บริษัท Kaspersky เปิดเผยกลุ่มภัยคุกคามใหม่ชื่อ Armored Likho ที่โจมตีหน่วยงานรัฐและภาคไฟฟ้าในรัสเซีย บราซิล และคาซัคสถาน ผสมเป้าหมายจารกรรมกับการขโมยเงิน กลุ่มนี้ใช้มัลแวร์ขโมยข้อมูลตัวใหม่ชื่อ BusySnake ที่เขียนด้วย Python พร้อมใช้ช่องโหว่ LNK CVE-2025-9491 และมีร่องรอยว่าใช้ AI ช่วยสร้างโค้ดโหลดเดอร์ เชื่อมโยงกับกลุ่ม Eagle Werewolf

บริษัท BerylliumSec เปิดตัว Nebula เครื่องมือทดสอบเจาะระบบโอเพนซอร์สที่ฝังโมเดลภาษาขนาดใหญ่เข้าไปในเทอร์มินัลโดยตรง ช่วยให้ผู้ทดสอบสแกนช่องโหว่ สร้างสคริปต์เจาะระบบ และจดบันทึกงานได้อัตโนมัติ รองรับทั้งโมเดลรันในเครื่องผ่าน Ollama และโมเดลคลาวด์อย่าง OpenAI สะท้อนเทรนด์การนำ AI มาใช้ในงาน offensive security ที่กำลังเติบโต

มีรายงานว่า Alibaba เตรียมแบน Claude Code ของ Anthropic ในสภาพแวดล้อมทำงานภายในตั้งแต่ 10 กรกฎาคม 2569 อ้างความเสี่ยงแบ็กดอร์ที่ฝังอยู่ ต้นเรื่องมาจากโพสต์ Reddit ที่อ้างว่า reverse-engineer พบ Claude Code ตั้งแต่เวอร์ชัน 2.1.91 แอบเช็ก proxy และไทม์โซนเทียบกับรายชื่อองค์กรจีน ทีม Claude Code ระบุว่ากลไกนี้ป้องกันการ distillation และการใช้งานมิชอบ และจะถูกถอดออกในเวอร์ชันถัดไป ท่ามกลางความตึงเครียดที่เพิ่มขึ้นระหว่างสองบริษัท

Citizen Lab เผยว่า นาย Stelios Kouloglou อดีตสมาชิกรัฐสภายุโรปที่นั่งในคณะกรรมการสอบสวนการใช้สปายแวร์ ถูกเจาะโทรศัพท์ด้วย Pegasus ซ้ำหลายครั้งช่วงปี 2565–2566 ผ่านช่องโหว่ zero-click PWNYOURHOME ใน HomeKit ของ Apple การวิเคราะห์ทางนิติวิทยาศาสตร์ชี้ว่าผู้โจมตีอาจเข้าถึงเอกสารลับและการประชุมของคณะกรรมการ นับเป็นสมาชิก PEGA คนแรกที่ถูกยืนยันว่าเป็นเหยื่อ Pegasus ขณะปฏิบัติหน้าที่

Jamf Threat Labs พบมัลแวร์ขโมยข้อมูลบน macOS ตัวใหม่ชื่อ PamStealer ที่ปลอมเป็นแอป Maccy โปรแกรมจัดการคลิปบอร์ดโอเพนซอร์ส แจกผ่านเว็บปลอม maccyapp.com ในรูปไฟล์ AppleScript ที่ซ่อนโค้ดใต้บรรทัดว่าง ทำงานได้แม้ไฟล์ยังติด quarantine ใช้ PAM ตรวจสอบรหัสผ่านเหยื่อก่อนขโมย และดึงเพย์โหลด Rust ขโมยข้อมูลเบราว์เซอร์ กระเป๋าคริปโต และ iCloud Keychain

หลัง Broadcom เข้าซื้อ VMware โมเดลสิทธิ์ใช้งานถูกเขียนใหม่เกือบทั้งหมด ยกเลิก perpetual license เหลือแต่ subscription เปลี่ยนจาก per-socket เป็น per-core ขั้นต่ำ 16 คอร์ต่อซีพียู ทำให้ต้นทุนหลายองค์กรพุ่ง 2–3 เท่า พร้อมค่าปรับต่ออายุล่าช้าราว 20% ขณะที่ vSphere 7 หมดซัพพอร์ตเดือนตุลาคม 2568 เพิ่มความเสี่ยงด้านความปลอดภัย ผลักดันให้องค์กรรวมถึงในไทยทบทวนกลยุทธ์โครงสร้างพื้นฐานและมองหาแพลตฟอร์มทางเลือก

Google Threat Intelligence Group ร่วมกับ FBI และ Lumen ปฏิบัติการลดทอนเครือข่าย residential proxy ชื่อ NetNut (หรือ Popa) ที่เปลี่ยนอุปกรณ์ในบ้านกว่า 2 ล้านเครื่องทั่วโลกให้เป็น exit node ให้คนอื่นเช่าส่งทราฟฟิก พบกลุ่มภัยคุกคามอย่างน้อย 316 คลัสเตอร์ใช้ซ่อนตัวโจมตี NetNut เชื่อมโยงบริษัทจดทะเบียนอิสราเอล Alarum Technologies และมีโครงการ reseller ทำให้ปิดยากในครั้งเดียว

FBI เตือนกลุ่ม TeamPCP แทรกโค้ดอันตรายลงในเครื่องมือนักพัฒนายอดนิยมอย่าง Trivy, KICS, LiteLLM และ Telnyx Python SDK เพื่อโจมตี software supply chain วงกว้าง ขโมยโทเคนคลาวด์ SSH key และ Kubernetes secret ใช้มัลแวร์ CanisterWorm, SANDCLOCK และเวิร์ม Mini Shai-Hulud ที่แพร่เองใน npm/PyPI ก่อนหันมาข่มขู่แบล็กเมล์เผยข้อมูลบนเว็บ leak

นักวิจัยจาก PolySwarm เปิดโปงมัลแวร์ loader ตัวใหม่ชื่อ SharkLoader ที่ซ่อนในตัวติดตั้งปลอมของ Cisco AnyConnect และ Google Update เพื่อส่ง Cobalt Strike Beacon กลุ่ม StrikeShark ใช้ทั้งเจาะช่องโหว่ Exchange, SharePoint, Fortinet, Cisco IOS XE และ dropper ปลอม อาศัย DLL side loading ผ่าน SystemSettings.exe รันในหน่วยความจำเพื่อหลบการตรวจจับ พบเหยื่อในหน่วยงานรัฐและคณะทูตหลายประเทศรวมถึงในเอเชีย

นักวิจัยจาก Socket.dev เปิดโปงแคมเปญ PolinRider ที่เชื่อมโยงกลุ่มเกาหลีเหนือ Contagious Interview/Famous Chollima ซ่อน JavaScript loader ในคลังโค้ด open source พบ 162 artifact ใน 108 แพ็กเกจทั้ง npm, Packagist, Go modules และ Chrome extension มัลแวร์ปลอมเป็นไฟล์ฟอนต์ woff2 ดึงเพย์โหลด DEV#POPPER และ OmniStealer ขโมยข้อมูลรับรองและกระเป๋าคริปโต โดยเล็งเป้าที่ตัวนักพัฒนาโดยตรง