محققان امنیتی شرکت Huntress یک کمپین مخرب با نام FakeAgent را شناسایی کرده‌اند که با سوءاستفاده از محبوبیت ابزار هوش مصنوعی Claude، کاربران را به دانلود نسخه جعلی برنامه دسکتاپ هدایت می‌کند. مهاجمان با استفاده از تبلیغات Bing Ads، نتیجه‌ای جعلی برای جستجوی «Claude Desktop App» در بالای نتایج نمایش داده‌اند؛ اما لینک تبلیغ به یک Claude Artifact مخرب روی دامنه واقعی Claude.ai هدایت می‌شده تا اعتماد قربانی افزایش یابد. پس از کلیک روی گزینه دانلود، فایل جعلی ClaudeDesktop.exe دریافت می‌شود که در ظاهر یک برنامه قانونی است، اما در پشت‌صحنه با استفاده از DLL Side-Loading، بدافزار SectopRAT (ArechClient2) را اجرا می‌کند. این RAT قابلیت سرقت رمزهای عبور، اطلاعات مرورگر، کارت‌های بانکی، فایل‌ها، داده‌های VPN و کیف‌پول‌های رمزارزی را دارد و امکان کنترل تعاملی سیستم از راه دور را نیز فراهم می‌کند. مشاهده ادامه

پژوهشگران Varonis Threat Labs بدافزار جدیدی با نام Dolphin X را شناسایی کرده‌اند که یک Remote Access Trojan (RAT) و Information Stealer چندمنظوره است و به‌صورت تجاری در انجمن‌های زیرزمینی جرایم سایبری تبلیغ می‌شود. ویژگی متمایز این بدافزار، ماژولی با نام AI Profiler است که با تحلیل اطلاعات سیستم‌های آلوده، برای هر قربانی یک امتیاز ریسک (Risk Score) ایجاد کرده و قربانیان ارزشمندتر را برای مهاجمان رتبه‌بندی می‌کند. برخلاف اینفو‌استیلرهای سنتی که حجم زیادی از داده را بدون اولویت‌بندی جمع‌آوری می‌کنند، Dolphin X تلاش می‌کند فرآیند تریاژ قربانی (Victim Triage) را خودکار کند تا مهاجمان بتوانند سریع‌تر سیستم‌هایی را انتخاب کنند که احتمال دسترسی به حساب‌های ارزشمند، شبکه‌های سازمانی، سرویس‌های ابری یا دارایی‌های رمزارزی در آن‌ها بیشتر است. مشاهده ادامه

پژوهشگران امنیتی شرکت Island یک کمپین گسترده با نام FakeGit را شناسایی کرده‌اند که با ایجاد حدود ۷۶۰۰ مخزن مخرب در GitHub، کاربران، توسعه‌دهندگان و حتی عامل‌های هوش مصنوعی (AI Agents) را هدف قرار می‌دهد. در این عملیات، مهاجمان با کپی پروژه‌های واقعی، ساخت پروفایل‌های توسعه‌دهنده جعلی، READMEهای حرفه‌ای و مخازنی با ظاهر معتبر، کاربران را فریب داده و فایل‌های ZIP آلوده را برای اجرای زنجیره آلودگی منتشر می‌کنند. بیش از ۸۰۰ مخزن از این مجموعه خود را به‌عنوان AI Skills یا Model Context Protocol (MCP) Servers معرفی کرده‌اند؛ ابزارهایی که برای اتصال دستیارهای هوش مصنوعی به سرویس‌هایی مانند Gmail ،WhatsApp ،Docker ،Jenkins و Databricks استفاده می‌شوند. هدف نهایی این کمپین، نصب SmartLoader و سپس استقرار StealC Infostealer برای سرقت اطلاعات حساس از سیستم قربانی است. مشاهده ادامه

محققان Arctic Wolf Labs اعلام کرده‌اند که گروه Qilin Ransomware (معروف به Agenda) در چندین حمله طی ژوئن ۲۰۲۶ از یک آسیب‌پذیری اصلاح‌شده در Palo Alto Networks PAN-OS GlobalProtect برای دسترسی اولیه به شبکه قربانیان استفاده کرده است. این آسیب‌پذیری با شناسه CVE-2026-0257 یک نقص Authentication Bypass با شدت بالا (CVSS 7.8) است که در شرایط خاص، به مهاجم بدون داشتن اعتبارنامه معتبر اجازه می‌دهد یک نشست VPN غیرمجاز ایجاد کند. پس از ورود اولیه، مهاجمان با استفاده از دسترسی VPN، اقدام به سرقت اعتبارنامه‌ها، حرکت جانبی در شبکه، پاک‌سازی لاگ‌ها، غیرفعال‌سازی ابزارهای امنیتی و اجرای Payload باج‌افزار Qilin کرده‌اند. برخی حملات تنها با رمزگذاری سریع داده‌ها پایان یافته‌اند، در حالی که برخی دیگر شامل سرقت داده و اخاذی دوگانه (Double Extortion) بوده‌اند. مشاهده ادامه

محققان Cisco Talos یک بک‌دور جدید با نام msaRAT را شناسایی کرده‌اند که توسط گروه Chaos Ransomware در حملات اخیر استفاده می‌شود. این بدافزار به زبان Rust توسعه یافته و برخلاف RATهای سنتی، مستقیماً با سرور فرماندهی و کنترل (C2) ارتباط شبکه‌ای برقرار نمی‌کند؛ بلکه با استفاده از Chrome DevTools Protocol (CDP) یک نمونه مخفی از مرورگرهای Google Chrome یا Microsoft Edge را کنترل کرده و ارتباط C2 را از طریق فرآیند قانونی مرورگر عبور می‌دهد. این تکنیک که می‌توان آن را Living Off The Browser نامید، باعث می‌شود ترافیک مخرب در میان ارتباطات عادی وب، HTTPS و WebRTC پنهان شود و تشخیص مبتنی بر مانیتورینگ مستقیم Process یا IP مهاجم دشوارتر شود. مشاهده ادامه

محققان Group-IB بدافزار جاسوسی جدیدی با نام HollowGraph را شناسایی کرده‌اند که از یک روش غیرمعمول برای ارتباط با مهاجم استفاده می‌کند: تبدیل Microsoft 365 Calendar به یک کانال مخفی Command & Control (C2). این بدافزار به جای ارتباط مستقیم با سرور مهاجم، از یک حساب Microsoft 365 به خطر افتاده و Microsoft Graph API برای دریافت دستورات و ارسال داده‌های سرقت‌شده استفاده می‌کند. HollowGraph دستورات مهاجم را در رویدادهای تقویمی با تاریخ بسیار دور، به‌خصوص سال ۲۰۵۰، قرار می‌دهد تا احتمال مشاهده آن‌ها توسط کاربران یا سیستم‌های نظارتی کاهش یابد. همچنین فایل‌های سرقت‌شده را رمزگذاری کرده و به‌صورت Attachment در همان رویدادهای تقویمی ارسال می‌کند. این روش نشان‌دهنده روند جدید مهاجمان در استفاده از سرویس‌های SaaS معتبر مانند Microsoft 365 برای پنهان‌سازی فعالیت‌های مخرب است؛ زیرا ترافیک Graph API معمولاً به‌عنوان ارتباط قانونی سازمانی شناخته می‌شود. مشاهده ادامه

محققان امنیتی از شناسایی یک عملیات جدید منتسب به یک بازیگر تهدید چینی با نام Jade Sleet خبر داده‌اند که از چارچوبی جدید شامل JadeProx و بدافزار TriBack برای ایجاد شبکه‌ای از سیستم‌های واسط (Proxy Network) استفاده می‌کند. این عملیات به مهاجمان اجازه می‌دهد ترافیک مخرب خود را از طریق سیستم‌های آلوده عبور داده و منبع واقعی حمله را پنهان کنند. بدافزار TriBack به‌عنوان یک مؤلفه پشتیبان در این زنجیره عمل کرده و با ایجاد ارتباط مخفی، سیستم قربانی را به یک Relay Node تبدیل می‌کند. این رویکرد نشان‌دهنده حرکت مهاجمان APT به سمت استفاده از زیرساخت‌های توزیع‌شده و شبکه‌های Proxy اختصاصی برای کاهش قابلیت ردیابی عملیات است. مشاهده ادامه

محققان Sysdig Threat Research از شناسایی باج‌افزار جدیدی با نام ENCFORGE خبر داده‌اند که برخلاف باج‌افزارهای سنتی، به‌صورت اختصاصی برای هدف قرار دادن زیرساخت‌های هوش مصنوعی (AI Infrastructure) طراحی شده است. این بدافزار توسط اپراتور JADEPUFFER پس از نفوذ به یک سرور آسیب‌پذیر Langflow مستقر شده و فایل‌های حیاتی محیط‌های AI شامل وزن مدل‌ها (Model Weights)، ایندکس‌های برداری (Vector Indexes)، دیتاست‌های آموزشی و فایل‌های مدل‌های یادگیری ماشین را رمزگذاری می‌کند. ENCFORGE نشان‌دهنده یک تغییر مهم در مسیر تکامل باج‌افزارها است؛ مهاجمان دیگر فقط اسناد سازمانی یا پایگاه‌های داده سنتی را هدف نمی‌گیرند، بلکه دارایی‌های اصلی چرخه توسعه هوش مصنوعی را به‌عنوان هدف ارزشمند شناسایی کرده‌اند. مشاهده ادامه

محققان Microsoft Threat Intelligence بدافزار جدیدی با نام GigaWiper را شناسایی کرده‌اند که یک Backdoor پیشرفته مبتنی بر Golang است و علاوه بر قابلیت‌های کامل کنترل از راه دور، سه مکانیزم مختلف تخریب داده را نیز در خود جای داده است. این بدافزار قادر است کل دیسک فیزیکی را پاک کند، درایو ویندوز را چندین بار بازنویسی کند یا فایل‌ها را با استفاده از یک باج‌افزار جعلی رمزگذاری کند، بدون اینکه کلید بازیابی را ذخیره کند؛ بنابراین بازیابی اطلاعات عملاً غیرممکن خواهد بود. علاوه بر این، GigaWiper دارای قابلیت‌های جاسوسی مانند ثبت تصویر، ضبط صفحه، کنترل VNC، اجرای دستورات، مدیریت سرویس‌ها و پاک‌سازی لاگ‌های ویندوز است. مایکروسافت این بدافزار را نمونه‌ای از ترکیب چند خانواده بدافزاری در قالب یک Backdoor ماژولار می‌داند. مشاهده ادامه

محققان شرکت QiAnXin از شناسایی یک تروجان دسترسی از راه دور (RAT) جدید با نام MODBEACON خبر داده‌اند که به گروه Silver Fox نسبت داده می‌شود. این بدافزار که به زبان Rust توسعه یافته، از gRPC Bidirectional Streaming روی HTTP/2 همراه با TLS برای برقراری ارتباط فرماندهی و کنترل (C2) استفاده می‌کند؛ روشی که ترافیک مخرب را بسیار شبیه ارتباطات قانونی سرویس‌های مدرن کرده و شناسایی آن را دشوار می‌سازد. MODBEACON همچنین از معماری ماژولار، بارگذاری افزونه‌ها در حافظه (In-Memory Plugin Loading) و مکانیزم‌های پیشرفته ماندگاری بهره می‌برد و در حملات هدفمند علیه سازمان‌های فناوری، آموزشی و شرکت‌های دولتی در آسیا مشاهده شده است. مشاهده ادامه

محققان Group-IB از شناسایی بدافزار جدیدی برای macOS با نام ClickLock Stealer خبر داده‌اند که از تکنیک ClickFix برای فریب کاربران استفاده می‌کند. قربانی ابتدا به اجرای یک دستور مخرب در Terminal ترغیب می‌شود و سپس بدافزار با نمایش یک پنجره جعلی ورود رمز عبور، تلاش می‌کند اعتبارنامه کاربر را سرقت کند. در صورتی که کاربر از وارد کردن رمز عبور خودداری کند، ClickLock Stealer با بستن مداوم فرآیندهای حیاتی سیستم هر ۲۱۰ میلی‌ثانیه (مانند Finder، Dock، Spotlight، Terminal و Activity Monitor)، سیستم را عملاً غیرقابل استفاده می‌کند تا کاربر ناچار به وارد کردن رمز عبور شود. پس از دریافت رمز، بدافزار به Apple Keychain، مرورگرها، کیف‌پول‌های رمزارزی و مدیران رمز عبور دسترسی پیدا کرده و اطلاعات را به سرور فرماندهی و کنترل ارسال می‌کند. مشاهده ادامه

محققان AhnLab Security Intelligence Center (ASEC) از شناسایی یک کمپین جدید خبر داده‌اند که در آن تروجان LabubuRAT با جعل نرم‌افزارها و ابزارهای رسمی NVIDIA منتشر می‌شود. مهاجمان با استفاده از DLL Side-Loading و فایل‌های اجرایی امضاشده یا معتبر، کد مخرب خود را بدون جلب توجه اجرا می‌کنند. پس از آلوده‌سازی، LabubuRAT امکان اجرای دستورات از راه دور، مدیریت فایل، دانلود و اجرای Payloadهای جدید و کنترل کامل سیستم قربانی را برای مهاجم فراهم می‌کند. این کمپین نشان‌دهنده ادامه روند سوءاستفاده از برندهای معتبر برای توزیع بدافزار و دور زدن کنترل‌های امنیتی است. مشاهده ادامه

محققان Elastic Security Labs از شناسایی خانواده بدافزاری جدیدی با نام TELEPUZ خبر داده‌اند که از اواخر آوریل ۲۰۲۶ از طریق وب‌سایت‌های آلوده به ClickFix منتشر می‌شود. این بدافزار با بهره‌گیری از مهندسی اجتماعی، کاربران را ترغیب می‌کند تا یک دستور PowerShell را به‌صورت دستی اجرا کنند. سپس زنجیره آلودگی با دانلود یک نمونه تغییر‌یافته از VIDAR آغاز شده و در نهایت Payload اصلی TELEPUZ روی سیستم قربانی اجرا می‌شود. TELEPUZ یک بدافزار سبک، ماژولار و چندمنظوره است که قابلیت سرقت اطلاعات، اجرای دستورات از راه دور، دریافت ماژول‌های جدید و دور زدن مکانیزم‌های امنیتی ویندوز را دارد و احتمالاً به‌صورت Malware-as-a-Service (MaaS) نیز ارائه می‌شود. مشاهده ادامه

محققان Kaspersky GReAT از کشف یک عملیات جاسوسی پیشرفته خبر داده‌اند که از اواخر سال ۲۰۲۵ تاکنون نهادهای دولتی و دیپلماتیک جنوب شرق آسیا را هدف قرار داده است. هسته اصلی این عملیات، بک‌دور جدیدی با نام GoSerpent است که به زبان Go توسعه یافته و برای ایجاد دسترسی پایدار، استقرار ابزارهای سرقت اطلاعات، استخراج اعتبارنامه‌ها و انتقال مخفیانه داده‌ها طراحی شده است. مهاجمان با صبر عملیاتی بالا، هفته‌ها پس از نفوذ اولیه، ابزارهای ثانویه مانند Stowaway RAT و TmcLoader/TmcPayload را برای استخراج تدریجی اطلاعات حساس مستقر می‌کنند. مشاهده ادامه

محققان Elastic Security Labs از شناسایی خانواده بدافزاری جدیدی با نام TELEPUZ خبر داده‌اند که از اواخر آوریل ۲۰۲۶ از طریق وب‌سایت‌های آلوده به ClickFix منتشر می‌شود. این بدافزار با بهره‌گیری از مهندسی اجتماعی، کاربران را ترغیب می‌کند تا یک دستور PowerShell را به‌صورت دستی اجرا کنند. سپس زنجیره آلودگی با دانلود یک نمونه تغییر‌یافته از VIDAR آغاز شده و در نهایت Payload اصلی TELEPUZ روی سیستم قربانی اجرا می‌شود. TELEPUZ یک بدافزار سبک، ماژولار و چندمنظوره است که قابلیت سرقت اطلاعات، اجرای دستورات از راه دور، دریافت ماژول‌های جدید و دور زدن مکانیزم‌های امنیتی ویندوز را دارد و احتمالاً به‌صورت Malware-as-a-Service (MaaS) نیز ارائه می‌شود. مشاهده ادامه

پژوهشگران شرکت Group-IB از شناسایی نسخه ارتقاءیافته بدافزار RedHook خبر داده‌اند که با سوءاستفاده از قابلیت Wireless Android Debug Bridge (Wireless ADB)، محدودیت‌های امنیتی اندروید را دور زده و امکان اجرای دستورات سیستمی از راه دور را برای مهاجمان فراهم می‌کند. برخلاف نسخه‌های قبلی، RedHook کاربران را با استفاده از صفحات جعلی و مهندسی اجتماعی متقاعد می‌کند قابلیت Wireless Debugging را فعال کرده و فرآیند Pairing را انجام دهند. پس از برقراری اتصال ADB، مهاجم به یک Shell سیستمی دسترسی پیدا کرده و می‌تواند طیف وسیعی از عملیات جاسوسی، سرقت اطلاعات و کنترل دستگاه را بدون نیاز به روت اجرا کند. مشاهده ادامه

محققان YesWeHack و Sekoia یک کمپین زنجیره تأمین جدید را شناسایی کرده‌اند که در آن مهاجمان با ایجاد مخازن جعلی Proof-of-Concept (PoC) برای آسیب‌پذیری‌های داغ، پژوهشگران امنیت، توسعه‌دهندگان و تیم‌های تست نفوذ را هدف قرار می‌دهند. در این حملات، بدافزار ChocoPoc به‌صورت یک Python RAT از طریق وابستگی‌های مخرب PyPI توزیع شده و پس از اجرا، امکان سرقت اطلاعات، اجرای دستورات از راه دور و کنترل کامل سیستم قربانی را فراهم می‌کند. ویژگی شاخص این کمپین آن است که کد PoC ظاهراً سالم است و بدافزار در وابستگی‌های (Dependencies) آن پنهان شده است. مشاهده ادامه

محققان Kaspersky از شناسایی بدافزار جدیدی با نام Umbrij خبر داده‌اند که به گروه جاسوسی ToddyCat نسبت داده شده است. برخلاف بسیاری از بک‌دورها که مستقیماً به سرورهای C2 متصل می‌شوند، Umbrij با سوءاستفاده از Remote Debugging مرورگر Chromium، توکن‌های OAuth را استخراج کرده و از طریق Google Gmail API به صندوق پستی قربانی دسترسی پیدا می‌کند. این روش بدون نیاز به سرقت مستقیم نام کاربری و رمز عبور، امکان مشاهده، جستجو و استخراج ایمیل‌ها را برای مهاجم فراهم می‌کند و از ترافیک قانونی Google برای پنهان‌سازی ارتباطات خود بهره می‌برد. مشاهده ادامه

محققان Fortinet FortiGuard Labs از شناسایی یک کمپین جدید متعلق به تروجان بانکی Ousaban خبر داده‌اند که کاربران Windows در اسپانیا و پرتغال را هدف قرار می‌دهد. این کمپین با ارسال فایل‌های PDF جعلی آغاز شده و پس از انجام بررسی‌های محیطی (Geofencing)، یک اسکریپت VBS را دانلود می‌کند که با استفاده از Steganography، فایل ZIP مخرب را از داخل یک تصویر استخراج کرده و در نهایت تروجان بانکی Ousaban را اجرا می‌کند. مهاجمان با بهره‌گیری از فیلترهای جغرافیایی، بررسی زبان، منطقه زمانی و شناسایی VPN، تنها قربانیان واقعی را آلوده می‌کنند و از تحلیل خودکار توسط Sandboxها جلوگیری می‌کنند. مشاهده ادامه

محققان Securonix Threat Research یک زنجیره حمله چندمرحله‌ای جدید با نام VEIL#DROP را شناسایی کرده‌اند که با بهره‌گیری از سرویس‌های قانونی مانند Google Blogger ،Telegram و Dropbox، بدافزار PureLogs Stealer را به‌صورت Fileless روی سیستم قربانی اجرا می‌کند. این کمپین با تکیه بر PowerShell، بارگذاری پویا (Dynamic Payload Delivery) و اجرای کد در حافظه، آثار بسیار کمی روی دیسک بر جای می‌گذارد و تشخیص آن را برای بسیاری از راهکارهای امنیتی دشوار می‌کند. مشاهده ادامه