Pesquisadores da LAC Watch identificaram uma campanha que explora CVE-2024-21893 e CVE-2024-21887 no Ivanti Connect Secure para instalar variantes PlugX — incluindo MetaRAT — usando DLL side-loading, camadas de cifragem (XOR e AES-256-ECB) e compressão LZNT1. Há sinais de movimentação lateral com credenciais AD e indicadores como ERR31093 e serviços/arquivos suspeitos.
Sophos investigou quase 40 intrusões ligadas ao cluster STAC6565 entre fev/2024 e ago/2025, e avalia com alta confiança sobreposições com o grupo Gold Blade. Cerca de 80% dos ataques tiveram alvos no Canadá; o ator associou‑se ao ransomware QWCrypt.
A campanha JS#SMUGGLER injeta loaders JavaScript em sites comprometidos para entregar um HTA que instala o NetSupport RAT, segundo análise da Securonix. Não há dados públicos sobre número de vítimas; recomenda-se auditoria de sites e bloqueio de HTA.
Barracuda identificou o kit GhostFrame, usado em mais de 1 milhão de ataques. O kit usa iframes invisíveis, subdomínios únicos por alvo e técnicas anti-análise para evadir scanners e dificultar inspeção. Recomendações focam em defesa em camadas: gateways de e-mail, restrição de iframes e treinamento de usuários.
O "Kitten Project" funciona como um hub que reúne múltiplos grupos hacktivistas para coordenar ataques e campanhas de doxing contra alvos em Israel. Análises apontam infraestrutura ligada a subdomínios iranianos e ao IP 185.164.72.226 (Pars Parva Systems). Plataformas e endpoints descritos facilitam compartilhamento multimídia e comunicação entre operadores.
A variante 'Broadside' da família Mirai explora uma falha crítica em DVRs para executar injeção de comandos, obter persistência e mover-se lateralmente; a campanha mira o setor de logística marítima, segundo DarkReading.
O grupo OceanLotus (APT32) lançou uma campanha de supply chain contra o ecossistema Xinchuang, usando spear‑phishing com .desktop, EPUBs maliciosos (explorando CVE‑2023‑52076), PDFs remotos e JARs para instalar persistência via atualizações comprometidas. Fontes não divulgam métricas de alcance ou IOCs completos.
O botnet Aisuru gerou ataque recorde de 29,7 Tbps (pico ~14,1 bilhões pps) contra uma instituição financeira; Cloudflare e Akamai mitigaram o tráfego com BGP blackholing. A estimativa é de 1–4 milhões de dispositivos no botnet, com milhares de eventos mitigados em 2025.
Pesquisadores reportam exploração ativa da falha React2Shell (CVE-2025-55182). Mais de 77 mil IPs expostos são vulneráveis e ao menos 30 organizações foram comprometidas; detalhes sobre versões afetadas e patches não foram divulgados.
A CISA adicionou CVE-2025-55182 — chamado React2Shell — ao seu catálogo Known Exploited Vulnerabilities após confirmação de exploração ativa. Com CVSS 10.0, a falha permite execução remota em React Server Components. Organizações que usam RSC devem seguir orientações oficiais para aplicar correções e revisar sinais de comprometimento.
