Anydesk

สหรัฐฯ จับกุมชาวอเมริกัน 2 คนในเพนซิลเวเนียและเท็กซัส ฐานช่วย IT worker เกาหลีเหนือหลอกได้งานทางไกลในบริษัทสหรัฐฯ คำฟ้อง 4 ข้อหาระบุว่าแผนนี้ดำเนินการตั้งแต่ปี 2019 ถึงกรกฎาคม 2025 สร้างรายได้ฉ้อโกงกว่า 3 ล้านดอลลาร์จากบริษัทกว่า 70 แห่ง และฟ้องผู้ร่วมขบวนการในจีนอีก 10 คน ปฏิบัติการ Lonestar Roundup ของ FBI ค้น 40 จุดในเท็กซัส ยึดแล็ปท็อปและอุปกรณ์ KVM 187 เครื่อง FBI ออกประกาศแนะนำแนวทาง identity in depth ให้ตรวจจับ IT worker ปลอมตลอดช่วงการจ้างงาน

นักวิจัยจาก V12 เผยแพร่ exploit AnyPwn ที่ใช้งานได้จริงบน GitHub สำหรับช่องโหว่ RCE ก่อนยืนยันตัวตนใน AnyDesk บน Linux ผู้โจมตีได้สิทธิ์ root ก่อนที่ใครจะกดอนุญาตการเชื่อมต่อ ต้นเหตุคือ integer overflow ขนาด 32 บิตในโปรโตคอล session ซึ่งนำไปสู่ heap overflow AnyDesk แก้ไขในเวอร์ชัน 8.0.3 ตั้งแต่มิถุนายน แต่ changelog เขียนเพียงว่าแก้บั๊กที่ทำให้ crash จนถึงตอนนี้ยังไม่มี CVE และไม่มีประกาศความปลอดภัย

นักวิจัย Huntress พบการโจมตีที่เจาะ Windows ผ่านช่องโหว่ CVE-2025-4632 ใน Samsung MagicINFO แล้วคอมไพล์ตัวขุด Monero ขึ้นในเครื่องเหยื่อเอง ผู้โจมตีติดตั้ง AnyDesk สร้างบัญชีแอดมิน และปิด Microsoft Defender ก่อนเริ่มขุด การประกอบตัวขุดในเครื่องทำให้เกิดสัญญาณผิดปกติจาก compiler ที่ตรวจจับได้ เคสนี้เป็นเครื่องเดียว ไม่ใช่แคมเปญขนาดใหญ่ แต่ชี้ว่าช่องโหว่ที่เปิดทิ้งไว้นำไปสู่การยึดเครื่องระยะยาว

บริษัท Google Threat Intelligence Group และ Mandiant เปิดเผยว่ากลุ่มอาชญากรไซเบอร์ Breeze Comet (เดิมชื่อ UNC5669) เจาะองค์กรการเงิน ค้าปลีก และอีคอมเมิร์ซในบราซิลมาตั้งแต่ปี 2567 เพื่อสั่งโอนเงินฉ้อโกงผ่านระบบ Pix, STR และ Boleto โดยเข้าถึงครั้งแรกด้วยการพ่นรหัสผ่านและโทรศัพท์แอบอ้างเป็นทีมไอทีให้เหยื่อติดตั้ง AnyDesk กลุ่มนี้ใช้แบ็กดอร์ที่พัฒนาเองอย่างน้อย 4 ตัวและมัลแวร์อุโมงค์เครือข่ายภาษา Rust ชื่อ COBALTSPIN เพื่อเข้าถึงระบบการเงินหลัก แล้วล้างล็อกเหตุการณ์ทิ้งหลังโอนเงินเสร็จ

บริษัท Huntress เปิดเผยว่าแรงงานไอทีเกาหลีเหนือขยายการสมัครงานออกนอกสายไอทีไปยังงานขาย การตลาด และบริษัทด้านสุขภาพแล้ว หนึ่งในเคสพบอุปกรณ์ PiKVM ติดตั้งบนเครื่องพนักงาน ตามด้วยการ์ดจับภาพ USB สำหรับป้อนภาพปลอมเข้าโปรแกรมประชุม ด้าน Recorded Future ระบุว่ากลุ่ม PurpleDelta สมัครงานกว่า 1,100 บริษัทด้วย 22 ตัวตนปลอม ยิงใบสมัครวันละอย่างน้อย 60 ตำแหน่ง และใช้ AI ช่วยตอบสัมภาษณ์แบบเรียลไทม์ ขณะที่หน่วยงานความมั่นคง 11 ประเทศออกประกาศเตือนร่วมกันเมื่อปลายเดือนที่ผ่านมา

แอฟฟิลิเอตแรนซัมแวร์ Akira เจาะองค์กรผ่านอุปกรณ์ VPN ของ SonicWall ที่ไม่มี MFA เมื่อ 4 สิงหาคม แล้วใช้ AnyDesk บังคับเครื่องรีบูตเข้า Safe Mode with Networking เพื่อปิดเอเจนต์ EDR และการป้องกันเรียลไทม์ของ Microsoft Defender ผู้โจมตีใช้ WinRAR บีบอัดไฟล์แชร์และ s5cmd อัปโหลดขึ้น S3 ของตนเอง แต่ akira.exe กลับรันไม่สำเร็จเพราะหน่วยความจำเสมือนไม่พอ บริษัท Huntress ระบุว่าเป็นครั้งแรกที่พบเทคนิคนี้ในการโจมตีของ Akira

Microsoft เปิดเผยว่ากลุ่มผู้โจมตีที่มีแรงจูงใจทางการเงินและถูกโยงกับจีนในชื่อ Storm-1175 ได้เริ่มใช้แรนซัมแวร์สายพันธุ์ใหม่ที่ไม่เคยมีการบันทึกมาก่อนชื่อ StormEncryptor แทนที่ Medusa ที่เคยใช้มาตลอด ตัวมัลแวร์เขียนด้วย C++ เติมนามสกุล .encrypted และทิ้งโน้ตเรียกค่าไถ่ชื่อ !!!README_FIRST!!!.txt ไว้ทุกไดเรกทอรี Microsoft ประเมินว่าการเข้าถึงครั้งแรกน่าจะมาจากการใช้ช่องโหว่ CVE-2026-18577 ใน N-able N-central ซึ่งเป็นการข้ามแพตช์ของ CVE-2026-18556 และถูก CISA ระบุว่าถูกใช้โจมตีจริงแล้ว

กลุ่มแรนซัมแวร์ Deadlock ลงชื่อบริษัท Tesco Engineer Co., Ltd. ผู้รับเหมาวิศวกรรมโยธาและผู้ผลิตท่ออุตสาหกรรมในกรุงเทพฯ บนเว็บไซต์ปล่อยข้อมูลเมื่อวันที่ 27 กรกฎาคม 2569 พร้อมขู่จะเผยแพร่ไฟล์ภายในหากบริษัทไม่ติดต่อเจรจา ประกาศนี้ไม่ระบุปริมาณข้อมูล ไม่ระบุประเภทไฟล์ ไม่ระบุจำนวนค่าไถ่ และยังไม่มีคำยืนยันหรือคำแถลงใด ๆ จากบริษัท จึงต้องถือเป็นคำกล่าวอ้างของผู้โจมตีฝ่ายเดียว บทความนี้จึงเน้นที่วิธีอ่านประกาศลักษณะนี้และประวัติทางเทคนิคของกลุ่มมากกว่าตัวเหตุการณ์

บริษัท Sophos เปิดเผยแคมเปญ STAC4749 ที่ผู้โจมตีปลอมเป็นฝ่ายไอทีโทรผ่าน Microsoft Teams หลอกพนักงานให้เปิดเซสชันควบคุมระยะไกลด้วย Quick Assist หรือเครื่องมือ RemSupp แล้ววางแบ็กดอร์ผ่าน PowerShell การโจมตีพุ่งเป้าองค์กรในแคนาดาและสหรัฐฯ กว่า 95% รวมหลายสิบองค์กรระหว่างกุมภาพันธ์ถึงมิถุนายน 2569 อย่างน้อย 3 กรณีจบลงด้วยแรนซัมแวร์ Chaos โดยกรณีหนึ่งใช้เวลาจากสายแรกถึงเข้ารหัสไฟล์ไม่ถึง 17 ชั่วโมง

มีการเปิดเผยช่องโหว่ zero-day ใน AnyDesk รหัส CVE-2026-15682 ที่เปิดทางให้ผู้โจมตีในเครื่อง (local) ทำให้โปรแกรมหรือระบบเข้าสู่สภาวะปฏิเสธการให้บริการ (DoS) ได้ ช่องโหว่อยู่ในฟีเจอร์ Send Support Information โดยผู้โจมตีสร้าง junction (reparse point) หลอกให้บริการ AnyDesk เขียนไฟล์ออกนอกตำแหน่งที่ควรจะเป็น การโจมตีต้องอาศัยการรันโค้ดสิทธิ์ต่ำในเครื่องก่อน จึงลดความเสี่ยงลง แต่ยังอันตรายในสภาพแวดล้อมที่ใช้ร่วมกันหรือถูกเจาะบางส่วนแล้ว ยังไม่มีแพตช์