Ransomware

INTERPOL ออกรายงานประเมินภัยคุกคามไซเบอร์เอเชียและแปซิฟิกใต้ 2025/2026 ชี้ภัยไซเบอร์เพิ่มขึ้นรุนแรง โดยฟิชชิงเป็นภัยที่แพร่หลายและสร้างความเสียหายทางการเงินมากที่สุด ภูมิภาคนี้พบการโจมตีแรนซัมแวร์กว่า 135,000 ครั้งในปี 2024 และความสูญเสียจากสแกม AI สูงถึง 37,000 ล้านดอลลาร์ ศูนย์หลอกลวงในกัมพูชา ลาว เมียนมาใช้แรงงานบังคับและ deepfake หลอกเหยื่อทั่วโลก

บริษัท ESET เปิดโปงปฏิบัติการแรนซัมแวร์ The Gentlemen ที่พัฒนาชุดเครื่องมือฆ่า EDR ชื่อ GentleKiller แจกให้สมาชิก (affiliate) ใช้ปิดระบบป้องกันก่อนปล่อยตัวเข้ารหัส GentleKiller มี 8 รูปแบบ แต่ละแบบปลอมเป็นผลิตภัณฑ์ถูกกฎหมายและใช้เทคนิค BYOVD เล็งหา 400 โปรเซสจาก 48 โปรแกรมความปลอดภัย กลุ่มนี้อ้างเหยื่อ 504 รายส่วนใหญ่ในเอเชียตะวันออกเฉียงใต้ และยังพบ infostealer ชื่อ OxideHarvest ขโมยข้อมูลจากเบราว์เซอร์

กลุ่มแฮ็กเกอร์ ShinyHunters ประกาศบนเว็บไซต์ของกลุ่มว่าได้เจาะระบบบริษัท Kodak และขโมยข้อมูลส่วนบุคคลของลูกค้ากว่า 2.2 ล้านรายการพร้อมข้อมูลองค์กร โดยขู่จะปล่อยข้อมูลทั้งหมดในวันที่ 18 มิถุนายนหากไม่ได้รับค่าไถ่ บริษัท Kodak ยืนยันเหตุการณ์แล้วว่ามีบุคคลภายนอกเข้าถึงข้อมูลจำนวนจำกัดโดยไม่ได้รับอนุญาต และกำลังสอบสวนร่วมกับผู้เชี่ยวชาญภายนอกและหน่วยบังคับใช้กฎหมาย

กลุ่ม DragonForce ransomware ใช้มัลแวร์ชื่อ Backdoor.Turn ซ่อนการสื่อสาร C2 ในโครงสร้าง TURN relay ของ Microsoft Teams เป็นครั้งแรกที่พบในโลกจริง ทำให้ defender เห็นเป็นทราฟฟิก Teams ปกติ พร้อมใช้เทคนิค BYOVD ผ่าน driver หลายตัวเพื่อปิดเครื่องมือรักษาความปลอดภัย

รายงาน Q1/2026 พบเหยื่อแรนซัมแวร์ 2,122 รายสูงสุดเป็นอันดับ 2 ตลอดกาล กลุ่มใหม่ Hyflock และ The Gentlemen ที่อ้างสายสัมพันธ์กับ LockBit และ Qilin เติบโตอย่างรวดเร็ว โดย The Gentlemen ขยายเหยื่อ 315% ในไตรมาสเดียว กลุ่ม 10 อันดับแรกครองส่วนแบ่ง 71% ของเหยื่อทั้งหมด สะท้อนการรวมตัวของตลาดแรนซัมแวร์

PRODAFT เปิดเบื้องหลังกลุ่ม The Gentlemen (Phantom Mantis) ที่มีเหยื่อ 478 รายแล้ว นำโดยอาชญากรไซเบอร์ชาวรัสเซียที่ใช้ AI ช่วยพัฒนา ransomware เวอร์ชันใหม่มีความสามารถแพร่กระจายแบบ worm ข้ามเครือข่ายผ่าน SSH ได้เอง เหยื่อส่วนใหญ่กระจายอยู่ในไทย สหราชอาณาจักร บราซิล เยอรมนี และอินเดีย

นายโอเลกซี โอเลกซียอวิช ลิตวิเนนโก ชาวยูเครนวัย 44 ปี รับสารภาพต่อศาลสหรัฐฯ ในข้อหาสมรู้ร่วมคิดฉ้อโกงทางสายโทรศัพท์จากบทบาทในขบวนการแรนซัมแวร์ Conti หลังถูกส่งตัวจากไอร์แลนด์มายังสหรัฐฯ เขาสารภาพว่าเข้าร่วมขบวนการตั้งแต่เดือนกันยายน 2564 และครอบครองข้อมูลที่ถูกขโมยจากเหยื่อ 12 ราย ทั้งในสหรัฐฯ และต่างประเทศ Conti เคยโจมตีเหยื่อกว่า 1,000 รายทั่วโลกและเรียกค่าไถ่รวมกว่า 150 ล้านดอลลาร์ ก่อนจะยุติปฏิบัติการในปี 2565 สมาชิกเก่าแตกกระจายไปก่อตั้งกลุ่มใหม่หลายกลุ่ม

Veeam ออกแพตช์ช่องโหว่ร้ายแรง CVE-2026-44963 ใน Backup & Replication เปิดทาง RCE บนเซิร์ฟเวอร์สำรองข้อมูลที่ join โดเมน ผู้ใช้โดเมนสิทธิ์ต่ำก็สามารถโจมตีได้ กระทบเวอร์ชัน 12 ทั้งหมดจนถึง 12.3.2.4465 และแก้ไขแล้วในเวอร์ชัน 12.3.2.4854 ส่วนเวอร์ชัน 13 ไม่ได้รับผลกระทบจากการเปลี่ยนสถาปัตยกรรม กลุ่มแรนซัมแวร์มักพุ่งเป้าเซิร์ฟเวอร์ Veeam เพื่อลบข้อมูลสำรองตัดทางกู้คืนระบบ ผู้ดูแลระบบควรอัปเดตทันที

บริษัท CISA สั่งหน่วยงานรัฐบาลกลางสหรัฐฯ ปะ Check Point Remote Access VPN ภายใน 11 มิถุนายน 2569 หลัง CVE-2026-50751 ถูก Qilin ransomware ใช้เจาะแบบ zero-day บริษัท Check Point ยืนยันโจมตีเริ่ม 7 พฤษภาคม กระทบ instance ที่เปิด IKEv1 และยอมรับ legacy Remote Access client ไม่ต้องใช้ machine certificate ผู้โจมตี bypass authentication และสร้าง VPN connection ได้โดยไม่ต้องล็อกอิน

บริษัท Vectra AI วิเคราะห์ข้อความ 3,366 รายการที่รั่วจากเซิร์ฟเวอร์ Rocket.Chat ของกลุ่มแรนซัมแวร์ The Gentlemen ที่พูดภาษารัสเซีย ซึ่งพุ่งขึ้นเป็นกลุ่มที่เคลื่อนไหวมากอันดับ 2 รองจาก Qilin ในปี 2569 ใช้ช่องโหว่ FortiOS CVE-2024-55591 เป็นทางเข้าหลัก brute-force VPN Fortinet ราว 1,000 ตัว ใช้ C2 ของตัวเองชื่อ G-BOT แทน Cobalt Strike โจมตี hypervisor โดยตรง และใช้ GPT/Claude ช่วยเจรจาค่าไถ่ พบความเชื่อมโยงกับ Black Basta ผ่าน negotiator ‘Tinker’ และ Matrix server เดียวกัน