پژوهشگران LastPass و Delphos Labs در 17 سپتامبر اعلام کردند که یک نصب‌کننده جعلی LastPass Authenticator که در گیت‌هاب توزیع می‌شود، پس از اجرا یک درایور کرنل (Kernel Driver) ویندوز را روی سیستم نصب می‌کند. این درایور با غیرفعال کردن آنتی‌ویروس و سایر نرم‌افزارهای امنیتی، زمینه اجرای بدافزار رباینده رمزعبور را فراهم می‌کند. درایور مورد استفاده در این LastPass Authenticator جعلی، از طریق برنامه رسمی مایکروسافت برای تأیید درایورهای سخت‌افزاری امضا شده بود؛ با این حال، پژوهشگران در آگوست دریافتند که ویروس‌توتال (VirusTotal) آن را شناسایی نکرده و نام این درایور نیز در فهرست درایورهای مسدودشده مایکروسافت قرار نداشته است. LastPass نیز اعلام کرده است که هیچ‌یک از سیستم‌ها، سرویس‌ها یا اطلاعات مشتریان این شرکت تحت تأثیر قرار نگرفته و مهاجمان صرفاً از نام این برند برای پیشبرد حمله سوءاستفاده کرده‌اند.
مهاجمان با سوءاستفاده از آسیب‌پذیری بحرانی CVE-2021-35394 در کیت توسعه نرم‌افزار Realtek Jungle SDK که امکان اجرای کد از راه دور (RCE) را فراهم می‌کند، در تلاش‌اند بات‌نت Cling را روی دستگاه‌های آسیب‌پذیر مستقر کنند. طبق گزارش شرکت امنیت سایبری Nozomi Networks، از حدود 5 سپتامبر 2026 تلاش‌ها برای سوءاستفاده از این آسیب‌پذیری با امتیاز بحرانی 9.8 از 10 افزایش یافته است؛ این در حالی است که پیش‌تر پچ امنیتی آن منتشر شده بود. این بدافزار با استفاده از سازوکار متداول پروتکل STUN برای برقراری ارتباط فرماندهی و کنترل (C2)، ترافیک مخرب خود را شبیه ترافیک عادی مرتبط با عبور از ترجمه آدرس شبکه (NAT Traversal) جلوه می‌دهد و از قابلیت‌هایی مانند گسترش به دستگاه‌های دیگر، راه‌اندازی پروکسی، تانلینگ (Tunneling) و اجرای حملات انکار سرویس (DoS) پشتیبانی می‌کند. بررسی نمونه بدافزار نشان می‌دهد کد اکسپلویت چندین آسیب‌پذیری دیگر نیز در آن تعبیه شده است تا امکان نفوذ به دستگاه‌های مختلف و گسترش بات‌نت فراهم شود.
پژوهشگران LastPass و Delphos Labs در 17 سپتامبر اعلام کردند که یک نصب‌کننده جعلی LastPass Authenticator که در گیت‌هاب توزیع می‌شود، پس از اجرا یک درایور کرنل (Kernel Driver) ویندوز را روی سیستم نصب می‌کند. این درایور با غیرفعال کردن آنتی‌ویروس و سایر نرم‌افزارهای امنیتی، زمینه اجرای بدافزار رباینده رمزعبور را فراهم می‌کند. درایور مورد استفاده در این LastPass Authenticator جعلی، از طریق برنامه رسمی مایکروسافت برای تأیید درایورهای سخت‌افزاری امضا شده بود؛ با این حال، پژوهشگران در آگوست دریافتند که ویروس‌توتال (VirusTotal) آن را شناسایی نکرده و نام این درایور نیز در فهرست درایورهای مسدودشده مایکروسافت قرار نداشته است. LastPass نیز اعلام کرده است که هیچ‌یک از سیستم‌ها، سرویس‌ها یا اطلاعات مشتریان این شرکت تحت تأثیر قرار نگرفته و مهاجمان صرفاً از نام این برند برای پیشبرد حمله سوءاستفاده کرده‌اند.
مهاجمان با سوءاستفاده از آسیب‌پذیری بحرانی CVE-2021-35394 در کیت توسعه نرم‌افزار Realtek Jungle SDK که امکان اجرای کد از راه دور (RCE) را فراهم می‌کند، در تلاش‌اند بات‌نت Cling را روی دستگاه‌های آسیب‌پذیر مستقر کنند. طبق گزارش شرکت امنیت سایبری Nozomi Networks، از حدود 5 سپتامبر 2026 تلاش‌ها برای سوءاستفاده از این آسیب‌پذیری با امتیاز بحرانی 9.8 از 10 افزایش یافته است؛ این در حالی است که پیش‌تر پچ امنیتی آن منتشر شده بود. این بدافزار با استفاده از سازوکار متداول پروتکل STUN برای برقراری ارتباط فرماندهی و کنترل (C2)، ترافیک مخرب خود را شبیه ترافیک عادی مرتبط با عبور از ترجمه آدرس شبکه (NAT Traversal) جلوه می‌دهد و از قابلیت‌هایی مانند گسترش به دستگاه‌های دیگر، راه‌اندازی پروکسی، تانلینگ (Tunneling) و اجرای حملات انکار سرویس (DoS) پشتیبانی می‌کند. بررسی نمونه بدافزار نشان می‌دهد کد اکسپلویت چندین آسیب‌پذیری دیگر نیز در آن تعبیه شده است تا امکان نفوذ به دستگاه‌های مختلف و گسترش بات‌نت فراهم شود.
