Brésil

🗞️ Contexte Source : KrebsOnSecurity — Publié le 30 avril 2026. Un fichier archive exposé dans un répertoire ouvert en ligne a été transmis à KrebsOnSecurity par une source anonyme. Ce fichier contient des éléments compromettants impliquant Huge Networks, une société brésilienne fondée à Miami en 2014, spécialisée dans la protection DDoS pour opérateurs réseau. 🎯 Activité malveillante identifiée L’archive exposée révèle qu’un acteur malveillant basé au Brésil a : Maintenu un accès root à l’infrastructure de Huge Networks Construit un botnet DDoS puissant en scannant massivement Internet à la recherche de routeurs TP-Link Archer AX21 vulnérables à CVE-2023-1389 (injection de commande non authentifiée, patchée en avril 2023) Utilisé des serveurs DNS mal configurés pour des attaques par réflexion/amplification DNS (facteur d’amplification x60-70) Ciblé exclusivement des plages d’adresses IP brésiliennes (FAI régionaux) Coordonné les scans depuis un serveur Digital Ocean signalé des centaines de fois pour activité abusive Utilisé les clés SSH privées du CEO Erick Nascimento dans les scripts d’attaque Python 🛠️ Détails techniques Malware : variante de Mirai (IoT botnet) Vulnérabilité exploitée : CVE-2023-1389 sur routeurs TP-Link Archer AX21 Domaines C2 identifiés : hikylover[.]st, c.loyaltyservices[.]lol Scripts : programmes Python en langue portugaise, incluant historique de commandes et clés SSH Méthode d’attaque : chaque préfixe IP ciblé attaqué 10-60 secondes avec 4 processus parallèles par hôte Technique DDoS : amplification DNS via serveurs récursifs ouverts 👤 Position du CEO Erick Nascimento (CEO de Huge Networks) nie toute implication directe. Il attribue l’activité à une intrusion détectée le 11 janvier 2026 ayant compromis deux serveurs de développement et ses clés SSH personnelles via un serveur bastion/jump server. Il affirme avoir détruit le droplet compromis et rotation des clés le jour même. Une firme tierce de forensics réseau a été mandatée. Il affirme détenir des preuves blockchain impliquant un concurrent. ...

🔍 Contexte Publié le 21 avril 2026 par ESET Research (Lukas Stefanko), cet article présente la découverte d’une nouvelle variante du malware NGate ciblant des utilisateurs Android au Brésil, active depuis novembre 2025. 🦠 Description du malware Les attaquants ont trojanisé l’application légitime HandyPay (disponible sur Google Play depuis 2021), qui permet nativement de relayer des données NFC entre appareils. Le code malveillant injecté présente des signes d’avoir été généré par GenAI/LLM (présence d’emojis dans les logs, typiques des textes générés par IA). ...

Source: Trend Micro — Dans le contexte d’une vague d’attaques au Brésil exploitant WhatsApp, Trend Micro décrit une campagne Water Saci combinant ingénierie sociale, chaîne d’infection multi‑étapes et automatisation pour livrer un trojan bancaire. La chaîne débute par des pièces jointes malveillantes envoyées depuis des contacts de confiance sur WhatsApp (ZIP, PDF, et surtout HTA déclenchant immédiatement un VBScript obfusqué). Le script crée un batch (C:\temp\instalar.bat) qui récupère un MSI contenant un chargeur AutoIt (DaXGkoD7.exe + Ons7rxGC.log). Le code vérifie parfois la langue Windows (0416, pt-BR), inventorie les dossiers/URL bancaires, détecte des antivirus, puis décrypte un payload via un RC4‑like custom (seed 1000) et décompresse avec LZNT1 (RtlDecompressFragment). Le trojan est injecté par process hollowing dans svchost.exe, avec persistance via Run et ré‑injections conditionnées à l’ouverture de fenêtres bancaires. ...

Selon GBHackers Security, le Socket Threat Research Team a mis au jour une nouvelle vague de « spamware » visant les utilisateurs de WhatsApp Web, avec 131 extensions Chrome malveillantes actives sur le Chrome Web Store. ⚠️ 131 extensions Chrome malveillantes ciblent les utilisateurs de WhatsApp Web Des chercheurs de l’équipe Socket Threat Research ont découvert 131 extensions Chrome malveillantes sur le Chrome Web Store, utilisées pour automatiser des campagnes de spam à grande échelle visant principalement les utilisateurs de WhatsApp Web au Brésil. Ces extensions, bien qu’elles ne diffusent pas de malware classique, agissent comme des outils d’automatisation à haut risque, violant les politiques de Google et de WhatsApp. ...

Selon Socket (Socket.dev), l’équipe Socket Threat Research Team a mis au jour une campagne coordonnée opérant depuis au moins neuf mois et distribuant 131 clones rebrandés d’une extension d’automatisation pour WhatsApp Web via le Chrome Web Store, visant des utilisateurs brésiliens. • Nature de la menace: un cluster de spamware permettant l’automatisation d’envois massifs de messages sur WhatsApp Web, en violation des politiques du Chrome Web Store et de WhatsApp. La campagne opère sur un modèle de revente/franchise, avec des variantes différenciées par noms, logos et pages d’atterrissage, mais partageant le même code et la même infrastructure. 🚨 ...

Selon la Polícia Federal (Brésil), une opération nommée Decrypt a été déclenchée vendredi 17/10 pour enquêter sur des attaques ransomware menées par une organisation criminelle transnationale. 🚓 L’opération comprend l’exécution de deux mandats de perquisition et saisie dans l’État de Minas Gerais et un mandat de perquisition ainsi qu’**un mandat d’**arrestation temporaire dans l’État de São Paulo. 🔐 L’enquête vise à éclaircir la participation d’un citoyen brésilien au sein d’un groupe spécialisé dans les attaques de type ransomware — une intrusion des systèmes, chiffrement des données, puis exigence de rançon, généralement en cryptomonnaies, pour la libération des informations. ...

Selon Securelist (Kaspersky), des chercheurs ont mis au jour « Maverick », un trojan bancaire sophistiqué diffusé via WhatsApp au Brésil. En octobre (10 premiers jours), la campagne a été suffisamment active pour que 62 000 tentatives d’infection soient bloquées. Le malware s’appuie sur une chaîne d’infection entièrement fileless et se propage en détournant des comptes WhatsApp grâce à WPPConnect. La campagne utilise des archives ZIP contenant des fichiers LNK malveillants comme vecteur initial. Ces LNK exécutent des scripts PowerShell obfusqués avec une validation de User-Agent personnalisée. La charge est traitée en plusieurs étapes: payloads chiffrés par XOR (clé stockée en fin de fichier), emballés en shellcode Donut, et exécutés via .NET et PowerShell. Le code présente des recoupements significatifs avec le trojan bancaire Coyote et inclut des éléments de développement assisté par IA. ...

Source: Sophos News — Secureworks Counter Threat Unit enquête sur une campagne active depuis le 29 septembre 2025 visant des utilisateurs WhatsApp au Brésil 🇧🇷. L’opération mêle ingénierie sociale, auto‑propagation via WhatsApp Web et livraison de trojans bancaires avec des similarités techniques aux opérations Coyote. Plus de 400 environnements clients et >1 000 endpoints sont concernés. Le vecteur initial repose sur un fichier LNK malveillant contenu dans une archive ZIP, reçu depuis des contacts WhatsApp compromis. À l’exécution, des commandes PowerShell obfusquées sont lancées, récupérant un second étage depuis des C2 qui désactivent Windows Defender et l’UAC 🧩. ...

Selon Trend Micro Research, une campagne agressive de malware baptisée SORVEPOTEL exploite WhatsApp comme vecteur principal d’infection et touche surtout des organisations au Brésil. Le malware se diffuse via des archives ZIP piégées déguisées en documents légitimes envoyées sur WhatsApp (et potentiellement par email). Une fois ouvertes, des fichiers LNK malveillants déclenchent des commandes PowerShell obfusquées (fenêtre cachée et payload Base64) qui téléchargent des scripts depuis une infrastructure d’attaque dédiée. SORVEPOTEL établit une persistance sur Windows et détourne les sessions WhatsApp Web actives pour envoyer automatiquement le ZIP malveillant à tous les contacts et groupes, entraînant une propagation rapide et des bannissements fréquents de comptes. ...

Selon StrikeReady (blog), une campagne de spearphishing a exploité un 0‑day dans Zimbra Collaboration Suite, CVE-2025-27915, via un fichier calendrier .ICS contenant du JavaScript, envoyé depuis une adresse usurpant le Bureau du Protocole de la Marine libyenne et visant l’armée brésilienne. Les auteurs soulignent que l’exploitation directe, par email, de suites collaboratives open source (Zimbra, Roundcube) demeure rare. 🗓️ Point d’entrée et détection: l’équipe a repéré l’attaque en surveillant les fichiers ICS de plus de 10 Ko contenant du JavaScript, un signal suffisamment rare pour permettre une revue manuelle. Le message provenait de l’IP 193.29.58.37 et contenait une pièce jointe .ICS malveillante déclenchant du JS côté webmail Zimbra. ...