开放目录中发现 Rekoobe 后门，可能针对 TradingView 用户

Hunt.io 扩展追踪 Gen Threat Labs 标记的 WarmCookie C2 服务器：借助证书历史、HTTP 响应模式与共享 SSH 密钥，关联出更多与新版后门相关的主机。

与 The Gentlemen 勒索软件相关的开放目录曝光 EtherRAT：一款借以太坊智能合约解析轮换 C2 域名的 Node.js 后门，同批泄露的还有 Sliver 反向隧道与操作者工具包。

DinDoor 后门分析：滥用 Deno 运行时执行混淆 JavaScript，经 MSI 投放；嵌入的 JWT 泄露活动信息，Hunt.io 借 HTTP 响应特征关联出 20 台活跃 C2。该家族与 Tsundere/CastleLoader 相关，被指与伊朗 Seedworm（MuddyWater）有关。

Cobalt Strike 狩猎指南第 1 部分：用 AttackCapture 从开放目录中的 PowerShell 加载器与配置脚本入手，结合 SSL 证书与指纹 pivot 绘制活跃 C2 服务器地图。

针对科威特渔业、电信与保险行业的钓鱼行动持续活跃:100+ 个域名集中于 Aeza International 网络的服务器,通过克隆登录门户窃取凭据;复用 SSH 密钥与相同 ASN 把基础设施关联成一体。

研究者在 2024 年 11 月至 2025 年 4 月间追踪到一组预运营阶段的 APT34(OilRig)式基础设施:仿冒伊拉克学术机构与英国科技公司,复用 SSH 密钥、以 8080 端口虚假 404 页面为特征,托管于 M247;为防御方提供早期预警视角。