Ukraine

บริษัท SOCRadar พบ CyberXero นายหน้าขายสิทธิ์เข้าถึงที่พูดภาษารัสเซีย ใช้ AI สองชั้นในการเจาะระบบ ได้แก่ เอเจนต์ Claude Code สูงสุด 51 ตัว และ PentAGI ที่ต่อกับ Cobalt Strike หลักฐานมาจาก open directory ที่เปิดทิ้งไว้กว่า 90,000 ไฟล์ แคมเปญอัตโนมัติฝังเชลล์ WordPress ได้ 32 เว็บใน 61 วินาที อีกสายหนึ่งสำรวจองค์กรพลังงานยูเครน 7 แห่ง และดูดข้อมูลผู้ใช้บริการความร้อนในคาร์คิฟกว่า 564,000 ราย ยังไม่พบหลักฐานตรงว่ามีการขายสิทธิ์เข้าถึง

บริษัท Arctic Wolf พบแคมเปญ ClickFix ที่กำลังเดินสายเจาะเว็บธุรกิจยูเครนของแท้ แล้ว inject หน้ายืนยันตัวตน Cloudflare ปลอมเพื่อหลอกให้เหยื่อรันคำสั่งใน Windows Run กล ClickFix ใช้ msiexec.exe ดึงตัวติดตั้ง MSI มาปล่อยอินโฟสตีลเลอร์ตัวใหม่ชื่อ Psychedelic ที่ดูดรหัสผ่านเบราว์เซอร์ โทเคนบัญชี และข้อมูลกระเป๋าคริปโต แผงควบคุมชื่อ Rublevka TDS บันทึกยอดคลิกจาก 32 ประเทศโดยเน้นยูเครนเป็นหลัก คาดว่าเป็นฝีมือผู้ปฏิบัติการที่พูดภาษารัสเซีย

บริษัท ESET เปิดเผยเทคนิคใหม่ชื่อ GuardBreaker ที่กลุ่ม UAC-0099 ซึ่งเข้าข้างรัสเซียใช้โจมตีเป้าหมายในยูเครน โดยแทรกข้อความว่าต้องการสร้างอาวุธนิวเคลียร์ไว้เป็นคอมเมนต์ในสคริปต์ VBS ที่เป็นอันตราย เพื่อกระตุ้นกลไกความปลอดภัยของโมเดลภาษาขนาดใหญ่ให้หยุดวิเคราะห์โค้ดส่วนที่เหลือ สคริปต์ดังกล่าวมีหน้าที่ดาวน์โหลดและติดตั้งตัวโหลด MATCHBOIL ที่กลุ่มนี้ใช้เฉพาะตัว เทคนิคลักษณะเดียวกันเคยถูกใช้ในแคมเปญโจมตีห่วงโซ่อุปทาน Mini Shai-Hulud, Miasma และ Hades มาก่อน

กลุ่มแฮ็กติวิสต์หนุนรัสเซียชื่อ Server Killers อ้างความรับผิดชอบต่อการโจมตีที่กระทบบริการดิจิทัลของรัฐบาลนอร์เวย์หลายรายการต่อเนื่องสามวัน โฆษกสำนักงานดิจิทัลไลเซชันแห่งนอร์เวย์ระบุว่าเป็นการโจมตีที่หนักที่สุดเท่าที่เคยเจอ แต่ยืนยันว่าประคองบริการให้ทำงานได้แทบตลอดเวลา รูปแบบคือ DoS อัดทราฟฟิกมหาศาลใส่ระบบ รวมถึงระบบล็อกอินเดียวที่ใช้เข้าบริการสาธารณะหลายตัว กลุ่มอ้างว่าประกาศสงครามไซเบอร์กับนอร์เวย์หลังต่ออายุความร่วมมือด้านความมั่นคงกับยูเครน

CERT-UA เปิดเผยปฏิบัติการวิศวกรรมสังคมของ UAC-0145 กลุ่มย่อยของ Sandworm ที่ปลอมเป็นบริษัทไอทีและนายหน้าจัดหางาน เข้าหาแอดมินระบบและคนไอทีจากเรซูเม่บนเว็บหางานตั้งแต่เดือนพฤษภาคมเป็นอย่างน้อย เหยื่อถูกนัดสัมภาษณ์ผ่าน Zoom แล้วได้รับโจทย์ที่ต้องต่อ VPN องค์กร โดยไฟล์คอนฟิกที่ส่งมาถูกตั้งให้ขึ้นข้อผิดพลาดปลอม เพื่อผลักให้ไปดาวน์โหลดไคลเอนต์ WireGuard ดัดแปลงชื่อ SopraVPN จาก SourceForge ซึ่งรันโค้ด PowerShell ที่ซ่อนอยู่ในไฟล์ตั้งค่า

หน่วย CERT-UA ของยูเครนเปิดโปงแคมเปญกระจายไฟล์บีบอัดที่บรรจุโปรแกรม Notepad++ ของแท้พร้อมเครื่องมืออันตรายชื่อ LunchPoke ปลอมเป็นปลั๊กอินเพื่อฝังตัวในเครื่อง โดยระบุว่าเป็นฝีมือกลุ่ม UAC-0099 ที่เล็งเป้าองค์กรในยูเครนและเคยเป็นผู้เปิดทางให้กลุ่ม APT44 หรือ Sandworm เข้าโจมตี ผู้โจมตีไม่ได้เจาะช่องโหว่หรือทำ supply chain แต่อาศัยกลไกโหลดปลั๊กอินปกติของ Notepad++ ให้โหลด DLL อันตราย ปูทางสู่ตัวโหลดมัลแวร์หลายชั้นและสร้าง scheduled task ฝังตัว

หน่วยข่าวกรอง AIVD และ MIVD ของเนเธอร์แลนด์ออกประกาศเตือนว่าหน่วยข่าวกรองรัสเซียอย่างน้อยหนึ่งหน่วยกำลังยึดกล้องวงจรปิดที่ต่ออินเทอร์เน็ตทั่วยุโรปและยูเครนอย่างเป็นระบบ เพื่อเฝ้าดูเส้นทางลำเลียงทางทหาร การขนส่งอาวุธไปยังกรุงเคียฟ และตำแหน่งของกำลังพลยูเครน โดยในยูเครนมีการนำภาพไปใช้ในความพยายามสังหารทหารและทำลายยุทโธปกรณ์ ผู้โจมตีไม่ได้ใช้ช่องโหว่ Zero-Day แต่อาศัยรหัสผ่านค่าเริ่มต้นและเฟิร์มแวร์ที่ล้าสมัย

CERT-UA เปิดเผยว่ากลุ่ม UAC-0145 คลัสเตอร์ย่อยของ Sandworm หน่วยแฮ็กในสังกัด GRU ของรัสเซีย หันมาใช้เทคนิค ClickFix ฝัง CAPTCHA ปลอมบนเว็บไซต์ที่ถูกเจาะ แล้วหลอกให้ผู้ใช้ชาวยูเครนคัดลอกคำสั่ง PowerShell ไปรันเอง ปลายทางคือมัลแวร์ขโมยข้อมูลและแบ็กดอร์หลายตัว พบเว็บไซต์ถูกเจาะอย่างน้อย 10 แห่งระหว่างมิถุนายนถึงกรกฎาคม 2569 พร้อมแบ็กดอร์ Android ชื่อ COWARDDUCK ที่ปลอมเป็นเครื่องมือความปลอดภัย

ESET รายงานว่ากลุ่ม APT รัสเซีย Gamaredon ยังคงพัฒนาคลังมัลแวร์อย่างต่อเนื่องตลอดปี 2025 พบ 35 แคมเปญ spear-phishing มุ่งเป้าหน่วยงานรัฐและทหารยูเครนโดยเฉพาะ ใช้ HTML smuggling ปล่อย HTA downloader และอาวุธช่องโหว่ WinRAR (CVE-2025-8088) ฝังตัวใน Startup folder กลุ่มเพิ่มเครื่องมือ PowerShell ใหม่ 6 ตัว (PteroDee, PteroCache, PteroDum, PteroOdd, PteroEffigy, PteroPaste) และพึ่งพาบริการคลาวด์กับ tunnel/serverless worker มากขึ้นเพื่อซ่อนโครงสร้างพื้นฐานเบื้องหลัง

กลุ่มภัยคุกคามที่เชื่อมโยงกับรัสเซีย Turla ขยายคลังเครื่องมือจารกรรมด้วยแบ็กดอร์ตัวใหม่ชื่อ STOCKSTAY โจมตีหน่วยงานรัฐและทหารในยูเครนตั้งแต่ปลายปี 2022 มัลแวร์เขียนด้วย .NET สื่อสารผ่าน WebSocket ที่เข้ารหัส ทำให้ตรวจจับยากในทราฟฟิกปกติ Turla ใช้โครงสร้างพื้นฐานของยูเครนที่ถูกยึด เช่น เว็บหน่วยงานรัฐและเซิร์ฟเวอร์บริษัทไอที เพื่อ stage และส่งเพย์โหลด นักวิจัย Google ระบุว่ามันมีความเชื่อมโยงกับชุดเครื่องมือ KAZUAR ของกลุ่มเดียวกัน