Pesquisadores rastrearam a Operation DreamJob, atribuída ao grupo Lazarus, que visa fabricantes europeus de drones. A campanha usa ofertas de emprego falsas, documentos trojanizados, DLL side‑loading e trojanização de software open‑source para entregar o RAT ScoringMathTea — encriptado em disco e decriptado só em memória — permitindo exfiltração de propriedade intelectual. As fontes não divulgaram IOCs públicos nem nomes das empresas afetadas.
Campanha ativa entre novembro de 2025 e janeiro de 2026 abusou de páginas hospedadas na Vercel para entregar uma cópia assinada do GoTo Resolve como ferramenta de acesso remoto. A cadeia usa browser fingerprinting e filtragem via Telegram para selecionar vítimas e evitar pesquisadores.
Pesquisadores da Huntress documentaram exploração ativa da CVE‑2025‑51683 em Mjobtime v15.7.2: requisições POST ao IIS habilitam xp_cmdshell no MSSQL, permitindo execução de comandos de sistema e oferecendo foothold para movimento lateral.
Pesquisadores da Fortinet reportaram uma campanha de phishing em múltiplas etapas que atinge usuários na Rússia, combinando o trojan Amnesia RAT com cargas de ransomware. O ataque parte de documentos empresariais aparentemente legítimos. Ainda não há dados públicos sobre o número de vítimas, IOCs completos ou a família específica de ransomware empregada; equipes de segurança devem acompanhar novas divulgações para obter hashes e domínios identifi
Relatos públicos atribuem ao grupo Sandworm uma tentativa de ataque à rede elétrica da Polônia no fim de dezembro de 2025, com uso do malware DynoWiper. Autoridades dizem que a ação foi detectada e impedida; não há, porém, relatório técnico público consolidado sobre vetores, IOCs ou extensão do comprometimento.
O coletivo ShinyHunters reivindicou uma onda de ataques por vishing a contas de Single Sign‑On (SSO) em provedores como Okta, Microsoft e Google, que teriam permitido invasões a plataformas SaaS e exfiltração de dados para extorsão. A reivindicação ainda não tem confirmação técnica pública nem números de vítimas.
Pesquisadores documentaram uma campanha que usa atalhos .lnk com PDFs isca para distribuir o RAT MoonPeak em Windows. A cadeia inclui PowerShell ofuscado, carregamento em memória a partir de repositórios GitHub e comunicação com C2 em 27.102.137[.]88:443. O alvo principal parece ser investidores sul‑coreanos.
A rede Dresden State Art Collections reportou um ataque cibernético que afetou grande parte de sua infraestrutura digital. Segundo a instituição, as instalações permaneceram abertas e as obras foram protegidas durante as ações de resposta, mas detalhes técnicos e impacto sobre dados ainda não foram divulgados.
Dois venezuelanos foram condenados nos EUA por usar malware em ataques a caixas eletrônicos, em um conjunto de ações que levou à acusação de dezenas de nacionais venezuelanos. A cobertura não divulga detalhes processuais extensos; investigações transnacionais e medidas de proteção operacional foram recomendadas.
Microsoft Defender alertou para uma campanha AitM combinada com BEC que usa SharePoint para distribuir iscas e regras de caixa de entrada para persistência, visando múltiplas organizações do setor de energia. O relatório descreve abuso de serviços legítimos e recomenda reforço de MFA e auditoria de regras de e‑mail.
