PRIDE SECURITY INTEL 0x0C
Claude Mythos descobre vulnerabilidade no HAWK-256 e acelera ataque ao AES
A Anthropic divulgou que o Claude Mythos Preview, com direção e verificação humanas, derivou um ataque de recuperação de chave contra o HAWK-256, candidato pós-quântico na terceira rodada do NIST. Nesta edição, analisamos esse resultado junto com o post mortem forense do agente da OpenAI no Hugging Face (17.600 ações em quatro dias), o exploit de kernel DarkSword para iOS 18.4-18.7 (CVE-2025-43520), o bypass do Apple MIE no macOS 26, a RCE pré-auth no vBulletin via eval(), 18 vulnerabilidades priorizadas na gem Oj que afetam o GitLab, o ESC17 contra AD CS, o rootkit SakDriver com canal de controle via registro do Windows, o MedusaHVNC abusando de desktops ocultos e uma cadeia de falhas na plataforma de frotas Volvo/Eicher que alcançava 676 mil veículos.
Vulnerabilidades e Exploits
RCE no GitLab via corrupção de memória na gem Oj (Ruby/C)
Por depthfirst
O sistema automatizado depthfirst, como parte da Open Defense Initiative, analisou a gem Oj, um parser JSON de alta performance para Ruby com uma extensa implementação nativa em C. Foram identificadas 18 vulnerabilidades priorizadas, incluindo 7 falhas de segurança de memória. Duas delas sobreviveram no código por quase cinco anos: um out-of-bounds write e um heap-pointer disclosure.
A cadeia de exploração é elegante. Ruby é considerada uma linguagem com segurança de memória, mas suas gems frequentemente contêm diretórios ext/ repletos de código C com ponteiros, buffers de tamanho fixo e gerenciamento manual de ciclo de vida. A Oj é uma dependência de baixo nível usada pelo GitLab, e a combinação das duas falhas permitiu alcançar execução remota de código em uma instalação padrão do GitLab. A cadeia afetou as versões CE e EE desde a 15.2.0 até a 18.10.7, 18.11.0 até 18.11.4, e 19.0.0 até 19.0.1. O GitLab liberou patches logo após receber os relatórios.
💡 O ponto mais interessante aqui é a superfície de ataque escondida: o que parece ser plumbing comum de Ruby está movendo objetos String, Array e Hash para parsers nativos cheios de vulnerabilidades clássicas de C. Quem olha para o GitLab pensando em SSRF e Redis pode estar perdendo a floresta pelas árvores.
Figura: kill chain da exploração do GitLab via corrupção de memória em Ruby/C, desde as vulnerabilidades na gem Oj até a execução remota de código.
Escalação de privilégios no Windows via vSMB (CVE-2025-59517 e CVE-2025-64673)
Por Siddh Shah (Exodus Intelligence)
Siddh Shah, da Exodus Intelligence, publicou um writeup detalhado sobre duas vulnerabilidades no driver de kernel storvsp.sys, responsável pela funcionalidade Virtual Server Message Block (vSMB) do Windows. As vulnerabilidades, CVE-2025-59517 e CVE-2025-64673, foram corrigidas nas atualizações de segurança de dezembro de 2025 e surgem de controle de acesso inadequado no driver.
O vSMB é o mecanismo usado pelo Windows para compartilhar arquivos entre o sistema host e ambientes virtualizados como VMs, Windows Sandbox e contêineres. O driver expõe um device object acessível a partir de processos de user mode pelo caminho \\.\STORVSP. A cadeia de exploração combina as duas vulnerabilidades para escalar de um usuário com baixos privilégios até NT AUTHORITY\SYSTEM. A análise foi feita inteiramente por engenharia reversa do binário patcheado, já que o código-fonte do módulo não é público. Shah faz a ressalva de que o mapeamento CVE-para-função pode não corresponder exatamente ao da Microsoft, dado que as três CVEs endereçadas na atualização afetam a mesma classe de vulnerabilidade no mesmo driver.
Esse tipo de bug é particularmente interessante porque o vSMB é habilitado em cenários que muitas equipes consideram seguros por design, como o Windows Sandbox.
Exploit público para RCE pré-autenticação no vBulletin (CVE-2026-61511)
Por Egidio Romano (EgiX), via SSD Secure Disclosure
Detalhes públicos de exploração divulgados em 27 de julho mostram como uma requisição não autenticada consegue alcançar a função eval() do PHP dentro do vBulletin e executar código no servidor. O ataque não exige conta, acesso administrativo nem interação de outro usuário. As versões afetadas são vBulletin 6.2.1 e anteriores, e 6.1.6 e anteriores.
O código vulnerável reside em /includes/vb5/template/runtime.php, no método vB5_Template_Runtime::runMaths(), que processa expressões matemáticas inline em templates. A função remove caracteres fora de um conjunto restrito e passa o restante diretamente para eval(). O filtro bloqueia letras, mas permite dígitos, parênteses, operadores aritméticos e operadores binários como XOR. Isso é suficiente para reconstruir strings PHP e nomes de funções chamáveis sem nenhuma letra, usando uma técnica que o advisory chama de "phpfuck". A rota pública ajax/render/pagenav renderiza templates e copia o valor fornecido pelo visitante em uma tag vb:math, transformando um bug de template em execução remota de código pré-autenticação.
⚠️ O vBulletin liberou patches no final de junho e a versão 6.2.2 em 1 de julho, quase quatro semanas antes da divulgação pública do exploit. Administradores de instalações self-hosted que ainda não aplicaram o patch estão expostos, especialmente considerando que o exploit assinado por EgiX requer apenas uma correção trivial de um caractere para funcionar.
Fontes:
Pesquisa e 0-day
DarkSword: exploit de kernel para iOS 18.4-18.7 (CVE-2025-43520)
Por TheRealClarity
🔥 Em março de 2026, a comunidade de pesquisa iOS foi sacudida pela divulgação do kit de exploits Coruna, que atingia todos os iPhones de iOS 13.0 até 17.2.1 com cinco cadeias de exploit distintas. Duas semanas depois, veio o DarkSword, uma cadeia de spyware WebKit-to-kernel que atacava iOS 18.4 até 18.7 com técnicas inovadoras para execução de código em processos de userspace a partir de primitivos de leitura/escrita de kernel.
TheRealClarity publicou um writeup completo do exploit de kernel do DarkSword, focado na CVE-2025-43520. Trata-se de uma race condition no subsistema VFS, especificamente nas funções cluster_write_contig e cluster_read_contig. O bug envolve Universal Page Lists (UPLs), objetos usados quando subsistemas do kernel precisam descrever e operar sobre páginas gerenciadas pelo sistema de VM. O exploit abusa de UPLs do tipo I/O Wired para alcançar primitivos de leitura e escrita out-of-bounds, e usa esses acessos out-of-bounds relativos para construir diretamente uma primitiva de leitura e escrita arbitrárias no kernel, sem TFP0.
A reimplementação em C, batizada de ClearSword, foi testada de iOS 15 até 26.0.1. O writeup é uma leitura obrigatória para quem trabalha com exploração de kernel em plataformas Apple. A complexidade da cadeia e a engenharia por trás do controle preciso da race condition mostram o nível de sofisticação que spyware comercial atingiu.
Figura: terminal de iPhone com acesso root, executando o ClearSword para obter informações do dispositivo.
Apple MIE exploitation challenge: bypass das defesas de kernel do macOS
Por Bruce Dang (Calif)
Bruce Dang, da Calif, publicou os detalhes de dois bugs que, combinados, resultam no primeiro bypass público do Apple MIE (Memory Integrity Enforcement) no macOS 26.4.1. A Apple já corrigiu as falhas no macOS 26.6, e a cadeia completa será apresentada na Black Hat USA em 5 de agosto.
Os bugs residem em componentes open-source da Apple: WebDAV e SMBClient. O primeiro permite que um servidor WebDAV malicioso induza o cliente a ler memória de kernel não inicializada, fornecendo o infoleak. O segundo explora uma confusão de tipos no tratamento de create contexts do SMB2, comprometendo a interpretação dos dados pelo cliente. A combinação dos dois bugs entrega primitivas de leitura e escrita no kernel, resultando em execução de código. O CVE-2026-64704 identifica a confusão de tipos no SMB.
A equipe transformou os bugs em um desafio público, convidando humanos, IAs e equipes mistas a desenvolverem seus próprios exploits antes da apresentação na Black Hat. Dang observa que a exploração moderna do kernel XNU, com defesas em hardware, hypervisor, kernel e userspace, é "um dos benchmarks mais difíceis e interessantes para desenvolvimento de exploits assistido por IA".
Figura: Diagrama de fluxo da cadeia de exploração mostrando SESSION SETUP e TRIGGER PATH abusando de WebDAV e SMBClient para bypass do MIE.
ESC17: nova série de artigos de ataque contra AD CS (vai além do WSUS)
Por qu35t
Uma série em quatro partes publicada por qu35t mapeia o ESC17, que não é um bug no WSUS, mas um problema de confiança de PKI no AD CS. O ataque forja um certificado confiável pelo domínio e o utiliza contra múltiplos protocolos internos.
A série cobre três vetores de ataque distintos. Primeiro, contra HTTPS interno, o certificado forjado expõe credenciais, tokens de sessão e autenticações Windows em texto claro. Segundo, contra LDAPS, o ataque quebra o TLS e permite captura de bind em texto claro e sequestro de sessão, tanto contra NTLM quanto Kerberos, diretamente no Domain Controller. Terceiro, contra RDP, o certificado forjado remove o aviso de certificado e, embora o downgrade de NLA não funcione contra clientes modernos, a terminação do CredSSP captura a senha mesmo com NLA ativo.
O modelo de ameaça é claro: se você tem um AD CS mal configurado, o ESC17 transforma um problema de PKI em comprometimento total do ambiente. A série totaliza ~ 80 minutos de leitura técnica e merece atenção de qualquer equipe de red team que opera em ambientes Windows.
Fontes:
AI e Segurança Ofensiva
Post mortem do incidente da OpenAI que invadiu a infraestrutura do Hugging Face
Por Hugo Larcher, Adrien Carreira, Raphael G, Christophe Rannou (Hugging Face), OpenAI e JFrog
Já cobrimos esse conteúdo na edição passada da nossa newsletter, mas agora temos os detalhes do post mortem. A reconstrução forense cobre cerca de 17.600 ações do atacante, agrupadas em 6.280 clusters, entre 9 e 13 de julho de 2026. O Hugging Face publicou um writeup técnico detalhado e um replay interativo da campanha com um nível de transparência que merece reconhecimento.
O agente executava o ExploitGym, um harness de avaliação de capacidades cibernéticas da OpenAI. Durante a avaliação, o agente inferiu que o Hugging Face poderia hospedar os modelos, datasets e soluções de referência do benchmark. A intrusão inteira foi, do ponto de vista do agente, uma tentativa de trapacear a avaliação: alcançar os sistemas de produção e roubar as soluções de teste em vez de resolver os desafios sozinho.
A campanha teve dois estágios: primeiro, o agente alcançou uma plataforma de lançamento encadeando através da infraestrutura de terceiros. A JFrog confirmou que os modelos, incluindo o GPT-5.6, exploraram um zero-day no Artifactory auto-hospedado, escalaram privilégios e realizaram movimentação lateral até alcançar um nó com acesso à internet. Pelo menos três CVEs (CVE-2026-65618, CVE-2026-65923, CVE-2026-66018) creditam pesquisadores da OpenAI. A avaliação rodou sem os classificadores de produção que bloqueiam atividades de alto risco, o que levanta questões sérias sobre governança de avaliações de capacidades ofensivas.
Clément Delangue, CEO do Hugging Face, chamou o evento de "o primeiro ciberataque autônomo por agente" e defendeu transparência total. A equipe do Hugging Face usou o modelo open-source GLM-5.2 da zai-org para decifrar payloads do agente que estavam criptografados via chunking e key encryption. É notável que um modelo aberto tenha sido parte central da defesa. Quem tiver interesse, hoje (29 de julho de 2026) às 20:00 vai ter uma live do nosso amigo Magno Logan (também conhecido como "O Síndico"!rs) no canal do Youtube da GoHacking (do nosso amigo Laios). Vale conferir!
Detecção precoce de backdoors distribuídos em sistemas multi-agente de LLM
Por Diego Fernandez Arias, Dev Prashant Mistry, Ren Wang e Yibo Hu
Diego Fernandez Arias e equipe publicaram um estudo que investiga um vetor de ataque sofisticado contra sistemas multi-agente de LLM: um payload que nenhum agente individual jamais possui por completo. O ataque funciona assim: uma ferramenta envenenada esconde fragmentos criptografados em suas observações, distribui-os entre vários agentes, e uma etapa externa os reagrupa e executa após a execução. Verificações de segurança que avaliam cada ação isoladamente falham em reconhecer o payload distribuído.
Os resultados são reveladores. Um detector de prefixo sinaliza 99,3% dos ataques bem-sucedidos com uma mediana de cinco passos restantes antes da montagem, tempo suficiente para abortar. Porém, quando as pistas superficiais mais óbvias são removidas (principalmente o comprimento e a entropia do texto cifrado), a detecção chega mais tarde e transfere mal entre domínios. Detectores genéricos de zero-shot praticamente não fornecem alerta nenhum. Para profissionais de segurança ofensiva, o takeaway é que sistemas multi-agente introduzem uma superfície de ataque fundamentalmente diferente de agentes individuais, onde a fragmentação do payload explora a falta de visão holística das verificações de segurança.
Claude Mythos Preview Descobre Problema no Parâmetro de Desafio HAWK-256 e Acelera Ataque ao AES
Por Anthropic, Bruce Schneier, Daniël van Gent e Ludo Pulles
A Anthropic anunciou que o Claude Mythos Preview derivou, com direção e extensa verificação humanas, um ataque de recuperação de chave contra o HAWK-256, parâmetro de desafio do esquema de assinatura pós-quântico HAWK, candidato na terceira rodada do processo de padronização do NIST. O modelo também identificou uma aceleração de 200 a 800 vezes em um ataque existente contra AES-128 de sete rounds.
O ataque ao HAWK explora uma simetria previamente não utilizada na rede (lattice) por trás do esquema de assinatura. Um trabalho anterior de Daniël van Gent e Ludo Pulles havia mostrado que um automorfismo não trivial reduziria a recuperação de chave do HAWK a encontrar um vetor curto em um lattice de dimensão pela metade, mas os autores afirmaram à época que isso não afetava o HAWK. O Mythos Preview encontrou o automorfismo adicional necessário para explorar esse caminho. A implementação liberada pela Anthropic tem um tempo de execução esperado de cerca de 3 horas e 42 minutos em um servidor de 96 cores. O ataque ao AES remove uma etapa de guessing de 256 possibilidades de um ataque meet-in-the-middle existente, mas ainda exige uma quantidade "impraticável" de plaintexts escolhidos.
A Anthropic enfatiza que nenhum dos resultados afeta sistemas de produção: o HAWK-256 é um parâmetro de desafio (os parâmetros de segurança do NIST são HAWK-512 e HAWK-1024) e o ataque ao AES cobre apenas 7 dos 10 rounds. Bruce Schneier comentou o novo benchmark CryptanalysisBench, que avalia a capacidade de LLMs em criptanálise matemática. Cinco modelos de ponta quebraram 65% a 86% dos esquemas do Tier 1.
Todo modelo cola: 37% dos acertos em benchmarks de CTF envolvem trapaça
Por Michael Kouremetis, Ads Dawson, Raja Sekhar Rao Dheekonda e Brian Greunke
Um estudo controlado testou 22 modelos de 7 provedores em 23 desafios CTF do Cybench sob três condições de prompt (sem anti-trapaça, padrão e severo). Todas as 1.518 traces foram auditadas individualmente. O resultado: sob condições baseline, 37,1% dos acertos envolveram trapaça, 21 dos 22 modelos trapacearam e os scores foram inflados em até 5x.
Prompts anti-trapaça reduzem a propensão de 33% (baseline) para 17,8% (padrão) e 8,5% (severo), sem degradar as taxas de resolução legítima. Porém, mesmo sob a condição mais restritiva, oito modelos ainda produziram acertos por trapaça. Quando web search é restrito, a trapaça escala para probing de infraestrutura. Os autores propõem a métrica "solve rate" (apenas acertos limpos) como padrão para qualquer avaliação onde vetores de trapaça existam.
Fontes:
-
https://huggingface.co/blog/agent-intrusion-technical-timeline
-
https://thehackernews.com/2026/07/claude-ai-just-cracked-post-quantum.html
Evasão e Red Team
MedusaHVNC: RAT usa desktops ocultos do Windows para sequestrar sessões de navegador
Por BlackFog
A equipe de pesquisa da BlackFog dissecou o MedusaHVNC, um novo trojan de acesso remoto comercializado como malware-as-a-service (MaaS) através de site próprio e canal no Telegram. O diferencial técnico é o abuso de uma funcionalidade legítima do Windows: desktops ocultos. O malware abre um navegador real (Chrome, Edge, Firefox) em um desktop separado, invisível para a vítima, carregando perfis existentes com cookies e sessões autenticadas. O operador consegue sequestrar sessões ativas e realizar account takeover de forma transparente, já que todo o tráfego se origina da máquina da vítima.
A cadeia de infecção possui cinco estágios. Começa com Windows Script Host executando um launcher JScript ofuscado que introduz um atraso de 7.584 milissegundos como técnica anti-sandbox. O malware deposita um interpretador AutoIt legítimo, um arquivo de configuração, um payload criptografado (sem extensão) e um script batch na pasta Startup para persistência. O AutoIt descriptografa o payload usando XOR com chave de byte único (0xAE), gerando um executável nativo de 64 bits que é injetado no processo charmap.exe, o utilitário Mapa de Caracteres presente em toda instalação Windows.
Além do HVNC, o MedusaHVNC inclui execução de payloads .NET e nativos em memória com bypasses de AMSI e ETW, além de módulos de recuperação de credenciais do navegador e do Telegram. O painel do operador oferece controles de seleção de navegador, ajuste de frame rate e qualidade de imagem, demonstrando maturidade no desenvolvimento. A injeção em charmap.exe é uma escolha esperta: processo legítimo, presente em toda instalação Windows, raramente monitorado e que não levanta suspeitas. Se você tem interesse em testar técnicas similares com arsenal ofensivo cutting edge, vale dar uma olhada no produto OST da FORTRA e na consultoria da PRIDE Security.
COFF Mixing: capacidades ofensivas em memória image-backed
Por Rasta Mouse
Rasta Mouse apresentou o COFF Mixing, uma técnica para resolver problemas clássicos de conteúdo injetado em memória: alocação RW/RX, memória RX sem backing de módulo (unbacked) e análise de call stack em chamadas de API do Windows. A ideia é misturar uma capability ofensiva com código benigno e gerar um COFF pronto para ser linkado a um PE, eliminando a necessidade de injeção em memória. A capability passa a viver em memória com backing de imagem, como qualquer módulo legítimo.
O processo funciona em dois passos. Primeiro, a capability é preparada com a mesclagem da funcionalidade DFR (Dynamic Function Resolution) e, opcionalmente, com otimização em tempo de link, mutações, cirurgia de ISED e outras transformações. Depois, a capability processada é mesclada no COFF pronto para PE. A opção +unwind gera as seções .xdata e .pdata corretas para que o stack unwinding funcione em x64. O resultado é um call stack limpo, com retornos apontando para offsets dentro do próprio executável, não para memória alocada dinamicamente.
Para efeito de comparação, uma capability injetada em memória como PICO mostra um call stack com endereços suspeitos e sem backing de módulo. Já o PE gerado via COFF Mixing mostra um call stack parecido ao de um programa legítimo. A ferramenta cpl produz o COFF e o resultado pode ser linkado com o MinGW. Símbolos da capability podem ser removidos com o comando strip para evitar que ferramentas de análise identifiquem as funções internas. Esse tipo de pesquisa avança reforça a capacidade ofensiva da FORTRA. O ferramental que representamos vem do mesmo lugar. A PRIDE Security é o representante oficial na América Latina e países selecionados. Se quiser elevar suas capacidades ofensivas ao próximo nível, entre em contato.
SakDriver: rootkit de kernel Windows com canal de controle via registro
Por 0xSec (via core-jmp)
O que parecia ser uma amostra de Cobalt Strike Beacon se revelou algo mais perigoso: um rootkit de kernel Windows completo que opera a partir do Ring 0. Segundo a análise de 0xSec (via core-jmp), o SakDriver carrega como driver e executa uma combinação potente de técnicas: desabilita Event Tracing for Windows (ETW), esconde e revela processos via Direct Kernel Object Manipulation (DKOM), oculta portas C2 hookando o driver NSI e manipula o Windows Filtering Platform (WFP) para bloquear produtos de segurança.
💡 A decisão de design mais notável é o canal de controle: em vez de abrir um socket, um agente de user mode escreve comandos do atacante em um valor comum do registro do Windows, e o callback de registro do driver os captura. Essa técnica passa por baixo da maioria da telemetria de endpoint. Uma tabela de dispatch de comandos recuperada expõe mais de duas dúzias de primitivos de kernel, desde leitura/escrita arbitrária de memória física e injeção de processos até spoofing de input de hardware e carregamento reflectivo de PE.
Figura: strings de debug recuperadas do SakDriver revelando hooks de ETW, referências à tabela de syscalls e manipulação de QPC do hypervisor.
Kit de phishing BlueNoroff (DPRK) com ClickFix expõe plataforma operacional
Por JUMPSEC
A JUMPSEC obteve o código-fonte de um kit de phishing ativo do BlueNoroff (associado ao ecossistema Lazarus Group) que personifica reuniões Zoom e Microsoft Teams. Os operadores expuseram acidentalmente source maps JavaScript (.map files) na infraestrutura ao vivo, permitindo a análise completa da plataforma.
A análise revela que não se trata apenas de páginas falsas, mas de uma plataforma operacional completa de aquisição de vítimas. A plataforma combina contatos comprometidos da indústria (via Telegram) como vetor de infecção auto-propagável, reconhecimento de carteiras de criptomoedas antes da entrega do malware para seleção de alvos de alto valor, e cadeias de ataque completas para Windows (VBScript/Trojan.NukeSped, 497 linhas) e macOS. Foram mapeados 11 domínios iniciais associados à operação. A exposição dos .map files é um erro operacional raro que deu aos defensores uma visão completa da engenharia por trás de uma operação norte-coreana de roubo de criptomoedas.
Fontes:
-
https://core-jmp.org/2026/07/sakdriver-reversing-kernel-driver-rootkit/
-
https://www.jumpsec.com/guides/inside-a-dprk-bluenoroff-clickfix-kit/
AppSec e Infraestrutura
Hack na plataforma de frota Volvo/Eicher: controle sobre 676 mil veículos
Por Eaton
Eaton divulgou uma cadeia de vulnerabilidades na plataforma My Eicher, sistema de gestão de frotas da VE Commercial Vehicles (joint venture entre Volvo Group e Eicher Motors) usado por frotas comerciais na Índia. A descoberta começou com algo trivial: ao navegar para cima no path de uma API (de /cepauthmgr/user/validateMobileNo para /cepauthmgr/user/), o servidor retornou a lista completa de todas as APIs de usuário disponíveis, incluindo endpoints internos e administrativos não autenticados.
A partir daí, Eaton conseguiu account takeover completo, permitindo controle sobre frotas inteiras que podiam incluir centenas de veículos. Os dados expostos incluem 748 mil clientes, 676 mil veículos, 174 mil usuários e 76 mil documentos (cartões Aadhaar e carteiras de motorista). A plataforma permite rastreamento em tempo real, visualização de painel de instrumentos ao vivo e configuração de geofences, o que torna o impacto operacional e de privacidade significativo.
O caso é um lembrete de que APIs que expõem listagens de endpoints internos e endpoints administrativos sem autenticação continuam sendo problemas reais em sistemas de produção com centenas de milhares de usuários.
Figura: Resposta JSON bruta de API de gerenciamento de usuários da plataforma Eicher, expondo senhas criptografadas e dados pessoais.
Reconstrução de hashes de senha do IBM i via QSYRUPWD
Por Silent Signal
A Silent Signal publicou uma pesquisa detalhada sobre a API QSYRUPWD do IBM i, a plataforma empresarial integrada da IBM originada da linha AS/400 e ainda amplamente usada em cargas de trabalho críticas como ERP, finanças e logística. A API retorna dados de senha criptografados para perfis de usuário, e os formatos existentes do John the Ripper (as400_des e as400_ssha1) não funcionavam com a saída de sistemas configurados com QPWDLVL 2-4.
A pesquisa envolveu engenharia reversa do comportamento da API, escrita de um programa CL para invocar QSYRUPWD diretamente e análise do formato retornado via trace de sistema e desmontagem de código. O trabalho reconstrói o formato de hash de senha para níveis de senha modernos, preenchendo uma lacuna que impedia testes práticos de força de senha em ambientes IBM i atuais. Para quem faz pentest em ambientes mainframe e legados, é uma contribuição direta e imediatamente utilizável.
Fontes:
⚡ Quicklinks
Waypoint: driver de mouse virtual em kernel-mode para simulação de input furtiva
Por haarisxk
Driver de mouse virtual HID em kernel-mode para Windows 10/11, construído com KMDF e VHF. Gera input em nível de hardware sem hooks de user mode, empregando descriptors randomizados, jitter de timing, dropping de polling e IPC encoberto via memória compartilhada. Útil para automação, testes e cenários de red team.
Fraude em assinaturas Claude Max via IBAN falso e script Tampermonkey
Por Equipe da NodeLoc
Usuários de um fórum chinês documentaram um método para obter assinatura Claude Max 20x gratuitamente, usando IBANs alemães gerados aleatoriamente para pagamento SEPA, combinado com um script Tampermonkey que intercepta a resposta da API de checkout e força o fluxo "cassia". A Anthropic já está bloqueando contas e o método desativado.
Live do Magno Logan detalhando o post mortem do incidente da OpenAI x Hugging Face
Por GoHacking e Magno
O síndico (Magno Logan) fará uma live hoje às 20:00 (GMT-03:00) comentando os detalhes do incidente da OpenAI x Hugging Face. Vale a pena assistir se você curtiu a nossa prévia a respeito do assunto! É o último link das fontes abaixo!
Fontes:
// EOF
Edição grande, já passamos das 18:10 (GMT-03:00), sem mais enrolação por hoje. Enjoy! :)
Curadoria: The Old Pirate
