DNS hijacking fsheh faqe kumari në domain-e të besuara
Sipas Infoblox, DNS hijacking bëri të mundur që faqe të paautorizuara kumari të shfaqeshin nën domain-e të ligjshme shkollash dhe institucionesh qeveritare. DNS, ose Domain Name System, kontrollon se drejt cilit shërbim online i dërgon vizitorët një emër domain-i. Në dy operacione pa lidhje me njëri-tjetrin, sulmuesit duket se fituan qasje në administrimin e DNS dhe krijuan records që pronarët e domain-eve mund të mos i kenë vënë re. Hostnames e krijuara trashëguan namespaces institucionale të besuara, duke i bërë të dobishme për dukshmërinë në motorët e kërkimit dhe gjenerimin e trafikut.
Një grup, që i atribuohet një aktori të quajtur Hidden Hawk, shtoi CNAME records individuale, të cilat ridrejtojnë një hostname te një tjetër, dhe i drejtoi adresat institucionale te faqe kumari të hostuara kryesisht në Cloudflare Pages. Një operacion tjetër, që përfshinte një domain të qeverisë indiane, ua delegoi subzones të plota authoritative nameservers të jashtëm. Më pas, një wildcard mundësoi kontrollimin e shumë hostnames jashtë mjedisit DNS të viktimës. Të dyja teknikat krijuan adresa në dukje institucionale që çonin te faqe hyrëse për kumar të paligjshëm dhe përfitonin nga reputacioni i konsoliduar i domain-eve të komprometuara.
Ekspozimi i kredencialeve ishte një tjetër problem i përsëritur. Hudson Rock tha se hetimi i zgjeruar për FortiBleed identifikoi 975 domain-e të tjera dhe 40,573 sekrete të ekspozuara, duke përfshirë 37,076 records të përdoruesve lokalë dhe 1,576 Active Directory LDAP bind records. Materiali vinte nga 1,703 skedarë burimorë FortiGate, të lidhur me 1,689 identifikues host-i dhe me datë rreth shkurtit 2026. Veçmas, një skanim i 7.25 milionë repositories publike në Gitee gjeti 26,400 kredenciale unike që u verifikuan se ishin ende aktive, duke përfshirë mijëra cloud access keys dhe një kredencial administratori organizate për një platformë të madhe AI për ndërmarrje.
Cequence gjurmoi gjithashtu një scanner që imitonte rreth 32 AI bots, duke përfshirë ChatGPT, Claude dhe Perplexity, ndërsa kërkonte rreth 90 file paths që përdoren zakonisht për fjalëkalime, cloud credentials, private SSH keys dhe skedarë konfigurimi .env. Aktori ndryshonte identitetet, dërgonte grupe prej 50 deri në 190 kërkesash brenda rreth tetë sekondash nga secila adresë dhe përdorte paths të rastësishme për të identifikuar faqe që kthejnë përgjigje për çdo kërkesë. Aktiviteti preku disa sektorë dhe mbeti aktiv të paktën nga fundi i shtatorit deri në fund të tetorit.
Disa dobësi kërkonin vëmendje të menjëhershme. Fortinet publikoi përditësime të koordinuara për FortiOS, FortiManager dhe FortiAnalyzer, që mbulonin dobësi kritike dhe me nivel të lartë rrezikshmërie të gjetura përmes një metode të asistuar nga AI, megjithëse hollësitë teknike po mbaheshin të fshehta deri më 10 nëntor 2026. Wordfence tha se vazhdonte të vëzhgonte kërkesa të lidhura me dobësitë PHP2Shell CVE-2026-109618 dhe CVE-2026-109619 në më shumë se 5 milionë faqe të mbrojtura. Deri më 28 tetor, kompania nuk kishte identifikuar ndonjë komprometim të WordPress të shkaktuar nga ndonjëra dobësi dhe theksoi se përpjekjet e skanimit nuk provojnë se shfrytëzimi ka qenë i suksesshëm.
Sulmuesit po shfrytëzonin aktivisht CVE-2026-42589, një dobësi remote code execution në Gotenberg, e vlerësuar me 9.8 dhe e korrigjuar në maj 2026. Remote code execution do të thotë se një sulmues mund ta detyrojë një sistem të cenueshëm të ekzekutojë komanda nga një vendndodhje tjetër. VulnCheck regjistroi 1,358 raste shfrytëzimi nga 128 adresa IP burimore gjatë 30 ditëve. Sulmet e vëzhguara instaluan një reverse shell të bazuar në Go, të quajtur cache_base, i cili mblidhte informacione për host-in, kontaktonte një command server, regjistronte viktimën dhe hapte qasje të largët shell.
Pillar Security bëri publike CVE-2026-93348, të vlerësuar me 8.6, në procesin e ngarkimit të modeleve të Unsloth. Një konfigurim armiqësor modeli mund të ekzekutonte kod Python duke përdorur qasjen e model loader te datasets, skedarët e modelit, Hugging Face tokens dhe cloud credentials. Problemi u korrigjua në unsloth_zoo 2026.8.14. Veçmas, XBOW raportoi një dobësi kritike remote code execution, që nuk kërkonte authentication, në një kalkulator publik logjistik të U.S. Election Assistance Commission. Aplikacioni i prekur nuk ishte makinë votimi ose sistem regjistrimi votuesish, por një kërkesë e krijuar posaçërisht mund të ekzekutonte kod si root brenda backend container të tij.
Zinxhirët e furnizimit të software-it dhe mjetet e besuara të menaxhimit patën gjithashtu rol të rëndësishëm. JFrog dhe SafeDep gjetën 42 GitHub repositories të rrëmbyera, në pronësi të 11 pronarëve, që përmbanin execution hooks për asistentë AI të programimit dhe integrated development environments. Polymorphic wrappers me madhësi nga 12.9 deri në 13.7 MB dekodoheshin në të njëjtin publishing payload të fshehur. npm worm i familjes Miasma vidhte kredenciale, përhapej përmes packages dhe repositories dhe përfshinte një komponent që fshinte home directory kur viktima anulonte një GitHub token të vjedhur. Projektet e komprometuara nisnin gjithashtu workflows që synonin sistemet cPanel përmes CVE-2026-41940. Ndërkohë, Huntress vëzhgoi sulmues që keqpërdornin platformat e ligjshme Hexnode dhe Rippling për menaxhimin e pajisjeve mobile, pasi bindnin përdoruesit të regjistronin pajisjet ose të instalonin management agents, duke krijuar një rrugë me privilegje për mjete mashtruese të menaxhimit në distancë.
Huntress lidhi gjithashtu disa incidente të shtatorit dhe tetorit me software të komprometuar për menaxhimin e kamerave. Operacioni përdorte programin e ligjshëm WpcMon.exe për të ngarkuar anash DLL files keqdashëse, të cilat janë biblioteka kodi të Windows, dhe për të krijuar lidhje dalëse. Një tjetër teknikë e bazuar në driver u shfaq në operacionin ransomware The Gentlemen, për të cilin Acronis tha se kishte marrë më shumë se 800 viktima. Bashkëpunëtorët e tij synojnë sistemet Windows, Linux, NAS dhe BSD dhe kanë përdorur driver-in e cenueshëm Safetica ProcessMonitorDriver, të gjurmuar si CVE-2025-70795, si dhe drivers Lenovo BootRepair.sys për të ndaluar proceset e sigurisë.
Në Android, dobësia e korrigjuar CVE-2026-80097 në Microsoft Authenticator, e quajtur gjithashtu AuthMask, i lejonte një aplikacioni keqdashës pa leje shtesë të shtirej si një aplikacion first-party i instaluar i Microsoft. Nëse një përdorues përfundonte procesin e paraqitur të authentication, Authenticator mund t'i dorëzonte aplikacionit keqdashës authentication tokens për një llogari pune ku ishte kryer hyrja. Microsoft tha se shfrytëzimi i suksesshëm mund të siguronte qasje në burime si përdoruesi i prekur. Google njoftoi gjithashtu se një version i ardhshëm i Android do t'i ndalojë aplikacionet të shkruajnë drejtpërdrejt te kontaktet përmes WRITE_CONTACTS. Në vend të kësaj, aplikacionet do të përdorin veprime standarde për kontaktet që përfshijnë përdoruesin, duke reduktuar qasjen e gjerë në sfond që jep leja ekzistuese.
Klientët e mobile banking përballen me një shërbim të veçantë crimeware të quajtur MR ROBOT. CloudSEK përshkroi një platformë me qira, bashkëpunëtorët e së cilës përdorin një Telegram bot dhe web panel për të krijuar Android banking trojans të personalizuar. Malware synon OTPs, të dhënat e kartave, UPI PINs dhe kredencialet e llogarive, si dhe mund të përcjellë thirrjet për të anashkaluar kontrollet. Ai imiton rreth 36 aplikacione bankare, shërbimesh publike dhe qeveritare dhe shpërndahet përmes faqeve të rreme të app store dhe mashtrimeve me mesazhe. U vlerësua se një bashkëpunëtor kishte kapur 5,407 mesazhe nga 153 pajisje të infektuara.
Zhvillime të tjera në fushën e malware përfshinin NIK C2, të cilin Cisco Talos e përshkroi si një command-and-control framework të integruar me AI.