Apt

บริษัท Kaspersky เปิดเผยแคมเปญจารกรรมที่โจมตีหน่วยงานรัฐในเอเชียกลางและซีเรียมาตั้งแต่มกราคม 2568 คาดว่าเป็นฝีมือผู้ก่อภัยที่พูดภาษาจีน แต่ยังโยงเข้ากับกลุ่มที่รู้จักไม่ได้ ผู้โจมตีใช้แบ็กดอร์ใหม่ 2 ตัวคือ OctLurk และ SilkLurk พร้อมเครื่องมือ LurkProxy สำหรับพร็อกซีทราฟฟิก ทั้งคู่ทำงานในหน่วยความจำและโหลดปลั๊กอินเพิ่มเพื่อดักแป้นพิมพ์และขโมยข้อมูลรับรอง โดยเส้นทางเข้าถึงครั้งแรกยังไม่ทราบ

บริษัทไมโครซอฟท์เปิดเผยแคมเปญชื่อ CaptiveCrunch ที่ยึดเกตเวย์ Wi-Fi ของโรงแรมเพื่อดันหน้าอัปเดตเบราว์เซอร์ปลอมและปล่อย RAT ชื่อ CornFlake ซึ่งจับภาพจากเว็บแคม เสียงจากไมโครโฟน และแป้นพิมพ์ได้ ไมโครซอฟท์โยงกิจกรรมนี้เข้ากับ Storm-2945 ซึ่งประเมินว่าเป็นคลัสเตอร์ย่อยของ Midnight Blizzard หรือ APT29 พบการบิดเบือนทราฟฟิกตั้งแต่ต้นเดือนพฤษภาคมในเครือข่ายภาคบริการที่พักหลายประเทศ แต่ยังไม่มีตัวเลขว่าการเปลี่ยนเส้นทางกลายเป็นการยึดเครื่องสำเร็จกี่ราย

ทีมข่าวกรองภัยคุกคามของ Amazon เผยแพร่งานวิจัยที่ประเมินด้วยความเชื่อมั่นระดับกลางว่า กลุ่มเกาหลีเหนือที่อยู่เบื้องหลังการยึดแพ็กเกจ axios เมื่อเดือนมีนาคม 2569 คือกลุ่มเดียวกับที่ยึดแพ็กเกจ debug และ chalk เมื่อเดือนกันยายน 2568 ซึ่งกระทบแพ็กเกจอย่างน้อย 18 ตัวที่มียอดดาวน์โหลดรวมกว่า 2 พันล้านครั้งต่อสัปดาห์ พร้อมชี้ว่าแพ็กเกจ typo-crypto เป็นการซ้อมมือก่อนหน้า อย่างไรก็ตามหลักฐานที่เปิดเผยยังไม่ระบุว่าชิ้นใดโยงกับเหตุการณ์ใด

บริษัท IIJ เปิดเผยว่ากลุ่ม BlackTech นำแบ็กดอร์ BlueShell เวอร์ชัน Linux มาใช้โจมตีองค์กรในญี่ปุ่น โดยพบตัวอย่างใหม่ 3 รูปแบบเมื่อเดือนพฤษภาคม 2569 ผู้โจมตีเข้าถึงระบบแล้วเคลื่อนตัวด้านข้างผ่าน SSH ก่อนปล่อยโหลดเดอร์ที่คลายมัลแวร์ ปลอมชื่อโปรเซสเป็น kworker แล้วลบไฟล์ทิ้งทันที จุดใหม่คือความสามารถติดต่อเซิร์ฟเวอร์ควบคุมผ่านพร็อกซีของเหยื่อเอง ทำให้ทราฟฟิกอันตรายกลืนกับการใช้งานปกติ

บริษัท AllSecure เปิดเผยแคมเปญ malvertising บน macOS ที่เชื่อมโยงกับเกาหลีเหนือ ซึ่งเป็นวิวัฒนาการใหม่ของ Contagious Interview โดยเหยื่อคลิกผลค้นหาแบบสปอนเซอร์แล้วเจอหน้าอัปเดต macOS ปลอมเต็มจอที่แอบคัดลอกคำสั่งลงคลิปบอร์ดแล้วหลอกให้วางใน Terminal ตามเทคนิค ClickFix เพย์โหลดคือแบ็กดอร์ Node.js ที่ดึงที่อยู่เซิร์ฟเวอร์ควบคุมจากสัญญาอัจฉริยะ Ethereum แบบ EtherHiding แล้วโหลดตัวขโมยข้อมูลที่เล็งกระเป๋าคริปโต 157 ยี่ห้อ พร้อมส่วนขยาย Chrome ปลอมชื่อ Google Drive Offline สำหรับดูดเงินในกระเป๋า

หน่วยงานรัฐเกาหลีใต้ 4 แห่งร่วมกับบริษัทความปลอดภัย 4 ราย เปิดเผยแคมเปญจารกรรมของกลุ่มรัฐหนุนหลังที่เจาะเว็บไซต์ในประเทศเป็นกับดัก watering hole ผู้โจมตีฉวยช่องโหว่ buffer overflow ในซอฟต์แวร์ลงลายมือชื่ออิเล็กทรอนิกส์ AnySign4PC ติดตั้งแบ็กดอร์ SIGNBT และ COPPERHEDGE โดยเหยื่อไม่ต้องคลิกหรือดาวน์โหลดอะไรเลย KISA ระบุเวอร์ชัน 1.1.4.4-1.1.4.6 มีช่องโหว่และแก้ใน 1.1.5.0 บริษัท AhnLab พบร่องรอยใน 72 องค์กรและพบหลักฐานทับซ้อนกับการโจมตีที่จบด้วยแรนซัมแวร์ Gunra

กลุ่มแฮ็กเกอร์อิหร่านที่รัฐหนุนหลังชื่อ Nimbus Manticore (UNC1549) ถูกโยงเข้ากับการโจมตีชุดใหม่ที่พุ่งเป้าองค์กรในตะวันออกกลาง แอฟริกา และเอเชียใต้ การบุกรุกใช้แบ็กดอร์ Windows ตัวใหม่ที่ไม่เคยถูกบันทึกมาก่อนชื่อ NightLedger และเครื่องมือทำอุโมงค์ผ่าน WebSocket แบบกำหนดเองอีก 2 ตัวคือ BridgeHead และ ArcBridge เพื่อคงการเข้าถึงแบบลับ NightLedger ถูกโหลดผ่าน DLL side-loading และรองรับคำสั่งสำรวจระบบ รันโปรเซส จับภาพหน้าจอ และส่งไฟล์ออก ตามรายงานของบริษัท Kaspersky

นักวิจัย IntrusionTruth เปิดเผยว่าบริษัทจีนที่แทบไม่มีตัวตนต่อสาธารณะชื่อ Guangdong Chanming น่าจะเป็นผู้สร้างเครือข่ายลับที่ใช้ปกปิดปฏิบัติการไซเบอร์ที่เชื่อมโยงกับกองทัพจีน หลักฐานจากสิทธิบัตร ลิขสิทธิ์ซอฟต์แวร์ และเอกสารจัดซื้อของกองทัพชี้ว่าบริษัทเป็นผู้จัดหาเทคโนโลยีเครือข่ายไม่ระบุตัวตนให้ลูกค้าภาครัฐจีน ผลิตภัณฑ์มีชื่ออย่าง Anti-traceability Network System และ Telegram Data Collection System นักวิจัยยังโยงซอฟต์แวร์ FCN ไปยังมัลแวร์ WHIPWEAVE และเครือข่าย RedRelay ที่เชื่อมโยงกลุ่ม APT15

นักวิจัย Zscaler ThreatLabz พบแคมเปญจารกรรมโจมตีหน่วยงานรัฐในตะวันออกกลาง ปล่อยมัลแวร์ใหม่ 3 ตัว คือ TELESHIM, MIXEDKEY และ BINDCLOAK โดย TELESHIM เป็นแบ็กดอร์ที่ใช้ Telegram API เป็นช่องทางสั่งการ (C2) เพื่ออำพรางให้กลืนกับทราฟฟิกปกติ ห่วงโซ่โจมตีเริ่มจากไฟล์ ISO และเทคนิค DLL side-loading พร้อมการอำพรางโค้ดหนัก ประเมินด้วยความมั่นใจปานกลางถึงสูงว่าผู้โจมตีมาจากเอเชียตะวันออก

นักวิจัย ReliaQuest เผยแฮ็กเกอร์เปลี่ยนการตั้งค่า DNS บนอุปกรณ์ Wi-Fi ในโรงแรมและศูนย์ประชุม เพื่อเปลี่ยนเส้นทางผู้ใช้ไปยังหน้าล็อกอิน Microsoft 365 ปลอม แคมเปญนี้ดำเนินมาตั้งแต่มิถุนายน 2569 มุ่งเป้าพนักงานที่เดินทาง กระทบหลายภาคส่วนทั้งการเงิน กฎหมาย สุขภาพ และพลังงาน ในสหรัฐฯ อินเดีย และซาอุดีอาระเบีย ใช้กลไก device-code เพื่อข้าม MFA โดยไม่ต้องขโมยรหัสผ่าน ReliaQuest เชื่อว่าคล้ายแคมเปญ FrostArmada ที่โยงกลุ่มจารกรรมรัสเซีย APT28