North-Korea

Binance ตลาดคริปโตใหญ่สุดในโลกถูกขโมยสินทรัพย์ราว 6.3 พันล้านดอลลาร์เมื่อ 29 ตุลาคม 2569 ใหญ่กว่าเหตุ Bybit เกือบ 4 เท่า Binance ระบุว่าเหตุอาจเริ่มจากโน้ตบุ๊กวิศวกร DevOps ถูกเจาะจนผู้โจมตีส่งคำสั่งถอนเงินผ่านคอนเทนเนอร์บริการได้ โดยไม่พบว่ากุญแจส่วนตัวรั่ว TRM Labs และ Chainalysis ระบุด้วยความมั่นใจสูงว่าเป็นฝีมือ TraderTraitor ของเกาหลีเหนือ แต่ Elliptic เตือนว่ารูปแบบฟอกเงินต่างจากเดิม เงินราว 3 พันล้านดอลลาร์ถูกอายัดแล้ว แพลตฟอร์มคริปโตควรทบทวนการแยกสิทธิ์ระบบเซ็นธุรกรรมจากเครื่องนักพัฒนา

ESET ระบุว่า DeceptiveDevelopment กลุ่มสายเกาหลีเหนือ ขยับจากการหลอกนักพัฒนาด้วยงานปลอมมาเป็นการโจมตีซัพพลายเชน ระหว่างเมษายนถึงกันยายน 2569 กลุ่มนี้ใช้สิทธิ์ Git, SSH และ token ที่ขโมยจากนักพัฒนาแก้โค้ดใน repository ของเหยื่อ แล้วแต่ง commit history แพ็กเกจที่ถูกฝังกระจายผ่าน npm, Go module mirror, Packagist, PyPI และร้านส่วนขยายเบราว์เซอร์ ปลายทางเป็น OmniStealer และ DEV#POPPER RAT ที่ฝังตัวใน VS Code, Cursor และ Discord นักพัฒนาไม่ควรรันโค้ดจากผู้สรรหาบนเครื่องทำงาน

PHP2Shell ช่องโหว่ RCE วิกฤตใน PHP มีเหยื่อที่ถูกเจาะสำเร็จรายแรกแล้ว คือ หน่วยงานรัฐแห่งหนึ่งในยุโรป ตามรายงานของ Unit 42 ผู้โจมตีใช้เอเจนต์ AI สั่งงานแทนคน ได้ hash รหัสผ่านและ secret ของ MFA ใน 2 ชั่วโมง แล้วเจาะต่อเข้า Active Directory ขณะเดียวกัน CYFIRMA พบกลุ่มที่สงสัยว่าเป็น Lazarus ของเกาหลีเหนือทำรายชื่อเซิร์ฟเวอร์ PHP ที่ยังไม่แพตช์ไว้ 216 เครื่อง รวมถึงในไทย การสแกนทำแบบช้าและเปลี่ยนต้นทางตลอด จึงหลบการแจ้งเตือนทั่วไปได้ ผู้ดูแลระบบควรอัปเกรด PHP ทันทีและตรวจล็อกหาร่องรอยการเจาะ

Kaspersky เปิดเผย Operation FlashHole ของกลุ่ม Lazarus ที่เจาะองค์กรเกาหลีใต้อย่างน้อย 3 แห่งในภาคซอฟต์แวร์ ก่อสร้าง และอุปกรณ์สื่อสาร ห่วงโซ่การโจมตีรันโค้ดอันตรายภายใต้โปรเซสของ CrossWeb EX โปรแกรมความปลอดภัยที่ใช้เข้าเว็บธนาคารและเว็บรัฐ มัลแวร์ LPEClient ใช้ ML-KEM-1024 ซึ่งเป็นการเข้ารหัสหลังควอนตัมตามมาตรฐาน FIPS 203 สร้างกุญแจป้องกันเพย์โหลดขั้นถัดไประหว่างส่ง เพย์โหลดถูกถอดรหัสด้วย Threefish แล้วรันในหน่วยความจำ หลักฐานแรกสุดย้อนไปถึงกรกฎาคม 2568

สหรัฐฯ จับกุมชาวอเมริกัน 2 คนในเพนซิลเวเนียและเท็กซัส ฐานช่วย IT worker เกาหลีเหนือหลอกได้งานทางไกลในบริษัทสหรัฐฯ คำฟ้อง 4 ข้อหาระบุว่าแผนนี้ดำเนินการตั้งแต่ปี 2019 ถึงกรกฎาคม 2025 สร้างรายได้ฉ้อโกงกว่า 3 ล้านดอลลาร์จากบริษัทกว่า 70 แห่ง และฟ้องผู้ร่วมขบวนการในจีนอีก 10 คน ปฏิบัติการ Lonestar Roundup ของ FBI ค้น 40 จุดในเท็กซัส ยึดแล็ปท็อปและอุปกรณ์ KVM 187 เครื่อง FBI ออกประกาศแนะนำแนวทาง identity in depth ให้ตรวจจับ IT worker ปลอมตลอดช่วงการจ้างงาน

หน่วย ASEC ของบริษัท AhnLab รายงานว่ากลุ่ม Kimsuky ใช้เรซูเมไฟล์ Hangul Word Processor ปลอมเป็นใบสมัครงานเพื่อปล่อยแรนซัมแวร์ Funhouse การเปิดไฟล์จะแตกไฟล์ VbsEdit กับสคริปต์ลงโฟลเดอร์ชั่วคราว และเมื่อคลิกลิงก์ในเอกสารจะเริ่มห่วงโซ่ Batch, VBS, PowerShell, แบ็กดอร์ Python และ Quasar RAT ที่ใช้ปล่อยแรนซัมแวร์ Funhouse เป็นสายพันธุ์ของ Endpoint ransomware โดย Quasar ใช้ mutex เดียวกันในเคสกุมภาพันธ์ มิถุนายน และกันยายน รายงานไม่ระบุจำนวนเหยื่อ

Genians เชื่อมหลักฐานจากหลายแหล่งเข้าด้วยกัน ชี้ว่า Kimsuky ของเกาหลีเหนือส่งฟิชชิงล้วงข่าวกรองสงครามจากหน่วยงานรัฐ นักนโยบาย และนักวิชาการยูเครน เป้าข้อมูลคือสถานการณ์รบ ความสูญเสียของทหารเกาหลีเหนือ และเชลยศึก 2 นายที่ถูกส่งตัวไปเกาหลีใต้ ผู้โจมตีใช้เทคนิคล่อให้ตอบกลับ ปลอมเป็นผู้จัดงาน KSCON 2026 เชิญเป็นวิทยากร แล้วส่งไฟล์ LNK ที่พรางเป็น PDF ใช้ GitHub และ GitLab เป็นที่เก็บสคริปต์ Proofpoint มองว่าเป็นผู้โจมตีระดับกลางที่ตรวจจับได้ไม่ยาก แต่ปริมาณการโจมตีทำให้ฝ่ายป้องกันเหนื่อย

Zscaler ThreatLabz พบ Terraform provider ปลอมชื่อ terraform-provider-awsbeta ที่แอบรันโค้ดอันตรายเมื่อ Terraform โหลดปลั๊กอิน แต่ยังทำงานแบบ provider ปกติ ตัวโหลดดึงไฟล์ฟอนต์ .woff ที่ซ่อนมัลแวร์เข้ารหัสตามระบบปฏิบัติการ ทั้ง Linux, macOS และ Windows มัลแวร์ FLATROOF ขโมยข้อมูลเบราว์เซอร์ คีย์เชน และกระเป๋าคริปโต ส่วน ROOFDECK หาที่อยู่ C2 ผ่าน Pastebin ที่มีลายเซ็น RSA และโปรไฟล์ Nostr Zscaler ชี้ว่าคล้าย TraderTraitor ของเกาหลีเหนือ แต่ยังไม่มีหลักฐานพอฟันธง

Bitget ยืนยันว่าการโจรกรรมคริปโท 387.5 ล้านดอลลาร์เกิดจากผู้โจมตีใช้ช่องโหว่ zero-day ในผลิตภัณฑ์ความปลอดภัยของบุคคลที่สามเพื่อขโมยข้อมูลรับรองระดับสูงภายใน SlowMist พบร่องรอยการเจาะระบบย้อนไปถึง 31 สิงหาคม 2569 ราวสามสัปดาห์ก่อนเงินถูกโอนออก Mandiant พบว่าผู้โจมตีวาง web shell บนอุปกรณ์ความปลอดภัยแล้วเคลื่อนที่เข้าเซิร์ฟเวอร์จัดการกระเป๋าเงิน เครื่องมือที่ใช้ขโมยถูกเขียนมาเฉพาะสำหรับตรรกะการถอนเงินของ Bitget เหตุนี้กระทบ 11 บล็อกเชนและถูกโยงกับกลุ่มเกาหลีเหนือ

ตลาดคริปโทเคอร์เรนซี Bitget เผยถูกแฮ็กเกอร์ที่สงสัยว่าเป็นกลุ่มเกาหลีเหนือขโมยสินทรัพย์ราว 351.6 ล้านดอลลาร์จากกระเป๋าร้อนและอุ่น หลังผู้โจมตีเจาะระบบ backend สำคัญในโครงสร้างกระเป๋าเงินเพื่อปลอมข้อมูลธุรกรรมและสั่งโอนออก การวิเคราะห์ on-chain โดย Elliptic และ TRM Labs ชี้ว่าเชื่อมโยงกับกลุ่ม TraderTraitor และโครงสร้างการฟอกเงินเดียวกับการโจมตี Bybit ปี 2025 ยอดที่โอนออกจริงสูงถึงราว 390 ล้านดอลลาร์ Bitget แก้ช่องโหว่แล้วและจะทยอยเปิดถอนเงินตั้งแต่ 28 กันยายน