Kaspersky

Kaspersky GReAT เปิดโปง NetamLoader มัลแวร์ที่เล็ง Windows 10 รุ่นพิเศษของหน่วยงานรัฐในเอเชีย มัลแวร์ซ่อนในไฟล์ CAB ในโฟลเดอร์อัปเดตของ Windows ยืมไฟล์ Patch My PC และโมดูลที่ Microsoft เซ็นเพื่อรันโค้ดผ่าน AppDomainManager injection และ BinaryFormatter แล้วปิด AMSI ลบล็อก และรันตัวสุดท้ายใน dllhost.exe ตัวสุดท้ายรอ 20-40 นาทีก่อนติดต่อ openaigpt4v[.]com เพื่อหลบ sandbox พบเหยื่อรายเดียวและยังไม่โยงกับกลุ่มใด ผู้ดูแลควรเฝ้าไฟล์ .config แปลกในโฟลเดอร์อัปเดตและส่งล็อกขึ้นศูนย์กลาง

Kaspersky รายงานเมื่อ 22 ตุลาคม 2569 ว่าพบ UEFI bootkit ใหม่ชื่อ BlackX ในการจารกรรมหน่วยงานการทูตของทาจิกิสถาน อุซเบกิสถาน และเติร์กเมนิสถาน มัลแวร์ใช้ช่องโหว่ Baton Drop (CVE-2022-21894) ทะลุ Secure Boot และมีโครงสร้างร่วมกับ BlackLotus เครื่องเหยื่อติดตั้งอัปเดต Windows แล้ว แต่ยังไม่ได้เพิกถอนใบรับรอง Windows Production PCA 2011 ไดรเวอร์ของมันปิดการมองเห็นของเครื่องมือความปลอดภัยและติดตั้ง RAT ที่ใช้คลาวด์เป็น C2 Kaspersky โยงกับ APT41 ด้วยความเชื่อมั่นปานกลาง

Kaspersky เปิดเผย Operation FlashHole ของกลุ่ม Lazarus ที่เจาะองค์กรเกาหลีใต้อย่างน้อย 3 แห่งในภาคซอฟต์แวร์ ก่อสร้าง และอุปกรณ์สื่อสาร ห่วงโซ่การโจมตีรันโค้ดอันตรายภายใต้โปรเซสของ CrossWeb EX โปรแกรมความปลอดภัยที่ใช้เข้าเว็บธนาคารและเว็บรัฐ มัลแวร์ LPEClient ใช้ ML-KEM-1024 ซึ่งเป็นการเข้ารหัสหลังควอนตัมตามมาตรฐาน FIPS 203 สร้างกุญแจป้องกันเพย์โหลดขั้นถัดไประหว่างส่ง เพย์โหลดถูกถอดรหัสด้วย Threefish แล้วรันในหน่วยความจำ หลักฐานแรกสุดย้อนไปถึงกรกฎาคม 2568

ทีม GReAT ของบริษัท Kaspersky เปิดเผยมัลแวร์หลายสเตจตัวใหม่ที่แพร่ผ่าน torrent หนังดังอย่าง The Odyssey หลังคลังไฟล์ torrent สาธารณะแห่งหนึ่งถูกยึดเป็นช่องทางส่ง payload มัลแวร์ใช้ loader ตรวจจับ sandbox ของแอนติไวรัส ฝังตัวถาวร และ bypass UAC เพื่อยกสิทธิ์ผู้ดูแลระบบบน Windows จุดเด่นคือใช้บล็อกเชน Solana ดึงที่อยู่เซิร์ฟเวอร์ C2 ทำให้ปิดโครงสร้างได้ยาก พบเหยื่อหลายร้อยรายในหลายประเทศ ทั้งภาคเอกชน รัฐ ไอที ค้าปลีก ขนส่ง และเกษตร โดยแคมเปญเริ่มตั้งแต่กลางเดือนสิงหาคมและยังดำเนินอยู่

Kaspersky เผยการโจมตีของแรนซัมแวร์ PAYLOAD ที่ใช้ Group Policy Object (GPO) บน Active Directory ป่วนทั้งโดเมน Windows โดยไม่เข้ารหัสไฟล์และไม่วางไฟล์แรนซัมแวร์ ผู้โจมตีเข้าองค์กรผู้ผลิตในตะวันออกกลางผ่าน FortiGate SSL VPN ด้วยบัญชีที่ถูกขโมย แล้วสร้าง GPO ชื่อ PAYLOAD ผูกที่รากโดเมนเพื่อเปลี่ยนวอลเปเปอร์ ปิดไฟร์วอลล์และบัญชีผู้ดูแล พร้อมขโมยข้อมูลไปแฉบนดาร์กเว็บ เป็นโมเดลกรรโชกแบบไม่เข้ารหัส

นักวิจัยที่ใช้ชื่อ Chaotic Eclipse เผยแพร่ PoC ของช่องโหว่ยกระดับสิทธิ์ที่ยังไม่มีแพตช์ชื่อ FalconFlank ซึ่งใช้ประโยชน์จากกลไกลบมาโครอันตรายของ Microsoft Office ใน CrowdStrike Falcon Sensor โดยระบุว่าทำงานได้บน Windows 11 25H2 และ Windows Server 2025 ที่อัปเดตครบ บริษัท CrowdStrike ยืนยันว่ากำลังตรวจสอบและแนะให้ลูกค้าปิดนโยบายดังกล่าวไว้ก่อน นักวิจัยรายเดียวกันยังปล่อย PoC ของ Kaspersky, Microsoft Defender, NVIDIA และ Avast ในช่วงไม่กี่สัปดาห์ที่ผ่านมา

บริษัท Kaspersky เผยผลติดตามเฟรมเวิร์ก C2 ชื่อ Cavern หรือ Cav3rn ของแฮ็กเกอร์อิหร่านที่โจมตีองค์กรในอิสราเอล พบโมดูลสื่อสารตัวใหม่ GoogleService.dll ใช้คำตอบ DNS A-record เลือกเป็นรายทรานแซกชันว่าจะคุยกับ C2 ผ่าน HTTPS ตรงหรือรีเลย์ผ่าน Google Apps Script โครงสร้าง DNS เดียวกันยังใช้เปลี่ยน deployment ID ของรีเลย์ได้ ทำให้หมุนช่องทางฝั่ง Google ได้เรื่อย ๆ Kaspersky โยงเฟรมเวิร์กนี้เข้ากับ OilRig ด้วยความมั่นใจต่ำ และประเมินว่าจะขยายตัวต่อไป

บริษัท Kaspersky ตรวจพบเมื่อกรกฎาคม 2569 ว่ากลุ่ม Head Mare กลับมาโจมตีเซิร์ฟเวอร์ TrueConf ที่ยังไม่แพตช์อีกครั้ง เป้าหมายคือบริษัทรัสเซียในกลุ่มเครื่องมือวัด อิเล็กทรอนิกส์ ขนส่ง พลังงาน และไอที ผู้โจมตีเชื่อมต่อพอร์ต 4307 ที่เปิดเป็นค่าเริ่มต้น แล้วใช้ช่องโหว่สองตัวต่อกันเพื่อหลุดออกจากสภาพแวดล้อมแยกส่วนและรันคำสั่งด้วยสิทธิ์ SYSTEM ก่อนวางเว็บเชลล์และสลับไฟล์ติดตั้งไคลเอนต์เป็นเวอร์ชันที่ฝังแบ็กดอร์ PhantomCore ผู้ผลิตออกแพตช์แล้วตั้งแต่ 18 มิถุนายน

นักวิจัยพบโหลดเดอร์ประสงค์ร้ายหลายตัวที่โฮสต์อยู่บน Google Play โดยตรง ทำหน้าที่ปูทางให้มัลแวร์ธนาคารบนแอนดรอยด์ชื่อ Anatsa แอปที่ดูมีประโยชน์อย่างโปรแกรมอ่าน PDF จะแสดงหน้าต่างอัปเดตปลอมหลังเปิดใช้งาน แล้วใช้การอัปเดตนั้นเป็นเส้นทางติดตั้งมัลแวร์ตัวจริง ตัวอย่างที่ชื่อ Cleanova ส่งข้อมูลที่เก็บจาก SDK ไปยังเซิร์ฟเวอร์สั่งการเพื่อคัดกรองว่าจะส่งเพย์โหลดกลับมาหรือไม่ ทำให้การตรวจคัดกรองของร้านแอปทำได้ยากขึ้น

กลุ่มแฮ็กเกอร์อิหร่านที่รัฐหนุนหลังชื่อ Nimbus Manticore (UNC1549) ถูกโยงเข้ากับการโจมตีชุดใหม่ที่พุ่งเป้าองค์กรในตะวันออกกลาง แอฟริกา และเอเชียใต้ การบุกรุกใช้แบ็กดอร์ Windows ตัวใหม่ที่ไม่เคยถูกบันทึกมาก่อนชื่อ NightLedger และเครื่องมือทำอุโมงค์ผ่าน WebSocket แบบกำหนดเองอีก 2 ตัวคือ BridgeHead และ ArcBridge เพื่อคงการเข้าถึงแบบลับ NightLedger ถูกโหลดผ่าน DLL side-loading และรองรับคำสั่งสำรวจระบบ รันโปรเซส จับภาพหน้าจอ และส่งไฟล์ออก ตามรายงานของบริษัท Kaspersky