گروهی از هکرهای مرتبط با چین در یک کمپین فیشینگ هدفمند، با سوءاستفاده از آسیب‌پذیری‌های امنیتی پچ‌شده در گوگل کروم و مایکروسافت ویندوز، یک زنجیره اکسپلویت روز صفر (Zero-Day) را برای استقرار بدافزار GRIMWEDGE به کار گرفته‌اند. این عملیات که توسط شرکت Volexity به گروه تهدید UTA0560 نسبت داده شده است، در اول سپتامبر 2026 چندین سازمان غیردولتی را هدف قرار داد. مهاجمان با فرار از سندباکس (Sandbox) مرورگر، امکان تزریق کد به پردازه کروم و اجرای کد دلخواه را فراهم کردند و در ادامه، بدافزار GRIMWEDGE را روی سیستم‌های هدف مستقر کردند؛ بدافزاری که قابلیت‌هایی مانند شناسایی سیستم، مدیریت فایل‌ها و پردازه‌ها، اجرای دستورات و دریافت پیلودهای بیشتر را در اختیار مهاجمان قرار می‌داد.
یک فریم‌ورک فیشینگ به‌عنوان سرویس (PhaaS) با نام BigBear 2.0 توانسته است با دور زدن احراز هویت چندعاملی (MFA) در 258 سازمان، بیش از 5 هزار اعتبارنامه کاربران مایکروسافت 365 را سرقت کند. این عملیات با هدف قرار دادن کاربران مایکروسافت 365 و بهره‌گیری از روش‌های رهگیری اطلاعات احراز هویت، امکان دسترسی مهاجمان به نشست‌های معتبر کاربران را فراهم کرده است.
مایکروسافت از شناسایی یک کمپین فیشینگ خبر داده است که با سوءاستفاده از کاراکترهای نامرئی یونیکد (Unicode)، میلیون‌ها ایمیل را با هدف دور زدن فیلترهای امنیتی ارسال کرده است. مهاجمان با قرار دادن کاراکترهای نامرئی میان حروف کلمات مرتبط با فریب‌های مالی، کاری می‌کنند که این کلمات برای گیرنده عادی به نظر برسند و فیلترهای ایمیل نتوانند آن‌ها را به‌درستی شناسایی کنند. این روش که با سوءاستفاده از قابلیت‌های یونیکد اجرا می‌شود، نمونه‌ای از استفاده از تکنیک ASCII Smuggling در حملات فیشینگ است و نشان می‌دهد مهاجمان چگونه با روش‌های جدید، فیلترها و سازوکارهای امنیتی ایمیل را دور می‌زنند.
عاملان فیشینگ با سوءاستفاده از پلتفرمFaronics Deploy در تلاش‌اند کنترل مدیریتی از راه دور رایانه‌های قربانیان را به دست آورند و نرم‌افزار پشتیبانی از راه دور ScreenConnect را روی سیستم‌های آن‌ها نصب کنند. در جریان فعالیت‌هایی که بین 21 ژوئیه تا 20 آگوست شناسایی شده، ایمیل‌هایی با ظاهر فاکتور، اسناد مالیاتی یا سایر فایل‌های تجاری و با محتوایی مرتبط با Faronics برای بیش از 457 Endpoint ارسال شده‌اند. این ایمیل‌ها بخشی از فرآیند فیشینگ مهاجمان برای هدایت کاربران به سمت دانلود و اجرای Faronics Deploy بوده‌اند.
یک فریم‌ورک بدافزاری جدید و پیش‌تر مستندنشده با نام GoCaracal در جریان یک نفوذ سایبری علیه یک سازمان ارتباطی در ونزوئلا شناسایی شده است. شرکت امنیت سایبری Arctic Wolf با اطمینان متوسط، فعالیت مرتبط با بدافزار GoCaracal را به گروه Dark Caracal نسبت داده است. این فریم‌ورک مبتنی بر زبان Go، علاوه بر فراهم کردن دسترسی از راه دور و اجرای پیلود، قابلیت‌هایی برای سرقت داده‌های مرورگر، ثبت کلیدهای فشرده‌شده و کنترل دسکتاپ در اختیار مهاجمان قرار می‌دهد. همچنین بدافزار GoCaracal با استفاده از یک قرارداد هوشمند اتریوم می‌تواند در صورت از دسترس خارج شدن سرور فرماندهی و کنترل (C2) اصلی، آدرس یک سرور C2 جایگزین را دریافت کرده و برای برقراری مجدد ارتباط با زیرساخت مهاجم از آن استفاده کند.
مهاجمان سایبری با سوءاستفاده از npm و میرورهای آن (Mirrors)، صفحات فیشینگ را در قالب صفحات HTML مخرب میزبانی می‌کنند. این صفحات با جعل کپچاهای کلودفلر (Cloudflare CAPTCHA)، بازدیدکنندگان را به وب‌سایت‌های تحت کنترل مهاجمان هدایت می‌کنند. بررسی‌های امنیتی نشان می‌دهد این روش تاکنون در دست‌کم 24 پکیج npm شناسایی شده و میرورهای این مخزن نیز به محلی برای میزبانی صفحات فیشینگ تبدیل شده‌اند. مهاجمان با تکیه بر زیرساخت‌های معتبر و استفاده از قابلیت ریدایرکت (Redirect)، کاربران را به مقصدهای مخرب، صفحات جعلی ورود یا سایر محتوای تحت کنترل خود هدایت می‌کنند.
پلتفرم AnonyMousKIT یک سرویس فیشینگ (PhaaS) است که با استفاده از عامل‌های صوتی هوش مصنوعی (AI Voice Agents)، پس‌کد (Passcode) آیفون‌های سرقت‌شده را از طریق فریب مالکان دستگاه به دست می‌آورد. فعالیت پلتفرم AnonyMousKIT از اوایل سال 2024 آغاز شده و این سرویس اکنون بخشی از یک اکوسیستم سازمان‌یافته برای سوءاستفاده از آیفون‌های سرقت‌شده محسوب می‌شود. این زیرساخت علاوه بر کمک به دورزدن قفل فعال‌سازی (Activation Lock)، امکان سرقت شناسه‌های اپل (Apple ID) و دسترسی به نسخه‌های پشتیبان iCloud و اطلاعات کی‌چین (Keychain) را برای مهاجمان فراهم می‌کند و ارزش دستگاه‌های سرقت‌شده را در بازار فروش مجدد افزایش می‌دهد.
فیشینگ 3.0 در حال تغییر قواعد نبرد سایبری است. در این حملات، تهدید دیگر لزوماً در قالب یک لینک مخرب، فایل آلوده یا پیلود قابل شناسایی ظاهر نمی‌شود و مهاجمان با جعل هویت، مهندسی اجتماعی و طراحی پیام‌های متناسب با هر قربانی، اعتماد کاربران را به نقطه ورود حمله تبدیل می‌کنند. در حالی که بسیاری از سامانه‌های دفاعی ایمیل هنوز بر اسکن محتوا و مسدودسازی تهدیدهای شناخته‌شده تکیه دارند، فیشینگ 3.0 با بهره‌گیری از هوش مصنوعی مولد (GenAI)، عامل‌های هوش مصنوعی (AI Agents) و فناوری دیپ‌فیک (Deepfake)، حملات شخصی‌سازی‌شده‌ای را امکان‌پذیر می‌کند که به ایمیل محدود نمی‌مانند و بسترهای ارتباطی مختلف از جمله تماس صوتی، ویدئو و تعاملات مستقیم با کاربران را هدف قرار می‌دهند. در این نبرد، مهاجم دیگر لزوماً یک انسان نیست و تیم‌های امنیتی نیز نمی‌توانند با روش‌های سنتی با سرعت و گستردگی این حملات همگام شوند. در نتیجه، مقابله با فیشینگ به رقابتی میان عامل‌های هوش مصنوعی تبدیل شده است که در یک سو حملات را طراحی و اجرا می‌کنند و در سوی دیگر برای شناسایی و مهار آن‌ها به کار گرفته می‌شوند.
مهاجمان با سوءاستفاده از بنرهای سرور FTP (FTP Server Banners)، دستورات لازم برای انتقال دو تروجان دسترسی از راه دور (RAT) جدید با نام‌های E4del و PINHOLE را مخفی می‌کنند. در این روش غیرمعمول، فایل‌های میانبر (LNK) و زیرساخت‌های دد دراپ (Dead-Drop Resolvers- DDR) برای دریافت دستورات مخرب به کار گرفته می‌شوند؛ روشی که بدافزار ویندوزی را از مسیری متفاوت با روش‌های متداول به سیستم قربانی می‌رساند.
بررسی‌های امنیتی نشان می‌دهد این کمپین از جولای 2026 فعال بوده و مهاجمان در ادامه زنجیره آلودگی، از پاورشل (PowerShell) و تکنیک‌های پیشرفته تزریق کد برای اجرای بدافزار ویندوزی و حفظ کنترل سیستم آلوده استفاده می‌کنند.
در تحولی مهم در سیاست سایبری ایالات متحده، رئیس‌جمهور آمریکا، دونالد ترامپ، با امضای یک یادداشت امنیت ملی (NSPM)، دستور ایجاد برنامه‌ای را صادر کرده است که به شرکت‌های امنیتی خصوصی اجازه می‌دهد برای دریافت مجوز اجرای عملیات سایبری تهاجمی علیه گروه‌های تهدید مستقر در خارج از آمریکا درخواست دهند. این برنامه که زیر نظر مرکز هماهنگی ملی (NCC) اجرا خواهد شد، زمینه را برای مشارکت رسمی‌تر شرکت‌های امنیتی خصوصی در عملیات سایبری تهاجمی تحت کنترل و اختیار دولت آمریکا فراهم می‌کند.
گروهی از هکرهای مرتبط با چین در یک کمپین فیشینگ هدفمند، با سوءاستفاده از آسیب‌پذیری‌های امنیتی پچ‌شده در گوگل کروم و مایکروسافت ویندوز، یک زنجیره اکسپلویت روز صفر (Zero-Day) را برای استقرار بدافزار GRIMWEDGE به کار گرفته‌اند. این عملیات که توسط شرکت Volexity به گروه تهدید UTA0560 نسبت داده شده است، در اول سپتامبر 2026 چندین سازمان غیردولتی را هدف قرار داد. مهاجمان با فرار از سندباکس (Sandbox) مرورگر، امکان تزریق کد به پردازه کروم و اجرای کد دلخواه را فراهم کردند و در ادامه، بدافزار GRIMWEDGE را روی سیستم‌های هدف مستقر کردند؛ بدافزاری که قابلیت‌هایی مانند شناسایی سیستم، مدیریت فایل‌ها و پردازه‌ها، اجرای دستورات و دریافت پیلودهای بیشتر را در اختیار مهاجمان قرار می‌داد.
یک فریم‌ورک فیشینگ به‌عنوان سرویس (PhaaS) با نام BigBear 2.0 توانسته است با دور زدن احراز هویت چندعاملی (MFA) در 258 سازمان، بیش از 5 هزار اعتبارنامه کاربران مایکروسافت 365 را سرقت کند. این عملیات با هدف قرار دادن کاربران مایکروسافت 365 و بهره‌گیری از روش‌های رهگیری اطلاعات احراز هویت، امکان دسترسی مهاجمان به نشست‌های معتبر کاربران را فراهم کرده است.
مایکروسافت از شناسایی یک کمپین فیشینگ خبر داده است که با سوءاستفاده از کاراکترهای نامرئی یونیکد (Unicode)، میلیون‌ها ایمیل را با هدف دور زدن فیلترهای امنیتی ارسال کرده است. مهاجمان با قرار دادن کاراکترهای نامرئی میان حروف کلمات مرتبط با فریب‌های مالی، کاری می‌کنند که این کلمات برای گیرنده عادی به نظر برسند و فیلترهای ایمیل نتوانند آن‌ها را به‌درستی شناسایی کنند. این روش که با سوءاستفاده از قابلیت‌های یونیکد اجرا می‌شود، نمونه‌ای از استفاده از تکنیک ASCII Smuggling در حملات فیشینگ است و نشان می‌دهد مهاجمان چگونه با روش‌های جدید، فیلترها و سازوکارهای امنیتی ایمیل را دور می‌زنند.
عاملان فیشینگ با سوءاستفاده از پلتفرمFaronics Deploy در تلاش‌اند کنترل مدیریتی از راه دور رایانه‌های قربانیان را به دست آورند و نرم‌افزار پشتیبانی از راه دور ScreenConnect را روی سیستم‌های آن‌ها نصب کنند. در جریان فعالیت‌هایی که بین 21 ژوئیه تا 20 آگوست شناسایی شده، ایمیل‌هایی با ظاهر فاکتور، اسناد مالیاتی یا سایر فایل‌های تجاری و با محتوایی مرتبط با Faronics برای بیش از 457 Endpoint ارسال شده‌اند. این ایمیل‌ها بخشی از فرآیند فیشینگ مهاجمان برای هدایت کاربران به سمت دانلود و اجرای Faronics Deploy بوده‌اند.
یک فریم‌ورک بدافزاری جدید و پیش‌تر مستندنشده با نام GoCaracal در جریان یک نفوذ سایبری علیه یک سازمان ارتباطی در ونزوئلا شناسایی شده است. شرکت امنیت سایبری Arctic Wolf با اطمینان متوسط، فعالیت مرتبط با بدافزار GoCaracal را به گروه Dark Caracal نسبت داده است. این فریم‌ورک مبتنی بر زبان Go، علاوه بر فراهم کردن دسترسی از راه دور و اجرای پیلود، قابلیت‌هایی برای سرقت داده‌های مرورگر، ثبت کلیدهای فشرده‌شده و کنترل دسکتاپ در اختیار مهاجمان قرار می‌دهد. همچنین بدافزار GoCaracal با استفاده از یک قرارداد هوشمند اتریوم می‌تواند در صورت از دسترس خارج شدن سرور فرماندهی و کنترل (C2) اصلی، آدرس یک سرور C2 جایگزین را دریافت کرده و برای برقراری مجدد ارتباط با زیرساخت مهاجم از آن استفاده کند.
مهاجمان سایبری با سوءاستفاده از npm و میرورهای آن (Mirrors)، صفحات فیشینگ را در قالب صفحات HTML مخرب میزبانی می‌کنند. این صفحات با جعل کپچاهای کلودفلر (Cloudflare CAPTCHA)، بازدیدکنندگان را به وب‌سایت‌های تحت کنترل مهاجمان هدایت می‌کنند. بررسی‌های امنیتی نشان می‌دهد این روش تاکنون در دست‌کم 24 پکیج npm شناسایی شده و میرورهای این مخزن نیز به محلی برای میزبانی صفحات فیشینگ تبدیل شده‌اند. مهاجمان با تکیه بر زیرساخت‌های معتبر و استفاده از قابلیت ریدایرکت (Redirect)، کاربران را به مقصدهای مخرب، صفحات جعلی ورود یا سایر محتوای تحت کنترل خود هدایت می‌کنند.
پلتفرم AnonyMousKIT یک سرویس فیشینگ (PhaaS) است که با استفاده از عامل‌های صوتی هوش مصنوعی (AI Voice Agents)، پس‌کد (Passcode) آیفون‌های سرقت‌شده را از طریق فریب مالکان دستگاه به دست می‌آورد. فعالیت پلتفرم AnonyMousKIT از اوایل سال 2024 آغاز شده و این سرویس اکنون بخشی از یک اکوسیستم سازمان‌یافته برای سوءاستفاده از آیفون‌های سرقت‌شده محسوب می‌شود. این زیرساخت علاوه بر کمک به دورزدن قفل فعال‌سازی (Activation Lock)، امکان سرقت شناسه‌های اپل (Apple ID) و دسترسی به نسخه‌های پشتیبان iCloud و اطلاعات کی‌چین (Keychain) را برای مهاجمان فراهم می‌کند و ارزش دستگاه‌های سرقت‌شده را در بازار فروش مجدد افزایش می‌دهد.
فیشینگ 3.0 در حال تغییر قواعد نبرد سایبری است. در این حملات، تهدید دیگر لزوماً در قالب یک لینک مخرب، فایل آلوده یا پیلود قابل شناسایی ظاهر نمی‌شود و مهاجمان با جعل هویت، مهندسی اجتماعی و طراحی پیام‌های متناسب با هر قربانی، اعتماد کاربران را به نقطه ورود حمله تبدیل می‌کنند. در حالی که بسیاری از سامانه‌های دفاعی ایمیل هنوز بر اسکن محتوا و مسدودسازی تهدیدهای شناخته‌شده تکیه دارند، فیشینگ 3.0 با بهره‌گیری از هوش مصنوعی مولد (GenAI)، عامل‌های هوش مصنوعی (AI Agents) و فناوری دیپ‌فیک (Deepfake)، حملات شخصی‌سازی‌شده‌ای را امکان‌پذیر می‌کند که به ایمیل محدود نمی‌مانند و بسترهای ارتباطی مختلف از جمله تماس صوتی، ویدئو و تعاملات مستقیم با کاربران را هدف قرار می‌دهند. در این نبرد، مهاجم دیگر لزوماً یک انسان نیست و تیم‌های امنیتی نیز نمی‌توانند با روش‌های سنتی با سرعت و گستردگی این حملات همگام شوند. در نتیجه، مقابله با فیشینگ به رقابتی میان عامل‌های هوش مصنوعی تبدیل شده است که در یک سو حملات را طراحی و اجرا می‌کنند و در سوی دیگر برای شناسایی و مهار آن‌ها به کار گرفته می‌شوند.
مهاجمان با سوءاستفاده از بنرهای سرور FTP (FTP Server Banners)، دستورات لازم برای انتقال دو تروجان دسترسی از راه دور (RAT) جدید با نام‌های E4del و PINHOLE را مخفی می‌کنند. در این روش غیرمعمول، فایل‌های میانبر (LNK) و زیرساخت‌های دد دراپ (Dead-Drop Resolvers- DDR) برای دریافت دستورات مخرب به کار گرفته می‌شوند؛ روشی که بدافزار ویندوزی را از مسیری متفاوت با روش‌های متداول به سیستم قربانی می‌رساند.
بررسی‌های امنیتی نشان می‌دهد این کمپین از جولای 2026 فعال بوده و مهاجمان در ادامه زنجیره آلودگی، از پاورشل (PowerShell) و تکنیک‌های پیشرفته تزریق کد برای اجرای بدافزار ویندوزی و حفظ کنترل سیستم آلوده استفاده می‌کنند.
در تحولی مهم در سیاست سایبری ایالات متحده، رئیس‌جمهور آمریکا، دونالد ترامپ، با امضای یک یادداشت امنیت ملی (NSPM)، دستور ایجاد برنامه‌ای را صادر کرده است که به شرکت‌های امنیتی خصوصی اجازه می‌دهد برای دریافت مجوز اجرای عملیات سایبری تهاجمی علیه گروه‌های تهدید مستقر در خارج از آمریکا درخواست دهند. این برنامه که زیر نظر مرکز هماهنگی ملی (NCC) اجرا خواهد شد، زمینه را برای مشارکت رسمی‌تر شرکت‌های امنیتی خصوصی در عملیات سایبری تهاجمی تحت کنترل و اختیار دولت آمریکا فراهم می‌کند.
