Apt

Cisco Talos และ Recorded Future รายงานว่ากลุ่ม Silent Lynx ซึ่งเชื่อมโยงกับคาซัคสถาน โจมตีหน่วยงานรัฐในภูมิภาค CIS ต่อเนื่องตั้งแต่มิถุนายน 2568 ถึงสิงหาคม 2569 เหยื่อและเหยื่อล่อครอบคลุม 9 ประเทศ ทั้งเอเชียกลาง อาร์เมเนีย อาเซอร์ไบจาน รัสเซีย และเบลารุส ผู้โจมตีส่งอีเมลฟิชชิงจากบัญชีรัฐที่ถูกยึด พร้อมใช้ 4 เส้นทางติดเชื้อ ตั้งแต่ไฟล์ Word มีมาโครจนถึงไฟล์ RAR ที่เจาะช่องโหว่ WinRAR CVE-2025-8088 ปลายทางคือ reverse shell อย่าง PickleShell และ FoalShell ที่ให้ผู้โจมตีควบคุมเครื่องจากระยะไกล

หน่วย ASEC ของบริษัท AhnLab รายงานว่ากลุ่ม Kimsuky ใช้เรซูเมไฟล์ Hangul Word Processor ปลอมเป็นใบสมัครงานเพื่อปล่อยแรนซัมแวร์ Funhouse การเปิดไฟล์จะแตกไฟล์ VbsEdit กับสคริปต์ลงโฟลเดอร์ชั่วคราว และเมื่อคลิกลิงก์ในเอกสารจะเริ่มห่วงโซ่ Batch, VBS, PowerShell, แบ็กดอร์ Python และ Quasar RAT ที่ใช้ปล่อยแรนซัมแวร์ Funhouse เป็นสายพันธุ์ของ Endpoint ransomware โดย Quasar ใช้ mutex เดียวกันในเคสกุมภาพันธ์ มิถุนายน และกันยายน รายงานไม่ระบุจำนวนเหยื่อ

Genians เชื่อมหลักฐานจากหลายแหล่งเข้าด้วยกัน ชี้ว่า Kimsuky ของเกาหลีเหนือส่งฟิชชิงล้วงข่าวกรองสงครามจากหน่วยงานรัฐ นักนโยบาย และนักวิชาการยูเครน เป้าข้อมูลคือสถานการณ์รบ ความสูญเสียของทหารเกาหลีเหนือ และเชลยศึก 2 นายที่ถูกส่งตัวไปเกาหลีใต้ ผู้โจมตีใช้เทคนิคล่อให้ตอบกลับ ปลอมเป็นผู้จัดงาน KSCON 2026 เชิญเป็นวิทยากร แล้วส่งไฟล์ LNK ที่พรางเป็น PDF ใช้ GitHub และ GitLab เป็นที่เก็บสคริปต์ Proofpoint มองว่าเป็นผู้โจมตีระดับกลางที่ตรวจจับได้ไม่ยาก แต่ปริมาณการโจมตีทำให้ฝ่ายป้องกันเหนื่อย

Dream พบกลุ่มจารกรรม DarkBlinders ใช้แอปประชุมปลอม StarkMeet และหน้าเว็บเมลรัฐบาลปลอม เล็งอิสราเอลและเขตปกครองเคอร์ดิสถานของอิรักระหว่าง ส.ค.-ต.ค. 2569 ยืนยันเหยื่อ 2 ราย คือคลาวด์รัฐบาลเคอร์ดิสถานที่ถูกดูดข้อมูลกว่า 1 GB และบุคคลสายความมั่นคงของอิสราเอล แบ็กดอร์ลงทะเบียนเครื่องและรับคำสั่งผ่าน repo บน GitHub และกู้โทเคนใหม่จากคอมเมนต์ใน issue ของ Microsoft/vscode ผู้โจมตีเลือกเปิดขั้นที่สองเฉพาะเป้าที่ต้องการ Dream เชื่อมโยงกับ UNC5795 และ Dust Specter ระดับปานกลางถึงสูง

FBI และกระทรวงยุติธรรมสหรัฐฯ ยึด 7 โดเมนและตัดการเข้าถึงเครื่องมือของบริษัท Integrity Technology Group ที่โยงกับกลุ่ม Flax Typhoon ของจีน เครื่องมือหลักคือ MicroScan ที่มีสคริปต์ทดสอบเจาะกว่า 1,300 ตัว และ FishHub สำหรับฟิชชิงแบบเจาะจงเป้าหมาย เป้าหมายรวมบริษัทไฟฟ้าในเซาท์แคโรไลนา สนามบินญี่ปุ่นและโปแลนด์ และโครงสร้างพื้นฐานก๊าซและไฟฟ้าของไต้หวัน FishHub ยืนยันเหยื่อแล้ว 20 มหาวิทยาลัยในไต้หวัน การยึดเกิดคู่กับคำเตือนร่วมของ 7 ประเทศ

FBI และหน่วยงานจาก 6 ประเทศออกคำเตือนร่วมว่าแฮ็กเกอร์ที่โยงกับบริษัทจีน Integrity Technology Group ขโมยอีเมลจากหน่วยงานรัฐ บังคับใช้กฎหมาย สาธารณสุข และองค์กรศาสนาในเอเชียตะวันออกเฉียงใต้ตั้งแต่อย่างน้อยปี 2564 กลุ่มนี้ใช้สแกนเนอร์ MicroScan ที่มีสคริปต์กว่า 1,300 ตัว เจาะช่องโหว่ที่รู้จัก 8 รายการ และเดารหัสผ่าน Microsoft 365/Exchange แล้วดูดอีเมลด้วยเครื่องมือเฉพาะ คำเตือนระบุว่ากลุ่มเปิดเว็บแอปให้บุคคลที่สามเข้าอ่านอีเมลที่ขโมยมา บริษัทนี้ถูกสหรัฐและสหราชอาณาจักรคว่ำบาตรแล้ว

Zscaler ThreatLabz พบ Terraform provider ปลอมชื่อ terraform-provider-awsbeta ที่แอบรันโค้ดอันตรายเมื่อ Terraform โหลดปลั๊กอิน แต่ยังทำงานแบบ provider ปกติ ตัวโหลดดึงไฟล์ฟอนต์ .woff ที่ซ่อนมัลแวร์เข้ารหัสตามระบบปฏิบัติการ ทั้ง Linux, macOS และ Windows มัลแวร์ FLATROOF ขโมยข้อมูลเบราว์เซอร์ คีย์เชน และกระเป๋าคริปโต ส่วน ROOFDECK หาที่อยู่ C2 ผ่าน Pastebin ที่มีลายเซ็น RSA และโปรไฟล์ Nostr Zscaler ชี้ว่าคล้าย TraderTraitor ของเกาหลีเหนือ แต่ยังไม่มีหลักฐานพอฟันธง

บริษัท TrendAI เปิดเผย ASHVEIN มัลแวร์ .NET แบบ infostealer และ RAT ของกลุ่ม UAC-0099 ที่ฝักใฝ่รัสเซีย ใช้โจมตีเจ้าหน้าที่รัฐบาลยูเครน ASHVEIN ขโมยรหัสผ่านเบราว์เซอร์ จับภาพหน้าจอ ดึงไฟล์ และรัน PowerShell โดยซ่อนคำสั่งไว้ในองค์ประกอบ HTML ที่มองไม่เห็น การส่งมัลแวร์ใช้ DLL sideloading ไฟล์ VHD และ dropper ที่ปลอมเป็นเอกสารตอบกลับจากตำรวจแห่งชาติยูเครน TrendAI ชี้ว่าเป้าหมายขยายจากรัฐและทหารไปยังผู้ประกอบการขนส่งและโครงสร้างพื้นฐานพลเรือน

บริษัท ESET เผยแพร่ผลวิเคราะห์ MatchBoil ดาวน์โหลดเดอร์ภาษา C# ของกลุ่มจารกรรม UAC-0099 ที่เชื่อว่าสอดคล้องกับผลประโยชน์รัสเซีย ตัวอย่างระหว่าง เม.ย. 2567 ถึง เม.ย. 2569 แสดงการพัฒนาต่อเนื่องจาก downloader ที่ทำงานครั้งเดียวเป็นตัวที่ติดต่อ C2 ทุก 2 นาที เวอร์ชันใหม่ใช้ .NET Reactor ตรวจ sandbox จากเวลา uptime ใน Event Log และแสดงหน้าต่างแอปปลอม เหยื่อที่พบทั้งหมดอยู่ในยูเครน ไล่จากขนส่ง การผลิต สู่พลังงาน ESET ประเมินว่ากลุ่มนี้อาจเป็นนายหน้าส่งต่อสิทธิ์เข้าถึงให้ Sandworm

กระทรวงการต่างประเทศสหรัฐฯ ตั้งรางวัลสูงสุด 10 ล้านดอลลาร์สำหรับข้อมูลเกี่ยวกับนาย Zhang Yu ชาวจีนที่ถูกกล่าวหาว่าทำงานให้สำนักงานความมั่นคงแห่งรัฐเซี่ยงไฮ้ของกระทรวงความมั่นคงแห่งรัฐจีน คดีกล่าวหาว่าเขาและนาย Xu Zewei เจาะมหาวิทยาลัยและนักวิจัยวัคซีนโควิด-19 ช่วงปี 2563-2564 ตามคำสั่งเจ้าหน้าที่ข่าวกรอง และเกี่ยวข้องกับแคมเปญ HAFNIUM ที่เจาะ Microsoft Exchange Xu ถูกจับที่มิลานและส่งตัวถึงสหรัฐฯ เมื่อเมษายน 2569 ส่วน Zhang ยังหลบหนี ข้อกล่าวหายังไม่ได้พิสูจน์ในชั้นศาล