มีการพบมัลแวร์บน Android รูปแบบใหม่ที่ถูกซ่อนอยู่ภายในแอป Alpine Quest เวอร์ชันที่ถูกดัดแปลงเป็นโทรจัน ซึ่งถูกใช้งานโดยทหารรัสเซียในการวางแผนปฏิบัติการในเขตสงคราม

ผู้โจมตีโปรโมตแอป Alpine Quest Pro เวอร์ชันดัดแปลงนี้ผ่านทาง Telegram และ app catalogs ของรัสเซีย โดยโฆษณาว่าเป็นเวอร์ชันพรีเมียมที่ถูกแคร็ก และสามารถดาวน์โหลดไปใช้งานได้ฟรี (more…)

แฮ็กเกอร์ทำการโจมตีอย่างชาญฉลาด โดยใช้อีเมลปลอมที่ดูเหมือนว่าถูกส่งมาจาก Google ซึ่งผ่านการตรวจสอบความถูกต้องทั้งหมดแล้ว แต่ก็จะนำผู้ใช้ไปยังหน้าเว็บไซต์ปลอมที่สร้างขึ้นเพื่อขโมยข้อมูลการเข้าสู่ระบบ (more…)

เมื่อวันอังคารที่ผ่านมา (22 เมษายน 2025) Google เปิดเผยว่า จะไม่เสนอ standalone prompt สำหรับคุกกี้ของ third-party ในเบราว์เซอร์ Chrome อีกต่อไป ซึ่งเป็นส่วนหนึ่งของโครงการ Privacy Sandbox (more…)

นักวิจัยด้านความปลอดภัยทางไซเบอร์ พบแพ็กเกจอันตราย 3 รายการใน npm registry ซึ่งปลอมตัวเป็นไลบรารี Telegram bot แต่แฝง SSH backdoors และความสามารถในการทำ data exfiltration (more…)

ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) แบบ zero-day ใน Active! Mail กำลังถูกใช้ในการโจมตีองค์กรขนาดใหญ่ในประเทศญี่ปุ่น

Active! Mail เป็น web-based อีเมลที่พัฒนาขึ้นโดย TransWARE และภายหลังถูกซื้อกิจการโดย Qualitia ซึ่งเป็นบริษัทญี่ปุ่นทั้งคู่

(more…)

กลุ่มผู้โจมตีที่มีชื่อว่า ‘Elusive Comet’ มุ่งเป้าโจมตีไปยังผู้ใช้คริปโตเคอร์เรนซี โดยใช้เทคนิค Social Engineering ร่วมกับฟีเจอร์ remote control ของ Zoom เพื่อหลอกให้เหยื่อยินยอมให้เข้าถึงเครื่องคอมพิวเตอร์ของตน (more…)

การโจมตีแบบ ClickFix กำลังได้รับความนิยมเพิ่มขึ้นในหมู่แฮ็กเกอร์ โดยเฉพาะกลุ่มที่ได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ, อิหร่าน และรัสเซีย ซึ่งได้นำเทคนิคนี้ไปใช้ในปฏิบัติการล่าสุด (more…)

Microsoft ยืนยันว่าเหตุการณ์บัญชี Entra ถูกล็อกในช่วงสุดสัปดาห์ที่ผ่านมา เกิดจากการที่ refresh tokens ของผู้ใช้ถูกยกเลิกโดยไม่ได้ตั้งใจ เนื่องจากมีการ logged token เหล่านั้นลงในระบบภายในของบริษัทอย่างไม่ถูกต้อง (more…)

 

นักวิจัยด้านความปลอดภัยทางไซเบอร์เปิดเผยถึงการเพิ่มขึ้นของ "การสแกนจำนวนมาก, การเดารหัสผ่าน (Brute-force) และการพยายามโจมตีช่องโหว่" จาก IP Address ที่เชื่อมโยงกับผู้ให้บริการโฮสติ้งสัญชาติรัสเซียชื่อว่า Proton66 ที่มักเพิกเฉย หรือไม่สนใจการร้องขอข้อมูลจากเจ้าหน้าที่บังคับใช้กฎหมาย

การดำเนินการดังกล่าวถูกตรวจพบตั้งแต่วันที่ 8 มกราคม 2025 โดยมีเป้าหมายเป็นองค์กรต่าง ๆ ทั่วโลก ตามรายงานวิเคราะห์ที่เผยแพร่โดย Trustwave SpiderLabs เมื่อสัปดาห์ที่ผ่านมา

นักวิจัยด้านความปลอดภัย Pawel Knapczyk และ Dawid Nesterowicz ระบุว่า "Net blocks 45.135.232.0/24 และ 45.140.17.0/24 มีการใช้งานสูงเป็นพิเศษในด้านการสแกนแบบกลุ่ม และการพยายามเดารหัสผ่าน (Brute-force) โดย IP Address ที่ต้องสงสัยหลายรายการไม่เคยมีประวัติเกี่ยวข้องกับการดำเนินการที่เป็นอันตราย หรือไม่ได้ใช้งานมานานกว่า 2 ปี"

Proton66 จากรัสเซียนี้ ถูกประเมินว่ามีความเชื่อมโยงกับระบบอัตโนมัติอีกระบบหนึ่งที่ชื่อ Prospero โดยเมื่อปีที่แล้ว บริษัทด้านความปลอดภัยของฝรั่งเศสชื่อ Intrinsec ได้เปิดเผยความเชื่อมโยงของระบบดังกล่าวกับบริการ bulletproof ที่ถูกโฆษณาอยู่ในฟอรัมอาชญากรรมไซเบอร์ของรัสเซียภายใต้ชื่อ Securehost และ BEARHOST

มัลแวร์หลายกลุ่ม รวมถึง GootLoader และ SpyNote ได้ใช้บริการของ Proton66 ในการโฮสต์เซิร์ฟเวอร์ Command-and-Control (C2) และเพจฟิชชิ่ง เมื่อเดือนกุมภาพันธ์ที่ผ่านมา Brian Krebs นักข่าวด้านความปลอดภัยไซเบอร์เปิดเผยว่า Prospero ได้เริ่มกำหนดเส้นทางการดำเนินงานผ่านเครือข่ายที่ดำเนินการโดย Kaspersky Lab ซึ่งเป็นผู้ให้บริการแอนตี้ไวรัสของรัสเซียในกรุงมอสโกว

อย่างไรก็ตาม Kaspersky ปฏิเสธว่าไม่ได้มีความเกี่ยวข้องกับ Prospero และอธิบายว่า “การกำหนดเส้นทางผ่านเครือข่ายของ Kaspersky ไม่ได้หมายความว่าเป็นการใช้บริการของบริษัทโดยตรง เนื่องจากเส้นทางของระบบอัตโนมัติ (AS) ของ Kaspersky อาจปรากฏเป็น prefix ทางเทคนิคในเครือข่ายของผู้ให้บริการโทรคมนาคมที่บริษัททำงานร่วมด้วย และให้บริการ DDoS Protection อยู่”

การวิเคราะห์ล่าสุดของ Trustwave พบว่า มี requests ที่เป็นอันตรายซึ่งมีต้นทางมาจากบล็อกเครือข่าย Proton66 (193.143.1[.]65) ในเดือนกุมภาพันธ์ 2025 ซึ่งพยายามโจมตีช่องโหว่ระดับ Critical ล่าสุดบางรายการ

CVE-2025-0108 – ช่องโหว่ Authentication Bypass ใน Palo Alto Networks PAN-OS

CVE-2024-41713 – ช่องโหว่ input validation ที่ไม่เหมาะสมใน NuPoint Unified Messaging (NPM) component ของ Mitel MiCollab

CVE-2024-10914 – ช่องโหว่ Command Injection บนอุปกรณ์ D-Link NAS

CVE-2024-55591 และ CVE-2025-24472 – ช่องโหว่ Authentication Bypass ในระบบปฏิบัติการ Fortinet FortiOS

มีข้อสังเกตว่า การใช้ช่องโหว่สองรายการใน Fortinet FortiOS ถูกระบุว่าเป็นฝีมือของกลุ่ม Mora_001 ซึ่งถูกพบว่ามีการใช้งานแรนซัมแวร์สายพันธุ์ใหม่ที่ชื่อว่า SuperBlack

 

บริษัทด้านความปลอดภัยไซเบอร์ยังระบุเพิ่มเติมว่า ได้ตรวจพบแคมเปญมัลแวร์หลายรายการที่เชื่อมโยงกับ Proton66 ซึ่งมีเป้าหมายในการแพร่กระจายมัลแวร์ตระกูลต่าง ๆ เช่น XWorm, StrelaStealer และแรนซัมแวร์ชื่อว่า WeaXor

อีกหนึ่งพฤติกรรมที่น่าสนใจคือ การใช้งานเว็บไซต์ WordPress ที่ถูกโจมตี ซึ่งเชื่อมโยงกับ IP address ของ Proton66 "91.212.166[.]21" เพื่อเปลี่ยนเส้นทางผู้ใช้อุปกรณ์ Android ไปยังหน้าเว็บฟิชชิ่งที่เลียนแบบหน้ารายละเอียดแอปใน Google Play เพื่อหลอกให้ผู้ใช้ดาวน์โหลดไฟล์ APK ที่เป็นอันตราย

การเปลี่ยนเส้นทางนี้เกิดขึ้นผ่าน JavaScript ที่ฝังโค้ดอันตราย ซึ่งโฮสต์อยู่บน IP address ของ Proton66 จากการวิเคราะห์ชื่อโดเมนปลอมของ Google Play พบว่าแคมเปญนี้ถูกออกแบบมาเพื่อเจาะกลุ่มเป้าหมายที่ใช้ภาษาฝรั่งเศส, สเปน และกรีก

นักวิจัยอธิบายว่า “สคริปต์สำหรับเปลี่ยนเส้นทางนั้นถูกทำให้ซับซ้อน และมีการตรวจสอบหลายขั้นตอนกับเหยื่อ เช่น การแยกโปรแกรมค้นหา และผู้ใช้ VPN หรือ proxy ออกไป โดยระบบจะดึง IP ของผู้ใช้ผ่านการ query ไปยัง ipify.

ASUS เปิดเผยช่องโหว่ระดับ Critical ซึ่งส่งผลกระทบต่อเราเตอร์ที่เปิดใช้งานฟีเจอร์ AiCloud โดยช่องโหว่นี้อาจทำให้ผู้โจมตีจากภายนอกสามารถเข้าถึง และสั่งการฟังก์ชันต่าง ๆ บนอุปกรณ์ที่มีความเสี่ยงได้โดยไม่ได้รับอนุญาต โดยช่องโหว่นี้มีหมายเลข CVE-2025-2492 และมีระดับความรุนแรง CVSS อยู่ที่ 9.2

ช่องโหว่นี้ได้รับการแก้ไขแล้วผ่านการอัปเดตเฟิร์มแวร์ในเวอร์ชันต่อไปนี้:

3.0.0.4_382

3.0.0.4_386

3.0.0.4_388

3.0.0.6_102

เพื่อความปลอดภัย ASUS แนะนำให้ผู้ใช้งานอัปเดตเฟิร์มแวร์ของอุปกรณ์ให้เป็นเวอร์ชันล่าสุด

โดย ASUS ระบุว่า "ควรใช้รหัสผ่านที่แตกต่างกันสำหรับเครือข่าย wireless และ administration page ของเราเตอร์ และควรใช้รหัสผ่านที่มีความยาวอย่างน้อย 10 ตัวอักษร โดยผสมตัวอักษรตัวพิมพ์ใหญ่ ตัวเลข และอักขระพิเศษ"

"ไม่ควรใช้รหัสผ่านเดียวกันสำหรับอุปกรณ์ หรือบริการมากกว่าหนึ่งรายการ และไม่ควรใช้รหัสผ่านที่มีตัวเลข หรืออักษรเรียงต่อกัน เช่น 1234567890, abcdefghij หรือ qwertyuiop"

หากไม่สามารถอัปเดตแพตช์ได้ทันที หรือเราเตอร์สิ้นสุดอายุการใช้งานแล้ว (EoL) แนะนำให้ตรวจสอบให้แน่ใจว่ารหัสผ่านสำหรับการล็อกอิน และ Wi-Fi ยากต่อการคาดเดา

อีกทางเลือกหนึ่งคือการปิดใช้งานฟีเจอร์ AiCloud และบริการใด ๆ ที่สามารถเข้าถึงจากอินเทอร์เน็ต เช่น การเข้าถึงระยะไกลผ่าน WAN, Port Forwarding, DDNS, VPN Server, DMZ, Port Triggering และ FTP

ที่มา : thehackernews