Ransomware

บริษัท Kaspersky รายงานว่าองค์กรในรัสเซียกำลังถูกโจมตีโดยสามกลุ่มภัยคุกคาม ได้แก่ NightEagle, Hacking Cat และ Toy Ghouls ด้วยแบ็กดอร์ แรนซัมแวร์ และมัลแวร์ล้างข้อมูล NightEagle ใช้แบ็กดอร์ GhostContainer เจาะ Microsoft Exchange และเจาะ Active Directory ด้วย BlueKeep และ DCSync ส่วน Hacking Cat กลุ่มแฮ็กทิวิสต์หนุนยูเครนปล่อย Gorilla RAT และแรนซัมแวร์ Monkey ที่บางรุ่นกลายเป็น wiper ขณะที่ Toy Ghouls หันมาใช้แบ็กดอร์ Bird Agent ที่สั่งการผ่าน MQTT และ Matrix

บริษัท Sophos และบริษัท Cisco พบกลุ่ม Sandworm ที่เชื่อมโยงกับหน่วยข่าวกรอง GRU ของรัสเซีย นำ CVE-2026-20079 (auth bypass ระดับสูงสุด) มาต่อกับ CVE-2026-20316 เพื่อเจาะ Cisco Secure Firewall Management Center แล้วติดตั้ง Cyclops Blink รุ่นใหม่ ตัวใหม่รันบน Linux x86-64 เพิ่มการสแกนเครือข่ายและดักจับทราฟฟิก Cisco ออกฮอตฟิกซ์แล้วและเร่งให้อัปเดตทันที ยังมีอีกสองกลุ่มใช้ช่องโหว่คู่นี้ปล่อยเว็บเชลล์และแรนซัมแวร์ Qilin

ศาลรัฐบาลกลางสหรัฐพิพากษาจำคุกนาย Oleksii Lytvynenko ชาวยูเครนวัย 44 ปี เป็นเวลา 4 ปี จากบทบาทในปฏิบัติการแรนซัมแวร์ Conti ที่ติดเชื้อเหยื่อกว่า 1,000 องค์กรทั่วโลก เขาทั้งเจาะเครือข่ายและพัฒนา loader ให้กลุ่ม พบข้อมูลที่ขโมยจากเหยื่อ 12 รายในบัญชีของเขา แม้ Conti จะปิดตัวปี 2565 แต่เขายังทำกิจกรรมแรนซัมแวร์ต่อจนถูกจับที่ไอร์แลนด์ปี 2566 และส่งตัวข้ามแดนมาสหรัฐ

ศาลสหรัฐฯ พิพากษาจำคุกนาย Oleksii Oleksiyovych Lytvynenko ชาวยูเครนวัย 44 ปี เป็นเวลา 4 ปี จากบทบาทในปฏิบัติการแรนซัมแวร์ Conti เขาถูกจับที่ไอร์แลนด์ปี 2566 และถูกส่งตัวข้ามแดนมายังสหรัฐฯ ปลายปี 2568 ก่อนรับสารภาพข้อหาฉ้อโกงทางสายเมื่อมิถุนายน 2569 โดยยอมรับว่าช่วยพัฒนา malware loader และครอบครองข้อมูลเหยื่อที่ถูกขโมย กลุ่ม Conti คาดว่าได้รับค่าไถ่อย่างน้อย 150 ล้านดอลลาร์และโจมตีองค์กรในกว่า 30 ประเทศ

เว็บติดตามเหยื่อแรนซัมแวร์ Ransomware.live บันทึกหน่วยงานและบริษัทในไทยขึ้นเว็บปล่อยข้อมูล 10 รายในช่วง 16 สิงหาคม ถึง 2 กันยายน 2569 จากกลุ่มผู้โจมตีถึง 7 กลุ่ม รายที่ถูกจับตามากที่สุดคือ PTT Oil and Retail Business ที่กลุ่ม Direwolf อ้างเมื่อ 2 กันยายน ขณะที่ SUNSEA ถูกอ้างซ้ำโดยสองกลุ่มห่างกัน 11 วัน ทั้งหมดยังเป็นคำกล่าวอ้างฝ่ายเดียวบนเว็บปล่อยข้อมูล ยังไม่มีการยืนยันจากองค์กรที่ถูกระบุชื่อ

กลุ่มแรนซัมแวร์ Rhysida เผยแพร่ข้อมูลที่อ้างว่าขโมยจากเครือข่ายบริหารของรัฐเบอร์ลินขนาด 5.79 เทระไบต์ ราว 1.44 ล้านไฟล์ บนเว็บไซต์เปิดเผยข้อมูลของกลุ่ม หลังทางการปฏิเสธจ่ายค่าไถ่ 30 บิตคอยน์ ข้อมูลที่ถูกอ้างถึงรวมถึงเอกสารสืบสวนของตำรวจ แผนด้านการป้องกันประเทศ และแฟ้มที่เกี่ยวข้องกับภัยคุกคาม CBRN รัฐบาลเบอร์ลินตั้งศูนย์บริหารวิกฤตขึ้นมาตรวจสอบและยืนยันความถูกต้องของข้อมูล ทั้งนี้ตัวเลขและขอบเขตทั้งหมดยังเป็นคำกล่าวอ้างของกลุ่มที่ยังไม่มีการยืนยันอิสระ

นาย Brett Johnson อดีตผู้ก่อตั้งชุมชนอาชญากรรมไซเบอร์ Shadow Crew ให้สัมภาษณ์กับเว็บไซต์ Dark Reading ว่า AI ไม่ได้ลงมือโจมตีแทนคน แต่บีบอัดเวลาที่ผู้โจมตีเคยต้องใช้ค้นหาข้อมูลเป้าหมายทั้งก่อนและหลังเข้าเครือข่ายจนแทบหมดไป เขามองว่า AI เอื้อฝ่ายโจมตีมากกว่าฝ่ายป้องกันไปอีกราวสามถึงเจ็ดปี เพราะระบบเรียนรู้ต้องเห็นการโจมตีที่สำเร็จก่อนจึงตั้งรับได้ และเตือนว่าการลดกำแพงทักษะจะผลักผู้โจมตีหน้าใหม่ไปหาเป้าหมายอย่างโรงพยาบาลและโรงเรียน

ทีม Unit 42 ของบริษัท Palo Alto Networks เข้าตอบสนองเหตุการณ์ที่ผู้โจมตีใช้เอเจนต์ AI ระดับแนวหน้าเจาะเครือข่ายองค์กรจนสำเร็จภายในไม่ถึง 10 ชั่วโมง จากที่ปกติต้องใช้เวลาราวสองสัปดาห์ ในการโจมตีนั้นผู้โจมตีเก็บข้อมูลยืนยันตัวตน ยึดสิทธิ์ root เข้าควบคุมไปป์ไลน์ CI/CD และเปลี่ยนโครงสร้างพื้นฐาน AI ของเหยื่อให้กลายเป็นฐานปฏิบัติการ นักวิจัยย้ำว่าไม่มีการใช้ช่องโหว่ zero-day เลย จุดอ่อนที่ถูกใช้ล้วนเป็นเรื่องธรรมดาอย่าง API ที่เปิดสู่ภายนอกและข้อมูลยืนยันตัวตนที่ฝังอยู่ในโค้ด

รายงานจากหลายบริษัทชี้ว่าเมื่อองค์กรยกระดับการป้องกันจนเจาะเข้ายากขึ้น กลุ่มแรนซัมแวร์จึงหันไปหาสิ่งที่ไฟร์วอลล์กันไม่ได้ คือคนที่มีสิทธิ์เข้าถึงโดยชอบอยู่แล้ว บริษัท SentinelOne ระบุว่าต้นทุนภัยคุกคามจากคนในอยู่ที่ 19.5 ล้านดอลลาร์ต่อองค์กรต่อปี ส่วนเหตุการณ์ที่เกิดจากคนในที่มีเจตนาร้ายและมีสิทธิ์สูงเสียหายเฉลี่ยราว 4.9 ล้านดอลลาร์ต่อครั้ง ด้าน Flashpoint พบว่าโพสต์บนดาร์กเว็บกว่า 75% มาจากคนในที่เสนอขายการเข้าถึงเอง

บริษัท CloudSEK และ Gambit Security วิเคราะห์แยกกันจากโครงสร้างพื้นฐานที่เปิดทิ้งของกลุ่มแรนซัมแวร์ Aurora พบว่าผู้โจมตีใช้ Cursor ผู้ช่วยเขียนโค้ดแบบ agentic วางแผนและลงมือโจมตี โดย Gambit เห็นการใช้ Cursor Agent ที่รัน Claude Sonnet ลงมือเจาะจริงกับ 10 องค์กรระหว่างเดือนเมษายนถึงพฤษภาคม 2569 ตัวเข้ารหัสทั้งฝั่ง Windows และ Linux/ESXi สร้างจากซอร์สโค้ด Zig ชุดเดียว นอกจากนี้ยังพบชุดเครื่องมือใหม่ชื่อ Gryxa ที่สร้างด้วย AI ทั้งกระบวนการ ใช้โจมตีเข้าถึงเบื้องต้นกับ 324 โฮสต์