Podle zprávy týmů GTIG a Mandiant začali kybernetičtí útočníci při reálných incidentech aktivně zneužívat open-source agentní penetrační rámce ARTEX, Hexstrike nebo CAIRN k vysoce automatizovaným útokům. Nástroje poháněné velkými jazykovými modely zvládají autonomně provádět laterální pohyb, eskalaci oprávnění i přípravu dat k exfiltraci v řádu sekund až minut. Mezi aktéry využívající ARTEX patří finančně motivované vyděračské skupiny i státem podporovaní špioni napojení na Čínu.
Kritické zranitelnosti CVE-2026-88771 a CVE-2026-88772 s hodnocením CVSS 9.5 v produktech Citrix NetScaler ADC a NetScaler Gateway umožňují neautentizovaným vzdáleným útočníkům spuštění libovolného kódu. Obě chyby jsou aktivně zneužívány v reálném provozu a výrobce i bezpečnostní autority uvádějí dostupnost opravných verzí.
Výzkumníci ze společnosti Socket objevili v katalogu doplňků pro Firefox tři škodlivá rozšíření napodobující peněženky Phantom, Jupiter a Bitget. Podle zprávy tyto doplňky kradly obnovovací fráze a privátní klíče k peněženkám a v případě varianty Phantom automaticky převáděly prostředky útočníkům.
Analýza společnosti Group-IB popisuje kampaň malwaru pro systém Android zacílenou na indický bankovní sektor. Útočníci využívají sedm různých rodin trojských koní, které napomáhají bankovním podvodům prostřednictvím koordinovaného phishingu, krádeží přihlašovacích údajů a neoprávněné těžby kryptoměn.
Elastic Security Labs odhalily kampaň vydávající se za Web3 akcelerátor Apex, která cílila na kryptoměnové startupy nabídkou bezplatných AI kreditů a auditních nástrojů. Podle výzkumníků skupina šířila škodlivé balíčky @apexacc/cli a @apexacc/audit, jež do systémů Windows a macOS nasazovaly zlodějský malware a backdoory.
Podle společnosti Microsoft ruská státní skupina Star Blizzard přešla na rozsáhlejší phishingové kampaně a zavedla novou techniku šíření malwaru označovanou jako RedFlick. Tato technika vyžaduje pouze jedinou interakci uživatele a slouží k nasazení vlastního zadního vrátku CosmicPulse. Kampaně cílily na ukrajinské instituce, nevládní organizace, think tanky i vládní a finanční instituce podporující Ukrajinu.
Podle zdroje nová platforma RemControl nabízená formou malware jako služba (MaaS) pro systém Android cílí na uživatele v Evropě a Kanadě. Škodlivý kód se šíří prostřednictvím škodlivých reklam, které se vydávají za IPTV aplikaci TVTap.
Bankovní malware aktivní od poloviny roku 2025 využívá sadu nástrojů KREMLIN k instalaci škodlivých rozšíření pro prohlížeče Chrome a Edge. Tyto doplňky podle zprávy kradou přihlašovací údaje, tokeny relací a další citlivá data.
Elastic Security Labs analyzoval kampaň brazilského bankovního malwaru KREMLIN, který zneužívá škodlivá rozšíření pro prohlížeče Chrome a Edge. Malware obchází bezpečnostní mechanismy Chromium a manipuluje s předvolbami, aby kradl přihlašovací údaje a bankovní relace. Útočníci navíc využívají smart kontrakty na síti Ethereum k dynamickému získávání adres řídicích serverů.
Podle FortiGuard Labs cílí nová kampaň bankovního trojanu Casbaneiro na Latinskou Ameriku. Útočníci k vyhýbání se analýze a detekci používají geofencing a distribuované servery pro příjem dat.
Podle zprávy společnosti Kaspersky útočí íránští kyberšpioni novým malwarem NodeRabbit na vývojáře v letectví a fintech sektoru. Kaspersky uvedla, že škodlivý kód nejprve objevila na systému v Afghánistánu a později identifikovala další varianty v Egyptě a Etiopii.
Výzkumníci odhalili dosud nepopsané rodiny malwaru NodeRabbit a PollCat, které skupina Mirage Kitten šíří prostřednictvím trojanizovaných programátorských úkolů na síti LinkedIn. Multiplatformní trojany typu RAT napsané v Node.js a JavaScriptu útočí na systémy Windows, Linux a macOS pod záminkou technického hodnocení uchazečů o práci.
Podle společnosti Mandiant útočí finančně motivovaná skupina BREEZE COMET na brazilské finanční instituce, maloobchod a e-shopy s cílem provádět podvodné bankovní převody. Útočníci manipulují platební systémy a bankovní software, k čemuž využívají vlastní malware, zneužité vládní weby pro C2 infrastrukturu a generativní AI pro vývoj škodlivého kódu.
Group-IB odhalila mexickou phishingovou operaci nabízenou jako službu (PhaaS), která míří na více než 20 finančních institucí. Útočníci podle zprávy využívají phishing v reálném čase, vishing s využitím AI a trojské koně pro vzdálený přístup k mobilním zařízením.
Bezpečnostní experti ze společnosti Group-IB objevili novou rodinu malwaru WindRelay určenou k přeposílání NFC komunikace útočníkům v reálném čase. Útočníci během telefonátu podvodně přimějí oběť k instalaci trojského koně SpyNote a následně aplikace WindRelay, díky čemuž mohou vzdáleně ovládat telefon a nechat si přeposlat data z přiložené platební karty pro okamžité nákupy či výběry z bankomatu.
Bezpečnostní experti ze společnosti Elastic analyzovali kampaň REF6045 zaměřenou na mexický finanční sektor. Útočníci infikují oběti podvodnými CAPTCHA stránkami v technice ClickFix a následně nasazují powershellovou sadu SCMBANKER pro sledování bankovních relací i podvržení čísel účtů.
Výzkumníci z Elastic Security popsali bankovní podvodnou operaci REF6045 zaměřenou na finanční sektor v Mexiku. K nákaze slouží technika ClickFix s falešnou CAPTCHA, která oběť přiměje spustit kód instalující sadu PowerShell skriptů SCMBANKER pro sledování bankovních relací a manipulaci se schránkou.
Bezpečnostní tým Elastic identifikoval novou kampaň s brazilským bankovním trojanem TCLBANKER, který cílí na 59 domén bank, fintechů a kryptoměn. Škodlivý kód zneužívá techniku DLL sideloading přes legitimní aplikaci Logi AI Prompt Builder a k šíření využívá červí moduly zneužívající účty obětí ve WhatsAppu a Outlooku.
Elastic Security Labs odhalil kampaň REF6598 cílící na finanční a kryptoměnový sektor přes LinkedIn a Telegram. Útočníci manipulují oběti ke stažení sdíleného trezoru pro aplikaci Obsidian a povolení synchronizace komunitních doplňků, což vede ke spuštění škodlivého kódu a nasazení nového trojanu PhantomPulse na Windows nebo AppleScript dropperu na macOS.