Cobalt-Strike

รายงาน APT Activity Report ไตรมาส 2-3 ปี 2569 ของ ESET ระบุว่า FrostyNeighbor กลุ่มที่สอดคล้องกับรัฐเบลารุส ก่อการโจมตีทำลายล้างครั้งแรกที่ ESET บันทึกได้ในยุโรปจากกลุ่มสายเบลารุส เป้าหมาย คือ ผู้ผลิตยูเครนที่สำคัญต่อภาคขนส่ง โดยปล่อย VBScript wiper ผ่าน Group Policy ร่วมกับ Cobalt Strike ESET มองว่าเบลารุสทำหน้าที่ตัวแทนหรือตัวเสริมกำลังให้รัสเซีย แต่ Recorded Future ยังไม่เห็นหลักฐานการบัญชาการร่วม หน่วยงานภาครัฐ ขนส่ง และกลาโหมที่สนับสนุนยูเครนควรเฝ้าระวังกลุ่มนี้แยกจากกลุ่มรัสเซีย

Sophos รายงานว่า GOLD OGRE กลุ่มเบื้องหลังแรนซัมแวร์ Aur0ra ใช้เอเจนต์ AI ใน Cursor ทำงานเจาะเครือข่ายส่วนใหญ่ จนได้สิทธิ์ Domain Admin ผู้โจมตีหลบกฎความปลอดภัยของโมเดลด้วยการอ้างว่าเป็นงาน red team และใช้ Composer ของ Cursor ร่วมกับโมเดลของ Anthropic, xAI และ Moonshot ในบางเครือข่ายเอเจนต์ไปถึงสิทธิ์จัดการโดเมน และเหยื่อ 3 รายโผล่บนเว็บประจาน ร่องรอยแป้นพิมพ์ชี้ว่าผู้ปฏิบัติการพูดรัสเซีย องค์กรควรเร่งตอบสนองแจ้งเตือน EDR แบ่งโซนเซิร์ฟเวอร์สำคัญ และแยกแบ็กอัป

ReliaQuest รายงานว่ากลุ่มแรนซัมแวร์หลายกลุ่ม รวมถึง Qilin และ Settra ใช้ช่องโหว่ CVE-2026-0257 (CVSS 7.8) ใน PAN-OS GlobalProtect และ Prisma Access ตั้งเซสชัน VPN โดยไม่ต้องมีรหัสผ่าน หลังเข้าเครือข่ายพบการใช้ Cobalt Strike, BloodHound และ SharpHound ช่องโหว่กระทบเฉพาะระบบที่เปิด authentication override cookie ร่วมกับใบรับรองบางแบบ Palo Alto แนะนำให้อัปเดตและสร้างใบรับรองใหม่สำหรับ cookie โดยเฉพาะ ReliaQuest เตือนว่าแพตช์อย่างเดียวไม่ตัดสิทธิ์ที่ได้ไปก่อน ต้องยุติเซสชันทั้งหมดและสืบสวนต่อ

บริษัท SOCRadar พบ CyberXero นายหน้าขายสิทธิ์เข้าถึงที่พูดภาษารัสเซีย ใช้ AI สองชั้นในการเจาะระบบ ได้แก่ เอเจนต์ Claude Code สูงสุด 51 ตัว และ PentAGI ที่ต่อกับ Cobalt Strike หลักฐานมาจาก open directory ที่เปิดทิ้งไว้กว่า 90,000 ไฟล์ แคมเปญอัตโนมัติฝังเชลล์ WordPress ได้ 32 เว็บใน 61 วินาที อีกสายหนึ่งสำรวจองค์กรพลังงานยูเครน 7 แห่ง และดูดข้อมูลผู้ใช้บริการความร้อนในคาร์คิฟกว่า 564,000 ราย ยังไม่พบหลักฐานตรงว่ามีการขายสิทธิ์เข้าถึง

ทีม Symantec Threat Hunter เปิดเผยว่าผู้โจมตีหลายกลุ่มหันมาใช้ Node.js ซึ่งเป็นเครื่องมือนักพัฒนาที่มีลายมือชื่อถูกต้อง เป็นช่องทางรันโค้ดอันตรายในการโจมตีหน่วยงานรัฐ บริษัทเทคโนโลยี และโรงแรมตั้งแต่เดือนกุมภาพันธ์ 2569 เสน่ห์ของเทคนิคนี้คือโค้ดอันตรายอยู่ในสคริปต์ที่ถูกตีความ ไม่ใช่ในไฟล์ไบนารี จึงเลี่ยงการตรวจจับด้วยลายเซ็นได้ กรณีหนึ่งผู้โจมตีโหลดตัวติดตั้ง Node.js จากเว็บทางการมาใช้ แล้วดึงคำสั่งผ่าน EtherHiding บนบล็อกเชน

CISA เพิ่มช่องโหว่ 3 รายการเข้าแคตตาล็อก Known Exploited Vulnerabilities เมื่อวันที่ 5 สิงหาคม 2569 ได้แก่ CVE-2026-9198 รันโค้ดระยะไกลใน Langflow, CVE-2026-34486 ที่ข้าม EncryptInterceptor ของ Apache Tomcat และ CVE-2026-18556 ข้ามการยืนยันตัวตนใน N-able N-central โดยหน่วยงานรัฐบาลกลางสหรัฐต้องแพตช์ภายในวันที่ 7 สิงหาคม ช่องโหว่ Tomcat ถูกใช้ทั้งในแคมเปญที่สั่งการด้วย AI และในปฏิบัติการปล่อยมัลแวร์ SNOWLIGHT ที่กระทบกว่า 100 ประเทศ

งานวิจัยใหม่จาก SentinelOne เผยว่ากลุ่มจารกรรมไซเบอร์ที่เชื่อมโยงกับทั้งจีนและอินเดียเจาะเครือข่ายตำรวจปากีสถานเงียบ ๆ นานกว่า 2 ปี ตั้งแต่กุมภาพันธ์ 2567 ถึงเมษายน 2569 โดยตำรวจบาลูจิสถานรับกระแสโจมตีหนักสุดจากทั้งสองฝ่าย ผู้โจมตีเข้าถึงเซิร์ฟเวอร์ฐานข้อมูลไบโอเมตริก แฟ้มคดี และประวัติบุคลากร นักวิจัยจัดกลุ่มการบุกรุกเป็น 4 คลัสเตอร์ตามมัลแวร์ PlugX, ShadowPad, Cobalt Strike และ Remcos และยังพบไฟล์อันตรายปลอมเป็นอัปเดตฝังบนระบบร้องเรียนสาธารณะของตำรวจ

นักวิจัยจาก PolySwarm เปิดโปงมัลแวร์ loader ตัวใหม่ชื่อ SharkLoader ที่ซ่อนในตัวติดตั้งปลอมของ Cisco AnyConnect และ Google Update เพื่อส่ง Cobalt Strike Beacon กลุ่ม StrikeShark ใช้ทั้งเจาะช่องโหว่ Exchange, SharePoint, Fortinet, Cisco IOS XE และ dropper ปลอม อาศัย DLL side loading ผ่าน SystemSettings.exe รันในหน่วยความจำเพื่อหลบการตรวจจับ พบเหยื่อในหน่วยงานรัฐและคณะทูตหลายประเทศรวมถึงในเอเชีย

Kaspersky เปิดเผยมัลแวร์ใหม่ SharkLoader ที่ทำหน้าที่เป็น loader ปล่อย Cobalt Strike Beacon ลงเครื่องเหยื่อ ภายใต้ปฏิบัติการชื่อ StrikeShark เชื่อว่าเป็นฝีมือผู้โจมตีพูดภาษาจีน เป้าหมายครอบคลุมหน่วยงานทูตในอินโดนีเซีย หน่วยงานรัฐไต้หวัน และบริษัทพัฒนาซอฟต์แวร์หลายประเทศ ใช้ช่องโหว่สาธารณะหลายรายการเจาะระบบ เช่น ProxyLogon, Openfire, GeoServer แล้วใช้เทคนิค Perfect DLL Hijacking โหลด Cobalt Strike เข้าหน่วยความจำเพื่อหลบการตรวจจับ

บริษัท Sophos เปิดเผยว่าผู้โจมตีใช้เครื่องมือที่ AI ช่วยสร้าง อัตโนมัติการค้นหา Active Directory และทดสอบเทคนิคหลบ EDR สะท้อนการเติบโตของเฟรมเวิร์ก post-exploitation ที่ขับเคลื่อนด้วย AI ชุดเครื่องมือมีทั้ง Cobalt Strike profile ปลอมทราฟฟิกเว็บ, C2 ผ่าน Telegram bot, สคริปต์ Python inject shellcode และ Cloudflare Worker บัง backend สคริปต์ส่วนใหญ่เขียนเป็นภาษารัสเซีย ทดสอบกับ Sophos, CrowdStrike, Microsoft Defender ผ่าน Ludus lab โดยมี AI agent หลักที่ใช้ Claude Opus จัดการ orchestration