Proofpoint

Cofense พบแคมเปญฟิชชิงที่แอบอ้างเป็นคำเชิญทดลองเครื่องมือ AI ใหม่ของ Anthropic เพื่อขโมยบัญชี Google และ Microsoft มาตั้งแต่กันยายน 2569 อีเมลส่งจากที่อยู่จริงของ GoTo Webinar ย่อลิงก์ผ่าน Zapier และพาไปหน้า Zoom ปลอมที่มี CAPTCHA 2 ชั้นกันเครื่องสแกน แม้อีเมลจะมีจุดผิดชัดเจนแต่ยังหลุดผ่าน Proofpoint SEG และ Microsoft Defender for Office 365 Cofense ยืนยันไม่ได้ว่าใช้ AI สร้างแต่ชี้ว่าน่าจะใช่ ผู้ดูแลควรใช้ MFA แบบต้านฟิชชิงและเฝ้าระวังการล็อกอินผิดปกติ

Proofpoint เปิดเผยเครือข่ายฟิชชิงภาษาจีนที่ใช้ชุดเครื่องมือ 3 ตัว คือ CoGUI, CoAceV และ CoFish_Ws รวมราว 17,000 โดเมน ปลอมเป็น 66 แบรนด์ ส่วนใหญ่เป็นธนาคาร บริการชำระเงิน และร้านค้าญี่ปุ่น เพื่อขโมยข้อมูลล็อกอินและบัตร Microsoft และ Health-ISAC ยื่นฟ้องทางแพ่งและยึดโดเมนที่เกี่ยวกับ YAM Store, CoGUI และ Iron Man ซึ่งข้อมูลของ Microsoft ระบุว่าส่งข้อความอันตรายกว่า 1,000 ล้านฉบับถึงองค์กรกว่า 75,000 แห่งตั้งแต่ ม.ค. 2569 ชุดเครื่องมือยังส่งผู้เข้าชมที่ไม่ตรงเงื่อนไขไปเว็บล่อเพื่อหลบการวิเคราะห์

บริษัท Proofpoint รายงานว่ากลุ่ม TA419 ที่มีแนวร่วมกับจีน ส่งฟิชชิงขโมยรหัสผ่านใส่ผู้เชี่ยวชาญนโยบาย AI ในสถาบันคลังสมองของสหรัฐฯ ผู้โจมตีปลอมเป็นนักเศรษฐศาสตร์ อดีตเจ้าหน้าที่ทำเนียบขาว และพนักงาน Anthropic เพื่อสร้างความไว้ใจก่อน เมื่อเหยื่อตอบกลับจึงส่งลิงก์ไปหน้าล็อกอิน OneDrive แบบ AitM ในหน้าต่างเบราว์เซอร์ปลอม เครื่องมือที่ดัดแปลงจาก Frameless BitB ส่งต่อการล็อกอินไป Microsoft จริง เหยื่อจึงไม่รู้ว่าคุกกี้เซสชันถูกขโมย Proofpoint แนะนำให้ใช้ passkey และยืนยันตัวตนผู้ติดต่อก่อนตอบ

นักวิจัยเผยแคมเปญ TeamFiltration ชื่อ UNK_CondorFiltration ที่เล็งเป้ากว่า 5,700 บัญชีใน 28 tenant ของ Microsoft 365. Proofpoint ระบุว่ามุ่งเป้าค้าปลีกและสถาบันการเงินในชิลี ใช้ IP จาก AWS EC2 กว่า 1,487 จุด. ยึดได้ 7 บัญชี ทั้งหมดเป็นบัญชีบริการที่ไม่มีคนดูแล ใช้รหัสผ่านตั้งต้นและไม่มี MFA. 6 ใน 7 บัญชีถูกเจาะภายใน 7 นาที. แคมเปญนี้ตอกย้ำว่าบัญชีบริการที่ถูกลืมคือจุดอ่อนเชิงโครงสร้างของ identity perimeter.

บริษัท Proofpoint เปิดเผยกลุ่มจารกรรมที่คาดว่าเชื่อมโยงจีน UNK_MassTraction โจมตีเว็บเมล Roundcube ของภาควิชาฟิสิกส์และวิศวกรรมในมหาวิทยาลัยสหรัฐฯ และแคนาดา ใช้ช่องโหว่ XSS CVE-2024-42009 ที่เพียงเปิดอีเมลก็ถูกเจาะ ปล่อยมัลแวร์ IceCube ขโมย credential, 2FA และคุกกี้ แล้วต่อยอดช่องโหว่ RCE CVE-2025-49113 ฝัง web shell SquareShell หรือ VShell ในหน่วยความจำ นับเป็นครั้งแรกที่กลุ่มจีนถูกโยงกับการเจาะ Roundcube ซึ่งเดิมเป็นแนวถนัดของกลุ่มรัสเซีย

บริษัท Proofpoint เผยกลุ่มอาชญากรไซเบอร์ที่คาดว่าเชื่อมโยงจีน TA4922 ซึ่งเคยมุ่งเป้าเอเชียตะวันออก กำลังขยายโจมตีองค์กรใน UK, เยอรมนี, อิตาลี และแอฟริกาใต้ ด้วยฟิชชิงธีมภาษี เงินเดือน และสวัสดิการที่เลียนแบบหน่วยงานรัฐ คลังมัลแวร์รวม ValleyRAT (Winos4.0), Atlas RAT, RomulusLoader และตัวใหม่ SilentRunLoader ซึ่งเป็น stealer/loader บน Python ที่คาดว่าพัฒนาด้วยความช่วยเหลือของ LLM มุ่งขโมย credential, cookie และข้อมูลจาก Google Chrome พร้อมใช้ DLL sideloading และเครื่องมือ remote อย่าง AnyDesk