בין יולי לספטמבר תוקף גנב אסימוני התחברות דרך דפי כניסה מתווכים ופישינג בקוד מכשיר, והשתמש בהם מחדש כדי לעקוף אימות דו-שלבי. Huntress מפרטת איך הוא נשאר בפנים, ומה צריך לבדוק ב-Entra.
לכתבה המלאהב-16 באפריל 2026 דיווחה Huntress שתוקפים הריצו בשטח כלים לחולשות Defender שפורסמו. BlueHammer כבר תוקנה, RedSun ו-UnDefend עדיין לא, ולפי החברה הניסיונות לא הצליחו.
Huntress תיארה קמפיין פישינג שבו קורבנות הקלידו קוד בדף ההתחברות האמיתי של Microsoft. התוקפים קיבלו גישה בלי סיסמה, דרך תשתית Railway, ו-MFA לא עצר אותם.
ב-10 בדצמבר 2025 הזהירה Huntress מניצול של פרצה חדשה ב-Gladinet CentreStack וב-Triofox. מפתחות הצפנה קבועים מאפשרים לקרוא את web.config ולהריץ קוד.
Huntress דיווחה ב-5 בנובמבר 2025 ש-Gootloader חזר לפעול. מאז 27 באוקטובר היו שלוש הדבקות, ושתיים מהן הגיעו לשרת הדומיין תוך 17 שעות, בדרך לכופרה.
