Espionage

บริษัท Kaspersky เปิดเผยแคมเปญจารกรรมที่โจมตีหน่วยงานรัฐในเอเชียกลางและซีเรียมาตั้งแต่มกราคม 2568 คาดว่าเป็นฝีมือผู้ก่อภัยที่พูดภาษาจีน แต่ยังโยงเข้ากับกลุ่มที่รู้จักไม่ได้ ผู้โจมตีใช้แบ็กดอร์ใหม่ 2 ตัวคือ OctLurk และ SilkLurk พร้อมเครื่องมือ LurkProxy สำหรับพร็อกซีทราฟฟิก ทั้งคู่ทำงานในหน่วยความจำและโหลดปลั๊กอินเพิ่มเพื่อดักแป้นพิมพ์และขโมยข้อมูลรับรอง โดยเส้นทางเข้าถึงครั้งแรกยังไม่ทราบ

บริษัทไมโครซอฟท์เปิดเผยแคมเปญชื่อ CaptiveCrunch ที่ยึดเกตเวย์ Wi-Fi ของโรงแรมเพื่อดันหน้าอัปเดตเบราว์เซอร์ปลอมและปล่อย RAT ชื่อ CornFlake ซึ่งจับภาพจากเว็บแคม เสียงจากไมโครโฟน และแป้นพิมพ์ได้ ไมโครซอฟท์โยงกิจกรรมนี้เข้ากับ Storm-2945 ซึ่งประเมินว่าเป็นคลัสเตอร์ย่อยของ Midnight Blizzard หรือ APT29 พบการบิดเบือนทราฟฟิกตั้งแต่ต้นเดือนพฤษภาคมในเครือข่ายภาคบริการที่พักหลายประเทศ แต่ยังไม่มีตัวเลขว่าการเปลี่ยนเส้นทางกลายเป็นการยึดเครื่องสำเร็จกี่ราย

บริษัท IIJ เปิดเผยว่ากลุ่ม BlackTech นำแบ็กดอร์ BlueShell เวอร์ชัน Linux มาใช้โจมตีองค์กรในญี่ปุ่น โดยพบตัวอย่างใหม่ 3 รูปแบบเมื่อเดือนพฤษภาคม 2569 ผู้โจมตีเข้าถึงระบบแล้วเคลื่อนตัวด้านข้างผ่าน SSH ก่อนปล่อยโหลดเดอร์ที่คลายมัลแวร์ ปลอมชื่อโปรเซสเป็น kworker แล้วลบไฟล์ทิ้งทันที จุดใหม่คือความสามารถติดต่อเซิร์ฟเวอร์ควบคุมผ่านพร็อกซีของเหยื่อเอง ทำให้ทราฟฟิกอันตรายกลืนกับการใช้งานปกติ

หน่วยงานรัฐเกาหลีใต้ 4 แห่งร่วมกับบริษัทความปลอดภัย 4 ราย เปิดเผยแคมเปญจารกรรมของกลุ่มรัฐหนุนหลังที่เจาะเว็บไซต์ในประเทศเป็นกับดัก watering hole ผู้โจมตีฉวยช่องโหว่ buffer overflow ในซอฟต์แวร์ลงลายมือชื่ออิเล็กทรอนิกส์ AnySign4PC ติดตั้งแบ็กดอร์ SIGNBT และ COPPERHEDGE โดยเหยื่อไม่ต้องคลิกหรือดาวน์โหลดอะไรเลย KISA ระบุเวอร์ชัน 1.1.4.4-1.1.4.6 มีช่องโหว่และแก้ใน 1.1.5.0 บริษัท AhnLab พบร่องรอยใน 72 องค์กรและพบหลักฐานทับซ้อนกับการโจมตีที่จบด้วยแรนซัมแวร์ Gunra

กลุ่มแฮ็กเกอร์อิหร่านที่รัฐหนุนหลังชื่อ Nimbus Manticore (UNC1549) ถูกโยงเข้ากับการโจมตีชุดใหม่ที่พุ่งเป้าองค์กรในตะวันออกกลาง แอฟริกา และเอเชียใต้ การบุกรุกใช้แบ็กดอร์ Windows ตัวใหม่ที่ไม่เคยถูกบันทึกมาก่อนชื่อ NightLedger และเครื่องมือทำอุโมงค์ผ่าน WebSocket แบบกำหนดเองอีก 2 ตัวคือ BridgeHead และ ArcBridge เพื่อคงการเข้าถึงแบบลับ NightLedger ถูกโหลดผ่าน DLL side-loading และรองรับคำสั่งสำรวจระบบ รันโปรเซส จับภาพหน้าจอ และส่งไฟล์ออก ตามรายงานของบริษัท Kaspersky

นักวิจัย IntrusionTruth เปิดเผยว่าบริษัทจีนที่แทบไม่มีตัวตนต่อสาธารณะชื่อ Guangdong Chanming น่าจะเป็นผู้สร้างเครือข่ายลับที่ใช้ปกปิดปฏิบัติการไซเบอร์ที่เชื่อมโยงกับกองทัพจีน หลักฐานจากสิทธิบัตร ลิขสิทธิ์ซอฟต์แวร์ และเอกสารจัดซื้อของกองทัพชี้ว่าบริษัทเป็นผู้จัดหาเทคโนโลยีเครือข่ายไม่ระบุตัวตนให้ลูกค้าภาครัฐจีน ผลิตภัณฑ์มีชื่ออย่าง Anti-traceability Network System และ Telegram Data Collection System นักวิจัยยังโยงซอฟต์แวร์ FCN ไปยังมัลแวร์ WHIPWEAVE และเครือข่าย RedRelay ที่เชื่อมโยงกลุ่ม APT15

นักวิจัย Zscaler ThreatLabz พบแคมเปญจารกรรมโจมตีหน่วยงานรัฐในตะวันออกกลาง ปล่อยมัลแวร์ใหม่ 3 ตัว คือ TELESHIM, MIXEDKEY และ BINDCLOAK โดย TELESHIM เป็นแบ็กดอร์ที่ใช้ Telegram API เป็นช่องทางสั่งการ (C2) เพื่ออำพรางให้กลืนกับทราฟฟิกปกติ ห่วงโซ่โจมตีเริ่มจากไฟล์ ISO และเทคนิค DLL side-loading พร้อมการอำพรางโค้ดหนัก ประเมินด้วยความมั่นใจปานกลางถึงสูงว่าผู้โจมตีมาจากเอเชียตะวันออก

กลุ่มจารกรรมที่รัฐรัสเซียหนุนหลังใช้เวลาหลายเดือนแอบอ่านกล่องอีเมลของหน่วยงานฝั่งตะวันตกผ่านช่องโหว่ zero-day ในเว็บเมล Zimbra ช่องโหว่ CVE-2025-66376 เป็น stored XSS ใน Classic UI ที่รันจาวาสคริปต์ทันทีเมื่อเหยื่อเปิดอีเมล HTML ที่ถูกดัดแปลง โดยไม่ต้องคลิกอะไรเพิ่ม เพย์โหลด ZimReaper ขโมยอีเมล 90 วันย้อนหลัง สมุดที่อยู่ทั้งองค์กร รหัสผ่านในเบราว์เซอร์ และรหัสกู้คืน 2FA NSA และ CISA ออกคำเตือนร่วมพร้อม Unit 42 และ Proofpoint

Hunt.io และนักวิจัย Bob Diachenko พบผู้โจมตีติดตั้งเอเจนต์ AI โอเพนซอร์ส Hermes บนเซิร์ฟเวอร์เช่า เปิดโหมด YOLO ที่ปิดการขออนุญาตก่อนรันคำสั่ง แล้วสั่งให้ไล่เจาะเครือข่ายกระทรวงการคลังไทยเอง ทั้งสแกนหาช่องยกสิทธิ์ root และไล่อ่านไฟล์ประวัติบุคลากรย้อนถึงปี 2012 ผู้โจมตีเผลอเปิด directory listing ทำให้ log และเครื่องมือ 585 ไฟล์หลุด สคริปต์เล็งเจาะ Hadoop ที่ตั้งค่ารับรหัสผ่านอะไรก็ได้ ยังไม่พบข้อมูลถูกส่งออก

บริษัท Group-IB พบเซิร์ฟเวอร์ Alibaba Cloud ที่ตั้งค่าเปิดโล่ง เผยปฏิบัติการเชื่อมโยงจีนชื่อ JadeProx ที่เจาะหน่วยงานรัฐ สาธารณสุข และการศึกษาทั่วเอเชียและลาตินอเมริกา ด้วย Windows loader ตัวใหม่ชื่อ TriBack Loader ที่ใช้เทคนิค DLL sideloading ปฏิบัติการนี้เจาะระบบภาพทางการแพทย์ของโรงพยาบาลรัฐเวียดนามและกระทรวงการต่างประเทศมาเลเซีย และยังปลอมเป็นซอฟต์แวร์ Claude ของ Anthropic ผ่านเว็บปลอม claude-pro[.]com เพื่อหลอกติดตั้งมัลแวร์