Apt

บริษัท Recorded Future เปิดเผยแคมเปญจารกรรมที่เล็งหน่วยงานรัฐและการทูตในโรมาเนีย สเปน และตุรกี ระหว่างปลายกันยายน 2568 ถึงต้นเมษายน 2569 ปล่อยแบ็กดอร์ตัวใหม่ชื่อ HOOKEDGE ผ่านเอกสาร Word ที่ฝังมาโคร นักวิจัยเชื่อมโยงกับกลุ่ม APT28 ของรัสเซียด้วยความมั่นใจระดับปานกลาง จากโค้ดและวิธีการที่ทับซ้อนกับแบ็กดอร์ HEADLACE ตัวเดิม จุดเด่นคือใช้บริการ webhook สาธารณะแทนการตั้งเซิร์ฟเวอร์ของตัวเอง และเรียก Microsoft Edge โหมดไร้หน้าจอเป็นตัวรับส่งข้อมูล

สหภาพยุโรปยืนยันว่าแฮ็กเกอร์ที่รัฐหนุนหลังหันมาฟิชชิงเจ้าหน้าที่รัฐผ่านแอปแชตยอดนิยมแทนอีเมล เอกสารภายในที่ Politico ได้มาระบุว่าปี 2569 รัฐบาลในกลุ่มอียูเผชิญเหตุการณ์ร้ายแรงจากการฟิชชิงบน WhatsApp และ Signal แล้ว 8 ครั้ง การโจมตีไม่ใช้ช่องโหว่หรือมัลแวร์ อาศัยการหลอกลวงทางสังคมล้วน ๆ ทั้งปลอมเป็นทีมสนับสนุนของ Signal ขอรหัส PIN และหลอกให้สแกน QR code ที่เชื่อมอุปกรณ์ของผู้โจมตีเข้ากับบัญชีเหยื่อ ผลคือหลายประเทศเร่งย้ายไปใช้แอปแชตของรัฐเอง

กระทรวงยุติธรรมสหรัฐฯ ประกาศทลายแพลตฟอร์มแฮ็กสองตัวคือ QScan และ QTRouter ที่ดำเนินการโดยกลุ่มที่รัฐจีนหนุนหลังในชื่อ QTFY ซึ่งรับจ้างอยู่กับบริษัทเทคโนโลยีแห่งหนึ่งในนครหนานจิงที่มีทั้ง MSS และ PLA เป็นลูกค้า เหยื่อรวมถึง NASA ธนาคารกลางสหรัฐฯ กระทรวงพลังงาน และวุฒิสภา QScan ไล่สแกนและยึดอุปกรณ์ IoT ทั่วโลกเข้าเป็นโหนดพร็อกซี ส่วน QTRouter ทำหน้าที่กลบต้นทางให้ทราฟฟิกดูเหมือนมาจากผู้ใช้ในพื้นที่เป้าหมาย

บริษัท Group-IB เผยผลวิเคราะห์ใหม่ของกลุ่ม Nimbus Manticore ที่เชื่อมโยงกับกองกำลังพิทักษ์การปฏิวัติอิสลามของอิหร่าน พบโครงสร้างพื้นฐานของ Tortoiseshell กระจายทั้งยุโรปและตะวันออกกลาง พร้อมมัลแวร์ที่ยังไม่เคยมีการบันทึกไว้สองตัว ทั้งเครื่องมือทำ reverse SSH tunnel และแบ็กดอร์ภาษา C++ ที่ทับซ้อนกับ TWOSTROKE ทั้งคู่ปลอมตัวเป็นไฟล์ของ Windows Terminal Server SDK เพื่อกลมกลืนกับระบบ

Google Threat Intelligence Group เผยกลุ่มจารกรรมที่ต้องสงสัยว่ามาจากรัสเซียสามคลัสเตอร์ คือ UNC6293, UNC7005 และ UNC5976 กำลังใช้กลไกยืนยันตัวตนที่ถูกต้องตามระบบเป็นเครื่องมือยึดบัญชีเป้าหมาย ทั้งรหัสผ่านเฉพาะแอป การฟิชชิง OAuth ผ่านโครงการคลาวด์ และการหลอกให้เหยื่อเชื่อมบัญชี WhatsApp เข้ากับอุปกรณ์ของผู้โจมตี เป้าหมายคือนักวิชาการ นักการทูต และองค์กรวิจัยในยุโรปและสหรัฐฯ

หน่วยงาน CISA ของสหรัฐฯ เพิ่มช่องโหว่วิกฤต 4 รายการเข้าบัญชี Known Exploited Vulnerabilities เมื่อวันที่ 18 สิงหาคม 2569 โดยระบุว่าถูกใช้โจมตีจริงแล้วทั้งหมด ได้แก่ CVE-2026-65400 ใน macOS ที่ยืนยันตัวตนเข้า Screen Sharing ได้โดยไม่ต้องมีรหัสผ่าน CVE-2026-55040 ใน SharePoint ที่ข้ามฟีเจอร์ความปลอดภัย CVE-2026-59310 ใน VMware vCenter ที่รันโค้ดได้จากระยะไกล และ CVE-2026-33824 ใน Microsoft IKE Service Extensions ทุกตัวมีแพตช์แล้ว โดยหน่วยงานรัฐบาลกลางต้องอัปเดตภายใน 21 สิงหาคม 2569

บริษัท Bitdefender เปิดเผยปฏิบัติการจารกรรมไซเบอร์ชื่อ SilkParasite ที่เล็งหน่วยงานรัฐในเอเชียกลาง โดยใช้ RAT ถึง 7 ตระกูล ซึ่ง 5 ตัวไม่เคยถูกบันทึกมาก่อน ได้แก่ DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT และ NodeEdgeRAT ประเมินด้วยความมั่นใจระดับปานกลางว่าเป็นกลุ่มที่เชื่อมโยงกับจีน จากการใช้แบ็กดอร์ BLOODALCHEMY ซึ่งสืบสายมาจาก ShadowPad และ PlugX จุดที่นักวิจัยเน้นคือร่องรอยการใช้ AI ช่วยพัฒนาที่แทรกอยู่ในโค้ดซึ่งโดยรวมยังเป็นฝีมือทีมมนุษย์มืออาชีพ

กระทรวงยุติธรรมสหรัฐฯ ตั้งข้อหาชาวอิหร่าน 17 ราย ซึ่งถูกกล่าวหาว่าเป็นสมาชิกของบริษัทรับจ้างแฮ็กชื่อ Mabna Institute โดย 9 รายเคยถูกตั้งข้อหาไปแล้วตั้งแต่ปี 2561 ปฏิบัติการนี้เริ่มราวปี 2556 เล็งบัญชีของอาจารย์ทั่วโลกกว่า 100,000 ราย และเจาะสำเร็จราว 8,000 ราย ก่อนดูดข้อมูลวิชาการออกไป 31.5 เทระไบต์ มูลค่าประมาณ 3.4 พันล้านดอลลาร์ กระทบมหาวิทยาลัย 178 แห่ง บริษัทเอกชนอย่างน้อย 53 แห่ง และหน่วยงานรัฐของสหรัฐฯ อย่างน้อย 10 แห่ง

บริษัท Kaspersky เผยผลติดตามเฟรมเวิร์ก C2 ชื่อ Cavern หรือ Cav3rn ของแฮ็กเกอร์อิหร่านที่โจมตีองค์กรในอิสราเอล พบโมดูลสื่อสารตัวใหม่ GoogleService.dll ใช้คำตอบ DNS A-record เลือกเป็นรายทรานแซกชันว่าจะคุยกับ C2 ผ่าน HTTPS ตรงหรือรีเลย์ผ่าน Google Apps Script โครงสร้าง DNS เดียวกันยังใช้เปลี่ยน deployment ID ของรีเลย์ได้ ทำให้หมุนช่องทางฝั่ง Google ได้เรื่อย ๆ Kaspersky โยงเฟรมเวิร์กนี้เข้ากับ OilRig ด้วยความมั่นใจต่ำ และประเมินว่าจะขยายตัวต่อไป

นักวิจัยจาก Securelist พบว่ากลุ่ม HoneyMyte อัปเกรดแบ็กดอร์ CoolClient ด้วยไดรเวอร์รูตคิตระดับเคอร์เนลบนวินโดวส์ที่ซ่อนโปรเซส ไฟล์ คีย์รีจิสทรี และการเชื่อมต่อ C2 ได้พร้อมกัน เป้าหมายคือองค์กรในปากีสถาน มองโกเลีย เมียนมา และรัสเซีย รวมถึงหน่วยงานรัฐ ห่วงโซ่การติดเชื้อเริ่มจาก PlugX แล้วต่อด้วยการ sideload ไฟล์ DLL ผ่านโปรแกรมจริงของ Sangfor ที่เปลี่ยนชื่อเป็น defender.exe ไดรเวอร์มีลายเซ็นของบริษัทจีนที่หมดอายุไปหลายปีแล้ว ซึ่งไม่ใช่หลักฐานความปลอดภัยแต่อย่างใด