Apt

บริษัท Rapid7 พบแบ็กดอร์ลินุกซ์ที่เจาะอุปกรณ์โทรคมนาคมและเครือข่ายในเกาหลีใต้และไต้หวัน โดยปลอมตัวเป็นซอฟต์แวร์ความปลอดภัยอีเมลที่ใช้แพร่หลายในสองประเทศ BPFDoor รุ่นใหม่และ Rekoobe ที่เล็งเกาหลีใต้ปลอมชื่อไฟล์และโปรเซสของ SpamSniper ส่วนไต้หวันพบ AVERAT มัลแวร์ตัวใหม่ซ่อนในไดเรกทอรีของ ShareTech และสั่งงานผ่าน SMTP พอร์ต 25 BPFDoor รุ่นใหม่ห่อ magic packet ใน HTTPS POST เพื่อหลบการตรวจแบบ DPI Rapid7 แนะนำให้ตรวจ BPF filter ที่ไม่จำเป็นและการเชื่อมต่อพอร์ต 25 จากโปรเซสที่ไม่ใช่บริการอีเมล

ศาลมอนเตเนโกรอนุมัติส่งตัวนาย Amir Barati ชาวอิหร่าน-ตุรกีวัย 40 ปีให้สหรัฐฯ หลังถูกจับขณะพักร้อนที่เมือง Kotor เมื่อ 25 มิถุนายน ตามหมายของ FBI เขาเป็นหนึ่งใน 17 จำเลยของคดีที่กระทรวงยุติธรรมสหรัฐฯ ฟ้องเมื่อสิงหาคม ฐานร่วมปฏิบัติการผ่าน Mabna Institute ในนาม IRGC อัยการกล่าวหาว่าเขาติดตามแคมเปญสเปียร์ฟิชชิง แจกจ่ายรหัสผ่านที่ขโมยมา และเขียนอีเมลฟิชชิงเอง แคมเปญนี้เจาะบัญชีอาจารย์ราว 8,000 บัญชี ดูดข้อมูลอย่างน้อย 31 TB สร้างความเสียหายประมาณ 3.4 พันล้านดอลลาร์

บริษัท Proofpoint รายงานว่ากลุ่ม TA419 ที่มีแนวร่วมกับจีน ส่งฟิชชิงขโมยรหัสผ่านใส่ผู้เชี่ยวชาญนโยบาย AI ในสถาบันคลังสมองของสหรัฐฯ ผู้โจมตีปลอมเป็นนักเศรษฐศาสตร์ อดีตเจ้าหน้าที่ทำเนียบขาว และพนักงาน Anthropic เพื่อสร้างความไว้ใจก่อน เมื่อเหยื่อตอบกลับจึงส่งลิงก์ไปหน้าล็อกอิน OneDrive แบบ AitM ในหน้าต่างเบราว์เซอร์ปลอม เครื่องมือที่ดัดแปลงจาก Frameless BitB ส่งต่อการล็อกอินไป Microsoft จริง เหยื่อจึงไม่รู้ว่าคุกกี้เซสชันถูกขโมย Proofpoint แนะนำให้ใช้ passkey และยืนยันตัวตนผู้ติดต่อก่อนตอบ

Bitget ยืนยันว่าการโจรกรรมคริปโท 387.5 ล้านดอลลาร์เกิดจากผู้โจมตีใช้ช่องโหว่ zero-day ในผลิตภัณฑ์ความปลอดภัยของบุคคลที่สามเพื่อขโมยข้อมูลรับรองระดับสูงภายใน SlowMist พบร่องรอยการเจาะระบบย้อนไปถึง 31 สิงหาคม 2569 ราวสามสัปดาห์ก่อนเงินถูกโอนออก Mandiant พบว่าผู้โจมตีวาง web shell บนอุปกรณ์ความปลอดภัยแล้วเคลื่อนที่เข้าเซิร์ฟเวอร์จัดการกระเป๋าเงิน เครื่องมือที่ใช้ขโมยถูกเขียนมาเฉพาะสำหรับตรรกะการถอนเงินของ Bitget เหตุนี้กระทบ 11 บล็อกเชนและถูกโยงกับกลุ่มเกาหลีเหนือ

Microsoft เปิดเผยว่ากลุ่มรัฐรัสเซีย Star Blizzard ใช้คำเชิญร่วมงานปลอมหลอกติดตั้งแบ็กดอร์ CosmicPulse บน Windows โจมตีองค์กรที่เกี่ยวข้องกับยูเครนกว่า 100 แห่งตั้งแต่มกราคม ส่วนใหญ่ในสหรัฐฯ และอังกฤษ กลุ่มนี้เปลี่ยนจาก ClickFix มาใช้เทคนิคใหม่ RedFlick ที่อาศัย scheduled task โดยเริ่มจากไฟล์ LNK ปลอมเป็น PDF แล้วชุด MSI สร้าง scheduled task 3 ตัวปลอมเป็นส่วนประกอบเครือข่าย บางแคมเปญเปลี่ยนไปส่งชุดเจาะ iPhone ชื่อ DarkSword แทน

ตลาดคริปโทเคอร์เรนซี Bitget เผยถูกแฮ็กเกอร์ที่สงสัยว่าเป็นกลุ่มเกาหลีเหนือขโมยสินทรัพย์ราว 351.6 ล้านดอลลาร์จากกระเป๋าร้อนและอุ่น หลังผู้โจมตีเจาะระบบ backend สำคัญในโครงสร้างกระเป๋าเงินเพื่อปลอมข้อมูลธุรกรรมและสั่งโอนออก การวิเคราะห์ on-chain โดย Elliptic และ TRM Labs ชี้ว่าเชื่อมโยงกับกลุ่ม TraderTraitor และโครงสร้างการฟอกเงินเดียวกับการโจมตี Bybit ปี 2025 ยอดที่โอนออกจริงสูงถึงราว 390 ล้านดอลลาร์ Bitget แก้ช่องโหว่แล้วและจะทยอยเปิดถอนเงินตั้งแต่ 28 กันยายน

SOCRadar เปิดโปงแคมเปญ Operation Conflict Compass ที่ใช้ไฟล์ทางลัดวินโดวส์ปลอมเป็น PDF เพื่อติดตั้งตัวดาวน์โหลดมัลแวร์ชื่อ VelvetCake เล่นงานคนและองค์กรที่ทำงานเกี่ยวกับยูเครน นักวิจัยเชื่อมโยงกับ Konni กลุ่มจารกรรมที่โยงเกาหลีเหนือด้วยความมั่นใจปานกลาง เหยื่อเป้าหมายคือสายการทูต งานวิจัยนโยบายและ NGO มัลแวร์เก็บข้อมูลระบบ จับภาพหน้าจอและส่งไฟล์ออกได้ แต่รายงานยังไม่ยืนยันจำนวนเหยื่อ

นักวิจัยเปิดเผยมัลแวร์ที่เขียนด้วยภาษา Go ซึ่งถูกแจกจ่ายผ่าน Go Modules และ Terraform providers นับเป็นครั้งแรกที่ผู้ก่อภัยใช้ registry กลางของ HashiCorp เป็นช่องทางแพร่มัลแวร์ กิจกรรมนี้ทับซ้อนกับแคมเปญ Graphalgo ที่เชื่อมโยงกับเกาหลีเหนือ ซึ่งหลอกนักพัฒนาผ่านการสัมภาษณ์งานปลอม มัลแวร์ใช้ C2 สองช่องทางทั้งบล็อกเชนและ Slack เพื่อรับคำสั่งอย่างลับ ผู้เชี่ยวชาญเตือนว่า Terraform registry อาจกลายเป็นช่องทางแพร่มัลแวร์ช่องทางใหม่

กลุ่มภัยคุกคามจีน UTA0565 ถูกพบใช้ชุดโจมตี zero-day ที่ร้อยช่องโหว่ Chrome สองตัวและ Windows หนึ่งตัวเข้าด้วยกัน ผ่านเว็บไซต์ปลอมที่เลียนแบบสำนักข่าวและองค์กร NGO บริษัท Volexity ตรวจพบการโจมตีเมื่อ 3–4 กันยายน มุ่งเป้าหน่วยงานรัฐในเอเชียด้วยอีเมลฟิชชิงเรื่องนักกิจกรรมฮ่องกง เพย์โหลดสุดท้ายคือมัลแวร์ตระกูล CLEANGULP ที่รองรับการรันคำสั่ง อัปโหลด/ดาวน์โหลดไฟล์ และรัน BOF การใช้ชุดเดียวกันข้ามหลายกลุ่มชี้ถึงความร่วมมือในแวดวงจารกรรมไซเบอร์จีน

กลุ่ม APT ชื่อ SideCopy จากปากีสถานถูกพบขยายเป้าหมายจากหน่วยงานรัฐและกลาโหมอินเดียไปสู่สถาบันการศึกษา ผ่านอีเมลสเปียร์ฟิชชิงที่แนบไฟล์ ZIP ซึ่งมี LNK ปลอมเป็น PDF บริษัท Trellix เผยห่วงโซ่การโจมตีอาศัย mshta.exe ดึงไฟล์ HTA จากเซิร์ฟเวอร์ระยะไกลมารันและโหลด DLL แบบ reflective ปลายทางคือ ReverseRAT ที่ขโมยข้อมูล จับภาพหน้าจอ รันคำสั่ง และฝังตัวได้ ทราฟฟิก C2 เข้ารหัสด้วยคีย์ฝังตายและส่งข้อมูลออกผ่านพอร์ต 5863