Cve-2025-8088

ESET รายงานว่ากลุ่มที่สอดคล้องกับรัสเซียกำลังเจาะเมลเซิร์ฟเวอร์ MDaemon ในยูเครนโดยไม่ต้องให้ใครเปิดอีเมล MDaemon ใช้ ClamAV สแกนไฟล์แนบแต่ยังพก libclamunrar.dll รุ่นเก่าที่มีช่องโหว่ WinRAR CVE-2025-8088 ผู้โจมตีเพียงส่งไฟล์ RAR ที่สร้างมาเฉพาะไปยังที่อยู่ใดก็ได้บนเซิร์ฟเวอร์ การสแกนจะเขียน DLL อันตรายลงระบบไฟล์ CERT-UA ติดตามมัลแวร์ที่ใช้ในชื่อ HELLAGE และ HELLTAG และ ESET ยังระบุกลุ่มไม่ได้ ผู้ดูแลควรอัปเกรด MDaemon เป็น 26.0.4 ขึ้นไป

Cisco Talos และ Recorded Future รายงานว่ากลุ่ม Silent Lynx ซึ่งเชื่อมโยงกับคาซัคสถาน โจมตีหน่วยงานรัฐในภูมิภาค CIS ต่อเนื่องตั้งแต่มิถุนายน 2568 ถึงสิงหาคม 2569 เหยื่อและเหยื่อล่อครอบคลุม 9 ประเทศ ทั้งเอเชียกลาง อาร์เมเนีย อาเซอร์ไบจาน รัสเซีย และเบลารุส ผู้โจมตีส่งอีเมลฟิชชิงจากบัญชีรัฐที่ถูกยึด พร้อมใช้ 4 เส้นทางติดเชื้อ ตั้งแต่ไฟล์ Word มีมาโครจนถึงไฟล์ RAR ที่เจาะช่องโหว่ WinRAR CVE-2025-8088 ปลายทางคือ reverse shell อย่าง PickleShell และ FoalShell ที่ให้ผู้โจมตีควบคุมเครื่องจากระยะไกล

ESET รายงานว่ากลุ่ม APT รัสเซีย Gamaredon ยังคงพัฒนาคลังมัลแวร์อย่างต่อเนื่องตลอดปี 2025 พบ 35 แคมเปญ spear-phishing มุ่งเป้าหน่วยงานรัฐและทหารยูเครนโดยเฉพาะ ใช้ HTML smuggling ปล่อย HTA downloader และอาวุธช่องโหว่ WinRAR (CVE-2025-8088) ฝังตัวใน Startup folder กลุ่มเพิ่มเครื่องมือ PowerShell ใหม่ 6 ตัว (PteroDee, PteroCache, PteroDum, PteroOdd, PteroEffigy, PteroPaste) และพึ่งพาบริการคลาวด์กับ tunnel/serverless worker มากขึ้นเพื่อซ่อนโครงสร้างพื้นฐานเบื้องหลัง

บริษัท Sekoia เปิดเผยว่ากลุ่มแฮ็กเกอร์รัสเซีย Gamaredon ยังใช้ช่องโหว่ WinRAR (CVE-2025-8088) แบบ path traversal ปล่อย payload GammaPhish ที่ดึง VBScript downloader GammaLoad ต่อด้วยเวิร์ม GammaWorm และ infostealer GammaSteel พบในแคมเปญเดือนมกราคม 2569 GammaWorm ฝังตัวผ่าน scheduled task ซ่อนโฟลเดอร์จริงแล้วแทนด้วยไฟล์ LNK อันตราย และ resolve C2 ผ่านช่อง Telegram สาธารณะเพื่อกลมกลืนทราฟฟิก ส่วน GammaSteel ขโมยไฟล์ส่งไป AWS S3 มุ่งเป้าหน่วยงานรัฐและทหารยูเครน