NightEagle greift laut Kaspersky überwiegend mit kompromittierten, gültigen Zugangsdaten auf Unternehmens-VPNs zu. Die Verbindungen stammten dabei aus IP-Adressen des russischen Segments, die mit Cloudflare-WARP-Tunneln verknüpft sind, sowie aus Adressbereichen europäischer Anbieter virtueller Infrastruktur.
Auf den Exchange-Servern kommt GhostContainer zum Einsatz, eine modulare Hintertür, die vollständigen Zugriff auf den Server erlaubt, beliebigen Code ausführt, Dateioperationen durchführt und weitere Module nachlädt. Die Schadsoftware gibt sich als gewöhnliche Serverkomponente aus und kann auch als Tunnel oder zur Umleitung von Datenverkehr dienen; frühere Angriffe damit richteten sich gegen eine Behörde und ein Hightech-Unternehmen in Asien. Kaspersky verweist auf Bestandteile aus mehreren quelloffenen Projekten: den Neo-reGeorg-Tunnel, einen Exploit für CVE-2020-0688 und die GhostWebShell-Klasse aus dem Werkzeug ysoserial — allesamt öffentlich auf GitHub verfügbar.
Wie GhostContainer ausgeliefert wird, ist unklar. Vermutet wird das Auslesen kryptografischer Schlüssel aus der ASP.NET-Konfiguration, das Überschreiben des VIEWSTATE-Parameters und das Einschleusen einer Nutzlast, wodurch die Hintertür im Speicher startet. Für die seitliche Bewegung nutzt die Gruppe Tunnelwerkzeuge, die RDP-Verkehr über Microsoft dev tunnels und das quelloffene rdp2tcp umleiten. Zur Rechteausweitung greift NightEagle Schwachstellen in Active Directory an, darunter CVE-2019-0708 (BlueKeep), um ein lokales Konto anzulegen und es den Gruppen Administratoren und Remotedesktopbenutzer hinzuzufügen. Zudem wurde ein DCSync-Angriff zur Nachahmung des Domänencontrollers beobachtet. Ziel sind Passwort-Hashes von Domänenkonten, langlebige Kerberos-Tickets und letztlich die gesamte Active-Directory-Infrastruktur.
Hacking Cat, eine pro-ukrainische Hacktivistengruppe, nutzt laut Kaspersky Exchange-Schwachstellen wie CVE-2021-26855 und CVE-2026-42897, um den in Go geschriebenen Fernzugriffstrojaner Gorilla RAT einzuschleusen. Dieser registriert das Opfer bei einem Server und führt Befehle aus, listet Prozesse auf, sammelt Systeminformationen, überträgt Dateien und öffnet oder schließt TCP-Tunnel. Dazu kommen mehrere Varianten der Ransomware Monkey in Rust, .NET, C++ und Golang für Windows, Linux und VMware ESXi; das früheste Artefakt stammt aus dem Spätsommer 2025.
Die Rust-Variante erzeugt einen 32-Byte-Schlüssel und verschlüsselt mit ChaCha20-Poly1305. “Einige Varianten speichern den Schlüssel nirgends, was sie faktisch zu vollwertiger Wiper-Schadsoftware macht, obwohl sie weiterhin eine Lösegeldforderung hinterlassen”, so Kaspersky; andere speichern den Schlüssel, nennen aber keine Kontaktdaten. Dass die Golang-Version Schattenkopien löscht — unter Linux und ESXi sinnlos —, deutet aus Sicht der Forscher auf Nachlässigkeit und den Einsatz von KI bei der Entwicklung hin.
Gemeinsam mit dem Cyber Anarchy Squad verteilt Hacking Cat per Batch-Skript die Ransomware ClearWater, die als Ransomware-as-a-Service an pro-ukrainische Gruppen abgegeben wird. In Zusammenarbeit mit der Ukrainian Cyber Alliance kam der Wiper Nemo Wiper zum Einsatz, der Dateien mit Zufallsbytes überschreibt und den freien Speicher mit Dateien der Endung .lock füllt. Kaspersky vermutet eine gemeinsame Quelle der Werkzeuge. Hacking Cat widersprach auf Telegram und warf Kaspersky vor, Werkzeuge völlig unbeteiligter Akteure zuzuordnen.
Toy Ghouls (auch Bearlyfy, Laboo.boo, Feral Wolf), seit 2025 aktiv und finanziell motiviert, liefert Backdoors per Windows Remote Management aus und stützt sich dabei auf Evil-WinRM und WinRM-fs. Die im Juli 2026 erstmals entdeckte Hintertür Bird Agent liest eine Konfigurationsdatei config.toml, die teilweise mit einem aus der MachineGuid abgeleiteten Schlüssel verschlüsselt und damit an das jeweilige System gebunden ist. Die Befehle bezieht sie je nach Variante über den HiveMQ-MQTT-Broker — Ausführung per PowerShell im verborgenen Modus — oder über einen Raum des Matrix-basierten Messengers Element mit Ausführung über die Windows-Kommandozeile. Der Wechsel von offenen Projekten zu Eigenentwicklungen zeigt laut Kaspersky das Bestreben, länger unentdeckt zu bleiben.