Russia

FBI และ CISA อัปเดตคำเตือนเรื่องสายลับรัสเซียฟิชชิงบัญชี Signal โดยเพิ่มขั้นตอนใหม่ หลอกเหยื่อให้ส่งมอบ Signal Backup Recovery Key เมื่อได้คีย์ไป ผู้โจมตีสามารถกู้คืนแบ็กอัป อ่านประวัติข้อความ และยึดบัญชีได้ แม้สร้างบัญชีใหม่บนเบอร์เดิมคีย์เก่ายังใช้ได้ การโจมตีไม่ได้เจาะการเข้ารหัส แต่ใช้ social engineering เป้าหมายคือเจ้าหน้าที่รัฐ ทหาร นักข่าว

หน่วยความมั่นคงยูเครน (SSU) ร่วมกับ FBI เปิดโปงปฏิบัติการระยะยาวของหน่วยข่าวกรองรัสเซียที่เจาะบัญชีแอปแชตของเจ้าหน้าที่รัฐ ทหาร นักการเมือง และนักเคลื่อนไหวในยูเครน ยุโรป และสหรัฐฯ ด้วยการส่ง SMS ปลอมเป็นบอทฝ่ายสนับสนุนของแพลตฟอร์มหลอกขอข้อมูลล็อกอิน เป้าหมายคือล้วงข้อมูลทางทหาร การเมือง และเศรษฐกิจที่อ่อนไหว คลื่นโจมตีคล้ายกันถูกเชื่อมโยงกับกลุ่ม Star Blizzard, UNC5792 และ UNC4221

บริษัท SOCRadar เปิดรายงานระบุตัว Russian Initial Access Broker ผู้อยู่เบื้องหลังแคมเปญ FortiBleed ที่กำหนดเป้าหมาย FortiGate firewall กว่า 430,000 เครื่อง ใช้เครื่องมือ FortigateSniffer ดักจับ credential ได้กว่า 110 ล้านรายการ พบโจมตีผู้รับจ้างกลาโหม NATO และกระทบหลายภาคส่วนทั่วโลก

กลุ่มแฮ็กเกอร์ APT28 หรือ Fancy Bear ซึ่งเชื่อมโยงกับหน่วยข่าวกรองทางทหารรัสเซีย GRU Unit 26165 ปรับกลยุทธ์มาใช้เราเตอร์ SOHO ที่ถูกบุกรุกเป็นโครงสร้างพื้นฐานหลักในการโจมตี รายงานจาก Sekoia เผยว่ากลุ่มนี้เข้ายึด botnet MooBot ของเราเตอร์ Ubiquiti EdgeRouter ตั้งแต่ปี 2565 และในปี 2569 เปิดแคมเปญ FrostArmada มุ่งเป้าเราเตอร์ MikroTik และ TP-Link ส่งผลกระทบต่ออุปกรณ์กว่า 18,000 IP ใน 120 ประเทศ กลุ่มนี้ยังพัฒนาเครื่องมือใหม่หลายตัวรวมถึง LameHug ที่ใช้ AI สร้างคำสั่งโจมตีแบบ real-time

บริษัท Sekoia เปิดเผยว่ากลุ่มแฮ็กเกอร์รัสเซีย Gamaredon ยังใช้ช่องโหว่ WinRAR (CVE-2025-8088) แบบ path traversal ปล่อย payload GammaPhish ที่ดึง VBScript downloader GammaLoad ต่อด้วยเวิร์ม GammaWorm และ infostealer GammaSteel พบในแคมเปญเดือนมกราคม 2569 GammaWorm ฝังตัวผ่าน scheduled task ซ่อนโฟลเดอร์จริงแล้วแทนด้วยไฟล์ LNK อันตราย และ resolve C2 ผ่านช่อง Telegram สาธารณะเพื่อกลมกลืนทราฟฟิก ส่วน GammaSteel ขโมยไฟล์ส่งไป AWS S3 มุ่งเป้าหน่วยงานรัฐและทหารยูเครน

หน่วยงานความมั่นคงกลางรัสเซีย (FSB) อ้างว่าได้ขัดขวางปฏิบัติการจารกรรมไซเบอร์ขนาดใหญ่ที่ฝังสปายแวร์ขั้นสูงในมือถือของเจ้าหน้าที่รัฐระดับสูง โดยกล่าวหาว่าหน่วยข่าวกรองต่างชาติเป็นผู้อยู่เบื้องหลัง มัลแวร์สามารถดึงข้อมูลสำคัญ ดักการสื่อสาร และแอบบันทึกเสียง/วิดีโอ FSB ระบุผู้โจมตีอาศัยโครงสร้างพื้นฐานของผู้ให้บริการ IT และโทรคมนาคมระดับโลก แม้ไม่เปิดเผย IoC หรือชื่อมัลแวร์ แต่ความสามารถสอดคล้องกับสปายแวร์ระดับรัฐอย่าง Pegasus หรือ Predator ที่มักใช้ zero-click exploit

เจ้าหน้าที่ข่าวกรองยุโรประดับสูง 3 คนเปิดเผยกับ AP ว่าหน่วยข่าวกรองรัสเซียเร่งขโมยเทคโนโลยีและความลับด้านกลาโหมของตะวันตกหนักขึ้น หลังมาตรการคว่ำบาตรบีบเศรษฐกิจสงคราม รัสเซียตั้งบริษัทบังหน้า ใช้คนกลาง และส่งสายลับไซเบอร์กับแฮ็กเกอร์เก็บข้อมูลที่อาจใช้โจมตีโครงสร้างพื้นฐานสำคัญ เป้าหมายรวมถึงเทคโนโลยีอวกาศ ควอนตัม กลาโหม และ machine tool โดยรัสเซียเริ่มไม่กลัวการถูกระบุตัวตนและกล้าเสี่ยงมากขึ้น

WithSecure เปิดโปงกลุ่มแฮ็กเกอร์ GreyVibe ที่คาดว่าเชื่อมโยงรัสเซีย ใช้ AI หลายตัวอย่าง ChatGPT, Gemini และ Ideogram สร้างเหยื่อล่อคุณภาพสูงและช่วยพัฒนามัลแวร์ พุ่งเป้าหน่วยงานทหาร รัฐบาล และธุรกิจที่เกี่ยวข้องกับยูเครน ปฏิบัติการนี้เริ่มตั้งแต่สิงหาคม 2568 ใช้หลายห่วงโซ่การโจมตีทั้งฟิชชิง ClickFix และ Android spyware FallSpy แต่ขาดความแนบเนียนแบบรัฐชาติเต็มตัว คาดมีอดีตอาชญากรไซเบอร์ร่วมทีม

หน่วยงาน FIOD ของเนเธอร์แลนด์นำปฏิบัติการบุกทลายเครือข่าย Bulletproof Hosting ที่เชื่อมโยงกับอาชญากรรมไซเบอร์ แคมเปญข่าวปลอม และการหลีกเลี่ยงมาตรการคว่ำบาตรรัสเซีย จับกุมผู้ต้องสงสัย 2 คนในข้อหาละเมิดกฎหมายมาตรการคว่ำบาตร ยึดเซิร์ฟเวอร์และอุปกรณ์จัดเก็บข้อมูล พร้อมปิดโดเมนและ IP หลายรายการ ปฏิบัติการนี้เป็นส่วนหนึ่งของความร่วมมือระหว่างหน่วยงานจากหลายประเทศในยุโรป

กลุ่ม APT28 (Fancy Bear) ของหน่วยข่าวกรองทหารรัสเซีย GRU ใช้ช่องโหว่ที่รู้กันอยู่แล้วใน router รุ่นเก่าของ Mikrotik และ TP-Link เปลี่ยนค่า DNS ให้ชี้ไปยังเซิร์ฟเวอร์ที่ควบคุม ดูด authentication token ของ Microsoft Office จากผู้ใช้กว่า 18,000 เครือข่ายทั่วโลกโดยไม่ต้องติดตั้งมัลแวร์ใด ๆ Microsoft ระบุว่าพบองค์กรกว่า 200 แห่งและอุปกรณ์ผู้บริโภค 5,000 เครื่องที่ได้รับผลกระทบ