Em 8 de outubro de 2026, o FBI, a CISA (agência de cibersegurança dos EUA) e a NSA, junto com agências de cibersegurança do Reino Unido, Austrália, Canadá, Japão, Nova Zelândia e Espanha, publicaram um aviso conjunto (AA26-281A) descrevendo como a empresa chinesa Integrity Technology Group ("Integrity Tech"), com vínculos com o governo da China, desenvolve e fornece ferramentas e infraestrutura usadas por atores de ameaça ligados à China — com táticas consistentes com os grupos rastreados como Flax Typhoon, Ethereal Panda e Red Juliett — para invadir redes e roubar dados, principalmente e-mails e credenciais, de organizações no mundo todo. No mesmo dia, o Departamento de Justiça e o FBI anunciaram a apreensão judicial de domínios de duas ferramentas ligadas à Integrity Tech: o Microscan, usado desde 2017 para varredura automatizada com mais de 1.300 scripts de teste de invasão e que se apoiava em uma botnet de dispositivos IoT baseada no Mirai, e o FishHub, uma ferramenta de spearphishing.
Segundo o aviso, os atores usam ferramentas automatizadas de código aberto — como BBScan, dirsearch, Fscan, masscan, Nmap e WPScan — para varrer a internet em busca de serviços expostos nas portas 21, 22, 53, 80, 443 e 1080, testando falhas conhecidas em produtos como OpenSSL, Oracle WebLogic Server, Rejetto HFS, WordPress, Juniper ScreenOS, Jenkins e Apache Struts, incluindo CVEs antigos (alguns de 2014 a 2016) que permanecem sem correção em muitos sistemas. Outra ferramenta citada, o EBurst, realiza "password spraying" (tentativas automatizadas de senhas) contra contas do Microsoft Exchange e Office 365. Em intrusões mais diretas, os operadores usam páginas falsas de login (XSS) para roubar credenciais, instalam executáveis maliciosos disfarçados de processos do Windows, mantêm acesso por meio de clientes VPN SoftEther camuflados e usam ferramentas como o DC.exe (para copiar credenciais do Active Directory) e o Curlc4 (para exfiltrar e-mails via API do Exchange). As vítimas confirmadas incluem órgãos governamentais, forças de segurança, saúde e organizações religiosas, principalmente nos EUA, Sudeste Asiático, África e América do Norte.
Por que isso importa para uma PME brasileira: o ponto central deste aviso não é um ataque dirigido a uma empresa específica, mas uma operação de varredura em escala global que testa automaticamente qualquer serviço exposto na internet — independentemente de quem seja o alvo. Se a sua empresa mantém um site em WordPress, um servidor Jenkins, uma VPN ou qualquer sistema com portas de administração abertas e desatualizado, ela pode ser identificada e testada por essas ferramentas assim como qualquer outra organização no mundo, mesmo sem nenhuma relação com os setores mencionados no aviso. O uso do EBurst para "password spraying" contra Exchange e Office 365 é especialmente relevante: é exatamente a plataforma de e-mail corporativo usada pela maioria das PMEs brasileiras, e uma conta com senha fraca ou sem autenticação multifator pode ser comprometida por esse tipo de tentativa automatizada e massiva, sem que a empresa tenha sido "escolhida" como alvo.
O que fazer agora: feche ou restrinja por firewall portas e painéis de administração que não precisam estar expostos à internet (as portas citadas no aviso — 21, 22, 53, 80, 443 e 1080 — são um bom ponto de partida para revisão). Mantenha WordPress, plugins, Jenkins, bibliotecas como OpenSSL e qualquer VPN corporativa sempre atualizados, e substitua sistemas fora de suporte (end-of-life). Ative autenticação multifator — de preferência resistente a phishing, como chave de segurança ou passkey — em todas as contas de e-mail corporativo (Exchange/Office 365), já que contas sem essa camada extra são o alvo direto de ferramentas de password spraying como o EBurst citado no aviso. Monitore tentativas de login incomuns e picos de autenticação falhada, e trate como prioridade qualquer vulnerabilidade antiga e conhecida que ainda não foi corrigida — o aviso mostra que falhas de 2014 a 2016 continuam sendo exploradas em 2026 simplesmente porque ninguém corrigiu.
Fonte primária: aviso conjunto AA26-281A da CISA, FBI, NSA e parceiros internacionais (publicado em 08/10/2026), também disponível em PDF no site do IC3/FBI.
