Credential-Theft

ทีม Unit 42 ของบริษัท Palo Alto Networks เข้าตอบสนองเหตุการณ์ที่ผู้โจมตีใช้เอเจนต์ AI ระดับแนวหน้าเจาะเครือข่ายองค์กรจนสำเร็จภายในไม่ถึง 10 ชั่วโมง จากที่ปกติต้องใช้เวลาราวสองสัปดาห์ ในการโจมตีนั้นผู้โจมตีเก็บข้อมูลยืนยันตัวตน ยึดสิทธิ์ root เข้าควบคุมไปป์ไลน์ CI/CD และเปลี่ยนโครงสร้างพื้นฐาน AI ของเหยื่อให้กลายเป็นฐานปฏิบัติการ นักวิจัยย้ำว่าไม่มีการใช้ช่องโหว่ zero-day เลย จุดอ่อนที่ถูกใช้ล้วนเป็นเรื่องธรรมดาอย่าง API ที่เปิดสู่ภายนอกและข้อมูลยืนยันตัวตนที่ฝังอยู่ในโค้ด

บริษัท Check Point Research เปิดเผยแคมเปญของกลุ่มอาชญากรไซเบอร์ที่ใช้ภาษาจีนชื่อ Gambling Goblin ซึ่งติดตั้งโมดูล Apache อันตรายบนเว็บเซิร์ฟเวอร์ของหน่วยงานรัฐและสถาบันการศึกษาในบราซิล โมดูลจะทำหน้าที่ reverse proxy พาผู้เข้าชมไปยังหน้าฟิชชิงที่ปลอมเป็นสโตร์แอปดัง โดยทราฟฟิกยังดูเหมือนมาจากโดเมนของหน่วยงานจริงและส่วนหัวความปลอดภัยถูกถอดออก เป้าหมายที่ประเมินไว้คือการปั่นอันดับผลการค้นหาด้วยโดเมนที่มีชื่อเสียงสูง บริษัทโยงกลุ่มนี้เข้ากับ Earth Berberoka ที่ Trend Micro เคยรายงานไว้ตั้งแต่ปี 2565

องค์กรวิจัยไม่แสวงหากำไร METR เปิดเผยเหตุการณ์ด้านความปลอดภัยสองครั้งที่ผู้โจมตีภายนอกพยายามเข้าถึงระบบโดยไม่ได้รับอนุญาต ครั้งแรกในเดือนมีนาคม 2569 ผู้โจมตีขโมยกุญแจ API สำหรับเรียกใช้โมเดลสาธารณะแล้วเผาเครดิตไปคิดเป็นเงินราว 600,000 ดอลลาร์ในเวลาสามสัปดาห์ ต้นเหตุคืออินสแตนซ์ EC2 ส่วนตัวที่รันแอปซึ่งเขียนด้วยความช่วยเหลือของ AI แล้วมีจุดบกพร่องทำให้การยืนยันตัวตนถูกปิดเงียบ ๆ ครั้งที่สองในเดือนพฤษภาคมเป็นการสำรวจโครงสร้างพื้นฐานอย่างเป็นระบบด้วยเอเจนต์อัตโนมัติ

บริษัท Anthropic ยืนยันว่ามัลแวร์ประเภท infostealer หลายตระกูลสามารถขโมยเซสชัน Claude ที่ผู้ใช้ล็อกอินค้างไว้ แล้วเปิดทางให้ผู้โจมตีใช้โควตาจนหมดโดยไม่ต้องแตะรหัสผ่าน บริษัทเริ่มบังคับผู้ใช้ที่ได้รับผลกระทบออกจากระบบและลบบัตรชำระเงินที่บันทึกไว้ พบตระกูลมัลแวร์ทั้ง Vidar, LummaC2, StealC, RedLine และ Acreed บน Windows กับ Atomic Stealer บน macOS การเพิกถอนเซสชันหรือบล็อกการชำระเงินไม่พอ หากมัลแวร์ยังอยู่บนเครื่องก็ดักการล็อกอินครั้งต่อไปได้อีก

Google Threat Intelligence Group เผยกลุ่มจารกรรมที่ต้องสงสัยว่ามาจากรัสเซียสามคลัสเตอร์ คือ UNC6293, UNC7005 และ UNC5976 กำลังใช้กลไกยืนยันตัวตนที่ถูกต้องตามระบบเป็นเครื่องมือยึดบัญชีเป้าหมาย ทั้งรหัสผ่านเฉพาะแอป การฟิชชิง OAuth ผ่านโครงการคลาวด์ และการหลอกให้เหยื่อเชื่อมบัญชี WhatsApp เข้ากับอุปกรณ์ของผู้โจมตี เป้าหมายคือนักวิชาการ นักการทูต และองค์กรวิจัยในยุโรปและสหรัฐฯ

crate ยอดนิยมของภาษา Rust สามตัวคือ arrayref, append-only-vec และ internment ถูกดัดแปลงให้ดึงแพ็กเกจปลอมชื่อ proc-macro1 เข้ามาเป็น dependency ซอร์สโค้ดที่มองเห็นไม่ถูกแตะต้องเลย โค้ดอันตรายซ่อนอยู่ในไฟล์ build.rs ที่ Cargo รันเองทุกครั้งที่คอมไพล์ เพย์โหลดเป็นอินโฟสตีลเลอร์ข้ามแพลตฟอร์มที่ดูดรหัสผ่านจากเบราว์เซอร์ตระกูล Chromium ทีม Rust Security Response ถอนเวอร์ชันที่ปนเปื้อนและล็อกบัญชีผู้ดูแลภายในราวสองชั่วโมง

ทีม Microsoft Defender Experts โยงเว็บโดเมนกว่า 30 รายเข้ากับ MacSync Stealer มัลแวร์ขโมยข้อมูลบน macOS ด้วยการจับคู่พฤติกรรมที่ซ้ำกันทั้งฝั่งเครื่องปลายทางและฝั่งเครือข่าย แทนการไล่ตามที่อยู่ที่เปลี่ยนตลอด รายงานยืนยันว่ามีการดูดข้อมูลออกจริงไม่ใช่แค่การติดต่อ C2 โดยมัลแวร์กวาดทั้ง Keychain ข้อมูลรับรองเบราว์เซอร์ กุญแจ SSH ข้อมูลรับรอง AWS และไฟล์ตั้งค่า Kubernetes ก่อนอัดเป็นไฟล์บีบและส่งออกทีละก้อน Microsoft ไม่เปิดเผยจำนวนเหยื่อและไม่ระบุชื่อกลุ่มผู้อยู่เบื้องหลัง

กระทรวงยุติธรรมสหรัฐฯ ตั้งข้อหาชาวอิหร่าน 17 ราย ซึ่งถูกกล่าวหาว่าเป็นสมาชิกของบริษัทรับจ้างแฮ็กชื่อ Mabna Institute โดย 9 รายเคยถูกตั้งข้อหาไปแล้วตั้งแต่ปี 2561 ปฏิบัติการนี้เริ่มราวปี 2556 เล็งบัญชีของอาจารย์ทั่วโลกกว่า 100,000 ราย และเจาะสำเร็จราว 8,000 ราย ก่อนดูดข้อมูลวิชาการออกไป 31.5 เทระไบต์ มูลค่าประมาณ 3.4 พันล้านดอลลาร์ กระทบมหาวิทยาลัย 178 แห่ง บริษัทเอกชนอย่างน้อย 53 แห่ง และหน่วยงานรัฐของสหรัฐฯ อย่างน้อย 10 แห่ง

บริษัท Wiz เปิดเผยช่องโหว่ GitHub Actions workflow injection ในรีโปสาธารณะของ Snowflake ที่เปิดทางให้ issue ซึ่งปั้นขึ้นเป็นพิเศษสั่งรันคำสั่งใน workflow ที่ถือ credential ของ Jira ภายในองค์กร ต้นเหตุคือไฟล์ jira_issue.yml เอาค่าหัวเรื่องและเนื้อ issue ยัดตรงเข้าบล็อก run และตรวจเงื่อนไขผู้ส่งด้วยพร็อพเพอร์ตี้ที่ไม่มีอยู่จริง Wiz ได้โทเคน Jira ที่อ่านโปรเจกต์วิศวกรรมและ bug bounty ได้ Snowflake แก้ในวันเดียวกับที่รับรายงานและหมุนโทเคนแล้ว โดยระบุว่าไม่พบหลักฐานการเข้าถึงโดยไม่ได้รับอนุญาต

กองบัญชาการตำรวจสอบสวนกลางประชุมคณะสืบสวนกรณีข้อมูลภาครัฐรั่วไหลและถูกนำไปขายบนดาร์กเว็บ เมื่อวันที่ 13 สิงหาคม 2569 โดยยืนยันว่าฐานข้อมูลของหน่วยงานยังไม่ถูกเจาะโดยตรง แต่ผู้กระทำผิดใช้ข้อมูลบัญชีของผู้มีสิทธิ์เข้าถึงระบบดึงข้อมูลออกไป ชุดสืบสวนตามหมายเลข IP ไปถึงพื้นที่จังหวัดแพร่และปทุมธานี เข้าตรวจค้นและยึดคอมพิวเตอร์ 2 จุดไปตรวจพิสูจน์ พร้อมเชิญกลุ่มเยาวชนที่นิยมขุดค้นข้อมูลมาให้ข้อมูลตามกระบวนการ