Iran

Semperis รายงานว่ากลุ่ม Prince of Persia หรือ Infy ซึ่งรัฐบาลอิหร่านหนุนหลัง ตั้งเซิร์ฟเวอร์ C&C ในสหรัฐฯ เป็นครั้งแรกนับจากปี 2559 กลุ่มหยุดปฏิบัติการ 3 เดือนหลังรายงานของ SafeBreach ในเดือนกุมภาพันธ์ 2569 ซึ่งตรงกับช่วงสงครามอิหร่านกับสหรัฐฯ และอิสราเอล และกลับมาขโมยข้อมูลอีกครั้งเมื่อ 27 พฤษภาคม เซิร์ฟเวอร์ใหม่ของมัลแวร์ Tornado ซ่อนอยู่บน shared hosting ของ Namecheap แทน VPS จากนั้นกลุ่มย้ายไปหลบหลัง Cloudflare

Dream พบกลุ่มจารกรรม DarkBlinders ใช้แอปประชุมปลอม StarkMeet และหน้าเว็บเมลรัฐบาลปลอม เล็งอิสราเอลและเขตปกครองเคอร์ดิสถานของอิรักระหว่าง ส.ค.-ต.ค. 2569 ยืนยันเหยื่อ 2 ราย คือคลาวด์รัฐบาลเคอร์ดิสถานที่ถูกดูดข้อมูลกว่า 1 GB และบุคคลสายความมั่นคงของอิสราเอล แบ็กดอร์ลงทะเบียนเครื่องและรับคำสั่งผ่าน repo บน GitHub และกู้โทเคนใหม่จากคอมเมนต์ใน issue ของ Microsoft/vscode ผู้โจมตีเลือกเปิดขั้นที่สองเฉพาะเป้าที่ต้องการ Dream เชื่อมโยงกับ UNC5795 และ Dust Specter ระดับปานกลางถึงสูง

DomainTools เปิดเผยว่าตั้งแต่ 1 มี.ค. 2569 โดเมน supaghost[.]cc สร้างข้อมูล passive DNS สูงสุด 500,000 รายการต่อวินาที รวม 40,000 ล้านรายการ จนระบบรับข้อมูลของบริษัทคอขวด ข้อมูลส่วนใหญ่เป็นเรคคอร์ด TXT ที่มีโครงสร้างแบบ VPN-over-DNS กิจกรรมเริ่มราว 24 ชั่วโมงหลังสหรัฐฯ และอิสราเอลเริ่มทิ้งระเบิดอิหร่าน และลามไปกว่า 100 โดเมนโดยมี .ir มากผิดปกติ DomainTools ไม่ได้ถอดรหัสข้อมูล จึงยังไม่ทราบผู้ควบคุม เนื้อหา หรือจุดประสงค์ ตัวเลข 40,000 ล้านนับการสังเกต DNS ไม่ใช่ปริมาณข้อมูลที่ถูกส่ง

ศาลมอนเตเนโกรอนุมัติส่งตัวนาย Amir Barati ชาวอิหร่าน-ตุรกีวัย 40 ปีให้สหรัฐฯ หลังถูกจับขณะพักร้อนที่เมือง Kotor เมื่อ 25 มิถุนายน ตามหมายของ FBI เขาเป็นหนึ่งใน 17 จำเลยของคดีที่กระทรวงยุติธรรมสหรัฐฯ ฟ้องเมื่อสิงหาคม ฐานร่วมปฏิบัติการผ่าน Mabna Institute ในนาม IRGC อัยการกล่าวหาว่าเขาติดตามแคมเปญสเปียร์ฟิชชิง แจกจ่ายรหัสผ่านที่ขโมยมา และเขียนอีเมลฟิชชิงเอง แคมเปญนี้เจาะบัญชีอาจารย์ราว 8,000 บัญชี ดูดข้อมูลอย่างน้อย 31 TB สร้างความเสียหายประมาณ 3.4 พันล้านดอลลาร์

แฮ็กเกอร์ต่างชาติเจาะระบบ OT ของการประปาเอกชนขนาดเล็ก 2 แห่งในรัฐโคโลราโดช่วงปลายเดือนสิงหาคม โดยเปลี่ยนค่าอุปกรณ์ ปิดการเข้าถึงระยะไกลและสัญญาณเตือน และปรับรอบการสูบน้ำ เหตุเกิดสั้น ๆ ไม่กระทบคุณภาพน้ำหรือความปลอดภัยประชาชน ทางการยังไม่ระบุตัวผู้โจมตี แต่ CISA เตือนว่ามีกลุ่มหนุนหลังโดยอิหร่านพยายามเข้าถึงระบบน้ำทั่วสหรัฐฯ ต่อเนื่องจากคลื่นโจมตีระบบ PLC ที่เปิดสู่อินเทอร์เน็ตเมื่อเดือนกรกฎาคม

หน่วยยามฝั่งสหรัฐและ FBI ขึ้นตรวจเรือบรรทุกน้ำมัน 2 ลำที่มุ่งหน้าสู่รัฐเท็กซัสเมื่อเดือนสิงหาคม หลังถูกโจมตีทางไซเบอร์ระหว่างการเดินทาง เรือ VL Prosperity ถูกเข้าถึงห้องเครื่อง ลดการไหลของน้ำหล่อเย็น เร่งรอบเครื่องยนต์ และตัดการสื่อสารนานราว 30 ชั่วโมง ผู้บัญชาการไซเบอร์ของหน่วยยามฝั่งยืนยันพบหลักฐานผู้ไม่หวังดี แต่ยังไม่ฟันธงว่าเป็นฝีมืออิหร่าน นับเป็นหนึ่งใน 40-50 เหตุที่ทีมป้องกันไซเบอร์ต้องขึ้นตรวจเรือในรอบปี

Group-IB เปิดโปง HEAVYGRAM แบ็กดอร์สอดแนม Windows ที่เปลี่ยน Telegram ให้เป็นศูนย์บัญชาการ ใช้บอต บัญชี และกลุ่มรับคำสั่ง ส่งข้อมูลที่ขโมย และควบคุมเครื่องที่ติด แทนการพึ่งเซิร์ฟเวอร์เฉพาะ มัลแวร์ถูกใช้มาตั้งแต่ปลายปี 2566 เล่นงานนักข่าว ผู้เห็นต่างอิหร่าน และผู้ที่มีจุดยืนต่อต้านรัฐบาลอิหร่าน นักวิจัยพบตัวอย่างเพิ่มอีก 29 ชิ้นและเชื่อมโยงปฏิบัติการกับกลุ่ม Handala Hack ด้วยความมั่นใจปานกลาง ความสามารถครอบคลุมการจับภาพหน้าจอ อัดเสียง และขโมยข้อมูล Telegram Desktop

หน่วยงานความมั่นคงไซเบอร์ของสหรัฐ อังกฤษ และเนเธอร์แลนด์ ออกประกาศร่วมเมื่อ 15 กันยายน เปิดโปงมัลแวร์ Windows ที่หน่วยข่าวกรองอิหร่านใช้สอดแนมผู้เห็นต่าง นักข่าว และนักเคลื่อนไหวทั่วโลก มัลแวร์นี้ FBI เรียก HEAVYGRAM ส่วน NCSC เรียก CHOSEN BRICK ควบคุมผ่านแอป Telegram คัดลอกอีเมลและแชท จับภาพหน้าจอ และเปิดไมโครโฟนอัดเสียงได้ FBI ชี้ว่าเป็นฝีมือกระทรวงข่าวกรองอิหร่าน (MOIS)

บริษัท Kaspersky เชื่อมโยงมัลแวร์สองตระกูลใหม่ NodeRabbit และ PollCat เข้ากับกลุ่มอิหร่าน Nimbus Manticore ซึ่งเป็น RAT ข้ามแพลตฟอร์มที่เขียนด้วย Node.js และ JavaScript ทำให้กลุ่มขยายเป้าหมายไปถึงเครื่อง Linux และ macOS ผู้โจมตีปลอมเป็นเจ้าหน้าที่สรรหาบุคลากรของบริษัทเทคโนโลยีรายใหญ่บน LinkedIn แล้วส่งไฟล์โจทย์เขียนโค้ดที่ฝังมัลแวร์ไว้ โดยแนบแพ็กเกจ npm ปลอมมาในโฟลเดอร์ node_modules ของไฟล์โจทย์โดยตรงแทนการเผยแพร่ขึ้นคลังสาธารณะ

บริษัท Group-IB เผยผลวิเคราะห์ใหม่ของกลุ่ม Nimbus Manticore ที่เชื่อมโยงกับกองกำลังพิทักษ์การปฏิวัติอิสลามของอิหร่าน พบโครงสร้างพื้นฐานของ Tortoiseshell กระจายทั้งยุโรปและตะวันออกกลาง พร้อมมัลแวร์ที่ยังไม่เคยมีการบันทึกไว้สองตัว ทั้งเครื่องมือทำ reverse SSH tunnel และแบ็กดอร์ภาษา C++ ที่ทับซ้อนกับ TWOSTROKE ทั้งคู่ปลอมตัวเป็นไฟล์ของ Windows Terminal Server SDK เพื่อกลมกลืนกับระบบ