Výzkumníci ze společnosti Rapid7 analyzovali sadu linuxových vzorků včetně variant BPFDoor a implantátu AVERAT, které cílí na telekomunikační prostředí a síťová zařízení. Škodlivý kód využívá regionálně přizpůsobené maskování procesů podle softwaru obětí, například napodobováním antispamu SpamSniper v Jižní Koreji či systémů napojených na Oracle. K obcházení inspekce provozu a doručování aktivačních příkazů aktéři využívají tunelování přes HTTPS požadavky a komunikaci přes SMTP, DNS či TCP.
Útočníci ze skupiny ShinyHunters obnovili rozsáhlé útoky zneužívající kritickou zranitelnost CVE-2026-35273 v Oracle PeopleSoft. Ochranu pomocí pravidel WAF obcházejí URL kódováním cesty k rozhraní PSEMHUB, což jim umožňuje nasazovat web shelly na neopravené servery napříč různými odvětvími.