Mirai

สองวันหลัง PHP ออกแพตช์ฉุกเฉิน PHP2Shell ผู้โจมตีไล่ใช้ช่องโหว่อย่างหนัก แต่ ณ 23 ตุลาคม 2569 ยังไม่มีการยืนยันว่ามีระบบถูกเจาะ Sophos พบความพยายามติดตั้ง Potassium บอตเน็ตสายพันธุ์ Mirai ซึ่งถูกสกัดไว้ได้ ส่วน SOCRadar และ Hunt.io พบชุดโค้ดโจมตีที่ทดสอบกับเซิร์ฟเวอร์ 123 เครื่องโดยไม่สำเร็จสักเครื่อง VulnCheck แสดงว่าข้าม ASLR บนเครื่องแบบโปรดักชันได้จริง ความเสี่ยงที่ใหญ่กว่า คือ PHP ราว 71% ที่ Qualys สำรวจยังใช้เวอร์ชันหมดอายุซึ่งไม่มีวันได้แพตช์

FBI และกระทรวงยุติธรรมสหรัฐฯ ยึด 7 โดเมนและตัดการเข้าถึงเครื่องมือของบริษัท Integrity Technology Group ที่โยงกับกลุ่ม Flax Typhoon ของจีน เครื่องมือหลักคือ MicroScan ที่มีสคริปต์ทดสอบเจาะกว่า 1,300 ตัว และ FishHub สำหรับฟิชชิงแบบเจาะจงเป้าหมาย เป้าหมายรวมบริษัทไฟฟ้าในเซาท์แคโรไลนา สนามบินญี่ปุ่นและโปแลนด์ และโครงสร้างพื้นฐานก๊าซและไฟฟ้าของไต้หวัน FishHub ยืนยันเหยื่อแล้ว 20 มหาวิทยาลัยในไต้หวัน การยึดเกิดคู่กับคำเตือนร่วมของ 7 ประเทศ

นักวิจัยจาก FortiGuard Labs เปิดโปงบ็อตเน็ต Linux ตัวใหม่ชื่อ Evooo1Bot ที่ต่อยอดจากซอร์สโค้ด Mirai ที่หลุดสู่สาธารณะ แต่เพิ่มความสามารถเข้าไปอีกมาก ทั้งการสื่อสาร C2 แบบเข้ารหัส ตัวสแกนเดารหัสผ่าน SSH โมดูลรีเลย์ SOCKS ตัวดักข้อมูลยืนยันตัวตน และคลังโค้ดโจมตีช่องโหว่ที่รู้จักแล้วกว่าสิบรายการ เป้าหมายคืออุปกรณ์ที่เปิดสู่อินเทอร์เน็ตอย่างเราเตอร์ ไฟร์วอลล์ และกล้องไอพี เพื่อเปลี่ยนให้เป็นพร็อกซีสำหรับฟอกทราฟฟิกของผู้โจมตี

บริษัท Palo Alto Networks Unit 42 เปิดเผยบอตเน็ต IoT ตัวใหม่ชื่อ TuxBot v3 Evolution ที่มีร่องรอยการใช้ AI (LLM) ช่วยพัฒนา โดยผู้เขียนลืมลบข้อความปฏิเสธความรับผิดและบันทึกการคิดของ AI ที่หลงเหลือในโค้ด บอตนี้ cross-compile ได้หลายสถาปัตยกรรม เดารหัส Telnet จาก 1,496 คู่ และใช้ช่องโหว่โจมตี IoT กว่า 30 ตระกูล มี C2 หลายช่องทางพร้อมแผงเช่า DDoS เชื่อมโยงกลุ่ม Keksec

นักวิจัยจาก XLab ของ QiAnXin เปิดเผยบอตเน็ตใหม่ชื่อ RustDuck ที่ยึดเราเตอร์บ้าน กล้อง IP กล่อง Android และเซิร์ฟเวอร์ที่ป้องกันหละหลวม เพื่อรวมเป็นเครือข่ายโจมตี DDoS จุดเด่นคือกำลังถูกเขียนใหม่จากภาษา C เป็น Rust ซึ่งวิเคราะห์ยากขึ้น และมีกลไกหลบการวิเคราะห์ขั้นสูง เช่น ตรวจ sandbox เครื่องมือวิเคราะห์ และ VM แพร่ผ่านรหัสผ่านอ่อนและช่องโหว่เก่าหลายตัวรวมถึง CVE-2017-17215 และ CVE-2025-29635 ใช้ ChaCha20-Poly1305 และ duckdns.org เป็นช่องทางควบคุม