Gen Threat Labsの2026年上半期報告書では、2つの別々の攻撃シリーズが特に注目されている。最初のシリーズは、企業のメールボックスを乗っ取ったうえで、通常の業務メールのように見せかけるが、実際にはJavaScriptドロッパーを配布するものである。2つ目のシリーズは、Rust言語でコンパイルされたクリッパーを使用して、ユーザーのクリップボードにあるクリプトアドレスを攻撃者の管理下にあるアドレスに置き換えるものである。

バンキングシリーズでは、メールの本文に含まれるJavaScriptドロッパーを実行し、PowerShellステージ、シェルコードローダー、プロキシおよびブラウザーの拡張機能の変更を経て、ユーザーの銀行セッションに近い位置を取得する。クリプトキャンペーンでは、クリッパーが21の異なるブロックチェーン上のクリプトアドレスを追跡し、アドレスを変更しながら、Binance Smart ChainにあるスマートコントラクトからEtherHiding方式でC2インフラストラクチャーの指標を取得する。これにより、通常の検出処理を困難にする。

両方の攻撃は、信頼できるビジネスフローを悪用しており、最初の信頼決定がほぼ正常に見えるため、検出システムはメールボックスの乗っ取り、スクリプトの実行、プロキシ/ブラウザーの変更を一連のイベントとして関連付ける必要がある。