Apt

ESET รายงานว่ากลุ่มที่สอดคล้องกับรัสเซียกำลังเจาะเมลเซิร์ฟเวอร์ MDaemon ในยูเครนโดยไม่ต้องให้ใครเปิดอีเมล MDaemon ใช้ ClamAV สแกนไฟล์แนบแต่ยังพก libclamunrar.dll รุ่นเก่าที่มีช่องโหว่ WinRAR CVE-2025-8088 ผู้โจมตีเพียงส่งไฟล์ RAR ที่สร้างมาเฉพาะไปยังที่อยู่ใดก็ได้บนเซิร์ฟเวอร์ การสแกนจะเขียน DLL อันตรายลงระบบไฟล์ CERT-UA ติดตามมัลแวร์ที่ใช้ในชื่อ HELLAGE และ HELLTAG และ ESET ยังระบุกลุ่มไม่ได้ ผู้ดูแลควรอัปเกรด MDaemon เป็น 26.0.4 ขึ้นไป

Binance ตลาดคริปโตใหญ่สุดในโลกถูกขโมยสินทรัพย์ราว 6.3 พันล้านดอลลาร์เมื่อ 29 ตุลาคม 2569 ใหญ่กว่าเหตุ Bybit เกือบ 4 เท่า Binance ระบุว่าเหตุอาจเริ่มจากโน้ตบุ๊กวิศวกร DevOps ถูกเจาะจนผู้โจมตีส่งคำสั่งถอนเงินผ่านคอนเทนเนอร์บริการได้ โดยไม่พบว่ากุญแจส่วนตัวรั่ว TRM Labs และ Chainalysis ระบุด้วยความมั่นใจสูงว่าเป็นฝีมือ TraderTraitor ของเกาหลีเหนือ แต่ Elliptic เตือนว่ารูปแบบฟอกเงินต่างจากเดิม เงินราว 3 พันล้านดอลลาร์ถูกอายัดแล้ว แพลตฟอร์มคริปโตควรทบทวนการแยกสิทธิ์ระบบเซ็นธุรกรรมจากเครื่องนักพัฒนา

CrowdStrike ระบุว่า Vapor Panda กลุ่มจารกรรมที่รัฐจีนหนุนและทับซ้อนกับ Earth Estries ใช้ ARTEX เฟรมเวิร์กเจาะระบบที่ขับด้วย AI เล็งองค์กรกว่า 200 แห่งพร้อมกันตั้งแต่ 17 ตุลาคม 2569 เป้าหมายรวมกระทรวงการต่างประเทศหลายภูมิภาค องค์กรกลาโหมและเซมิคอนดักเตอร์สหรัฐฯ และผู้ให้บริการโทรคมนาคมในสหรัฐฯ เบลเยียม และฟิลิปปินส์ เจาะได้ยืนยัน 9 แห่งและฝัง BLOODALCHEMY ที่สืบสายจาก ShadowPad เอเจนต์วางแผนใช้โทเคนราว 1.4 พันล้านในเหตุเดียว และมีคนคุมอยู่ องค์กรควรหมุนเวียนกุญแจที่ค้างนานและตรวจ SAML กับ IMDS

ESET ระบุว่า DeceptiveDevelopment กลุ่มสายเกาหลีเหนือ ขยับจากการหลอกนักพัฒนาด้วยงานปลอมมาเป็นการโจมตีซัพพลายเชน ระหว่างเมษายนถึงกันยายน 2569 กลุ่มนี้ใช้สิทธิ์ Git, SSH และ token ที่ขโมยจากนักพัฒนาแก้โค้ดใน repository ของเหยื่อ แล้วแต่ง commit history แพ็กเกจที่ถูกฝังกระจายผ่าน npm, Go module mirror, Packagist, PyPI และร้านส่วนขยายเบราว์เซอร์ ปลายทางเป็น OmniStealer และ DEV#POPPER RAT ที่ฝังตัวใน VS Code, Cursor และ Discord นักพัฒนาไม่ควรรันโค้ดจากผู้สรรหาบนเครื่องทำงาน

รายงาน APT Activity Report ไตรมาส 2-3 ปี 2569 ของ ESET ระบุว่า FrostyNeighbor กลุ่มที่สอดคล้องกับรัฐเบลารุส ก่อการโจมตีทำลายล้างครั้งแรกที่ ESET บันทึกได้ในยุโรปจากกลุ่มสายเบลารุส เป้าหมาย คือ ผู้ผลิตยูเครนที่สำคัญต่อภาคขนส่ง โดยปล่อย VBScript wiper ผ่าน Group Policy ร่วมกับ Cobalt Strike ESET มองว่าเบลารุสทำหน้าที่ตัวแทนหรือตัวเสริมกำลังให้รัสเซีย แต่ Recorded Future ยังไม่เห็นหลักฐานการบัญชาการร่วม หน่วยงานภาครัฐ ขนส่ง และกลาโหมที่สนับสนุนยูเครนควรเฝ้าระวังกลุ่มนี้แยกจากกลุ่มรัสเซีย

Kaspersky GReAT เปิดโปง NetamLoader มัลแวร์ที่เล็ง Windows 10 รุ่นพิเศษของหน่วยงานรัฐในเอเชีย มัลแวร์ซ่อนในไฟล์ CAB ในโฟลเดอร์อัปเดตของ Windows ยืมไฟล์ Patch My PC และโมดูลที่ Microsoft เซ็นเพื่อรันโค้ดผ่าน AppDomainManager injection และ BinaryFormatter แล้วปิด AMSI ลบล็อก และรันตัวสุดท้ายใน dllhost.exe ตัวสุดท้ายรอ 20-40 นาทีก่อนติดต่อ openaigpt4v[.]com เพื่อหลบ sandbox พบเหยื่อรายเดียวและยังไม่โยงกับกลุ่มใด ผู้ดูแลควรเฝ้าไฟล์ .config แปลกในโฟลเดอร์อัปเดตและส่งล็อกขึ้นศูนย์กลาง

Cisco Talos เผยมัลแวร์ KeyDrift ที่กลุ่ม UAT-11473 ฝังในตัวควบคุม Cisco Catalyst SD-WAN ผ่านช่องโหว่ CVE-2026-20127 ที่แพตช์ไปเมื่อกุมภาพันธ์ มัลแวร์แทรกตัวในโปรเซส vdaemon เพื่ออ่านกุญแจ AES-256 ที่ตัวควบคุมส่งต่อระหว่างเราเตอร์สาขา แล้วเข้ารหัสเก็บไว้รอส่งออกทาง UDP Talos มั่นใจสูงว่าโครงสร้างพื้นฐานทับซ้อนเครือข่าย Silent Train ที่ Volt Typhoon ใช้ แต่ไม่ได้ฟันธงว่าเป็นกลุ่มเดียวกันและไม่ระบุว่ากุญแจถูกส่งออกไปแล้วหรือไม่ ผู้ดูแลควรอัปเกรด ตรวจไฟล์ที่ Talos ระบุ และเปิดกฎ Snort ชุดใหม่

Black Lotus Labs ของ Lumen เปิดโปง Silent Train เครือข่ายแฝงที่ Volt Typhoon กลุ่มจารกรรมสายจีนใช้มาตั้งแต่ปลายปี 2566 เครือข่ายนี้ร้อยเราเตอร์ อุปกรณ์ IoT และอุปกรณ์องค์กรที่ถูกเจาะเป็นสายส่งต่อแบบใช้ครั้งเดียว แล้วลบร่องรอยหลังแต่ละเซสชัน กลุ่มนี้ใช้ Silent Train ใน zero-day 4 แคมเปญ ได้แก่ Versa Director, N-able N-central, Cisco SD-WAN และ Arista VeloCloud เหยื่อหลายร้อยรายอยู่ในโทรคมนาคม รัฐ กลาโหม และโครงสร้างพื้นฐานสำคัญ ผู้ดูแลควรปิดหน้าจัดการระบบเหล่านี้จากอินเทอร์เน็ตและแพตช์ให้ครบ

PHP2Shell ช่องโหว่ RCE วิกฤตใน PHP มีเหยื่อที่ถูกเจาะสำเร็จรายแรกแล้ว คือ หน่วยงานรัฐแห่งหนึ่งในยุโรป ตามรายงานของ Unit 42 ผู้โจมตีใช้เอเจนต์ AI สั่งงานแทนคน ได้ hash รหัสผ่านและ secret ของ MFA ใน 2 ชั่วโมง แล้วเจาะต่อเข้า Active Directory ขณะเดียวกัน CYFIRMA พบกลุ่มที่สงสัยว่าเป็น Lazarus ของเกาหลีเหนือทำรายชื่อเซิร์ฟเวอร์ PHP ที่ยังไม่แพตช์ไว้ 216 เครื่อง รวมถึงในไทย การสแกนทำแบบช้าและเปลี่ยนต้นทางตลอด จึงหลบการแจ้งเตือนทั่วไปได้ ผู้ดูแลระบบควรอัปเกรด PHP ทันทีและตรวจล็อกหาร่องรอยการเจาะ

Semperis รายงานว่ากลุ่ม Prince of Persia หรือ Infy ซึ่งรัฐบาลอิหร่านหนุนหลัง ตั้งเซิร์ฟเวอร์ C&C ในสหรัฐฯ เป็นครั้งแรกนับจากปี 2559 กลุ่มหยุดปฏิบัติการ 3 เดือนหลังรายงานของ SafeBreach ในเดือนกุมภาพันธ์ 2569 ซึ่งตรงกับช่วงสงครามอิหร่านกับสหรัฐฯ และอิสราเอล และกลับมาขโมยข้อมูลอีกครั้งเมื่อ 27 พฤษภาคม เซิร์ฟเวอร์ใหม่ของมัลแวร์ Tornado ซ่อนอยู่บน shared hosting ของ Namecheap แทน VPS จากนั้นกลุ่มย้ายไปหลบหลัง Cloudflare