Cloud-Abuse

ESET รายงานว่ากลุ่ม APT รัสเซีย Gamaredon ยังคงพัฒนาคลังมัลแวร์อย่างต่อเนื่องตลอดปี 2025 พบ 35 แคมเปญ spear-phishing มุ่งเป้าหน่วยงานรัฐและทหารยูเครนโดยเฉพาะ ใช้ HTML smuggling ปล่อย HTA downloader และอาวุธช่องโหว่ WinRAR (CVE-2025-8088) ฝังตัวใน Startup folder กลุ่มเพิ่มเครื่องมือ PowerShell ใหม่ 6 ตัว (PteroDee, PteroCache, PteroDum, PteroOdd, PteroEffigy, PteroPaste) และพึ่งพาบริการคลาวด์กับ tunnel/serverless worker มากขึ้นเพื่อซ่อนโครงสร้างพื้นฐานเบื้องหลัง

Acronis Threat Research Unit พบกลุ่มจารกรรม Mustang Panda ที่จีนหนุนหลัง รันสองแคมเปญโจมตีหน่วยงานรัฐและเป้าหมายด้านพลังงานน้ำของอินเดีย ใช้มัลแวร์ใหม่และเปลี่ยน Zoho WorkDrive บริการคลาวด์ที่ถูกต้องให้เป็นช่องทางสั่งการ ทำให้ทราฟฟิกดูเหมือนกิจกรรมคลาวด์ปกติ Acronis ตั้งชื่อเครื่องมือใหม่ 3 ตัวคือ SHARDLOADER, MINIRECON และ ZOHOMURK ทั้งสองแคมเปญมาในรูป ZIP ส่งผ่าน spear-phishing ทำงานช่วง 12-22 มิ.ย. 2026 เป้าหมายคือข่าวกรองด้านพลังงานน้ำและความสัมพันธ์กลาโหมอินเดีย-ไต้หวัน

การสืบสวนของ ANY.RUN เผยว่าอาชญากรไซเบอร์ใช้โครงสร้างคลาวด์ที่เชื่อถือได้อย่าง AWS, Google Cloud, Azure, Cloudflare และ GitHub มากขึ้นเพื่อพรางทราฟฟิกอันตราย หลบการตรวจจับ และคง C2 ให้อยู่รอดนาน การค้นด้วย JA3S fingerprint ของ Cobalt Strike พบเหตุการณ์กว่า 1,000 รายการ ส่วนใหญ่วิ่งผ่านพอร์ต 443 ฝัง C2 บนแพลตฟอร์มชื่อดัง ทำให้การบล็อกตาม reputation ใช้ไม่ได้ผล พร้อมพบแคมเปญฟิชชิงและ BEC ที่โฮสต์เอกสารปลอมบน Amazon S3 และโดเมน .top อันตรายจำนวนมาก