Espionage

พันธมิตรข่าวกรอง Five Eyes (สหราชอาณาจักร สหรัฐฯ แคนาดา ออสเตรเลีย นิวซีแลนด์) รวมถึง MI5 และ FBI ออกรายงานร่วมเตือนว่าสายลับที่เชื่อมโยงรัฐจีนใช้เว็บหางานอย่าง LinkedIn, Indeed และ Upwork สร้างโปรไฟล์ปลอมเป็น HR หรือที่ปรึกษา โพสต์งานปลอมด้านกลาโหม/นโยบายต่างประเทศ เพื่อล่อเจ้าหน้าที่รัฐและทหารให้แชร์ข้อมูลลับ เป้าหมายหลักคือผู้มี security clearance โดยเฉพาะในอินโด-แปซิฟิก จ่ายค่าตอบแทนผ่าน PayPal, Wise และคริปโต MI5 ระบุเคยพยายามล่อคนอังกฤษกว่า 20,000 คน

ทีม threat hunting ของ Broadcom (Symantec และ Carbon Black) เปิดเผยปฏิบัติการจารกรรมที่แฮ็กเกอร์เข้าถึงอีเมล Outlook ของผู้บริหารระดับสูงในตลาดหลักทรัพย์ระดับโลก โดยเริ่มตั้งแต่ตุลาคม 2568 และคงการเข้าถึงถึงมีนาคม 2569 รวม dwell time ราว 150 วัน ผู้โจมตีใช้มัลแวร์ปลอมเป็นแอป Adobe/OneDrive ตั้ง C2 เดือนพฤศจิกายน แล้วทยอยขโมยเมลทีละชุดเล็กผ่าน Dropbox และ OneDrive เพื่อเลี่ยงการตรวจจับ เป้าหมายน่าจะเป็นการจารกรรมข้อมูลที่ไม่เปิดเผยต่อสาธารณะ

นักวิจัยจาก Seqrite Labs เปิดเผยแคมเปญจารกรรมไซเบอร์ชื่อ Operation Dragon Weave ที่มุ่งเป้าหน่วยงานรัฐ วิชาการ และการเงินในสาธารณรัฐเช็กและไต้หวัน โดยใช้อีเมลฟิชชิงแนบไฟล์ ZIP เพื่อติดตั้ง Rust loader แล้วนำไปสู่ payload ชื่อ AZUREVEIL ที่ซ่อนช่องทาง C2 ไว้ใน Microsoft Azure Blob Storage เพื่อหลีกเลี่ยงการตรวจจับ ESET ยังรายงานว่ากลุ่ม China-aligned threat actors ยังคง active สูงทั่วโลกตั้งแต่ ต.ค. 2568 ถึง มี.ค. 2569 พร้อมพบกลุ่มใหม่อีกหลายกลุ่ม เช่น SteppeDriver และ NegativeGlimmer

Unit 42 เปิดเผยแคมเปญจารกรรมไซเบอร์ของกลุ่ม Screening Serpens (UNC1549/Smoke Sandstorm) ที่เพิ่มความซับซ้อนด้วยเทคนิค AppDomainManager Hijacking เพื่อหลบเลี่ยง EDR โดยรันโค้ดอันตรายก่อนที่แอปพลิเคชัน .NET จะโหลดเสร็จ กลุ่มนี้พัฒนา RAT ใหม่ 6 ตัวระหว่างกุมภาพันธ์ถึงเมษายน 2569 มุ่งเป้าองค์กรด้านอวกาศ การป้องกันประเทศ และโทรคมนาคมในสหรัฐฯ อิสราเอล และสหรัฐอาหรับเอมิเรตส์ โดยใช้ fake job listing และคำเชิญประชุมปลอมเป็นเหยื่อล่อ

หน่วยงานความมั่นคงกลางรัสเซีย (FSB) อ้างว่าได้ขัดขวางปฏิบัติการจารกรรมไซเบอร์ขนาดใหญ่ที่ฝังสปายแวร์ขั้นสูงในมือถือของเจ้าหน้าที่รัฐระดับสูง โดยกล่าวหาว่าหน่วยข่าวกรองต่างชาติเป็นผู้อยู่เบื้องหลัง มัลแวร์สามารถดึงข้อมูลสำคัญ ดักการสื่อสาร และแอบบันทึกเสียง/วิดีโอ FSB ระบุผู้โจมตีอาศัยโครงสร้างพื้นฐานของผู้ให้บริการ IT และโทรคมนาคมระดับโลก แม้ไม่เปิดเผย IoC หรือชื่อมัลแวร์ แต่ความสามารถสอดคล้องกับสปายแวร์ระดับรัฐอย่าง Pegasus หรือ Predator ที่มักใช้ zero-click exploit

เจ้าหน้าที่ข่าวกรองยุโรประดับสูง 3 คนเปิดเผยกับ AP ว่าหน่วยข่าวกรองรัสเซียเร่งขโมยเทคโนโลยีและความลับด้านกลาโหมของตะวันตกหนักขึ้น หลังมาตรการคว่ำบาตรบีบเศรษฐกิจสงคราม รัสเซียตั้งบริษัทบังหน้า ใช้คนกลาง และส่งสายลับไซเบอร์กับแฮ็กเกอร์เก็บข้อมูลที่อาจใช้โจมตีโครงสร้างพื้นฐานสำคัญ เป้าหมายรวมถึงเทคโนโลยีอวกาศ ควอนตัม กลาโหม และ machine tool โดยรัสเซียเริ่มไม่กลัวการถูกระบุตัวตนและกล้าเสี่ยงมากขึ้น

WithSecure เปิดโปงกลุ่มแฮ็กเกอร์ GreyVibe ที่คาดว่าเชื่อมโยงรัสเซีย ใช้ AI หลายตัวอย่าง ChatGPT, Gemini และ Ideogram สร้างเหยื่อล่อคุณภาพสูงและช่วยพัฒนามัลแวร์ พุ่งเป้าหน่วยงานทหาร รัฐบาล และธุรกิจที่เกี่ยวข้องกับยูเครน ปฏิบัติการนี้เริ่มตั้งแต่สิงหาคม 2568 ใช้หลายห่วงโซ่การโจมตีทั้งฟิชชิง ClickFix และ Android spyware FallSpy แต่ขาดความแนบเนียนแบบรัฐชาติเต็มตัว คาดมีอดีตอาชญากรไซเบอร์ร่วมทีม

Symantec และ Carbon Black เปิดเผยว่ากลุ่มแฮ็กเกอร์อิหร่าน MuddyWater (Seedworm) โจมตีอย่างน้อย 9 องค์กรใน 9 ประเทศ 4 ทวีปช่วงไตรมาสแรกปี 2026 รวมถึงผู้ผลิตอุตสาหกรรมในเอเชียตะวันออกเฉียงใต้และสนามบินในตะวันออกกลาง ใช้เทคนิค DLL side-loading ผ่านไฟล์ที่เซ็นรับรองถูกต้องของ Fortemedia และ SentinelOne เพื่อรันมัลแวร์และฝัง ChromElevator ขโมยรหัสผ่าน คุกกี้ และข้อมูลบัตรจากเบราว์เซอร์ เลี่ยงการตรวจจับ

กลุ่ม APT ที่เชื่อมโยงกับจีนถูกพบฝัง Linux implant ชื่อ router.elf ในเราเตอร์ขอบเครือข่ายทั่วเอเชียตะวันออกเฉียงใต้ ระบบ C2 ใช้ HTTPS port 443 และหลีกเลี่ยง DNS monitoring ผ่าน Cloudflare DNS over HTTPS ขณะที่ Windows endpoint ในเครือข่ายเดียวกันถูกโจมตีด้วย Cobalt Strike Beacon ผ่าน DLL sideloading IoC ชี้ไปที่จีนจากภาษา Mandarin ในโค้ด และ license ID ที่เชื่อมโยงกับปฏิบัติการจีนมาโดยตลอด

Oasis Security เปิดเผยปฏิบัติการจารกรรมไซเบอร์ที่เชื่อมโยงกับรัฐบาลมาเลเซีย ซึ่งใช้โครงสร้าง C2 ที่ซ่อนตัวมาหลายปีโดยจำกัดการเข้าถึงเฉพาะเส้นทางและโปรโตคอลที่กำหนด ผู้โจมตียังใช้บริการ Cloudflare เป็นที่พักมัลแวร์และหน้า phishing เพื่ออาศัยความน่าเชื่อถือของแพลตฟอร์มคลาวด์หลบหลีกระบบตรวจจับ