Ransomware

PaperCut แจ้งเตือนลูกค้าว่ามีผู้ไม่ประสงค์ดีใช้ช่องโหว่ที่กระทบซอฟต์แวร์จัดการงานพิมพ์ PaperCut NG และ PaperCut MF ทุกเวอร์ชันโจมตีแบบ zero-day บริษัทออกแพตช์ฉุกเฉินสำหรับเวอร์ชัน 25 และ 26 แล้ว พร้อมระบุว่ารับทราบเหตุการณ์ที่ยืนยันแล้วในระบบของลูกค้าและกำลังสอบสวนอยู่ ขณะนี้ยังไม่มีรายละเอียดว่าช่องโหว่คืออะไร ถูกใช้โจมตีอย่างไร หรือใครอยู่เบื้องหลัง บริษัทแนะนำให้จำกัดการเข้าถึงเซิร์ฟเวอร์จากอินเทอร์เน็ตทันที

บริษัท CloudSEK พบเซิร์ฟเวอร์ของแอฟฟิลิเอตแรนซัมแวร์ Aurora ที่ถูกเปิดทิ้งไว้โดยผิดพลาด ทำให้เห็นกิจกรรมตั้งแต่การบุกรุกจนถึงการรับเงินค่าไถ่ระหว่างเดือนเมษายนถึงกรกฎาคม 2569 ครอบคลุมกว่า 20 องค์กรใน 9 ประเทศ ในไดเรกทอรีมีทั้งเครื่องมือ ประวัติคำสั่ง ข้อมูลรับรอง ตัวเข้ารหัส และบันทึกแชทกับ Cursor ที่ผู้โจมตีใช้ร่างและขัดเกลาลำดับการโจมตี Active Directory Certificate Services เป็นภาษารัสเซีย

ระหว่างวันที่ 19 ถึง 20 สิงหาคม 2569 มีองค์กรไทยถูกประกาศชื่อบนเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์เพิ่มอีก 4 ราย กลุ่มหน้าใหม่ชื่อ Dysphor1a เปิดตัวด้วยการอ้างโจมตีเหยื่อไทย 2 รายในวันเดียวทั้งบริษัทประกันและสถาบันการศึกษา ขณะที่ KryBit ประกาศชื่อบริษัทพลาสติกเป็นเหยื่อไทยรายที่ 4 ของปีนี้ ต่อจากกรุงเทพมหานครและ ช.การช่าง ส่วน INC Ransom ประกาศชื่อบางกอกเคเบิ้ล ทั้งหมดยังเป็นคำอ้างฝ่ายเดียวที่ไม่มีการยืนยัน

หน่วยงาน CISA ของสหรัฐฯ เพิ่มช่องโหว่วิกฤต 4 รายการเข้าบัญชี Known Exploited Vulnerabilities เมื่อวันที่ 18 สิงหาคม 2569 โดยระบุว่าถูกใช้โจมตีจริงแล้วทั้งหมด ได้แก่ CVE-2026-65400 ใน macOS ที่ยืนยันตัวตนเข้า Screen Sharing ได้โดยไม่ต้องมีรหัสผ่าน CVE-2026-55040 ใน SharePoint ที่ข้ามฟีเจอร์ความปลอดภัย CVE-2026-59310 ใน VMware vCenter ที่รันโค้ดได้จากระยะไกล และ CVE-2026-33824 ใน Microsoft IKE Service Extensions ทุกตัวมีแพตช์แล้ว โดยหน่วยงานรัฐบาลกลางต้องอัปเดตภายใน 21 สิงหาคม 2569

บริษัท QUIRSO เผยว่าช่องโหว่ directory traversal CVE-2026-59310 ใน VMware vCenter คะแนน CVSS 9.8 ถูกนำไปโจมตีจริงหลังแพตช์ออกได้เพียงห้าวัน กระทบเหยื่ออย่างน้อย 361 ไอพีใน 47 ประเทศ นักวิจัยประเมินด้วยความมั่นใจปานกลางว่าผู้โจมตีเป็นกลุ่มที่ใช้ภาษาจีนและทำงานในโซนเวลา UTC+08:00 โดยฝังแบ็กดอร์ linuxFile สร้างบัญชีผู้ดูแลปลอม และวางเว็บเชลล์ที่ปลอมเป็นบริการของ VMware ปลายทางคือแรนซัมแวร์สาย Babuk บนโฮสต์ ESXi ที่อาจถูกใช้เป็นฉากบังตามากกว่าเป้าหมายจริง

บริษัทพลังงานข้ามชาติ Shell เปิดการสอบสวน หลังกลุ่มขู่กรรโชก Cl0p นำชื่อบริษัทขึ้นเว็บไซต์เปิดเผยข้อมูลบนดาร์กเว็บ พร้อมอ้างว่าขโมยข้อมูลภายในไปราว 89 กิกะไบต์ ซึ่งอ้างว่ารวมถึงแบบวิศวกรรม ภาพถ่ายโรงงาน แผนงานโครงการ และรายงานผลทดสอบ Shell ยืนยันว่ารับทราบข้อกล่าวอ้างและเปิดใช้กระบวนการตอบสนองเหตุการณ์ร่วมกับผู้เชี่ยวชาญภายนอกแล้ว แต่ยังไม่ยืนยันว่ามีการหยุดชะงักของการดำเนินงานใด ๆ และยังไม่ทราบช่องทางเข้าถึงระบบครั้งแรก

ระหว่างวันที่ 9 ถึง 10 สิงหาคม 2569 มีบริษัทที่จดทะเบียนในประเทศไทยถูกประกาศชื่อบนเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์ถึงสามรายติดกัน กลุ่ม Panzer อ้างว่าดูดข้อมูลจาก The Minor Food Group ไปได้ 340.8 GB และอ้างการโจมตีบริษัทสยามออยล์โปรดักส์ผู้จัดจำหน่ายผลิตภัณฑ์ปิโตรเลียม ขณะที่กลุ่ม Qilin ประกาศชื่อบริษัทพิธานพาณิชย์ในหมวดการผลิต ทั้งหมดเป็นคำอ้างฝ่ายเดียวที่ยังไม่มีการยืนยันจากฝั่งผู้เสียหาย และยังไม่มีองค์กรใดออกแถลงการณ์

แอฟฟิลิเอตแรนซัมแวร์ Akira เจาะองค์กรผ่านอุปกรณ์ VPN ของ SonicWall ที่ไม่มี MFA เมื่อ 4 สิงหาคม แล้วใช้ AnyDesk บังคับเครื่องรีบูตเข้า Safe Mode with Networking เพื่อปิดเอเจนต์ EDR และการป้องกันเรียลไทม์ของ Microsoft Defender ผู้โจมตีใช้ WinRAR บีบอัดไฟล์แชร์และ s5cmd อัปโหลดขึ้น S3 ของตนเอง แต่ akira.exe กลับรันไม่สำเร็จเพราะหน่วยความจำเสมือนไม่พอ บริษัท Huntress ระบุว่าเป็นครั้งแรกที่พบเทคนิคนี้ในการโจมตีของ Akira

ประธานาธิบดีสหรัฐลงนามบันทึกความมั่นคงแห่งชาติ สั่งให้ National Coordination Center ตั้งโครงการเปิดให้บริษัทความปลอดภัยเอกชนยื่นขออนุมัติปฏิบัติการไซเบอร์ต่อองค์กรอาชญากรรมข้ามชาติในต่างประเทศ ปฏิบัติการทั้งหมดต้องอยู่ใต้การควบคุมของรัฐบาลสหรัฐ บริษัทที่เข้าร่วมต้องผ่านการคัดกรองก่อนทำสัญญากับกระทรวงยุติธรรมหรือกระทรวงความมั่นคงแห่งมาตุภูมิ และต้องวางหลักประกันไม่ต่ำกว่าหนึ่งล้านดอลลาร์ซึ่งจะถูกริบหากไม่ทำตามสัญญา ผู้เชี่ยวชาญมองว่าเป็นการเปลี่ยนนโยบายครั้งใหญ่ และมีทั้งเสียงหนุนและค้าน

หน่วยงานความมั่นคงสหรัฐหลายแห่งร่วมกับสำนักงานตำรวจแห่งชาติเกาหลีใต้ออกคำเตือนร่วม เปิดโปงคลื่นการโจมตีของกลุ่มแรนซัมแวร์ Gunra ที่ใช้ช่องโหว่เก่าใน VPN ของ Fortinet คือ CVE-2024-55591 และ CVE-2025-24472 เป็นทางเข้าหลัก จุดที่อันตรายที่สุดคือผู้โจมตีแก้ไฟล์ตรวจสอบตัวตนบนพอร์ทัล VDI ให้ค่ารหัสผ่านครั้งเดียวที่กลุ่มกำหนดผ่านได้เสมอ เท่ากับปิดการป้องกัน MFA กลุ่มขโมยข้อมูลจาก OneDrive และ SharePoint ก่อนเข้ารหัสด้วย ChaCha20 และ RSA-4096 แล้วให้เวลาเหยื่อ 5-7 วันก่อนขู่ปล่อยข้อมูล