Russia

ESET รายงานว่ากลุ่มที่สอดคล้องกับรัสเซียกำลังเจาะเมลเซิร์ฟเวอร์ MDaemon ในยูเครนโดยไม่ต้องให้ใครเปิดอีเมล MDaemon ใช้ ClamAV สแกนไฟล์แนบแต่ยังพก libclamunrar.dll รุ่นเก่าที่มีช่องโหว่ WinRAR CVE-2025-8088 ผู้โจมตีเพียงส่งไฟล์ RAR ที่สร้างมาเฉพาะไปยังที่อยู่ใดก็ได้บนเซิร์ฟเวอร์ การสแกนจะเขียน DLL อันตรายลงระบบไฟล์ CERT-UA ติดตามมัลแวร์ที่ใช้ในชื่อ HELLAGE และ HELLTAG และ ESET ยังระบุกลุ่มไม่ได้ ผู้ดูแลควรอัปเกรด MDaemon เป็น 26.0.4 ขึ้นไป

รายงาน APT Activity Report ไตรมาส 2-3 ปี 2569 ของ ESET ระบุว่า FrostyNeighbor กลุ่มที่สอดคล้องกับรัฐเบลารุส ก่อการโจมตีทำลายล้างครั้งแรกที่ ESET บันทึกได้ในยุโรปจากกลุ่มสายเบลารุส เป้าหมาย คือ ผู้ผลิตยูเครนที่สำคัญต่อภาคขนส่ง โดยปล่อย VBScript wiper ผ่าน Group Policy ร่วมกับ Cobalt Strike ESET มองว่าเบลารุสทำหน้าที่ตัวแทนหรือตัวเสริมกำลังให้รัสเซีย แต่ Recorded Future ยังไม่เห็นหลักฐานการบัญชาการร่วม หน่วยงานภาครัฐ ขนส่ง และกลาโหมที่สนับสนุนยูเครนควรเฝ้าระวังกลุ่มนี้แยกจากกลุ่มรัสเซีย

ESET พบว่า UAC-0099 เจาะบริษัทโลจิสติกส์ยูเครนด้วยอีเมลฟิชชิงเมื่อ 16 ก.ค. 2568 แล้วส่งต่อให้ Sandworm ล้างข้อมูลเมื่อ 17 ก.ย. 2568 ระหว่างนั้น UAC-0099 ใช้แบ็กดอร์ตัวใหม่ชื่อ MythicRatatoskr ที่ติดต่อเซิร์ฟเวอร์สั่งการภายในเครือข่ายเมช Yggdrasil แบ็กดอร์นี้รันคำสั่ง ถ่ายภาพหน้าจอ รับส่งไฟล์ และเปิดพร็อกซี SOCKS5 ได้ Sandworm ปิดฉากด้วยการกระจาย SDelete ผ่าน Group Policy ของ Active Directory ESET ระบุว่านี่เป็นกรณีแรกที่มีการบันทึกว่ากลุ่มที่รัฐหนุนใช้ Yggdrasil ในลักษณะนี้

บริษัท Solar ของรัสเซียรายงานว่ากลุ่มแฮ็กทิวิสต์ฝ่ายเบลารุส Cyber Partisans หรือ Partisan Zmiy แฝงอยู่ในเครือข่ายองค์กรสาธารณสุขรัสเซียตั้งแต่ต้นปี 2567 จนถูกพบในธันวาคม 2568 ผู้โจมตีซ่อนบริการ vmauad และ DLL อันตรายในโฟลเดอร์ VMware Tools เพื่อรันแบ็กดอร์ Vasilek 1.5.8 ที่สั่งงานผ่าน Telegram ต่างจากเคสก่อนหน้า ครั้งนี้กลุ่มไม่ได้ใช้ wiper ทำลายระบบ Solar ตั้งสมมติฐานว่ากลุ่มเก็บสิทธิ์เข้าถึงไว้จารกรรมและโจมตีต่อผ่านสถานพยาบาลในเครือ ยังไม่ทราบช่องทางเข้าเริ่มต้น

Symantec รายงานว่ากลุ่ม APT28 ที่รัสเซียหนุนหลัง เจาะองค์กรในประเทศสมาชิก NATO สองประเทศภายใต้แคมเปญ Swallowtail เป้าหมายคือหน่วยงานบังคับใช้กฎหมาย อู่ต่อเรือรบ และผู้ผลิตเครื่องยนต์อากาศยานทหาร ในอู่ต่อเรือ ผู้โจมตีกลับมาที่เครื่องเดิมซ้ำตลอดหนึ่งสัปดาห์ ขโมยข้อมูลรับรองสองวิธี เปิดอุโมงค์ SSH ถาวร และวาง reflective loader ตัวใหม่ HOOKEDGE รุ่นใหม่เลิกใช้ webhook.site หันไปใช้ IP เฉพาะ ส่วน CERT-UA รายงานว่ารัสเซียเล็งสมาร์ตโฟนทหารยูเครนและใช้ CVE-2026-21509 กับ CVE-2026-8496

ดาวเทียม Kosmos 2612 ของรัสเซียเคลื่อนเข้าใกล้ ICEYE-X36 ดาวเทียมเรดาร์ถ่ายภาพโลกเชิงพาณิชย์ระหว่าง 15-19 ตุลาคม 2569 ระยะใกล้สุดยังไม่ตรงกัน ตั้งแต่ราว 500 เมตรไปจนถึงไม่กี่เมตร บริษัท ICEYE ส่งภาพให้กระทรวงกลาโหมยูเครน แต่ยังไม่ยืนยันว่าดวงนี้ใช้กับยูเครนหรือไม่ LeoLabs ระบุว่าพฤติกรรมตรงกับการปฏิบัติการเข้าประชิด แม้ยังไม่บ่งชี้เจตนาร้าย นักวิเคราะห์ชี้ความเป็นไปได้ตั้งแต่การสอดแนม การรบกวนสัญญาณ ไปจนถึงการข่มขู่

OpenAI รายงานปฏิบัติการชี้นำข้อมูลของรัสเซียชื่อ Dark Clark ที่ส่งอีเมลปลอมเป็นหน่วยงานการศึกษาของเปรูและเอกวาดอร์ หลอกให้โรงเรียนจัดกิจกรรมแล้วนำภาพไปปลุกกระแสความขัดแย้ง ผู้ปฏิบัติการใช้ ChatGPT ช่วยวางแผน แปลภาษา สร้างเนื้อหา และเขียนรายงานภายใน และตั้งองค์กรวิจัยบังหน้าเพื่อจ้างคนในพื้นที่ OpenAI โยงกลุ่มนี้กับเครือข่ายของนาย Yevgeniy Prigozhin เป้าหมายใหญ่คือทำลายภาพลักษณ์ของยูเครน OpenAI ระบุว่า AI เพิ่มความได้เปรียบเพียงเล็กน้อย และหลายผลงานที่ผู้ปฏิบัติการอ้างไม่พบหลักฐาน

บริษัท GreyNoise พบการสแกนและพยายามเจาะอุปกรณ์กล้องวงจรปิดในยูเครนพุ่งสูงระหว่าง 21 ก.ย.–1 ต.ค. 2569 เกือบทั้งหมดเล็ง CVE-2021-36260 ช่องโหว่ command injection ในอุปกรณ์ Hikvision ที่ไม่ได้แพตช์ คะแนน CVSS 9.8 กิจกรรมมาจาก 4 IP ซึ่ง 3 ตัวเป็นทางออกของ PureVPN และใช้เทมเพลต Nuclei สาธารณะทดสอบคำสั่งโดยไม่ส่ง payload ช่วงเวลาตรงกับการโจมตีทางอากาศของรัสเซีย แต่ยังไม่มีหลักฐานเชื่อมโยง และยังไม่มีการยืนยันว่ากล้องถูกยึดจริง

บริษัท TrendAI เปิดเผย ASHVEIN มัลแวร์ .NET แบบ infostealer และ RAT ของกลุ่ม UAC-0099 ที่ฝักใฝ่รัสเซีย ใช้โจมตีเจ้าหน้าที่รัฐบาลยูเครน ASHVEIN ขโมยรหัสผ่านเบราว์เซอร์ จับภาพหน้าจอ ดึงไฟล์ และรัน PowerShell โดยซ่อนคำสั่งไว้ในองค์ประกอบ HTML ที่มองไม่เห็น การส่งมัลแวร์ใช้ DLL sideloading ไฟล์ VHD และ dropper ที่ปลอมเป็นเอกสารตอบกลับจากตำรวจแห่งชาติยูเครน TrendAI ชี้ว่าเป้าหมายขยายจากรัฐและทหารไปยังผู้ประกอบการขนส่งและโครงสร้างพื้นฐานพลเรือน

กระทรวงยุติธรรมสหรัฐฯ ฟ้อง Oxygen Forensics โดยกล่าวหา CEO นาย Lee Reiber และผู้ร่วมก่อตั้งชาวรัสเซียว่าปกปิดการที่บริษัทถูกคนรัสเซียเป็นเจ้าของและซอฟต์แวร์ถูกพัฒนาในรัสเซีย ขณะขายเครื่องมือนิติวิทยาศาสตร์ให้หน่วยงานสหรัฐฯ รายงานของ Politico เผยว่าเครื่องมือนี้ยังถูกใช้ในตำรวจเยอรมนี สเปน อิตาลี โปแลนด์และอีกหลายประเทศ และเจ้าของกลุ่มเดียวกันยังคุมบริษัทรัสเซียที่ขายเทคโนโลยีเดียวกันให้ FSB และกระทรวงมหาดไทยรัสเซีย