Cryptomining

Group-IB เปิดโปง CyberDakait แคมเปญมัลแวร์แอนดรอยด์ที่เล็งลูกค้าธนาคารอินเดียตั้งแต่ ก.ค. 2568 พบเครื่องถูกยึดอย่างน้อย 17,960 เครื่องและ SMS ถูกดัก 7,611,443 ข้อความ ผู้โจมตีโทรแอบอ้างเป็นธนาคารให้ยกเลิกแผนคุ้มครองบัตรเครดิต แล้วพาไปติดตั้ง APK จาก GitHub ที่ขโมยข้อมูลบัตร รหัส OTP และแอบขุด Monero มัลแวร์ 7 ตระกูลสวมรอยธนาคาร 11 แห่งกับโครงการรัฐ 2 โครงการ และเก็บข้อมูล PAN กับ Aadhaar ด้วย ผู้ใช้ควรติดตั้งแอปธนาคารจากช่องทางทางการเท่านั้นและตรวจแอปที่ขอสิทธิ์ SMS

INTERPOL ประกาศผลปฏิบัติการ Serengeti III ที่จับผู้ต้องสงสัย 1,462 คนจาก 21 ประเทศ ส่วนใหญ่ในแอฟริกา ปฏิบัติการระหว่าง 29 มิถุนายนถึง 31 สิงหาคม 2569 ทลายเครือข่ายอันตราย 10,909 แห่งและยึดคืนเงินผิดกฎหมายกว่า 105 ล้านดอลลาร์ เจ้าหน้าที่ระบุเหยื่อได้ 65,929 รายและโยงความเสียหายเกิน 385 ล้านดอลลาร์ ผลเด่นรวมถึงการจับชาวต่างชาติ 365 คนในยูกันดาที่หลอกลงทุนเหยื่อทั่วเอเชีย และการทลายฟาร์มขุดคริปโตผิดกฎหมายในแองโกลา

Lumen Black Lotus Labs พบมัลแวร์ PoeLLM ในแคมเปญ Canto Incognito ที่เล็งบริการ AI/LLM ที่เปิดสู่อินเทอร์เน็ต เช่น LiteLLM และ Gotenberg รวมถึง Gitea และ Ivanti Sentry เพื่อติดตั้งตัวขุดคริปโต มัลแวร์ซ่อนที่อยู่ C2 ไว้ในบทกวีบน GitHub โดยเปลี่ยนคำไม่กี่คำทุกครั้งที่ตั้ง C2 ใหม่ ตั้งแต่เมษายน 2569 มีเหยื่อแล้วกว่า 3,400 เครื่อง ส่วนใหญ่อยู่ในสหรัฐฯ และยุโรปตะวันตก เครื่องที่ติดบางส่วนถูกใช้สแกนหาเหยื่อรายต่อไป Lumen โยงกับผู้ก่อภัยที่พูดภาษาอิตาลีด้วยความมั่นใจปานกลาง

บริษัท Sysdig เปิดเผยว่าผู้โจมตีที่เป็นมนุษย์ฝีมือดีสามารถไต่จาก Marimo notebook ที่มีช่องโหว่ไปถึง SSH bastion ได้ภายใน 8 วินาที ด้วยชุดเครื่องมือ Python ที่เขียนและดีบักด้วยมือเองโดยไม่ใช้ AI agent เลย การโจมตีอาศัย CVE-2026-39987 (CVSS 9.3) ช่องโหว่รันโค้ดทางไกลแบบไม่ต้องยืนยันตัวตนที่กระทบ Marimo ทุกเวอร์ชัน และถูกใช้โจมตีจริงภายในไม่กี่ชั่วโมงหลังเปิดเผย ขณะเดียวกันบริษัท Hunt.io ก็เปิดเผยแคมเปญขุดคริปโตที่เจาะเซิร์ฟเวอร์ Redis ไปแล้ว 3,562 เครื่องผ่านการตั้งค่าที่ไม่มีการยืนยันตัวตน โดยผู้โจมตีรายเดียวยังถูกโยงกับ Operation CameraSwarm ที่ยึดกล้อง Dahua กว่า 14,000 ตัว

ทีมวิจัย The DFIR Report เปิดเผยแคมเปญ SEO poisoning ขนาดใหญ่ชื่อ BengalSEO ที่ดำเนินการจากรัฐราชสถานของอินเดียมาตั้งแต่ปี 2558 ผ่านผู้ให้บริการไอทีสองรายคือ WeConnect Solutions และ Garage2Global กลุ่มนี้สร้างหน้าเว็บล่อที่ปลอมเป็นพอร์ทัลซัพพอร์ตและหน้าเปิดใช้งานบริการ แล้วดันขึ้นอันดับต้นบน Bing ด้วยเทคนิค Black Hat SEO ผู้ที่หลงกดจะถูกส่งผ่านระบบกระจายทราฟฟิกไปยังมัลแวร์ MayaBot ที่ปล่อยตัวขุดเหรียญ XMRig หรือถูกดันเข้าคอลเซ็นเตอร์ต้มตุ๋น