پژوهشگران امنیت سایبری از شناسایی بدافزار اندرویدی RatHat خبر داده‌اند که بر اساس ارزیابی‌ها، به عوامل تهدید مستقر در چین نسبت داده می‌شود و به سامانه‌ای مبتنی بر هوش مصنوعی (AI) برای هدایت و کنترل دستگاه‌های آلوده مجهز است. بدافزار اندرویدی RatHat عمدتاً از طریق اسمیشینگ هدفمند (Targeted Smishing) و تبلیغات مخرب توزیع می‌شود و با هدایت کاربران به پورتال‌های جعلی دانلود شخص ثالث، فرآیند آلودگی چندمرحله‌ای و خودکاری را برای استقرار بدافزار روی دستگاه آغاز می‌کند.
یک عامل تهدید با انگیزه مالی، به توسعه و توزیع بدافزار رباینده اطلاعات (Infostealer) مبتنی بر جاوااسکریپت (JavaScript) با نام PhantomRaven از طریق مخزن پکیج npm پرداخته است. واحد عملیات مقابله با تهدیدات شرکت CrowdStrike در گزارشی جدید اعلام کرده است که با اطمینان بالا، توسعه این بدافزار با کمک یک مدل زبانی بزرگ (LLM) انجام شده است. این ارزیابی بر اساس شواهدی مانند کامنت‌های بسیار مفصل، کدهای Placeholder و الگوهای آماری حاصل از تحلیل توکن‌ها صورت گرفته است. یافته‌های جدید درباره PhantomRaven نشان می‌دهد استفاده از مدل‌های زبانی بزرگ در توسعه بدافزارها می‌تواند فرآیند طراحی و آماده‌سازی آن‌ها را برای عوامل تهدید تسهیل کند.
یک فریم‌ورک بدافزاری ناشناخته با نام BambooToken که دست‌کم از سال 2023 فعال است، با بهره‌گیری از پروتکل MQTT برای ارتباطات فرماندهی و کنترل (C2)، سیستم‌های ویندوز و لینوکس را هدف قرار داده است. بررسی‌های جدید نشان می‌دهد BambooToken در نسخه‌هایی که طی سال‌های 2024 و 2025 توسعه یافته‌اند، به سرورهای مورد استفاده در اپلیکیشن‌های موبایل، سرویس‌های حقوقی و مالی و محیط‌های توسعه نرم‌افزار نفوذ کرده و از طریق ارتباطات مبتنی بر MQTT، دستورات مهاجمان را به سیستم‌های آلوده منتقل می‌کند.
گروهی از هکرهای مرتبط با چین در یک کمپین فیشینگ هدفمند، با سوءاستفاده از آسیب‌پذیری‌های امنیتی پچ‌شده در گوگل کروم و مایکروسافت ویندوز، یک زنجیره اکسپلویت روز صفر (Zero-Day) را برای استقرار بدافزار GRIMWEDGE به کار گرفته‌اند. این عملیات که توسط شرکت Volexity به گروه تهدید UTA0560 نسبت داده شده است، در اول سپتامبر 2026 چندین سازمان غیردولتی را هدف قرار داد. مهاجمان با فرار از سندباکس (Sandbox) مرورگر، امکان تزریق کد به پردازه کروم و اجرای کد دلخواه را فراهم کردند و در ادامه، بدافزار GRIMWEDGE را روی سیستم‌های هدف مستقر کردند؛ بدافزاری که قابلیت‌هایی مانند شناسایی سیستم، مدیریت فایل‌ها و پردازه‌ها، اجرای دستورات و دریافت پیلودهای بیشتر را در اختیار مهاجمان قرار می‌داد.
بدافزار PEEP به‌عنوان یک ابزار پیچیده پس از نفوذ شناسایی شده است که با سوءاستفاده از قابلیت‌های داخلی کرومیوم (Chromium)، مرورگرهای کروم و اج (Edge) را به بستری برای کنترل سیستم و اجرای دستور تبدیل می‌کند. این ابزار در قالب یک افزونه بوکمارک (Bookmarks) پنهان می‌شود و برای نصب و استقرار به دسترسی مدیریتی یا قابلیت اجرای کد روی سیستم نیاز دارد. نصب‌کننده PEEP با دست‌کاری مقادیر مربوط به یکپارچگی تنظیمات در Secure Preferences کرومیوم، فرآیند بررسی افزونه و تأیید کاربر را دور می‌زند و آن را مستقیماً در پروفایل مرورگر نصب می‌کند. بدافزار PEEP پس از استقرار، با استفاده از قابلیت پیام‌رسانی بومی (Native Messaging)، فعالیت خود را به خارج از محیط مرورگر گسترش می‌دهد و علاوه بر جمع‌آوری اطلاعات مرورگر، امکان اجرای دستور در سطح سیستم میزبان (Host-Level Command Execution) و مدیریت فایل‌ها را برای مهاجم فراهم می‌کند.
مهاجمان با سوءاستفاده از یک آسیب‌پذیری بحرانی در F5 BIG-IP APM، یک روت‌کیت لینوکس (Linux Rootkit) را روی این تجهیزات مستقر کرده‌اند. این روت‌کیت با رهگیری فرآیند بارگذاری فایل‌های PHP، یک وب‌شل بدون فایل یا به عبارتی فایل‌لس (Fileless Web Shell) را مستقیماً در حافظه تزریق کرده و بدون نوشتن کد مخرب روی دیسک، امکان اجرای کد را فراهم می‌کند. بررسی‌های امنیتی نشان می‌دهد این بدافزار احتمالاً به‌عنوان پیلود مرحله دوم حمله مستقر شده است. مهاجمان احتمالاً این پیلود را پس از سوءاستفاده از آسیب‌پذیری F5 BIG-IP APM با شناسه CVE-2025-53521 روی تجهیزات مستقر کرده‌اند.
لاگ‌های بدافزار رباینده اطلاعات (Infostealer) از داده‌هایی که در بازارهای زیرزمینی خریدوفروش می‌شوند، به یک چالش عملیاتی برای تیم‌های امنیتی تبدیل شده‌اند. شناسایی یک اعتبارنامه در معرض سوءاستفاده، تنها آغاز فرآیند بررسی است؛ زیرا لاگ ممکن است علاوه بر نام کاربری و رمز عبور یک سرویس سازمانی، حاوی کوکی‌های مرورگر، نشست‌های فعال و سایر اعتبارنامه‌های ذخیره‌شده باشد که مهاجمان می‌توانند از آن‌ها برای دسترسی غیرمجاز استفاده کنند. این تهدید زمانی جدی‌تر می‌شود که دستگاه آلوده، یک رایانه شخصی خارج از مدیریت سازمان باشد یا اطلاعات سرقت‌شده در اختیار واسطه‌های دسترسی اولیه (IABs)، همکاران عملیاتی باج‌افزار یا مهاجمان فرصت‌طلب قرار گیرد. بر اساس پژوهش Flare، حدود 46 درصد از لاگ‌های حاوی اعتبارنامه‌های سازمانی از دستگاه‌های شخصی یا احتمالاً مدیریت‌نشده به دست می‌آیند. همچنین این پژوهش نشان می‌دهد میزان افشای اعتبارنامه‌ها و نشست‌های سرویس‌های اصلی نرم‌افزار به‌عنوان سرویس (SaaS) و سرویس‌های ابری، سالانه حدود 29 درصد افزایش یافته است. در چنین شرایطی، مسئله اصلی دیگر صرفاً مانیتورینگ بدافزار رباینده اطلاعات نیست؛ بلکه تشخیص این است که آیا یک رمز عبور قدیمی و بی‌اهمیت در اختیار مهاجمان قرار گرفته یا هویت سازمانی کاربر واقعاً در معرض سوءاستفاده قرار دارد؛ وضعیتی که ممکن است در همان لحظه در حال وقوع باشد.
مهاجمان سایبری در مجموعه‌ای از حملات هدفمند، Node.js را از یک محیط اجرای معتبر به ابزاری برای استقرار پیلودهای مخرب تبدیل کرده‌اند؛ روشی که از فوریه 2026 سازمان‌های دولتی، شرکت‌های فناوری و هتل‌ها را هدف قرار داده است. بررسی‌های جدید نشان می‌دهد Node.js در این حملات در کنار تکنیک‌هایی مانند کلیک‌فیکس (ClickFix) و EtherHiding و ابزارهایی همچون Cobalt Strike، AdaptixC2 و چندین بدافزار برای ایجاد دسترسی پایدار و ارتباط با زیرساخت فرماندهی و کنترل (C2) به کار گرفته شده است.
یک کمپین فعال بدافزاری با سوءاستفاده از وب‌سایت‌های جعلی دانلود نرم‌افزار، کاربران را به دانلود نصب‌کننده‌های جعلی برنامه‌های محبوب ترغیب می‌کند. این فایل‌ها پس از اجرا، با ایجاد پایداری(persistence) ، تضعیف سازوکارهای امنیتی ویندوز و برقراری ارتباط با زیرساخت تحت کنترل مهاجمان، زمینه آلودگی و کنترل سیستم قربانی را فراهم می‌کنند. مایکروسافت این عملیات را با اطمینان متوسط به گروه تهدید چینی Silver Fox نسبت داده است. این کمپین عمدتاً فعالیت‌های شرکت‌های چندملیتی در چین و همچنین کاربران چینی‌زبان را هدف قرار داده است. مهاجمان در کنار نصب‌کننده‌های جعلی از زنجیره‌های آلوده‌سازی دیگری نیز برای استقرار بدافزارهایی مانند ValleyRAT استفاده می‌کنند.
نهادهای مجری قانون در کشورهای مختلف با همکاری شرکای بخش خصوصی، در یک عملیات مشترک بین‌المللی برای مختل کردن بات‌نت Sality، دامنه‌ها و زیرساخت‌های مرتبط با این شبکه را هدف قرار دادند. هدف این عملیات، قطع ارتباط بات‌نت Sality با دستگاه‌های آلوده و از کار انداختن زیرساخت مورد استفاده اپراتور آن بود. این شبکه بر پایه معماری همتا‌به‌همتا (P2P) فعالیت می‌کرد. این عملیات با حمایت یوروپل (Europol) و یوروجاست (Eurojust) انجام شد و طی آن، وزارت دادگستری ایالات متحده (DOJ)، اداره تحقیقات فدرال آمریکا (FBI) و سرویس تحقیقات جنایی وزارت دفاع آمریکا (DCIS)، دامنه‌های مرتبط با Sality را در ایالات متحده توقیف کردند. هم‌زمان، مقام‌های بلغارستان، مجارستان و رومانی نیز دامنه‌های دیگری مرتبط با این شبکه را که در اروپا میزبانی می‌شدند، توقیف کردند.
پژوهشگران امنیت سایبری از شناسایی بدافزار اندرویدی RatHat خبر داده‌اند که بر اساس ارزیابی‌ها، به عوامل تهدید مستقر در چین نسبت داده می‌شود و به سامانه‌ای مبتنی بر هوش مصنوعی (AI) برای هدایت و کنترل دستگاه‌های آلوده مجهز است. بدافزار اندرویدی RatHat عمدتاً از طریق اسمیشینگ هدفمند (Targeted Smishing) و تبلیغات مخرب توزیع می‌شود و با هدایت کاربران به پورتال‌های جعلی دانلود شخص ثالث، فرآیند آلودگی چندمرحله‌ای و خودکاری را برای استقرار بدافزار روی دستگاه آغاز می‌کند.
یک عامل تهدید با انگیزه مالی، به توسعه و توزیع بدافزار رباینده اطلاعات (Infostealer) مبتنی بر جاوااسکریپت (JavaScript) با نام PhantomRaven از طریق مخزن پکیج npm پرداخته است. واحد عملیات مقابله با تهدیدات شرکت CrowdStrike در گزارشی جدید اعلام کرده است که با اطمینان بالا، توسعه این بدافزار با کمک یک مدل زبانی بزرگ (LLM) انجام شده است. این ارزیابی بر اساس شواهدی مانند کامنت‌های بسیار مفصل، کدهای Placeholder و الگوهای آماری حاصل از تحلیل توکن‌ها صورت گرفته است. یافته‌های جدید درباره PhantomRaven نشان می‌دهد استفاده از مدل‌های زبانی بزرگ در توسعه بدافزارها می‌تواند فرآیند طراحی و آماده‌سازی آن‌ها را برای عوامل تهدید تسهیل کند.
یک فریم‌ورک بدافزاری ناشناخته با نام BambooToken که دست‌کم از سال 2023 فعال است، با بهره‌گیری از پروتکل MQTT برای ارتباطات فرماندهی و کنترل (C2)، سیستم‌های ویندوز و لینوکس را هدف قرار داده است. بررسی‌های جدید نشان می‌دهد BambooToken در نسخه‌هایی که طی سال‌های 2024 و 2025 توسعه یافته‌اند، به سرورهای مورد استفاده در اپلیکیشن‌های موبایل، سرویس‌های حقوقی و مالی و محیط‌های توسعه نرم‌افزار نفوذ کرده و از طریق ارتباطات مبتنی بر MQTT، دستورات مهاجمان را به سیستم‌های آلوده منتقل می‌کند.
گروهی از هکرهای مرتبط با چین در یک کمپین فیشینگ هدفمند، با سوءاستفاده از آسیب‌پذیری‌های امنیتی پچ‌شده در گوگل کروم و مایکروسافت ویندوز، یک زنجیره اکسپلویت روز صفر (Zero-Day) را برای استقرار بدافزار GRIMWEDGE به کار گرفته‌اند. این عملیات که توسط شرکت Volexity به گروه تهدید UTA0560 نسبت داده شده است، در اول سپتامبر 2026 چندین سازمان غیردولتی را هدف قرار داد. مهاجمان با فرار از سندباکس (Sandbox) مرورگر، امکان تزریق کد به پردازه کروم و اجرای کد دلخواه را فراهم کردند و در ادامه، بدافزار GRIMWEDGE را روی سیستم‌های هدف مستقر کردند؛ بدافزاری که قابلیت‌هایی مانند شناسایی سیستم، مدیریت فایل‌ها و پردازه‌ها، اجرای دستورات و دریافت پیلودهای بیشتر را در اختیار مهاجمان قرار می‌داد.
بدافزار PEEP به‌عنوان یک ابزار پیچیده پس از نفوذ شناسایی شده است که با سوءاستفاده از قابلیت‌های داخلی کرومیوم (Chromium)، مرورگرهای کروم و اج (Edge) را به بستری برای کنترل سیستم و اجرای دستور تبدیل می‌کند. این ابزار در قالب یک افزونه بوکمارک (Bookmarks) پنهان می‌شود و برای نصب و استقرار به دسترسی مدیریتی یا قابلیت اجرای کد روی سیستم نیاز دارد. نصب‌کننده PEEP با دست‌کاری مقادیر مربوط به یکپارچگی تنظیمات در Secure Preferences کرومیوم، فرآیند بررسی افزونه و تأیید کاربر را دور می‌زند و آن را مستقیماً در پروفایل مرورگر نصب می‌کند. بدافزار PEEP پس از استقرار، با استفاده از قابلیت پیام‌رسانی بومی (Native Messaging)، فعالیت خود را به خارج از محیط مرورگر گسترش می‌دهد و علاوه بر جمع‌آوری اطلاعات مرورگر، امکان اجرای دستور در سطح سیستم میزبان (Host-Level Command Execution) و مدیریت فایل‌ها را برای مهاجم فراهم می‌کند.
مهاجمان با سوءاستفاده از یک آسیب‌پذیری بحرانی در F5 BIG-IP APM، یک روت‌کیت لینوکس (Linux Rootkit) را روی این تجهیزات مستقر کرده‌اند. این روت‌کیت با رهگیری فرآیند بارگذاری فایل‌های PHP، یک وب‌شل بدون فایل یا به عبارتی فایل‌لس (Fileless Web Shell) را مستقیماً در حافظه تزریق کرده و بدون نوشتن کد مخرب روی دیسک، امکان اجرای کد را فراهم می‌کند. بررسی‌های امنیتی نشان می‌دهد این بدافزار احتمالاً به‌عنوان پیلود مرحله دوم حمله مستقر شده است. مهاجمان احتمالاً این پیلود را پس از سوءاستفاده از آسیب‌پذیری F5 BIG-IP APM با شناسه CVE-2025-53521 روی تجهیزات مستقر کرده‌اند.
لاگ‌های بدافزار رباینده اطلاعات (Infostealer) از داده‌هایی که در بازارهای زیرزمینی خریدوفروش می‌شوند، به یک چالش عملیاتی برای تیم‌های امنیتی تبدیل شده‌اند. شناسایی یک اعتبارنامه در معرض سوءاستفاده، تنها آغاز فرآیند بررسی است؛ زیرا لاگ ممکن است علاوه بر نام کاربری و رمز عبور یک سرویس سازمانی، حاوی کوکی‌های مرورگر، نشست‌های فعال و سایر اعتبارنامه‌های ذخیره‌شده باشد که مهاجمان می‌توانند از آن‌ها برای دسترسی غیرمجاز استفاده کنند. این تهدید زمانی جدی‌تر می‌شود که دستگاه آلوده، یک رایانه شخصی خارج از مدیریت سازمان باشد یا اطلاعات سرقت‌شده در اختیار واسطه‌های دسترسی اولیه (IABs)، همکاران عملیاتی باج‌افزار یا مهاجمان فرصت‌طلب قرار گیرد. بر اساس پژوهش Flare، حدود 46 درصد از لاگ‌های حاوی اعتبارنامه‌های سازمانی از دستگاه‌های شخصی یا احتمالاً مدیریت‌نشده به دست می‌آیند. همچنین این پژوهش نشان می‌دهد میزان افشای اعتبارنامه‌ها و نشست‌های سرویس‌های اصلی نرم‌افزار به‌عنوان سرویس (SaaS) و سرویس‌های ابری، سالانه حدود 29 درصد افزایش یافته است. در چنین شرایطی، مسئله اصلی دیگر صرفاً مانیتورینگ بدافزار رباینده اطلاعات نیست؛ بلکه تشخیص این است که آیا یک رمز عبور قدیمی و بی‌اهمیت در اختیار مهاجمان قرار گرفته یا هویت سازمانی کاربر واقعاً در معرض سوءاستفاده قرار دارد؛ وضعیتی که ممکن است در همان لحظه در حال وقوع باشد.
مهاجمان سایبری در مجموعه‌ای از حملات هدفمند، Node.js را از یک محیط اجرای معتبر به ابزاری برای استقرار پیلودهای مخرب تبدیل کرده‌اند؛ روشی که از فوریه 2026 سازمان‌های دولتی، شرکت‌های فناوری و هتل‌ها را هدف قرار داده است. بررسی‌های جدید نشان می‌دهد Node.js در این حملات در کنار تکنیک‌هایی مانند کلیک‌فیکس (ClickFix) و EtherHiding و ابزارهایی همچون Cobalt Strike، AdaptixC2 و چندین بدافزار برای ایجاد دسترسی پایدار و ارتباط با زیرساخت فرماندهی و کنترل (C2) به کار گرفته شده است.
یک کمپین فعال بدافزاری با سوءاستفاده از وب‌سایت‌های جعلی دانلود نرم‌افزار، کاربران را به دانلود نصب‌کننده‌های جعلی برنامه‌های محبوب ترغیب می‌کند. این فایل‌ها پس از اجرا، با ایجاد پایداری(persistence) ، تضعیف سازوکارهای امنیتی ویندوز و برقراری ارتباط با زیرساخت تحت کنترل مهاجمان، زمینه آلودگی و کنترل سیستم قربانی را فراهم می‌کنند. مایکروسافت این عملیات را با اطمینان متوسط به گروه تهدید چینی Silver Fox نسبت داده است. این کمپین عمدتاً فعالیت‌های شرکت‌های چندملیتی در چین و همچنین کاربران چینی‌زبان را هدف قرار داده است. مهاجمان در کنار نصب‌کننده‌های جعلی از زنجیره‌های آلوده‌سازی دیگری نیز برای استقرار بدافزارهایی مانند ValleyRAT استفاده می‌کنند.
نهادهای مجری قانون در کشورهای مختلف با همکاری شرکای بخش خصوصی، در یک عملیات مشترک بین‌المللی برای مختل کردن بات‌نت Sality، دامنه‌ها و زیرساخت‌های مرتبط با این شبکه را هدف قرار دادند. هدف این عملیات، قطع ارتباط بات‌نت Sality با دستگاه‌های آلوده و از کار انداختن زیرساخت مورد استفاده اپراتور آن بود. این شبکه بر پایه معماری همتا‌به‌همتا (P2P) فعالیت می‌کرد. این عملیات با حمایت یوروپل (Europol) و یوروجاست (Eurojust) انجام شد و طی آن، وزارت دادگستری ایالات متحده (DOJ)، اداره تحقیقات فدرال آمریکا (FBI) و سرویس تحقیقات جنایی وزارت دفاع آمریکا (DCIS)، دامنه‌های مرتبط با Sality را در ایالات متحده توقیف کردند. هم‌زمان، مقام‌های بلغارستان، مجارستان و رومانی نیز دامنه‌های دیگری مرتبط با این شبکه را که در اروپا میزبانی می‌شدند، توقیف کردند.
