Ransomware

บริษัท Blackpoint Cyber เปิดเผยเฟรมเวิร์กมัลแวร์แบบโมดูลาร์ใหม่ชื่อ Avalon ที่แพร่ผ่านห่วงโซ่ฟิชชิงหลายขั้นและหลบเลี่ยงการตรวจจับได้ Avalon รวมการขโมยข้อมูลรับรอง การเคลื่อนที่ในเครือข่าย การเข้าถึงระยะไกล การทำลายระบบกู้คืน และการเข้ารหัสเรียกค่าไถ่ไว้ในตัวเดียว โดยมีคอมโพเนนต์ ransomware ชื่อ CrownX พบร่องรอยว่าใช้ AI ช่วยพัฒนา สะท้อนว่า AI กำลังลดกำแพงการสร้างมัลแวร์ซับซ้อน

นักวิจัยจาก Ransom-ISAC เปิดเผยกรณีหน่วยงานรัฐท้องถิ่นสหรัฐฯ จ่ายเงินราว 1 ล้านดอลลาร์ให้กลุ่ม Kairos แลกกับการไม่เผยแพร่ข้อมูลที่ถูกขโมย หลักฐานจากแชตเจรจาที่หลุดชี้ว่าเหยื่อคือ Union County รัฐโอไฮโอ ซึ่งข้อมูลประชาชนกว่า 45,000 รายรั่วไหลเมื่อปี 2568 กลุ่มนี้ไม่ได้เข้ารหัสเครื่องใดเลย ใช้ข้อมูลที่ขโมยเป็นเครื่องมือกดดันเพียงอย่างเดียว การเจรจาเริ่มจากข้อเรียกร้อง 3 ล้านดอลลาร์และจบที่ 1 ล้านดอลลาร์ จ่ายเป็น Bitcoin ราว 9.44 BTC การตามรอยบล็อกเชนพบเงินไหลไปยัง Bybit, OKX และบริการรัสเซีย BELQI

SOCRadar เชื่อมโยงแคมเปญ FortiBleed ที่ขโมย credential จาก FortiGate เข้ากับปฏิบัติการแรนซัมแวร์ INC และ Lynx เป็นครั้งแรก โดยพบผู้ปฏิบัติการล็อกอินเข้าแผงเจรจาของทั้งสองกลุ่ม แคมเปญนี้สแกน FortiGate ราว 430,000 เครื่องทั่วโลก เก็บ credential ได้กว่า 110 ล้านชุดผ่าน packet sniffer นำไปสู่การวาง ransomware อย่างน้อย 12 ครั้ง เชื่อว่าเป็นฝีมือกลุ่มพูดรัสเซียราว 20 คนที่ทำหน้าที่ initial access broker และยังเล็งอุปกรณ์ Citrix เป็นเป้าถัดไป

กระทรวงยุติธรรมสหรัฐฯ ประกาศส่งตัวนาย Peter Stokes วัย 19 ปี ผู้ต้องสงสัยสมาชิกกลุ่ม Scattered Spider ข้ามแดนจากฟินแลนด์มาขึ้นศาลชิคาโก ข้อหาสมคบคิด บุกรุกคอมพิวเตอร์ และฉ้อโกง เอกสารศาลระบุการบุกรุกอย่างน้อย 4 ครั้ง รวมกรณีเรียกค่าไถ่ราว 8 ล้านดอลลาร์ ถือเป็นส่วนหนึ่งของการกวาดล้างเครือข่ายที่โจมตีคาสิโน ค้าปลีก และสายการบิน

นักวิจัย Check Point พบมัลแวร์ตัวใหม่ที่ถูกสร้างด้วย DeepSeek ซึ่งเชื่อมแนวคิดแรนซัมแวร์ในเบราว์เซอร์ที่เคยถูกมองว่าเป็นไปไม่ได้ เข้ากับความสามารถจริงของ File System Access API จนกลายเป็นการโจมตีที่ทำงานได้ในเบราว์เซอร์ล้วน ตัวอย่างเป็น Python Flask ชื่อ InfernoGrabber v9.0 ที่ขโมยข้อมูลและเรียกค่าไถ่ Bitcoin การโจมตีทำงานได้บน Windows, macOS, Linux, Android และ Edge เป็นครั้งแรกที่โมเดล AI หาเส้นทางโจมตีใหม่ได้เอง ยังไม่พบการใช้จริงในโลก

Bitdefender Antispam Lab พบแคมเปญอีเมลปลอมที่อ้างเป็นเจ้าหน้าที่ Interpol กดดันให้พนักงานธุรกิจขนาดเล็กเปิดไฟล์ที่อ้างว่าเป็นหลักฐานการสอบสวน อีเมลชี้ไปยังลิงก์ Proton Drive ที่มีไฟล์ archive.rar ล็อกรหัส เมื่อเปิดจะปล่อยแรนซัมแวร์ที่ซ่อนเป็นไฟล์วิดีโอ มัลแวร์เข้ารหัสไฟล์แล้วสั่งให้ติดต่อผ่าน Tox แคมเปญนี้โจมตีองค์กรทั่วยุโรป เอเชีย ตะวันออกกลาง และสหรัฐฯ องค์กรควรระวังอีเมลแจ้งสอบสวนที่ไม่คาดคิดและไฟล์บีบอัดล็อกรหัส

หน่วยงาน CISA ยืนยันว่ากลุ่มแรนซัมแวร์เริ่มใช้ช่องโหว่ BlueHammer (CVE-2026-33825) ใน Windows Defender โจมตีจริงแล้ว หลังช่องโหว่นี้ถูกนักวิจัย Nightmare Eclipse ปล่อย PoC สู่สาธารณะตั้งแต่เมษายนเพื่อประท้วงการจัดการของ Microsoft ช่องโหว่เปิดทางให้ผู้โจมตีที่มีสิทธิ์ต่ำเข้าถึงฐานข้อมูล SAM แล้วยกระดับเป็น SYSTEM ได้ Microsoft แพตช์แล้วตั้งแต่เมษายน แต่เครื่องที่ยังไม่อัปเดตยังเสี่ยงถูกแรนซัมแวร์โจมตี

Zscaler เปิดเผยส่วนขยาย Microsoft Edge อันตรายชื่อ Edgecution ที่ถูกใช้ในการโจมตี ransomware เพื่อหลุดออกจาก sandbox ของเบราว์เซอร์และวาง backdoor ที่เขียนด้วย Python มัลแวร์อาศัยโปรโตคอล Chrome Native Messaging เป็นสะพานเชื่อมส่วนขยายกับแอปบนเครื่อง การโจมตีเริ่มจากผู้โจมตีปลอมเป็นทีม IT บน Microsoft Teams เชื่อว่าเป็นฝีมือ initial access broker ที่เชื่อมโยงกับกลุ่ม Payouts Kings

Symantec และ Carbon Black ของ Broadcom เปิดเผยว่า initial access broker ชื่อ Woodgnat (หรือ KongTuke) ที่เคลื่อนไหวตั้งแต่พฤษภาคม 2024 กำลังใช้ RAT ตัวใหม่ชื่อ Backdoor.Mistic โจมตีองค์กรหลายอุตสาหกรรมตั้งแต่เมษายน 2026 กลุ่มนี้เชื่อมโยงกับ ransomware อย่าง Qilin, Interlock, Rhysida, Akira, 8Base และ Black Basta ใช้เทคนิค ClickFix, FileFix และ Microsoft Teams หลอกให้เหยื่อรันคำสั่ง PowerShell

Microsoft DART เปิดเผยการโจมตีเซิร์ฟเวอร์ SharePoint on-premises ที่ไม่แพตช์ โดยกลุ่ม Storm-2603 ใช้ช่องโหว่ CVE-2025-49706 และ CVE-2025-49704 เจาะเข้าระบบตั้งแต่กลางปี 2025 ติดตั้ง ransomware พร้อม backdoor และใช้เทคนิค BYOVD ปิดระบบป้องกัน ที่ซับซ้อนคือพบกลุ่มที่สองทำงานคู่ขนานในเครือข่ายเดียวกันพร้อมขโมยไฟล์ NTDS.dit องค์กรที่ใช้ SharePoint รุ่นเก่าเสี่ยงสูง