Ransomware mira VMware vCenter e América Latina

A CISA atualizou seu catálogo KEV para indicar que operadores de ransomware estão explorando a CVE-2026-59310 no VMware vCenter, uma falha crítica de directory traversal no Syslog server que a Broadcom havia corrigido em 29 de julho. A BleepingComputer informou ainda que a agência determinou que órgãos federais dos EUA protegessem seus sistemas vCenter em até três dias. Em paralelo, houve relatos de campanhas ativas na América Latina, vítimas no Brasil e um novo grupo com TTPs já observadas nos Estados Unidos, na Alemanha, no Reino Unido e no Canadá.

O que aconteceu com o VMware vCenter?

A CISA adicionou a CVE-2026-59310 ao catálogo KEV porque, segundo sua atualização, a falha está sendo explorada por operadores de ransomware. A vulnerabilidade afeta o Syslog server do VMware vCenter, e a Broadcom já havia corrigido o problema em 29 de julho, de acordo com a cobertura da BleepingComputer.

A reportagem da BleepingComputer, baseada no aviso da CISA, também indicou que agências federais americanas precisavam proteger suas instâncias de vCenter em um prazo de três dias. A CyberExperts.com descreveu a falha como uma directory traversal crítica no Syslog server, explorável por um atacante não autenticado com acesso à rede para executar código arbitrário.

O que foi visto na América Latina?

O The Hacker News citou a Unit 42 sobre duas campanhas de intrusão e exfiltração em andamento contra organizações na América Latina. Segundo essa cobertura, os atacantes combinaram living off the land, scripts batch iterativos, phishing temático de currículos, RATs personalizados e ferramentas de tunneling.

A Infobae, por sua vez, informou que o BlackCat direcionou parte de seus ataques na América Latina contra infraestruturas críticas, órgãos públicos e empresas de alto valor. Essa referência amplia o mapa de setores expostos na região e mostra que a pressão não ficou restrita a um único tipo de alvo.

O que se sabe sobre os grupos e as técnicas novas?

A Security Arsenal informou que a VEXY publicou três novas vítimas em seu leak site entre 9 e 12 de setembro de 2026, e uma delas foi a Logar Network Solutions, empresa brasileira do setor de tecnologia. Em outra frente, a RST Cloud disse que o Settra foi observado pela primeira vez em junho de 2026 e tinha alvos nos Estados Unidos, na Alemanha, no Reino Unido e no Canadá.

A RST Cloud também mencionou TTPs extraídas por LLM com T1005, T1486 e T1490. Depois, a CyPro UK acrescentou que os operadores do Settra usavam o MeshAgent como software de administração remota e uma técnica BYOVD antes da criptografia, o que adicionou mais detalhes técnicos à caracterização inicial do grupo.

No conjunto, os relatos mostram uma atividade que cruza regiões e alvos distintos, com foco em tecnologia, infraestrutura crítica, governo e serviços de alto valor, e com técnicas que vão de phishing e tunneling à exploração do VMware vCenter.