China

ESET เปิดเผยมัลแวร์ SprySOCKS เวอร์ชัน Windows สองรุ่นที่กลุ่ม Earth Lusca (FishMonger) จากจีนใช้โจมตีหน่วยงานรัฐใน 4 ประเทศ รวมถึงไทย ระหว่างปี 2023-2024 โดยรุ่น WIN_DRV มี kernel driver ซ่อนตัวระดับ rootkit

กลุ่มจารกรรมจีน UNC6508 โจมตีเซิร์ฟเวอร์ REDCap ของสถาบันวิจัยการแพทย์ในอเมริกาเหนือ ฝังมัลแวร์ InfiniteRed ที่ออกแบบมาเฉพาะสำหรับระบบ REDCap แฝงตัวอยู่นานกว่า 1 ปี ขโมย credential และใช้ฟีเจอร์ content compliance ส่งข้อมูลออกผ่านอีเมลอัตโนมัติ Google แจ้งเตือนหลายองค์กรในสหรัฐฯ และแคนาดาที่ได้รับผลกระทบ

FBI ร่วมกับ Google และ Black Lotus Labs ทลายเครือข่ายฟิชชิง Outsider Enterprise ที่ดำเนินการจากจีน ใช้ AI สร้างเว็บไซต์ปลอมกว่า 9,000 แห่ง และ URL หลอกลวงกว่า 1 ล้านรายการ ขโมยข้อมูลบัตรเครดิต 3.8 ล้านใบ สร้างความเสียหายประมาณ 1.9 พันล้านดอลลาร์ ปฏิบัติการนี้เป็นส่วนหนึ่งของ Operation Riptide

บริษัท Sygnia เปิดปฏิบัติการ Operation Highland พบกลุ่ม Velvet Ant ที่เชื่อมโยงจีนแก้ไขโมดูล PAM และ OpenSSH บนเซิร์ฟเวอร์ Linux เพื่อขโมย credential และเปิดช่องทางเข้าถึงลับตั้งแต่ปี 2016. ผู้โจมตีสร้าง backdoor ถึง 9 เวอร์ชัน ซ่อนในระบบล็อกอินที่ผู้ดูแลไม่เคยตรวจสอบ. ก่อนหน้านี้กลุ่มเดียวกันเคยฝังตัวในอุปกรณ์ F5 BIG-IP และ Cisco NX-OS. เทคนิคนี้ทำให้การรีเซ็ตรหัสผ่านไม่ช่วยอะไร เพราะตัวตรวจสอบ credential ถูกควบคุมโดยผู้โจมตี.

กระทรวงยุติธรรมสหรัฐฯ และ FBI ยึดโดเมน 13 รายการที่ปลอมเป็นบริษัทที่ปรึกษา ใช้หลอกจ้างอดีตและปัจจุบันเจ้าหน้าที่รัฐบาลสหรัฐฯ ที่มี security clearance ให้ทำงานวิจัยแลกเงิน แล้วค่อยๆ ชักนำให้เปิดเผยข้อมูลลับที่ไม่มีสิทธิ์เผยแพร่ ปฏิบัติการเริ่มตั้งแต่พฤศจิกายน 2566 ใช้ตัวตนปลอม รูป AI และคริปโทเคอร์เรนซีในการจ่ายเงิน

Google ยื่นฟ้องเครือข่ายอาชญากรไซเบอร์ในจีนที่อยู่เบื้องหลังชุดเครื่องมือ Phishing-as-a-Service ชื่อ Outsider ซึ่งสร้าง URL ฉ้อโกงกว่า 1.59 ล้านรายการและมีเหยื่อกว่า 100,000 ราย ผู้โจมตีใช้ Gemini AI ของ Google เองในการสร้างหน้าฟิชชิงที่น่าเชื่อถือ ให้บริการแบบสมัครสมาชิก 88 ดอลลาร์ต่อสัปดาห์ผ่าน Telegram พร้อมเทมเพลตสำเร็จรูปกว่า 290 แบบ

บอตเน็ต JDY ที่เชื่อมโยงกับรัฐบาลจีนขยายตัวจาก 650 เป็นกว่า 1,500 อุปกรณ์ของสำนักงานขนาดเล็กและสำนักงานที่บ้าน และ IoT ทำหน้าที่สแกนหาช่องโหว่ในอุปกรณ์ edge device อย่างเป็นระบบ แล้วส่งข้อมูลให้กลุ่ม APT ของจีนใช้โจมตีต่อ Lumen Black Lotus Labs พบว่าบอตเน็ตใช้ประโยชน์จากช่องโหว่ที่เพิ่งเปิดเผยภายในไม่กี่ชั่วโมง อุปกรณ์ที่ติดมัลแวร์กระจายอยู่ทั่วสหรัฐฯ และบราซิลเป็นหลัก

นักวิจัยจาก ReliaQuest ค้นพบกลุ่มภัยคุกคามใหม่ชื่อ OP-512 ที่เชื่อมโยงกับจีน โจมตีเซิร์ฟเวอร์ Microsoft IIS ด้วย web shell framework แบบสั่งทำพิเศษ 3 ตัว พร้อมใช้เทคนิค timestomping ปลอมแปลงเวลาไฟล์เพื่อหลบการตรวจจับ เป้าหมายเป็นองค์กรที่ตรงกับลำดับความสำคัญด้านข่าวกรองของจีน

กลุ่ม APT สายจีน VerdantBamboo หรือ WARP PANDA ใช้มัลแวร์ BRICKSTORM ที่เขียนด้วย Golang แฝงตัวในเครือข่ายองค์กรเป้าหมายนานกว่า 18 เดือนโดยไม่ถูกตรวจพบ บุกรุกผ่านเครื่อง Egnyte Storage Sync appliance และ MSP ก่อนฝาก backdoor บน pfSense และ Synology NAS นักวิจัย Volexity ยังพบมัลแวร์ใหม่ 2 ตัว คือ PLENET และ AGENTPSD องค์กรที่ใช้อุปกรณ์ edge และ NAS ที่ไม่สามารถติดตั้ง EDR ควรเร่งตรวจสอบด่วน

พันธมิตรข่าวกรอง Five Eyes (สหราชอาณาจักร สหรัฐฯ แคนาดา ออสเตรเลีย นิวซีแลนด์) รวมถึง MI5 และ FBI ออกรายงานร่วมเตือนว่าสายลับที่เชื่อมโยงรัฐจีนใช้เว็บหางานอย่าง LinkedIn, Indeed และ Upwork สร้างโปรไฟล์ปลอมเป็น HR หรือที่ปรึกษา โพสต์งานปลอมด้านกลาโหม/นโยบายต่างประเทศ เพื่อล่อเจ้าหน้าที่รัฐและทหารให้แชร์ข้อมูลลับ เป้าหมายหลักคือผู้มี security clearance โดยเฉพาะในอินโด-แปซิฟิก จ่ายค่าตอบแทนผ่าน PayPal, Wise และคริปโต MI5 ระบุเคยพยายามล่อคนอังกฤษกว่า 20,000 คน