Espionage

Group-IB เปิดโปง HEAVYGRAM แบ็กดอร์สอดแนม Windows ที่เปลี่ยน Telegram ให้เป็นศูนย์บัญชาการ ใช้บอต บัญชี และกลุ่มรับคำสั่ง ส่งข้อมูลที่ขโมย และควบคุมเครื่องที่ติด แทนการพึ่งเซิร์ฟเวอร์เฉพาะ มัลแวร์ถูกใช้มาตั้งแต่ปลายปี 2566 เล่นงานนักข่าว ผู้เห็นต่างอิหร่าน และผู้ที่มีจุดยืนต่อต้านรัฐบาลอิหร่าน นักวิจัยพบตัวอย่างเพิ่มอีก 29 ชิ้นและเชื่อมโยงปฏิบัติการกับกลุ่ม Handala Hack ด้วยความมั่นใจปานกลาง ความสามารถครอบคลุมการจับภาพหน้าจอ อัดเสียง และขโมยข้อมูล Telegram Desktop

บริษัท Hunt.io และนักวิจัย Guy Yasur ติดตามคลัสเตอร์เซิร์ฟเวอร์ C2 ของ SpiceRAT ที่มีมาก่อนและต่อยอดจากรายงาน SilkParasite ของ Bitdefender เมื่อสิงหาคม 2569 โดยเน้นวิเคราะห์ฝั่งโครงสร้างพื้นฐานแทนตัวมัลแวร์ จนเชื่อม 3 ใน 7 ตระกูล RAT ของ SilkParasite เข้าด้วยกันผ่านใบรับรอง โดเมน และรูปแบบโฮสติงร่วมกัน จุดเด่นคือใบรับรองปลอมเป็นการรถไฟรัฐอุซเบกิสถานที่ออกโดย CA ซึ่งได้ทุนจากสถาบันวิจัยรัฐจีน และโดเมนจำนวนมากปลอมเป็นกระทรวงและรัฐวิสาหกิจในเอเชียกลาง ปฏิบัติการนี้สืบย้อนได้ถึงกลางปี 2565

ESET พบกลุ่มจารกรรมโยงจีน FamousSparrow ใช้แบ็กดอร์ตัวใหม่ชื่อ SparroWocky โจมตีหลายประเทศในลาตินอเมริกาตั้งแต่สิงหาคม 2568 แบ็กดอร์เขียนด้วย C++ แบบโมดูลาร์ แทนที่ SparrowDoor เดิม รันไฟล์ ทำ TCP proxy จับภาพหน้าจอ และดูดไฟล์ได้ มีลูกเล่นต้านการวิเคราะห์ระดับสูงและผสานโค้ดโอเพนซอร์สอย่าง Mbed TLS, MinHook และ COFF Loader เข้ากับตัวมัลแวร์ 90% ของเป้าหมายอยู่ในลาตินอเมริกา ทั้งหน่วยงานรัฐในอาร์เจนตินา เอกวาดอร์ ปานามา เปรู และเวเนซุเอลา

บริษัท Rapid7 เปิดเผยว่ากลุ่ม APT ที่น่าจะเป็นเกาหลีเหนือใช้ชุดเครื่องมือสอดแนม Linux ที่ไม่เคยมีบันทึกมาก่อนชื่อ TED เจาะโหลดบาลานเซอร์โอเพนซอร์ส HAProxy เพื่อเข้าถึงการสื่อสารที่ถอดรหัสแล้ว เล็งบริษัทสื่อและยานยนต์ในเกาหลีใต้มาตั้งแต่ต้นปี 2568 Rapid7 เชื่อมโยงด้วยความมั่นใจปานกลางกับ APT37 (ScarCruft) จากรายการเซิร์ฟเวอร์ C2 ที่ตรงกัน แบ็กดอร์นี้ตรวจจับได้ยากมากเพราะฝังในโครงสร้างพื้นฐานและลบร่องรอยในล็อก

หน่วยงานความมั่นคงไซเบอร์ของสหรัฐ อังกฤษ และเนเธอร์แลนด์ ออกประกาศร่วมเมื่อ 15 กันยายน เปิดโปงมัลแวร์ Windows ที่หน่วยข่าวกรองอิหร่านใช้สอดแนมผู้เห็นต่าง นักข่าว และนักเคลื่อนไหวทั่วโลก มัลแวร์นี้ FBI เรียก HEAVYGRAM ส่วน NCSC เรียก CHOSEN BRICK ควบคุมผ่านแอป Telegram คัดลอกอีเมลและแชท จับภาพหน้าจอ และเปิดไมโครโฟนอัดเสียงได้ FBI ชี้ว่าเป็นฝีมือกระทรวงข่าวกรองอิหร่าน (MOIS)

บริษัท Acronis Threat Research Unit เปิดเผยว่ากลุ่มผู้ต้องสงสัยเชื่อมโยงกับจีนชื่อ Red Heron นำช่องโหว่รันโค้ดทางไกล CVE-2026-60004 ใน Gitea มาใช้โจมตีอย่างรวดเร็ว โดยสแกน Gitea ที่เปิดสู่อินเทอร์เน็ต 1,386 เครื่องใน 7 ประเทศ และยืนยันเจาะสำเร็จ 13 องค์กรใน 6 ประเทศ ปฏิบัติการลุกลามจากการขโมยซอร์สโค้ดสู่การฝังตัวถาวร เก็บ credential และเคลื่อนตัวด้านข้าง รวมถึงยึดสิทธิ์ root บนคลัสเตอร์ Proxmox 3 โหนด นักวิจัยยังพบแบ็กดอร์ Linux ชื่อ JITTERLY และ rootkit ตัวใหม่ SIXZUT ที่ซ่อนไฟล์ โปรเซส และการเชื่อมต่อเครือข่าย

บริษัท Anthropic เปิดรายงานภัยคุกคามความยาว 154 หน้า ระบุว่าทั้งอาชญากรไซเบอร์และกลุ่มที่รัฐหนุนหลังนำโมเดล Claude ไปใช้โจมตีไซเบอร์ ออกแบบอาวุธ ทำโฆษณาชวนเชื่อ และสอดแนมมวลชน ระหว่างธันวาคม 2568 ถึงสิงหาคม 2569 บริษัทเรียกผู้ก่อภัยเหล่านี้ว่า Generative Threat Groups (GTG) และเตือนว่า AI ได้ลบช่องว่างด้านกำลังคนและเครื่องมือที่เคยแยกปฏิบัติการระดับรัฐออกจากผู้โจมตีรายเดี่ยว หลายกรณีใช้กรอบหลายเอเจนต์ทำงานอัตโนมัติทั้งการสอดแนม เจาะระบบ และดึงข้อมูล

Gen Digital เปิดเผยว่ากลุ่มที่เชื่อมโยงกับจีนชื่อ UNC3569 ใช้ช่องโหว่ในโปรแกรมพิมพ์ภาษาจีน Sogou Input Method บนวินโดวส์ติดตั้งแบ็กดอร์ GRAYRABBIT บนเครื่องเหยื่อ ห่วงโซ่เริ่มจากลิงก์ที่ประดิษฐ์ขึ้นและจบที่ผู้โจมตีทำอะไรก็ได้เท่าที่ผู้ใช้ที่ล็อกอินอยู่ทำได้ รากของปัญหาคือเบราว์เซอร์ที่ Sogou สร้างเองยังเป็น Chromium เวอร์ชัน 80 จากปี 2563 และถูกปิดทั้งแซนด์บ็อกซ์และนโยบายต้นทางเดียวกันไว้ในโค้ด Tencent แก้ตัวจัดการลิงก์ไปแล้วเมื่อเดือนเมษายน 2569 แต่ไม่ได้แตะเบราว์เซอร์เลย

บริษัท Anthropic เปิดเผยว่าได้สกัดปฏิบัติการของกลุ่มจารกรรมไซเบอร์ที่รัฐรัสเซียหนุนหลังซึ่งใช้ชื่อ GTG-20006 และเชื่อมโยงกับ Midnight Blizzard หรือ APT29 กลุ่มนี้ใช้ Claude สร้างเวิร์กโฟลว์ AI เพื่อรื้อสร้างและปล่อยมัลแวร์ขึ้นใหม่โดยอัตโนมัติทันทีที่ถูกผลิตภัณฑ์ความมั่นคงตรวจจับ เป้าหมายคือหน่วยงานรัฐบาล กลาโหม และการทูตในยูเครนและยุโรปกว่า 20 องค์กร ตลอดจนตะวันออกกลางและหน่วยงานรัฐด้านทางทะเลในเอเชีย

Proofpoint เปิดเผยชุดโจมตีที่ไม่เคยถูกบันทึกมาก่อนชื่อ BlueMoon ซึ่งร้อยช่องโหว่ V8 ของ Chrome สองตัวเข้ากับช่องโหว่ ALPC ของวินโดวส์เพื่อยกระดับสิทธิ์ การใช้งานจริงครั้งแรกเป็นของกลุ่ม APT31 ที่จีนหนุนหลังเมื่อวันที่ 28 สิงหาคม 2569 และภายในไม่กี่วันมีอีกสามกลุ่มใช้ชุดเดียวกัน โดยพุ่งเป้าองค์กรในสหรัฐ เวียดนาม อินโดนีเซีย และสิงคโปร์ ช่องโหว่ V8 ทั้งสองตัวเป็น zero-day แบบ patch-gap ที่แก้ในซอร์สโค้ด Chromium แล้วแต่ยังไม่ถึงรุ่นเสถียร