El grupo HoneyMyte desplegó una versión actualizada del backdoor CoolClient que incluye un rootkit de kernel firmado para ocultar procesos, archivos y comunicaciones C2. Según Kaspersky, este malware ha afectado a entidades gubernamentales en Myanmar, Mongolia, Pakistán y Rusia, siendo instalado generalmente después de una infección por PlugX. El rootkit utiliza un controlador llamado msagent.sys para evadir la detección y proteger los componentes maliciosos contra el análisis o la eliminación.

El grupo Lazarus de Corea del Norte ha sido detectado explotando una vulnerabilidad 0-day del kernel de Windows (identificada como CVE-2026-68820) para desplegar una versión mejorada de su rootkit FudModule. El fallo se encuentra en AFD.sys, el controlador de funciones auxiliares que gestiona los sockets de red en el kernel de Windows, y ya ha sido parcheado por Microsoft.

Atacantes tomaron el control de más de 400 paquetes huérfanos en el repositorio AUR de Arch Linux para instalar un malware que roba credenciales y secretos de desarrolladores. El software malicioso utiliza un rootkit eBPF para ocultarse y puede persistir en el sistema mediante servicios de systemd. Se recomienda a los usuarios revisar sus instalaciones desde el 11 de junio y reinstalar el sistema si se ejecutaron paquetes afectados con permisos de root.

Se ha descubierto un nuevo malware para Linux llamado Quasar Linux (QLNX), el cual está dirigido específicamente a ingenieros de DevOps y desarrolladores de software. Este malware destaca por su sofisticación, ya que se ejecuta casi totalmente en memoria, lo que dificulta enormemente su detección por parte de las herramientas de seguridad tradicionales al evitar el almacenamiento de archivos en el disco.

Un peligroso rootkit llamado OrBit ha estado atacando sistemas Linux durante años, robando credenciales de acceso y ocultándose profundamente en las máquinas infectadas para evadir la mayoría de las herramientas de seguridad. Investigaciones recientes revelan que esta amenaza, que se creía personalizada, es en realidad una versión modificada de un rootkit disponible públicamente que se ha propagado globalmente.