Endpoint-Security

แอฟฟิลิเอตแรนซัมแวร์ Akira เจาะองค์กรผ่านอุปกรณ์ VPN ของ SonicWall ที่ไม่มี MFA เมื่อ 4 สิงหาคม แล้วใช้ AnyDesk บังคับเครื่องรีบูตเข้า Safe Mode with Networking เพื่อปิดเอเจนต์ EDR และการป้องกันเรียลไทม์ของ Microsoft Defender ผู้โจมตีใช้ WinRAR บีบอัดไฟล์แชร์และ s5cmd อัปโหลดขึ้น S3 ของตนเอง แต่ akira.exe กลับรันไม่สำเร็จเพราะหน่วยความจำเสมือนไม่พอ บริษัท Huntress ระบุว่าเป็นครั้งแรกที่พบเทคนิคนี้ในการโจมตีของ Akira

บริษัท Cisco เตือนว่าผลิตภัณฑ์ Secure Endpoint Connector บน Windows, macOS และ Linux ได้รับผลกระทบจากช่องโหว่ของเอนจินสแกนมัลแวร์โอเพนซอร์ส ClamAV รวม 7 รายการที่นำไปสู่ภาวะปฏิเสธการให้บริการ สองรายการมีโค้ดพิสูจน์แนวคิดเผยแพร่สู่สาธารณะแล้ว ช่องโหว่ทั้งหมดอยู่ในตัวแยกวิเคราะห์ไฟล์หลายรูปแบบ แก้ไขแล้วใน ClamAV เวอร์ชัน 1.5.4 ความเสี่ยงบน Windows อยู่ระดับสูงเพราะกระบวนการสแกนทำงานด้วยสิทธิ์พิเศษ Cisco ระบุว่าไม่มีวิธีแก้ชั่วคราวและจะทยอยปล่อยอัปเดตภายในเดือนสิงหาคม

Google กำลังพัฒนากลไกใหม่ใน Chrome ที่จะบล็อกส่วนขยายซึ่งถูกติดตั้งผ่านนโยบายองค์กรไม่ให้เข้ายึดหน้า New Tab หรือเปลี่ยนเครื่องมือค้นหาเริ่มต้นบนเครื่องที่ไม่ได้อยู่ใต้การบริหารจัดการจริง ต้นเหตุคือมัลแวร์เขียนคีย์นโยบายลงเครื่องผู้ใช้แล้วบังคับติดตั้งส่วนขยายที่ผู้ใช้ลบไม่ได้ พร้อมขึ้นข้อความ Managed by your organization ทั้งที่ไม่มีองค์กรใดดูแล กลไกใหม่จะยกเลิกการติดตั้งและจำรหัสส่วนขยายที่ถูกบล็อกไว้ ขณะนี้โค้ดยังอยู่ระหว่างตรวจทานใน Chromium Gerrit จึงยังไม่มีใน Chrome รุ่นเสถียร

ผู้ใช้พบว่าการเสียบจอมอนิเตอร์ LG บางรุ่นเข้ากับเครื่อง Windows ทำให้ระบบดาวน์โหลดและติดตั้งแอป LG Monitor App Installer ผ่าน Windows Update โดยไม่มีหน้าจอขออนุญาต แอปดังกล่าวตั้งตัวเองให้ทำงานตอนเปิดเครื่องและเด้งโฆษณาขายแอนตี้ไวรัส McAfee ช่อง Gamers Nexus ทดสอบบูตเครื่อง 32 ครั้งพบโฆษณา 31 ครั้ง ที่น่ากังวลคือแอปนี้ขอสิทธิ์ระดับ runFullTrust ซึ่งทำงานนอกแซนด์บ็อกซ์ของ Windows

บริษัท Microsoft ขยายความสามารถของ Defender ให้ monitor detect และ disrupt การโจมตีที่ abuse Remote Procedure Call (RPC) ซึ่งเป็น protocol หลักของ Windows ที่ผู้โจมตีใช้สำหรับ lateral movement, credential theft และ privilege escalation ผ่านการ integrate กับ Windows Filtering Platform ระดับ OpNum สามารถจับ Impacket, DCsync, Service Control Manager, Task Scheduler และ WMI ได้แม้ traffic จะถูก SMB3 encrypt

เครื่องมือโอเพนซอร์ส red team ตัวใหม่ชื่อ EDRChoker เปิดเทคนิคใหม่ในการปิดการทำงาน EDR ที่เชื่อมต่อด้วยระบบคลาวด์ ไม่ใช่วิธีการ kill process หรือ Code Injection แต่ใช้วิธีบีบแบนด์วิดท์เครือข่ายของ process EDR ให้เหลือเกือบศูนย์ด้วย Policy-Based QoS ของ Windows ที่ 8 bps ทำให้ TLS handshake ทำไม่สำเร็จ ผลคือ EDR ตัดขาดจากเซิร์ฟเวอร์คลาวด์และไม่สามารถดำเนินการทำงานตามปกติได้ เทคนิคนี้ทำงานผ่าน pacer.sys ที่อยู่ลึกกว่าระดับ WFP ในสแตกเครือข่าย ทำให้หลบ detection rule ที่ตรวจจับการบล็อกแบบ WFP ได้

Arctic Wolf พบแคมเปญโจมตีช่องโหว่ร้ายแรง CVE-2026-35616 (CVSS 9.1) ใน FortiClient EMS เพื่อส่งมัลแวร์ขโมยรหัสผ่านปลอมเป็นแพตช์ Fortinet ช่องโหว่เป็นแบบ pre-authentication API bypass นำสู่ privilege escalation แฮ็กเกอร์ใช้เส้นทางจัดการ endpoint ของ EMS เองสั่ง PowerShell รันบนทุกเครื่องที่ควบคุม มัลแวร์ FortiEndpoint_Patch.exe ขโมยรหัสผ่าน คุกกี้ และข้อมูล autofill จากเบราว์เซอร์ Fortinet แก้ไขแล้วในเวอร์ชัน 7.4.7

Microsoft Defender for Endpoint เพิ่มฟีเจอร์ Automatic Device Isolation ที่ตัดการเชื่อมต่อเครือข่ายของ endpoint ที่ถูกโจมตีทันทีเมื่อตรวจพบสัญญาณ ransomware หรือการบุกรุกระดับสูง โดยไม่ต้องรอให้เจ้าหน้าที่กดคำสั่ง ยังคงสื่อสารกับ Defender service เพื่อ telemetry และ SOC team ยังสามารถสั่ง release isolation ได้ตลอดเวลา

Trend Micro ออกแพตช์แก้ไขช่องโหว่ zero-day CVE-2026-34926 ใน Apex One (on-premises) ที่ถูกโจมตีจริงแล้ว เป็นช่องโหว่ directory traversal บนเซิร์ฟเวอร์ที่ผู้โจมตีที่มี admin credentials สามารถฝังโค้ดอันตรายลงในตารางคำสั่ง แล้วแพร่กระจายไปยังทุก endpoint ที่ Apex One ดูแล CISA สั่งหน่วยงานรัฐบาลสหรัฐฯ แพตช์ภายใน 4 มิถุนายน