SideCopy tehdit aktörü Hindistan'daki akademik kurumları ReverseRAT ile spear-phishing yoluyla hedeflemeye başladı. Trellix raporuna göre saldırılar mshta.exe kötüye kullanımı ve çok katmanlı gizleme ile ilerliyor. Grup 2019'dan beri aktif ve son dönemde hükümet odaklı faaliyetlerini üniversitelere taşıdı.
Kuzey Kore kökenli tehdit aktörlerinin yürüttüğü Contagious Interview kampanyası 100'den fazla ülkede en az 30.000 cihazı ele geçirdi ve 7.000'den fazla kripto cüzdandan para sızdırdı. Japonya, ABD, Avustralya ve Almanya'dan kurumların ortak uyarısına göre kampanyadan elde edilen kripto para miktarı en az 10,71 milyon dolar olarak tahmin ediliyor.
Pakistan'la bağlantılı Transparent Tribe grubu Hindistan ve Afganistan'daki devlet kurumlarını hedef alan yeni bir Rust tabanlı saldırı kampanyası başlattı. Zscaler ThreatLabz tarafından Operation RapidRust kod adıyla tanımlanan operasyon özel GitHub depolarını C2 olarak kullanan RUSTYSHADE arka kapısını içeriyor. Kampanya USB yayılımı ve dosya çalma araçlarıyla da dikkat çekiyor.
Çin bağlantılı siber casusluk grubu FamousSparrow, 2025 yazından bu yana Latin Amerika'daki hükümet kurumlarını 'SparroWocky' adlı yeni bir arka kapı yazılımıyla hedef alıyor. ESET araştırmacılarına göre saldırılar, Çin'in bölgedeki yatırımlarının Trump yönetimi tarafından mercek altına alındığı bir dönemde, yerel yönetimlerin ABD baskısına vereceği tepkileri önceden öğrenmeyi amaçlıyor.
İran bağlantılı Handala Hack kimliğinin Telegram tabanlı HEAVYGRAM arka kapısı ve CRUDEEXCLUDE yardımcı programıyla ilişkilendirildiği belirlendi. Group-IB’in bulguları FBI ve İngiltere Ulusal Siber Güvenlik Merkezi uyarılarıyla örtüşüyor ve saldırganların sosyal mühendislikle hedefleri ele geçirdiğini gösteriyor. HEAVYGRAM, Telegram üzerinden komuta kontrol sağlayarak şifre çalma, ekran görüntüsü alma ve kalıcılık sağlama gibi geniş yetenekler sunuyor.
ESET araştırmacıları Çin'e bağlı FamousSparrow grubunun Latin Amerika'da SparroWocky adlı yeni bir arka kapı kullandığını tespit etti. Ağustos 2025'ten itibaren aktif olan yazılım, Arjantin'den Venezuela'ya kadar devlet kurumlarını hedef alıyor ve açık kaynak araçları doğrudan içine entegre ediyor. Grubun telemetrisiyle kaydedilen hedeflerin yüzde 90'ı bölgede bulunuyor.
ABD, İngiltere ve Hollanda siber güvenlik kurumları İran istihbaratına atfedilen Telegram üzerinden kontrol edilen Windows zararlı yazılımını açıkladı. HEAVYGRAM ve CHOSEN BRICK kod adlı yazılım muhalifleri, gazetecileri ve aktivistleri hedef alıyor. Yetkililer saldırı yöntemini, izleme belirtilerini ve korunma önerilerini paylaştı.
Çin bağlantılı bir tehdit aktörü, Google Chrome ve Microsoft Windows'taki yeni yamalanmış açıkları kullanarak sivil toplum kuruluşlarını hedef alan oltalama saldırılarıyla GRIMWEDGE arka kapısını yüklüyor. Aynı istismar zincirinin JungleBamboo (APT31) adlı ikinci bir Çinli grup tarafından da kullanılması, açığın satılmış olabileceği şüphesini doğurdu.
Çin bağlantılı olduğu değerlendirilen Red Heron adlı tehdit aktörü, Gitea'daki kritik bir uzaktan kod çalıştırma açığını kullanarak altı ülkede 13 kuruluşa sızdı. Saldırganlar kaynak kodu, kimlik bilgileri ve gizli verileri çaldı; savunma, enerji ve seçim sistemleri gibi stratejik sektörleri hedef aldı.
Anthropic, Rus devlet destekli GTG-20006 grubunun tespitleri atlatmak için Anthropic’in Claude modelini kötüye kullandığını açıkladı. Grup, zararlı yazılımı otomatik olarak yeniden inşa edip yeniden dağıtan yapay zekâ destekli bir iş akışı geliştirmiş. Saldırılar Ukrayna ve Avrupa’daki askeri istihbarat hedefleri ile ABD dış politikasıyla bağlantılı kurum ve kişileri hedef aldı.
Proofpoint, bir hafta içinde dört casus grubunun aynı Chrome ve Windows sömürü kiti BlueMoon'u kullandığını tespit etti. Kit, V8 ve Windows ALPC zafiyetlerini zincirleyerek kimlik avı e-postalarıyla yayılıyor ve Çin'e yakın aktörler başta olmak üzere hızla çoğalıyor. ABD siber ajansı CISA da ilgili açıkları Bilinen Sömürülen Zafiyetler kataloğuna ekleyerek federal kurumlara yama için süre verdi.
Cybersecurity araştırmacıları, Myanmar'ı hedef alan bir siber casusluk kampanyası keşfetti. Kampanya, mezuniyet töreni daveti lüksleriyle QUICAgent adında bir Go arka kapısı dağıtmaktadır. Operation QUICSILVER olarak adlandırılan kampanya, hükümet ve bilgi teknolojisi sektörlerini hedef almakta ve Çin bağlantılı bir tehdit aktörünün işi olarak değerlendirilmektedir.
Üç ayrı şüpheli Rus siber casusluk tehdit kümesi, Avrupa ve ABD'deki akademisyenler, havacılık ve savunma, hükümetler ve düşünce kuruluşlarındaki kişileri hedef almak için meşru kimlik doğrulama akışlarını kullanıyor. Bu kümeler UNC6293, UNC7005 ve UNC5976 olarak adlandırılmaktadır.
Çin bağlantılı bir tehdit aktörü olan Jewelbug, hükümetler ve militaries hedef alan siber casusluk operasyonları yürütürken, aynı zamanda kripto para dolandırıcılığı yapıyor. Jewelbug, XG-Web adlı bir tarayıcı merkezli uzaktan erişim ve bilgi çalmaya yönelik bir çerçeve kullanıyor.
Symantec araştırmasına göre Çin merkezli kiralık Jewelbug grubu, aynı özel komuta-kontrol panelinden hem devlet kurumlarını hedefleyen siber casusluk hem de kitlesel kripto para dolandırıcılığı yapıyor. Grup, Antino ve ClientKing gibi özel kötü amaçlı yazılımların yanı sıra PDF Viewer adlı tarayıcı eklentisiyle binlerce kurbanın verisini topluyor. Araştırmacılar grubun Orta Doğu’daki bir hükümete ve Güneydoğu Asya’daki askeri kurumlara yönelik saldırılar düzenlediğini belirtiyor.
Güvenlik araştırmacıları, sahte bir kripto para girişimi kurarak Kuzey Koreli ajanların siber casusluk yöntemlerini ortaya çıkarmaya çalıştı. İşe alım sürecinde sahte kimlikler ve belgeler tespit edildi. Bu operasyon, daha önceki bir çalışmanın devamı niteliğindeydi ve Kuzey Koreli BT çalışanlarının maaşlarını doğrudan üst ajanslara aktarmak amacıyla bu sözleşmeleri kovalığı ortaya koydu.
Microsoft, ele geçirilen otel Wi-Fi ağları üzerinden sahte tarayıcı güncellemeleri gönderilerek CornFlake adlı uzaktan erişim truva atının (RAT) yayıldığını duyurdu. Saldırı, Rusya'nın Dış İstihbarat Servisi (SVR) ile bağlantılı Midnight Blizzard grubunun alt kolu Storm-2945'e atfediliyor.
İran devlet destekli Nimbus Manticore grubu, daha önce belgelenmemiş NightLedger Windows backdoor'u ve iki özel WebSocket tunnel aracı (BridgeHead ve ArcBridge) kullanarak Orta Doğu, Afrika ve Güney Asya'daki hedeflere sızıyor. Kaspersky araştırmacıları, kampanyanın Mısır, Ürdün, Tanzanya, Pakistan, Etiyopya ve Burkina Faso'daki kuruluşları hedef aldığını açıkladı.
Saldırganlar, açık kaynaklı otonom bir araç olan Hermes'i kısıtlama olmaksızın 'YOLO modu'nda kullanarak Tayland Maliye Bakanlığı'na yönelik bir casusluk operasyonu gerçekleştirdi. Güvenlik araştırmacıları, yapay zeka destekli bu yeni nesil siber tehdidi ortaya çıkardı.
Group-IB tarafından keşfedilen HollowGraph adlı yeni bir casus yazılım, Microsoft 365 takvimini komuta ve kontrol kanalı olarak kullanıyor. Zararlı yazılım, operatör talimatlarını ve çalınan dosyaları 2050 yılına tarihlenmiş takvim etkinliklerine ekleyerek meşru Graph API trafiği üzerinden tespit edilmekten kaçınıyor.
Hollanda istihbarat servisleri AIVD ve MIVD'ye göre, Rus istihbaratı Avrupa ve Ukrayna'daki IP kameraları hackleyerek askeri nakliye yollarını ve Ukrayna birliklerini izliyor. Kameralara varsayılan şifrelerle sızılıyor ve görüntü tanıma yazılımı ile askeri araçlar tespit ediliyor. Ukrayna'da bu erişim askerleri etkisiz hale getirmek için de kullanıldı.
Siber güvenlik araştırmacıları, Güneydoğu Asya'daki hükümet ve diplomatik kuruluşları hedef alan yeni bir kötü amaçlı yazılım olan GoSerpent'i keşfetti. Kaspersky tarafından tespit edilen bu yazılım, uzun vadeli erişim ve istihbarat toplamaya odaklanıyor. GoSerpent, kimlik bilgilerini çalmak ve hassas verileri sızdırmak için çeşitli araçlar kullanıyor.
Siber güvenlik araştırmacıları, Şubat 2024 ile Nisan 2026 arasında Çin ve Hindistan bağlantılı olduğu düşünülen tehdit aktörlerinin Pakistan kolluk kuvvetlerine yönelik sürekli siber casusluk faaliyetlerini ortaya çıkardı. Belucistan Polisi başta olmak üzere birçok kurumun ağlarına sızan saldırganlar, PlugX, ShadowPad, Cobalt Strike ve Remcos RAT gibi kötü amaçlı yazılımlar kullandı.
Seqrite Labs araştırmacıları, 'Operation DragonReturn' adı verilen kampanyada Çin bağlantılı hackerların Hindistan vergi mükelleflerini hedef aldığını ortaya çıkardı. Sahte e-postalar ve vergi dairesi taklidi yapan kötü amaçlı yazılımlar kullanılarak DcRAT truva atı bulaştırılıyor.