Active-Directory

Sophos รายงานว่า GOLD OGRE กลุ่มเบื้องหลังแรนซัมแวร์ Aur0ra ใช้เอเจนต์ AI ใน Cursor ทำงานเจาะเครือข่ายส่วนใหญ่ จนได้สิทธิ์ Domain Admin ผู้โจมตีหลบกฎความปลอดภัยของโมเดลด้วยการอ้างว่าเป็นงาน red team และใช้ Composer ของ Cursor ร่วมกับโมเดลของ Anthropic, xAI และ Moonshot ในบางเครือข่ายเอเจนต์ไปถึงสิทธิ์จัดการโดเมน และเหยื่อ 3 รายโผล่บนเว็บประจาน ร่องรอยแป้นพิมพ์ชี้ว่าผู้ปฏิบัติการพูดรัสเซีย องค์กรควรเร่งตอบสนองแจ้งเตือน EDR แบ่งโซนเซิร์ฟเวอร์สำคัญ และแยกแบ็กอัป

Hudson Rock เปิดผลวิเคราะห์ FortiBleed 2.0 จากไฟล์รายงานคอนฟิก FortiGate ชุดใหม่ 1,703 ไฟล์ พบความลับแบบข้อความธรรมดา 40,573 รายการ รวมรหัสผ่านผู้ใช้ภายใน 37,076 รายการและรหัส LDAP ที่เชื่อมไฟร์วอลล์กับ Active Directory 1,576 รายการ ชุดนี้ไม่ใช่ช่องโหว่ใหม่ แต่เป็นข้อมูลคอนฟิกที่ถูกขโมยไป ส่วนใหญ่ลงวันที่ 20 กุมภาพันธ์ 2026 ตัวเลขเป็นจำนวนรายการ ไม่ใช่จำนวนผู้ใช้หรือรหัสที่ยังใช้ได้จริง ผู้ดูแลควรเปลี่ยนรหัส VPN, LDAP และ HA และเปิด MFA

บริษัท Dream รายงานว่าผู้โจมตีที่สงสัยว่าเชื่อมโยงกับจีน ร้อยช่องโหว่ PHP2Shell เข้ากับช่องโหว่ยกสิทธิ์เคอร์เนล Linux Fragnesia จนได้ root บนไฟร์วอลล์25 เครื่องในสหรัฐฯ ญี่ปุ่น ไต้หวัน และเกาหลีใต้ ผู้โจมตีสแกนหน้าจัดการไฟร์วอลล์ราว 19,000 เครื่องด้วย FOFA คัดเหลือ 240 เป้า แล้วยิง exploit อัตโนมัติ เครื่อง 3 เครื่องอยู่ในเครือข่ายเกี่ยวข้องรัฐบาลสหรัฐฯ และถูกใช้เป็นทางเข้า Active Directory ยังไม่ชัดว่าได้รหัสผ่านจริงหรือไม่ ผู้ดูแลควรปิดหน้าจัดการไฟร์วอลล์จากอินเทอร์เน็ตและตรวจ web shell

PHP2Shell ช่องโหว่ RCE วิกฤตใน PHP มีเหยื่อที่ถูกเจาะสำเร็จรายแรกแล้ว คือ หน่วยงานรัฐแห่งหนึ่งในยุโรป ตามรายงานของ Unit 42 ผู้โจมตีใช้เอเจนต์ AI สั่งงานแทนคน ได้ hash รหัสผ่านและ secret ของ MFA ใน 2 ชั่วโมง แล้วเจาะต่อเข้า Active Directory ขณะเดียวกัน CYFIRMA พบกลุ่มที่สงสัยว่าเป็น Lazarus ของเกาหลีเหนือทำรายชื่อเซิร์ฟเวอร์ PHP ที่ยังไม่แพตช์ไว้ 216 เครื่อง รวมถึงในไทย การสแกนทำแบบช้าและเปลี่ยนต้นทางตลอด จึงหลบการแจ้งเตือนทั่วไปได้ ผู้ดูแลระบบควรอัปเกรด PHP ทันทีและตรวจล็อกหาร่องรอยการเจาะ

เอเจนต์ AI ทำให้การโจมตีไซเบอร์ถูกลงมาก Gambit Security พบผู้โจมตีพูดภาษาจีนรายเดียวใช้เครื่องมือ AI ไล่เจาะเว็บอีคอมเมิร์ซ 105 แห่งในห้าวัน สำเร็จอย่างน้อย 27 บริษัท ขโมยข้อมูลบัตรอย่างน้อย 600,000 รายการ โดยเสียเงินเฉลี่ยราว 25 ดอลลาร์ต่อเป้าหมาย ในแล็บของ Silverfort เอเจนต์ที่ใช้ Claude Opus ยึดโดเมนได้ใน 8 นาทีด้วยค่าใช้จ่ายราว 12 ดอลลาร์ ส่วน Flashpoint พบราคาสิทธิ์เข้าถึงในตลาดใต้ดินลดเหลือ 429 ดอลลาร์ ข่าวดี คือ เมื่อคุมการยืนยันตัวตนและสิทธิ์ให้เข้ม เอเจนต์ตัวเดิมชนทางตันแล้วเลิกไปเอง

นาย Daniel Rhyne อดีตวิศวกรโครงสร้างพื้นฐานของบริษัทอุตสาหกรรมในนิวเจอร์ซีย์ถูกศาลสหรัฐฯ ตัดสินจำคุก 32 เดือนเมื่อ 28 กันยายน 2569 เขาสร้าง VM ลับในเครือข่ายบริษัทแล้วใช้บัญชีแอดมินโดเมนตั้ง scheduled task ลบบัญชีแอดมินโดเมน 13 บัญชีและเปลี่ยนรหัสผ่านผู้ใช้ 301 บัญชี รหัสผ่านแอดมินในเครื่องที่กระทบมี 254 เซิร์ฟเวอร์และ 3,284 เครื่องลูกข่าย จากนั้นส่งอีเมลเรียกค่าไถ่ 20 BTC และขู่ปิดเซิร์ฟเวอร์วันละ 40 เครื่อง หลักฐานจากแล็ปท็อป ภาพกล้องวงจรปิด IP บ้าน และรหัสผ่านที่ใช้ซ้ำชี้ตัวเขา

บริษัท Symantec เปิดเผยว่ากลุ่มแรนซัมแวร์สัญชาติจีน Warlock (Longlegs/Storm-2603) หันมาโจมตีองค์กรในประเทศที่ใช้ภาษาสเปนและโปรตุเกส โดยสองเดือนที่ผ่านมาเจาะเหยื่ออย่างน้อย 4 รายทั้งการประปา โทรคมนาคม หน่วยงานรัฐส่วนภูมิภาค และมหาวิทยาลัย กลุ่มนี้ใช้ช่องโหว่ SharePoint ชุด ToolShell เป็นทางเข้า แล้วปลูก webshell ขโมย machine key ปลอม __VIEWSTATE และใช้ไดรเวอร์ที่มีช่องโหว่ปิดระบบความปลอดภัย ก่อนวางเพย์โหลดบน SYSVOL ให้ Active Directory จำลองกระจายไปทุกโดเมนคอนโทรลเลอร์เอง

Kaspersky เผยการโจมตีของแรนซัมแวร์ PAYLOAD ที่ใช้ Group Policy Object (GPO) บน Active Directory ป่วนทั้งโดเมน Windows โดยไม่เข้ารหัสไฟล์และไม่วางไฟล์แรนซัมแวร์ ผู้โจมตีเข้าองค์กรผู้ผลิตในตะวันออกกลางผ่าน FortiGate SSL VPN ด้วยบัญชีที่ถูกขโมย แล้วสร้าง GPO ชื่อ PAYLOAD ผูกที่รากโดเมนเพื่อเปลี่ยนวอลเปเปอร์ ปิดไฟร์วอลล์และบัญชีผู้ดูแล พร้อมขโมยข้อมูลไปแฉบนดาร์กเว็บ เป็นโมเดลกรรโชกแบบไม่เข้ารหัส

บริษัทข่าวกรองภัยคุกคาม GreyNoise เปิดเผยเมื่อวันที่ 9 กันยายน 2569 ว่าผู้โจมตีที่คาดว่าพูดภาษารัสเซียใช้เอเจนต์ AI หลายร้อยตัวที่ฝึกในห้องแล็บไล่หาซอฟต์แวร์จัดการงานพิมพ์ PaperCut ที่เปิดสู่อินเทอร์เน็ต แล้วเจาะช่องโหว่สองตัวบนอย่างน้อย 440 เครื่องของ 395 องค์กรใน 48 ประเทศ จุดที่น่าตกใจคือความเร็ว จากพื้นที่ทำงานว่างเปล่าถึงรันโค้ดได้ในไม่ถึง 4 ชั่วโมง ได้สิทธิ์ผู้ดูแลโดเมนใน 2 ชั่วโมงถัดมา และเมื่อเปิดแคมเปญเต็มรูปแบบก็ยึดได้อย่างน้อย 11 องค์กรใน 26 วินาที

Hunt.io เผยแพร่การวิเคราะห์ที่เชื่อมโยงเหตุโจมตีสภาเทศบาล King’s Lynn เมื่อ 17 กรกฎาคม 2569 เข้ากับแคมเปญกวาดเจาะอุปกรณ์ SonicWall SMA1000 ผ่าน CVE-2026-15409 ที่ได้คะแนน CVSS เต็ม 10 นักวิจัยเก็บไดเรกทอรีเปิดของผู้โจมตีได้ทั้งชุดเครื่องมือและผลลัพธ์ของแคมเปญที่ครอบคลุมอุปกรณ์เป้าหมาย 250 เครื่อง จุดสำคัญคือผู้โจมตีติดตั้ง Impacket secretsdump ลงบนตัวอุปกรณ์ SonicWall โดยตรงแล้วใช้ดูดข้อมูลยืนยันตัวตนจากระบบวินโดวส์ภายใน ซึ่งไม่ปรากฏใน EDR หรือ SIEM ของเครื่องวินโดวส์