บริษัท ANY.RUN เปิดเผยแคมเปญ ClickFix ที่ใช้หน้าปลอมเลียนแบบ Claude Code และ OpenAI Codex โฮสต์บน Google Sites ที่น่าเชื่อถือ หลอกให้ผู้ใช้รันคำสั่ง mshta เพื่อ ‘ติดตั้ง’ จากนั้น PowerShell หลายขั้นจะทำงานในหน่วยความจำ ดึง payload ที่ซ่อนในรูปด้วย steganography แล้วรัน shellcode โดยไม่แตะดิสก์ ขโมยรหัสผ่านเบราว์เซอร์ อีเมล และข้อมูล wallet คริปโต เป้าหมายหลักคือนักพัฒนาที่คุ้นเคยกับการติดตั้งผ่าน command line จึงทำตามคำสั่งโดยไม่ลังเล

กระทรวงยุติธรรมสหรัฐฯ (DoJ) ประกาศผลปฏิบัติการ Disruption Week ภายใต้ Scam Center Strike Force ร่วมกับเอกชนและตำรวจหลายประเทศ ทลายเครือข่ายฉ้อโกงคริปโตในเอเชียตะวันออกเฉียงใต้ ปิดบัญชีกว่า 1.4 ล้านบัญชีบน Facebook/Instagram, 20,000 บัญชี Microsoft และอายัดคริปโตกว่า 3.8 ล้านดอลลาร์ ตำรวจไทย (Royal Thai Police) ร่วมปฏิบัติการและจับผู้ต้องสงสัย 7 คนในไทย ความเสียหายจากสแกมคริปโตในสหรัฐฯ พุ่งเป็น 7.2 พันล้านดอลลาร์ในปี 2568 เพิ่ม 24%

นักวิจัยจากบริษัท Calif (ค้นพบโดย Codex software agent ของ OpenAI) เปิดเผยเทคนิค DoS ใหม่ชื่อ HTTP/2 Bomb ที่ล่มเว็บเซิร์ฟเวอร์ได้จากเครื่องเดียวในไม่กี่วินาที กระทบค่าตั้งเริ่มต้น HTTP/2 ของ NGINX, Apache, Microsoft IIS, Envoy และ Cloudflare Pingora เทคนิคผสาน HPACK compression amplification กับ Slowloris-style ผ่าน flow-control ทำให้ 1 byte ขยายเป็นหลายพัน byte เครื่องบ้าน 100Mbps ดูด RAM 32GB ใน 10–20 วินาที แก้แล้วใน nginx 1.29.8 และ Apache (CVE-2026-49975)

บริษัท Vectra AI วิเคราะห์ข้อความ 3,366 รายการที่รั่วจากเซิร์ฟเวอร์ Rocket.Chat ของกลุ่มแรนซัมแวร์ The Gentlemen ที่พูดภาษารัสเซีย ซึ่งพุ่งขึ้นเป็นกลุ่มที่เคลื่อนไหวมากอันดับ 2 รองจาก Qilin ในปี 2569 ใช้ช่องโหว่ FortiOS CVE-2024-55591 เป็นทางเข้าหลัก brute-force VPN Fortinet ราว 1,000 ตัว ใช้ C2 ของตัวเองชื่อ G-BOT แทน Cobalt Strike โจมตี hypervisor โดยตรง และใช้ GPT/Claude ช่วยเจรจาค่าไถ่ พบความเชื่อมโยงกับ Black Basta ผ่าน negotiator ‘Tinker’ และ Matrix server เดียวกัน

บริษัท Huntress เปิดเผยแคมเปญ malspam ใหม่ที่ใช้โดเมน Google DoubleClick บังการตรวจจับ เพื่อส่งมัลแวร์ DesckVB RAT ก่อนเหยื่อจะถึงโครงสร้างของผู้โจมตี ลิงก์จะวิ่งผ่าน DoubleClick ที่เป็นโดเมนของ Google ซึ่งเครื่องมือความปลอดภัยมักไม่สงสัย จากนั้นเข้าสู่ malspam kit ที่ปรับหน้าเพจอัตโนมัติตามอีเมลเหยื่อ ดึงโลโก้บริษัทและที่ตั้งมาทำให้น่าเชื่อถือ โดยไม่ต้องสร้างเหยื่อล่อทีละราย ปลายทางคือ DesckVB RAT มัลแวร์ .NET ที่ใช้ process hollowing inject เข้า process ที่ Microsoft เซ็น พร้อมปิด AMSI/ETW

บริษัท ANY.RUN เปิดเผยมัลแวร์ใหม่ JS.MonoGlyphRAT ที่ปลอมเป็นเอกสารธุรกิจอย่างใบสั่งซื้อหรือใบเสนอราคา ส่งเป็นไฟล์ JavaScript แนบอีเมลฟิชชิง เมื่อพนักงานเปิด ผู้โจมตีได้เข้าถึงเครือข่ายแบบถาวร จุดเด่นคือใช้ obfuscation สร้างชื่อตัวแปรจากอักขระซ้ำสลับพิมพ์เล็กใหญ่ ทำให้อ่านโค้ดยากมาก และยังขึ้นเป็น Unknown malware บน VirusTotal/ThreatFox ทำให้ AV แบบ signature ตรวจไม่เจอ มุ่งเป้าองค์กรสหรัฐฯ ในภาคเทคโนโลยี MSSP โทรคมนาคม การศึกษา พบในเยอรมนี สวีเดน ออสเตรเลียด้วย

บริษัท Sophos เปิดเผยว่าผู้โจมตีใช้เครื่องมือที่ AI ช่วยสร้าง อัตโนมัติการค้นหา Active Directory และทดสอบเทคนิคหลบ EDR สะท้อนการเติบโตของเฟรมเวิร์ก post-exploitation ที่ขับเคลื่อนด้วย AI ชุดเครื่องมือมีทั้ง Cobalt Strike profile ปลอมทราฟฟิกเว็บ, C2 ผ่าน Telegram bot, สคริปต์ Python inject shellcode และ Cloudflare Worker บัง backend สคริปต์ส่วนใหญ่เขียนเป็นภาษารัสเซีย ทดสอบกับ Sophos, CrowdStrike, Microsoft Defender ผ่าน Ludus lab โดยมี AI agent หลักที่ใช้ Claude Opus จัดการ orchestration

นักวิจัยเปิดเผยการโจมตีแบบ one-click ผ่าน VS Code บน GitHub.dev ที่ขโมย GitHub OAuth token ของผู้ใช้ได้เพียงคลิกลิงก์เดียว token นี้ไม่ได้จำกัดสิทธิ์เฉพาะ repo เดียว แต่เข้าถึงทุก repo ที่เหยื่อมีสิทธิ์ รวมถึง repo ส่วนตัว ผู้โจมตีใช้ extension VS Code อันตรายผ่านกลไก message-passing ระหว่างหน้าต่างหลักกับ webview จำลองการกดปุ่มเปิด Command Palette ติดตั้ง extension ที่ข้าม publisher trust GitHub ได้รับแจ้งวันที่ 2 มิ.ย. 2569 Microsoft กำลังแก้ไข ไม่กระทบ VS Code Desktop

ประธานาธิบดีโดนัลด์ ทรัมป์ ลงนามคำสั่งฝ่ายบริหารกำกับดูแล AI โดยตั้งกรอบให้รัฐบาลกลางสหรัฐฯ ตรวจสอบความเสี่ยงด้านความมั่นคงของระบบ AI ระดับสูงสุดได้นานถึง 30 วันก่อนเปิดตัวสู่สาธารณะ การเข้าร่วมเป็นแบบสมัครใจสำหรับ frontier labs อย่าง Anthropic, OpenAI และ Google ทำเนียบขาวย้ำว่าไม่ได้กำกับทุกโมเดล แต่สร้างกระบวนการให้แบ่งปันโมเดลไซเบอร์ล้ำสมัยเพื่อปกป้องโครงสร้างพื้นฐานสำคัญ นักวิเคราะห์กังวลการให้อำนาจดุลพินิจแก่ผู้อำนวยการ NSA

หน่วยงาน CISA ของสหรัฐฯ เตือนว่าแฮ็กเกอร์กำลังโจมตีจริงผ่านช่องโหว่ใน Linux kernel และ Android โดยเพิ่ม 2 รายการเข้า KEV catalog ตัวแรก CVE-2025-48595 เป็น integer overflow ใน Android Framework (Android 14–16) ยกระดับสิทธิ์ได้โดยไม่ต้องมีปฏิสัมพันธ์ผู้ใช้ ตัวที่สอง CVE-2022-0492 เป็นช่องโหว่ใน cgroups v1 ของ Linux kernel ที่เปิดทางหนีออกจาก container ไปได้สิทธิ์ root บนโฮสต์ CISA สั่งหน่วยงานรัฐบาลกลางแพตช์ภายใน 5 มิถุนายน 2569