Группировка NGC5081, специализирующаяся на скрытности и нацеленная на инфраструктуру Unix и Linux, первоначально получила доступ к организации в период с января по март 2024 года. Она эксплуатировала общедоступные веб-сервисы, устанавливала PHP-веб-шеллы и перемещалась по внутренним системам. Вероятной точкой входа стала небезопасная функция загрузки файлов в модуле soundlang для FreePBX, используемом с Asterisk. Она позволяла аутентифицированным пользователям загружать PHP-файлы и выполнять код удалённо. Позднее уязвимость зарегистрировали как CVE-2026-54675. Для повышения привилегий злоумышленники также использовали CVE-2021-4034, замаскировав эксплойт под MP3-файл...