Openssh

นักวิจัยเปิดเผยเมื่อ 20 ตุลาคม 2569 ว่าผู้โจมตียึด Tor exit node 333 ตัว หรือราว 10% ของ exit relay ทั้งเครือข่าย แล้วเริ่มดักการเชื่อมต่อ SSH พร้อมกันเมื่อ 2 ตุลาคม ทราฟฟิกพอร์ต 22 ถูกส่งไปเซิร์ฟเวอร์ดักกลาง 12 เครื่อง ผู้ใช้ที่ไม่สนใจคำเตือน host key เปลี่ยนจะเสียรหัสผ่าน และถูกพยายามฝังแบ็กดอร์ Ebury 1.8.3 บนเซิร์ฟเวอร์ปลายทาง ทีม Tor ติดธง BadExit ภายใน 4 ตุลาคม และเซิร์ฟเวอร์ที่ติดเชื้อถูกปิดในวันที่ 5 ตุลาคม ยังไม่ทราบช่องทางเจาะและผู้อยู่เบื้องหลัง

บริษัท Cato Networks เผยรายงานวิเคราะห์ปฏิบัติการแฮ็กโดยผู้โจมตีมือใหม่รหัส Poisson ที่เจาะธุรกิจยานยนต์ในฝรั่งเศส วาง keylogger ขโมย credential ธนาคารและอีเมล จุดสำคัญคือการติดตั้ง OpenSSH Server และ Tailscale เป็นช่องทางเข้าสำรอง ทำให้เมื่อ C2 ของ Havoc framework ล่ม ผู้โจมตียังเข้าถึงเครื่องเหยื่อได้ตลอด 18 วัน ก่อน C2 กลับมาออนไลน์และ agent เชื่อมต่อกลับอัตโนมัติ

บริษัท Sygnia เปิดปฏิบัติการ Operation Highland พบกลุ่ม Velvet Ant ที่เชื่อมโยงจีนแก้ไขโมดูล PAM และ OpenSSH บนเซิร์ฟเวอร์ Linux เพื่อขโมย credential และเปิดช่องทางเข้าถึงลับตั้งแต่ปี 2016. ผู้โจมตีสร้าง backdoor ถึง 9 เวอร์ชัน ซ่อนในระบบล็อกอินที่ผู้ดูแลไม่เคยตรวจสอบ. ก่อนหน้านี้กลุ่มเดียวกันเคยฝังตัวในอุปกรณ์ F5 BIG-IP และ Cisco NX-OS. เทคนิคนี้ทำให้การรีเซ็ตรหัสผ่านไม่ช่วยอะไร เพราะตัวตรวจสอบ credential ถูกควบคุมโดยผู้โจมตี.