مهاجمان سایبری در مجموعه‌ای از حملات هدفمند، Node.js را از یک محیط اجرای معتبر به ابزاری برای استقرار پیلودهای مخرب تبدیل کرده‌اند؛ روشی که از فوریه 2026 سازمان‌های دولتی، شرکت‌های فناوری و هتل‌ها را هدف قرار داده است. بررسی‌های جدید نشان می‌دهد Node.js در این حملات در کنار تکنیک‌هایی مانند کلیک‌فیکس (ClickFix) و EtherHiding و ابزارهایی همچون Cobalt Strike، AdaptixC2 و چندین بدافزار برای ایجاد دسترسی پایدار و ارتباط با زیرساخت فرماندهی و کنترل (C2) به کار گرفته شده است.
پژوهشگران امنیت سایبری مجموعه‌ای متشکل از 18 افزونه گوگل کروم و یک افزونه مایکروسافت اِج (Microsoft Edge) را شناسایی کرده‌اند که در شش ماه گذشته در فروشگاه‌های افزونه منتشر شده‌اند و قابلیت‌هایی برای سرقت اطلاعات محرمانه کیف پول و دارایی‌های رمزارزی داشته‌اند. بررسی‌های انجام‌شده نشان می‌دهد این افزونه‌های مخرب از نظر کد و تکنیک‌های عملیاتی شباهت‌های قابل‌توجهی با یکدیگر دارند و به کمپینی موسوم به Superior مرتبط هستند. همچنین شواهد موجود نشان می‌دهد فعالیت این افزونه‌های مخرب احتمالاً از فوریه 2024 آغاز شده و مهاجمان با انتشار نسخه‌های سالم یا خرید افزونه‌های قانونی، ابتدا اعتماد کاربران را جلب کرده و پس از افزایش تعداد کاربران، کدهای مخرب را به افزونه‌ها اضافه کرده‌اند.
پژوهشگران امنیت سایبری از شناسایی یک عملیات مجرمانه سایبری در مقیاس جهانی خبر داده‌اند که در آن نزدیک به 2 هزار سایت وردپرس هک‌شده به زیرساختی برای انتشار بدافزار، کنترل سیستم‌های آلوده و ذخیره اسناد سرقت‌شده، اسکرین‌شات‌ها و لاگ‌های ثبت‌شده از فعالیت این عملیات تبدیل شده‌اند؛ داده‌هایی که برای رصد وضعیت و روند فعالیت مهاجمان مورد استفاده قرار می‌گیرند. این عملیات که با نام StopAndProtect ردیابی می‌شود، تنها به یک بدافزار واحد متکی نیست، بلکه مجموعه‌ای از نرم‌افزارهای مجرمانه را در کنار یکدیگر به کار می‌گیرد؛ ابزارهایی که برای رمزگذاری فایل‌ها، سرقت مخفیانه اسناد، قفل کردن صفحه‌نمایش و برقراری گفت‌وگوی مستقیم میان مهاجمان و قربانیان طراحی شده‌اند. به گفته پژوهشگران شرکت چک‌پوینت، زنجیره آلودگی StopAndProtect با یک حمله مهندسی اجتماعی (Social Engineering) مبتنی بر کلیک‌فیکس (ClickFix) آغاز می‌شود. در این حمله، قربانی به اجرای دستورات پاورشل (PowerShell) ترغیب می‌شود و در ادامه، دانلودرها و لودرهای مبتنی بر.NET روی سیستم مستقر می‌شوند.
مهاجمان با سوءاستفاده از بنرهای سرور FTP (FTP Server Banners)، دستورات لازم برای انتقال دو تروجان دسترسی از راه دور (RAT) جدید با نام‌های E4del و PINHOLE را مخفی می‌کنند. در این روش غیرمعمول، فایل‌های میانبر (LNK) و زیرساخت‌های دد دراپ (Dead-Drop Resolvers- DDR) برای دریافت دستورات مخرب به کار گرفته می‌شوند؛ روشی که بدافزار ویندوزی را از مسیری متفاوت با روش‌های متداول به سیستم قربانی می‌رساند.
بررسی‌های امنیتی نشان می‌دهد این کمپین از جولای 2026 فعال بوده و مهاجمان در ادامه زنجیره آلودگی، از پاورشل (PowerShell) و تکنیک‌های پیشرفته تزریق کد برای اجرای بدافزار ویندوزی و حفظ کنترل سیستم آلوده استفاده می‌کنند.
حمله کلیک فیکس(ClickFix attack) با هدف قرار دادن کاربران مک‌اواس (macOS)، به بستری برای توزیع یک بدافزار مبتنی بر Go تبدیل شده است که طیف گسترده‌ای از اطلاعات حساس، از جمله دارایی‌های رمزارزی، رمزهای عبور ذخیره‌شده در مرورگر، داده‌های Apple Keychain و اطلاعات احراز هویت کش‌شده را سرقت می‌کند
حملات کلیک‌فیکس (ClickFix) در مک‌اواس (macOS) با بهره‌گیری از روشی جدید برای شناسایی مشخصات دستگاه و مرورگر، تلاش می‌کنند صفحات مخرب خود را از دید ابزارهای تحلیل و سامانه‌های امنیتی پنهان نگه دارند.
انجمن‌های گفت‌وگوی پلتفرم استیم (Steam) به هدف یک کمپین جدید بدافزاری تبدیل شده‌اند؛ مهاجمان سایبری با سوءاستفاده از مشکلات فنی مطرح‌شده توسط کاربران، خود را به‌عنوان افرادی معرفی می‌کنند که راهکارهای رفع مشکل بازی‌ها و سیستم را ارائه می‌دهند
بدافزار OkoBot به‌عنوان یک تهدید جدید برای کاربران رمزارزی ویندوز شناسایی شده است که با استفاده از نرم‌افزارهای جعلی، روش‌های مهندسی اجتماعی مانند کلیک‌فیکس (ClickFix) و مجموعه‌ای از ابزارهای مخرب، اطلاعات حساس مرتبط با دارایی‌های دیجیتال کاربران را هدف قرار می‌دهد.
پژوهشگران تیم Unit 42 شرکت Palo Alto Networks یک کمپین کلیک‌فیکس (ClickFix) جدید را شناسایی کرده‌اند که کاربران مک‌اواس (macOS) را هدف قرار می‌دهد. در این کمپین کلیک‌فیکس، مهاجمان با سوءاستفاده از دستورات مخرب در ترمینال (Terminal)، فایل‌های ایمیج دیسک (Disk Image) با فرمت DMG را به‌صورت مخفیانه دانلود کرده و در نهایت بدافزار رباینده اطلاعات (Infostealer) را روی دستگاه قربانی اجرا می‌کنند.
محققان شرکت Silent Push یک کمپین گسترده توزیع بدافزار را شناسایی کرده‌اند که در آن گروه DriveSurge با سوءاستفاده از هزاران وب‌سایت آلوده، کاربران را به زیرساخت‌های مخرب هدایت می‌کند.
مهاجمان سایبری در مجموعه‌ای از حملات هدفمند، Node.js را از یک محیط اجرای معتبر به ابزاری برای استقرار پیلودهای مخرب تبدیل کرده‌اند؛ روشی که از فوریه 2026 سازمان‌های دولتی، شرکت‌های فناوری و هتل‌ها را هدف قرار داده است. بررسی‌های جدید نشان می‌دهد Node.js در این حملات در کنار تکنیک‌هایی مانند کلیک‌فیکس (ClickFix) و EtherHiding و ابزارهایی همچون Cobalt Strike، AdaptixC2 و چندین بدافزار برای ایجاد دسترسی پایدار و ارتباط با زیرساخت فرماندهی و کنترل (C2) به کار گرفته شده است.
پژوهشگران امنیت سایبری مجموعه‌ای متشکل از 18 افزونه گوگل کروم و یک افزونه مایکروسافت اِج (Microsoft Edge) را شناسایی کرده‌اند که در شش ماه گذشته در فروشگاه‌های افزونه منتشر شده‌اند و قابلیت‌هایی برای سرقت اطلاعات محرمانه کیف پول و دارایی‌های رمزارزی داشته‌اند. بررسی‌های انجام‌شده نشان می‌دهد این افزونه‌های مخرب از نظر کد و تکنیک‌های عملیاتی شباهت‌های قابل‌توجهی با یکدیگر دارند و به کمپینی موسوم به Superior مرتبط هستند. همچنین شواهد موجود نشان می‌دهد فعالیت این افزونه‌های مخرب احتمالاً از فوریه 2024 آغاز شده و مهاجمان با انتشار نسخه‌های سالم یا خرید افزونه‌های قانونی، ابتدا اعتماد کاربران را جلب کرده و پس از افزایش تعداد کاربران، کدهای مخرب را به افزونه‌ها اضافه کرده‌اند.
پژوهشگران امنیت سایبری از شناسایی یک عملیات مجرمانه سایبری در مقیاس جهانی خبر داده‌اند که در آن نزدیک به 2 هزار سایت وردپرس هک‌شده به زیرساختی برای انتشار بدافزار، کنترل سیستم‌های آلوده و ذخیره اسناد سرقت‌شده، اسکرین‌شات‌ها و لاگ‌های ثبت‌شده از فعالیت این عملیات تبدیل شده‌اند؛ داده‌هایی که برای رصد وضعیت و روند فعالیت مهاجمان مورد استفاده قرار می‌گیرند. این عملیات که با نام StopAndProtect ردیابی می‌شود، تنها به یک بدافزار واحد متکی نیست، بلکه مجموعه‌ای از نرم‌افزارهای مجرمانه را در کنار یکدیگر به کار می‌گیرد؛ ابزارهایی که برای رمزگذاری فایل‌ها، سرقت مخفیانه اسناد، قفل کردن صفحه‌نمایش و برقراری گفت‌وگوی مستقیم میان مهاجمان و قربانیان طراحی شده‌اند. به گفته پژوهشگران شرکت چک‌پوینت، زنجیره آلودگی StopAndProtect با یک حمله مهندسی اجتماعی (Social Engineering) مبتنی بر کلیک‌فیکس (ClickFix) آغاز می‌شود. در این حمله، قربانی به اجرای دستورات پاورشل (PowerShell) ترغیب می‌شود و در ادامه، دانلودرها و لودرهای مبتنی بر.NET روی سیستم مستقر می‌شوند.
مهاجمان با سوءاستفاده از بنرهای سرور FTP (FTP Server Banners)، دستورات لازم برای انتقال دو تروجان دسترسی از راه دور (RAT) جدید با نام‌های E4del و PINHOLE را مخفی می‌کنند. در این روش غیرمعمول، فایل‌های میانبر (LNK) و زیرساخت‌های دد دراپ (Dead-Drop Resolvers- DDR) برای دریافت دستورات مخرب به کار گرفته می‌شوند؛ روشی که بدافزار ویندوزی را از مسیری متفاوت با روش‌های متداول به سیستم قربانی می‌رساند.
بررسی‌های امنیتی نشان می‌دهد این کمپین از جولای 2026 فعال بوده و مهاجمان در ادامه زنجیره آلودگی، از پاورشل (PowerShell) و تکنیک‌های پیشرفته تزریق کد برای اجرای بدافزار ویندوزی و حفظ کنترل سیستم آلوده استفاده می‌کنند.
حمله کلیک فیکس(ClickFix attack) با هدف قرار دادن کاربران مک‌اواس (macOS)، به بستری برای توزیع یک بدافزار مبتنی بر Go تبدیل شده است که طیف گسترده‌ای از اطلاعات حساس، از جمله دارایی‌های رمزارزی، رمزهای عبور ذخیره‌شده در مرورگر، داده‌های Apple Keychain و اطلاعات احراز هویت کش‌شده را سرقت می‌کند
حملات کلیک‌فیکس (ClickFix) در مک‌اواس (macOS) با بهره‌گیری از روشی جدید برای شناسایی مشخصات دستگاه و مرورگر، تلاش می‌کنند صفحات مخرب خود را از دید ابزارهای تحلیل و سامانه‌های امنیتی پنهان نگه دارند.
انجمن‌های گفت‌وگوی پلتفرم استیم (Steam) به هدف یک کمپین جدید بدافزاری تبدیل شده‌اند؛ مهاجمان سایبری با سوءاستفاده از مشکلات فنی مطرح‌شده توسط کاربران، خود را به‌عنوان افرادی معرفی می‌کنند که راهکارهای رفع مشکل بازی‌ها و سیستم را ارائه می‌دهند
بدافزار OkoBot به‌عنوان یک تهدید جدید برای کاربران رمزارزی ویندوز شناسایی شده است که با استفاده از نرم‌افزارهای جعلی، روش‌های مهندسی اجتماعی مانند کلیک‌فیکس (ClickFix) و مجموعه‌ای از ابزارهای مخرب، اطلاعات حساس مرتبط با دارایی‌های دیجیتال کاربران را هدف قرار می‌دهد.
پژوهشگران تیم Unit 42 شرکت Palo Alto Networks یک کمپین کلیک‌فیکس (ClickFix) جدید را شناسایی کرده‌اند که کاربران مک‌اواس (macOS) را هدف قرار می‌دهد. در این کمپین کلیک‌فیکس، مهاجمان با سوءاستفاده از دستورات مخرب در ترمینال (Terminal)، فایل‌های ایمیج دیسک (Disk Image) با فرمت DMG را به‌صورت مخفیانه دانلود کرده و در نهایت بدافزار رباینده اطلاعات (Infostealer) را روی دستگاه قربانی اجرا می‌کنند.
محققان شرکت Silent Push یک کمپین گسترده توزیع بدافزار را شناسایی کرده‌اند که در آن گروه DriveSurge با سوءاستفاده از هزاران وب‌سایت آلوده، کاربران را به زیرساخت‌های مخرب هدایت می‌کند.
