Inc-Ransomware

Unit 42 ของ Palo Alto Networks ยังพบกลุ่มแรนซัมแวร์ใช้ช่องโหว่ CVE-2026-0257 (CVSS 7.8) ใน PAN-OS และ Prisma Access ที่แพตช์ไปตั้งแต่พฤษภาคม กลุ่มที่ระบุชื่อคือ Qilin และ INC ซึ่งใช้ช่องโหว่ข้าม MFA ตั้งเซสชัน VPN เข้าเครือข่ายเหยื่อ จุดที่เปลี่ยนไปคือการกระโดดตรงเข้าระบบเสมือน ทั้ง vCenter และ ESXi แล้วดึง credential จากดิสก์เสมือนของ DC แบบออฟไลน์เพื่อหลบ EDR ผู้โจมตียังเล็ง Veeam ผ่าน CVE-2023-27532

FBI และหน่วยสืบราชการลับสหรัฐฯ (USSS) เตือนว่าแคมเปญ FortiBleed ยังโจมตี FortiGate และ SSL VPN ที่เปิดสู่อินเทอร์เน็ตอยู่ ผู้โจมตีสแกนอุปกรณ์ด้วย credential ที่เคยขโมยได้ และอาศัยการเก็บรหัสผ่านแบบ SHA-256 รุ่นเก่าที่แคร็กได้ง่าย แคมเปญนี้เก็บ credential ที่ใช้ได้จริงไปแล้วกว่า 86,644 ชุดใน 194 ประเทศ คำเตือนรวมรายชื่อบัญชีแอดมินปลอมที่ผู้โจมตีสร้างเพื่อคงสิทธิ์ บางกรณีผู้โจมตีลบหรือเปลี่ยนรหัสบัญชีเดิมจนองค์กรเข้าอุปกรณ์ตัวเองไม่ได้

บริษัท Resecurity รายงานว่ากลุ่มแรนซัมแวร์ INC เป็นผู้ใช้ช่องโหว่คู่ CVE-2026-15409 และ CVE-2026-15410 ในอุปกรณ์ SonicWall SMA1000 มากที่สุดในเวลานี้ ช่องโหว่ทั้งคู่ถูกแพตช์เมื่อ 14 ก.ค. และเข้าบัญชี KEV วันเดียวกัน แต่ถูกใช้โจมตีแบบ zero-day มาตั้งแต่ 22 มิ.ย. ต้นเดือนสิงหาคมกลุ่มนี้เร่งเผยแพร่เหยื่อรายใหม่บนเว็บไซต์ปล่อยข้อมูลทั้งเอกชนและหน่วยงานรัฐหลายประเทศ ที่แปลกคือเหยื่อหลายรายถูกอีเมลและโทรศัพท์จากคนแปลกหน้าที่อ้างว่าจะช่วยจัดการปัญหาแรนซัมแวร์

บริษัท Volexity เปิดเผยว่ากลุ่มภัยลึกลับ UTA0533 ใช้ zero-day คู่ในอุปกรณ์ SonicWall SMA 1000 คือ CVE-2026-15409 (CVSS 10.0) และ CVE-2026-15410 (CVSS 7.2) เจาะถึงสิทธิ์ root ตั้งแต่ 22 มิ.ย. 2569 ก่อนแพตช์ออก ผู้โจมตีวางมัลแวร์เฉพาะทาง ROOTRUN, KNUCKLEBALL และเว็บเชลล์ ORANGETAIL พร้อมดักรหัสผ่านจากทราฟฟิก LDAP ล่าสุด Rapid7 ระบุว่าแรนซัมแวร์ INC กลายเป็นผู้ใช้ช่องโหว่ชุดนี้รายใหญ่ที่สุด เป็นการต่อยอดเชิงลึกจากประกาศเตือนของ SonicWall ก่อนหน้า