Se ha observado que los actores de amenazas detrás del esquema de ransomware como servicio (RaaS) RansomHub aprovechan las fallas de seguridad ahora parcheadas en Microsoft Active Directory y el protocolo Netlogon para escalar privilegios y obtener acceso no autorizado al controlador de dominio de la red de una víctima como parte de su estrategia posterior al ataque. 

Los actores de amenazas vinculados al grupo de ransomware RansomHub han cifrado y exfiltrado datos de al menos 210 víctimas desde su inicio en febrero de 2024.