Des acteurs de la menace, soupçonnés d'être liés à la Chine, ont transformé un outil de surveillance open-source légitime appelé Nezha en une arme d'attaque, l'utilisant pour distribuer un malware connu, Gh0st RAT, à des cibles. L'activité, observée par la société de cybersécurité Huntress en août 2025, se caractérise par l'utilisation d'une technique inhabituelle appelée empoisonnement de logs (ou injection de logs) pour implanter un web shell sur un site web.