Palo-Alto-Networks

Group-IB และ NyxLab เปิดเผยแคมเปญเจาะอุปกรณ์ขอบเครือข่ายทั่วโลกของ k0t ผู้โจมตีที่น่าจะเป็นนายหน้าขายสิทธิ์เข้าถึงหรือพันธมิตรของ Qilin และ The Gentlemen ผู้โจมตีใช้ FOFA และ ZoomEye คัดหา FortiGate และ GlobalProtect ที่เปิดออกอินเทอร์เน็ต แล้วเจาะผ่านช่องโหว่ FortiWeb และ PAN-OS หรือเดารหัสผ่าน จากนั้นคงสิทธิ์ด้วยเครื่องมือรีโมตถูกกฎหมายและขนข้อมูลออกด้วย Rclone พบ credential รั่วกว่า 70,000 รายการ เหยื่อเกือบ 38% อยู่ในเอเชียแปซิฟิก

Unit 42 ของ Palo Alto Networks รายงานว่าผู้โจมตีชื่อ BUGSTER ใช้ Hermes Agent คู่กับ DeepSeek V4 และ Cursor โจมตีองค์กรในอินเดีย รวมถึงมหาวิทยาลัย 2 แห่ง ในเหตุหนึ่งเขาขโมยฐานข้อมูล MongoDB กว่า 5,200 ระเบียนของนักศึกษาและอาจารย์ ผ่านบัญชีผู้ดูแลที่ใช้รหัสผ่านอ่อน ผู้โจมตีปิดระบบความปลอดภัยของโมเดลและพึ่งสคริปต์ที่ AI เขียนให้ นักวิจัยยังพบการเตรียมฉ้อโกง VoIP และเจาะรหัส Wi-Fi แต่ยังไม่พบว่าลงมือจริง

Unit 42 ของ Palo Alto Networks ยังพบกลุ่มแรนซัมแวร์ใช้ช่องโหว่ CVE-2026-0257 (CVSS 7.8) ใน PAN-OS และ Prisma Access ที่แพตช์ไปตั้งแต่พฤษภาคม กลุ่มที่ระบุชื่อคือ Qilin และ INC ซึ่งใช้ช่องโหว่ข้าม MFA ตั้งเซสชัน VPN เข้าเครือข่ายเหยื่อ จุดที่เปลี่ยนไปคือการกระโดดตรงเข้าระบบเสมือน ทั้ง vCenter และ ESXi แล้วดึง credential จากดิสก์เสมือนของ DC แบบออฟไลน์เพื่อหลบ EDR ผู้โจมตียังเล็ง Veeam ผ่าน CVE-2023-27532

Unit 42 เปิดเผยเคสธนาคารแห่งหนึ่งในยุโรปที่ถูกบุกรุกผ่านเกตเวย์ VPN ซึ่งผู้ให้บริการภายนอกดูแลและบังคับยืนยันตัวตนไม่เข้มพอ ผู้บุกรุกใช้บัญชีที่ถูกขโมยเข้ามา สแกนระบบหลายพันเครื่อง และเดารหัสผ่านบัญชีแอดมินอยู่หลายเดือน ผู้บุกรุกยังดึงเอกสารภายในจาก share และหน้าเว็บภายในไปด้วย สุดท้ายพยายามใช้ช่องโหว่ RCE ของ WSUS บนเซิร์ฟเวอร์จัดการคอนฟิกกลางแต่ถูกสกัดได้ บทเรียนคือบัญชีที่ใช้ได้จริงบนเกตเวย์ภายนอกเปิดทางเข้าเครือข่ายภายในได้โดยไม่ต้องใช้ช่องโหว่

ReliaQuest รายงานว่ากลุ่มแรนซัมแวร์หลายกลุ่ม รวมถึง Qilin และ Settra ใช้ช่องโหว่ CVE-2026-0257 (CVSS 7.8) ใน PAN-OS GlobalProtect และ Prisma Access ตั้งเซสชัน VPN โดยไม่ต้องมีรหัสผ่าน หลังเข้าเครือข่ายพบการใช้ Cobalt Strike, BloodHound และ SharpHound ช่องโหว่กระทบเฉพาะระบบที่เปิด authentication override cookie ร่วมกับใบรับรองบางแบบ Palo Alto แนะนำให้อัปเดตและสร้างใบรับรองใหม่สำหรับ cookie โดยเฉพาะ ReliaQuest เตือนว่าแพตช์อย่างเดียวไม่ตัดสิทธิ์ที่ได้ไปก่อน ต้องยุติเซสชันทั้งหมดและสืบสวนต่อ

กลุ่ม ShinyHunters โพสต์ภาพหน้าจอบัญชี Okta ของพนักงานบริษัท ReliaQuest พร้อมข้อความท้าทายว่า “ใครล่าใครกันแน่” และเพิ่มชื่อบริษัทเข้าเว็บไซต์ปล่อยข้อมูล แต่รายงานหลังเหตุการณ์ของ ReliaQuest ระบุว่าผู้โจมตีได้เพียงสิทธิ์อ่านอย่างเดียวบนพอร์ทัล SSO และความพยายามเคลื่อนที่ในเครือข่ายถูกสกัดทั้งหมด บรรณาธิการ Dark Reading ชี้ว่านี่คือรูปแบบการโจมตีสไตล์ Lapsus$ ที่เน้นการอวดอ้างมากกว่าความเสียหายจริง

ทีม Unit 42 ของบริษัท Palo Alto Networks เข้าตอบสนองเหตุการณ์ที่ผู้โจมตีใช้เอเจนต์ AI ระดับแนวหน้าเจาะเครือข่ายองค์กรจนสำเร็จภายในไม่ถึง 10 ชั่วโมง จากที่ปกติต้องใช้เวลาราวสองสัปดาห์ ในการโจมตีนั้นผู้โจมตีเก็บข้อมูลยืนยันตัวตน ยึดสิทธิ์ root เข้าควบคุมไปป์ไลน์ CI/CD และเปลี่ยนโครงสร้างพื้นฐาน AI ของเหยื่อให้กลายเป็นฐานปฏิบัติการ นักวิจัยย้ำว่าไม่มีการใช้ช่องโหว่ zero-day เลย จุดอ่อนที่ถูกใช้ล้วนเป็นเรื่องธรรมดาอย่าง API ที่เปิดสู่ภายนอกและข้อมูลยืนยันตัวตนที่ฝังอยู่ในโค้ด

Palo Alto Networks เผยแพร่ประกาศความปลอดภัยประจำวันที่ 12 สิงหาคม 2569 ปิดช่องโหว่ใหม่ 11 รายการใน PAN-OS, GlobalProtect App, Prisma Access Agent และ Prisma Browser พร้อมชุดอัปเดต Chromium รายเดือน คะแนน CVSS อยู่ระหว่าง 1.1 ถึง 7.2 จึงไม่มีรายการใดถึงระดับวิกฤตในรอบนี้ ช่องโหว่ส่วนใหญ่กระจุกอยู่ที่ไคลเอนต์ VPN บนเครื่องผู้ใช้มากกว่าตัวไฟร์วอลล์ และแพตช์บางส่วนยังไม่พร้อมใช้งานจนถึงวันที่ 20 และ 31 สิงหาคม ยังไม่มีรายงานว่าช่องโหว่ใดถูกใช้โจมตีจริง

Unit 42 ของบริษัท Palo Alto Networks พบบ็อตเน็ต Kimwolf/AISURU เวอร์ชันใหม่ที่เพิ่มการยิง DDoS แบบ HTTP/2 พร้อมสร้างลายนิ้วมือเบราว์เซอร์ครบชุด ทำให้ทราฟฟิกโจมตีแยกจากการท่องเว็บจริงได้ยาก เวอร์ชันนี้ยังย้ายที่อยู่เซิร์ฟเวอร์สั่งการไปผูกกับชื่อโดเมน ENS บนอีเทอเรียม พร้อมสำรองด้วยบริการซ่อนตัวบน Tor และตัดโมดูลสแกนกับเจาะช่องโหว่ออกทั้งหมด ช่องทางแพร่กระจายหลักยังคงเป็นพอร์ต ADB 5555 ที่เปิดทิ้งไว้บนกล่องแอนดรอยด์ทีวี

นักวิจัยพบแพ็กเกจประสงค์ร้ายเกือบ 800 รายการบน npm ที่ตั้งชื่อสุ่มเลียนแบบชื่อที่ AI มักมโนขึ้นมา แต่ไม่ใช้ lifecycle hook อย่าง preinstall กลับใส่ README สั่งให้นักพัฒนาเรียกใช้ผ่าน require() ปลายทางคือดาวน์โหลดเดอร์ WEL1DROPPER ที่เลือก payload ตามระบบปฏิบัติการและสถาปัตยกรรมซีพียู โดยดึงจาก Cloudflare Workers และสำรองด้วย DNS TXT เมื่อ HTTPS ล้มเหลว ตัวอย่างบน Windows แพตช์ ETW และ AMSI ส่วนบน Linux ปิดท้ายด้วยเฟรมเวิร์ก Sliver