Lnk

Darktrace เปิดเผย CikaBika Bot มัลแวร์ RAT เขียนด้วย Rust ที่รับคำสั่งทั้งหมดผ่าน Discord โดยสร้างช่องแชตแยกสำหรับเครื่องเหยื่อแต่ละเครื่อง การติดเชื้อเริ่มจากไฟล์ดิสก์อิมเมจที่มี PDF ภาษาฝรั่งเศสเป็นเหยื่อล่อและไฟล์ shortcut ที่ปลอมเป็นเอกสาร Word ตัวโหลดภาษา Nim แกะ DLL ออกมาแล้วพยายามวางเป็น dbghelp.dll ในโฟลเดอร์ Microsoft Edge ด้วยการข้าม UAC ผ่าน computerdefaults.exe มัลแวร์รันคำสั่ง ขโมยไฟล์ จับภาพหน้าจอ เปิดกล้อง และใช้ ngrok ส่งไฟล์ใหญ่ออกไป

Cisco Talos และ Recorded Future รายงานว่ากลุ่ม Silent Lynx ซึ่งเชื่อมโยงกับคาซัคสถาน โจมตีหน่วยงานรัฐในภูมิภาค CIS ต่อเนื่องตั้งแต่มิถุนายน 2568 ถึงสิงหาคม 2569 เหยื่อและเหยื่อล่อครอบคลุม 9 ประเทศ ทั้งเอเชียกลาง อาร์เมเนีย อาเซอร์ไบจาน รัสเซีย และเบลารุส ผู้โจมตีส่งอีเมลฟิชชิงจากบัญชีรัฐที่ถูกยึด พร้อมใช้ 4 เส้นทางติดเชื้อ ตั้งแต่ไฟล์ Word มีมาโครจนถึงไฟล์ RAR ที่เจาะช่องโหว่ WinRAR CVE-2025-8088 ปลายทางคือ reverse shell อย่าง PickleShell และ FoalShell ที่ให้ผู้โจมตีควบคุมเครื่องจากระยะไกล

Genians เชื่อมหลักฐานจากหลายแหล่งเข้าด้วยกัน ชี้ว่า Kimsuky ของเกาหลีเหนือส่งฟิชชิงล้วงข่าวกรองสงครามจากหน่วยงานรัฐ นักนโยบาย และนักวิชาการยูเครน เป้าข้อมูลคือสถานการณ์รบ ความสูญเสียของทหารเกาหลีเหนือ และเชลยศึก 2 นายที่ถูกส่งตัวไปเกาหลีใต้ ผู้โจมตีใช้เทคนิคล่อให้ตอบกลับ ปลอมเป็นผู้จัดงาน KSCON 2026 เชิญเป็นวิทยากร แล้วส่งไฟล์ LNK ที่พรางเป็น PDF ใช้ GitHub และ GitLab เป็นที่เก็บสคริปต์ Proofpoint มองว่าเป็นผู้โจมตีระดับกลางที่ตรวจจับได้ไม่ยาก แต่ปริมาณการโจมตีทำให้ฝ่ายป้องกันเหนื่อย

บริษัท Cofense พบแคมเปญฟิชชิงเล็งโรงแรม ส่งอีเมลร้องเรียนปลอมเรื่องห้องสกปรกหรือขู่ฟ้อง พร้อมลิงก์ไปยัง ‘รูปหลักฐาน’ ไฟล์บีบอัดมีไฟล์ LNK ปลอมเป็น JPG ที่ดาวน์โหลด Node.js แล้วติดตั้ง EtherRAT หรือ TONResolver มัลแวร์ทั้งสองอ่านที่อยู่ C2 จากสมาร์ตคอนแทรกต์บน Ethereum และ TON ทำให้การปิดโดเมนอย่างเดียวหยุดไม่ได้ Cofense ประเมินว่าน่าจะต่อยอดจากแคมเปญฟิชชิงธีม Booking.com เดิม

SOCRadar เปิดโปงแคมเปญ Operation Conflict Compass ที่ใช้ไฟล์ทางลัดวินโดวส์ปลอมเป็น PDF เพื่อติดตั้งตัวดาวน์โหลดมัลแวร์ชื่อ VelvetCake เล่นงานคนและองค์กรที่ทำงานเกี่ยวกับยูเครน นักวิจัยเชื่อมโยงกับ Konni กลุ่มจารกรรมที่โยงเกาหลีเหนือด้วยความมั่นใจปานกลาง เหยื่อเป้าหมายคือสายการทูต งานวิจัยนโยบายและ NGO มัลแวร์เก็บข้อมูลระบบ จับภาพหน้าจอและส่งไฟล์ออกได้ แต่รายงานยังไม่ยืนยันจำนวนเหยื่อ

บริษัท Genians ของเกาหลีใต้เปิดเผยว่ากลุ่มจารกรรมไซเบอร์ Kimsuky ของเกาหลีเหนือเลิกพึ่งแชตบอตสาธารณะ แล้วหันมารันโมเดลภาษาแบบออฟไลน์บนเซิร์ฟเวอร์ของตัวเอง นักวิจัยพบเครื่องมือ Ollama, GPT4All และ Msty บนโครงสร้างพื้นฐานของกลุ่ม พร้อมฐานข้อมูล RAG ที่ถูกตั้งค่าไว้แล้ว และไลบรารีสำหรับฝังฟังก์ชัน AI ลงในซอฟต์แวร์ที่เขียนเอง Genians ไม่พบหลักฐานว่ากลุ่มฝึกโมเดลของตัวเอง และยังไม่มีรายงานว่าชุดเครื่องมือนี้ถูกใช้กับเหยื่อจริง

นักวิเคราะห์ของบริษัท Picus Security เปิดเผยปฏิบัติการล่าสุดของกลุ่มจารกรรม Patchwork หรือ Dropping Elephant ที่สร้างเส้นทางโจมตีแยกกันสองสายสำหรับ Windows และ Android ฝั่ง Windows เริ่มจากไฟล์ทางลัดชื่อ GRES3001.lnk ที่ทำให้ดูเหมือนเอกสาร PDF สัญญาพลังงาน เมื่อเปิดจะเรียก PowerShell แอบดาวน์โหลดส่วนประกอบเพิ่ม พร้อมตั้งงานตามเวลาชื่อ GoogleErrorReport ส่วนฝั่ง Android ใช้บทสนทนาแนวชู้สาวหลอกให้ย้ายไปติดตั้งแอปแชตที่ถูกฝังโค้ด ซึ่งบันทึกเสียงรอบตัวและสายสนทนาได้

บริษัท Blackpoint Cyber เปิดเผยโหลดเดอร์ภาษา Go ตัวใหม่ชื่อ HollowFrame และมัลแวร์ภาษา Rust ชื่อ Matryoshka ที่ถูกใช้โจมตีเครื่อง 2 เครื่องของสำนักงานกฎหมายแห่งหนึ่ง เริ่มจากอีเมลหลอกลวงแนบลิงก์ไปยังไฟล์บีบอัดที่เข้ารหัสซึ่งซ่อนไฟล์ LNK ปลอมเป็นเอกสารคดี เมื่อเปิดจะรัน PowerShell ดึงเพย์โหลดต่อ ยกระดับสิทธิ์ และลดทอนการป้องกันของ Microsoft Defender จุดเด่นคือ Matryoshka เวอร์ชันหนึ่งใช้ที่เก็บโค้ด GitHub ส่วนตัวเป็นกล่องจดหมายสั่งงานแทนการตั้งเซิร์ฟเวอร์ควบคุมเอง

นักวิจัยจากบริษัท LevelBlue เปิดโปงแคมเปญที่ใช้ไฟล์ช็อตคัต (LNK) อันตรายบน Windows เปลี่ยนการดาวน์โหลดธรรมดาให้กลายเป็นช่องทางรันโค้ดระยะไกล เริ่มจากอีเมลสแปมธีมจองที่พักหลอกให้เปิด ZIP ที่ซ่อน LNK ปลอมเป็นรูปภาพ เมื่อคลิกจะรัน PowerShell ที่ติดตั้ง Node.js ของแท้มาใช้เป็นสภาพแวดล้อมรันแบ็กดอร์แบบ fileless ผู้โจมตีดึงที่อยู่เซิร์ฟเวอร์ควบคุมผ่าน smart contract บนบล็อกเชน TON ด้วยเทคนิค EtherHiding เพื่อเลี่ยงการบล็อก นักวิจัยพบตัวอย่างใหม่ทุกวันและเชื่อมโยงกว่า 400 ตัวอย่างเข้ากับเครื่องเดียวกัน