Sophos

Sophos รายงานว่า GOLD OGRE กลุ่มเบื้องหลังแรนซัมแวร์ Aur0ra ใช้เอเจนต์ AI ใน Cursor ทำงานเจาะเครือข่ายส่วนใหญ่ จนได้สิทธิ์ Domain Admin ผู้โจมตีหลบกฎความปลอดภัยของโมเดลด้วยการอ้างว่าเป็นงาน red team และใช้ Composer ของ Cursor ร่วมกับโมเดลของ Anthropic, xAI และ Moonshot ในบางเครือข่ายเอเจนต์ไปถึงสิทธิ์จัดการโดเมน และเหยื่อ 3 รายโผล่บนเว็บประจาน ร่องรอยแป้นพิมพ์ชี้ว่าผู้ปฏิบัติการพูดรัสเซีย องค์กรควรเร่งตอบสนองแจ้งเตือน EDR แบ่งโซนเซิร์ฟเวอร์สำคัญ และแยกแบ็กอัป

สองวันหลัง PHP ออกแพตช์ฉุกเฉิน PHP2Shell ผู้โจมตีไล่ใช้ช่องโหว่อย่างหนัก แต่ ณ 23 ตุลาคม 2569 ยังไม่มีการยืนยันว่ามีระบบถูกเจาะ Sophos พบความพยายามติดตั้ง Potassium บอตเน็ตสายพันธุ์ Mirai ซึ่งถูกสกัดไว้ได้ ส่วน SOCRadar และ Hunt.io พบชุดโค้ดโจมตีที่ทดสอบกับเซิร์ฟเวอร์ 123 เครื่องโดยไม่สำเร็จสักเครื่อง VulnCheck แสดงว่าข้าม ASLR บนเครื่องแบบโปรดักชันได้จริง ความเสี่ยงที่ใหญ่กว่า คือ PHP ราว 71% ที่ Qualys สำรวจยังใช้เวอร์ชันหมดอายุซึ่งไม่มีวันได้แพตช์

Sophos เปิดโปง Bronze Sandcastle กลุ่มภัยคุกคามสายจีนที่ไม่เคยมีการบันทึกมาก่อน โจมตีองค์กรในเอเชียและแอฟริกาตั้งแต่กลางปี 2568 เหยื่อที่ยืนยันอยู่ในฟิลิปปินส์ ไต้หวัน อัฟกานิสถาน นามิเบีย และน่าจะรวมเกาหลีใต้ จุดเด่นคือวาง sbiedll.dll ปลอมให้ SandboxieWUAU.exe โหลด และใช้คู่ DLL sideloading อีก 7 แบบ เช่น LINE, Krita และ Sysinternals DLL ถอดรหัส config.ini แล้วรันแบ็กดอร์ในหน่วยความจำที่เก็บข้อมูลเครือข่าย คีย์ที่กด และภาพหน้าจอ Sophos แนะนำให้ตรวจจับจากพฤติกรรมแทนลายเซ็นไฟล์

บริษัท Sophos เผยว่ามัลแวร์ที่โยงกับการเจาะอุปกรณ์ F5 BIG-IP APM ซ่อนเว็บเชลล์ PHP ไว้ในหน่วยความจำแทนไฟล์บนดิสก์ เมื่อ Apache โหลดสคริปต์ .php3 สามตัวของอุปกรณ์ มัลแวร์จะเติมเว็บเชลล์ลงในสำเนาที่อยู่ในหน่วยความจำ การตรวจไฟล์จึงกลับมาสะอาด มัลแวร์ฝังตัวในโปรแกรม Apache เอง แล้วดักฟังก์ชัน apr_dso_load รอจนกว่าโมดูล PHP จะถูกโหลด ต้นทางเชื่อมโยงกับ CVE-2025-53521 ที่ F5 เปลี่ยนการจัดประเภทเป็น RCE เมื่อเดือนมีนาคม 2569

บริษัท Sophos เปิดเผยแคมเปญ STAC4749 ที่ผู้โจมตีปลอมเป็นฝ่ายไอทีโทรผ่าน Microsoft Teams หลอกพนักงานให้เปิดเซสชันควบคุมระยะไกลด้วย Quick Assist หรือเครื่องมือ RemSupp แล้ววางแบ็กดอร์ผ่าน PowerShell การโจมตีพุ่งเป้าองค์กรในแคนาดาและสหรัฐฯ กว่า 95% รวมหลายสิบองค์กรระหว่างกุมภาพันธ์ถึงมิถุนายน 2569 อย่างน้อย 3 กรณีจบลงด้วยแรนซัมแวร์ Chaos โดยกรณีหนึ่งใช้เวลาจากสายแรกถึงเข้ารหัสไฟล์ไม่ถึง 17 ชั่วโมง

บริษัท Sophos เปิดเผยว่าผู้โจมตีใช้เครื่องมือที่ AI ช่วยสร้าง อัตโนมัติการค้นหา Active Directory และทดสอบเทคนิคหลบ EDR สะท้อนการเติบโตของเฟรมเวิร์ก post-exploitation ที่ขับเคลื่อนด้วย AI ชุดเครื่องมือมีทั้ง Cobalt Strike profile ปลอมทราฟฟิกเว็บ, C2 ผ่าน Telegram bot, สคริปต์ Python inject shellcode และ Cloudflare Worker บัง backend สคริปต์ส่วนใหญ่เขียนเป็นภาษารัสเซีย ทดสอบกับ Sophos, CrowdStrike, Microsoft Defender ผ่าน Ludus lab โดยมี AI agent หลักที่ใช้ Claude Opus จัดการ orchestration