China

ทางการสหรัฐฯ จับกุมนาย Greg Lui เจ้าของบริษัท Earthmade Computer ในแคลิฟอร์เนีย ฐานต้องสงสัยลักลอบส่งเซิร์ฟเวอร์ GPU ที่ถูกควบคุมการส่งออกมูลค่ากว่า 300 ล้านดอลลาร์ให้จีน โดยปลอมเอกสารลูกค้าและส่งผ่านมาเลเซียและสิงคโปร์ก่อนส่งต่อเข้าจีน ถูกตั้ง 3 ข้อหาทั้งละเมิดกฎหมายควบคุมการส่งออก ลักลอบส่งออก และสมคบฟอกเงิน อัยการระบุว่า Earthmade รับเงินกว่า 176 ล้านดอลลาร์จากบริษัทขนส่งมาเลเซีย 2 แห่ง

บริษัท Symantec เปิดเผยว่ากลุ่มแรนซัมแวร์สัญชาติจีน Warlock (Longlegs/Storm-2603) หันมาโจมตีองค์กรในประเทศที่ใช้ภาษาสเปนและโปรตุเกส โดยสองเดือนที่ผ่านมาเจาะเหยื่ออย่างน้อย 4 รายทั้งการประปา โทรคมนาคม หน่วยงานรัฐส่วนภูมิภาค และมหาวิทยาลัย กลุ่มนี้ใช้ช่องโหว่ SharePoint ชุด ToolShell เป็นทางเข้า แล้วปลูก webshell ขโมย machine key ปลอม __VIEWSTATE และใช้ไดรเวอร์ที่มีช่องโหว่ปิดระบบความปลอดภัย ก่อนวางเพย์โหลดบน SYSVOL ให้ Active Directory จำลองกระจายไปทุกโดเมนคอนโทรลเลอร์เอง

บริษัท Microsoft เผยการวิเคราะห์มัลแวร์ตระกูล NeedyMantis ที่ผู้โจมตีใช้คงการเข้าถึงเครือข่ายที่เจาะได้แล้วในระยะยาว พบในการบุกรุกแบบเจาะจงจำนวนน้อยที่โทรคมนาคม มหาวิทยาลัย องค์กรการแพทย์ องค์กรระหว่างรัฐบาล และผู้รับเหมาภาครัฐ ย้อนไปอย่างน้อยตุลาคม 2025 มัลแวร์มาเป็นชุดสามส่วนและอาศัย DLL sideloading ผ่านโปรแกรมถูกกฎหมายอย่าง Poedit, curl, Vim และ TightVNC บริษัท Microsoft ติดตามกลุ่มหนึ่งที่ใช้มันในชื่อ Storm-3069 ซึ่งประเมินว่ามาจากจีน และเชื่อมโยงกับการโจมตีซัพพลายเชนของ DAEMON Tools

บริษัท Cleafy เปิดโปงคอนโซลควบคุมเบื้องหลังมัลแวร์ธนาคารบนแอนดรอยด์ RatHat ที่ทำงานแบบ malware-as-a-service พบใช้งานเกือบ 100 ชุดตั้งแต่เมษายน 2026 คอนโซลรุ่นล่าสุดสั่ง Gemini ประเมินยอดเงินในบัญชีของเหยื่อจากข้อความ แล้วจัดกลุ่มเป็นเหยื่อมูลค่าสูงและปานกลางเพื่อเลือกเป้าที่คุ้มค่า คอนโซลยังเป็นเครื่องมือ build ที่สร้างและเซ็นแอปมุ่งร้าย เผยแพร่ขึ้น Amazon S3 อัตโนมัติ และ rebuild ใหม่ตามเวลาเพื่อหลบการตรวจด้วย hash ต่อยอดจากรายงานของ Zimperium ที่เปิดโปงฝั่งมัลแวร์ในเครื่องก่อนหน้านี้

บริษัท Team Cymru เผยพบเครือข่ายเซิร์ฟเวอร์รีเลย์กว่า 80,000 เครื่องที่ช่วยผู้ใช้ในจีนอำพรางตัวตนเพื่อเข้าถึงโมเดลภาษาขนาดใหญ่ชั้นนำของสหรัฐ ทั้ง Anthropic, OpenAI, Google และ xAI รีเลย์ทำหน้าที่รวม credential หลายบัญชีและส่งต่อคำขอ ทำให้เลี่ยงการจำกัดพื้นที่ การนับโควตา และการตรวจจับการใช้งานผิด ทราฟฟิกที่ส่งไป Anthropic มีอัตราอัปโหลดต่อดาวน์โหลด 58:1 ซึ่งอาจสอดคล้องกับความพยายามกลั่นความรู้โมเดล (distillation) เพื่อโคลนโมเดลราคาถูกกว่า

Zimperium เปิดโปงมัลแวร์แอนดรอยด์ตัวใหม่ชื่อ RatHat ที่ประเมินว่าดำเนินการโดยกลุ่มภัยคุกคามในจีน แพร่ผ่าน smishing และ malvertising สู่พอร์ทัลดาวน์โหลดปลอม จุดเด่นคือจับคู่ ADB ในเครื่องเองเพื่อหลุดออกจาก sandbox และรันดีมอนด้วยสิทธิ์ระดับ shell แม้เหยื่อถอนการติดตั้งแอปแล้ว ผู้โจมตียังคงสิทธิ์ shell และติดตั้งกลับได้ ที่แปลกกว่านั้นคือมันส่งผัง Accessibility ไปให้ผู้ช่วย GenAI ยอดนิยมช่วยหาพิกัดและข้อความบนจอเพื่อสั่งแตะและเลื่อนหน้าจอโดยอัตโนมัติ

บริษัท Hunt.io และนักวิจัย Guy Yasur ติดตามคลัสเตอร์เซิร์ฟเวอร์ C2 ของ SpiceRAT ที่มีมาก่อนและต่อยอดจากรายงาน SilkParasite ของ Bitdefender เมื่อสิงหาคม 2569 โดยเน้นวิเคราะห์ฝั่งโครงสร้างพื้นฐานแทนตัวมัลแวร์ จนเชื่อม 3 ใน 7 ตระกูล RAT ของ SilkParasite เข้าด้วยกันผ่านใบรับรอง โดเมน และรูปแบบโฮสติงร่วมกัน จุดเด่นคือใบรับรองปลอมเป็นการรถไฟรัฐอุซเบกิสถานที่ออกโดย CA ซึ่งได้ทุนจากสถาบันวิจัยรัฐจีน และโดเมนจำนวนมากปลอมเป็นกระทรวงและรัฐวิสาหกิจในเอเชียกลาง ปฏิบัติการนี้สืบย้อนได้ถึงกลางปี 2565

ESET พบกลุ่มจารกรรมโยงจีน FamousSparrow ใช้แบ็กดอร์ตัวใหม่ชื่อ SparroWocky โจมตีหลายประเทศในลาตินอเมริกาตั้งแต่สิงหาคม 2568 แบ็กดอร์เขียนด้วย C++ แบบโมดูลาร์ แทนที่ SparrowDoor เดิม รันไฟล์ ทำ TCP proxy จับภาพหน้าจอ และดูดไฟล์ได้ มีลูกเล่นต้านการวิเคราะห์ระดับสูงและผสานโค้ดโอเพนซอร์สอย่าง Mbed TLS, MinHook และ COFF Loader เข้ากับตัวมัลแวร์ 90% ของเป้าหมายอยู่ในลาตินอเมริกา ทั้งหน่วยงานรัฐในอาร์เจนตินา เอกวาดอร์ ปานามา เปรู และเวเนซุเอลา

บริษัท Lumen Black Lotus Labs เปิดเผยมัลแวร์ตระกูลใหม่ชื่อ BambooToken ที่ใช้โปรโตคอล MQTT เป็นช่องทางสั่งการควบคุมเครื่อง Windows และ Linux เคลื่อนไหวมาตั้งแต่กุมภาพันธ์ 2566 เล็งเป้าองค์กรทั่วเอเชียและอเมริกาใต้ อาศัยการ sideload DLL ผ่านซอฟต์แวร์โทเคน Tendyron OnKey และต้องสงสัยว่าเชื่อมโยงกับจีน พบเหยื่อในเวียดนาม มาเลเซีย สิงคโปร์ และกัมพูชา

บริษัท Proofpoint รายงานว่ากลุ่มจารกรรมหลายกลุ่มใช้ชุดเครื่องมือเจาะใหม่ชื่อ BlueMoon ที่ร้อยช่องโหว่ zero-day สามรายการเข้าด้วยกัน คือ V8 ของ Chrome สองตัวและ ALPC ของ Windows หนึ่งตัว กลุ่ม Violet Typhoon (APT31) ที่โยงจีนใช้เป็นรายแรกเมื่อ 28 สิงหาคม ก่อนหลายกลุ่มจีนจะรับไปใช้ต่อภายในไม่กี่วัน โจมตีเป้าหมายในสหรัฐ เวียดนาม อินโดนีเซีย และสิงคโปร์ นักวิจัยเชื่อว่าผู้สร้างอาจใช้ AI ช่วยพัฒนา