement des plages d’adresses IP brésiliennes (FAI régionaux) Coordonné les scans depuis un serveur Digital Ocean signalé des centaines de fois pour activité abusive Utilisé les clés SSH privées du CEO Erick Nascimento dans les scripts d’attaque Python 🛠️ Détails techniques Malware : variante de Mirai (IoT botnet) Vulnérabilité exploitée : CVE-2023-1389 sur routeurs TP-Link Archer AX21 Domaines C2 identifiés : hikylover[.]st, c.loyaltyservices[.]lol Scripts : programmes Python en langue portugaise, incluant historique de commandes et clés SSH Méthode d’attaque : chaque préfixe IP ciblé attaqué 10-60 secondes avec 4 processus parallèles par hôte Technique DDoS : amplification DNS via serveurs récursifs ouverts 👤 Position du CEO Erick Nascimento (CEO de Huge Networks) nie toute implication directe. Il attribue l’activité à une intrusion détectée le 11 janvier 2026 ayant compromis deux serveurs de développement et ses clés SSH personnelles via un serveur bastion/jump server. Il affirme avoir détruit le droplet compromis et rotation des clés le jour même. Une firme tierce de forensics réseau a été mandatée. Il affirme détenir des preuves blockchain impliquant un concurrent. ...

🔍 Contexte Publié le 21 avril 2026 par ESET Research (Lukas Stefanko), cet article présente la découverte d’une nouvelle variante du malware NGate ciblant des utilisateurs Android au Brésil, active depuis novembre 2025. 🦠 Description du malware Les attaquants ont trojanisé l’application légitime HandyPay (disponible sur Google Play depuis 2021), qui permet nativement de relayer des données NFC entre appareils. Le code malveillant injecté présente des signes d’avoir été généré par GenAI/LLM (présence d’emojis dans les logs, typiques des textes générés par IA). ...

Source: Trend Micro — Dans le contexte d’une vague d’attaques au Brésil exploitant WhatsApp, Trend Micro décrit une campagne Water Saci combinant ingénierie sociale, chaîne d’infection multi‑étapes et automatisation pour livrer un trojan bancaire. La chaîne débute par des pièces jointes malveillantes envoyées depuis des contacts de confiance sur WhatsApp (ZIP, PDF, et surtout HTA déclenchant immédiatement un VBScript obfusqué). Le script crée un batch (C:\temp\instalar.bat) qui récupère un MSI contenant un chargeur AutoIt (DaXGkoD7.exe + Ons7rxGC.log). Le code vérifie parfois la langue Windows (0416, pt-BR), inventorie les dossiers/URL bancaires, détecte des antivirus, puis décrypte un payload via un RC4‑like custom (seed 1000) et décompresse avec LZNT1 (RtlDecompressFragment). Le trojan est injecté par process hollowing dans svchost.exe, avec persistance via Run et ré‑injections conditionnées à l’ouverture de fenêtres bancaires. ...

Selon GBHackers Security, le Socket Threat Research Team a mis au jour une nouvelle vague de « spamware » visant les utilisateurs de WhatsApp Web, avec 131 extensions Chrome malveillantes actives sur le Chrome Web Store. ⚠️ 131 extensions Chrome malveillantes ciblent les utilisateurs de WhatsApp Web Des chercheurs de l’équipe Socket Threat Research ont découvert 131 extensions Chrome malveillantes sur le Chrome Web Store, utilisées pour automatiser des campagnes de spam à grande échelle visant principalement les utilisateurs de WhatsApp Web au Brésil. Ces extensions, bien qu’elles ne diffusent pas de malware classique, agissent comme des outils d’automatisation à haut risque, violant les politiques de Google et de WhatsApp. ...

Selon Socket (Socket.dev), l’équipe Socket Threat Research Team a mis au jour une campagne coordonnée opérant depuis au moins neuf mois et distribuant 131 clones rebrandés d’une extension d’automatisation pour WhatsApp Web via le Chrome Web Store, visant des utilisateurs brésiliens. • Nature de la menace: un cluster de spamware permettant l’automatisation d’envois massifs de messages sur WhatsApp Web, en violation des politiques du Chrome Web Store et de WhatsApp. La campagne opère sur un modèle de revente/franchise, avec des variantes différenciées par noms, logos et pages d’atterrissage, mais partageant le même code et la même infrastructure. 🚨 ...