In het Talos 2025 Year in Review blijkt dat staat-gesponsorde cyberdreigingen vanuit China, Rusland, Noord-Korea en Iran uiteenlopende doelen nastreefden, zoals spionage, verstoring, financieel gewin en geopolitieke invloed. Ondanks deze verschillende motieven maken de aanvallen gebruik van vergelijkbare tactieken, technieken en procedures, waarbij toegang wordt verkregen via kwetsbaarheden en gestolen identiteit, en waarbij de toegang vaak langdurig onopgemerkt blijft.

China-gerelateerde dreigingen vielen op door het hoge volume en de efficiëntie, met een stijging van bijna 75% in Talos-onderzoeken ten opzichte van 2024. Nieuwe kwetsbaarheden, zoals ToolShell, werden vrijwel direct uitgebuit, soms nog voordat patches beschikbaar waren. Daarnaast bleven lang bestaande, ongepatchte kwetsbaarheden in netwerkapparatuur en veelgebruikte software betrouwbare toegangspoorten bieden. Eenmaal binnen richtten de aanvallers zich op het behouden van toegang met web shells, aangepaste achterdeurtjes, tunnelingtools en het verzamelen van inloggegevens. Er is ook een groeiende overlap tussen staat-gesponsorde en financieel gemotiveerde activiteiten, waarbij sommige actoren operaties uitvoerden voor persoonlijk gewin naast spionage, terwijl cybercriminelen waardevolle informatie verzamelden die zij konden verkopen aan spionagegroepen, wat dubbele inkomstenstromen opleverde.

Russische cyberactiviteiten blijven nauw verbonden met hun geopolitieke doelen, met name de oorlog in Oekraïne. Veel aanvallen maken gebruik van ongepatchte, oudere kwetsbaarheden in netwerkapparatuur om initiële toegang te verkrijgen, wat langdurige inlichtingenverzameling ondersteunt. De intensiteit van Russische cyberaanvallen correleert vaak met geopolitieke ontwikkelingen, zoals aangekondigde sancties door de VS en EU. Bekende malwarefamilies als Dark Crystal RAT, Remcos RAT en Smoke Loader kwamen veel voor in onderzoeken naar aanvallen op Oekraïne in 2025. Hoewel deze malware niet exclusief door Russische actoren wordt gebruikt, blijven ze effectief in omgevingen met beperkte patching en zichtbaarheid, en verdienen daarom prioriteit in verdediging en monitoring.

Noord-Koreaanse cyberoperaties maakten in 2025 veel gebruik van social engineering en insider toegang, gericht op zowel financieel gewin als spionage. Campagnes zoals Contagious Interview, uitgevoerd door de groep Famous Chollima, gebruikten nep-recruiters van legitieme bedrijven om doelwitten te verleiden tot het uitvoeren van code of het afstaan van inloggegevens. Vervolgens werden cryptovaluta gestolen, data geëxfiltreerd en werd langdurige toegang gevestigd. Noord-Koreaanse actoren pleegden ook de grootste cryptodiefstal ooit, waarbij 1,5 miljard dollar werd buitgemaakt. Daarnaast gebruikten duizenden IT-medewerkers gestolen identiteiten en door AI gegenereerde profielen om posities te verkrijgen bij Fortune 500-bedrijven, waarmee miljarden aan inkomsten werden gegenereerd voor Noord-Korea’s kernwapen- en ballistische raketprogramma’s.

De Iraanse cyberdreigingen combineerden in 2025 zichtbare verstoringen met langdurige toegang. Het aantal hacktivistische acties steeg met 60% als reactie op geopolitieke gebeurtenissen, met name het conflict tussen Israël en Hamas. Deze campagnes, waaronder DDoS-aanvallen, defacements en andere verstorende acties, zijn vaak gericht op het genereren van aandacht en het beïnvloeden van narratieven. Tegelijkertijd bleven Iraanse actoren langdurige toegang behouden in doelnetwerken, wat hun strategische positie versterkt. Meer details over de kenmerken van Iraanse netwerken zijn te vinden in onderzoeken naar Iraanse netwerken.