Το 2016 το malware Nymaim, εμφανίζεται πάλι και εξαπλώνεται μέσω μίας επιθετικής καμπάνιας spearphising που χρησιμοποιεί κακόβουλα συνημμένα  Microsoft Word. Από την ανίχνευση του πρώτου κρούσματος Nymaim το 2013, έχουν καταγραφεί πάνω από 2,8 εκατομμύρια περιπτώσεις μολύνσεων μέσω τoυ μηχανισμού «kill chain» και τεχνικών αποφυγής του εντοπισμού. 

Κατά το πρώτο εξάμηνο του 2016, η ESET παρατήρησε και πάλι μια σημαντική αύξηση στην ανίχνευση του Nymaim. 

Επηρεάζοντας κυρίως την Πολωνία (54% των ανιχνεύσεων), τη Γερμανία (16%) και τις Ηνωμένες Πολιτείες (12%), η ανανεωμένη παραλλαγή ανιχνεύθηκε ως Win32/TrojanDownloader.Nymaim.BA, κάνοντας την επανεμφάνιση της ως μια ολοκληρωμένη εκστρατεία spearfishing με ένα κακόβουλο συνημμένο (Word .doc) που περιέχει «παραπλανητικά» Marcos. 

Η προσέγγιση που χρησιμοποιείται  για την παράκαμψη των προεπιλεγμένων ρυθμίσεων ασφαλείας του Microsoft Word, μέσω μηχανισμών κοινωνικής μηχανικής, είναι αρκετά πειστική στις αγγλικές εκδόσεις του MS Word. 

Τον Απρίλιο, η συγκεκριμένη έκδοση ενώθηκε με υβριδική παραλλαγή του Nymaim και του Gozi, στοχεύοντας χρηματοπιστωτικά ιδρύματα στη Βόρεια Αμερική, ενώ εξαπλώθηκε και στη Λατινική Αμερική, κυρίως στη Βραζιλία. Αυτή η παραλλαγή έχει δώσει στους κυβερνοεγκληματίες τη δυνατότητα απομακρυσμένης πρόσβασης στους παραβιασμένους υπολογιστές, αντί να έχει τα συνήθη αποτελέσματα κρυπτογράφησης αρχείων ή κλειδώματος. 

Λόγω των ομοιοτήτων μεταξύ των στόχων που βρίσκονται σε χώρες με υψηλά και χαμηλά ποσοστά ανίχνευσης, μπορούμε να είμαστε σχετικά σίγουροι ότι τα χρηματοπιστωτικά ιδρύματα παραμένουν στο επίκεντρο αυτής της εκστρατείας.