Screenconnect

Arctic Wolf วิเคราะห์เคสหลายร้อยรายที่ผู้โจมตีใช้ฟีเจอร์แชตภายนอกของ Microsoft Teams ปลอมเป็นฝ่ายไอทีด้วยชื่ออย่าง IT Support (Internal) จาก tenant Microsoft 365 ที่สร้างใหม่ ราว 30-40% ใช้โดเมน onmicrosoft.com ระยะหลังหันไปจดโดเมน .top การหลอกมักตามหลังการถล่มอีเมลด้วยจดหมายสมัครสมาชิกนับร้อย แล้วชวนเหยื่อเปิด Quick Assist หรือ RMM อื่นให้ผู้โจมตีคุมเครื่อง ผู้โจมตีเลี่ยงการวาง URL ในแชตเพื่อหลบ Safe Links จึงต้องอาศัยการตรวจจับฝั่ง endpoint ควรจำกัดการแชตภายนอกและวาง allowlist ของ RMM

แคมเปญฟิชชิงชื่อ CSuite ผสมการขโมย session ของ Microsoft 365 เข้ากับการติดตั้งเครื่องมือจัดการระยะไกล (RMM) ทำให้เหตุฟิชชิงครั้งเดียวลุกลามเป็นการยึดทั้งบัญชีและเครื่องปลายทาง กลุ่มใช้เหยื่อล่อที่อ้างอิงบริการยอดนิยมอย่าง DocuSign, Zoom และ Microsoft 365 แล้วเดินเกมได้สองทางคือติดตั้ง ScreenConnect หรือ Action1 เพื่อเข้าถึงเครื่อง หรือหลอกเอา session ผ่าน device-code phishing โดยกิจกรรมกระจุกตัวในสหรัฐฯ และภาคเทคโนโลยี การผลิต ภาครัฐ และที่ปรึกษา

Microsoft เตือนแคมเปญฟิชชิงที่แจกตัวติดตั้งซอฟต์แวร์ RMM ชื่อ MSP360 โดยปลอมเป็นคำเชิญประชุม ไฟล์ PDF และหน้าอัปเดตซอฟต์แวร์ เมื่อรันตัวติดตั้ง MSP360 ที่ถูกกฎหมายแต่ตั้งชื่อหลอกลวง จะสร้างการเข้าถึงระยะไกลและใช้เป็นหัวสะพาน จากนั้นดาวน์โหลดและติดตั้ง ConnectWise ScreenConnect เพิ่มเป็นช่องทางสำรอง การใช้ RMM สองตัวช่วยให้ผู้โจมตีกลมกลืนกับงานดูแลระบบปกติและคงการเข้าถึงไว้ได้ ตรวจพบครั้งแรกเมื่อเดือนกรกฎาคม 2026 ยังไม่ระบุตัวผู้อยู่เบื้องหลัง

บริษัท Huntress เปิดเผยกิจกรรมที่มีพฤติกรรมคล้าย worm ซึ่งอาศัย ConnectWise ScreenConnect กระจายห่วงโซ่ VBScript สี่ขั้นไปยังเครื่องที่เชื่อมต่อเข้ามาใหม่ พบสามเหตุการณ์ที่ไม่เกี่ยวข้องกันในเดือนสิงหาคม 2569 ใช้ช่องทางเข้าถึงต่างกันทั้งสแกมหลอกให้เปิด Quick Assist ตัวติดตั้ง MSI จากฟิชชิง และแบบฟอร์มคืนเงิน Geek Squad ปลอม สคริปต์จะสำรวจเครื่องแล้วเลือกเพย์โหลดตามค่าสถานะสามบิต ตั้งแต่แบ็กดอร์ระดับผู้ใช้ไปจนถึงการยกสิทธิ์และโปรแกรมขุดเหรียญ

นักวิจัยจาก ZeroBEC เปิดโปงแคมเปญฟิชชิงชื่อ Operation BlueDash ที่ใช้เหยื่อล่อธีม Microsoft Teams หลอกว่าต้องอัปเดตก่อนเปิดเอกสาร แล้วลอบติดตั้งเครื่องมือ RMM ที่ถูกกฎหมายพร้อมกันสองตัวคือ Level RMM และ ConnectWise ScreenConnect เพื่อยึดการเข้าถึงเครื่องเหยื่อระยะไกลแบบสำรองซ้ำ ผู้โจมตีถูกโยงกับกลุ่มในไนจีเรียด้วยความมั่นใจปานกลางถึงสูง เคลื่อนไหวมาตั้งแต่กุมภาพันธ์ 2569 และใช้กลยุทธ์หลายแบรนด์สลับทั้ง Teams และ Zoom

Kaspersky เปิดโปงแคมเปญขนาดใหญ่หลายภาษาที่ใช้เว็บปลอมเลียนแบบซอฟต์แวร์ยอดนิยมอย่าง OBS Studio, Bandicam, DS4Windows ดัน SEO ขึ้นอันดับต้นของ Google และ Bing เพื่อหลอกให้เหยื่อโหลดไฟล์ติดตั้งที่ฝังมัลแวร์ ใช้ DLL side-loading ติดตั้ง ScreenConnect แล้วปล่อย AsyncRAT พบกว่า 90 โดเมนใน 10 ภาษา เหยื่อมีทั้งบุคคลทั่วไปและองค์กร