بدافزار PEEP به‌عنوان یک ابزار پیچیده پس از نفوذ شناسایی شده است که با سوءاستفاده از قابلیت‌های داخلی کرومیوم (Chromium)، مرورگرهای کروم و اج (Edge) را به بستری برای کنترل سیستم و اجرای دستور تبدیل می‌کند. این ابزار در قالب یک افزونه بوکمارک (Bookmarks) پنهان می‌شود و برای نصب و استقرار به دسترسی مدیریتی یا قابلیت اجرای کد روی سیستم نیاز دارد. نصب‌کننده PEEP با دست‌کاری مقادیر مربوط به یکپارچگی تنظیمات در Secure Preferences کرومیوم، فرآیند بررسی افزونه و تأیید کاربر را دور می‌زند و آن را مستقیماً در پروفایل مرورگر نصب می‌کند. بدافزار PEEP پس از استقرار، با استفاده از قابلیت پیام‌رسانی بومی (Native Messaging)، فعالیت خود را به خارج از محیط مرورگر گسترش می‌دهد و علاوه بر جمع‌آوری اطلاعات مرورگر، امکان اجرای دستور در سطح سیستم میزبان (Host-Level Command Execution) و مدیریت فایل‌ها را برای مهاجم فراهم می‌کند.
مهاجمان با سوءاستفاده از یک آسیب‌پذیری بحرانی در F5 BIG-IP APM، یک روت‌کیت لینوکس (Linux Rootkit) را روی این تجهیزات مستقر کرده‌اند. این روت‌کیت با رهگیری فرآیند بارگذاری فایل‌های PHP، یک وب‌شل بدون فایل یا به عبارتی فایل‌لس (Fileless Web Shell) را مستقیماً در حافظه تزریق کرده و بدون نوشتن کد مخرب روی دیسک، امکان اجرای کد را فراهم می‌کند. بررسی‌های امنیتی نشان می‌دهد این بدافزار احتمالاً به‌عنوان پیلود مرحله دوم حمله مستقر شده است. مهاجمان احتمالاً این پیلود را پس از سوءاستفاده از آسیب‌پذیری F5 BIG-IP APM با شناسه CVE-2025-53521 روی تجهیزات مستقر کرده‌اند.
پژوهشگران شرکت چک پوینت (Check Point) از یک آسیب‌پذیری در چت‌جی‌پی‌تی (ChatGPT) خبر داده‌اند که می‌تواند به مهاجمان اجازه دهد با قرار دادن یک دستورالعمل مخفی در مکالمه، این سامانه را به اجرای پنهانی وظایفی خارج از درخواست کاربر وادار کنند. در یک نمونه اثبات مفهوم (PoC)، چت‌جی‌پی‌تی بدون اطلاع کاربر، داده‌های حساب جیمیل (Gmail) متصل به نشست را خواند و آن‌ها را از طریق یک کانال مخفی به حساب دیگری منتقل کرد. این سناریو نشان می‌دهد که مهاجمان می‌توانند از اپلیکیشن‌ها و سرویس‌های متصل به حساب کاربر برای اجرای فعالیت‌های پنهان و افشای داده‌های او سوءاستفاده کنند.
تیم‌های امنیتی طی سال‌های گذشته با استفاده از احراز هویت چندعاملی (MFA)، دسترسی مشروط (Conditional Access) و اعتماد به دستگاه (Device Trust) تلاش کرده‌اند دسترسی غیرمجاز مهاجمان به حساب‌های کاربری را دشوارتر کنند. احراز هویت چندعاملی با افزودن یک لایه حفاظتی مهم به احراز هویت مبتنی بر رمز عبور، در کنار بررسی‌های امنیتی بیشتر پیش از دسترسی کاربران به سامانه‌های حساس، سطح امنیت حساب‌ها را افزایش داده است. با این حال، تقویت این لایه‌های امنیتی باعث شده است مهاجمان به دنبال مسیرهای دیگری برای نفوذ باشند. به همین دلیل، برخی حملات به‌جای هدف قرار دادن مستقیم سازوکارهای احراز هویت، فرآیندهای مرتبط با آن، به‌ویژه بازیابی حساب (Account Recovery) را هدف قرار می‌دهند. در چنین شرایطی، مهاجم نیازی به سرقت عامل دوم احراز هویت ندارد؛ کافی است فردی را که مجوز مدیریت این عامل دارد، فریب دهد تا عامل احراز هویت تغییر کند و دسترسی به حساب در اختیار مهاجم قرار گیرد. بنابراین، بازیابی حساب دیگر صرفاً یک فرآیند پشتیبانی نیست، بلکه به بخشی از فرآیند امنیت هویت سازمان تبدیل شده است و سرویس دسک (Service Desk) نیز در این میان نقش مهمی در حفاظت از دسترسی به حساب‌های کاربری دارد.
مهاجمان سایبری برای دور زدن سازوکارهای شناسایی امنیتی، به روش‌های پیچیده‌تری روی آورده‌اند و اکنون هوش مصنوعی Claude را برای خودکارسازی این فرآیند در یک کمپین جاسوسی سایبری تحت حمایت دولت روسیه به کار گرفته‌اند. شرکت آنتروپیک از مختل کردن این کمپین خبر داده است که اجرای آن به گروه GTG-20006 نسبت داده می‌شود. این گروه که در گزارش‌های مختلف با نام‌های APT29 و Cozy Bear نیز شناخته می‌شود، از هوش مصنوعی Claude برای توسعه یک جریان کاری مبتنی بر هوش مصنوعی (AI-Assisted Workflow) استفاده کرده است تا پس از شناسایی بدافزار، آن را به‌صورت خودکار بازطراحی و دوباره مستقر کند. در این فرآیند، نسخه جدید بدافزار با تغییر ویژگی‌های خود می‌تواند احتمال شناسایی مجدد توسط ابزارهای امنیتی را کاهش دهد. هدف این عملیات، نهادهای دولتی، دفاعی و دیپلماتیک در اوکراین و اروپا بوده است و این روند نشان می‌دهد که چگونه مهاجمان می‌توانند با کمک هوش مصنوعی، بدافزارهای خود را پس از شناسایی به‌سرعت بازطراحی و دوباره وارد چرخه عملیات کنند.
مایکروسافت از شناسایی یک کمپین فیشینگ خبر داده است که با سوءاستفاده از کاراکترهای نامرئی یونیکد (Unicode)، میلیون‌ها ایمیل را با هدف دور زدن فیلترهای امنیتی ارسال کرده است. مهاجمان با قرار دادن کاراکترهای نامرئی میان حروف کلمات مرتبط با فریب‌های مالی، کاری می‌کنند که این کلمات برای گیرنده عادی به نظر برسند و فیلترهای ایمیل نتوانند آن‌ها را به‌درستی شناسایی کنند. این روش که با سوءاستفاده از قابلیت‌های یونیکد اجرا می‌شود، نمونه‌ای از استفاده از تکنیک ASCII Smuggling در حملات فیشینگ است و نشان می‌دهد مهاجمان چگونه با روش‌های جدید، فیلترها و سازوکارهای امنیتی ایمیل را دور می‌زنند.
هکرها با اجرای حمله ربایش BGP (BGP Hijacking)، مسیر ترافیک زیرساخت به‌روزرسانی Virtualizor را به سمت سرورهای مخرب تغییر دادند و یک بسته به‌روزرسانی مخرب Virtualizor را به تعداد محدودی از نصب‌ها رساندند. این حمله ربایش BGP که از 28 تا 30 آگوست ادامه داشت، علاوه بر زیرساخت به‌روزرسانی، ترافیک مربوط به پورتال مشتریان و امور مالی Softaculous را نیز منحرف کرد. اکنون این شرکت از مدیران Virtualizor خواسته است سیستم‌های خود را برای شناسایی شاخص‌های احتمالی نفوذ (IOC) بررسی کنند.
جزئیات تازه از حمله سایبری ماه جولای به هاگینگ‌فیس (Hugging Face) نشان می‌دهد صدها عامل هوش مصنوعی (AI Agent) که تحت هدایت مدل داخلی IM1 شرکت OpenAI فعالیت می‌کردند، از یک کانال ارتباطی غیرمجاز برای هماهنگی مراحل نفوذ به این پلتفرم استفاده کرده‌اند. این حمله با سوءاستفاده از دو آسیب‌پذیری در پایپ‌لاین پردازش مجموعه‌داده‌ها، امکان اجرای کد، سرقت اعتبارنامه‌های زیرساخت ابری و کلاسترها و حرکت جانبی (Lateral Movement) در زیرساخت عملیاتی را برای عامل‌های مهاجم فراهم کرد. این یافته‌ها تصویری نگران‌کننده از توانایی هاگینگ‌فیس در تبدیل‌شدن به بستری برای همکاری خودکار عامل‌های مخرب و اجرای حملات چندمرحله‌ای ارائه می‌کند.
آسیب‌پذیری بحرانی cPanel با شناسه CVE-2026-65643 می‌تواند از یک حساب کاربری مجاز در سرویس میزبانی، مسیری تا اجرای کد با سطح دسترسی Root و کنترل کامل سرور ایجاد کند. این آسیب‌پذیری بحرانی cPanel در قابلیت‌های پارک دامنه (Domain Parking) و افزودن دامنه (Addon Domain) در cPanel و WebHost Manager (WHM) شناسایی شده است و تمامی نسخه‌های پشتیبانی‌شده این پلتفرم را تحت تأثیر قرار می‌دهد؛ به همین دلیل، اعمال پچ‌های امنیتی و به‌روزرسانی سرورها برای مدیران ضروری است.
پلاگین Admin Menu Editor Pro پس از نفوذ یک عامل تهدید به وب‌سایت توسعه‌دهنده، با توزیع نسخه‌های مخرب در اختیار بیش از 200 مشتری قرار گرفت و این نسخه‌ها روی دست‌کم 1500 سایت وردپرسی نصب شدند. نسخه‌های آلوده این پلاگین حاوی کدی بودند که با نصب وب‌شل (Web Shell) و ایجاد یک حساب کاربری مخفی، امکان دسترسی غیرمجاز به سایت‌های قربانی را فراهم می‌کردند. در این حمله، پلاگین Admin Menu Editor Pro به ابزاری برای توزیع کد مخرب تبدیل شد و شواهد نشان می‌دهد دامنه این حمله ممکن است فراتر از مشتریان اولیه باشد؛ بررسی‌ها برای مشخص شدن تعداد واقعی سایت‌های تحت تأثیر همچنان ادامه دارد.
بدافزار PEEP به‌عنوان یک ابزار پیچیده پس از نفوذ شناسایی شده است که با سوءاستفاده از قابلیت‌های داخلی کرومیوم (Chromium)، مرورگرهای کروم و اج (Edge) را به بستری برای کنترل سیستم و اجرای دستور تبدیل می‌کند. این ابزار در قالب یک افزونه بوکمارک (Bookmarks) پنهان می‌شود و برای نصب و استقرار به دسترسی مدیریتی یا قابلیت اجرای کد روی سیستم نیاز دارد. نصب‌کننده PEEP با دست‌کاری مقادیر مربوط به یکپارچگی تنظیمات در Secure Preferences کرومیوم، فرآیند بررسی افزونه و تأیید کاربر را دور می‌زند و آن را مستقیماً در پروفایل مرورگر نصب می‌کند. بدافزار PEEP پس از استقرار، با استفاده از قابلیت پیام‌رسانی بومی (Native Messaging)، فعالیت خود را به خارج از محیط مرورگر گسترش می‌دهد و علاوه بر جمع‌آوری اطلاعات مرورگر، امکان اجرای دستور در سطح سیستم میزبان (Host-Level Command Execution) و مدیریت فایل‌ها را برای مهاجم فراهم می‌کند.
مهاجمان با سوءاستفاده از یک آسیب‌پذیری بحرانی در F5 BIG-IP APM، یک روت‌کیت لینوکس (Linux Rootkit) را روی این تجهیزات مستقر کرده‌اند. این روت‌کیت با رهگیری فرآیند بارگذاری فایل‌های PHP، یک وب‌شل بدون فایل یا به عبارتی فایل‌لس (Fileless Web Shell) را مستقیماً در حافظه تزریق کرده و بدون نوشتن کد مخرب روی دیسک، امکان اجرای کد را فراهم می‌کند. بررسی‌های امنیتی نشان می‌دهد این بدافزار احتمالاً به‌عنوان پیلود مرحله دوم حمله مستقر شده است. مهاجمان احتمالاً این پیلود را پس از سوءاستفاده از آسیب‌پذیری F5 BIG-IP APM با شناسه CVE-2025-53521 روی تجهیزات مستقر کرده‌اند.
پژوهشگران شرکت چک پوینت (Check Point) از یک آسیب‌پذیری در چت‌جی‌پی‌تی (ChatGPT) خبر داده‌اند که می‌تواند به مهاجمان اجازه دهد با قرار دادن یک دستورالعمل مخفی در مکالمه، این سامانه را به اجرای پنهانی وظایفی خارج از درخواست کاربر وادار کنند. در یک نمونه اثبات مفهوم (PoC)، چت‌جی‌پی‌تی بدون اطلاع کاربر، داده‌های حساب جیمیل (Gmail) متصل به نشست را خواند و آن‌ها را از طریق یک کانال مخفی به حساب دیگری منتقل کرد. این سناریو نشان می‌دهد که مهاجمان می‌توانند از اپلیکیشن‌ها و سرویس‌های متصل به حساب کاربر برای اجرای فعالیت‌های پنهان و افشای داده‌های او سوءاستفاده کنند.
تیم‌های امنیتی طی سال‌های گذشته با استفاده از احراز هویت چندعاملی (MFA)، دسترسی مشروط (Conditional Access) و اعتماد به دستگاه (Device Trust) تلاش کرده‌اند دسترسی غیرمجاز مهاجمان به حساب‌های کاربری را دشوارتر کنند. احراز هویت چندعاملی با افزودن یک لایه حفاظتی مهم به احراز هویت مبتنی بر رمز عبور، در کنار بررسی‌های امنیتی بیشتر پیش از دسترسی کاربران به سامانه‌های حساس، سطح امنیت حساب‌ها را افزایش داده است. با این حال، تقویت این لایه‌های امنیتی باعث شده است مهاجمان به دنبال مسیرهای دیگری برای نفوذ باشند. به همین دلیل، برخی حملات به‌جای هدف قرار دادن مستقیم سازوکارهای احراز هویت، فرآیندهای مرتبط با آن، به‌ویژه بازیابی حساب (Account Recovery) را هدف قرار می‌دهند. در چنین شرایطی، مهاجم نیازی به سرقت عامل دوم احراز هویت ندارد؛ کافی است فردی را که مجوز مدیریت این عامل دارد، فریب دهد تا عامل احراز هویت تغییر کند و دسترسی به حساب در اختیار مهاجم قرار گیرد. بنابراین، بازیابی حساب دیگر صرفاً یک فرآیند پشتیبانی نیست، بلکه به بخشی از فرآیند امنیت هویت سازمان تبدیل شده است و سرویس دسک (Service Desk) نیز در این میان نقش مهمی در حفاظت از دسترسی به حساب‌های کاربری دارد.
مهاجمان سایبری برای دور زدن سازوکارهای شناسایی امنیتی، به روش‌های پیچیده‌تری روی آورده‌اند و اکنون هوش مصنوعی Claude را برای خودکارسازی این فرآیند در یک کمپین جاسوسی سایبری تحت حمایت دولت روسیه به کار گرفته‌اند. شرکت آنتروپیک از مختل کردن این کمپین خبر داده است که اجرای آن به گروه GTG-20006 نسبت داده می‌شود. این گروه که در گزارش‌های مختلف با نام‌های APT29 و Cozy Bear نیز شناخته می‌شود، از هوش مصنوعی Claude برای توسعه یک جریان کاری مبتنی بر هوش مصنوعی (AI-Assisted Workflow) استفاده کرده است تا پس از شناسایی بدافزار، آن را به‌صورت خودکار بازطراحی و دوباره مستقر کند. در این فرآیند، نسخه جدید بدافزار با تغییر ویژگی‌های خود می‌تواند احتمال شناسایی مجدد توسط ابزارهای امنیتی را کاهش دهد. هدف این عملیات، نهادهای دولتی، دفاعی و دیپلماتیک در اوکراین و اروپا بوده است و این روند نشان می‌دهد که چگونه مهاجمان می‌توانند با کمک هوش مصنوعی، بدافزارهای خود را پس از شناسایی به‌سرعت بازطراحی و دوباره وارد چرخه عملیات کنند.
مایکروسافت از شناسایی یک کمپین فیشینگ خبر داده است که با سوءاستفاده از کاراکترهای نامرئی یونیکد (Unicode)، میلیون‌ها ایمیل را با هدف دور زدن فیلترهای امنیتی ارسال کرده است. مهاجمان با قرار دادن کاراکترهای نامرئی میان حروف کلمات مرتبط با فریب‌های مالی، کاری می‌کنند که این کلمات برای گیرنده عادی به نظر برسند و فیلترهای ایمیل نتوانند آن‌ها را به‌درستی شناسایی کنند. این روش که با سوءاستفاده از قابلیت‌های یونیکد اجرا می‌شود، نمونه‌ای از استفاده از تکنیک ASCII Smuggling در حملات فیشینگ است و نشان می‌دهد مهاجمان چگونه با روش‌های جدید، فیلترها و سازوکارهای امنیتی ایمیل را دور می‌زنند.
هکرها با اجرای حمله ربایش BGP (BGP Hijacking)، مسیر ترافیک زیرساخت به‌روزرسانی Virtualizor را به سمت سرورهای مخرب تغییر دادند و یک بسته به‌روزرسانی مخرب Virtualizor را به تعداد محدودی از نصب‌ها رساندند. این حمله ربایش BGP که از 28 تا 30 آگوست ادامه داشت، علاوه بر زیرساخت به‌روزرسانی، ترافیک مربوط به پورتال مشتریان و امور مالی Softaculous را نیز منحرف کرد. اکنون این شرکت از مدیران Virtualizor خواسته است سیستم‌های خود را برای شناسایی شاخص‌های احتمالی نفوذ (IOC) بررسی کنند.
جزئیات تازه از حمله سایبری ماه جولای به هاگینگ‌فیس (Hugging Face) نشان می‌دهد صدها عامل هوش مصنوعی (AI Agent) که تحت هدایت مدل داخلی IM1 شرکت OpenAI فعالیت می‌کردند، از یک کانال ارتباطی غیرمجاز برای هماهنگی مراحل نفوذ به این پلتفرم استفاده کرده‌اند. این حمله با سوءاستفاده از دو آسیب‌پذیری در پایپ‌لاین پردازش مجموعه‌داده‌ها، امکان اجرای کد، سرقت اعتبارنامه‌های زیرساخت ابری و کلاسترها و حرکت جانبی (Lateral Movement) در زیرساخت عملیاتی را برای عامل‌های مهاجم فراهم کرد. این یافته‌ها تصویری نگران‌کننده از توانایی هاگینگ‌فیس در تبدیل‌شدن به بستری برای همکاری خودکار عامل‌های مخرب و اجرای حملات چندمرحله‌ای ارائه می‌کند.
آسیب‌پذیری بحرانی cPanel با شناسه CVE-2026-65643 می‌تواند از یک حساب کاربری مجاز در سرویس میزبانی، مسیری تا اجرای کد با سطح دسترسی Root و کنترل کامل سرور ایجاد کند. این آسیب‌پذیری بحرانی cPanel در قابلیت‌های پارک دامنه (Domain Parking) و افزودن دامنه (Addon Domain) در cPanel و WebHost Manager (WHM) شناسایی شده است و تمامی نسخه‌های پشتیبانی‌شده این پلتفرم را تحت تأثیر قرار می‌دهد؛ به همین دلیل، اعمال پچ‌های امنیتی و به‌روزرسانی سرورها برای مدیران ضروری است.
پلاگین Admin Menu Editor Pro پس از نفوذ یک عامل تهدید به وب‌سایت توسعه‌دهنده، با توزیع نسخه‌های مخرب در اختیار بیش از 200 مشتری قرار گرفت و این نسخه‌ها روی دست‌کم 1500 سایت وردپرسی نصب شدند. نسخه‌های آلوده این پلاگین حاوی کدی بودند که با نصب وب‌شل (Web Shell) و ایجاد یک حساب کاربری مخفی، امکان دسترسی غیرمجاز به سایت‌های قربانی را فراهم می‌کردند. در این حمله، پلاگین Admin Menu Editor Pro به ابزاری برای توزیع کد مخرب تبدیل شد و شواهد نشان می‌دهد دامنه این حمله ممکن است فراتر از مشتریان اولیه باشد؛ بررسی‌ها برای مشخص شدن تعداد واقعی سایت‌های تحت تأثیر همچنان ادامه دارد.
