Hunt-Io

บริษัท Hunt.io นำตัวบ่งชี้ของ BraZetsu ที่ Group-IB เผยแพร่เมื่อ 31 ส.ค. 2569 มาเทียบกับคลังใบรับรอง TLS ของตน พบว่าโฮสต์ C2 ย้ายไปเซิร์ฟเวอร์ใหม่ที่ Njalla ตั้งแต่ 4 เม.ย. หรือเกือบ 5 เดือนก่อนรายงาน ผู้ควบคุมใช้ Hestia Control Panel และตั้งชื่อโฮสต์ขึ้นต้น painel. หรือ c2. บนพอร์ตที่ไม่ใช่ 443 ซ้ำเดิมแม้เปลี่ยนผู้ให้บริการ แฮชมัลแวร์เปลี่ยนไป 5 เวอร์ชันใน 4 เดือน แต่รูปแบบโครงสร้างคงที่ตั้งแต่ ก.พ. ถึง มิ.ย. Hunt.io จึงแนะนำให้สร้างกฎตรวจจับจากรูปแบบแทนการไล่บล็อก IP

บริษัทข่าวกรองภัยคุกคาม GreyNoise เปิดเผยเมื่อวันที่ 9 กันยายน 2569 ว่าผู้โจมตีที่คาดว่าพูดภาษารัสเซียใช้เอเจนต์ AI หลายร้อยตัวที่ฝึกในห้องแล็บไล่หาซอฟต์แวร์จัดการงานพิมพ์ PaperCut ที่เปิดสู่อินเทอร์เน็ต แล้วเจาะช่องโหว่สองตัวบนอย่างน้อย 440 เครื่องของ 395 องค์กรใน 48 ประเทศ จุดที่น่าตกใจคือความเร็ว จากพื้นที่ทำงานว่างเปล่าถึงรันโค้ดได้ในไม่ถึง 4 ชั่วโมง ได้สิทธิ์ผู้ดูแลโดเมนใน 2 ชั่วโมงถัดมา และเมื่อเปิดแคมเปญเต็มรูปแบบก็ยึดได้อย่างน้อย 11 องค์กรใน 26 วินาที

นักวิจัยจาก Hunt.io เปิดเผยแคมเปญชื่อ Operation CameraSwarm ที่ยึดอุปกรณ์ Dahua ได้มากกว่า 14,530 เครื่องระหว่าง 17 มิถุนายน ถึง 22 กรกฎาคม 2569 ด้วยสามเส้นทางคือการโจมตีข้อมูลรับรอง ช่องโหว่ข้ามการยืนยันตัวตนสองรายการจากปี 2564 และการใช้รีเลย์ P2P ของผู้ผลิตเอง ข้อมูลทั้งหมดถูกประกอบขึ้นจากไดเรกทอรีทำงานขนาด 407 MB ที่ผู้โจมตีเปิดทิ้งไว้ เหยื่อที่ยืนยันได้กระจุกอยู่ในยูเครนและรัสเซีย โดยยังไม่มีการระบุตัวผู้อยู่เบื้องหลัง

Hunt.io และนักวิจัย Bob Diachenko พบผู้โจมตีติดตั้งเอเจนต์ AI โอเพนซอร์ส Hermes บนเซิร์ฟเวอร์เช่า เปิดโหมด YOLO ที่ปิดการขออนุญาตก่อนรันคำสั่ง แล้วสั่งให้ไล่เจาะเครือข่ายกระทรวงการคลังไทยเอง ทั้งสแกนหาช่องยกสิทธิ์ root และไล่อ่านไฟล์ประวัติบุคลากรย้อนถึงปี 2012 ผู้โจมตีเผลอเปิด directory listing ทำให้ log และเครื่องมือ 585 ไฟล์หลุด สคริปต์เล็งเจาะ Hadoop ที่ตั้งค่ารับรหัสผ่านอะไรก็ได้ ยังไม่พบข้อมูลถูกส่งออก