近期，瑞星威胁情报中心捕获一起瞄准交易群体的恶意攻击：攻击者仿冒MetaTrader交易软件分发载体，借助ExeBundler捆绑包搭载带正规签名的MetaTrader 4安装程序作为掩护，后台释放Rust下载器，通过权限探测、持久化落地、无文件内存加载等手段，最终投递疑似银狐生态远控模块。该远控连接指定C2服务端建立通信，具备命令执行、屏幕捕获、键盘记录、剪贴板窃取等全套高危控制能力。
近期，瑞星威胁情报平台监测到一起针对Windows用户群体的文件感染型攻击事件。攻击者通过感染合法程序进行传播，被感染文件在运行时会释放并执行一个内嵌后门。该后门经LZNT1压缩存储于病毒体尾部，运行时通过RunPE（CreateProcessA 挂起 → NtUnmapViewOfSection → VirtualAllocEx → WriteProcessMemory → SetThreadContext → ResumeThread）以无文件方式注入自身副本，随后与C2服务器exo-api.tf建立HTTPS通信。该后门具备环境指纹采集、双互斥体单实例运行、联网获取加密数据、伪装System32进程执行联网下载的恶意程序等能力,运行时对NtManageHotPatch与ZwQueryVirtualMemory进行Inline Hook，篡改内存查询结果以隐藏注入的载荷，规避EDR/沙箱的内存扫描,并通过命名管道\\.\pipe\VccFramework在恶意组件之间传递C2域名、木马标识符、感染配置等，可对用户主机构成持久化控制与数据窃取威胁。
近期，瑞星通过自动化沙盒捕获到今年新出现的名为Warden Stealer的窃密木马样本。初始文件byeantlyeuks.exe对内嵌编码数据进行解码和重组，并将还原出的载荷注入explorer.exe执行。后续模块build.dll的功能包含主机环境检测、浏览器及Discord、Steam、Roblox等应用数据采集，并包含剪贴板钱包地址替换、屏幕截图、进程内存读取及二阶段载荷下载执行等功能。样本通过WinHTTP与候选C2域名通信，上报数据经序列化、异或处理和LZNT1压缩。
2026年10月中下旬，PHP、Node.js、nginx 三个 Web 基础组件先后发布版本更新，累计修复17个安全漏洞。