Cisco-Talos

Cisco Talos เปิดเผยแคมเปญ spear-phishing ของกลุ่ม APT ที่ติดตามในชื่อ UAT-11985 เล็งบุคลากรที่เกี่ยวข้องกับสถาบันวิจัยในไต้หวันตั้งแต่กลางปี 2569 ด้วยคำเชิญงานสัมมนาปลอมที่สวมรอยสถาบันวิชาการและนโยบายจริง บางฉบับแก้ QR code ในโปสเตอร์งานจริง ลิงก์พาไปหน้า Google Forms ปลอมที่บังคับล็อกอินผ่านพร็อกซี AitM เพื่อขโมยรหัสผ่านและรหัส MFA แบบเรียลไทม์ Talos ประเมินว่าเนื้อหาอีเมลน่าจะสร้างด้วย AI จากเทมเพลตเดียวกัน

นักวิจัย Cisco Talos เปิดเผยมัลแวร์ Windows ชื่อ CLOSEDQUORUM ที่รับคำสั่งจากการโหวตของโมเดล AI สูงสุด 4 ตัวแทนเซิร์ฟเวอร์ C2 ของแฮ็กเกอร์. โมเดลจะเลือกจาก 4 การกระทำ steal, inject, persist, move แล้วมัลแวร์ทำตามเสียงข้างมาก. มันดูดรหัสผ่าน Windows, เบราว์เซอร์ และกระเป๋าคริปโต ส่งออกผ่าน Discord webhook. Talos ยังไม่พบว่าทำงานครบวงจร และเวอร์ชันสาธารณะใช้งานไม่ได้. นับเป็น implant ตัวแรกที่มอบการตัดสินใจ C2 ให้ AI.

Cisco Talos เปิดเผยมัลแวร์ msaRAT ที่กลุ่มแรนซัมแวร์ Chaos ใช้ควบคุมเครื่องเหยื่อ โดยไม่เปิดการเชื่อมต่อออกเน็ตด้วยตัวเอง แต่สั่งเบราว์เซอร์ Chrome หรือ Edge ให้ทำงานแบบ headless ผ่าน Chrome DevTools Protocol แล้วส่งข้อมูล C2 ออกทางช่อง WebRTC ที่รีเลย์ผ่านบริการ TURN ของ Twilio ทำให้ผู้ป้องกันเห็นแค่เบราว์เซอร์คุยกับ Cloudflare และ Twilio ที่อยู่เซิร์ฟเวอร์ของผู้โจมตีไม่โผล่ให้เห็นเลย เป็น implant เขียนด้วยภาษา Rust ที่ทำงานหลังยึดเครื่องได้แล้วและก่อนปล่อยตัวเข้ารหัส

นักวิจัยจาก Cisco Talos เปิดเผยว่ากลุ่มแฮ็กเกอร์จีน UAT-7810 กำลังพัฒนามัลแวร์อย่างต่อเนื่องเพื่อขยายเครือข่าย ORB (Operational Relay Box) โดยเจาะอุปกรณ์เครือข่ายที่เชื่อมต่ออินเทอร์เน็ต โดยเฉพาะเราเตอร์ Ruckus และ ASUS AiCloud ที่ไม่ได้แพตช์ ผ่านช่องโหว่ n-day หลายตัว เครือข่าย ORB นี้ทำหน้าที่เป็นโครงสร้างพร็อกซีให้กลุ่ม APT จีนอื่นๆ ส่งทราฟฟิกผ่านอุปกรณ์ในภูมิภาคเพื่อปลอมแหล่งที่มาและหลบการระบุตัวตน นักวิจัยพบมัลแวร์ใหม่ LONGLEASH, DOGLEASH, JARLEASH และ LEASHTEST