Sandworm

ESET พบว่า UAC-0099 เจาะบริษัทโลจิสติกส์ยูเครนด้วยอีเมลฟิชชิงเมื่อ 16 ก.ค. 2568 แล้วส่งต่อให้ Sandworm ล้างข้อมูลเมื่อ 17 ก.ย. 2568 ระหว่างนั้น UAC-0099 ใช้แบ็กดอร์ตัวใหม่ชื่อ MythicRatatoskr ที่ติดต่อเซิร์ฟเวอร์สั่งการภายในเครือข่ายเมช Yggdrasil แบ็กดอร์นี้รันคำสั่ง ถ่ายภาพหน้าจอ รับส่งไฟล์ และเปิดพร็อกซี SOCKS5 ได้ Sandworm ปิดฉากด้วยการกระจาย SDelete ผ่าน Group Policy ของ Active Directory ESET ระบุว่านี่เป็นกรณีแรกที่มีการบันทึกว่ากลุ่มที่รัฐหนุนใช้ Yggdrasil ในลักษณะนี้

บริษัท ESET เผยแพร่ผลวิเคราะห์ MatchBoil ดาวน์โหลดเดอร์ภาษา C# ของกลุ่มจารกรรม UAC-0099 ที่เชื่อว่าสอดคล้องกับผลประโยชน์รัสเซีย ตัวอย่างระหว่าง เม.ย. 2567 ถึง เม.ย. 2569 แสดงการพัฒนาต่อเนื่องจาก downloader ที่ทำงานครั้งเดียวเป็นตัวที่ติดต่อ C2 ทุก 2 นาที เวอร์ชันใหม่ใช้ .NET Reactor ตรวจ sandbox จากเวลา uptime ใน Event Log และแสดงหน้าต่างแอปปลอม เหยื่อที่พบทั้งหมดอยู่ในยูเครน ไล่จากขนส่ง การผลิต สู่พลังงาน ESET ประเมินว่ากลุ่มนี้อาจเป็นนายหน้าส่งต่อสิทธิ์เข้าถึงให้ Sandworm

บริษัท Sophos และบริษัท Cisco พบกลุ่ม Sandworm ที่เชื่อมโยงกับหน่วยข่าวกรอง GRU ของรัสเซีย นำ CVE-2026-20079 (auth bypass ระดับสูงสุด) มาต่อกับ CVE-2026-20316 เพื่อเจาะ Cisco Secure Firewall Management Center แล้วติดตั้ง Cyclops Blink รุ่นใหม่ ตัวใหม่รันบน Linux x86-64 เพิ่มการสแกนเครือข่ายและดักจับทราฟฟิก Cisco ออกฮอตฟิกซ์แล้วและเร่งให้อัปเดตทันที ยังมีอีกสองกลุ่มใช้ช่องโหว่คู่นี้ปล่อยเว็บเชลล์และแรนซัมแวร์ Qilin

CERT-UA เปิดเผยปฏิบัติการวิศวกรรมสังคมของ UAC-0145 กลุ่มย่อยของ Sandworm ที่ปลอมเป็นบริษัทไอทีและนายหน้าจัดหางาน เข้าหาแอดมินระบบและคนไอทีจากเรซูเม่บนเว็บหางานตั้งแต่เดือนพฤษภาคมเป็นอย่างน้อย เหยื่อถูกนัดสัมภาษณ์ผ่าน Zoom แล้วได้รับโจทย์ที่ต้องต่อ VPN องค์กร โดยไฟล์คอนฟิกที่ส่งมาถูกตั้งให้ขึ้นข้อผิดพลาดปลอม เพื่อผลักให้ไปดาวน์โหลดไคลเอนต์ WireGuard ดัดแปลงชื่อ SopraVPN จาก SourceForge ซึ่งรันโค้ด PowerShell ที่ซ่อนอยู่ในไฟล์ตั้งค่า

หน่วย CERT-UA ของยูเครนเปิดโปงแคมเปญกระจายไฟล์บีบอัดที่บรรจุโปรแกรม Notepad++ ของแท้พร้อมเครื่องมืออันตรายชื่อ LunchPoke ปลอมเป็นปลั๊กอินเพื่อฝังตัวในเครื่อง โดยระบุว่าเป็นฝีมือกลุ่ม UAC-0099 ที่เล็งเป้าองค์กรในยูเครนและเคยเป็นผู้เปิดทางให้กลุ่ม APT44 หรือ Sandworm เข้าโจมตี ผู้โจมตีไม่ได้เจาะช่องโหว่หรือทำ supply chain แต่อาศัยกลไกโหลดปลั๊กอินปกติของ Notepad++ ให้โหลด DLL อันตราย ปูทางสู่ตัวโหลดมัลแวร์หลายชั้นและสร้าง scheduled task ฝังตัว

CERT-UA เปิดเผยว่ากลุ่ม UAC-0145 คลัสเตอร์ย่อยของ Sandworm หน่วยแฮ็กในสังกัด GRU ของรัสเซีย หันมาใช้เทคนิค ClickFix ฝัง CAPTCHA ปลอมบนเว็บไซต์ที่ถูกเจาะ แล้วหลอกให้ผู้ใช้ชาวยูเครนคัดลอกคำสั่ง PowerShell ไปรันเอง ปลายทางคือมัลแวร์ขโมยข้อมูลและแบ็กดอร์หลายตัว พบเว็บไซต์ถูกเจาะอย่างน้อย 10 แห่งระหว่างมิถุนายนถึงกรกฎาคม 2569 พร้อมแบ็กดอร์ Android ชื่อ COWARDDUCK ที่ปลอมเป็นเครื่องมือความปลอดภัย

สหภาพยุโรป (EU) และสหราชอาณาจักรออกมาตรการคว่ำบาตรร่วมกันครั้งแรก เล่นงานบุคคลและองค์กรรัสเซียหลายสิบราย พร้อมกล่าวหารัสเซียว่าประสานเครือข่ายกลุ่มแฮ็กเกอร์ก่อเหตุโจมตีทั่วยุโรป EU ระบุชื่อหน่วย 16th Centre ของ FSB ว่าควบคุมกลุ่มภัยคุกคามหลายกลุ่มรวมถึง Turla ส่วนอังกฤษคว่ำบาตร 24 รายรวมนายทหาร GRU ระดับสูงและผู้เกี่ยวข้องกับมัลแวร์ Lumma Stealer ครอบคลุมปฏิบัติการจารกรรมโครงสร้างพื้นฐานสำคัญ