Apt29

ReversingLabs พบว่าเซิร์ฟเวอร์ staging ที่เชื่อมกับคลัสเตอร์สาย Midnight Blizzard ยังส่งไฟล์อันตรายได้ ณ วันที่ 5 ต.ค. 2569 ราว 8 สัปดาห์หลังถูกเปิดเผยต่อสาธารณะ นักวิจัยเริ่มจาก 2 แฮชที่ Anthropic เผยแพร่ แล้วไล่เจอ stager PowerShell เพิ่ม 5 build ไฟล์ Internet Shortcut ที่ไม่มีโค้ดจนแอนติไวรัสไม่ตรวจจับ และโดเมนฟิชชิงที่ยังเข้าถึงได้ ไฟล์ส่วนใหญ่มีผลตรวจจากผู้ขายภายนอกน้อยมาก ไมโครซอฟท์ยังรายงานกิจกรรมรอบใหม่ปลายเดือนกันยายนพร้อม CornFlake รุ่น Rust

บริษัท Anthropic เปิดเผยว่าได้สกัดปฏิบัติการของกลุ่มจารกรรมไซเบอร์ที่รัฐรัสเซียหนุนหลังซึ่งใช้ชื่อ GTG-20006 และเชื่อมโยงกับ Midnight Blizzard หรือ APT29 กลุ่มนี้ใช้ Claude สร้างเวิร์กโฟลว์ AI เพื่อรื้อสร้างและปล่อยมัลแวร์ขึ้นใหม่โดยอัตโนมัติทันทีที่ถูกผลิตภัณฑ์ความมั่นคงตรวจจับ เป้าหมายคือหน่วยงานรัฐบาล กลาโหม และการทูตในยูเครนและยุโรปกว่า 20 องค์กร ตลอดจนตะวันออกกลางและหน่วยงานรัฐด้านทางทะเลในเอเชีย

Google Threat Intelligence Group เผยกลุ่มจารกรรมที่ต้องสงสัยว่ามาจากรัสเซียสามคลัสเตอร์ คือ UNC6293, UNC7005 และ UNC5976 กำลังใช้กลไกยืนยันตัวตนที่ถูกต้องตามระบบเป็นเครื่องมือยึดบัญชีเป้าหมาย ทั้งรหัสผ่านเฉพาะแอป การฟิชชิง OAuth ผ่านโครงการคลาวด์ และการหลอกให้เหยื่อเชื่อมบัญชี WhatsApp เข้ากับอุปกรณ์ของผู้โจมตี เป้าหมายคือนักวิชาการ นักการทูต และองค์กรวิจัยในยุโรปและสหรัฐฯ

บริษัทไมโครซอฟท์เปิดเผยแคมเปญชื่อ CaptiveCrunch ที่ยึดเกตเวย์ Wi-Fi ของโรงแรมเพื่อดันหน้าอัปเดตเบราว์เซอร์ปลอมและปล่อย RAT ชื่อ CornFlake ซึ่งจับภาพจากเว็บแคม เสียงจากไมโครโฟน และแป้นพิมพ์ได้ ไมโครซอฟท์โยงกิจกรรมนี้เข้ากับ Storm-2945 ซึ่งประเมินว่าเป็นคลัสเตอร์ย่อยของ Midnight Blizzard หรือ APT29 พบการบิดเบือนทราฟฟิกตั้งแต่ต้นเดือนพฤษภาคมในเครือข่ายภาคบริการที่พักหลายประเทศ แต่ยังไม่มีตัวเลขว่าการเปลี่ยนเส้นทางกลายเป็นการยึดเครื่องสำเร็จกี่ราย