Grupos vinculados a China, identificados como BRONZE SANDCASTLE, están utilizando aplicaciones confiables de Windows para cargar puertas traseras ocultas. Este grupo coloca archivos maliciosos junto a software legítimo para ejecutar código controlado por ellos sin alterar la aplicación original, logrando así recopilar detalles del sistema y robar credenciales de Active Directory.

La versión 1.107.0 de LiteLLM fue comprometida en PyPI el 21 de octubre de 2026, distribuyendo un robador de credenciales y un troyano de acceso remoto (RAT) a través de sus archivos wheel. Esta versión maliciosa también afectó a las imágenes de Docker, poniendo en riesgo sistemas de desarrolladores y servicios de IA. Aikido advirtió que quienes instalaron esta versión deben asumir que sus credenciales han sido comprometidas.

Un grupo comprometió 333 nodos de salida de Tor, lo que representa aproximadamente una décima parte del total, para redirigir las conexiones SSH hacia servidores diseñados para robar contraseñas. La campaña, iniciada el 2 de octubre, se centró en interceptar inicios de sesión en servidores remotos y tráfico de correo electrónico no cifrado.

Vinculados a ataques asistidos por IA contra bancos de Corea del Sur dejaron expuestas partes de su propia infraestructura, permitiendo que los investigadores analizaran sus herramientas y preparativos. Los archivos revelaron una operación más amplia que incluye herramientas para el robo de criptomonedas, ataques a Linux y pruebas de seguridad móvil, yendo más allá de la campaña bancaria.