A legrosszabb az egészben az, mennyire hétköznapinak tűnnek ezek a támadások. Egy hívás az IT-tól. Egy megosztott fájl. Egy megbízható alkalmazás. Egy egyszerű kérés, hogy kattints az „Engedélyezés” gombra. Minek betörni, ha valaki magától is kinyitja az ajtót?

Ez a gondolat végigvonul az egész mostani összeállításon. A támadók valódi eszközöket, hamis bejelentkezési oldalakat, régi fiókokhoz tartozó linkeket és olyan szoftveres útmutatókat használnak, amelyek veszélyes letöltésekhez vezetnek. Elég egyetlen elütés a webcímben, és már meg is van a baj.

Emellett zsarolóvírussal, ellopott személyazonosító adatokkal, rejtett támadószerverekkel és olyan gyenge beállításokkal is foglalkozunk, amelyeket már régen rendbe kellett volna tenni. Íme a teljes lista.

A fenyegetések hétről hétre változnak. Iratkozz fel, és szólunk, amikor megjelenik az új ThreatsDay Bulletin.

• Kamu IT, valódi hozzáférés
  • A Microsoft egy ember által irányított betörési kampányra figyelmeztetett, amely a Microsoft Teams külső együttműködési funkcióját használja ki. A támadók IT- vagy helpdesk-munkatársnak adják ki magukat, és ráveszik a felhasználókat, hogy engedélyezzenek egy interaktív távoli munkamenetet. „Miután a fenyegető szereplő RMM eszközökkel távoli vezérlést szerez, PowerShell segítségével letölt és észrevétlenül telepít egy rosszindulatú MSI csomagot. Ez egy hordozható Node.js runtime-ot és egy obfuszkált JavaScript implantátumot készít elő, amely tartós parancsvégrehajtást és parancs- és vezérlő (C2) hozzáférést biztosít” – közölte a technológiai óriás. „Az implantátum telepítése után a támadó kiterjedt felderítést végez a gépen és az Active Directoryban, időnként képernyőképeket készít az áldozat asztaláról, további kártevőket futtat megbízható Windows binárisokon keresztül, és a Windows Remote Management (WinRM) segítségével mozog a vállalati hálózaton, egészen a nagy értékű célpontokig, például a tartományvezérlőkig.” A Microsoft szerint ez a „betörési minta” különösen súlyos hatású, mert külső támadónak ad interaktív hozzáférést a belső infrastruktúrához.
• Teams-alapú vishing nagyban
  • Egy másik, Teamsre épülő visszaélésnél egy összehangolt social engineering műveletet figyeltek meg, amely a Spring Ring nevet kapta. A támadók külső Microsoft Teams fiókokat használnak, IT helpdesk-munkatársnak adják ki magukat, és 2026 januárja és áprilisa között legalább 10 különböző iparágban működő cég több mint 150 dolgozóját vették célba. „A látszólag ártalmatlan chat valójában egy hangalapú adathalász (vishing) hívás, amely során a támadók megpróbálják rávenni az áldozatokat, hogy RMM eszközöket vagy egyedi kártevőt futtassanak” – közölte a Palo Alto Networks Unit 42 jelentése. „Egy fejlettebb változatban a támadók a vishing hívásról egy teljes értékű Microsoft NT LAN Manager (NTLM) relay támadásra váltottak, amely a szervezet tartományvezérlőjét (DC) célozta.” Összesen 26 különböző támadói identitást azonosítottak a chat- és híváskísérletek mögött.

Ransomware-partner kézikönyv

• A Sophos egy új jelentésben közölte, hogy a The Gentlemen ransomware-csoport, amelyet Gold Sherwood néven követnek, 2026 júliusának végéig összesen 683 áldozatot szedett össze. Csak júliusban 169 új áldozatot jelentettek.
  • „A The Gentlemen ransomware-betörései […] egy jól ismételhető partner-kézikönyvet mutatnak, amely opportunista kezdeti hozzáférést, gyors jogosultságnövelést, legitim távoli hozzáférési mechanizmusokat, megbízható rendszerútvonalakba telepített eszközöket, célzott adatkiszipolyozást, agresszív védelemkikerülést, a biztonsági mentések megzavarását és a ransomware telepítését kombinálja” – írta a Sophos jelentése. „A partnerek rugalmasan működnek: natív Windows segédprogramokat, kereskedelmi és nyílt forráskódú eszközöket, BYOVD-alapú EDR-kiiktatókat és a backup szolgáltatások manipulálását használják, hogy alkalmazkodjanak az áldozatok környezetéhez, és a titkosítás előtt a lehető legnagyobb kárt okozzák.”

PhaaS a lekapcsolás után is talpon

• A Outsider phishing-as-a-service (PaaS) platform a bűnüldöző szervek akciói ellenére is kitart, pedig több, a szolgáltatáshoz köthető domaint is lekapcsoltak. A kitet egy „ChenLun” néven ismert támadó üzemelteti.
• A Group-IB közölte, hogy több mint 700 új adathalász oldalt azonosítottak, amelyeket a kit segítségével hoztak létre, mindössze egy hónappal azután, hogy a Google polgári pert indított az üzemeltetők ellen. Ez arra utal, hogy a partnerek továbbra is aktívan használják a szolgáltatást. A kampányokat SMS-ben terjesztik. „Ami korábban technikailag komoly felkészültséget igényelt, ma már egy előfizetésre és egy Telegram csatornára egyszerűsödött” – írta a Group-IB. „Az adathalász kiteket egy dedikált Telegram-ökoszisztémán keresztül terjesztik. Az üzemeltetők WebSocket kapcsolatot használnak élő billentyűnaplózáshoz és az MFA-kihívások manipulálásához.”
• Aláírt szoftver, rejtett kártevő
  • Egy adózással kapcsolatos, kormányzati témájú kampány adóhatósági értesítésnek álcázott üzenetekkel célozza az áldozatokat, az Egyesült Arab Emírségekre és Indiára szabott adómegállapítási csalik segítségével próbálja rávenni őket, hogy megnyissanak egy kártékony lemezképfájlt. „A lemezkép egy legitim, érvényes tanúsítvánnyal aláírt kereskedelmi futtatható állományt tartalmaz, mellette pedig egy rejtett, aláíratlan kártékony DLL-t” – közölte az iZOOlogic. „A kampány központi eleme a szoftverekbe vetett bizalom kihasználása és a DLL sideloading. A kártékony DLL betöltőként működik, és több végrehajtási és perzisztencia-mechanizmust alakít ki. A loader három titkosított payloadot tartalmaz. Kettő ezek közül legitim, aláírt kernel driverré fejtődik vissza, amelyek egymástól független kereskedelmi termékekhez tartoznak, a harmadik pedig egy perzisztencia-szkript.” A támadási lánc egy, a Registryben megbúvó második fázisú komponens előtt nyit utat, amely UDP-n keresztül kapcsolódik egy külső szerverhez.
• Vezetőkre szabott adathalászat szolgáltatásként
  • A ZeroBEC részletesen bemutatta a BlueKit nevű, kulcsrakész adathalász szolgáltatást, amellyel pénzügyi szektorban dolgozó vezetőket, elsősorban vezérigazgatókat támadnak, hogy hitelesítő adataikat ellopják egy böngésző-a-középen (BitM) infrastruktúra segítségével. A kampány dokumentummegosztásra hivatkozó csalikra épít, így indítja el a támadási láncot, és ZeroBotot használ a botok kiszűrésére. „A kampány nem állt meg a hitelesítő adatok vagy munkamenetek ellopásánál” – írta a ZeroBEC. „A BlueKit böngésző-a-középen folyamat után a kiválasztott áldozatokat egy hamis dokumentum-megjelenítő felületre irányították, amely egy legitim ScreenConnect klienst szállított, előre beállítva a támadók által használt ScreenConnect felhőpéldányra.” A szolgáltatás hozzáférést kínál 250 dollárért 7 napra, 480 dollárért 14 napra és 940 dollárért 30 napra, ezzel a jelenlegi PhaaS piac felsőbb árszintjére pozicionálja magát. Összehasonlításképp: a Tycoon 2FA, a Greatness és a Forg365 havidíja nagyjából 350, 289, illetve 400 dollár.

Alvó domainek, bevetésre készen

• Kibervédelmi kutatók elemezték a Prince of Persia (más néven Indy) néven ismert, kevéssé ismert iráni hackercsoport infrastruktúráját, amely a Foudre és Tonnerre kártevőcsaládokat veti be, hogy feltérképezze az áldozatokat, és érzékeny adatokat gyűjtsön nagy értékű célpontoktól. Whisper Security szakértője, Kaveh Azarhoosh szerint a backend önálló névkiszolgálóként működik: minden aktív C2 szerver egyben a saját domainjeinek nameserverét is futtatja. A kutatók azonosítottak egy 58 domainből álló, „tartalék” készletet is, amelyeket már beregisztráltak, és a csoport saját nameszervereire delegáltak, de jelenleg egyik sem mutat tényleges szerverre. „Előkészített, de nem aktív domainekről van szó: abban a pillanatban, hogy bármelyikük kap egy A rekordot, egy új parancs- és vezérlőszerver indul el – és ez már azelőtt látszik, hogy a szerver bármit is csinálna” – mondta Azarhoosh a The Hacker Newsnak e-mailben.

Távirányított Rubber Ducky

• Az Intezer részletesen bemutatta egy hamis „adatvédelmi böngészőt”, amelyet egy megtévesztő weboldalról („www.mxsetuplogi.com”) lehet letölteni, és amely a távoli támadó parancsait egér- és billentyűzetbevitelnek álcázva hajtja végre az áldozat gépén. A weboldal fizetett Google-hirdetésként bukkan fel, miután az áldozat elgépelte a címsorba szánt domainnevet („www.mxsetup.logi.con”). A kiberbiztonsági cég szerint ez egy USB Rubber Ducky-támadás, amelyet az interneten keresztül szállítanak. „A támadás megkerüli az EDR-t, és a VirusTotalon nulla–két találat között mozog” – írták. „A fertőzés egyetlen elütött betűvel indult egy rutinszerű egértelepítés során, ami egy malvertising hálózaton át egy MSIX telepítőhöz vezetett, amelyet a Microsoft saját infrastruktúráján keresztül írtak alá.” A kampány egy hasonló, 2016 januárjából ismert művelethez köthető vissza, ami arra utal, hogy a tevékenység legalább egy évtizede zajlik.

153 millió személyi igazolvány eladó

• Az amerikai Szövetségi Nyomozó Iroda (FBI) egy Nexus nevű új személyazonosság-lopási szolgáltatást vizsgál, amely azt állítja, hogy több mint 153 millió amerikai és kanadai jogosítvány digitális másolatával rendelkezik. Független biztonsági újságíró, Brian Krebs szerint
• a szolgáltatás egy IDScan.net nevű, Louisianában működő, széles körben használt személyazonosság-ellenőrző cég által gyűjtött képeket szívja le. A 2026. augusztus 31-én a dark weben elindított Nexus több mint 10 millió személyi igazolvánnyal, több mint hárommillió úti okmánnyal és/vagy nemzetközi igazolvánnyal, valamint legalább 579 000 egészségügyi kártyával is dicsekszik. Minden egyes rekord 100 dollárért „nyitható meg”. Nem sokkal a leleplező cikk megjelenése után a Nexus eltűnt a hálózatról. Az IDScan.net saját oldalán vizsgálja az incidenst.

Csapdává váló AI‑utasítások

• Védelmi beszállítók, Fortune 500-as és nagy technológiai cégek 6214 aktív domainjének átvizsgálása során llms.txt vagy llms-full.txt
• fájlokat találtak a webhelyek gyökerében, a robots.txt mellett. „A fájl nem sitemap és nem nyilatkozat” – mondta egy izraeli stealth startup. „Egy gondosan összeállított utasításkészlet AI ügynököknek: mit olvassanak, mely API-kat hívják, mely package-eket telepítsék, mely domainekben bízzanak meg. Az OpenAI, az Anthropic és a Google is közzéteszi a sajátját.” A 8265 llms.txt és llms-full.txt fájl közül 120 – mind különböző oldalakon – olyan telepítési utasításokat tartalmazott, amelyek PyPI- vagy npm‑package nevekre és soha nem regisztrált domainekre mutattak. „Kiválasztottunk néhány package-nevet olyan cégek llms.txt fájljaiból, amelyek nevét biztosan ismered, és regisztráltuk őket PyPI-n és npm-en” – mondta Alon Hertz, az egyik kutató nyilatkozata szerint. „Mindegyikbe beépítettünk egyetlen phone-home funkciót – egy minimális jelzést, amely a telepítés tényét jelentette vissza az általunk felügyelt infrastruktúrának. Az első visszahívás kevesebb mint négy percen belül megérkezett.” A legaggasztóbb, hogy legalább egy aktív támadás már kihasználta ezt a hibás konfigurációt: az azonosítási szolgáltató Clerk llms.txt fájlja egy „clerk-next-fix-auth-protection” nevű npm‑package-re hivatkozott ahelyett, hogy a saját scope-olt package-ét, az @clerk/eslint-plugin-t adta volna meg. Egy ismeretlen támadó azonos nevű publikus package-et regisztrált. A package olyan kódot tartalmazott, amely a telepítő felhasználónevét, a gép nevét, a munkakönyvtárat és az időbélyeget továbbította egy külső szerverre. A Clerk azóta orvosolta a problémát.

AI-védők kongatják a vészharangot

• Több mint 100 cég – köztük az Anthropic, a Google, az OpenAI, a Microsoft, a Perplexity és mások – közös nyílt levelet tett közzé, amelyben a kiberbiztonság megerősítését sürgetik. Arra figyelmeztetnek, hogy az AI egyre inkább lerövidíti a kibertámadások idővonalát, felgyorsítja a támadások sebességét és növeli a léptékét, így a védőknek egyre kevesebb idejük marad a biztonsági problémák kezelésére, mielőtt azokat kihasználnák. A levél aláírói szerint a jelenlegi kiberbiztonsági megközelítések nincsenek felkészülve az AI-alapú támadások várható hullámára, miközben a támadók AI-eszközökre támaszkodhatnak a régóta ismert sebezhetőségek, a túlzott jogosultságok, a hibás konfigurációk, a nem biztonságos és nem frissített szoftverek, a gyenge hitelesítés és az örökölt rendszerekben felhalmozódott technikai adósság célba vételéhez. „A következő hónapokban az AI által támogatott kibertámadások sokkal elterjedtebbé és kifinomultabbá válnak, ahogy világszerte egyre fejlettebb modelleket használnak” – figyelmeztet a levél.
• „Veszélyben vannak azok a cégek és közszolgáltatások, amelyekre a közösségeink támaszkodnak – a kórházaktól a víztisztítókon át egészen az internetet működtető infrastruktúráig. A mai AI-fejlesztések már most új eszközöket adnak a védők kezébe, hogy kijavítsák az évek alatt felhalmozódott gyengeségeket. Ha határozottan lépünk, ezt az időablakot kihasználva sokkal biztonságosabbá tehetjük a digitális világot.”

Örökölt bejelentkezés buktatta le 5 ezer fiók adatait

• A Dropbox közölte, hogy múlt hónapban körülbelül 5000 fiókot törtek fel, így a támadók meg tudták nézni és le tudták tölteni a felhőalapú tárhelyszolgáltatásban tárolt tartalmakat. A cég a Reutersnek elmondta, hogy „illetéktelen hozzáférést azonosítottunk olyan fiókoknál, amelyek Lenovo ID-hoz kapcsolódtak, és nem használtak kétfaktoros hitelesítést”, és hozzátette, hogy minden, Lenovo ID-val hitelesített munkamenetet megszüntettek. A Lenovo szerint a probléma egy „örökölt integrációra” vezethető vissza a Lenovo ID és a Dropbox között, amely „bizonyos Dropbox-fiókok jogosulatlan hitelesítésére volt felhasználható”.
• Kernel védelem alapértelmezésként
• A Microsoft bejelentette, hogy 2026 októberétől kibővíti a memória-integritás védelmet a jogosult eszközökön. A cél, hogy a felhasználók „erősebb, kernel-szintű védelmet kapjanak a kifinomult támadások ellen, alapértelmezésként, minimális vagy semmilyen extra konfigurációval”. A cég szerint „ez a változtatás egyszerűsíti a biztonságot, és segít erősebb biztonsági alapvonalat kialakítani a teljes környezetben. A Virtualization-based Security (VBS) technológiára épülő memória-integritás megvédi a Windows kritikus részeit a manipulációtól. Ez ad alapot a modern biztonsági újításokhoz, például a felhasználói élményt és a produktivitást javító hotpatch frissítésekhez, valamint a védelemhez.”
• Pro-ukrán zsarolóvírus új márkanév alatt
• Egy új, VantaCore nevű zsarolóvírus-csoport legalább hét orosz céget vett célba egy saját fejlesztésű zsarolóvírussal, és milliós váltságdíjakat követel. Az F6 szerint a fenyegető szereplő valójában egy ismert, pro-ukrán csoport, a Thor újranevezett változata. A támadásokban a VantaCoreLoader is szerepet kap, amely a zsarolóvírust és más kártékony programokat teríti, a VantaCoreRAT, egy hátsó kapu, amely információt gyűjt a fertőzött rendszerekről és parancsokat hajt végre, valamint a SnowKiller, amely a BYOVD technikával képes leállítani a biztonsági szoftvereket.
• Életfogytiglant kaphatnak szextortion miatt
• Két nigériai állampolgárt, a 26 éves Adebola Festus Adekunle-t és a 24 éves Mudasiru Afeez Olawale-t kiadták az Egyesült Államoknak, ahol két külön ügyben állnak bíróság elé kiskorúak ellen, anyagi haszonszerzés miatt elkövetett szextortion miatt. Az áldozatok halála mind a Mississippi északi körzetében, mind Észak-Karolina középső körzetében indított ügyben szerepel. Mindkettőjükre legfeljebb életfogytig tartó börtönbüntetés és kötelező minimum büntetés vár; a gyermekek sérelmére, halált okozva elkövetett kizsákmányolás vádja legalább 30 év börtönnel jár.
• Hardveres digitális személyik
• A Google közölte, hogy bővíti az Android Ready SE kezdeményezést, és összehozza a lapkagyártókat, az eszközgyártókat, a pénztárca-fejlesztőket és az állami kibocsátókat, hogy egyszerűbbé tegyék a megfelelést, és méretezhetővé tegyék a minősített hardveres biztonságot a teljes mobilökoszisztémában. A fejlesztés célja, hogy nagy tömegben lehessen kiépíteni a magas biztonsági szintű, manipulációálló digitális személyazonosságot, miközben világszerte egyre nagyobb az igény a nemzeti elektronikus személyik (eID) és a mobil jogosítványok (mDL) hardveres védelemmel ellátott mobil pénztárcákban való biztonságos tárolására.
• Az OAuth-hozzáférés túléli a jelszavakat
• Az FBI arra figyelmeztetett, hogy kiberbűnözők ismert személyeket, családtagjaikat és ismerőseiket veszik célba, és közvetlen üzenetben küldenek nekik kártékony linkeket. A támadók az úgynevezett OAuth consent phishing technikát használják, hogy hozzáférést szerezzenek az áldozatok fiókjaihoz. A támadások kormányzati tisztviselőket, médiamunkásokat és más közszereplőket érnek egy kereskedelmi üzenetküldő alkalmazáson (CMA) keresztül. A támadók arra próbálják rávenni őket, hogy egy kártékony linkre kattintsanak, amely fájlmegosztó szolgáltatásnak álcázza magát, de valójában egy, a támadók által irányított alkalmazáshoz vezet. „Korábbi adathalász kampányokban a támadók rendezvényszervezőnek adták ki magukat, és meghívó ürügyén küldtek kártékony linkeket, azzal az indokkal, hogy az áldozatnak egy, a támadó által irányított alkalmazáson keresztül kell igazolnia a személyazonosságát” – közölte az FBI közleménye. A hatóságok nem árulták el, hány embert érinthettek ezek a támadások, és azt sem, kik állnak mögöttük.
• Electron-alkalmazások mögé bújt adatlopó
• Trójai kóddal fertőzött Electron asztali alkalmazások, amelyek valódi programoknak adják ki magukat, egy RevStealer nevű Windowsos adatlopó kártevőt terjesztenek. Az alkalmazásokat GitHub tárolókban és játékcsalásokkal foglalkozó oldalakon osztják meg, köztük egy hamis „Claude Opus 5 Free Desktop” projekttel. „A kártevőt egy Electron loader szállítja, amely AES-sel titkosított natív payloadot rejt az alkalmazás egyik erőforrásában, megpróbálja a felhasználó AppData mappáját felvenni a Microsoft Defender kizárási listájára, majd látható ablak nélkül elindítja a payloadot” – írta a Morphisec jelentése. A malware többféle elemzés- és virtuális gép elleni ellenőrzést is lefuttat, mielőtt kicsomagolja a fő payloadot. „Ha az elsődleges C2 nem érhető el, a RevStealer egy smart contractból olvas ki egy tartalék címet a Polygon blokkláncon, így az üzemeltetők anélkül tudják cserélni az infrastruktúrát, hogy újra kellene építeniük a kártevőt” – tette hozzá a cég. A malware különlegessége, hogy nem a tartós jelenlétre épít. Inkább arra törekszik, hogy egyetlen futás alatt minél több adatot gyűjtsön, titkosított, típusozott rekordokban kiszivárogtassa, majd törölje önmagát.

Megbízható eszköz, hamis hozzáférés

• A támadók a Faronics Deployt, egy legitim endpoint menedzsment platformot használják fel arra, hogy a phishing áldozatok által telepített szoftveren keresztül támadók által vezérelt PowerShell parancsokat futtassanak. A Huntress szerint több mint 457 endpoint találkozott Faronicshoz köthető csali kampányokkal. „A megfigyelt esetekben a támadók a Faronics Deployt a ScreenConnecttel láncolták össze, így a rosszindulatú távoli hozzáférési tevékenységet a megbízható szoftveres folyamatok közé rejtették” – írta a cég.
• „A terjesztési módszer scriptenként eltér, a megfigyelt példák között volt, ahol curlt vagy MSHTA-t használtak további tartalom letöltésére, míg mások az msiexecet hívták meg, hogy a támadók által vezérelt infrastruktúrán tárolt payloadot telepítsék. Ezeket a scripteket ezután ScreenConnect telepítésére használják, így egy újabb távoli hozzáférési csatornát hoznak létre a feltört endpointon.”

A ClickFix több platformon támad

• Kibervédelmi kutatók a CRPx0 ransomware-as-a-service (RaaS) műveletként írják le, amelyet a ClickFix szállít, és Windows- és macOS-frissítési értesítésekhez, illetve reCAPTCHA-ellenőrzésekhez kapcsolódó csalikra épít, hogy rávegye az áldozatokat egy bemásolt parancs futtatására. „Windowson egy többlépcsős DLL-láncot indít. macOS-en közvetlenül letölti a Python payloadot” – írta a Ransom-ISAC Research Team. „A végső payload egy többplatformos Python ransomware, amely titkosítás előtt kiszivárogtatja az adatokat, AES-128-CBC-t használ Fernettel a fájlok titkosítására, az áldozónkénti kulcsot egy beágyazott RSA-4096 nyilvános kulccsal csomagolja, megpróbál oldalirányban terjedni, és váltságdíj-üzeneteket helyez el, amelyek 48 órán belül Bitcoin- vagy Monero-fizetést követelnek.” A RaaS program 2026. június 7-én jelent meg először. Augusztus végére a csoport már egy clearnet oldalon („crpx0[.]su/v3.txt”) hirdette a műveletet, mint támadó vezérlőpultot feltört gépek kezelésére, fájlok és hitelesítési adatok begyűjtésére, ellopott kriptoeszközök figyelésére, távoli parancsok futtatására és a ransomware kézi indítására.

Könnyű elsiklani egy fontos részlet felett: egy jelszócsere nem feltétlenül zár be minden ajtót. Egy rosszul jóváhagyott alkalmazás vagy egy távoli munkamenet jelszó nélkül is hozzáférést adhat a támadóknak. A helyreállításnak ezért része kell legyen a nyitott munkamenetek lezárása, az ismeretlen alkalmazások hozzáférésének visszavonása és a távoli eszközök átvizsgálása.

A jobb biztonsági beállítások lassan alapértelmezetté válnak, ami sokat segít. Közben a régi fiókösszekötések, a gyenge bejelentkezési opciók és a megbízhatónak hitt szoftverek továbbra is mozgásteret adnak a támadóknak. A hét legbiztonságosabb szabálya egyszerű: mielőtt bármi újnak engedélyt adsz, nézd meg, mi minden rendelkezik már hozzáféréssel.