Ukraine

ESET รายงานว่ากลุ่มที่สอดคล้องกับรัสเซียกำลังเจาะเมลเซิร์ฟเวอร์ MDaemon ในยูเครนโดยไม่ต้องให้ใครเปิดอีเมล MDaemon ใช้ ClamAV สแกนไฟล์แนบแต่ยังพก libclamunrar.dll รุ่นเก่าที่มีช่องโหว่ WinRAR CVE-2025-8088 ผู้โจมตีเพียงส่งไฟล์ RAR ที่สร้างมาเฉพาะไปยังที่อยู่ใดก็ได้บนเซิร์ฟเวอร์ การสแกนจะเขียน DLL อันตรายลงระบบไฟล์ CERT-UA ติดตามมัลแวร์ที่ใช้ในชื่อ HELLAGE และ HELLTAG และ ESET ยังระบุกลุ่มไม่ได้ ผู้ดูแลควรอัปเกรด MDaemon เป็น 26.0.4 ขึ้นไป

รายงาน APT Activity Report ไตรมาส 2-3 ปี 2569 ของ ESET ระบุว่า FrostyNeighbor กลุ่มที่สอดคล้องกับรัฐเบลารุส ก่อการโจมตีทำลายล้างครั้งแรกที่ ESET บันทึกได้ในยุโรปจากกลุ่มสายเบลารุส เป้าหมาย คือ ผู้ผลิตยูเครนที่สำคัญต่อภาคขนส่ง โดยปล่อย VBScript wiper ผ่าน Group Policy ร่วมกับ Cobalt Strike ESET มองว่าเบลารุสทำหน้าที่ตัวแทนหรือตัวเสริมกำลังให้รัสเซีย แต่ Recorded Future ยังไม่เห็นหลักฐานการบัญชาการร่วม หน่วยงานภาครัฐ ขนส่ง และกลาโหมที่สนับสนุนยูเครนควรเฝ้าระวังกลุ่มนี้แยกจากกลุ่มรัสเซีย

CERT-UA เตือนว่ากล้อง IP และเครื่องบันทึกภาพของ Dahua ในยูเครนถูกเข้าถึงโดยไม่ได้รับอนุญาต ทั้งดูภาพสด แก้คอนฟิก และสร้างบัญชีแปลกปลอม ทางเข้าหลัก คือ บริการ P2P Easy4IP ซึ่งใช้หมายเลขซีเรียลที่มีโครงสร้างคาดเดาได้ ผู้โจมตีจึงไล่เดาได้จำนวนมากโดยไม่ติด rate limit แม้เครื่องจะไม่ได้เปิดออกอินเทอร์เน็ตโดยตรง จากนั้นใช้รหัสผ่านอ่อนหรือช่องโหว่ข้ามการยืนยันตัวตน CVE-2021-33044 และ CVE-2021-33045 ผ่านด่านล็อกอิน ควรปิด P2P ที่ไม่จำเป็น อัปเดตเฟิร์มแวร์ และตรวจหาบัญชีที่ไม่รู้จัก

ESET พบว่า UAC-0099 เจาะบริษัทโลจิสติกส์ยูเครนด้วยอีเมลฟิชชิงเมื่อ 16 ก.ค. 2568 แล้วส่งต่อให้ Sandworm ล้างข้อมูลเมื่อ 17 ก.ย. 2568 ระหว่างนั้น UAC-0099 ใช้แบ็กดอร์ตัวใหม่ชื่อ MythicRatatoskr ที่ติดต่อเซิร์ฟเวอร์สั่งการภายในเครือข่ายเมช Yggdrasil แบ็กดอร์นี้รันคำสั่ง ถ่ายภาพหน้าจอ รับส่งไฟล์ และเปิดพร็อกซี SOCKS5 ได้ Sandworm ปิดฉากด้วยการกระจาย SDelete ผ่าน Group Policy ของ Active Directory ESET ระบุว่านี่เป็นกรณีแรกที่มีการบันทึกว่ากลุ่มที่รัฐหนุนใช้ Yggdrasil ในลักษณะนี้

ดาวเทียม Kosmos 2612 ของรัสเซียเคลื่อนเข้าใกล้ ICEYE-X36 ดาวเทียมเรดาร์ถ่ายภาพโลกเชิงพาณิชย์ระหว่าง 15-19 ตุลาคม 2569 ระยะใกล้สุดยังไม่ตรงกัน ตั้งแต่ราว 500 เมตรไปจนถึงไม่กี่เมตร บริษัท ICEYE ส่งภาพให้กระทรวงกลาโหมยูเครน แต่ยังไม่ยืนยันว่าดวงนี้ใช้กับยูเครนหรือไม่ LeoLabs ระบุว่าพฤติกรรมตรงกับการปฏิบัติการเข้าประชิด แม้ยังไม่บ่งชี้เจตนาร้าย นักวิเคราะห์ชี้ความเป็นไปได้ตั้งแต่การสอดแนม การรบกวนสัญญาณ ไปจนถึงการข่มขู่

Genians เชื่อมหลักฐานจากหลายแหล่งเข้าด้วยกัน ชี้ว่า Kimsuky ของเกาหลีเหนือส่งฟิชชิงล้วงข่าวกรองสงครามจากหน่วยงานรัฐ นักนโยบาย และนักวิชาการยูเครน เป้าข้อมูลคือสถานการณ์รบ ความสูญเสียของทหารเกาหลีเหนือ และเชลยศึก 2 นายที่ถูกส่งตัวไปเกาหลีใต้ ผู้โจมตีใช้เทคนิคล่อให้ตอบกลับ ปลอมเป็นผู้จัดงาน KSCON 2026 เชิญเป็นวิทยากร แล้วส่งไฟล์ LNK ที่พรางเป็น PDF ใช้ GitHub และ GitLab เป็นที่เก็บสคริปต์ Proofpoint มองว่าเป็นผู้โจมตีระดับกลางที่ตรวจจับได้ไม่ยาก แต่ปริมาณการโจมตีทำให้ฝ่ายป้องกันเหนื่อย

บริษัท GreyNoise พบการสแกนและพยายามเจาะอุปกรณ์กล้องวงจรปิดในยูเครนพุ่งสูงระหว่าง 21 ก.ย.–1 ต.ค. 2569 เกือบทั้งหมดเล็ง CVE-2021-36260 ช่องโหว่ command injection ในอุปกรณ์ Hikvision ที่ไม่ได้แพตช์ คะแนน CVSS 9.8 กิจกรรมมาจาก 4 IP ซึ่ง 3 ตัวเป็นทางออกของ PureVPN และใช้เทมเพลต Nuclei สาธารณะทดสอบคำสั่งโดยไม่ส่ง payload ช่วงเวลาตรงกับการโจมตีทางอากาศของรัสเซีย แต่ยังไม่มีหลักฐานเชื่อมโยง และยังไม่มีการยืนยันว่ากล้องถูกยึดจริง

บริษัท TrendAI เปิดเผย ASHVEIN มัลแวร์ .NET แบบ infostealer และ RAT ของกลุ่ม UAC-0099 ที่ฝักใฝ่รัสเซีย ใช้โจมตีเจ้าหน้าที่รัฐบาลยูเครน ASHVEIN ขโมยรหัสผ่านเบราว์เซอร์ จับภาพหน้าจอ ดึงไฟล์ และรัน PowerShell โดยซ่อนคำสั่งไว้ในองค์ประกอบ HTML ที่มองไม่เห็น การส่งมัลแวร์ใช้ DLL sideloading ไฟล์ VHD และ dropper ที่ปลอมเป็นเอกสารตอบกลับจากตำรวจแห่งชาติยูเครน TrendAI ชี้ว่าเป้าหมายขยายจากรัฐและทหารไปยังผู้ประกอบการขนส่งและโครงสร้างพื้นฐานพลเรือน

บริษัท ESET เผยแพร่ผลวิเคราะห์ MatchBoil ดาวน์โหลดเดอร์ภาษา C# ของกลุ่มจารกรรม UAC-0099 ที่เชื่อว่าสอดคล้องกับผลประโยชน์รัสเซีย ตัวอย่างระหว่าง เม.ย. 2567 ถึง เม.ย. 2569 แสดงการพัฒนาต่อเนื่องจาก downloader ที่ทำงานครั้งเดียวเป็นตัวที่ติดต่อ C2 ทุก 2 นาที เวอร์ชันใหม่ใช้ .NET Reactor ตรวจ sandbox จากเวลา uptime ใน Event Log และแสดงหน้าต่างแอปปลอม เหยื่อที่พบทั้งหมดอยู่ในยูเครน ไล่จากขนส่ง การผลิต สู่พลังงาน ESET ประเมินว่ากลุ่มนี้อาจเป็นนายหน้าส่งต่อสิทธิ์เข้าถึงให้ Sandworm

CERT-UA พบเว็บไซต์กว่า 100 แห่งถูกฝังจาวาสคริปต์แสดงหน้ายืนยัน Cloudflare ปลอม หลอกให้รันคำสั่งติดตั้ง MSI ที่ปล่อย LunexStealer หรือ Psychedelic Stealer กิจกรรมนี้ถูกโยงกับกลุ่ม UAC-0277 สคริปต์ดึงโดเมนและโหมดทำงานจากสัญญาอัจฉริยะบน Polygon หรือ Ethereum ตัวติดตั้งมี 3 แบบ รวมถึงแบบใช้ไดรเวอร์ AMD ที่มีช่องโหว่ปิดตาซอฟต์แวร์ความปลอดภัย มัลแวร์ยังฝังส่วนขยาย LUNARAXE ที่ขโมยคุกกี้ ลอก CSP และให้ผู้โจมตีคุมเบราว์เซอร์ได้