# CTI Weekly - 2026-W08 > Período: 2026-02-16 a 2026-02-22 · Edição retroativa · Gerado em 2026-03-23 > Fontes primárias: Blackfog, CM-Alliance, Check Point Research, The Hacker News, SC World, CISA. --- ## Sumário Executivo A semana W08/2026 foi marcada por três eventos de alto impacto: a exploração ativa do [[cve-2026-2441|CVE-2026-2441]] no Google Chrome (Use-After-Free, CVSS 8.8) confirmada pela CISA KEV; o ataque de ransomware **Warlock** contra a **SmarterTools** utilizando vulnerabilidades recém-divulgadas no SmarterMail; e o breach massivo da **Odido** (operadora holandesa) que expôs dados sensíveis de **6.2 milhões de clientes**. O grupo Warlock demonstrou velocidade excepcional na weaponização: as CVEs [[cve-2026-24423|CVE-2026-24423]] e [[cve-2026-23760|CVE-2026-23760]] do SmarterMail foram exploitadas compartilhadas no Telegram em dias após a divulgação, com credenciais de admin comprometidas circulando livremente. A **BeyondTrust** também sofreu exploração ativa de falha RCE em produtos de acesso remoto (20/02). O setor de pagamentos foi impactado com o ataque à **BridgePay Network Solutions**, um gateway de pagamentos que teve seus sistemas core forçados offline, afetando portais de municípios e comerciantes nos EUA. **Nível de ameaça geral para LATAM esta semana:** 🟨 Médio --- ## Vulnerabilidades Críticas da Semana | CVE | CVSS | Produto | Exploração | CISA KEV | Ação | |-----|------|---------|------------|----------|------| | [[cve-2026-2441\|CVE-2026-2441]] | 8.8 | Google Chrome | Ativa (heap corruption) | ✅ | **Atualizar Chrome** | | [[cve-2026-24423\|CVE-2026-24423]] | Alto | SmarterMail | Ativa (Warlock ransomware) | ❌ | **Patch imediato** | | [[cve-2026-23760\|CVE-2026-23760]] | Alto | SmarterMail | Ativa (Warlock ransomware) | ❌ | **Patch imediato** | | [[cve-2026-1670\|CVE-2026-1670]] | Crítico | Honeywell CCTV | Auth bypass | ✅ | **Patch + restringir acesso** | | BeyondTrust RCE | Alto | BeyondTrust Remote Access | Ativa (20/02) | ❌ | **Patch urgente** | ### CVE em Destaque: [[cve-2026-2441|CVE-2026-2441]] - Google Chrome Use-After-Free O [[cve-2026-2441|CVE-2026-2441]] é uma vulnerabilidade de Use-After-Free que causa **heap corruption** no Google Chrome. Um atacante pode exploitar via página HTML maliciosa, obtendo execução remota de código. O Google confirmou a existência de exploit na wild antes da adição ao CISA KEV. A criticidade desta falha reside na superfície de ataque: qualquer navegação web é potencialmente perigosa. A exploração não requer interação do usuário além de visitar uma página comprometida. > [!danger] Ação Recomendada > Forçar atualização do Google Chrome em todos os endpoints via políticas de grupo (GPO) ou MDM. Verificar que auto-update está habilitado. Chrome versão 122.0.6261.112 ou posterior corrige a falha. --- ## Campanhas e Threat Actors ### Warlock Ransomware - SmarterTools Linha do tempo do ataque: 1. **Divulgação** das CVEs CVE-2026-24423 e CVE-2026-23760 no SmarterMail 2. **Weaponização rápida** - exploits e credenciais de admin compartilhados no Telegram em dias 3. **Compromisso** - Warlock usou SmarterMail não patcheado como vetor de entrada 4. **Movimentação lateral** - do email server para rede corporativa 5. **Ransomware** - 12 servidores Windows comprometidos no data center de QA TTPs observados: - [[t1190-exploit-public-facing-application|T1190 - Exploit Public-Facing Application|T1190]] - Exploração do SmarterMail exposto - [[t1078-valid-accounts|T1078]] - Uso de credenciais admin comprometidas - [[t1021-remote-services|T1021]] - Movimentação lateral para servidores Windows - [[t1486-data-encrypted-for-impact|T1486 - Data Encrypted for Impact|T1486]] - Ransomware deployment ### BridgePay Network Solutions - **Tipo:** Ransomware (grupo não reivindicou) - **Impacto:** Sistemas core offline, portais de pagamento de municípios e comerciantes afetados - **Dados:** Análise inicial indicou sem exposição de dados de cartão, mas arquivos criptografados - **Setor:** Financeiro/pagamentos - alvo de alto valor ### Breach: Odido (Holanda) - **Data:** 7-8 de fevereiro (disclosure na semana W08) - **Afetados:** 6.2 milhões de clientes - **Dados expostos:** nomes, endereços, celulares, emails, números de conta bancária, datas de nascimento, documentos de identidade - **Dados NÃO comprometidos:** senhas, registros de chamadas, dados de cobrança --- ## LATAM / Brasil > [!info] Panorama Regional Não foram reportados incidentes específicos para LATAM/Brasil nesta semana. No entanto, o contexto mais amplo de fevereiro mostra: ### Tendências Regionais em Curso - O Brasil mantém posição entre os **5 países mais atacados** por ransomware globalmente - Grupos como **The Gentlemen** e **Qilin** têm demonstrado interesse crescente em alvos brasileiros - Ataques à cadeia de suprimentos (supply chain) representam risco elevado para empresas brasileiras dependentes de software SaaS internacional ### Relevância para o Brasil O ataque à **BridgePay** é relevante como case study para o ecossistema de pagamentos brasileiro: - Infraestrutura PIX e arranjos de pagamento são alvos potenciais - Gateways de pagamento brasileiros devem avaliar resiliência contra ransomware - Regulamentação BACEN exige planos de continuidade que incluam cenários de ransomware --- ## TTPs em Destaque ### [[t1190-exploit-public-facing-application|T1190 - Exploit Public-Facing Application|T1190]] + [[T1078 - Valid Accounts|T1078]] - Combo Letal O caso SmarterTools/Warlock exemplifica um padrão recorrente: exploração de aplicação exposta → obtenção de credenciais → movimentação lateral. O tempo entre disclosure e weaponização (dias, não semanas) torna a priorização de patches crítica. **Detecção:** - Monitorar fóruns e canais Telegram para menções a CVEs dos seus produtos - Implementar alertas para logins de admin de IPs incomuns - Segmentar servidores de email da rede corporativa - Monitorar criação de novas contas privilegiadas --- ## Recomendações 1. ⏫ **Atualizar Google Chrome** - CVE-2026-2441 com exploração ativa (CISA KEV) 2. ⏫ **Patch SmarterMail** - CVEs weaponizadas em dias, Warlock ransomware ativo 3. ⏫ **Patch BeyondTrust** - RCE em produtos de acesso remoto (exploração ativa) 4. 🔼 **Honeywell CCTV** - CVE-2026-1670 permite bypass de autenticação em câmeras 5. 🔼 **Monitorar Telegram** - credenciais e exploits circulando em canais públicos 6. 🔼 **Segmentar servidores de email** - padrão Warlock usa email como pivô 7. 🔽 **Avaliar exposição Odido-like** - telecoms brasileiras devem revisar controles de acesso a dados de clientes --- ## Referências 1. Blackfog - [State of Ransomware February 2026](https://www.blackfog.com/the-state-of-ransomware-february-2026/) 2. CM-Alliance - [February 2026 Cyber Attacks](https://www.cm-alliance.com/cybersecurity-blog/february-2026-recent-cyber-attacks-data-breaches-ransomware-attacks) 3. Check Point Research - [16th February Threat Intelligence Report](https://research.checkpoint.com/2026/16th-february-threat-intelligence-report/) 4. The Hacker News - [CISA Flags Four Security Flaws Under Active Exploitation](https://thehackernews.com/2026/02/cisa-flags-four-security-flaws-under.html) 5. SC World - [CISA Adds SolarWinds, Microsoft, Apple, Notepad++ Vulnerabilities to KEV](https://www.scworld.com/news/cisa-adds-solarwinds-microsoft-apple-notepad-vulnerabilities-to-kev-catalog) 6. CISA - [Known Exploited Vulnerabilities Catalog](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) --- --- *Próximo: [[2026-w09|W09]] · Anterior: [[2026-w07|W07]] · Arquivo: [[_weekly|Todas as edições]] · [[_feed|Feed CTI]]*