Dcsync

FBI และหน่วยงานจาก 6 ประเทศออกคำเตือนร่วมว่าแฮ็กเกอร์ที่โยงกับบริษัทจีน Integrity Technology Group ขโมยอีเมลจากหน่วยงานรัฐ บังคับใช้กฎหมาย สาธารณสุข และองค์กรศาสนาในเอเชียตะวันออกเฉียงใต้ตั้งแต่อย่างน้อยปี 2564 กลุ่มนี้ใช้สแกนเนอร์ MicroScan ที่มีสคริปต์กว่า 1,300 ตัว เจาะช่องโหว่ที่รู้จัก 8 รายการ และเดารหัสผ่าน Microsoft 365/Exchange แล้วดูดอีเมลด้วยเครื่องมือเฉพาะ คำเตือนระบุว่ากลุ่มเปิดเว็บแอปให้บุคคลที่สามเข้าอ่านอีเมลที่ขโมยมา บริษัทนี้ถูกสหรัฐและสหราชอาณาจักรคว่ำบาตรแล้ว

Hunt.io เผยแพร่การวิเคราะห์ที่เชื่อมโยงเหตุโจมตีสภาเทศบาล King’s Lynn เมื่อ 17 กรกฎาคม 2569 เข้ากับแคมเปญกวาดเจาะอุปกรณ์ SonicWall SMA1000 ผ่าน CVE-2026-15409 ที่ได้คะแนน CVSS เต็ม 10 นักวิจัยเก็บไดเรกทอรีเปิดของผู้โจมตีได้ทั้งชุดเครื่องมือและผลลัพธ์ของแคมเปญที่ครอบคลุมอุปกรณ์เป้าหมาย 250 เครื่อง จุดสำคัญคือผู้โจมตีติดตั้ง Impacket secretsdump ลงบนตัวอุปกรณ์ SonicWall โดยตรงแล้วใช้ดูดข้อมูลยืนยันตัวตนจากระบบวินโดวส์ภายใน ซึ่งไม่ปรากฏใน EDR หรือ SIEM ของเครื่องวินโดวส์

CISA เผยแพร่คำแนะนำ AA26-237A สรุปผลการประเมินด้วยเรดทีม 2 ครั้งที่ทำพร้อมกันกับองค์กรโครงสร้างพื้นฐานสำคัญ 2 แห่งด้วยเทคนิคคล้ายกัน ทั้งสองแห่งถูกยึดถึงระดับโดเมนและเข้าถึงระบบธุรกิจสำคัญกับทรัพยากรคลาวด์ได้ องค์กร A ไม่ตรวจพบกิจกรรมใดเลยเพราะจมอยู่ในสัญญาณเตือนผิดพลาดนับพันรายการและมีศูนย์เฝ้าระวังหลายศูนย์ที่ไม่แชร์ข้อมูลกัน ส่วนองค์กร B ตรวจพบเพย์โหลดฟิชชิงทุกครั้งที่ถูกรันและตัดเครื่องออกจากเครือข่ายภายใน 2-20 นาที CISA สรุปว่าความต่างอยู่ที่คนและกระบวนการ ไม่ใช่ตัวเครื่องมือ

นักวิจัยเผยแพร่ exploit ใช้งานได้จริงที่ตั้งชื่อว่า Certighost เปิดทางให้ผู้ใช้ Active Directory สิทธิ์ต่ำขอใบรับรองในนาม Domain Controller แล้วยืนยันตัวตนเป็นเครื่องนั้นได้ อาศัยกลไก chase fallback ของ AD CS ที่เชื่อ cdc host ที่ผู้ร้องขอส่งมาโดยไม่ตรวจว่าเป็น DC จริง จากนั้นใช้ PKINIT และ DCSync ดึงความลับ krbtgt ทั้งโดเมน Microsoft แพตช์เป็น CVE-2026-54121 (CVSS 8.8) เมื่อ 14 ก.ค. แต่ PoC ถูกเปิดเผยสู่สาธารณะแล้ว องค์กรที่รัน Enterprise CA ควรอัปเดตทันที

บริษัท Microsoft ขยายความสามารถของ Defender ให้ monitor detect และ disrupt การโจมตีที่ abuse Remote Procedure Call (RPC) ซึ่งเป็น protocol หลักของ Windows ที่ผู้โจมตีใช้สำหรับ lateral movement, credential theft และ privilege escalation ผ่านการ integrate กับ Windows Filtering Platform ระดับ OpNum สามารถจับ Impacket, DCsync, Service Control Manager, Task Scheduler และ WMI ได้แม้ traffic จะถูก SMB3 encrypt