Някои атаки изискват истински умения. Други просто се нуждаят някой да остави вратата отворена. Тази седмица предлага и от двете. Изложени на показ пароли, стари грешки в софтуера, които все още се експлоатират, и доверен софтуер, който прави неща, които не би трябвало.

Налице е странна смесица от хитри трикове и небрежни грешки. Хакерите използват назаем доверието в познати приложения, уебсайтове и инструменти с изкуствен интелект. Някои използват изкуствен интелект, за да ускорят нещата. Други оставят собствените си файлове за атаки незащитени. Не е точно внимателна работа.

Различни истории, познати слаби места. Ето какво се появи тази седмица.

  1. Атаките с PHP2Shell продължават Нито един сайт на WordPress не е компрометиран от PHP2Shell... Все още Компанията за сигурност на WordPress Wordefence заяви, че не ѝ е известно нито един сайт на WordPress да е бил компрометиран чрез PHP2Shell (CVE-2026-109618 и CVE-2026-109619) към 28 октомври 2026 г. „Продължаваме да наблюдаваме заявки, свързани с PHP2Shell, в над 5-те милиона сайта, които защитаваме“, заявиха от компанията. „Тези заявки показват продължаващи опити за сканиране и експлоатиране; те не показват дали даден опит е бил успешен. Нашите екипи за почистване на сайтове и реакция при инциденти не са обработвали компрометиране на WordPress, приписано на тези уязвимости.“
  2. 40,573 разкрити тайни Разследването на FortiBleed разкри допълнителни изложени тайни Разследването на Hudson Rock относно кампанията за събиране на идентификационни данни FortiBleed разкри 975 новоидентифицирани домейна и 40,573 изложени тайни, включително 37,076 записа на локални потребители и 1,576 Active Directory LDAP bind записа. Данните идват от новополучени 1,703 изходни файла на FortiGate, свързани с 1,689 идентификатора на хостове. „Конфигурационните материали датират от около февруари 2026 г., по-рано от вероятните материали от май/юни, изследвани при първото разследване“, заявиха от Hudson Rock. Най-новото откритие получи кодовото име FortiBleed 2.0.
  3. Отвлечен институционален DNS Използване на Domain Shadowing за поставяне на незаконно съдържание Атакуващи са използвали техниката domain shadowing (засенчване на домейни), за да поставят незаконно хазартно съдържание под легитимни училищни и правителствени домейни в две несвързани операции. „И в двата случая неоторизирана страна изглежда е получила достъп до администрирането на DNS и е създала записи, които първоначалните собственици на домейните може да не са забелязали“, заявиха от Infoblox. „Тъй като получените имена на хостове се намираха в рамките на утвърдени институционални именни пространства, те предоставиха особено полезна инфраструктура за оптимизация за търсачки (SEO) и привличане на трафик.“ Установено е, че един клъстер, свързан със злонамерен субект, наречен Hidden Hawk, добавя отделни CNAME записи, които насочват институционални имена на хостове към страници за хазарт, хоствани предимно в Cloudflare Pages. Втората кампания, експлоатираща индийски правителствен домейн, „делегира цели подзони на авторитетни сървъри за имена на трети страни и използва заместващ символ (wildcard), позволявайки много имена на хостове да бъдат управлявани извън DNS средата на жертвата“. Казано по друг начин, неоторизираният достъп до DNS създава нови институционални имена на хостове, които водят към инфраструктура, обслужваща входни страници (doorway pages) за незаконен хазарт. Страниците също така се възползват от утвърдената репутация на училищните и правителствените именни пространства, за да гарантират, че злонамерените URL адреси се показват на предни позиции в резултатите от търсачките.
  4. Предупреждение за банкови идентификационни данни и ИИ Bank of America предупреждава срещу споделянето на идентификационни данни с ИИ агенти Bank of America напомня на клиентите да не споделят банкови идентификационни данни с агенти с изкуствен интелект (ИИ). В масов имейл до клиентите, озаглавен „Защита на вашите финанси в света на ИИ“, финансовата институция призова клиентите никога да не споделят своето потребителско име и парола с друго лице или външна услуга, „включително инструмент или агент с поддръжка на ИИ, който предлага да действа от ваше име“.
  5. Android затяга достъпа до контактите Android ще попречи на приложенията да записват в контактите Google обяви, че в предстоящо издание на Android вече няма да е възможно директното записване в контактите чрез разрешението WRITE_CONTACTS. „Вместо това можете да използвате стандартните намерения (intents) за контакти (ACTION_INSERT, ACTION_EDIT и ACTION_INSERT_OR_EDIT)“, заявиха от Google. „В момента, ако приложението ви трябва да запази дори един контакт, може да изисквате WRITE_CONTACTS. Но това разрешение предоставя широк достъп, позволявайки на приложението да прави мащабни промени в контактите в цялото устройство във фонов режим, дори без взаимодействие с потребителя. Повечето приложения не се нуждаят от толкова широко разрешение.“
  6. 26,400 активни идентификационни данни са изложени Сканиране на 7.25 милиона публични хранилища в Gitee Сканиране на 7.25 милиона публични хранилища в Gitee, най-голямата местна платформа за Git хостинг в Китай, разкри 26,400 уникални потвърдени активни идентификационни данни, включително активни идентификационни данни на администратор на организация за голяма корпоративна ИИ платформа и хиляди активни ключове за достъп до облачни доставчици, заяви независимият изследовател по сигурността Ben Zimmermann.
  7. Пуснати са критични корекции за сигурност на Fortinet Fortinet пуска обновления за сигурност Fortinet пусна „координиран набор от обновления за сигурност за FortiOS, FortiManager и FortiAnalyzer“, за да отстрани критични и високорискови уязвимости, които бяха открити с помощта на подход за откриване на уязвимости, подпомаган от ИИ. Подробностите за проблемите се пазят в тайна до 10 ноември 2026 г. Тъй като устройствата на Fortinet се превръщат в любима мишена за атакуващите, от съществено значение е потребителите да действат бързо и да приложат корекциите за сигурност.
  8. Кражба на токени с нулеви разрешения Уязвимост в Microsoft Authenticator позволява неоторизиран достъп до акаунти Появиха се подробности за вече коригирана уязвимост в Microsoft Authenticator (CVE-2026-80097, известна още като AuthMask), която може да бъде експлоатирана чрез инсталиране и стартиране на злонамерено приложение на засегнато устройство с Android и убеждаване на потребителя да завърши поток за удостоверяване в приложението, като твърди, че е доверено приложение, и получава съответните токени. Уязвимостта може да бъде експлоатирана за превземане на служебни акаунти, без да се изискват допълнителни разрешения. „Успешното експлоатиране може да позволи на атакуващия да получи токени за удостоверяване и достъп до ресурси като засегнатия потребител“, заявиха от Microsoft. Според Enclave, „непривилегировано приложение за Android с нулеви разрешения може да се представи за всяко инсталирано собствено приложение на Microsoft (first-party app) и да накара брокера на Microsoft Authenticator да му предаде токените на това приложение. Предпоставката е устройство с инсталиран Authenticator и един вписан в него служебен акаунт.“
  9. 32 фалшиви ИИ бота ловуват тайни Атакуващи използват имитация на ИИ агенти в лов за идентификационни данни Атакуващи се маскират като ИИ агенти, за да крадат идентификационни данни. Cequence заяви, че е проследила един злонамерен субект, извършващ мащабна имитация на ИИ агенти, като се представя за около 32 различни ИИ бота, включително ChatGPT, Claude и Perplexity, докато търси пароли, API ключове и облачни идентификационни данни. „Злонамереният скенер работи от голям облачен доставчик и ротира през около 32 идентичности на ИИ ботове, обхващащи обхождащи програми (crawlers) и асистенти от OpenAI, Anthropic, Meta, Perplexity и други“, заяви Will Glazier. „Той игнорира уеб страниците и изисква файлове, които обикновено съхраняват тайни, включително конфигурационни файлове .env, файлове с облачни идентификационни данни, частни SSH ключове и данни за сървърната среда, работейки по списък от около 90 файлови пътя. Всеки адрес изпраща кратка серия от 50 до 190 заявки за около осем секунди и след това преминава нататък. Скенерът обработва целите една по една, денонощно, и първо изпраща произволни безсмислени пътища, за да намери уебсайтове, които отговарят на всяка заявка – често срещана техника за сканиране. Той е ударил организации във финансовите услуги, търговията на дребно, телекомуникациите, енергетиката и софтуера и е останал активен поне от края на септември до края на октомври.“
  1. Мрежово проникване, свързано с Китай Свързан с Китай атакуващ проби организация във Фиджи Посолството на САЩ във Фиджи разкри, че хакери, свързани с Китай, са проникнали в регионална организация, базирана в Сува, между юли и август 2026 г. „Хакери със връзки с Китай поддържаха достъп до мрежата на организацията в продължение на няколко дни“, се казва в съобщението. Посолството не назова автора на заплахата. Нито разкри до какви данни атакуващите може да са получили достъп.
  2. Софтуер за камери, превърнат в оръжие Атакуващи превръщат софтуер за управление на камери в оръжие Атакуващи проникват в корпоративни мрежи чрез софтуер за управление на камери според ново проучване на компанията за сигурност Huntress, която е наблюдавала множество инциденти през септември и октомври 2026 г. и ги е проследила до компрометирано приложение. Артефакти в изходния код насочват към корейска компания, продаваща аналогови и IP камери, както и цифрови и мрежови видеорекордери. Дейността злоупотребява с легитимния изпълним файл „WpcMon.exe“ за странично зареждане (sideloading) на DLL библиотеки, които установяват изходящи връзки към отдалечен сървър. „Тази дейност демонстрира как атакуващите могат да смесват зловреден код с доверени компоненти на Windows, за да избегнат засичане“, заявиха от Huntress.
  3. 68 GB пробив в правителствени данни 68 GB данни са откраднати от правителствена агенция на Филипините При сериозна грешка в оперативната сигурност неизвестен злонамерен субект открадна 68 GB от правителствена агенция на Филипините, поддържа подробен дневник на трансфера и след това остави този дневник отворен в интернет на адрес 13.163.205[.]35:80. „Копирането е приключило за по-малко от 24 минути на 6 септември 2026 г.“, заявиха от Hunt.io. „Дневникът на трансфера записва 27 резервни копия на SQL Server, чиито имена на файлове съответстват на системите за управление на случаи на филипинската администрация за заетост в чужбина и работници мигранти. До дневника се намираше наборът от инструменти на оператора, пребрандирана компилация на GodPotato, PowerShell stager, два файла със зловреден код и пълна среда на Impacket.“
  4. Опасения за ексфилтриране на данни от AI модел Cohere твърди, че моделът Qwen на Alibaba се е опитал да изпрати файл до Китай Канадската компания за изкуствен интелект Cohere твърди, че е заловила модела Qwen3.8-Flash-Next на Alibaba при неуспешен опит да изпрати данни до Китай от своята изолирана среда за оценка като част от подкана (prompt), инструктираща големия езиков модел (LLM) да засича изтегляне и изпълнение на зловредни файлове чрез наблюдение за процеси на curl, изтеглящи bash скриптове в /tmp, последвано от изпълнение в bash. „Помолен да напише защитно правило за засичане, Qwen3.8-Flash-Next пренебрегна инструкциите, направи инвентаризация на машината, на която работеше, и след това се опита да качи пробен файл в хранилище за съхранение на Alibaba Cloud в Пекин“, заявиха от Cohere. „Не можем да отговорим дали това е умишлено, или е остатъчен бъг от обучението.“ Cohere също така публикува набор от данни, съдържащ следата на модела и съответните необработени идентификатори на токени във връзка с това поведение. „Точният изходен резултат не е гарантиран всеки път и може да са необходими много опити за възпроизвеждане на поведението“, казаха от Cohere, добавяйки, че „има подобни неочаквани URL адреси, които моделът също е склонен да генерира, повечето от които съдържат aliyunc“. Констатациите обаче доведоха и до коментари в социалните мрежи, че компанията прибягва до геополитическо насаждане на страх и че това е опит за ограничаване на моделите с отворени тегла (open-weights).
  5. Пътна карта за постквантова миграция NIST публикува насоки за преход към постквантова криптография Националният институт за стандарти и технологии на САЩ (NIST) публикува насоки, които описват подробно сроковете за преход от уязвими за квантови компютри алгоритми към квантово-устойчиви стандарти. „Докладът описва различни случаи на употреба и обяснява защо една миграция може да отнеме повече време от друга“, каза математикът от NIST Дъстин Муди, който ръководи проекта за стандартизация на постквантовата криптография (PQC). „Разбираме, че няма една стратегия, която да пасва на всички случаи на употреба, и искаме да помогнем на хората да се справят със своята миграция, като същевременно са в крак с промените.“
  6. Разкрита е рансъмуер операция, задвижвана от AI Рансъмуерът n0n е свързан с операция за изнудване, подпомагана от AI SOCRadar разкри активното работно пространство (т.е. отворена директория) на автор на заплахата, свързан с рансъмуер групата n0n, което изложи на показ пълния работен процес на операцията към септември 2026 г. Директорията на адрес 185.157.161[.]148 включва AI агент за писане на код, конфигуриран с около 150 модела за генериране на стотици скриптове за атаки, с разходи за потребление над $7,216. „Входните точки включваха кампания за атака с компрометирани пароли срещу 305 устройства FortiGate SSL-VPN, изложени на показ AWS ключове, слаби идентификационни данни за RDP/WinRM и компрометирани портали за управление на хостинг“, заявиха от SOCRadar. Твърди се, че в работното пространство са идентифицирани най-малко 23 организации в 14 държави, включително американски търговец на спортни стоки, доставчик на облачни услуги, учителски синдикат, венецуелски интернет доставчик, аржентинско министерство и фармацевтично дъщерно дружество.
  7. Ограничен достъп до AI за правителството Швеция блокира правителствения достъп до ChatGPT и Claude Шведското правителство забрани на служителите си да осъществяват достъп до уеб базираните версии на ChatGPT или Claude на служебните си компютри поради опасения за сигурността, свързани с обработката на чувствителни данни. „Длъжностните лица бяха разтревожени, че въвеждането на чувствителна информация в тези модели без споразумение, определящо как да се защитават и обезопасяват данните, може да доведе до подаването ѝ към модела и съхраняването ѝ за обучение“, съобщи Euro News.
  8. 42 превзети хранилища 42 превзети хранилища в GitHub са въоръжени със зловреден код за атаки по веригата на доставки в npm JFrog и SafeDep разкриха кампания, при която киберпрестъпници са превзели 42 хранилища на трети страни в GitHub, принадлежащи на 11 собственици, за да разположат бинарни обекти (blobs) със зловреден код, достатъчно големи, „за да избегнат търсачката на GitHub и API пътищата, които обикновено се използват за откриване на такъв вид компрометиране“. От JFrog заявиха: „Хранилищата съдържат куки (hooks) за изпълнение за AI асистенти за програмиране и интегрирани среди за разработка (IDE), плюс полиморфни обвивки (wrappers) с размер от 12.9 до 13.7 MB, които се декодират до един и същ скрит зловреден код за публикуване чрез CI“. Дейността се оценява като свързана с npm червей от семейството Miasma, разпространяван под различни пакети, завършващи на „testmetest“. Според SafeDep червеят „споделя код с Miasma „Phantom Gyp“ от юни 2026 г. и добавя заличаващ софтуер (wiper), активиращ се при отмяна на токен, от Mini Shai-Hulud. Зловредните версии крадат идентификационни данни, разпространяват се към други пакети и хранилища и инсталират заличаващ софтуер (wiper), който изтрива основната директория (home directory), когато жертвата отмени откраднатия GitHub токен.“ Неподозиращите разработчици, които са инсталирали пакетите, са претърпели кражба на данни, а хранилищата им са били компрометирани със зловреден код за създаване на допълнителни зловредни издания на testmetest и стартиране на shellpanel работни процеси, насочени към cPanel системи чрез CVE-2026-41940, което се припокрива с предишна кампания, описана подробно от Socket през юли 2026 г.
  1. Зловреден банкова услуга за Android под наем (malware-as-a-service) MR ROBOT, MaaS операция, насочена към клиенти на индийски банки Нова операция със зловреден софтуер за Android, наречена MR ROBOT, е насочена към клиенти на индийски банки и превръща банковите измами в абонаментен бизнес, като киберпрестъпници наемат персонализирани банкови троянски коне за кражба на еднократни пароли (OTP), данни за карти, UPI ПИН кодове и идентификационни данни, докато тайно пренасочват обаждания, за да заобикалят проверките за сигурност. „Това не е кампания на един-единствен атакуващ, а отдавана под наем платформа за киберпрестъпления (crimeware): главен оператор отдава под наем достъп на партньори, които използват Telegram бот ('APK Shield) и уеб контролен панел (v7.0), за да изграждат персонализирани банкови троянски коне при поискване и да ги разпространяват чрез фалшиви страници в стил Play Store и примамки в приложения за съобщения“, заявиха от CloudSEK. Комплектът имитира около 36 приложения-примамки, включително банки, доставчици на комунални услуги и държавни услуги. Изчислено е, че един партньор е прихванал 5407 текстови съобщения от 153 заразени устройства.
  2. Злоупотреба с MDM платформи за отдалечен достъп Атакуващи злоупотребяват с MDM платформите Hexnode и Rippling за разгръщане на постоянен отдалечен достъп Злонамерени субекти злоупотребяват с легитимни платформи за управление на мобилни устройства (MDM), като Hexnode и Rippling, използвайки социално инженерство за регистриране на устройства или инсталиране на агенти за управление, според Huntress. „Веднъж установена, MDM платформата осигурява доверен, привилегирован път за злонамерена дейност, като например разгръщане на нелегитимни RMM инструменти и поддържане на отдалечен достъп“, посочват от компанията.
  3. Експлоатирана критична уязвимост за отдалечено изпълнение на код (RCE) в Gotenberg Атакуващи експлоатират RCE уязвимост в Gotenberg за разгръщане на персонализирана обратна обвивка (reverse shell) на Go Злонамерени субекти експлоатират CVE-2026-42589 (CVSS оценка: 9.8), критична уязвимост за отдалечено изпълнение на код в Gotenberg, за да доставят базирана на Go обратна обвивка, наречена „cache_base“. Уязвимостта е коригирана с корекция за сигурност през май 2026 г. Според VulnCheck активността произхожда от домашен японски IP адрес в началото на октомври 2026 г. „Потокът на изпълнение е праволинеен: придобиване на заключване (lock), събиране на информация за хоста, свързване със сървъра за командване и контрол (C2), регистриране на жертвата и отваряне на обвивка (shell)“, казаха от VulnCheck. През последните 30 дни за уязвимостта са отчетени 1,358 събития на експлоатация от 128 уникални изходни IP адреса.
  4. Дискусиите в Discord стават публични Discord планира да включи съобщенията от откриваемите сървъри (Discoverable Servers) в уеб търсенето Discord обяви, че ще позволи на търсачките да индексират дискусии в откриваемите сървъри (Discoverable Servers) и да ги направят достъпни в мрежата за потребители извън платформата без акаунт или покана, считано от средата на декември 2026 г. „Дискусиите в откриваемите сървъри скоро ще бъдат по-лесни за намиране, когато търсите в мрежата, така че да можете да откриете отговора, който търсите, и да се включите директно в разговора в Discord“, заявиха от компанията. Промените се отнасят само за откриваемите сървъри и не обхващат частните сървъри и директните съобщения.
  5. Заявени са над 800 жертви на рансъмуер Подробности за рансъмуер услугата под наем (RaaS) The Gentlemen Рансъмуер операцията The Gentlemen е заявила над 800 жертви в множество региони и сектори, като повечето атаки са насочени към организации в САЩ и Европа. „Групата поддържа множество платформи с варианти на рансъмуер, насочени към системи Windows, Linux, NAS и BSD, което позволява на нейните партньори да атакуват широк спектър от корпоративни среди“, заявиха от Acronis. „Операциите на групата включват използването на инструменти за неутрализиране на EDR решения. При скорошен инцидент е наблюдаван персонализиран дропър (dropper), разгръщащ уязвими драйвери Safetica ProcessMonitorDriver [CVE-2025-70795] и Lenovo BootRepair.sys за прекратяване на процеси за сигурност.“
  6. Риск от отдалечено изпълнение на код (RCE) при зареждане на AI модели Изпълнение на произволен код в механизма за зареждане на модели на Unsloth Pillar Security разкри уязвимост за изпълнение на произволен код в основния път за зареждане на модели на Unsloth (CVE-2026-93348, CVSS оценка: 8.6). Тя е отстранена в unsloth_zoo 2026.8.14. „Конфигурация на модел, контролирана от атакуващ, може да предизвика изпълнение на Python код по време на зареждането“, каза изследователят Ariel Fogel. „Засегнатият код се е изпълнявал вътре в процеса за зареждане на модела, с достъп до всичко, което този процес може да чете, променя или към което може да се удостоверява. В среда за разработка на изкуствен интелект (AI) това може да включва собствени набори от данни, артефакти на модели, токени за Hugging Face и идентификационни данни за облачни услуги. Експлоатацията е изисквала засегнат път за зареждане да обработи конфигурация, контролирана от атакуващия.“
  7. Неудостоверено отдалечено изпълнение на код (RCE) на ниво root Критична RCE уязвимост в калкулатор за изборни ресурси на EAC От XBOW съобщиха, че са идентифицирали критична уязвимост за неудостоверено отдалечено изпълнение на код в публично уеб приложение, принадлежащо на Комисията за подпомагане на изборите на САЩ (U.S. Election Assistance Commission – EAC). „Уязвимото приложение беше калкулатор за ресурси и логистика, а не машина за гласуване или система за регистрация на избиратели“, каза изследователят от XBOW Ariel Walter Garcia. „Уязвимостта позволяваше на неудостоверен атакуващ да изпълни код като root вътре в бекенд контейнера, с достъп до локално защитени ресурси и изходяща мрежова свързаност – привилегирована опора, достъпна чрез специално конструирана неудостоверена уеб заявка.“
  8. Появява се троянски кон за отдалечен достъп (RAT), отвличащ сесии Появява се нов RAT, наречен DataCore Нов троянски кон за отдалечен достъп, наречен DarkCore, се предлага със специализиран браузър, който може да позволи на атакуващите достъп до акаунти в Gmail, WhatsApp и MediaFire чрез използване на откраднати сесии, като същевременно създава впечатлението, че активността произхожда от собствения IP адрес на жертвата. DarkCore беше рекламиран за първи път във форуми за киберпрестъпления през август 2026 г. „Продавачът описва браузър, който използва повторно тези сесии за достъп до служебни пощенски кутии, приложения за незабавни съобщения, облачни хранилища и други услуги през IP адреса на заразената машина“, казаха от BlackFog. „Целта е достъпът да изглежда като легитимна активност от страна на потребителя.“
  9. Задвижвана от AI рамка за зловреден софтуер NIK C2, C2 рамка с поддръжка на AI Cisco Talos разкри подробности за нова интегрирана с изкуствен интелект (AI) рамка за командване и контрол (C2), наречена NIK C2. Имплантът разполага с възможности за наблюдение, кражба, странично придвижване (lateral movement) и избягване на засичане, включително извличане на идентификационни данни (credential dumping), отвличане на RDP сесии, подмяна на съдържанието на процеси (process hollowing) и управляван от C2 рансъмуер модул за заключване на екрана. „NIK C2 съдържа имплант за Windows, с помощта на който атакуващият може да извлича идентификационни данни, да предава в реално време натиснатите от жертвата клавиши за събиране на чувствителни данни на набелязаната жертва и да инструктира интегриран AI модел да анализира събраните данни – всичко това в рамките на компрометираната сесия“, заявиха от Talos. „В тази рамка атакуващият е злоупотребил с приложния програмен интерфейс (API) OpenAI Chat Completions, който представлява крайна HTTP точка, позволяваща програмно водене на разговори в стил ChatGPT. В допълнение към функциите, които позволяват кражба, атакуващият може също така да разгърне рансъмуер за заключване на работния плот чрез импланта NIK C2 върху машината на жертвата, което води до искане на откуп в криптовалутите Bitcoin или USDT.“ До момента са идентифицирани три различни версии на зловредния софтуер от 12 август 2026 г. насам. От Talos посочиха, че NIK C2 променя методите на действие на атакуващите, като обединява събирането на данни и експлоатацията в една-единствена непрекъсната сесия.
  1. Зловреден PDF доставя бекдор: Фалшива фактура на FedEx води до Sirius Backdoor Забелязан е фишинг имейл, който използва примамка с данъчна фактура от FedEx и съдържа ZIP архив с PDF файл, задействащ многоетапен процес на заразяване за доставяне на недокументиран досега вариант на Sirius Backdoor. „PDF файлът злоупотребява с обектите /OpenAction и /Launch, за да задейства вградена команда на PowerShell, кодирана с Base64, при отваряне“, казаха от Trellix. „Изпълнението разчита на социално инженерство, за да подведе потребителя да одобри подканата за потвърждение на сигурността в четеца за PDF файлове. PowerShell стейджърът декриптира и рефлективно зарежда .NET компилация (assembly) в паметта. Този лоудър извършва подмяна на процеси (process hollowing) в легитимни процеси на Windows като msbuild.exe, svchost.exe и др., което позволява на зловредния софтуер да функционира в контекста на доверени процеси.“ Крайният зловреден код е SIRIUS – бекдор, базиран на Microsoft Visual C++, с разширени възможности за отдалечен достъп.
  2. Изкуственият интелект преобразява икономиката на рансъмуера: Новата икономика на рансъмуера и изнудването Нов анализ на Flare разкри, че атакуващите изграждат смесен инструментариум с изкуствен интелект (AI), комбинирайки комерсиални модели с локални, с отворени тегла (open-weight) и компрометирани (jailbroken) алтернативи, както и разчитайки на откраднати идентификационни данни за AI, за да прехвърлят разходите върху жертвите. „Там, където изкуственият интелект може да помогне, е при разбирането на системите, писането на инструменти и отстраняването на неизправности. Атакуващият все още се нуждае от достъп, взимане на решения и начин за получаване на плащане“, посочиха от Flare. „Ако AI помогне на партньор да напише работещ скрипт за експортиране на данни, без да наема специалист, партньорът може да си спести хонорара на този специалист и чакането за неговата помощ. Изкуственият интелект прави експертизата по-евтина за придобиване само когато разходите за използването и проверката на неговата работа са по-ниски от цената на специализираната помощ, която той замества.“
  3. Нововъзникваща заплаха за изнудване с данни: ScarlettGroup, нововъзникващ злонамерен субект за изнудване с данни Наскоро забелязан злонамерен субект за киберизнудване, наречен ScarlettGroup, публично рекламира предполагаеми компрометирания на данни и използва крайни срокове за преговори и заплахи за разкриване на информация, за да оказва натиск върху набелязаните организации. Списъкът на групата в тъмната мрежа (dark web) включва жертви от технологичния, образователния, правителствения и развлекателния сектор. „ScarlettGroup демонстрира характеристики, свързани с финансово мотивирани операции за изнудване с данни, включително публични твърдения за жертви, натиск чрез крайни срокове и активност в нелегални форуми“, отбелязаха от Foresiet. „Нейната специализирана инфраструктура от сайтове за изтичане на данни и структурираният механизъм за разкриване на информация показват организиран подход към популяризирането на предполагаеми пробиви и упражняването на репутационен натиск.“
  4. Инфостийлърите еволюират в троянски коне за отдалечен достъп (RAT): StealC се завръща като Stadia RAT След прекъсването на дейността му през юни 2026 г. като част от операция Endgame, StealC се завърна четири месеца по-късно под името Stadia. „Този път това не е стийлър: това е пълноценен троянски кон за отдалечен достъп (RAT)“, заявиха от Varonis. „Функциите на този RAT включват скрит контрол на работния плот, командна обвивка (shell) в реално време, файлов експлорър, мениджър на процеси и лоудър в паметта, като стийлърът на StealC е вграден като един от общо шест модула. Злонамереният субект зад Stadia работи усилено, за да си върне първоначалните клиенти на StealC: на всеки бивш клиент на StealC се предлага безплатен месец в най-високия ценови план ($900).“ Развитието идва в момент, когато Moonlock Lab разкри, че стийлърът за macOS Icarus по подобен начин е еволюирал от инструмент за бърза кражба на криптовалута и данни до зловреден софтуер с възможности за отдалечен достъп. Новата версия се нарича ICMacOS. „Стийлърът се рекламира активно във форуми за киберпрестъпност от рускоговорящ атакуващ, действащ под псевдонима GlowComa, като актуализациите на функциите се обявяват редовно чрез Telegram“, казаха от SOCRadar. „GlowComa промотира ICMacOS заедно с Icarus ClickFix – съпътстващ панел, предназначен за доставяне на зловреден код чрез злонамерени терминални команди за копиране и поставяне. Веригата на заразяване разчита на първоначални дропър скриптове за откриване на архитектурата на хоста и събиране на администраторски пароли чрез фалшиви системни диалогови прозорци, преди да достави основния зловреден код.“ Друг стийлър, насочен към macOS, е Aokigahara, който надхвърля браузърите, VPN клиентите, портфейлите за криптовалута, FTP/SFTP клиентите, мениджърите на пароли и имейл приложенията, за да атакува също така приложения с изкуствен интелект и инструменти за разработка. „Стийлърът събира файлове за удостоверяване, данни за сесии и конфигурационни файлове, свързани с Claude, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot, Gemini CLI и други инструменти“, посочиха от Check Point. „Откраднатите идентификационни данни за AI могат да предложат възможности за монетизация. Използваемите идентификационни данни или токени за сесии биха могли да позволят неоторизиран достъп до платени AI услуги или препродажба на компрометирани акаунти.“