پژوهشگران امنیت سایبری از شناسایی کمپین جدید TASK#STOMP خبر داده‌اند که یک بکدور پاورشل (PowerShell Backdoor) را برای سرقت و استخراج داده‌های حساس از سیستم‌های آلوده مستقر می‌کند. TASK#STOMP امکان جمع‌آوری اسناد تجاری، مانیتورینگ بلادرنگ فایل‌ها، سرقت رمزهای وای‌فای (Wi-Fi) و محتوای کلیپ‌بورد، ثبت اسکرین‌شات از صفحه‌نمایش و اجرای دستورات دلخواه از راه دور را فراهم می‌کند. همچنین این بکدور از طریق دو سرور فرماندهی و کنترل (C2) پشتیبان با احراز هویت مبتنی بر توکن، ارتباط خود را با زیرساخت مهاجمان حفظ می‌کند.
مهاجمان سایبری با بهره‌گیری از حملات کلیک‌فیکس(ClickFix) ، تروجان دسترسی از راه دور (RAT) جدیدی به نام ChainScript را توزیع کرده‌اند که با استفاده از محیط اجرای Node.js، قابلیت‌هایی مانند اجرای دستورات، مدیریت فایل‌ها، تهیه اسکرین‌شات و شناسایی کیف‌پول‌های رمزارزی را در اختیار مهاجمان قرار می‌دهد. بررسی‌ها نشان می‌دهد که بدافزار ChainScript علاوه بر استفاده از روش‌های چندمرحله‌ای برای استقرار و پایداری (Persistence) روی سیستم قربانی، از یک قرارداد هوشمند در بلاک‌چین پالیگان (Polygon) برای شناسایی زیرساخت فعال فرماندهی و کنترل (C2) و هدایت سیستم‌های آلوده به زیرساخت جدید استفاده می‌کند. این قابلیت به بدافزار ChainScript امکان می‌دهد زیرساخت C2 را به‌سرعت تغییر دهد و در صورت شناسایی یا مسدود شدن آن، زیرساخت جدیدی را جایگزین کند.
گروه اخاذی سایبری شاینی‌هانترز (ShinyHunters) با نفوذ به سایت افشای اطلاعات گروه باج‌افزاری Clop، محتوای این سایت را در سرویس Tor دستکاری کرد و مدعی شد به داده‌های سرور و کلیدهای خصوصی سرویس Onion این گروه دست یافته است. شاینی‌هانترز اعلام کرده این حمله با سوءاستفاده از یک آسیب‌پذیری آپلود فایل بدون احراز هویت در Grav CMS انجام شده و در ادامه، Clop را به پرداخت باج در ازای عدم انتشار اطلاعات ادعایی تهدید کرده است. این درگیری سایبری ریشه در اختلافات قبلی این دو گروه دارد که به کمپین سرقت داده از Oracle E-Business Suite بازمی‌گردد.
یک آسیب‌پذیری بحرانی در WSO2 API Manager با شناسه CVE-2026-5430 اکنون در حملات واقعی هدف تلاش‌های فعال برای سوءاستفاده قرار گرفته است. این آسیب‌پذیری با امتیاز 9.8 از 10 در CVSS ناشی از اعتبارسنجی نادرست امضای رمزنگاری‌شده (Improper Verification of Cryptographic Signature) است و می‌تواند با دور زدن احراز هویت JWT، کنترل حساب کاربری را در اختیار مهاجم قرار دهد. یافته‌های watchTowr نشان می‌دهد که WSO2 API Manager و محصولات مرتبط با آن تحت تأثیر این آسیب‌پذیری هستند و مهاجمان می‌توانند با استفاده از توکن‌های JWT جعلی، به سطح دسترسی ادمین دست پیدا کنند. به همین دلیل، کاربران نسخه‌های آسیب‌پذیر باید هرچه سریع‌تر پچ‌های امنیتی منتشرشده را نصب کنند.
گروهی از هکرهای مرتبط با چین در یک کمپین فیشینگ هدفمند، با سوءاستفاده از آسیب‌پذیری‌های امنیتی پچ‌شده در گوگل کروم و مایکروسافت ویندوز، یک زنجیره اکسپلویت روز صفر (Zero-Day) را برای استقرار بدافزار GRIMWEDGE به کار گرفته‌اند. این عملیات که توسط شرکت Volexity به گروه تهدید UTA0560 نسبت داده شده است، در اول سپتامبر 2026 چندین سازمان غیردولتی را هدف قرار داد. مهاجمان با فرار از سندباکس (Sandbox) مرورگر، امکان تزریق کد به پردازه کروم و اجرای کد دلخواه را فراهم کردند و در ادامه، بدافزار GRIMWEDGE را روی سیستم‌های هدف مستقر کردند؛ بدافزاری که قابلیت‌هایی مانند شناسایی سیستم، مدیریت فایل‌ها و پردازه‌ها، اجرای دستورات و دریافت پیلودهای بیشتر را در اختیار مهاجمان قرار می‌داد.
سازمان امنیت سایبری و زیرساخت آمریکا (CISA) اعلام کرده است که گروه‌های باج‌افزاری از آسیب‌پذیری VMware vCenter با شناسه CVE-2026-59310 سوءاستفاده می‌کنند. این آسیب‌پذیری در سرور Syslog نرم‌افزار VMware vCenter قرار دارد و به مهاجمان احراز هویت‌نشده اجازه می‌دهد با بهره‌گیری از پیمایش مسیر (Directory Traversal)، کد دلخواه را از راه دور(RCE) اجرا کنند. شرکت Broadcom این آسیب‌پذیری بحرانی را در 29 جولای پچ کرده بود، اما تداوم حملات باعث شد CISA آن را به فهرست KEV اضافه کند.
یک کمپین اسکن گسترده، سرورهای Vite متصل به اینترنت را هدف گرفته است تا با بهره‌گیری از اکسپلویت آسیب‌پذیری CVE-2026-39364، اعتبارنامه‌های سرویس‌های ابری و پیکربندی‌های حساس در محیط‌های AWS و Azure را سرقت کند. این آسیب‌پذیری با شدت بالا (High-Severity) به مهاجمان اجازه می‌دهد محدودیت‌های دسترسی به فایل‌ها را دور بزنند و فایل‌هایی را بخوانند که در شرایط عادی نباید به آن‌ها دسترسی داشته باشند. بررسی این فعالیت مخرب نشان می‌دهد سرورهای Vite آسیب‌پذیر به مسیری برای استخراج اطلاعات حساس زیرساخت‌های ابری تبدیل شده‌اند؛ موضوعی که اهمیت به‌روزرسانی این سرورها و جلوگیری از دسترسی عمومی به آن‌ها را بیش از پیش نشان می‌دهد.
گروه هوش تهدیدات گوگل (GTIG) از افزایش استفاده مهاجمان از فریم‌ورک‌های هوش مصنوعی برای خودکارسازی و هماهنگی مراحل مختلف حملات سایبری خبر داده است. این فریم‌ورک‌های هوش مصنوعی با استفاده از معماری چندعاملی (Multi-Agent) می‌توانند وظایفی مانند شناسایی آسیب‌پذیری‌ها، سرقت گسترده اعتبارنامه‌ها، رفع خطاها و تغییر مسیر ترافیک را با حداقل دخالت انسانی انجام دهند؛ روندی که نشان می‌دهد عملیات سایبری به‌تدریج از خودکارسازی سنتی به سمت سامانه‌های هوشمند و خودمختار حرکت می‌کند.
یک فریم‌ورک فیشینگ به‌عنوان سرویس (PhaaS) با نام BigBear 2.0 توانسته است با دور زدن احراز هویت چندعاملی (MFA) در 258 سازمان، بیش از 5 هزار اعتبارنامه کاربران مایکروسافت 365 را سرقت کند. این عملیات با هدف قرار دادن کاربران مایکروسافت 365 و بهره‌گیری از روش‌های رهگیری اطلاعات احراز هویت، امکان دسترسی مهاجمان به نشست‌های معتبر کاربران را فراهم کرده است.
هکرها با سوءاستفاده از دو آسیب‌پذیری جدید در RouterOS، روترهای میکروتیک(MikroTik routers) را هدف حملات خود قرار داده‌اند. مهاجمان از این ضعف‌های امنیتی برای دور زدن احراز هویت SSH و دستیابی به سطح دسترسی مدیریتی استفاده می‌کنند. روترهای میکروتیک که سرویس SSH آن‌ها از طریق اینترنت قابل دسترسی است، هدف این حملات قرار گرفته‌اند و CERT لهستان نیز سوءاستفاده مهاجمان از این آسیب‌پذیری‌ها در حملات واقعی را تأیید کرده است. میکروتیک برای رفع این آسیب‌پذیری‌ها به‌روزرسانی امنیتی منتشر کرده است.
پژوهشگران امنیت سایبری از شناسایی کمپین جدید TASK#STOMP خبر داده‌اند که یک بکدور پاورشل (PowerShell Backdoor) را برای سرقت و استخراج داده‌های حساس از سیستم‌های آلوده مستقر می‌کند. TASK#STOMP امکان جمع‌آوری اسناد تجاری، مانیتورینگ بلادرنگ فایل‌ها، سرقت رمزهای وای‌فای (Wi-Fi) و محتوای کلیپ‌بورد، ثبت اسکرین‌شات از صفحه‌نمایش و اجرای دستورات دلخواه از راه دور را فراهم می‌کند. همچنین این بکدور از طریق دو سرور فرماندهی و کنترل (C2) پشتیبان با احراز هویت مبتنی بر توکن، ارتباط خود را با زیرساخت مهاجمان حفظ می‌کند.
مهاجمان سایبری با بهره‌گیری از حملات کلیک‌فیکس(ClickFix) ، تروجان دسترسی از راه دور (RAT) جدیدی به نام ChainScript را توزیع کرده‌اند که با استفاده از محیط اجرای Node.js، قابلیت‌هایی مانند اجرای دستورات، مدیریت فایل‌ها، تهیه اسکرین‌شات و شناسایی کیف‌پول‌های رمزارزی را در اختیار مهاجمان قرار می‌دهد. بررسی‌ها نشان می‌دهد که بدافزار ChainScript علاوه بر استفاده از روش‌های چندمرحله‌ای برای استقرار و پایداری (Persistence) روی سیستم قربانی، از یک قرارداد هوشمند در بلاک‌چین پالیگان (Polygon) برای شناسایی زیرساخت فعال فرماندهی و کنترل (C2) و هدایت سیستم‌های آلوده به زیرساخت جدید استفاده می‌کند. این قابلیت به بدافزار ChainScript امکان می‌دهد زیرساخت C2 را به‌سرعت تغییر دهد و در صورت شناسایی یا مسدود شدن آن، زیرساخت جدیدی را جایگزین کند.
گروه اخاذی سایبری شاینی‌هانترز (ShinyHunters) با نفوذ به سایت افشای اطلاعات گروه باج‌افزاری Clop، محتوای این سایت را در سرویس Tor دستکاری کرد و مدعی شد به داده‌های سرور و کلیدهای خصوصی سرویس Onion این گروه دست یافته است. شاینی‌هانترز اعلام کرده این حمله با سوءاستفاده از یک آسیب‌پذیری آپلود فایل بدون احراز هویت در Grav CMS انجام شده و در ادامه، Clop را به پرداخت باج در ازای عدم انتشار اطلاعات ادعایی تهدید کرده است. این درگیری سایبری ریشه در اختلافات قبلی این دو گروه دارد که به کمپین سرقت داده از Oracle E-Business Suite بازمی‌گردد.
یک آسیب‌پذیری بحرانی در WSO2 API Manager با شناسه CVE-2026-5430 اکنون در حملات واقعی هدف تلاش‌های فعال برای سوءاستفاده قرار گرفته است. این آسیب‌پذیری با امتیاز 9.8 از 10 در CVSS ناشی از اعتبارسنجی نادرست امضای رمزنگاری‌شده (Improper Verification of Cryptographic Signature) است و می‌تواند با دور زدن احراز هویت JWT، کنترل حساب کاربری را در اختیار مهاجم قرار دهد. یافته‌های watchTowr نشان می‌دهد که WSO2 API Manager و محصولات مرتبط با آن تحت تأثیر این آسیب‌پذیری هستند و مهاجمان می‌توانند با استفاده از توکن‌های JWT جعلی، به سطح دسترسی ادمین دست پیدا کنند. به همین دلیل، کاربران نسخه‌های آسیب‌پذیر باید هرچه سریع‌تر پچ‌های امنیتی منتشرشده را نصب کنند.
گروهی از هکرهای مرتبط با چین در یک کمپین فیشینگ هدفمند، با سوءاستفاده از آسیب‌پذیری‌های امنیتی پچ‌شده در گوگل کروم و مایکروسافت ویندوز، یک زنجیره اکسپلویت روز صفر (Zero-Day) را برای استقرار بدافزار GRIMWEDGE به کار گرفته‌اند. این عملیات که توسط شرکت Volexity به گروه تهدید UTA0560 نسبت داده شده است، در اول سپتامبر 2026 چندین سازمان غیردولتی را هدف قرار داد. مهاجمان با فرار از سندباکس (Sandbox) مرورگر، امکان تزریق کد به پردازه کروم و اجرای کد دلخواه را فراهم کردند و در ادامه، بدافزار GRIMWEDGE را روی سیستم‌های هدف مستقر کردند؛ بدافزاری که قابلیت‌هایی مانند شناسایی سیستم، مدیریت فایل‌ها و پردازه‌ها، اجرای دستورات و دریافت پیلودهای بیشتر را در اختیار مهاجمان قرار می‌داد.
سازمان امنیت سایبری و زیرساخت آمریکا (CISA) اعلام کرده است که گروه‌های باج‌افزاری از آسیب‌پذیری VMware vCenter با شناسه CVE-2026-59310 سوءاستفاده می‌کنند. این آسیب‌پذیری در سرور Syslog نرم‌افزار VMware vCenter قرار دارد و به مهاجمان احراز هویت‌نشده اجازه می‌دهد با بهره‌گیری از پیمایش مسیر (Directory Traversal)، کد دلخواه را از راه دور(RCE) اجرا کنند. شرکت Broadcom این آسیب‌پذیری بحرانی را در 29 جولای پچ کرده بود، اما تداوم حملات باعث شد CISA آن را به فهرست KEV اضافه کند.
یک کمپین اسکن گسترده، سرورهای Vite متصل به اینترنت را هدف گرفته است تا با بهره‌گیری از اکسپلویت آسیب‌پذیری CVE-2026-39364، اعتبارنامه‌های سرویس‌های ابری و پیکربندی‌های حساس در محیط‌های AWS و Azure را سرقت کند. این آسیب‌پذیری با شدت بالا (High-Severity) به مهاجمان اجازه می‌دهد محدودیت‌های دسترسی به فایل‌ها را دور بزنند و فایل‌هایی را بخوانند که در شرایط عادی نباید به آن‌ها دسترسی داشته باشند. بررسی این فعالیت مخرب نشان می‌دهد سرورهای Vite آسیب‌پذیر به مسیری برای استخراج اطلاعات حساس زیرساخت‌های ابری تبدیل شده‌اند؛ موضوعی که اهمیت به‌روزرسانی این سرورها و جلوگیری از دسترسی عمومی به آن‌ها را بیش از پیش نشان می‌دهد.
گروه هوش تهدیدات گوگل (GTIG) از افزایش استفاده مهاجمان از فریم‌ورک‌های هوش مصنوعی برای خودکارسازی و هماهنگی مراحل مختلف حملات سایبری خبر داده است. این فریم‌ورک‌های هوش مصنوعی با استفاده از معماری چندعاملی (Multi-Agent) می‌توانند وظایفی مانند شناسایی آسیب‌پذیری‌ها، سرقت گسترده اعتبارنامه‌ها، رفع خطاها و تغییر مسیر ترافیک را با حداقل دخالت انسانی انجام دهند؛ روندی که نشان می‌دهد عملیات سایبری به‌تدریج از خودکارسازی سنتی به سمت سامانه‌های هوشمند و خودمختار حرکت می‌کند.
یک فریم‌ورک فیشینگ به‌عنوان سرویس (PhaaS) با نام BigBear 2.0 توانسته است با دور زدن احراز هویت چندعاملی (MFA) در 258 سازمان، بیش از 5 هزار اعتبارنامه کاربران مایکروسافت 365 را سرقت کند. این عملیات با هدف قرار دادن کاربران مایکروسافت 365 و بهره‌گیری از روش‌های رهگیری اطلاعات احراز هویت، امکان دسترسی مهاجمان به نشست‌های معتبر کاربران را فراهم کرده است.
هکرها با سوءاستفاده از دو آسیب‌پذیری جدید در RouterOS، روترهای میکروتیک(MikroTik routers) را هدف حملات خود قرار داده‌اند. مهاجمان از این ضعف‌های امنیتی برای دور زدن احراز هویت SSH و دستیابی به سطح دسترسی مدیریتی استفاده می‌کنند. روترهای میکروتیک که سرویس SSH آن‌ها از طریق اینترنت قابل دسترسی است، هدف این حملات قرار گرفته‌اند و CERT لهستان نیز سوءاستفاده مهاجمان از این آسیب‌پذیری‌ها در حملات واقعی را تأیید کرده است. میکروتیک برای رفع این آسیب‌پذیری‌ها به‌روزرسانی امنیتی منتشر کرده است.
