Socradar

สองวันหลัง PHP ออกแพตช์ฉุกเฉิน PHP2Shell ผู้โจมตีไล่ใช้ช่องโหว่อย่างหนัก แต่ ณ 23 ตุลาคม 2569 ยังไม่มีการยืนยันว่ามีระบบถูกเจาะ Sophos พบความพยายามติดตั้ง Potassium บอตเน็ตสายพันธุ์ Mirai ซึ่งถูกสกัดไว้ได้ ส่วน SOCRadar และ Hunt.io พบชุดโค้ดโจมตีที่ทดสอบกับเซิร์ฟเวอร์ 123 เครื่องโดยไม่สำเร็จสักเครื่อง VulnCheck แสดงว่าข้าม ASLR บนเครื่องแบบโปรดักชันได้จริง ความเสี่ยงที่ใหญ่กว่า คือ PHP ราว 71% ที่ Qualys สำรวจยังใช้เวอร์ชันหมดอายุซึ่งไม่มีวันได้แพตช์

SOCRadar พบเซิร์ฟเวอร์ 7 เครื่องของพันธมิตรแรนซัมแวร์ INC และ The Gentlemen ที่เปิดเข้าถึงได้สาธารณะ ภายในมีบทสนทนากับ AI 8,257 ข้อความใน 133 เซสชัน ซอร์สโค้ด ข้อมูลรับรองที่ขโมยมา และตัวเข้ารหัส INC ที่ปรับแต่งเฉพาะเหยื่อ 46 ตัว ผู้โจมตีใช้ OpenCode กับโมเดลผ่าน OpenRouter วางแผนสอดแนม สร้างคำสั่ง และร่างข้อความขู่กรรโชก โดยมนุษย์ยังอนุมัติทุกขั้น บันทึกระบุการเจาะ FortiClient EMS, SimpleHelp และ cPanel พบองค์กรเกี่ยวข้อง 62 แห่ง

SOCRadar เปิดโปง ICMacOS หรือ Icarus macOS มัลแวร์ให้เช่าแบบสมัครสมาชิกที่ผู้ไม่หวังดีพูดภาษารัสเซียชื่อ GlowComa โฆษณาตั้งแต่ต้นกันยายน 2569 มัลแวร์แพร่ผ่านหน้า ClickFix ที่หลอกให้เหยื่อรันคำสั่งใน Terminal แล้วแสดงหน้าต่าง System Preferences ปลอมเพื่อขโมยรหัสผ่าน ก่อนตรวจกับ Keychain และใช้ไลบรารี keychainbreaker ถอดรหัสข้อมูล เวอร์ชัน 1 ขโมยข้อมูลเบราว์เซอร์ กระเป๋าคริปโต และข้อมูลรับรองนักพัฒนา เวอร์ชัน 2 กลายเป็น RAT ที่คงอยู่ผ่าน LaunchAgent และรับคำสั่ง shell ผ่าน WebSocket

บริษัท SOCRadar พบ CyberXero นายหน้าขายสิทธิ์เข้าถึงที่พูดภาษารัสเซีย ใช้ AI สองชั้นในการเจาะระบบ ได้แก่ เอเจนต์ Claude Code สูงสุด 51 ตัว และ PentAGI ที่ต่อกับ Cobalt Strike หลักฐานมาจาก open directory ที่เปิดทิ้งไว้กว่า 90,000 ไฟล์ แคมเปญอัตโนมัติฝังเชลล์ WordPress ได้ 32 เว็บใน 61 วินาที อีกสายหนึ่งสำรวจองค์กรพลังงานยูเครน 7 แห่ง และดูดข้อมูลผู้ใช้บริการความร้อนในคาร์คิฟกว่า 564,000 ราย ยังไม่พบหลักฐานตรงว่ามีการขายสิทธิ์เข้าถึง

นักวิจัยจาก SOCRadar เปิดเผยชุดเครื่องมือหลังเจาะระบบชื่อ PEEP ที่ปลอมตัวเป็นส่วนขยายจัดการบุ๊กมาร์กชื่อ Smart Bookmarks ตัวติดตั้งฝังส่วนขยายลงโปรไฟล์ Chrome และ Edge โดยตรง พร้อมปลอมค่าตรวจสอบความถูกต้องในไฟล์ Secure Preferences เพื่อข้ามการตรวจของ Web Store ตัวส่วนขยายเรียกไฟล์ native messaging host เพื่อขยายอำนาจจากในเบราว์เซอร์ไปสั่งคำสั่งระดับระบบปฏิบัติการ PEEP ต้องอาศัยการเจาะเครื่องมาก่อนแล้วจึงติดตั้ง และยังไม่มีการระบุตัวผู้อยู่เบื้องหลัง

บริษัท SOCRadar เปิดเผยแคมเปญที่ใช้ข้อความต้อนรับของเซิร์ฟเวอร์ FTP เป็นที่ฝากคำสั่งเพื่อส่งโทรจันควบคุมระยะไกลสองตัวที่ไม่เคยมีรายงานมาก่อน คือ E4del และ PINHOLE นับเป็นครั้งแรกที่พบเทคนิคนี้ในโลกจริง E4del เป็น RAT ที่เขียนด้วย Node.js ซ่อนอยู่ในแอป Electron ที่ปลอมเป็น Discord และปรับจังหวะติดต่อเซิร์ฟเวอร์เป็นสามระดับ ส่วน PINHOLE ซับซ้อนกว่า ใช้ Pinterest และ SurveyMonkey หาที่อยู่เซิร์ฟเวอร์สั่งการ แล้วส่งทราฟฟิกผ่าน Cloudflare Workers

กลุ่ม Handala ที่เชื่อมโยงอิหร่านอ้างผ่าน Telegram ว่าโจมตีระบบเรดาร์ทหารอิสราเอลและเทศบาล Kfar Yona ตรงกับวันที่อิสราเอลและอิหร่านยิงขีปนาวุธโต้กลับหลังหยุดยิง 2 เดือน บริษัท SOCRadar ตรวจสอบหลักฐานแล้วพบว่าเป็นเพียง screenshot ของ IVR admin panel ของระบบโทรศัพท์ Tadiran Telecom Aeonix Auto Attendant ไม่ใช่ระบบเรดาร์ทหารตามที่อ้าง