Espionage

FBI และหน่วยงานจาก 6 ประเทศออกคำเตือนร่วมว่าแฮ็กเกอร์ที่โยงกับบริษัทจีน Integrity Technology Group ขโมยอีเมลจากหน่วยงานรัฐ บังคับใช้กฎหมาย สาธารณสุข และองค์กรศาสนาในเอเชียตะวันออกเฉียงใต้ตั้งแต่อย่างน้อยปี 2564 กลุ่มนี้ใช้สแกนเนอร์ MicroScan ที่มีสคริปต์กว่า 1,300 ตัว เจาะช่องโหว่ที่รู้จัก 8 รายการ และเดารหัสผ่าน Microsoft 365/Exchange แล้วดูดอีเมลด้วยเครื่องมือเฉพาะ คำเตือนระบุว่ากลุ่มเปิดเว็บแอปให้บุคคลที่สามเข้าอ่านอีเมลที่ขโมยมา บริษัทนี้ถูกสหรัฐและสหราชอาณาจักรคว่ำบาตรแล้ว

บริษัท TrendAI เปิดเผย ASHVEIN มัลแวร์ .NET แบบ infostealer และ RAT ของกลุ่ม UAC-0099 ที่ฝักใฝ่รัสเซีย ใช้โจมตีเจ้าหน้าที่รัฐบาลยูเครน ASHVEIN ขโมยรหัสผ่านเบราว์เซอร์ จับภาพหน้าจอ ดึงไฟล์ และรัน PowerShell โดยซ่อนคำสั่งไว้ในองค์ประกอบ HTML ที่มองไม่เห็น การส่งมัลแวร์ใช้ DLL sideloading ไฟล์ VHD และ dropper ที่ปลอมเป็นเอกสารตอบกลับจากตำรวจแห่งชาติยูเครน TrendAI ชี้ว่าเป้าหมายขยายจากรัฐและทหารไปยังผู้ประกอบการขนส่งและโครงสร้างพื้นฐานพลเรือน

บริษัท ESET เผยแพร่ผลวิเคราะห์ MatchBoil ดาวน์โหลดเดอร์ภาษา C# ของกลุ่มจารกรรม UAC-0099 ที่เชื่อว่าสอดคล้องกับผลประโยชน์รัสเซีย ตัวอย่างระหว่าง เม.ย. 2567 ถึง เม.ย. 2569 แสดงการพัฒนาต่อเนื่องจาก downloader ที่ทำงานครั้งเดียวเป็นตัวที่ติดต่อ C2 ทุก 2 นาที เวอร์ชันใหม่ใช้ .NET Reactor ตรวจ sandbox จากเวลา uptime ใน Event Log และแสดงหน้าต่างแอปปลอม เหยื่อที่พบทั้งหมดอยู่ในยูเครน ไล่จากขนส่ง การผลิต สู่พลังงาน ESET ประเมินว่ากลุ่มนี้อาจเป็นนายหน้าส่งต่อสิทธิ์เข้าถึงให้ Sandworm

ศาลมอนเตเนโกรอนุมัติส่งตัวนาย Amir Barati ชาวอิหร่าน-ตุรกีวัย 40 ปีให้สหรัฐฯ หลังถูกจับขณะพักร้อนที่เมือง Kotor เมื่อ 25 มิถุนายน ตามหมายของ FBI เขาเป็นหนึ่งใน 17 จำเลยของคดีที่กระทรวงยุติธรรมสหรัฐฯ ฟ้องเมื่อสิงหาคม ฐานร่วมปฏิบัติการผ่าน Mabna Institute ในนาม IRGC อัยการกล่าวหาว่าเขาติดตามแคมเปญสเปียร์ฟิชชิง แจกจ่ายรหัสผ่านที่ขโมยมา และเขียนอีเมลฟิชชิงเอง แคมเปญนี้เจาะบัญชีอาจารย์ราว 8,000 บัญชี ดูดข้อมูลอย่างน้อย 31 TB สร้างความเสียหายประมาณ 3.4 พันล้านดอลลาร์

บริษัท Proofpoint รายงานว่ากลุ่ม TA419 ที่มีแนวร่วมกับจีน ส่งฟิชชิงขโมยรหัสผ่านใส่ผู้เชี่ยวชาญนโยบาย AI ในสถาบันคลังสมองของสหรัฐฯ ผู้โจมตีปลอมเป็นนักเศรษฐศาสตร์ อดีตเจ้าหน้าที่ทำเนียบขาว และพนักงาน Anthropic เพื่อสร้างความไว้ใจก่อน เมื่อเหยื่อตอบกลับจึงส่งลิงก์ไปหน้าล็อกอิน OneDrive แบบ AitM ในหน้าต่างเบราว์เซอร์ปลอม เครื่องมือที่ดัดแปลงจาก Frameless BitB ส่งต่อการล็อกอินไป Microsoft จริง เหยื่อจึงไม่รู้ว่าคุกกี้เซสชันถูกขโมย Proofpoint แนะนำให้ใช้ passkey และยืนยันตัวตนผู้ติดต่อก่อนตอบ

หน่วยงาน MI5 ของสหราชอาณาจักรออกคำเตือนจารกรรมระบุว่าสถาบัน CGTRI เป็นบริษัทบังหน้าของกระทรวงความมั่นคงแห่งรัฐจีน (MSS) ใช้ทุนวิจัยยกระดับขีดความสามารถด้านจารกรรม นักวิชาการที่เชื่อมโยงกับสหราชอาณาจักรกว่า 100 คนเคยร่วมโครงการที่ CGTRI ให้ทุน บางรายอาจไม่รู้ว่าเงินมาจากไหน หัวข้อวิจัยครอบคลุม AI ไซเบอร์ การสื่อสารลับ และ steganography ผู้ที่ร่วมมือต่ออาจถูกดำเนินคดีตาม National Security Act 2023 ขณะสถานทูตจีนปฏิเสธว่าเป็นข้อกล่าวหาที่กุขึ้น

กระทรวงยุติธรรมสหรัฐฯ ฟ้อง Oxygen Forensics โดยกล่าวหา CEO นาย Lee Reiber และผู้ร่วมก่อตั้งชาวรัสเซียว่าปกปิดการที่บริษัทถูกคนรัสเซียเป็นเจ้าของและซอฟต์แวร์ถูกพัฒนาในรัสเซีย ขณะขายเครื่องมือนิติวิทยาศาสตร์ให้หน่วยงานสหรัฐฯ รายงานของ Politico เผยว่าเครื่องมือนี้ยังถูกใช้ในตำรวจเยอรมนี สเปน อิตาลี โปแลนด์และอีกหลายประเทศ และเจ้าของกลุ่มเดียวกันยังคุมบริษัทรัสเซียที่ขายเทคโนโลยีเดียวกันให้ FSB และกระทรวงมหาดไทยรัสเซีย

บริษัท Microsoft เผยการวิเคราะห์มัลแวร์ตระกูล NeedyMantis ที่ผู้โจมตีใช้คงการเข้าถึงเครือข่ายที่เจาะได้แล้วในระยะยาว พบในการบุกรุกแบบเจาะจงจำนวนน้อยที่โทรคมนาคม มหาวิทยาลัย องค์กรการแพทย์ องค์กรระหว่างรัฐบาล และผู้รับเหมาภาครัฐ ย้อนไปอย่างน้อยตุลาคม 2025 มัลแวร์มาเป็นชุดสามส่วนและอาศัย DLL sideloading ผ่านโปรแกรมถูกกฎหมายอย่าง Poedit, curl, Vim และ TightVNC บริษัท Microsoft ติดตามกลุ่มหนึ่งที่ใช้มันในชื่อ Storm-3069 ซึ่งประเมินว่ามาจากจีน และเชื่อมโยงกับการโจมตีซัพพลายเชนของ DAEMON Tools

SOCRadar เปิดโปงแคมเปญ Operation Conflict Compass ที่ใช้ไฟล์ทางลัดวินโดวส์ปลอมเป็น PDF เพื่อติดตั้งตัวดาวน์โหลดมัลแวร์ชื่อ VelvetCake เล่นงานคนและองค์กรที่ทำงานเกี่ยวกับยูเครน นักวิจัยเชื่อมโยงกับ Konni กลุ่มจารกรรมที่โยงเกาหลีเหนือด้วยความมั่นใจปานกลาง เหยื่อเป้าหมายคือสายการทูต งานวิจัยนโยบายและ NGO มัลแวร์เก็บข้อมูลระบบ จับภาพหน้าจอและส่งไฟล์ออกได้ แต่รายงานยังไม่ยืนยันจำนวนเหยื่อ

กลุ่มภัยคุกคามจีน UTA0565 ถูกพบใช้ชุดโจมตี zero-day ที่ร้อยช่องโหว่ Chrome สองตัวและ Windows หนึ่งตัวเข้าด้วยกัน ผ่านเว็บไซต์ปลอมที่เลียนแบบสำนักข่าวและองค์กร NGO บริษัท Volexity ตรวจพบการโจมตีเมื่อ 3–4 กันยายน มุ่งเป้าหน่วยงานรัฐในเอเชียด้วยอีเมลฟิชชิงเรื่องนักกิจกรรมฮ่องกง เพย์โหลดสุดท้ายคือมัลแวร์ตระกูล CLEANGULP ที่รองรับการรันคำสั่ง อัปโหลด/ดาวน์โหลดไฟล์ และรัน BOF การใช้ชุดเดียวกันข้ามหลายกลุ่มชี้ถึงความร่วมมือในแวดวงจารกรรมไซเบอร์จีน