ศูนย์ประสานการรักษาความมั่นคงปลอดภัยไซเบอร์ ด้านความมั่นคงของรัฐฝ่ายพลเรือน

Threat-Hunting

ภาพรวมแท็กนี้

5 ข่าว

เซิร์ฟเวอร์มัลแวร์สาย Midnight Blizzard ยังปล่อย payload ได้ 8 สัปดาห์หลังถูกเปิดโปง — ReversingLabs ไล่จาก 2 แฮชของ Anthropic เจอ stager เพิ่ม 5 build และไฟล์ shortcut ที่แอนติไวรัสไม่จับ

Midnight Blizzard-linked staging server still delivering malware weeks after disclosure
ReversingLabs พบว่าเซิร์ฟเวอร์ staging ที่เชื่อมกับคลัสเตอร์สาย Midnight Blizzard ยังส่งไฟล์อันตรายได้ ณ วันที่ 5 ต.ค. 2569 ราว 8 สัปดาห์หลังถูกเปิดเผยต่อสาธารณะ นักวิจัยเริ่มจาก 2 แฮชที่ Anthropic เผยแพร่ แล้วไล่เจอ stager PowerShell เพิ่ม 5 build ไฟล์ Internet Shortcut ที่ไม่มีโค้ดจนแอนติไวรัสไม่ตรวจจับ และโดเมนฟิชชิงที่ยังเข้าถึงได้ ไฟล์ส่วนใหญ่มีผลตรวจจากผู้ขายภายนอกน้อยมาก ไมโครซอฟท์ยังรายงานกิจกรรมรอบใหม่ปลายเดือนกันยายนพร้อม CornFlake รุ่น Rust
ที่มา: GBHackers
อ่านต่อ →

Microsoft Teams เริ่มสแกน URL ที่ซ่อนใน QR code หลังส่งข้อความแล้ว — Defender for Office 365 ขึ้นคำเตือนหรือบล็อกข้อความ quishing และเพิ่มข้อมูลให้ล่าภัยใน Defender XDR

Microsoft Teams warns users about malicious links hidden in QR codes with Defender for Office 365
บริษัท Microsoft เพิ่มการตรวจ QR code ในข้อความ Teams ผ่าน Defender for Office 365 ตามประกาศ MC1490905 ระบบจะถอด URL ที่ซ่อนใน QR code หลังข้อความถูกส่งแล้ว และตรวจว่าชี้ไปเนื้อหาอันตรายหรือไม่ หากพบ Teams จะขึ้นคำเตือนบนข้อความ หรือบล็อกข้อความภายในเมื่อเปิด ZAP for Teams ไว้ URL ที่ถอดได้จะปรากฏในตาราง MessageUrlInfo ของ Defender XDR โดยมีค่า UrlLocation เป็น QRCode การทยอยเปิดใช้เริ่มต้นตุลาคมและคาดว่าเสร็จต้นพฤศจิกายน 2569 โดยไม่ต้องตั้งค่าเพิ่ม
ที่มา: Cyber Security News
อ่านต่อ →

Huntress สรุปสัญญาณจับ "พนักงานไอทีเกาหลีเหนือ" จาก 3 เคสจริงในปี 2569 — PiKVM, พาสปอร์ตพิมพ์ผิดจุดเดียวกัน และบิลค่าไฟที่ลิงก์ไปเว็บการไฟฟ้าสหรัฐ

Red flags that expose fake North Korean IT workers hired as remote employees
บริษัท Huntress เผยผลสอบสวน 3 ชุดในปี 2569 ที่ช่วยองค์กรยืนยันว่าพนักงานระยะไกลที่จ้างมาน่าจะเป็นคนสัญชาติเกาหลีเหนือที่สวมรอยเป็นแรงงานไอทีถูกกฎหมาย เคสแรกเป็นบริษัทสาธารณสุขในออสเตรเลียที่สงสัยพนักงาน 3 คนซึ่งใช้ Astrill VPN, IPRoyal Proxy และบริการโฮสต์กันกระสุนพร้อมกัน อีก 2 เคสในภาคการเงินพบอุปกรณ์ PiKVM ที่หายากในองค์กร รูปโปรไฟล์ที่ขโมยจาก GitHub และเอกสารระบุตัวตนที่ถูกแก้ไขรูปถ่าย
ที่มา: Dark Reading
อ่านต่อ →

Microsoft โยงโดเมนหมุนเวียนกว่า 30 รายเข้ากับ MacSync Stealer — ใช้พฤติกรรมซ้ำของโปรเซสและคำขอเป็นตัวไล่ล่าแทนการไล่ตามที่อยู่

Microsoft links more than 30 rotating domains to MacSync macOS stealer infrastructure
ทีม Microsoft Defender Experts โยงเว็บโดเมนกว่า 30 รายเข้ากับ MacSync Stealer มัลแวร์ขโมยข้อมูลบน macOS ด้วยการจับคู่พฤติกรรมที่ซ้ำกันทั้งฝั่งเครื่องปลายทางและฝั่งเครือข่าย แทนการไล่ตามที่อยู่ที่เปลี่ยนตลอด รายงานยืนยันว่ามีการดูดข้อมูลออกจริงไม่ใช่แค่การติดต่อ C2 โดยมัลแวร์กวาดทั้ง Keychain ข้อมูลรับรองเบราว์เซอร์ กุญแจ SSH ข้อมูลรับรอง AWS และไฟล์ตั้งค่า Kubernetes ก่อนอัดเป็นไฟล์บีบและส่งออกทีละก้อน Microsoft ไม่เปิดเผยจำนวนเหยื่อและไม่ระบุชื่อกลุ่มผู้อยู่เบื้องหลัง
ที่มา: The Hacker News
อ่านต่อ →

PyrsistenceSniper — เครื่องมือโอเพนซอร์สตรวจจับ 117 เทคนิค Persistence ของมัลแวร์บน Windows, Linux และ macOS

PyrsistenceSniper tool detects 117 persistence malware techniques
PyrsistenceSniper คือเครื่องมือ Python โอเพนซอร์สจาก Hexastrike สำหรับตรวจจับ Persistence ของมัลแวร์โดยไม่ต้องเข้าถึงระบบสด รองรับ 117 เทคนิคครอบคลุม Windows, Linux และ macOS ตามกรอบ MITRE ATT&CK เก้าเทคนิคหลัก สแกนผ่าน Disk Image, Velociraptor Collection และ KAPE Dump โดยใช้ libregf ในการอ่าน Registry Hive และเสร็จภายใน 30 วินาที รองรับส่งออกผลเป็น Console, CSV, HTML และ XLSX พร้อมระบบกรองลายเซ็น Authenticode เพื่อแยก Persistence ที่ถูกต้องออกจากอันตราย
ที่มา: Cyber Security News
อ่านต่อ →