Apt

บริษัท Kaspersky เปิดเผยกลุ่มภัยคุกคามใหม่ชื่อ Armored Likho ที่โจมตีหน่วยงานรัฐและภาคไฟฟ้าในรัสเซีย บราซิล และคาซัคสถาน ผสมเป้าหมายจารกรรมกับการขโมยเงิน กลุ่มนี้ใช้มัลแวร์ขโมยข้อมูลตัวใหม่ชื่อ BusySnake ที่เขียนด้วย Python พร้อมใช้ช่องโหว่ LNK CVE-2025-9491 และมีร่องรอยว่าใช้ AI ช่วยสร้างโค้ดโหลดเดอร์ เชื่อมโยงกับกลุ่ม Eagle Werewolf

นักวิจัยจาก Socket.dev เปิดโปงแคมเปญ PolinRider ที่เชื่อมโยงกลุ่มเกาหลีเหนือ Contagious Interview/Famous Chollima ซ่อน JavaScript loader ในคลังโค้ด open source พบ 162 artifact ใน 108 แพ็กเกจทั้ง npm, Packagist, Go modules และ Chrome extension มัลแวร์ปลอมเป็นไฟล์ฟอนต์ woff2 ดึงเพย์โหลด DEV#POPPER และ OmniStealer ขโมยข้อมูลรับรองและกระเป๋าคริปโต โดยเล็งเป้าที่ตัวนักพัฒนาโดยตรง

บริษัท JFrog เปิดเผยชุดแพ็กเกจ npm อันตรายที่เชื่อมโยงกับเกาหลีเหนือ ปลอมตัวเป็นเครื่องมือ Rollup polyfill ทั้งชื่อ เมทาดาทา และโครงสร้างเลียนแบบโปรเจกต์จริง เพื่อเปิดทางเข้าถึงระยะไกลและขโมยข้อมูล เพย์โหลดหลายชั้นดึงมัลแวร์ JavaScript มาขโมยข้อมูลรับรอง คีย์คลาวด์ SSH และกระเป๋าเงินคริปโตจากเครื่องนักพัฒนา รูปแบบคล้ายแคมเปญ Lazarus ก่อนหน้า ท่ามกลางการโจมตี supply chain โอเพนซอร์สอีกหลายคลัสเตอร์

บริษัท Kaspersky เผยกลุ่ม APT ToddyCat พัฒนามัลแวร์ใหม่ชื่อ Umbrij ที่ฉวยโปรโตคอล OAuth 2.0 เจาะ Gmail ขององค์กรผ่าน Google API ด้วยเทคนิค Shadow Token via Remote Debug (STRD) โดยเปิดเบราว์เซอร์ Chromium ในโหมด headless แล้วเชื่อมผ่าน remote debugging port เพื่อฉวยเซสชัน Gmail ที่ล็อกอินอยู่ ดึง OAuth token ไปเข้าถึงอีเมลองค์กร มัลแวร์ถูกปล่อยผ่าน DLL side-loading จากไบนารีที่ถูกต้อง 3 ตัว

ESET รายงานว่ากลุ่ม APT รัสเซีย Gamaredon ยังคงพัฒนาคลังมัลแวร์อย่างต่อเนื่องตลอดปี 2025 พบ 35 แคมเปญ spear-phishing มุ่งเป้าหน่วยงานรัฐและทหารยูเครนโดยเฉพาะ ใช้ HTML smuggling ปล่อย HTA downloader และอาวุธช่องโหว่ WinRAR (CVE-2025-8088) ฝังตัวใน Startup folder กลุ่มเพิ่มเครื่องมือ PowerShell ใหม่ 6 ตัว (PteroDee, PteroCache, PteroDum, PteroOdd, PteroEffigy, PteroPaste) และพึ่งพาบริการคลาวด์กับ tunnel/serverless worker มากขึ้นเพื่อซ่อนโครงสร้างพื้นฐานเบื้องหลัง

Acronis Threat Research Unit พบกลุ่มจารกรรม Mustang Panda ที่จีนหนุนหลัง รันสองแคมเปญโจมตีหน่วยงานรัฐและเป้าหมายด้านพลังงานน้ำของอินเดีย ใช้มัลแวร์ใหม่และเปลี่ยน Zoho WorkDrive บริการคลาวด์ที่ถูกต้องให้เป็นช่องทางสั่งการ ทำให้ทราฟฟิกดูเหมือนกิจกรรมคลาวด์ปกติ Acronis ตั้งชื่อเครื่องมือใหม่ 3 ตัวคือ SHARDLOADER, MINIRECON และ ZOHOMURK ทั้งสองแคมเปญมาในรูป ZIP ส่งผ่าน spear-phishing ทำงานช่วง 12-22 มิ.ย. 2026 เป้าหมายคือข่าวกรองด้านพลังงานน้ำและความสัมพันธ์กลาโหมอินเดีย-ไต้หวัน

กลุ่มภัยคุกคามที่เชื่อมโยงกับรัสเซีย Turla ขยายคลังเครื่องมือจารกรรมด้วยแบ็กดอร์ตัวใหม่ชื่อ STOCKSTAY โจมตีหน่วยงานรัฐและทหารในยูเครนตั้งแต่ปลายปี 2022 มัลแวร์เขียนด้วย .NET สื่อสารผ่าน WebSocket ที่เข้ารหัส ทำให้ตรวจจับยากในทราฟฟิกปกติ Turla ใช้โครงสร้างพื้นฐานของยูเครนที่ถูกยึด เช่น เว็บหน่วยงานรัฐและเซิร์ฟเวอร์บริษัทไอที เพื่อ stage และส่งเพย์โหลด นักวิจัย Google ระบุว่ามันมีความเชื่อมโยงกับชุดเครื่องมือ KAZUAR ของกลุ่มเดียวกัน

FBI และ CISA อัปเดตคำเตือนเรื่องสายลับรัสเซียฟิชชิงบัญชี Signal โดยเพิ่มขั้นตอนใหม่ หลอกเหยื่อให้ส่งมอบ Signal Backup Recovery Key เมื่อได้คีย์ไป ผู้โจมตีสามารถกู้คืนแบ็กอัป อ่านประวัติข้อความ และยึดบัญชีได้ แม้สร้างบัญชีใหม่บนเบอร์เดิมคีย์เก่ายังใช้ได้ การโจมตีไม่ได้เจาะการเข้ารหัส แต่ใช้ social engineering เป้าหมายคือเจ้าหน้าที่รัฐ ทหาร นักข่าว

หน่วยความมั่นคงยูเครน (SSU) ร่วมกับ FBI เปิดโปงปฏิบัติการระยะยาวของหน่วยข่าวกรองรัสเซียที่เจาะบัญชีแอปแชตของเจ้าหน้าที่รัฐ ทหาร นักการเมือง และนักเคลื่อนไหวในยูเครน ยุโรป และสหรัฐฯ ด้วยการส่ง SMS ปลอมเป็นบอทฝ่ายสนับสนุนของแพลตฟอร์มหลอกขอข้อมูลล็อกอิน เป้าหมายคือล้วงข้อมูลทางทหาร การเมือง และเศรษฐกิจที่อ่อนไหว คลื่นโจมตีคล้ายกันถูกเชื่อมโยงกับกลุ่ม Star Blizzard, UNC5792 และ UNC4221

Palo Alto Networks Unit 42 เผยกลุ่ม APT พูดภาษาจีน CL-STA-1062 ใช้แบ็กดอร์ใหม่ TinyRCT โจมตีหน่วยงานรัฐและโครงสร้างพื้นฐานสำคัญในเอเชียตะวันออกเฉียงใต้ เน้นรัฐวิสาหกิจด้านพลังงานและภาครัฐ พบเจาะอย่างน้อย 10 องค์กรในภูมิภาคช่วงปลายปี 2025 ขโมยซอร์สโค้ดเว็บเซิร์ฟเวอร์ทั้งไดเรกทอรี TinyRCT รันคำสั่ง ขโมยไฟล์ จับภาพหน้าจอ และลบตัวเองได้