Gryxa Windows malware uses AI and RMM tools to steal browser passwords, maintain access, and evade defenders after phishing attacks.

Security Affairs Malware newsletter includes a collection of the best articles and research on malware in the international landscape Malware Newsletter Hackers Steal Claude Login Sessions With Infostealer Malware to Hijack Accounts Fire Ant Evolves: From Hypervisors to Trusted Infrastructure       Gryxa: The AI-Built Toolkit That Watches How You Remove It ValleyRAT masquerading as adware   […]

At a Glance Actor / group Unnamed financially motivated actor; assessed as a likely single operator Activity type Initial-access operation, RMM abuse, credential and crypto theft Targets / victims Windows hosts; console listed 324 hosts, 69 reporting online Scale 324 listed hosts across one management console Attribution status No named actor; no public law-enforcement action reported Source

Een nieuwe Windows malware toolkit, genaamd Gryxa, is geïdentificeerd. Deze toolkit biedt cybercriminelen op afstand toegang tot systemen en blijft actief na gedeeltelijke verwijdering. Gryxa richt zich op wachtwoorden die zijn opgeslagen in op Chromium gebaseerde browsers en kan detecteren wanneer beveiligingsanalisten proberen deze te verwijderen. De malware wordt vermoedelijk verspreid via een phishingbericht dat een 19 MB zelfuitpakkend uitvoerbaar bestand bevat, vermomd als een factuur met de naam invoice_.exe. Na uitvoering haalt de installer componenten binnen via HTTPS. Gryxa maakt gebruik van legitieme remote monitoring and management (RMM) software als verborgen control...

Most malware tries to hide. Gryxa does something more interesting. It watches. When defenders start removing it, surviving components can collect information about the cleanup...

金銭目的の脅威アクターが、Windows向けの新たなツールキット「Gryxa」を使用していることがわかりました。このツールキットは、リモート監視・管理(RMM)ツールの悪用、AI支援による開発、ブラウザ認証情報の窃取、そして不完全な駆除処理を乗り越えるよう設計された強力な永続化機構を組み合わせたものです。 このツール

このツールキットは正規のリモート監視管理(RMM)ソフトウェアを悪用して密かにアクセスを維持し、複数の復旧メカニズムを備え、ブラウザに保存された認証情報を窃取するほか、エンドポイントセキュリティツールを無効化して報復することもできます。 最も特異な機能は、防御側が可視化されたRMMインプラントを除去した後に発動します

Le 28 août 2026, l'équipe de recherche sur les menaces de ReliaQuest a publié une analyse technique détaillée d'un nouveau toolkit malveillant baptisé Gryxa, utilisé par un acteur financièrement motivé non nommé. Le toolkit a été identifié sur 324 hôtes compromis, dont 69 actifs au moment de l'analyse.

ReliaQuest reports Gryxa, a new toolkit used by a financially motivated threat actor to maintain access across 324 listed hosts, and assesses that much of it was built with a commercial AI coding agent. The toolkit uses RMM abuse, layered persistence, credential theft, and response-aware countermeasures, while collecting Windows logs and host artifacts after defenders try to remove it. #Gryxa #ReliaQuest #Chromium #MicrosoftDefender #Telegram