In oktober 2026 werd door een korte, verdachte aanval geprobeerd om Qlik Sense-servers met PowerShell reverse shells te compromitteren. Pogingen faalden, maar de activiteit bevatte wel duidelijke sporen richting persistence, ActiveMQ en Veeam.
Onderzoekers beschrijven de ROMULUS ClickFix-dienst waarmee aanvallers via misleidende landingspagina’s en PowerShell-malware kunnen laten starten. Vooral verdachte PowerShell-activiteiten en DLL-sideloading zijn cruciaal om te detecteren.
ClickFix via browsercache misleidt gebruikers om een “oplossingsopdracht” te plakken, terwijl een reeds gecachte payload wordt uitgevoerd. Zo kunnen aanvallers ook Windows-limieten omzeilen en credentials targeten.
Een nieuwe ClickFix-campagne koppelt misleidende links aan misbruik van Custom GPTs. Via nep-communities, PowerShell en een keten van downloads besmetten aanvallers systemen van slachtoffers.
Onderzoekers beschrijven de TASK#STOMP PowerShell-backdoor die op geïnfecteerde systemen voortdurend documenten verzamelt. Daarnaast buit de malware wifi-wachtwoorden, klemborddata en screenshots uit.
Transparent Tribe (APT36) zet in de campagne Operation RapidRust een Rust backdoor via private GitHub in voor versleutelde C2. Daarnaast worden extra tools gebruikt voor laterale beweging en het stelen van bestanden van Windows en Linux.
Bij een wormachtige ScreenConnect-aanval worden gemanipuleerde clients via social engineering op systemen gezet. Daarna volgen VBScript-ketens, PowerShell-stappen en persistence om verder te verspreiden.
TerminalFix misbruikt neppe Cloudflare CAPTCHA’s om slachtoffers PowerShell of Windows Terminal commando’s te laten uitvoeren. Microsoft beschrijft hoe de campagne via DLL sideloading en reverse-tunneling blijft hangen.
