Central-Asia

Kaspersky รายงานเมื่อ 22 ตุลาคม 2569 ว่าพบ UEFI bootkit ใหม่ชื่อ BlackX ในการจารกรรมหน่วยงานการทูตของทาจิกิสถาน อุซเบกิสถาน และเติร์กเมนิสถาน มัลแวร์ใช้ช่องโหว่ Baton Drop (CVE-2022-21894) ทะลุ Secure Boot และมีโครงสร้างร่วมกับ BlackLotus เครื่องเหยื่อติดตั้งอัปเดต Windows แล้ว แต่ยังไม่ได้เพิกถอนใบรับรอง Windows Production PCA 2011 ไดรเวอร์ของมันปิดการมองเห็นของเครื่องมือความปลอดภัยและติดตั้ง RAT ที่ใช้คลาวด์เป็น C2 Kaspersky โยงกับ APT41 ด้วยความเชื่อมั่นปานกลาง

Cisco Talos และ Recorded Future รายงานว่ากลุ่ม Silent Lynx ซึ่งเชื่อมโยงกับคาซัคสถาน โจมตีหน่วยงานรัฐในภูมิภาค CIS ต่อเนื่องตั้งแต่มิถุนายน 2568 ถึงสิงหาคม 2569 เหยื่อและเหยื่อล่อครอบคลุม 9 ประเทศ ทั้งเอเชียกลาง อาร์เมเนีย อาเซอร์ไบจาน รัสเซีย และเบลารุส ผู้โจมตีส่งอีเมลฟิชชิงจากบัญชีรัฐที่ถูกยึด พร้อมใช้ 4 เส้นทางติดเชื้อ ตั้งแต่ไฟล์ Word มีมาโครจนถึงไฟล์ RAR ที่เจาะช่องโหว่ WinRAR CVE-2025-8088 ปลายทางคือ reverse shell อย่าง PickleShell และ FoalShell ที่ให้ผู้โจมตีควบคุมเครื่องจากระยะไกล

บริษัท Hunt.io และนักวิจัย Guy Yasur ติดตามคลัสเตอร์เซิร์ฟเวอร์ C2 ของ SpiceRAT ที่มีมาก่อนและต่อยอดจากรายงาน SilkParasite ของ Bitdefender เมื่อสิงหาคม 2569 โดยเน้นวิเคราะห์ฝั่งโครงสร้างพื้นฐานแทนตัวมัลแวร์ จนเชื่อม 3 ใน 7 ตระกูล RAT ของ SilkParasite เข้าด้วยกันผ่านใบรับรอง โดเมน และรูปแบบโฮสติงร่วมกัน จุดเด่นคือใบรับรองปลอมเป็นการรถไฟรัฐอุซเบกิสถานที่ออกโดย CA ซึ่งได้ทุนจากสถาบันวิจัยรัฐจีน และโดเมนจำนวนมากปลอมเป็นกระทรวงและรัฐวิสาหกิจในเอเชียกลาง ปฏิบัติการนี้สืบย้อนได้ถึงกลางปี 2565

บริษัท Bitdefender เปิดเผยปฏิบัติการจารกรรมไซเบอร์ชื่อ SilkParasite ที่เล็งหน่วยงานรัฐในเอเชียกลาง โดยใช้ RAT ถึง 7 ตระกูล ซึ่ง 5 ตัวไม่เคยถูกบันทึกมาก่อน ได้แก่ DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT และ NodeEdgeRAT ประเมินด้วยความมั่นใจระดับปานกลางว่าเป็นกลุ่มที่เชื่อมโยงกับจีน จากการใช้แบ็กดอร์ BLOODALCHEMY ซึ่งสืบสายมาจาก ShadowPad และ PlugX จุดที่นักวิจัยเน้นคือร่องรอยการใช้ AI ช่วยพัฒนาที่แทรกอยู่ในโค้ดซึ่งโดยรวมยังเป็นฝีมือทีมมนุษย์มืออาชีพ