Espionage

นักวิจัย BindingHook เปิดเผยว่าปฏิบัติการไซเบอร์ของจีนพัฒนาเป็นระบบนิเวศเชิงพาณิชย์ มีบริษัทเอกชน ผู้รับเหมา และนายหน้าข้อมูลร่วมกันทำจารกรรมให้หน่วยข่าวกรอง กลุ่มอย่าง Salt Typhoon, Flax Typhoon และ Volt Typhoon พึ่งพาชั้นพาณิชย์นี้ นักวิจัยเสนอกรอบ composite responsibility เอกสารรั่วของ I-Soon เผยการโจมตีรัฐบาลอย่างน้อย 14 ประเทศ บอตเน็ต Raptor Train เชื่อมโยง Integrity Tech

ศาลกลางแคนาดาเปิดเผยคำพิพากษาเมื่อ 15 มิถุนายน 2026 ว่าหน่วยข่าวกรอง CSIS ได้รับอนุญาตใช้หมายลดภัยคุกคามเป็นครั้งแรก เข้าแก้ไข ลดทอน และทำลายข้อมูลบอตเน็ตในเซิร์ฟเวอร์ เราเตอร์ SOHO และอุปกรณ์ IoT บนแผ่นดินแคนาดา เพื่อตัดอุปกรณ์ออกจากเครือข่ายรัฐต่างชาติ 2 กลุ่ม เป้าหมายรวมถึง Ring doorbell กล้องวงจรปิด และทีวี Wi-Fi คดีนี้คล้ายปฏิบัติการ FBI ล้าง KV-botnet ของ Volt Typhoon

กลุ่มจารกรรมจีน UNC6508 โจมตีเซิร์ฟเวอร์ REDCap ของสถาบันวิจัยการแพทย์ในอเมริกาเหนือ ฝังมัลแวร์ InfiniteRed ที่ออกแบบมาเฉพาะสำหรับระบบ REDCap แฝงตัวอยู่นานกว่า 1 ปี ขโมย credential และใช้ฟีเจอร์ content compliance ส่งข้อมูลออกผ่านอีเมลอัตโนมัติ Google แจ้งเตือนหลายองค์กรในสหรัฐฯ และแคนาดาที่ได้รับผลกระทบ

กลุ่มแฮ็กเกอร์ APT28 หรือ Fancy Bear ซึ่งเชื่อมโยงกับหน่วยข่าวกรองทางทหารรัสเซีย GRU Unit 26165 ปรับกลยุทธ์มาใช้เราเตอร์ SOHO ที่ถูกบุกรุกเป็นโครงสร้างพื้นฐานหลักในการโจมตี รายงานจาก Sekoia เผยว่ากลุ่มนี้เข้ายึด botnet MooBot ของเราเตอร์ Ubiquiti EdgeRouter ตั้งแต่ปี 2565 และในปี 2569 เปิดแคมเปญ FrostArmada มุ่งเป้าเราเตอร์ MikroTik และ TP-Link ส่งผลกระทบต่ออุปกรณ์กว่า 18,000 IP ใน 120 ประเทศ กลุ่มนี้ยังพัฒนาเครื่องมือใหม่หลายตัวรวมถึง LameHug ที่ใช้ AI สร้างคำสั่งโจมตีแบบ real-time

กระทรวงยุติธรรมสหรัฐฯ และ FBI ยึดโดเมน 13 รายการที่ปลอมเป็นบริษัทที่ปรึกษา ใช้หลอกจ้างอดีตและปัจจุบันเจ้าหน้าที่รัฐบาลสหรัฐฯ ที่มี security clearance ให้ทำงานวิจัยแลกเงิน แล้วค่อยๆ ชักนำให้เปิดเผยข้อมูลลับที่ไม่มีสิทธิ์เผยแพร่ ปฏิบัติการเริ่มตั้งแต่พฤศจิกายน 2566 ใช้ตัวตนปลอม รูป AI และคริปโทเคอร์เรนซีในการจ่ายเงิน

บริษัท Securonix เปิดเผยแคมเปญจารกรรมที่ใช้มัลแวร์ SHEETCREEP ซึ่งเป็น C# RAT ขนาดเพียง 20 KB ใช้ Google Sheets API เป็นช่องทาง C2 เพื่อโจมตีองค์กรการทูต โดยหลอกล่อเหยื่อด้วยไฟล์ ISO ปลอมเป็นเอกสาร UAE-India Strategic Partnership Week พบเหยื่อ 91 รายจากการเข้าถึง spreadsheet C2 โดยตรง เชื่อมโยงกับกลุ่ม APT36 (Transparent Tribe) ที่มีแนวร่วมกับปากีสถาน

นักวิจัยจาก ReliaQuest ค้นพบกลุ่มภัยคุกคามใหม่ชื่อ OP-512 ที่เชื่อมโยงกับจีน โจมตีเซิร์ฟเวอร์ Microsoft IIS ด้วย web shell framework แบบสั่งทำพิเศษ 3 ตัว พร้อมใช้เทคนิค timestomping ปลอมแปลงเวลาไฟล์เพื่อหลบการตรวจจับ เป้าหมายเป็นองค์กรที่ตรงกับลำดับความสำคัญด้านข่าวกรองของจีน

พันธมิตรข่าวกรอง Five Eyes (สหราชอาณาจักร สหรัฐฯ แคนาดา ออสเตรเลีย นิวซีแลนด์) รวมถึง MI5 และ FBI ออกรายงานร่วมเตือนว่าสายลับที่เชื่อมโยงรัฐจีนใช้เว็บหางานอย่าง LinkedIn, Indeed และ Upwork สร้างโปรไฟล์ปลอมเป็น HR หรือที่ปรึกษา โพสต์งานปลอมด้านกลาโหม/นโยบายต่างประเทศ เพื่อล่อเจ้าหน้าที่รัฐและทหารให้แชร์ข้อมูลลับ เป้าหมายหลักคือผู้มี security clearance โดยเฉพาะในอินโด-แปซิฟิก จ่ายค่าตอบแทนผ่าน PayPal, Wise และคริปโต MI5 ระบุเคยพยายามล่อคนอังกฤษกว่า 20,000 คน

ทีม threat hunting ของ Broadcom (Symantec และ Carbon Black) เปิดเผยปฏิบัติการจารกรรมที่แฮ็กเกอร์เข้าถึงอีเมล Outlook ของผู้บริหารระดับสูงในตลาดหลักทรัพย์ระดับโลก โดยเริ่มตั้งแต่ตุลาคม 2568 และคงการเข้าถึงถึงมีนาคม 2569 รวม dwell time ราว 150 วัน ผู้โจมตีใช้มัลแวร์ปลอมเป็นแอป Adobe/OneDrive ตั้ง C2 เดือนพฤศจิกายน แล้วทยอยขโมยเมลทีละชุดเล็กผ่าน Dropbox และ OneDrive เพื่อเลี่ยงการตรวจจับ เป้าหมายน่าจะเป็นการจารกรรมข้อมูลที่ไม่เปิดเผยต่อสาธารณะ

นักวิจัยจาก Seqrite Labs เปิดเผยแคมเปญจารกรรมไซเบอร์ชื่อ Operation Dragon Weave ที่มุ่งเป้าหน่วยงานรัฐ วิชาการ และการเงินในสาธารณรัฐเช็กและไต้หวัน โดยใช้อีเมลฟิชชิงแนบไฟล์ ZIP เพื่อติดตั้ง Rust loader แล้วนำไปสู่ payload ชื่อ AZUREVEIL ที่ซ่อนช่องทาง C2 ไว้ใน Microsoft Azure Blob Storage เพื่อหลีกเลี่ยงการตรวจจับ ESET ยังรายงานว่ากลุ่ม China-aligned threat actors ยังคง active สูงทั่วโลกตั้งแต่ ต.ค. 2568 ถึง มี.ค. 2569 พร้อมพบกลุ่มใหม่อีกหลายกลุ่ม เช่น SteppeDriver และ NegativeGlimmer