Qilin

Group-IB และ NyxLab เปิดเผยแคมเปญเจาะอุปกรณ์ขอบเครือข่ายทั่วโลกของ k0t ผู้โจมตีที่น่าจะเป็นนายหน้าขายสิทธิ์เข้าถึงหรือพันธมิตรของ Qilin และ The Gentlemen ผู้โจมตีใช้ FOFA และ ZoomEye คัดหา FortiGate และ GlobalProtect ที่เปิดออกอินเทอร์เน็ต แล้วเจาะผ่านช่องโหว่ FortiWeb และ PAN-OS หรือเดารหัสผ่าน จากนั้นคงสิทธิ์ด้วยเครื่องมือรีโมตถูกกฎหมายและขนข้อมูลออกด้วย Rclone พบ credential รั่วกว่า 70,000 รายการ เหยื่อเกือบ 38% อยู่ในเอเชียแปซิฟิก

Unit 42 ของ Palo Alto Networks ยังพบกลุ่มแรนซัมแวร์ใช้ช่องโหว่ CVE-2026-0257 (CVSS 7.8) ใน PAN-OS และ Prisma Access ที่แพตช์ไปตั้งแต่พฤษภาคม กลุ่มที่ระบุชื่อคือ Qilin และ INC ซึ่งใช้ช่องโหว่ข้าม MFA ตั้งเซสชัน VPN เข้าเครือข่ายเหยื่อ จุดที่เปลี่ยนไปคือการกระโดดตรงเข้าระบบเสมือน ทั้ง vCenter และ ESXi แล้วดึง credential จากดิสก์เสมือนของ DC แบบออฟไลน์เพื่อหลบ EDR ผู้โจมตียังเล็ง Veeam ผ่าน CVE-2023-27532

ระหว่าง 14-17 ตุลาคม 2569 มีองค์กรในไทยถูกนำชื่อขึ้นเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์ 5 ราย กลุ่ม The Gentlemen อ้างเจาะ 3 ราย ได้แก่ มิวเซียมสยาม บริษัท ไทยฮะ (KASET) และโรงเรียนนานาชาติ Wellington College กรุงเทพฯ ส่วน LockBit5 อ้างเจาะ SKY CC ผู้ให้บริการคอนแทคเซ็นเตอร์ และ Qilin อ้างเจาะ First Brothers ทั้งหมดยังเป็นคำกล่าวอ้างที่ไม่มีองค์กรใดยืนยันและไม่ระบุขนาดข้อมูล ข่าวนี้ตามหลังการอ้างเจาะกองทัพอากาศไทยเมื่อ 10 ตุลาคม

ReliaQuest รายงานว่ากลุ่มแรนซัมแวร์หลายกลุ่ม รวมถึง Qilin และ Settra ใช้ช่องโหว่ CVE-2026-0257 (CVSS 7.8) ใน PAN-OS GlobalProtect และ Prisma Access ตั้งเซสชัน VPN โดยไม่ต้องมีรหัสผ่าน หลังเข้าเครือข่ายพบการใช้ Cobalt Strike, BloodHound และ SharpHound ช่องโหว่กระทบเฉพาะระบบที่เปิด authentication override cookie ร่วมกับใบรับรองบางแบบ Palo Alto แนะนำให้อัปเดตและสร้างใบรับรองใหม่สำหรับ cookie โดยเฉพาะ ReliaQuest เตือนว่าแพตช์อย่างเดียวไม่ตัดสิทธิ์ที่ได้ไปก่อน ต้องยุติเซสชันทั้งหมดและสืบสวนต่อ

ชายสัญชาติรัสเซียวัย 28 ปีที่ถูกเชื่อว่าเป็นสมาชิกแกนหลักของแรนซัมแวร์ Qilin ถูกจับกุมที่เมืองโอซากาเมื่อเดือนพฤษภาคม 2569 และมีรายงานว่าถูกส่งตัวให้ทางการเยอรมนีเมื่อวันที่ 2 ตุลาคม เยอรมนีต้องการตัวเขาจากการเจาะบริษัทโลจิสติกส์เมื่อกันยายน 2567 เข้ารหัสระบบ และรีดไถคริปโตกว่า 160,000 ดอลลาร์ Qilin หรือ Agenda เป็นปฏิบัติการ RaaS ที่มีเหยื่อมากที่สุดรายหนึ่งของโลก การจับกุมครั้งนี้เป็นหนึ่งในไม่กี่ครั้งที่ไปถึงตัวสมาชิกกลุ่ม

บริษัท Sophos และบริษัท Cisco พบกลุ่ม Sandworm ที่เชื่อมโยงกับหน่วยข่าวกรอง GRU ของรัสเซีย นำ CVE-2026-20079 (auth bypass ระดับสูงสุด) มาต่อกับ CVE-2026-20316 เพื่อเจาะ Cisco Secure Firewall Management Center แล้วติดตั้ง Cyclops Blink รุ่นใหม่ ตัวใหม่รันบน Linux x86-64 เพิ่มการสแกนเครือข่ายและดักจับทราฟฟิก Cisco ออกฮอตฟิกซ์แล้วและเร่งให้อัปเดตทันที ยังมีอีกสองกลุ่มใช้ช่องโหว่คู่นี้ปล่อยเว็บเชลล์และแรนซัมแวร์ Qilin

ระหว่างวันที่ 9 ถึง 10 สิงหาคม 2569 มีบริษัทที่จดทะเบียนในประเทศไทยถูกประกาศชื่อบนเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์ถึงสามรายติดกัน กลุ่ม Panzer อ้างว่าดูดข้อมูลจาก The Minor Food Group ไปได้ 340.8 GB และอ้างการโจมตีบริษัทสยามออยล์โปรดักส์ผู้จัดจำหน่ายผลิตภัณฑ์ปิโตรเลียม ขณะที่กลุ่ม Qilin ประกาศชื่อบริษัทพิธานพาณิชย์ในหมวดการผลิต ทั้งหมดเป็นคำอ้างฝ่ายเดียวที่ยังไม่มีการยืนยันจากฝั่งผู้เสียหาย และยังไม่มีองค์กรใดออกแถลงการณ์

รายงานจากบริษัท Black Kite เผยว่าแก๊งแรนซัมแวร์ Qilin อ้างเหยื่อ 1,358 รายในช่วงที่ติดตาม เพิ่มขึ้น 443% จากปีก่อน ปฏิบัติการใน 50+ ประเทศ คิดเป็น 1 ใน 5-6 ของเหยื่อที่เปิดเผยทั้งหมด ภาพรวมทั้งอุตสาหกรรมมีเหยื่อเปิดเผย 7,551 ราย เพิ่ม 24.9% ภาคการผลิตถูกโจมตีหนักสุด และเกือบครึ่งขององค์กรที่เคยถูกโจมตียังมีช่องโหว่วิกฤตหลงเหลือหลังกู้คืน

นักวิจัยจากบริษัท Arctic Wolf Labs พบการบุกรุกหลายกรณีในเดือนมิถุนายน 2569 ที่ผู้โจมตีใช้ช่องโหว่ CVE-2026-0257 ในซอฟต์แวร์ PAN-OS ของ Palo Alto Networks เป็นทางเข้า เพื่อตั้งเซสชัน SSL VPN โดยไม่ต้องมีข้อมูลรับรองที่ถูกต้อง ก่อนขโมยข้อมูลรับรองภายในและปล่อยแรนซัมแวร์ Qilin พฤติกรรมหลังเจาะระบบแตกต่างกันไปในแต่ละกรณี บ่งชี้ว่ามีพันธมิตรหลายรายทำงานใต้ร่มบริการ RaaS เดียวกัน

รายงาน Q1/2026 พบเหยื่อแรนซัมแวร์ 2,122 รายสูงสุดเป็นอันดับ 2 ตลอดกาล กลุ่มใหม่ Hyflock และ The Gentlemen ที่อ้างสายสัมพันธ์กับ LockBit และ Qilin เติบโตอย่างรวดเร็ว โดย The Gentlemen ขยายเหยื่อ 315% ในไตรมาสเดียว กลุ่ม 10 อันดับแรกครองส่วนแบ่ง 71% ของเหยื่อทั้งหมด สะท้อนการรวมตัวของตลาดแรนซัมแวร์