En el informe de H1 2026 de Gen Threat Labs, destacan dos cadenas de ataques distintas. La primera cadena comienza con la toma de control de buzones de correo corporativos, propagando un droper de JavaScript aparentemente inofensivo a través de correos electrónicos de trabajo normales. La segunda cadena utiliza un clipper compilado en Rust para cambiar las direcciones de cripto en el portapapeles del usuario por una dirección controlada por el atacante.
En la cadena bancaria, el adjunto del correo ejecuta el droper de JavaScript, seguido de etapas de PowerShell, un cargador de shellcode y finalmente cambios en la extensión del navegador con un proxy para obtener una posición cercana a la sesión bancaria del usuario. En la campaña de cripto, el clipper monitorea las direcciones de cripto en 21 diferentes cadenas de bloques, utiliza un contrato inteligente en Binance Smart Chain para obtener señales de la infraestructura C2 mediante el método EtherHiding, lo que dificulta los procesos de eliminación normales.
Ambos ataques abusan de flujos de trabajo confiables para que la primera decisión de confianza parezca casi normal; por lo tanto, los sistemas de detección deben correlacionar la toma de control del buzón de correo, la ejecución de scripts y los cambios de proxy/navegador como una secuencia de eventos.