Symantec

Symantec พบบริการรีเลย์เถื่อนที่ให้ผู้ใช้ติดตั้ง OpenAI Codex และ Claude Code ของจริงก่อน แล้วรันสคริปต์ one-liner แก้คอนฟิกให้ส่งทราฟฟิกไปเซิร์ฟเวอร์รีเลย์และใช้คีย์ที่รีเลย์ออกให้ สคริปต์ยังตั้ง sandbox เป็น danger-full-access เปิดเครือข่าย และปิด telemetry มีองค์กร 12 แห่งได้รับผลตั้งแต่ต้นปี 2569 ส่วนใหญ่ในจีนแผ่นดินใหญ่ ผู้ใช้ส่วนใหญ่น่าจะเป็นพนักงานที่อยากใช้ AI ตะวันตก ยังไม่พบว่าผู้ให้บริการใช้ตำแหน่งในทางร้าย แต่รีเลย์เห็นทุก prompt ไฟล์ และความลับ ควรเฝ้าดูการแก้ base_url

ทีม Symantec Threat Hunter เปิดเผยว่าผู้โจมตีหลายกลุ่มหันมาใช้ Node.js ซึ่งเป็นเครื่องมือนักพัฒนาที่มีลายมือชื่อถูกต้อง เป็นช่องทางรันโค้ดอันตรายในการโจมตีหน่วยงานรัฐ บริษัทเทคโนโลยี และโรงแรมตั้งแต่เดือนกุมภาพันธ์ 2569 เสน่ห์ของเทคนิคนี้คือโค้ดอันตรายอยู่ในสคริปต์ที่ถูกตีความ ไม่ใช่ในไฟล์ไบนารี จึงเลี่ยงการตรวจจับด้วยลายเซ็นได้ กรณีหนึ่งผู้โจมตีโหลดตัวติดตั้ง Node.js จากเว็บทางการมาใช้ แล้วดึงคำสั่งผ่าน EtherHiding บนบล็อกเชน

นักวิจัยจาก Symantec เปิดเผยผู้ก่อภัยแรนซัมแวร์รายใหม่ชื่อ Spirals ที่เจาะองค์กร ขโมยข้อมูล และเข้ารหัสเครือข่ายเสร็จภายในไม่ถึง 24 ชั่วโมง เหตุเกิดเดือนมิถุนายนกับบริษัทบริการไอทีในเอเชียใต้ผ่านเซิร์ฟเวอร์ IIS ที่เปิดสู่อินเทอร์เน็ต คนร้ายวางเว็บเชลล์ ปิด Defender หยุดบริการสำรองข้อมูล 23 ตัว แล้วปล่อยเพย์โหลด Rust ที่ปลอมเป็น bitsadmin.exe เข้ารหัสไฟล์และขู่แฉข้อมูลภายใน 6 วัน

ทีม threat hunting ของ Broadcom (Symantec และ Carbon Black) เปิดเผยปฏิบัติการจารกรรมที่แฮ็กเกอร์เข้าถึงอีเมล Outlook ของผู้บริหารระดับสูงในตลาดหลักทรัพย์ระดับโลก โดยเริ่มตั้งแต่ตุลาคม 2568 และคงการเข้าถึงถึงมีนาคม 2569 รวม dwell time ราว 150 วัน ผู้โจมตีใช้มัลแวร์ปลอมเป็นแอป Adobe/OneDrive ตั้ง C2 เดือนพฤศจิกายน แล้วทยอยขโมยเมลทีละชุดเล็กผ่าน Dropbox และ OneDrive เพื่อเลี่ยงการตรวจจับ เป้าหมายน่าจะเป็นการจารกรรมข้อมูลที่ไม่เปิดเผยต่อสาธารณะ

Symantec และ Carbon Black เปิดเผยว่ากลุ่มแฮ็กเกอร์อิหร่าน MuddyWater (Seedworm) โจมตีอย่างน้อย 9 องค์กรใน 9 ประเทศ 4 ทวีปช่วงไตรมาสแรกปี 2026 รวมถึงผู้ผลิตอุตสาหกรรมในเอเชียตะวันออกเฉียงใต้และสนามบินในตะวันออกกลาง ใช้เทคนิค DLL side-loading ผ่านไฟล์ที่เซ็นรับรองถูกต้องของ Fortemedia และ SentinelOne เพื่อรันมัลแวร์และฝัง ChromElevator ขโมยรหัสผ่าน คุกกี้ และข้อมูลบัตรจากเบราว์เซอร์ เลี่ยงการตรวจจับ