Ransomware

นายโอเลกซี โอเลกซียอวิช ลิตวิเนนโก ชาวยูเครนวัย 44 ปี รับสารภาพต่อศาลสหรัฐฯ ในข้อหาสมรู้ร่วมคิดฉ้อโกงทางสายโทรศัพท์จากบทบาทในขบวนการแรนซัมแวร์ Conti หลังถูกส่งตัวจากไอร์แลนด์มายังสหรัฐฯ เขาสารภาพว่าเข้าร่วมขบวนการตั้งแต่เดือนกันยายน 2564 และครอบครองข้อมูลที่ถูกขโมยจากเหยื่อ 12 ราย ทั้งในสหรัฐฯ และต่างประเทศ Conti เคยโจมตีเหยื่อกว่า 1,000 รายทั่วโลกและเรียกค่าไถ่รวมกว่า 150 ล้านดอลลาร์ ก่อนจะยุติปฏิบัติการในปี 2565 สมาชิกเก่าแตกกระจายไปก่อตั้งกลุ่มใหม่หลายกลุ่ม

Veeam ออกแพตช์ช่องโหว่ร้ายแรง CVE-2026-44963 ใน Backup & Replication เปิดทาง RCE บนเซิร์ฟเวอร์สำรองข้อมูลที่ join โดเมน ผู้ใช้โดเมนสิทธิ์ต่ำก็สามารถโจมตีได้ กระทบเวอร์ชัน 12 ทั้งหมดจนถึง 12.3.2.4465 และแก้ไขแล้วในเวอร์ชัน 12.3.2.4854 ส่วนเวอร์ชัน 13 ไม่ได้รับผลกระทบจากการเปลี่ยนสถาปัตยกรรม กลุ่มแรนซัมแวร์มักพุ่งเป้าเซิร์ฟเวอร์ Veeam เพื่อลบข้อมูลสำรองตัดทางกู้คืนระบบ ผู้ดูแลระบบควรอัปเดตทันที

บริษัท CISA สั่งหน่วยงานรัฐบาลกลางสหรัฐฯ ปะ Check Point Remote Access VPN ภายใน 11 มิถุนายน 2569 หลัง CVE-2026-50751 ถูก Qilin ransomware ใช้เจาะแบบ zero-day บริษัท Check Point ยืนยันโจมตีเริ่ม 7 พฤษภาคม กระทบ instance ที่เปิด IKEv1 และยอมรับ legacy Remote Access client ไม่ต้องใช้ machine certificate ผู้โจมตี bypass authentication และสร้าง VPN connection ได้โดยไม่ต้องล็อกอิน

บริษัท Vectra AI วิเคราะห์ข้อความ 3,366 รายการที่รั่วจากเซิร์ฟเวอร์ Rocket.Chat ของกลุ่มแรนซัมแวร์ The Gentlemen ที่พูดภาษารัสเซีย ซึ่งพุ่งขึ้นเป็นกลุ่มที่เคลื่อนไหวมากอันดับ 2 รองจาก Qilin ในปี 2569 ใช้ช่องโหว่ FortiOS CVE-2024-55591 เป็นทางเข้าหลัก brute-force VPN Fortinet ราว 1,000 ตัว ใช้ C2 ของตัวเองชื่อ G-BOT แทน Cobalt Strike โจมตี hypervisor โดยตรง และใช้ GPT/Claude ช่วยเจรจาค่าไถ่ พบความเชื่อมโยงกับ Black Basta ผ่าน negotiator ‘Tinker’ และ Matrix server เดียวกัน

นักวิจัยวิเคราะห์แรนซัมแวร์สายพันธุ์ใหม่ The Gentlemen ที่เขียนด้วย Go และ obfuscate ด้วย Garble ทำงานแบบ RaaS ขโมยข้อมูลคู่กับเข้ารหัสเพื่อกรรโชกสองชั้น จุดเด่นคือใช้ SYSTEM scheduled task ยกสิทธิ์สูงสุดก่อนเข้ารหัสไดรฟ์ และแพร่ตัวเองทั่วเครือข่ายแบบ worm ผ่าน PsExec, WMI, scheduled task, Windows service และ PowerShell remoting พร้อมปิด AV ลบ backup ล้าง log และทำลายร่องรอย forensic ก่อนเข้ารหัส

Microsoft Defender for Endpoint เพิ่มฟีเจอร์ Automatic Device Isolation ที่ตัดการเชื่อมต่อเครือข่ายของ endpoint ที่ถูกโจมตีทันทีเมื่อตรวจพบสัญญาณ ransomware หรือการบุกรุกระดับสูง โดยไม่ต้องรอให้เจ้าหน้าที่กดคำสั่ง ยังคงสื่อสารกับ Defender service เพื่อ telemetry และ SOC team ยังสามารถสั่ง release isolation ได้ตลอดเวลา

หน่วยงานบังคับใช้กฎหมายจากฝรั่งเศส เนเธอร์แลนด์ และพันธมิตรนานาชาติ ร่วมกันปิด First VPN บริการ VPN ที่ออกแบบมาสำหรับอาชญากรไซเบอร์โดยเฉพาะ ภายใต้ปฏิบัติการ Operation Saffron เมื่อ 19-20 พฤษภาคม 2569 ยึดเซิร์ฟเวอร์ 33 ตัวใน 27 ประเทศ พบกลุ่ม ransomware อย่างน้อย 25 กลุ่มใช้บริการนี้ในการซ่อนตัวขณะโจมตี

แฮ็กเกอร์เปิดแคมเปญโจมตี SonicWall Gen6 SSL-VPN เมื่อ 20 พฤษภาคม 2569 ด้วยการ brute-force รหัสผ่านแล้วข้าม MFA ผ่านช่องโหว่ CVE-2024-12802 ที่แพตช์ไม่สมบูรณ์ เข้าถึงเครือข่ายภายในและติดตั้งเครื่องมือสำหรับ ransomware ได้ภายใน 30 นาที การแพตช์เฟิร์มแวร์อย่างเดียวไม่เพียงพอ ต้องทำขั้นตอนเพิ่มอีก 6 ขั้นตอน

กลุ่ม Nitrogen ransomware โจมตีโรงงาน Foxconn ในอเมริกาเหนือ อ้างว่าขโมยข้อมูล 8 เทราไบต์กว่า 11 ล้านไฟล์ รวมถึงแบบพิมพ์เขียวและเอกสารลับของ Apple, Intel, Google, Nvidia และ AMD โรงงานต้องหยุดระบบ IT พนักงานกลับไปใช้ปากกากับกระดาษ Foxconn ยืนยันเหตุการณ์และระบุว่าการผลิตกลับสู่ภาวะปกติแล้ว

กลุ่ม The Gentlemen ปฏิบัติการ Ransomware-as-a-Service (RaaS) ที่เปิดตัวกลางปี 2025 ทำสถิติเหยื่อ 332 รายใน 5 เดือนแรกของปี 2569 เติบโตเร็วกว่ากลุ่มอื่นด้วยโมเดล affiliate ที่ใจกว้างและเป็นพันธมิตรกับ BreachForums แต่เมื่อ 4 พฤษภาคม ถูกกลุ่มนิรนามเจาะระบบ backend เปิดเผย affiliate, เครื่องมือ และข้อมูลเหยื่อทั้งหมด