O pesquisador Erik Hjelmvik (Netresec) mapeou a evolução do canal de comando e controle do AtlasRAT, backdoor associado ao grupo chinês Silver Fox (também rastreado como Void Arachne/TA4922/SwimSnake). O malware migrou de um handshake em texto claro iniciado por 'SFuck' para uma variante 'BFuck' com criptografia ChaCha20, e mais recentemente passou a se camuflar em TLS na porta 443. O artigo publica assinaturas Suricata e uma lista de IOCs (IPs, domínios e fingerprints JA3) para detecção em rede.
Uma campanha de phishing se passando pela marca Mejuri distribui um instalador oficial e assinado do ScreenConnect pré-configurado para conectar a um relay controlado pelo atacante. Como o binário é legítimo e assinado pela ConnectWise/DigiCert, ele passa despercebido por antivírus e apareceu com zero detecções no VirusTotal no momento da campanha. O caso é um exemplo típico de abuso de ferramenta RMM (living-off-the-land) para obter controle remoto total sem precisar de malware customizado ou exploração de vulnerabilidade.
O SANS ISC detalha uma campanha ClickFix que usa páginas de verificação falsas para induzir vítimas macOS a colar e executar um comando malicioso no Terminal. O comando baixa um binário Mach-O information stealer que persiste via LaunchAgent e exfiltra credenciais e dados do Keychain para um servidor C2.
Um analista do SANS Internet Storm Center dissecou uma campanha de malspam com isca de cotação de fibra óptica que entrega um loader batizado de LausivLoader, encadeando JavaScript, PowerShell e dois módulos .NET até baixar um payload final escondido em metadados de uma imagem PNG. O ponto mais interessante da análise não é o payload em si, mas o mecanismo de handoff entre estágios: em vez de gravar comandos completos em disco ou em linha de comando, o loader troca dados por variáveis de ambiente herdadas via processo intermediário conhost.exe.
Pesquisadores demonstram que o tráfego JSON-RPC de agentes de IA usando o Model Context Protocol tem padrão estrutural e temporal parecido com o beaconing de frameworks de C2 como o Cobalt Strike, mas passa ileso por Suricata e pela pontuação comportamental do RITA em todos os cenários testados. Os autores propõem um padrão de indicação nativa para agentes (ALPN dedicado e headers fora de banda) para fechar essa lacuna de visibilidade.
Um novo benchmark, o SCRIPTIOC-BENCH, reúne 634 amostras reais e verificadas manualmente de malware em JavaScript, PowerShell e VBScript para medir a capacidade de LLMs de extrair estaticamente indicadores de comprometimento — URLs, domínios, IPs e artefatos de sistema de arquivos — sem executar o código. O modelo mais forte avaliado atingiu apenas 65,4 de F1, o que mostra que a extração automatizada de IOCs continua não confiável quando os indicadores estão ofuscados ou exigem decodificação, mesmo usando os modelos mais capazes disponíveis.
O ISC SANS documentou uma infecção real do trojan bancário Guildma (também rastreado como Astaroth) iniciada por e-mail de phishing em português, disfarçado de contrato digital e com geofencing para só entregar a carga a sistemas configurados no Brasil. A cadeia de infecção usa atalho LNK, Alternate Data Streams para ocultar uma DLL e um script AutoIt compilado para persistência, comunicando-se com C2 hospedado em infraestrutura legítima como Azure Web Apps.
A Netresec publicou uma engenharia reversa do protocolo de comando e controle (C2) binário usado pelo RAT CNCMachineRMS, malware entregue como estágio final de cadeias de ataque BabaDeda via ClickFix com CAPTCHAs falsos. A análise, apoiada em capturas de sandbox e no motor de detecção FlowCarp, mapeou múltiplos servidores C2 e dois domínios de registro recente, entregando hashes e IOCs para defensores de rede.
Um estudo (atualizado para v4) reconstrói forensicamente a campanha de mineração de 2025 em que a Qubic afirmou ter executado um 'ataque de 51%' e mineração egoísta contra a Monero. Cruzando medições de nós da rede Monero, observações do pool da Qubic, artefatos compartilhados pela comunidade e chaves de visualização (view keys) divulgadas, os autores atribuem blocos e identificam janelas de retenção, concluindo que não houve controle majoritário sustentado nem vantagem de recompensa sobre a mineração honesta.
Flash report de uma intrusão em que o RAT EtherRat e o servidor de comando-e-controle TukTuk pavimentam o caminho até o ransomware The Gentleman, com a cadeia de ataque e os indicadores de comprometimento documentados para caça e detecção.