В отчёте от 28 октября ESET описала атаки на почтовые серверы MDaemon на Украине, при которых вредоносное вложение срабатывало во время антивирусной проверки. Получателю не требовалось открывать письмо или архив: обработку запускал сам сервер.

MDaemon использовал ClamAV для проверки вложений, но поставлял устаревшую библиотеку распаковки RAR. Ошибка позволяла извлекать файлы за пределы временной папки проверки. По данным ESET, специально подготовленный архив записывал на сервер вредоносную DLL — программную библиотеку, через которую атакующие получали выполнение кода. Защитный компонент становился точкой входа ещё до действий человека.

В кампании исследователи наблюдали два бэкдора: HELLAGE умеет похищать почту и другие данные и загружать дополнительное ПО; HELLTAG принимает команды через Telegram и позволяет передавать файлы и изучать систему. ESET относит операторов к связанным с Россией, но конкретную известную группировку установить не смогла. Число взломанных серверов и объём похищенной переписки в этом разделе не раскрыты.

Производитель подтверждает уязвимость CVE-2025-8088 в ClamAV для Windows и уточняет границу риска: она касается функции MDaemon AntiVirus, а не каждого сервера с MDaemon. Исправленная версия 26.0.4 вышла ещё 25 августа. Октябрьский отчёт раскрывает наблюдавшуюся цепочку атак за период апрель–сентябрь, а не новый патч; выпуск исправления сам по себе не показывает, сколько установок уже защищено.